Politique de confidentialité (RGPD)

1. Responsable du traitement

[À COMPLÉTER : identité du responsable du traitement (même entité que l'éditeur des mentions légales)], joignable à bonjour@hyle-voyage.fr.[À COMPLÉTER : indiquer un DPO s'il en existe un ; sinon supprimer cette mention]

2. Données collectées et finalités

Sans compte

• Recherches de vols (aéroports, dates, passagers, budget) : transmises à nos fournisseurs de données (Travelpayouts, Google Travel Impact Model) pour obtenir prix et émissions. Elles ne sont pas conservées par Hyle et ne sont pas associées à vous.
• Journaux techniques (adresse IP, navigateur, pages demandées) : conservés par notre hébergeur Vercel pour la sécurité et le bon fonctionnement du service, pendant [À COMPLÉTER : durée de rétention des logs Vercel de votre plan (par défaut : quelques jours)].

Avec un compte

• Identifiants : adresse e-mail et mot de passe (haché, jamais lisible par nous). Finalité : créer et sécuriser votre compte, vous envoyer les e-mails de confirmation et de réinitialisation. Base légale : exécution du contrat (CGU).
• Profil et habitudes de voyage : pseudo, aéroport habituel, classe préférée, ville et présentation, que vous renseignez librement, ainsi que vos recherches, vols suivis et trajets déclarés. Finalités : 1. créer et afficher votre profil (le pseudo est visible dans le classement) ; 2. si vous nous en donnez expressément l'accord via vos choix de confidentialité, vos données d'habitudes de voyage non anonymisées (par exemple aéroports favoris, compagnies, destinations recherchées) pourront être utilisées pour réaliser des statistiques ou des sondages, ou être partagées avec des partenaires touristiques et commerciaux. Vos données de contact directes (e-mail, mot de passe, identité réelle) ne sont jamais vendues ni partagées. Base légale : votre consentement explicite, donné par la case à cocher de l'inscription ou le bandeau de confidentialité, et horodaté. Vous pouvez le retirer, modifier ou effacer ces données à tout moment depuis votre profil ou le lien « Gérer mes cookies » en pied de page ; le retrait n'a pas d'effet rétroactif sur les partages déjà réalisés.
• Trajets déclarés et vols suivis : trajets que vous enregistrez, avec leur CO2e calculé. Finalité : votre bilan « Mon impact », le classement et les tournois. Seuls vos totaux (kg de CO2e évité, nombre de trajets) sont visibles des autres, jamais le détail.
• Messages de contact : nom, e-mail et message, conservés le temps de vous répondre puis au plus 12 mois.

Hyle ne collecte aucune donnée bancaire : les réservations se font chez le partenaire.

3. Cookies et choix de confidentialité

Cookies strictement nécessaires, exemptés de consentement (délibération CNIL n° 2020-091) : session Supabase (sb-*, vous maintient connecté), hyle_welcome (écran de bienvenue vu, 1 an) et hyle_consent (vos choix ci-dessous, 6 mois). Aucun cookie publicitaire. L'e-mail mémorisé à la connexion, si vous le demandez, reste dans votre navigateur.

Mesure d'audience, sans cookie : nous utilisons Vercel Web Analytics pour compter les visites. Sont enregistrés la page vue sans ses paramètres (donc sans vos recherches), le site d'origine de la visite, le pays ou la ville approximative, le type d'appareil, le système et le navigateur. Aucun cookie n'est déposé ; une visite est reconnue par une empreinte de la requête, effacée après 24 heures, qui ne suit personne d'un site à l'autre. Ces chiffres sont agrégés et ne servent qu'à nos statistiques.

Le bandeau affiché à votre arrivée vous permet d'accepter, de refuser ou de gérer le partage de vos habitudes de voyage avec des partenaires (section 2). Le refus est aussi simple que l'acceptation, et continuer à naviguer sans choisir n'est pas un accord. Vous changez d'avis à tout moment via « Gérer mes cookies » en pied de page ou depuis votre profil.

4. Destinataires et transferts

• Supabase (hébergement de la base de données et de l'authentification), données stockées dans l'Union européenne (région eu-west-1, Irlande).
• Vercel (hébergement du site et mesure d'audience, États-Unis), sous clauses contractuelles types de la Commission européenne.
• Google (Travel Impact Model) et Travelpayouts ne reçoivent que les paramètres de recherche, sans identifiant personnel.
• Partenaires touristiques et commerciaux : uniquement avec votre accord (section 2), et uniquement vos habitudes de voyage — jamais vos données de contact. [À COMPLÉTER : catégories ou liste des partenaires dès qu'ils sont connus]
• Les e-mails transactionnels (confirmation, mot de passe) sont envoyés via Google (Gmail SMTP) pendant la phase de test ; le fournisseur sera mis à jour ici s'il change.

5. Durées de conservation

Les données de compte sont conservées tant que le compte existe. Vous pouvez supprimer votre compte à tout moment depuis votre profil (Réglages → « Supprimer mon compte »), ou sur demande à l'adresse ci-dessus : la suppression efface immédiatement le profil, la photo, les trajets, les favoris et les participations aux tournois ; un tournoi que vous avez créé est transmis au plus ancien participant. Les messages envoyés par le formulaire de contact ne sont plus rattachés au compte ; écrivez-nous pour les faire effacer aussi. Les sauvegardes de la base sont purgées sous [À COMPLÉTER : durée de rétention des sauvegardes Supabase (7 jours sur le plan gratuit)].

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Pour les exercer, écrivez à bonjour@hyle-voyage.fr ou via la page de contact ; nous répondons sous un mois. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

7. Sécurité

Connexion chiffrée (HTTPS), mots de passe hachés, isolation des données par utilisateur au niveau de la base (politiques de sécurité par ligne), clés d'API conservées côté serveur uniquement.