Okani — Politique de confidentialité

Date d'entrée en vigueur : 30 août 2026

Cette version française est produite à partir du texte anglais de référence. En France, la version française fait foi. En cas de divergence entre les deux, le texte français prévaut pour les utilisateurs situés en France.

Cette politique explique quelles données personnelles Okani collecte, pourquoi, sur quelle base légale, combien de temps elles sont conservées, et quels sont vos droits. Elle est rédigée pour respecter le Règlement général sur la protection des données (RGPD), la loi française Informatique et Libertés et la loi allemande Bundesdatenschutzgesetz (BDSG).

1. Qui est responsable de vos données (responsable du traitement)

Le responsable du traitement est :

Xav Harrigin-Ramoutar Contact : privacy@okani.io Service : Okani (okani.io)

Au lancement, Xav Harrigin-Ramoutar est une personne physique agissant en qualité de responsable du traitement. Si une société est ultérieurement créée pour exploiter Okani, cette société deviendra le responsable du traitement et cette politique sera mise à jour avec sa dénomination et son siège social. Vos droits et la manière dont vos données sont traitées ne changeront pas pour autant.

Nous n'avons pas désigné de Délégué à la protection des données (DPO), car nous n'y sommes pas légalement tenus. Vous pouvez nous contacter pour toute question relative à la vie privée à privacy@okani.io.

2. Qui peut utiliser Okani

Okani est réservé aux personnes âgées de 16 ans ou plus. Lors de l'inscription, vous devez confirmer que vous avez 16 ans ou plus.

Nous avons fixé l'âge minimum à 16 ans afin de ne pas avoir à recueillir le consentement parental. En vertu de l'article 8 du RGPD, l'âge du consentement numérique est de 15 ans en France et de 16 ans en Allemagne. Un seuil de 16 ans couvre les deux pays. Si nous apprenons qu'un compte appartient à une personne de moins de 16 ans, nous le supprimerons.

3. Quelles données nous collectons et pourquoi

Nous ne collectons que ce qui est nécessaire au fonctionnement du service. Ci-dessous, chaque catégorie précise la finalité et la base légale au sens de l'article 6 du RGPD.

3.1 Données de compte

• Données : adresse e-mail, nom affiché, les horodatages attestant que vous avez accepté la présente Politique de confidentialité et les Conditions d'utilisation (privacy_accepted_at, tos_accepted_at), ainsi que la confirmation que vous avez 16 ans ou plus, avec son horodatage (age_confirmed, age_confirmed_at).
• Finalité : créer et sécuriser votre compte, vous connecter, et prouver que le consentement a été donné et que vous avez confirmé avoir l'âge minimum requis (section 2).
• Base légale : exécution du contrat (article 6(1)(b)) — nous ne pouvons pas fournir le service sans compte. Les horodatages de consentement et la confirmation d'âge sont conservés pour satisfaire à notre obligation légale de responsabilité (article 6(1)(c) / article 7(1) / article 8).

3.2 Photo de profil (avatar) et photo de groupe

• Données : une photo facultative que vous choisissez de téléverser.
• Finalité : afficher votre avatar aux autres membres de vos groupes.
• Base légale : consentement (article 6(1)(a)) — elle est facultative ; vous pouvez l'ajouter ou la retirer à tout moment.

Photo de groupe. Données : une image facultative qu'un administrateur d'un groupe téléverse pour ce groupe. Les administrateurs d'un groupe peuvent définir une image pour le groupe, affichée aux membres du groupe partout où le groupe apparaît dans l'application. Contrairement à votre photo de profil, une photo de groupe appartient au groupe, et non à l'administrateur qui l'a téléversée : elle demeure lorsque cet administrateur quitte le groupe ou supprime son compte, elle est remplacée ou retirée lorsqu'un administrateur la modifie, et elle est supprimée avec le groupe (sections 7 et 8). Si vous définissez une photo de groupe sur laquelle figurent des personnes, assurez-vous que vous êtes en droit de la partager avec le groupe (Conditions d'utilisation, section 5). Base légale : exécution du contrat (article 6(1)(b)) — l'image d'un groupe fait partie de la fonction « groupe », au même titre que son nom.

3.3 Données de groupes, d'événements et de réponses (RSVP)

• Données : les groupes que vous créez ou rejoignez, votre rôle dans chaque groupe (membre ou administrateur), la ville associée à chaque groupe (Paris ou Berlin — choisie manuellement par un administrateur du groupe, à la création puis modifiable dans les réglages du groupe ; c'est une étiquette du groupe, jamais issue du GPS ni de la position de quiconque, utilisée pour montrer au groupe des prestataires locaux, section 11), les événements que vous créez (leur titre, leur description, leur date et heure, leur lieu, ainsi qu'une photo de couverture facultative que le créateur de l'événement peut définir et qui est montrée aux mêmes personnes que les autres détails de l'événement) et vos réponses aux invitations. Une réponse peut, à votre choix, inclure votre heure d'arrivée prévue (arrival_time — par exemple « vers 19h30 »), une courte note d'arrivée (arrival_note — texte libre de 200 caractères au maximum, par exemple « j'apporte le dessert ») et un pointage de présence que vous effectuez en appuyant sur « Je suis là ! » pendant l'événement, qui enregistre la date et l'heure de votre présence (checked_in_at). Ces trois informations sont facultatives et à votre initiative — une réponse fonctionne sans elles, et vous les ajoutez vous-même ; le pointage étant une donnée de présence physique, nous ne l'enregistrons qu'au moment où vous appuyez. Elles sont visibles exactement par les personnes qui peuvent voir votre réponse : les membres du groupe qui peuvent voir l'événement et — pour un événement partagé par lien (section 10.1) — tout invité que l'organisateur a accepté. La note d'arrivée est un texte libre que ces personnes liront : n'y indiquez pas d'informations concernant d'autres personnes, ni quoi que ce soit de sensible.
• Finalité : vous permettre de planifier des événements avec vos groupes privés — la fonction principale de l'application.
• Base légale : exécution du contrat (article 6(1)(b)). Cela couvre votre réponse ainsi que ses champs facultatifs d'heure d'arrivée, de note d'arrivée et de pointage de présence : lorsque vous choisissez de les utiliser, les enregistrer et les montrer aux autres personnes présentes à votre événement est ce qui fait fonctionner la fonction de coordination que vous avez demandée. Il s'agit de données personnelles ordinaires, et non d'une catégorie particulière au sens de l'article 9.

Demander à rejoindre un groupe. L'entrée dans un groupe se fait sur approbation : lorsque vous utilisez l'invitation d'un groupe (un QR code ou un lien d'invitation qu'un membre vous montre ou vous envoie), vous envoyez à ce groupe une demande d'adhésion, et un administrateur du groupe décide de l'accepter ou non. Tant que votre demande est en attente, les administrateurs du groupe peuvent voir votre profil — votre nom affiché, votre photo de profil et les informations facultatives que vous y avez ajoutées (comme votre texte « à propos » et vos centres d'intérêt) — pour pouvoir décider. Cette visibilité commence lorsque vous envoyez la demande et cesse dès qu'elle est tranchée ou que vous l'annulez ; les autres membres du groupe ne voient pas votre demande, et vous ne voyez rien du groupe tant que vous n'êtes pas accepté. Nous ne conservons la demande elle-même (group_join_requests) que tant qu'elle est en attente — l'accepter, la refuser ou l'annuler supprime l'enregistrement (une acceptation crée votre adhésion à la place) — et les demandes sont soumises aux limites anti-abus de la section 3.10. Un court message indiquant que vous avez demandé à rejoindre le groupe, visible des seuls administrateurs du groupe, reste dans l'historique du groupe et est supprimé avec votre compte. Base légale : exécution du contrat (article 6(1)(b)) pour le dépôt et le traitement de votre demande, et intérêt légitime (article 6(1)(f)) pour permettre aux administrateurs d'un groupe de voir qui demande à le rejoindre avant de l'accepter.

Partager un événement par lien. En tant que créateur d'un événement, vous pouvez générer un lien de partage privé pour celui-ci et le transmettre aux personnes de votre choix. Toute personne détenant ce lien — y compris des personnes qui n'ont pas de compte Okani et qui ne font pas partie de votre groupe — peut voir le titre, la date et l'heure (pour un événement récurrent, la date et l'heure de sa prochaine occurrence), ainsi que le lieu de cet événement — ainsi qu'une fois l'événement terminé, le nombre de photos qui y ont été ajoutées dans l'application (un nombre uniquement, jamais les photos elles-mêmes, ni qui les a ajoutées) — et rien d'autre (ni le nom de l'organisateur, ni la description, ni la liste des participants). Voir la section 10.1 pour le fonctionnement de cette fonction et ce qui est divulgué ou non.

