Politique de confidentialité

Version 1.9 — 5 juin 2026

Responsable de traitement

Lorenzo Boschi, particulier éditant LeMakr à titre non-commercial.
Contact : contact@lemakr.com.

Données collectées

• Compte : email, mot de passe (hashé), prénom, nom de famille, pseudo (au choix), photo de profil (facultative). Vous décidez dans vos paramètres quelles informations parmi ces champs sont affichées publiquement aux autres utilisateurs (prénom seul, prénom + nom, pseudo seul, ou combinaison). Ce choix est appliqué côté base de données : les champs non sélectionnés ne sont pas transmis aux autres utilisateurs lors de l'affichage de votre profil public.
• Profil : ville, description, compétences, équipements (makers), services proposés. La ville n'est partagée aux autres utilisateurs que si vous avez activé l'option « Partager ma ville » dans vos paramètres.
• Coordonnées privées : email de contact et téléphone (facultatifs). Ces coordonnées ne sont accessibles qu'à l'autre partie d'une mise en relation lorsque les deux participants ont mutuellement consenti au partage.
• Demandes : titre, description, photos jointes.
• Fichiers techniques : plans, modèles 3D, fichiers CAO uploadés en différé après validation explicite, accès limité aux makers concernés par la demande.
• Messages : contenu des conversations entre demandeur et maker, y compris les messages vocaux (enregistrements audio courts).
• Notations : note (de 1 à 5) et commentaire textuel laissés à l'issue d'une mise en relation. Les notations que vous publiez sont publiques et nominatives : votre identité telle que vous l'avez choisie d'afficher (prénom et/ou pseudo selon vos paramètres) apparaît à côté de l'avis. Elles ne peuvent pas être supprimées par leur auteur après publication ; seules les actions de modération de l'éditeur peuvent les retirer (cf. section « Modération & signalement » des CGU).
• Signalements : motif et contexte des signalements que vous émettez ou recevez.
• Session active : identifiant unique de session et type d'appareil (iPhone, Mac, Windows, etc.), utilisés pour garantir une seule connexion simultanée par compte (sécurité). Effacés à la déconnexion.
• Techniques : logs de connexion (IP, user-agent), durée minimale, finalité sécurité.

Finalités & bases légales

• Fourniture du Service de mise en relation — exécution du contrat.
• Notifications transactionnelles (email/push) et email récapitulatif quotidien optionnel — exécution du contrat, désactivable à tout moment depuis vos paramètres.
• Sécurité du Service, prévention des abus et des robots — intérêt légitime.
• Supervision technique des erreurs en production (Sentry, hors Session Replay), sans IP ni contenu personnel — intérêt légitime.
• Mesure d'audience anonyme (Vercel Analytics), diagnostic approfondi (Sentry Session Replay & traces de performance), et analyse comportementale anonymisée (Microsoft Clarity : heatmaps et enregistrements de session avec masquage automatique des champs sensibles) — consentement (Art. 6.1.a RGPD), recueilli via la bannière cookies, modifiable ou révocable à tout moment.

Communications

Hors notifications transactionnelles indispensables au Service, vous pouvez recevoir :

• Récapitulatif quotidien par email vers 18h (heure de Paris) si vous avez reçu de nouveaux messages — ou, pour les makers, de nouvelles demandes correspondant à vos services. Aucun email n'est envoyé si rien à signaler. Désactivable depuis vos paramètres à tout moment.