Base légale de cette divulgation : intérêt légitime (article 6(1)(f)) — fournir une fonction d'invitation qui vous permet de partager un événement que vous avez créé, de la même manière que vous transféreriez une invitation d'agenda. La divulgation est délibérément minimale (trois champs, plus, après l'événement, un nombre de photos — aucune identité), n'a lieu que lorsque vous choisissez de générer et d'envoyer un lien, et cesse lorsque le lien est désactivé (sections 7 et 10.1). Puisque c'est vous qui décidez du contenu du titre et du lieu d'un événement, vous êtes responsable du lien et ne devez partager que des événements que vous êtes en droit de partager (voir les Conditions d'utilisation).

Répondre depuis la page de partage (« réponse d'invité »). Une personne qui ouvre un lien de partage peut répondre à l'invitation directement sur la page web — « J'y serai », « Peut-être » ou « Je ne peux pas » — en saisissant uniquement un prénom. Aucun compte n'est créé, et aucune adresse e-mail ni aucun numéro de téléphone n'est demandé ni accepté. Nous conservons seulement ce prénom, la réponse et l'heure de la réponse, et nous les montrons — signalés comme réponse d'invité — à l'organisateur de l'événement et aux personnes qui peuvent voir l'événement dans l'application. Les réponses sont protégées par une vérification anti-robots Cloudflare Turnstile (section 5) et par des limites de débit (section 3.10), et sont supprimées automatiquement au plus tard 30 jours après la fin de l'événement (section 7). L'organisateur peut retirer toute réponse (en la touchant dans l'application). Une réponse peut être modifiée en soumettant à nouveau le même prénom — les réponses sont liées au prénom saisi, pas à une identité vérifiée, de sorte que toute personne détenant le lien pourrait modifier la réponse associée à un prénom ; dans ce cas, l'organisateur peut simplement la retirer. La personne qui a répondu peut aussi demander à l'organisateur de retirer sa réponse, ou nous demander de la supprimer (section 16). Base légale des réponses d'invité : intérêt légitime (article 6(1)(f)) — transmettre la réponse d'un invité à l'organisateur est la finalité même d'une invitation ; la réponse est à l'initiative de l'invité, et les données sont minimales — un prénom qu'il choisit lui-même et qui n'a pas besoin de l'identifier.

Demander l'accès à un événement partagé en tant qu'invité. Lorsque vous ouvrez un lien de partage d'événement (ci-dessus), vous pouvez demander à l'organisateur de l'événement de vous laisser y participer en tant qu'invité, sans rejoindre aucun groupe. L'organisateur — la personne qui a créé l'événement — décide d'accepter ou de refuser votre demande. Tant que votre demande est en attente, l'organisateur la voit accompagnée de votre nom affiché et de votre photo de profil, pour pouvoir décider. Si vous êtes accepté, vous pouvez voir tout ce qu'un membre du groupe voit de cet événement : son titre, sa description, sa date et son heure, son lieu et l'aperçu de carte correspondant, sa photo de couverture et le nom affiché de l'organisateur ; sa liste de participants — les noms affichés et les photos de profil des membres qui ont répondu et des autres invités acceptés — accompagnée, pour chaque personne, de sa réponse et de toute heure d'arrivée prévue, note d'arrivée et pointage de présence qu'elle a ajoutés (ci-dessus) ; ainsi que les photos ajoutées à l'événement et leurs légendes (section 3.4). Vous pouvez répondre (RSVP) pour cet événement uniquement, avec les mêmes champs facultatifs, et en retour votre nom affiché, votre photo de profil, votre réponse et ces champs facultatifs sont visibles par ces mêmes participants. Vous ne rejoignez toujours pas le groupe et ne voyez aucun de ses autres contenus — ni ses autres événements, ni ses membres, ni sa discussion, ni ses photos. Si votre demande est refusée, vous n'êtes simplement pas ajouté. Nous conservons une trace de votre demande et de la décision de l'organisateur (event_guests) pour que la fonction puisse fonctionner ; elle est supprimée lorsque vous supprimez votre compte ou lorsque l'événement est supprimé, et les demandes sont soumises aux limites anti-abus de la section 3.10. Base légale : exécution du contrat (article 6(1)(b)) pour votre propre participation à l'événement, et intérêt légitime (article 6(1)(f)) pour permettre à un organisateur de voir les personnes demandant à rejoindre son événement et de statuer sur ces demandes.

La localisation d'un événement sur une carte. Lorsque vous enregistrez un événement avec un lieu, l'application demande au service de cartographie intégré à votre appareil — Apple Plans sur iPhone, Google Maps sur Android — de convertir le texte du lieu que vous avez saisi en coordonnées cartographiques (« géocodage »), et enregistre ces coordonnées (latitude/longitude) avec l'événement afin que toutes les personnes qui peuvent voir l'événement voient aussi un petit aperçu de carte. Trois divulgations ont lieu, et nous les nommons précisément : (1) au moment de l'enregistrement, le texte du lieu est envoyé à Apple ou Google pour être géocodé ; (2) lorsqu'une personne ouvre l'événement, son appareil récupère l'image de carte auprès d'Apple Plans (sur iOS) ou de Google Maps (sur Android), ce qui divulgue techniquement son adresse IP et les coordonnées de l'événement à ce prestataire — cela vaut pour chaque personne qui consulte l'événement, pas seulement pour son créateur ; (3) si vous touchez le lieu ou la carte, l'application ou le site de cartographie que vous choisissez reçoit le lieu à afficher. Cette fonctionnalité n'utilise jamais le GPS de votre appareil. Les coordonnées sont toujours dérivées du texte du lieu saisi par l'organisateur ; Okani ne demande pas, n'enregistre pas et n'a pas accès à votre position physique (le pointage facultatif ci-dessus n'enregistre qu'une date et une heure, pas un lieu). Les invités qui ouvrent un lien de partage d'événement (section 10.1) voient uniquement le texte du lieu — les coordonnées enregistrées ne leur sont jamais communiquées. Les coordonnées sont visibles par exactement les mêmes personnes que le texte du lieu, sont incluses dans votre export de données et sont supprimées avec l'événement.

Base légale : exécution du contrat (article 6(1)(b)) pour l'enregistrement et l'affichage de l'aperçu de carte ; intérêt légitime (article 6(1)(f)) pour les requêtes techniques vers le service de cartographie de la plateforme, qui agit en tant que responsable de traitement indépendant selon sa propre politique de confidentialité (section 5).

3.4 Médias téléversés (photos, vidéos et fichiers)

• Données : les photos, vidéos et médias que vous téléversez et partagez au sein d'un groupe. Une vidéo que vous partagez est stockée avec une image fixe prise à son début (l'aperçu affiché avant la lecture), visible par les mêmes personnes que la vidéo et supprimée avec elle.
• Finalité : partager les photos d'événements avec les membres de ce groupe.
• Base légale : exécution du contrat (article 6(1)(b)) pour la fourniture de la fonction de partage. Vous contrôlez ce que vous téléversez. Voir la section 8 pour la suppression des médias.

Vos photos et vidéos ne sont visibles que dans Okani, par les membres des groupes avec lesquels vous les partagez — ou, pour les photos ajoutées à un événement, par les personnes avec lesquelles cet événement est partagé (voir « Photos ajoutées à un événement » ci-dessous). Aucune fonction ne les montre à quiconque en dehors de ces audiences. Les personnes de ces audiences peuvent en revanche en conserver une copie — voir « Les photos et les fichiers peuvent être enregistrés en dehors d'Okani » ci-dessous.

Légendes. Lorsque vous partagez des photos dans un groupe, vous pouvez ajouter une courte légende (jusqu'à 1 000 caractères) ; elle est publiée avec les photos dans la discussion du groupe, est visible exactement par les mêmes membres que les photos, et est supprimée avec elles. Les légendes des photos ajoutées à un événement sont décrites ci-dessous.

Fichiers (documents) joints à une discussion de groupe. Vous pouvez joindre un document à une discussion de groupe — un menu, un billet, un itinéraire, un tableur. Il s'agit d'un type de contenu différent d'une photo, il est donc décrit séparément ici.

• Données : le fichier lui-même, ainsi que son nom de fichier d'origine, son type et sa taille. Nous conservons le nom que vous avez choisi car c'est ainsi que vous et les autres membres reconnaissez le fichier. Gardez à l'esprit qu'un nom de fichier peut en lui-même révéler quelque chose (par exemple « résultats médicaux 2026.pdf ») : renommez le fichier avant de le joindre si cela compte pour vous. La même vigilance vaut pour le contenu d'un document : merci de ne pas joindre de fichiers contenant des informations sensibles concernant d'autres personnes — pièces d'identité, dossiers médicaux ou financiers — sans leur accord.
• Types acceptés : uniquement ceux-ci — documents PDF, Word, Excel et PowerPoint, texte brut et CSV. Les autres types de fichiers sont refusés au moment où vous tentez de les joindre.
• Finalité : permettre aux membres d'un groupe de partager les documents pratiques qu'une sortie nécessite.
• Base légale : exécution du contrat (article 6(1)(b)).
• Qui peut le voir : les membres du groupe auquel vous l'avez joint, et eux seuls. Les fichiers apparaissent uniquement dans la discussion du groupe — jamais sur la page publique de partage d'un événement, ni sur le web.

Important — les photos, les vidéos et les fichiers peuvent être enregistrés en dehors d'Okani. Toute personne qui peut voir une photo ou une vidéo peut l'enregistrer dans la photothèque de son propre appareil ou l'envoyer vers une autre application de son téléphone (par exemple une application de messagerie ou d'e-mail), et un fichier que vous joignez peut être ouvert dans une autre application du téléphone, ou enregistré dans la mémoire du téléphone, par n'importe quel membre de ce groupe. (Les messages vocaux n'ont pas d'option d'enregistrement.) Une fois qu'une personne en a enregistré une copie, cette copie se trouve en dehors d'Okani et échappe à notre contrôle : supprimer une photo, une vidéo ou un fichier dans Okani les retire de l'application et de nos serveurs, mais cela ne peut pas supprimer une copie déjà enregistrée par quelqu'un. Ne partagez une photo ou une vidéo, ou ne joignez un document, que si vous acceptez que toutes les personnes qui peuvent les voir puissent en conserver une copie.

Photos ajoutées à un événement. Des photos peuvent être ajoutées directement à un événement (et non à l'onglet médias d'un groupe). Les photos ajoutées à un événement sont visibles par toutes les personnes qui ont accès à cet événement : les membres de tous les groupes avec lesquels l'événement est partagé, ainsi que les invités individuels que l'organisateur a approuvés via le lien d'invitation. L'application vous l'indique avant que vous ne confirmiez l'envoi. Une photo ajoutée à un événement peut porter une courte légende que vous rédigez (jusqu'à 300 caractères) ; la légende est visible exactement par les mêmes personnes que la photo et est supprimée avec elle. Si l'organisateur partage ensuite l'événement avec un autre groupe ou approuve un autre invité, ces personnes voient aussi les photos de l'événement — l'audience est la liste des invités de l'événement, et elle peut évoluer avec lui. De même, toute personne retirée de l'événement (un groupe avec lequel il n'est plus partagé, ou un invité retiré) perd l'accès à ses photos. Rien dans cette fonction ne montre les photos à quiconque n'a pas accès à l'événement (la page publique de l'événement n'affiche jamais de photos — mais une fois l'événement terminé, sa page de partage indique combien de photos l'événement contient, jamais les photos ni qui les a ajoutées ; section 10.1) — mais, comme pour toute photo, chaque personne de l'audience de l'événement peut en enregistrer une copie sur son propre appareil (voir ci-dessus).

Base légale pour les photos ajoutées à un événement : exécution du contrat (article 6(1)(b)) — montrer les photos que vous joignez à un événement aux personnes avec lesquelles l'événement est partagé constitue la fonction de coordination elle-même, exactement comme pour les autres détails de l'événement (section 3.3). Vous choisissez l'audience en ajoutant vos photos à l'événement plutôt qu'à un seul groupe ; retirer votre photo, ou supprimer votre compte, la retire pour l'ensemble de l'audience (section 8). L'organisateur de l'événement et les administrateurs des groupes avec lesquels l'événement est partagé peuvent également retirer une photo de l'événement (modération, section 10). Les photos que vous ajoutez à un événement y restent jusqu'à ce que l'une de ces personnes les retire, jusqu'à la suppression de l'événement, ou jusqu'à la suppression de votre compte — quitter l'événement ou en être retiré ne retire pas les photos que vous y avez ajoutées (section 7).

3.5 Messages de discussion

• Données : les messages que vous publiez dans une discussion de groupe.
• Finalité : permettre aux membres d'un groupe de communiquer au sujet des événements.
• Base légale : exécution du contrat (article 6(1)(b)).

Répondre à un message. Vous pouvez répondre à un message précis dans une discussion de groupe. Votre réponse enregistre un lien vers le message auquel vous répondez (reply_to_id) et en affiche une courte citation au-dessus de votre réponse, visible exactement par les mêmes membres que la réponse elle-même. Si le message cité est supprimé par la suite, la citation et le lien disparaissent ; votre réponse, elle, demeure. Base légale : exécution du contrat (article 6(1)(b)).

Mentionner quelqu'un. Dans une discussion de groupe, vous pouvez mentionner un autre membre de ce groupe en tapant @ et en choisissant son nom. Nous enregistrons, avec votre message, qui vous avez mentionné (le membre mentionné, le message et le groupe — jusqu'à 20 membres par message ; seuls les membres actuels de ce groupe peuvent être mentionnés). Votre message affiche le nom mentionné en gras aux mêmes membres que le message lui-même ; un membre que vous mentionnez ne voit rien de plus que tout autre membre du groupe. Un membre que vous mentionnez et qui a activé les notifications push (section 3.8) reçoit la notification de discussion habituelle, formulée « Nom vous a mentionné : … » suivie des 140 premiers caractères de votre message — sauf s'il a désactivé les aperçus de messages (section 3.8), auquel cas elle se limite à « Nom vous a mentionné ». S'il a choisi le réglage « Mentions et réponses uniquement », le fait de le mentionner — comme de répondre à l'un de ses messages — est ce qui laisse passer cette notification ; une mention ne contourne jamais une catégorie de notifications qu'il a désactivée, des notifications qu'il a mises en pause, ni un groupe qu'il a mis en sourdine. Une mention vit avec le message : elle est supprimée lorsque le message est supprimé, lorsque le groupe est supprimé, ou lorsque votre compte ou celui du membre mentionné est supprimé (sections 7 et 8), et elle ne peut être ni modifiée ni retirée séparément. Quitter le groupe ne retire pas les mentions de vous dans les messages déjà publiés. Les messages dans lesquels vous avez été mentionné figurent dans votre export de données (section 9). Base légale : exécution du contrat (article 6(1)(b)).

Réagir à un message. Vous pouvez réagir à un message de discussion — un message texte, un GIF ou une photo — ou à un message privé (section 3.5 bis) avec un emoji choisi dans une liste fixe que nous fournissons : une rangée rapide de cinq emoji, plus un sélecteur plus large. Pour quelques gestes de la main (comme 👍 ou 🙏), vous pouvez choisir une teinte de peau. Nous enregistrons le message concerné, l'emoji choisi (y compris sa teinte de peau éventuelle) et le moment de la réaction. Une teinte de peau est un choix expressif, au même titre que l'emoji lui-même : nous ne la traitons pas comme une information sur votre origine, nous n'en tirons aucune conclusion, et nous montrons aux autres uniquement l'emoji exact que vous avez choisi. Si vous définissez une teinte de peau préférée, l'application la mémorise uniquement sur votre appareil — elle n'est pas conservée sur nos serveurs ni rattachée à votre compte. Votre réaction est visible, avec votre nom, par les mêmes membres que le message lui-même : le compteur de réactions sous un message affiche les emoji et leur nombre, et le toucher montre qui a réagi avec quoi. Vous pouvez changer votre réaction en choisissant un autre emoji, ou la retirer en touchant à nouveau votre emoji actuel — le retrait la supprime immédiatement de nos serveurs. Une réaction est également supprimée lorsque le message auquel elle est attachée est supprimé, lorsque le groupe est supprimé, ou lorsque votre compte est supprimé (section 8). Base légale : exécution du contrat (article 6(1)(b)).

Transférer un message. Un membre qui peut lire un message texte ou un GIF dans l'un de ses groupes peut le transférer vers un autre groupe dont il est lui-même membre. La copie transférée est un nouveau message, publié au nom de la personne qui transfère, sans votre nom — elle n'indique ni qui a écrit le message d'origine, ni de quel groupe il provient. Comme pour une photo enregistrée (section 3.4), un message que vous publiez peut donc circuler : n'écrivez dans un groupe que ce que vous êtes à l'aise de voir ses membres répéter ailleurs dans Okani. Une copie transférée appartient à la personne qui l'a transférée : supprimer votre message d'origine, ou votre compte, ne supprime pas les copies que d'autres membres ont déjà transférées. Ces copies sont supprimées lorsque la personne qui les a transférées les supprime, lorsque son compte est supprimé, ou lorsque le groupe vers lequel elles ont été transférées est supprimé (section 7). Base légale : exécution du contrat (article 6(1)(b)) — acheminer et afficher le message transféré pour le membre qui l'envoie, comme tout autre message de discussion.

3.5 bis Messages privés

Certaines personnes avec qui vous partagez un groupe ou un événement peuvent vous envoyer un message privé en tête-à-tête (« message direct »). Cela est distinct des messages de discussion de groupe (section 3.5) : un message privé n'est échangé qu'entre vous et une seule autre personne.