Destinataires & sous-traitants

Vos données sont accessibles à l'éditeur (Lorenzo Boschi, en tant que responsable de traitement) et aux autres utilisateurs uniquementpour les champs publics (pseudo, ville si vous l'avez choisi, descriptif). Les sous-traitants techniques sont :

• Supabase — base de données, authentification et stockage de fichiers (région UE, Frankfurt).
• Vercel— hébergement du site et mesure d'audience anonyme via Vercel Analytics : aucun cookie, pas d'identifiant utilisateur, IP anonymisée avant agrégation. Hébergement en EEA, traitement sans transfert hors UE pour les utilisateurs européens.
• Resend (Resend Inc., EEA) — envoi des emails transactionnels et du récapitulatif quotidien, avec signature DKIM/SPF/DMARC depuis le domaine lemakr.com.
• Cloudflare (Cloudflare Inc.) — gestion DNS du domaine lemakr.com et routage des emails de contact, aucune donnée applicative transmise.
• hCaptcha (IntechniQ Limited, Irlande, EEA) — service de vérification anti-robot lors des formulaires d'inscription, de connexion et de réinitialisation du mot de passe. Les données transmises (adresse IP, user-agent, signaux comportementaux liés à la résolution du défi) sont strictement utilisées par hCaptcha pour évaluer si l'utilisateur est humain. Aucune donnée applicative (email, contenu, profil) n'est transmise. Politique : hcaptcha.com/privacy.
• Sentry (Functional Software Inc., région EU : de.sentry.io) — supervision technique des erreurs en production. Les informations personnelles (email, téléphone, jetons d'authentification) sont systématiquement masquées et filtrées avant transmission, y compris dans les URLs de requête, les en-têtes HTTP sensibles (autorisation, cookies) et le fil d'événements de navigation. Politique : sentry.io/privacy.
• Microsoft Clarity (Microsoft Corporation) — analyse comportementale anonymisée pour améliorer l'ergonomie du Service : heatmaps des zones cliquées et enregistrements de session. Les inputs, mots de passe et textes sensibles sont automatiquement masqués par Clarity avant transmission (masking par défaut). Aucune donnée personnelle identifiable n'est conservée. Activé uniquement en production et après votre consentement explicite via la bannière cookies. Politique : privacy.microsoft.com.

Aucune cession de données à des fins commerciales. Les données sont hébergées dans l'Union européenne (Supabase — région Francfort ; Sentry — région UE). Certains sous-traitants étant des sociétés établies aux États-Unis, les transferts éventuels sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et/ou par le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework).

Durée de conservation

• Compte actif : durée de la relation contractuelle.
• Compte supprimé : anonymisation immédiate ; les contenus liés (demandes terminées, messages) sont conservés 12 mois sous forme anonymisée puis purgés.
• Notifications : 30 jours après lecture, 90 jours si non lues (suppression automatique).
• Conversations & messages : conservés tant qu'au moins une des deux parties n'a pas masqué la conversation. Si les deux parties l'ont masquée depuis plus de 6 mois, suppression définitive automatique.
• Demandes d'accès aux fichiers techniques sans réponse : 14 jours, puis expirées automatiquement.
• Demandes supprimées : 30 jours puis suppression définitive (avec les fichiers associés).
• Exports de vos données (ZIP RGPD) : 7 jours, puis suppression automatique.
• Logs de connexion (IP, user-agent) : 12 mois maximum (sécurité & conformité LCEN).
• Journal d'actions de modération (anonymisation, suppression, bannissement) : 90 jours pour audit et conformité, puis purge automatique.
• Événements anti-robot et rate limiting : 48 heures à 90 jours selon catégorie, anonymes.

Vos droits (RGPD)

Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation. Vous pouvez exercer ces droits comme suit :

• Portabilité (Article 20) : bouton « Télécharger mes données » dans Paramètres → Mes données. Vous recevez par email, sous quelques minutes, un fichier ZIP contenant l'ensemble de vos données personnelles. Le lien est valable 7 jours.
• Rectification (Article 16) : modifiez directement votre profil dans Paramètres → Mon profil.
• Effacement (Article 17) : bouton « Supprimer mon compte » dans Paramètres.
• Autres droits (accès, opposition, limitation) : par email à contact@lemakr.com.

Toute demande est traitée dans le délai maximum d'un mois prévu par le RGPD (article 12). Vous pouvez également déposer une réclamation auprès de la CNIL (cnil.fr).