• Données :
• le contenu des messages privés que vous envoyez et recevez (dm_messages) — texte, messages vocaux, photos, vidéos (chacune stockée avec une image fixe prise à son début) et images animées GIF (section 3.5 ter) ; une photo ou une vidéo que vous envoyez n'est visible que de vous deux, et peut être enregistrée ou partagée en dehors d'Okani par l'un comme l'autre, exactement comme décrit à la section 3.4 — et — lorsque vous répondez à un message précis — le lien entre votre réponse et ce message (reply_to_id), qui en affiche une courte citation au-dessus de votre réponse. Si le message cité est supprimé par la suite, la citation et le lien disparaissent ; votre réponse, elle, demeure ;
• vos réactions emoji sur les messages privés (dm_message_reactions) : le message concerné, l'emoji choisi et le moment de la réaction. Une réaction fonctionne exactement comme dans les discussions de groupe (section 3.5, « Réagir à un message »), à ceci près que la seule personne qui peut la voir est l'autre personne de la conversation. Vous pouvez la modifier ou la retirer à tout moment ; son retrait la supprime immédiatement de nos serveurs, et elle est également supprimée lorsque le message auquel elle est attachée est supprimé ou lorsque l'un des deux comptes est supprimé ;
• un statut de lecture — l'heure à laquelle vous avez ouvert une conversation pour la dernière fois et jusqu'où votre application a reçu ses messages (dm_thread_reads). Il vous indique quelles conversations comportent de nouveaux messages et — sauf si vous désactivez les confirmations de lecture — il affiche à l'autre personne une coche sous son message : une coche à l'envoi, deux lorsque votre application l'a reçu, et deux en couleur lorsque vous avez ouvert la conversation. Voir « Confirmations de lecture » ci-dessous ;
• les personnes que vous bloquez (dm_blocks) et tout signalement d'abus que vous déposez au sujet d'un message ou d'une personne (dm_reports).
• Finalité : assurer la messagerie privée, vous permettre de mettre fin à un contact indésirable en bloquant, et nous permettre d'examiner les signalements et de préserver la sécurité du service.
• Base légale :
• Contenu des messages, réponses, réactions et statut de lecture : exécution du contrat (article 6(1)(b)) — nous ne pouvons pas acheminer un message entre deux personnes, ni vous montrer vos conversations non lues, sans conserver ces données. Nous ne lisons pas vos messages privés et l'application ne nous donne aucun moyen de les parcourir ; le seul cas où nous voyons le contenu d'un message est lorsque vous ou l'autre personne le signalez pour abus, et uniquement pour examiner ce signalement.
• Blocages et signalements d'abus : intérêt légitime (article 6(1)(f)) — protéger les utilisateurs contre les abus et le harcèlement. Mis en balance avec votre vie privée : un blocage n'enregistre que l'auteur du blocage, la personne bloquée et la date ; un signalement conserve un extrait limité du message signalé ainsi qu'une indication de la personne signalée, afin que nous puissions l'examiner équitablement même si ce message est supprimé par la suite. Vous pouvez vous y opposer (section 9) ; le cas échéant, nous cesserons le traitement, sauf motifs impérieux de sécurité justifiant la conservation d'un signalement.

Qui peut vous envoyer un message privé. Seules les personnes avec qui vous partagez déjà un groupe, ou — si vous l'activez — les personnes avec qui vous partagez un événement, peuvent démarrer une conversation avec vous. Un réglage de votre profil (allow_dms_outside_groups) régit le cas des événements ; il est désactivé tant que vous ne l'activez pas, et vous pouvez le modifier à tout moment. Bloquer une personne interrompt les messages dans les deux sens.

Confirmations de lecture. Par défaut, l'autre personne d'une conversation peut voir si son message est parvenu à votre application et si vous avez ouvert la conversation depuis — deux horodatages, affichés uniquement sous forme de coches sous ses propres messages. Elle voit seulement que vous avez ouvert la conversation après l'arrivée d'un message — pas si vous avez réellement regardé ce message, ni combien de temps, ni quoi que ce soit d'autre. Le réglage est réciproque : un interrupteur dans Réglages → Confidentialité (dm_prefs.read_receipts, activé tant que vous ne le désactivez pas ; nous ne publions pas le réglage lui-même, même si une personne à qui vous écrivez peut bien sûr remarquer l'absence de coches) masque votre statut de lecture à tout le monde et, en retour, vous masque le leur. Bloquer une personne masque également le statut de lecture dans les deux sens. La désactivation prend effet immédiatement sur nos serveurs, pour toutes vos conversations. Seul ce qui se passe pendant que l'interrupteur est activé est montré : une conversation que vous avez ouverte pendant qu'il était désactivé, ou avant l'existence des confirmations de lecture, n'est jamais révélée par la suite en le réactivant. Base légale : exécution du contrat (article 6(1)(b)) — les indicateurs de remise et de lecture font partie de la fonctionnalité de messagerie privée décrite dans les Conditions d'utilisation, affichés de la même manière aux deux personnes et limités à deux horodatages par conversation ; l'interrupteur est un réglage de cette fonctionnalité, et sa désactivation n'a aucun autre effet dans l'application.

3.5 ter Images animées (GIF)

La discussion de groupe et les messages privés (section 3.5 bis) proposent un sélecteur de GIF propulsé par GIPHY (un service de Giphy, Inc., société du groupe Shutterstock, aux États-Unis). Deux opérations ont lieu, que nous décrivons précisément :

1. Lorsque vous recherchez un GIF, le mot que vous saisissez (et la langue d'affichage de l'application) est envoyé à GIPHY pour obtenir les GIF correspondants. Cette requête passe par notre serveur, et non directement depuis votre appareil — GIPHY reçoit donc uniquement votre mot-clé, et jamais votre adresse IP, votre appareil ou un identifiant. Votre appareil ne communique qu'avec Okani. L'ouverture du sélecteur avant toute saisie affiche les GIF tendances ; cette requête est elle aussi effectuée par notre serveur et ne contient absolument rien vous concernant. Afin de ne pas interroger deux fois GIPHY sur la même chose, notre serveur conserve les mots-clés de recherche récents et les résultats qu'ils ont renvoyés pendant 30 jours au maximum. Ce cache est stocké sans aucun lien avec un compte — aucun identifiant utilisateur, rien qui rattache une recherche à vous — et il sert uniquement à répondre à une recherche déjà effectuée sans contacter à nouveau GIPHY. 2. Lorsqu'un GIF est affiché dans une discussion ou un message privé — que vous l'ayez envoyé ou non — votre appareil charge l'image directement depuis les serveurs de GIPHY. Comme pour toute application qui affiche une image hébergée par un tiers, cela communique votre adresse IP et l'adresse du GIF à GIPHY, et cela vaut pour toute personne qui voit le GIF, et pas seulement pour l'expéditeur.

Un GIF que vous publiez devient un message de discussion (section 3.5) ou un message privé (section 3.5 bis) ; nous ne conservons que son adresse web GIPHY et ses dimensions — jamais l'image elle-même.

• Base légale : intérêt légitime (article 6(1)(f)) — offrir une manière familière et expressive de réagir dans une conversation. Mise en balance avec votre vie privée : vos recherches sont relayées par nous, de sorte que votre identité et votre IP restent chez nous ; la seule divulgation inévitable est l'adresse IP que tout appareil révèle en chargeant une image depuis le web. GIPHY agit comme responsable de traitement indépendant au titre de sa propre politique de confidentialité (section 5), exactement comme les fournisseurs de cartes. Vous pouvez vous opposer à ce traitement (section 9). Vous pouvez aussi simplement ne pas utiliser le sélecteur de GIF — mais, comme pour toute image dans une conversation, un GIF publié par quelqu'un d'autre sera tout de même chargé depuis GIPHY lorsque vous consultez cette discussion.

3.6 Prestataires épinglés et interactions avec les prestataires

• Données : les prestataires que vous épinglez à un événement, et un journal de vos appuis sur les fiches de prestataires (quel prestataire, depuis quel écran, et quand). Ces données sont stockées dans vendor_interactions.
• Finalité : faire fonctionner la découverte de prestataires locaux et suggérer des prestataires pertinents pour vos événements. Nous utilisons aussi des comptages agrégés et non identifiants pour comprendre quels prestataires sont utiles.
• Base légale : intérêt légitime (article 6(1)(f)) — améliorer les suggestions de prestataires et mesurer la fonctionnalité. Notre intérêt est mis en balance avec votre vie privée : le journal n'enregistre que votre identifiant utilisateur, un identifiant de prestataire, un identifiant d'événement facultatif et un nom d'écran ; il n'enregistre jamais le contenu des messages et il n'est pas consultable dans l'application. Ces enregistrements restent liés à votre compte pendant au plus 90 jours ; passé ce délai, ils sont anonymisés de manière irréversible (voir section 7). Vous pouvez vous opposer à ce traitement à tout moment (section 9).

3.7 Langue de l'appareil

• Données : le réglage de langue/région de votre appareil.
• Finalité : afficher l'application dans la bonne langue. (Les prestataires locaux sont sélectionnés selon la ville du groupe — section 3.3 — et non selon le réglage de votre appareil.)
• Base légale : intérêt légitime (article 6(1)(f)) — offrir une expérience localisée.

3.8 Notifications push

• Données : un jeton push d'appareil délivré par le service de notifications d'Expo pour votre appareil et — à chaque notification que nous vous envoyons — la notification elle-même : le nom du groupe ou de la personne concernée et le type de contenu (par exemple « Léa a envoyé une photo », « 3 nouveaux messages », ou l'annulation d'un événement avec le titre de celui-ci) et, pour un message texte dans un groupe ou en message privé, les 140 premiers caractères de ce message (par exemple « Léa : on se voit à 20 h ? » ou « Léa vous a mentionné : … ») — sauf si vous désactivez les aperçus de messages dans Réglages → Notifications (« Afficher le texte des messages »), auquel cas la notification indique seulement qui a écrit, jamais quoi ; une légende, un nom de fichier ou le contenu d'une photo, d'une vidéo, d'un message vocal ou d'un fichier n'est jamais inclus, dans un cas comme dans l'autre — ainsi que le nombre de vos conversations comportant des messages non lus, un simple nombre entier servant uniquement à afficher la pastille (badge) sur l'icône de l'application.
• Finalité : vous envoyer des notifications concernant vos groupes, vos événements et vos messages privés, si vous activez les notifications.
• Comment elle est acheminée : notre serveur envoie chaque notification au service push d'Expo (Expo, Inc., États-Unis — sections 5 et 6), qui la transmet au service de notifications d'Apple ou de Google pour votre appareil. Expo, ainsi qu'Apple ou Google, traitent donc le jeton push, le texte de la notification et le numéro de badge. Le nombre de conversations non lues est calculé sur notre serveur à partir de votre propre statut de lecture et n'est montré à personne d'autre que vous.
• Base légale : consentement (article 6(1)(a)). Les notifications push sont optionnelles (opt-in). Vous les activez vous-même et pouvez les désactiver à tout moment dans les réglages de votre appareil ou dans l'application. Les notifications ne sont jamais une condition d'utilisation de Okani. Les aperçus de messages (ci-dessus) sont affichés par défaut une fois les notifications activées ; l'interrupteur « Afficher le texte des messages » les désactive à tout moment sans désactiver les notifications.

3.9 Export vers le calendrier de l'appareil (ajouté avant le lancement public)

• Données : lorsque vous choisissez d'ajouter un événement au calendrier de votre appareil, Okani écrit cet événement dans votre calendrier grâce à l'autorisation calendrier que vous accordez.
• Finalité : vous permettre d'enregistrer un événement dans votre propre calendrier.
• Base légale : consentement (article 6(1)(a)) — c'est vous qui déclenchez l'export et accordez l'autorisation calendrier du système. Okani ne lit pas vos entrées de calendrier existantes ; il écrit uniquement l'événement que vous avez demandé d'ajouter.

3.10 Données de sécurité et de prévention des abus

• Données :
• Un journal d'audit de sécurité pseudonyme (audit_log) enregistrant les actions sensibles — suppression de compte, export de données, attribution de droits d'administrateur, retraits de membres, rotations d'invitations — sous forme d'identifiants utilisateur, d'un nom d'action, d'un identifiant de groupe et d'un horodatage. Il ne contient aucun contenu de message et aucune adresse e-mail.
• Journaux de limitation de débit pseudonymes enregistrant uniquement un identifiant utilisateur et un horodatage lorsque vous publiez un message, envoyez un message privé, utilisez une invitation, demandez l'accès à un événement partagé, ou téléversez une photo, une vidéo, un message vocal ou un fichier — utilisés pour appliquer les limites anti-abus. Pour les téléversements, le journal enregistre en outre la taille du fichier en octets (rien de son contenu ni de son nom), afin de pouvoir faire respecter l'allocation quotidienne de téléversement de chaque compte — un nombre maximal de fichiers et une taille totale maximale par tranche de 24 heures (section 12). Ces journaux ne contiennent aucun contenu de message et (contrairement aux messages, publications ou fichiers eux-mêmes) subsistent après la suppression de ce contenu afin que les limites ne puissent pas être contournées ; les journaux de messages, de messages privés et de téléversements sont conservés 7 jours (section 7). Lorsqu'une personne répond à un événement depuis sa page de partage (section 3.3) — où il n'existe pas de compte — le journal équivalent enregistre, à la place d'un identifiant utilisateur, un code à sens unique dérivé de l'adresse IP de l'expéditeur, ainsi qu'un horodatage ; ces entrées sont conservées au plus 2 jours.
• Vérification anti-robots à l'inscription, à la connexion, à la réinitialisation du mot de passe et sur le formulaire de réponse de la page de partage d'événement, via Cloudflare Turnstile (voir section 5).
• Adresse IP et user-agent du navigateur/de l'appareil, vus de manière transitoire par nos prestataires d'infrastructure lorsque votre application communique avec nos serveurs.
• Finalité : sécuriser les comptes, prévenir la fraude et les abus, et satisfaire à nos obligations de sécurité.
• Base légale : intérêt légitime (article 6(1)(f)) et obligation légale (article 6(1)(c)) pour la tenue des registres de sécurité.

Signaler un contenu pour abus. Vous pouvez signaler un contenu qui n'est pas un message privé — un message dans une discussion de groupe, une photo, une vidéo ou un fichier partagé dans un groupe, une photo ajoutée à un événement, ou le profil d'une personne — en maintenant le doigt sur le message, en ouvrant la photo ou la vidéo dans la visionneuse, ou depuis l'écran de profil de la personne, puis en choisissant de le signaler. Il s'agit du même type d'enregistrement qu'un signalement de message privé (section 3.5 bis), conservé séparément (content_reports).

• Données : le fait que vous avez déposé le signalement, le type d'élément signalé et lequel, un motif facultatif que vous saisissez (texte libre, jusqu'à 500 caractères), la date et l'heure, ainsi qu'un instantané du contenu signalé, réalisé par notre serveur au moment où vous le signalez — pour un message, son texte ; pour une photo ou un fichier, un pointeur vers le fichier stocké accompagné de sa légende et de son nom de fichier ; pour un profil, le nom affiché, le texte « à propos » et l'avatar. Cet instantané est écrit par notre serveur et non par votre application : il ne peut donc pas être falsifié, et la personne signalée ne peut pas le détruire en supprimant le contenu par la suite. Signaler un contenu ne le retire pas : le contenu reste en place tant que nous, ou les administrateurs d'un groupe, ne l'avons pas retiré. Lorsqu'un signalement porte sur une photo ou un fichier stocké, nous soustrayons ce fichier à la suppression tant que le signalement est ouvert, afin de pouvoir l'examiner s'il est retiré de l'application entre-temps. Une exception : si la personne que vous avez signalée supprime son compte, ses fichiers sont effacés avec celui-ci — son droit à l'effacement prime — et seule la description de l'élément signalé conservée dans le signalement subsiste.
• Qui peut le voir : nous seuls, pour examiner le signalement. L'application ne donne à personne le moyen de relire les signalements — pas même à la personne qui les a déposés. La personne signalée n'est pas informée de l'identité de l'auteur du signalement. Le dépôt d'un signalement ajoute également une ligne au journal d'audit de sécurité décrit ci-dessus, indiquant qu'un signalement a été déposé, et nous recevons toutes les heures un décompte des nouveaux signalements (un nombre uniquement — aucun contenu, aucune identité).
• Limites : vous pouvez déposer au maximum 5 signalements par heure, vous ne pouvez signaler qu'un élément que vous pouvez actuellement voir, et vous ne pouvez pas signaler votre propre contenu.
• Votre export de données : les signalements que vous avez déposés figurent dans votre export (ce que vous avez signalé, le motif et la date — pas l'instantané, qui constitue une donnée de l'autre personne). Les signalements vous concernant n'y figurent pas, afin que la personne qui vous a signalé ne puisse pas être identifiée.
• Finalité : vous permettre de signaler un contenu qui enfreint nos règles, et nous permettre de l'examiner et d'y donner suite (Conditions d'utilisation, section 7).
• Base légale : intérêt légitime (article 6(1)(f)) — protéger les utilisateurs contre les abus et préserver la sécurité du service. Il s'agit de la même finalité et de la même base légale que pour les signalements de messages privés (section 3.5 bis), appliquées au reste des contenus de l'application. Mise en balance avec votre vie privée : l'instantané se limite à l'élément signalé, il n'est jamais consultable dans l'application, et il est supprimé selon le calendrier de la section 7. Vous pouvez vous y opposer (section 9) ; le cas échéant, nous cesserons le traitement, sauf motifs impérieux de sécurité justifiant la conservation d'un signalement.