Cookies & stockage local

LeMakr utilise des cookies et du stockage local strictement nécessairesau fonctionnement du service, qui n'exigent pas votre consentement (Art. 82 de la loi Informatique et Libertés, exemption « fonctionnel strict »). LeMakr utilise en outre, uniquement après votre consentementrecueilli via la bannière cookies, des outils de mesure d'audience anonyme (Vercel Analytics) et de diagnostic d'erreurs approfondi (Sentry Session Replay & traces de performance). Vous pouvez les accepter ou les refuser, et modifier votre choix à tout moment. Aucun cookie publicitaire ni revente de données. Détail complet et bouton de gestion du consentement : voir notre Politique cookies.

• Authentification (Supabase : sb-*-auth-token) : maintient votre session de connexion. Durée : 1 an (renouvelé à chaque action), supprimé à la déconnexion.
• Préférence d'affichage (makr_mode) : mémorise si vous consultez le site en mode Demandeur ou Maker pour afficher la couleur de fond adaptée dès le chargement. Ne contient aucune donnée personnelle (juste la valeur « maker » ou « demandeur »). Durée : 1 an, supprimé à la déconnexion.
• Stockage local du navigateur : utilisé pour mémoriser vos préférences d'interface (mode actif, état de l'onboarding, préférence d'animations). Ces informations restent dans votre navigateur, ne sont jamais transmises à des tiers et sont supprimées à la déconnexion ou à la vidange manuelle du cache.
• hCaptcha : lors de la résolution d'un défi anti-robot, des cookies techniques sont posés par hCaptcha pour son propre fonctionnement (validation de la session de défi). Ils sont strictement nécessaires à la sécurité du Service.
• Mesure d'audience & diagnostic (soumis à consentement) : Vercel Analytics (pages vues agrégées anonymes), Sentry Session Replay et traces de performance. Activés uniquementaprès votre clic sur « Accepter » dans la bannière cookies, désactivables à tout moment depuis la Politique cookies. La capture d'erreurs JavaScript de base (hors Session Replay, sans IP ni contenu) reste active même en cas de refus (intérêt légitime).

Sécurité

Mots de passe hashés (bcrypt), TLS 1.3 sur toutes les connexions, isolation des accès aux données par Row Level Security (RLS) côté base, fichiers privés stockés derrière signed URL temporaires. Rate limiting anti-spam (5 demandes par catégorie/24h, 60 messages/min, 20 nouvelles conversations/24h, 3 demandes de réinitialisation mot de passe/h). En cas de violation de données, les utilisateurs concernés et la CNIL seront notifiés sous 72h conformément au RGPD article 33.

Protection anti-robot :les formulaires d'inscription, de connexion et de réinitialisation du mot de passe sont protégés par un service tiers de vérification anti-robot (hCaptcha), afin de prévenir les attaques automatisées.

Connexion unique par compte :pour limiter les risques liés au vol d'identifiants, une seule session active est autorisée à la fois par compte. Lorsqu'une connexion est établie depuis un nouvel appareil, l'appareil précédent reçoit une notification claire (« Connecté sur un autre appareil ») et est déconnecté automatiquement. L'identifiant de session utilisé à cette fin est anonyme (UUID aléatoire), ne contient aucune donnée personnelle et est effacé à la déconnexion.

Modération & actions administratives

Pour garantir la sécurité du Service, l'éditeur peut réaliser les actions suivantes en cas de contenu illicite, spam ou comportement abusif :

• Suppression d'un message individuel suite à un signalement.
• Suppression d'une demande (soft delete réversible 30 jours, ou suppression définitive).
• Anonymisation d'un compteà la demande de l'utilisateur ou en cas de manquement (les profils sont vidés, les demandes anonymisées sous « [supprimé] », les conversations conservées pour la modération).
• Bannissement d'un compte (blocage de la connexion) en cas de récidive caractérisée ou contenu illégal grave.

Toute action de modération est tracée dans un journal interne (90 jours) pour audit et conformité. L'utilisateur concerné par une action de modération peut contester par email à contact@lemakr.com.