3.11 Rapports de plantage

• Données : rapports d'erreur techniques lorsque l'application plante.
• Finalité : trouver et corriger les bogues.
• Base légale : intérêt légitime (article 6(1)(f)).
• Nous utilisons Sentry à cette fin. Avant qu'un rapport de plantage ne quitte votre appareil, Okani supprime les données personnelles : les adresses e-mail, les jetons d'authentification et les codes d'invitation sont retirés, et votre identité est réduite à un identifiant utilisateur pseudonyme. Nous n'envoyons pas de données personnelles par défaut à Sentry.

3.12 Vérification des mises à jour de l'application (mises à jour « over-the-air »)

• Données : à chaque ouverture d'Okani, l'application contacte le service de mises à jour d'Expo (u.expo.dev, exploité par Expo, Inc., États-Unis) pour vérifier si une version plus récente du code de l'application est disponible et, le cas échéant, la télécharger. Cette requête transporte l'adresse IP de votre appareil, la plateforme et la version du système d'exploitation, la version et le canal de mise à jour de l'application, ainsi qu'un identifiant d'installation aléatoire que l'application génère au premier lancement et conserve sur votre appareil. Cet identifiant n'est pas rattaché à votre compte, et la requête ne contient rien vous concernant ni concernant vos contenus.
• Finalité : vous apporter les corrections de bogues et de sécurité dans l'application que vous avez déjà installée, sans attendre une publication sur un magasin d'applications.
• Base légale : intérêt légitime (article 6(1)(f)) — garder l'application correcte et sûre. Il s'agit du même type de requête que celle que votre téléphone adresse à un magasin d'applications ; l'application n'offre aucun réglage pour la désactiver ; la seule façon de l'éviter est de ne pas utiliser l'application. Expo agit à cet égard comme notre sous-traitant (section 5) ; la requête parvient aux États-Unis (section 6).

4. Ce que nous ne faisons PAS

• Nous ne vendons pas vos données personnelles.
• Nous n'utilisons pas vos données pour de la publicité de tiers.
• Nous n'utilisons pas de traceurs publicitaires comportementaux.
• Nous ne prenons pas de décisions automatisées produisant des effets juridiques ou similaires significatifs à votre égard.

5. Sous-traitants et tiers

Nous faisons appel à un petit nombre de prestataires (« sous-traitants ») qui traitent les données uniquement sur nos instructions, dans le cadre d'un accord de traitement des données (DPA) comme l'exige l'article 28 du RGPD.

Trois ensembles de prestataires de ce tableau ne sont pas nos sous-traitants — ils agissent selon leurs propres conditions et politiques de confidentialité : Apple Plans / Google Maps pour les requêtes de cartes (section 3.3), GIPHY pour les GIF qu'il fournit (section 3.5 ter), et les services de notification d'Apple et de Google, qui délivrent les notifications push en tant que services de plateforme de votre téléphone (section 3.8). Pour une recherche de GIF, votre appareil communique avec nous et nous ne transmettons que votre mot-clé à GIPHY ; lorsqu'un GIF est affiché, votre appareil le récupère directement auprès de GIPHY. Dans chaque cas, cela relève des conditions propres au prestataire, et non de nos instructions, exactement comme lorsqu'une autre application affiche une carte ou une image intégrée.

Nous tiendrons cette liste à jour. Un DPA signé est en place, ou en cours de mise en place, avec chaque sous-traitant avant qu'il ne traite des données de production.

6. Transferts internationaux de données

Nos données principales sont stockées à Francfort, en Allemagne, au sein de l'UE. En fonctionnement normal, vos données personnelles ne quittent pas l'UE/EEE, en dehors des cas limités décrits ci-dessous.

Une exception, par transparence : Cloudflare Turnstile fonctionne sur un réseau mondial, de sorte que la vérification anti-robots à l'inscription, à la connexion, à la réinitialisation du mot de passe ou lors d'une réponse depuis une page de partage d'événement peut être traitée sur un serveur situé hors de l'UE. Cela ne concerne qu'un jeton de vérification de courte durée et votre adresse IP à cet instant — pas le contenu de votre compte. Lorsqu'un tel transfert a lieu, il est encadré par les clauses contractuelles types (CCT) de la Commission européenne. Si nous identifions un autre transfert hors EEE, nous nous appuierons sur une décision d'adéquation ou sur les CCT et mettrons cette politique à jour.

Une seconde exception concerne notre hébergeur web, Vercel (section 5), qui sert les pages ouvertes à partir des liens de partage d'événement. Le calcul qui produit ces pages est restreint à la région de Francfort (UE) — la même région que celle où nos données sont stockées — et les pages sont servies en réponses non mises en cache : elles ne sont donc pas stockées sur le réseau mondial de diffusion de Vercel, qui ne délivre que des ressources statiques ne contenant aucune donnée personnelle. Vercel peut traiter des métadonnées opérationnelles — journaux de requêtes, y compris les adresses IP — dans le cadre de l'exploitation de son service, y compris aux États-Unis. Pour ces métadonnées, Vercel est certifié au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) ; pour les données qu'il traite sur nos instructions, son accord de traitement des données incorpore les CCT.

La même transparence s'applique aux cartes (section 3.3) : les recherches et les images de cartes pour les lieux d'événements sont des requêtes que votre appareil adresse directement à Apple Plans ou Google Maps, dont les réseaux sont mondiaux. Une telle requête contient le texte du lieu ou les coordonnées de l'événement ainsi que votre adresse IP à cet instant — jamais le contenu de votre compte. Ces requêtes relèvent des conditions propres au prestataire de cartographie, comme pour toute application affichant une carte.

Une troisième exception concerne Expo (sections 3.8, 3.12 et 5), établi aux États-Unis. Les notifications push et la vérification des mises à jour de l'application y sont traitées : dans chaque cas, cela concerne votre jeton push ou votre adresse IP et le texte de la notification (y compris, si vous n'avez pas désactivé les aperçus, les 140 premiers caractères d'un message texte — section 3.8) ou les métadonnées de mise à jour décrites dans ces sections — jamais aucun autre contenu de votre compte. Ce transfert est réalisé dans le cadre des conditions de traitement des données d'Expo, qui intègrent les clauses contractuelles types de la Commission européenne. Les services de notification d'Apple et de Google délivrent ensuite la notification selon leurs propres conditions, comme pour toute application installée sur votre téléphone.

La même transparence s'applique au sélecteur de GIF (section 3.5 ter), fourni par GIPHY aux États-Unis. Vos mots-clés de recherche parviennent à GIPHY via notre serveur, donc sans votre adresse IP ni votre identité ; et lorsqu'un GIF est affiché, votre appareil récupère l'image directement auprès de GIPHY, ce qui divulgue votre adresse IP à cet instant — jamais le contenu de votre compte. Ces requêtes relèvent des conditions propres à GIPHY, comme pour toute application affichant une image d'un tiers.

7. Combien de temps nous conservons vos données (durées de conservation)

À propos du journal d'audit de sécurité : ces enregistrements survivent volontairement à la suppression du compte, car leur finalité est de conserver un historique inviolable des actions de sécurité sensibles (par exemple, « un administrateur a retiré un membre »). Après la suppression de votre compte, les identifiants utilisateur de ce journal sont pseudonymes — ils ne renvoient plus à une personne nommée, puisque le profil et le compte auxquels ils se rapportaient ont disparu. Base légale de leur conservation : intérêt légitime et obligation de responsabilité en matière de sécurité (article 6(1)(f) et article 6(1)(c)).

8. Supprimer votre compte et vos données (droit à l'effacement)

Vous pouvez supprimer votre compte depuis l'application à tout moment. Dans ce cas :

• Votre profil, vos appartenances aux groupes, vos RSVP, vos messages de discussion, vos réactions emoji, vos prestataires épinglés et les signalements d'abus que vous avez déposés au sujet du contenu d'autres personnes (section 3.10) sont supprimés. Un événement que vous avez créé demeure pour les membres des groupes avec lesquels il était partagé, afin de ne pas effacer leurs plans — mais tout lien avec vous est retiré (votre nom n'y apparaît plus) et son lien de partage est désactivé (section 10.1). (La copie d'un de vos messages qu'un autre membre a transférée vers un autre groupe est le message de ce membre et n'est pas supprimée avec votre compte — section 3.5.)
• Vos interactions avec les prestataires encore liées à vous (datant de moins de 90 jours) sont supprimées avec votre compte. Les enregistrements plus anciens ont déjà été anonymisés de manière irréversible — le lien avec vous et avec tout événement supprimé, l'horodatage réduit à la semaine — et ne peuvent plus être rattachés à vous ; ils ne sont donc pas affectés (section 7).
• Vos photos, vidéos, messages vocaux et fichiers téléversés sont supprimés du stockage — de tous les groupes où ils ont été partagés et de tous les événements auxquels vous les avez ajoutés. Une photo de groupe que vous avez définie en tant qu'administrateur appartient au groupe et n'est pas supprimée avec votre compte — demandez à un autre administrateur de la remplacer au préalable si vous souhaitez qu'elle disparaisse (section 3.2). Nous ne conservons ni n'anonymisons vos médias ; ils sont supprimés. Une limite que nous ne pouvons pas lever pour vous : les copies d'une photo, d'une vidéo ou d'un fichier que d'autres personnes ont enregistrées sur leurs propres appareils avant la suppression se trouvent en dehors de nos systèmes et ne peuvent pas être récupérées (section 3.4).
• Vos messages privés, vos réactions et vos liens de réponse qui s'y trouvent, votre statut de lecture, vos blocages, les signalements que vous avez déposés et votre journal d'envoi de messages sont supprimés. L'ensemble de la conversation — les messages dans les deux sens, avec leurs réactions et leurs liens de réponse — est également retiré de la copie détenue par l'autre personne (section 7).
• Votre compte (identifiants de connexion) est supprimé.
• Après la suppression, seuls les enregistrements énumérés ici peuvent subsister (la même liste figure sur notre page de suppression de compte, okani.io/delete-account), et nous ne conservons chacun que pour la raison indiquée :
• les événements que vous avez créés, dissociés de vous comme décrit ci-dessus ;
• une photo de groupe que vous avez définie en tant qu'administrateur, qui appartient au groupe (section 3.2) ;
• les copies que d'autres personnes détiennent déjà — une photo, une vidéo ou un fichier qu'une autre personne a enregistré sur son appareil, ou un message qu'un autre membre a transféré (sections 3.4, 3.5 et 3.5 bis) ;
• le journal d'audit de sécurité pseudonyme décrit à la section 7, dont les identifiants utilisateur ne renvoient plus à une personne nommée ; et
• si un autre utilisateur a signalé quelque chose vous appartenant pour abus avant que vous ne supprimiez votre compte — un message privé, un message de discussion, une photo ou un fichier, ou votre profil — un extrait limité de l'élément signalé et le motif du signalement (sections 3.5 bis et 3.10). Nous retirons immédiatement le lien vers votre profil et supprimons cet extrait au plus tard 12 mois après la clôture du signalement (section 7).

La suppression est immédiate dans la base de données. Les éventuelles sauvegardes de la base de données détenues par notre hébergeur de base de données sont conservées pendant 7 jours au maximum. Toute copie de sauvegarde de données supprimées est donc effacée au plus tard sous 7 jours. Ces sauvegardes couvrent uniquement la base de données — les photos et fichiers multimédias téléversés n'y sont pas inclus.

9. Vos droits

En vertu du RGPD, vous avez le droit :

• d'accès — obtenir une copie des données personnelles que nous détenons à votre sujet ;
• à la portabilité — recevoir vos données dans un format structuré et lisible par machine ;
• de rectification — corriger des données inexactes (par exemple, modifier votre nom affiché dans l'application) ;
• à l'effacement — supprimer votre compte et vos données (section 8) ;
• à la limitation — nous demander de suspendre un traitement dans certains cas ;
• d'opposition — vous opposer aux traitements fondés sur l'intérêt légitime, y compris le journal d'interactions avec les prestataires (section 3.6), les données de sécurité des messages privés — blocages et signalements d'abus (section 3.5 bis), les signalements déposés au sujet des autres contenus (section 3.10), l'adaptation à votre langue et région (section 3.7), les requêtes techniques de cartes pour les lieux d'événements (section 3.3), le sélecteur de GIF (section 3.5 ter), la divulgation par lien de partage d'événement (section 10.1), et la vérification des mises à jour de l'application (section 3.12 — nous examinerons chaque opposition ; comme cette vérification est ce qui vous apporte les correctifs de sécurité, nous nous attendons à disposer, dans la plupart des cas, de motifs impérieux légitimes pour la poursuivre, auquel cas la seule alternative est de ne plus utiliser l'application) ;
• de retirer votre consentement — pour tout ce qui repose sur le consentement (avatar, notifications push, export calendrier), à tout moment, sans effet sur les traitements passés.

Comment exercer ces droits dans l'application :

• Export / accès / portabilité : utilisez la fonction « Exporter mes données » de l'application. Elle restitue tout ce que nous détenons à votre sujet — compte, profil, groupes, événements, RSVP, messages de discussion, réactions emoji, les messages dans lesquels d'autres vous ont mentionné, messages privés, enregistrements de médias, prestataires épinglés et interactions, ainsi que vos propres entrées du journal de sécurité — dans un document JSON unique et lisible par machine. (Cette fonction est limitée à un export par minute pour protéger le service.)
• Effacement : utilisez la fonction « Supprimer mon compte » de l'application (section 8).
• Rectification : modifiez votre profil dans l'application.

Pour tout droit que vous ne pouvez pas exercer directement dans l'application, écrivez à privacy@okani.io. Nous répondrons dans un délai d'un mois, comme l'exige l'article 12(3).

10. Le contenu que vous partagez avec vos groupes

Okani est construit autour de groupes privés. Les photos, fichiers, messages, réactions emoji, événements, RSVP et la photo d'un groupe sont visibles par les membres des groupes avec lesquels ils ont été partagés — sous réserve des exceptions décrites aux sections 3.5 (transfert d'un message entre les groupes d'un même membre) et 10.1 (liens de partage d'événement, qui permettent de montrer les détails d'un événement à des personnes extérieures au groupe lorsque vous choisissez de partager un lien). Les photos que vous ajoutez directement à un événement sont également visibles par tout invité que l'organisateur a accepté pour cet événement (section 3.4). Ne partagez que du contenu que vous êtes à l'aise de partager avec ces membres.

Vous restez propriétaire du contenu que vous créez. Vous accordez à Okani une licence limitée pour le stocker et l'afficher uniquement afin de faire fonctionner le service — ceci est précisé dans les Conditions d'utilisation. Nous n'utilisons pas vos photos ou messages de groupe à d'autres fins.

10.1 Partager un événement par lien (en dehors de vos groupes)

La majeure partie du contenu dans Okani reste au sein de vos groupes privés. Une seule fonction peut montrer quelque chose à des personnes extérieures à Okani : les liens de partage d'événement, qui peuvent montrer des informations sur un événement — jamais de photos, de fichiers ni d'autre contenu du groupe. Par ailleurs, un membre peut transférer un message texte ou un GIF de l'un de ses groupes vers un autre groupe dont il est lui-même membre (section 3.5) : la copie n'est visible que par les membres de cet autre groupe, dans l'application. Un transfert ne rend jamais rien public et ne montre jamais rien à une personne sans compte Okani. (Les copies enregistrées relèvent d'un cas distinct : aucune fonction d'Okani ne montre les photos ou les fichiers au-delà de l'audience avec laquelle vous les avez partagés (section 3.4), mais toute personne qui peut les voir peut en enregistrer sa propre copie hors de l'application.)

Si vous avez créé un événement, vous pouvez générer un lien privé pour celui-ci. Vous transmettez ce lien à qui vous voulez. Lorsqu'une personne ouvre le lien, elle voit une simple page web affichant seulement trois informations sur l'événement :

• son titre,
• sa date et son heure (pour un événement récurrent, sa prochaine occurrence),
• son lieu.

Elle ne voit rien d'autre — ni votre nom, ni la description, ni qui est invité, ni qui a répondu, ni le groupe. Depuis cette page, elle peut vous envoyer une réponse d'invité — un prénom et une réponse, décrites à la section 3.3 — ou télécharger Okani pour participer pleinement. La personne qui ouvre le lien n'a pas besoin de compte, et nous n'en créons pas pour elle.

Après l'événement. Une fois l'événement terminé, sa page de partage affiche une chose de plus : le nombre de photos ajoutées à l'événement dans l'application — un nombre uniquement, jamais les photos elles-mêmes, ni qui les a ajoutées. Le compte ne reflète que les photos ajoutées jusqu'à 7 jours après la fin de l'événement ; les photos ajoutées plus tard ne sont jamais montrées aux détenteurs du lien. Si une photo est supprimée, le compte diminue en conséquence. Si aucune photo n'a été ajoutée, la page indique simplement que l'événement est terminé.

Veuillez traiter un lien de partage comme une invitation papier. Toute personne détenant le lien peut consulter ces champs (et, après l'événement, le nombre de photos) et peut transmettre le lien à d'autres. Le lien contient un code long et impossible à deviner, il ne peut donc pas être trouvé par hasard — mais il n'est pas protégé par mot de passe, à dessein, afin que vous puissiez le transférer aussi facilement qu'une invitation d'agenda. Ne partagez que des liens vers des événements que vous êtes en droit de partager.

Un titre ou un lieu peut lui-même constituer une donnée personnelle. Par exemple, un titre peut contenir le nom d'une personne, et un lieu peut être une adresse personnelle. Les liens de partage réduisent la divulgation au strict minimum — trois champs et, après l'événement, un nombre de photos, aucune identité — mais pour cette raison, vous devez rester attentif à ce que vous inscrivez dans le titre et le lieu d'un événement avant d'en partager le lien, et ne partager que lorsque vous avez le droit de divulguer ces informations.

Désactiver un lien. Vous contrôlez le lien. Il cesse également de fonctionner automatiquement si vous supprimez votre compte Okani : lorsque vous supprimez votre compte, tous les liens de partage des événements que vous avez créés sont désactivés, de sorte que la page web n'affiche plus rien. La désactivation d'un lien externe ne supprime pas l'événement pour les membres du groupe qui continuent de l'utiliser dans l'application (voir la section 7).

La page de partage elle-même. La page web qui s'ouvre à partir d'un lien est une page simple. Elle ne dépose aucun cookie publicitaire ou de suivi. Pour vous montrer l'événement, elle utilise uniquement le code du lien, ainsi que votre adresse IP vue de manière transitoire par notre infrastructure pour servir la page (section 3.10). Si vous utilisez le formulaire de réponse, la vérification anti-robots Cloudflare Turnstile (section 5) s'exécute sur ce formulaire, et les données de réponse décrites à la section 3.3 sont conservées. Nous ne constituons aucun profil des personnes qui ouvrent des liens de partage.

11. Prestataires

Okani affiche des fiches de prestataires locaux (lieux, traiteurs, etc.). Les fiches de prestataires sont des informations professionnelles, pas vos données personnelles. Lorsque vous appuyez sur une fiche de prestataire, nous enregistrons cette interaction comme décrit à la section 3.6. Nous pouvons partager avec les prestataires des données d'intérêt agrégées et non identifiantes (par exemple, combien de personnes ont consulté une fiche). Nous ne communiquons pas votre identité aux prestataires.

12. Sécurité des données

• Les données sont hébergées dans l'UE (Francfort), avec un accès contrôlé par une sécurité au niveau des lignes (row-level security), de sorte que les membres ne voient que les données de leurs propres groupes.
• L'ensemble des médias téléversés (photos, vidéos, messages vocaux et documents) est stocké dans un espace privé et servi via des liens signés de courte durée.
• Nous n'ouvrons, n'analysons ni ne vérifions les documents que vous joignez. Lorsque vous en ouvrez un, Okani le transmet au système d'exploitation de votre téléphone, qui applique ses propres protections.
• Les jetons d'authentification sont stockés dans le magasin de clés sécurisé de l'appareil.
• L'inscription, la connexion et la réinitialisation du mot de passe sont protégées par une vérification anti-robots.
• Chaque compte dispose d'une allocation quotidienne de téléversement — un nombre maximal de fichiers et une taille totale maximale par tranche de 24 heures — appliquée sur nos serveurs pour limiter les abus (section 3.10). L'application vous prévient si vous l'atteignez.

Aucun système n'est parfaitement sûr, mais nous concevons le service de manière à limiter ce qu'une défaillance isolée peut exposer.

13. Violations de données

Si une violation de données personnelles susceptible de créer un risque pour vos droits se produit, nous notifierons l'autorité de contrôle compétente dans les 72 heures suivant sa découverte, et nous informerons les utilisateurs concernés lorsque la loi l'exige.

14. Réclamations

Si vous estimez que nous avons mal traité vos données, contactez-nous d'abord à privacy@okani.io. Vous avez également le droit de déposer une réclamation auprès d'une autorité de contrôle :

• France : Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.
• Allemagne : le Commissaire fédéral à la protection des données (BfDI) ou l'autorité de protection des données de votre Land (pour Berlin : Berliner Beauftragte für Datenschutz und Informationsfreiheit).

Vous pouvez saisir l'autorité de votre pays de résidence.

15. Modifications de cette politique

Nous pouvons mettre à jour cette politique. En cas de modification substantielle, nous vous en informerons dans l'application ou par e-mail avant son entrée en vigueur. La « date d'entrée en vigueur » en haut du document indique la version en cours. Continuer à utiliser Okani après une modification signifie que la politique mise à jour s'applique à vous ; lorsqu'une modification requiert votre consentement, nous vous le demanderons.

Résumé des dernières modifications. Cette version (a) nomme la note d'arrivée facultative des réponses (RSVP) ainsi que la photo de couverture d'un événement, et précise exactement ce qu'un invité accepté peut voir d'un événement et ce que les participants de l'événement voient de cet invité (section 3.3) ; (b) nomme les légendes des photos ajoutées à un événement et la durée pendant laquelle ces photos sont conservées (sections 3.4 et 7) ; (c) nomme les photos de groupe et explique qu'elles appartiennent au groupe (sections 3.2, 7 et 8) ; (d) décrit ce que contient une notification push, y compris le numéro de badge correspondant au nombre de conversations non lues, et par quel chemin elle est acheminée (sections 3.8, 5 et 6) ; (e) ajoute la vérification des mises à jour de l'application (« over-the-air ») et le rôle d'Expo dans celle-ci (sections 3.12, 5, 6 et 9) ; (f) fixe à 12 mois après leur clôture la suppression des signalements d'abus (sections 7 et 8) ; (g) nomme le journal des téléversements et l'allocation quotidienne de téléversement (sections 3.10, 7 et 12) ; (h) nomme les légendes des photos partagées dans un groupe et corrige la liste de ce qui subsiste après la suppression de votre compte, notamment le fait qu'un événement que vous avez créé demeure pour son groupe sans aucun lien avec vous (sections 3.4 et 8) ; (i) décrit les réponses citant un message antérieur — dans une discussion de groupe comme dans un message privé — ainsi que les réactions emoji sur les messages privés, en précisant qu'une citation et son lien disparaissent si le message cité est supprimé alors que votre réponse demeure, que seule l'autre personne de la conversation peut voir une réaction sur un message privé, que les liens de réponse et les réactions sont effacés en même temps que la conversation (sections 3.5, 3.5 bis, 7 et 8), et que quelques emoji de gestes de la main peuvent porter une teinte de peau que vous choisissez, traitée comme un choix expressif et jamais comme une information vous concernant (section 3.5) ; (j) étend au reste des contenus de l'application — un message de discussion, une photo ou un fichier partagé dans un groupe, une photo ajoutée à un événement, ou un profil — l'enregistrement de signalement d'abus déjà décrit pour les messages privés, avec la même finalité et la même base légale, et précise ce qu'un signalement conserve et pendant combien de temps (sections 3.10, 7, 8 et 9) ; et (k) décrit la possibilité de mentionner un autre membre d'un groupe dans un message de discussion avec « @ » — ce qui est conservé avec le message, qui voit la mention, la notification « Nom vous a mentionné » qu'elle peut déclencher pour un membre ayant activé les notifications push, le fait qu'une mention vit et disparaît avec le message, et que les messages dans lesquels vous avez été mentionné font partie de votre export de données (sections 3.5, 3.8 et 9) ; (l) ajoute les vidéos aux médias que vous pouvez partager dans un groupe, stockées avec une image d'aperçu, enregistrables et supprimées comme les photos (sections 3.4, 3.7, 8 et 12) ; (m) ajoute les photos, vidéos et GIF aux messages privés, visibles des seules deux personnes de la conversation et enregistrables par l'une comme l'autre, et précise qu'un GIF dans un message privé est chargé depuis GIPHY comme dans un groupe (sections 3.5 bis et 3.5 ter) ; et (n) décrit les aperçus de messages dans les notifications push — les 140 premiers caractères d'un message texte, affichés par défaut une fois les notifications activées, jamais pour les légendes, noms de fichiers ou médias — ainsi que l'interrupteur « Afficher le texte des messages » dans Réglages → Notifications qui les désactive (sections 3.5, 3.8, 5 et 6) ; et (o) ajoute les confirmations de lecture dans les messages privés — les coches qui indiquent à l'expéditeur quand son message est parvenu à votre application et quand vous avez ouvert la conversation — activées par défaut, réciproques, et désactivables dans Réglages → Confidentialité (section 3.5 bis). Aucune de ces modifications n'ajoute de nouvelle finalité ni de nouvelle base légale pour vos données : les points (i), (j), (k), (l), (m) et (o) décrivent de nouvelles fonctionnalités qui reposent sur des bases légales déjà exposées dans la présente politique ; les points (n) et (o) modifient chacun qui voit, ou ce que contient, une information que vous partagez déjà avec nous — une notification que vous avez choisi de recevoir, un statut de lecture qui n'était jusqu'ici visible que de vous — c'est pourquoi nous vous en informons avant leur entrée en vigueur et vous indiquons comment désactiver chacun d'eux ; les autres décrivent plus précisément des fonctionnalités et des garanties existantes.

16. Contact

Pour toute question sur cette politique ou sur vos données : privacy@okani.io.