1. Responsable du traitement

Site édité à titre personnel (pas d'entreprise) — contact droits : [email protected]

Identité postale : [À COMPLÉTER : nom, prénom, adresse — obligatoire pour l'information RGPD]

Source : entreprendre.service-public.gouv.fr/vosdroits/F31228 — identité et coordonnées du responsable, finalité, base légale, caractère obligatoire/facultatif, destinataires, durée, droits, réclamation CNIL.

Délégué à la protection des données (si désigné) : non désigné

Publicité future : si des pubs sont ajoutées, la régie deviendra destinataire/responsable conjoint pour ses traceurs — à documenter alors (contrat, finalités, retrait du consentement aussi simple que l'accord).

2. Données traitées

• Commentaire : pseudo (2–24 car.), texte (2–2000 car.), date, signalements. Stockés en base SQLite, affichés publiquement avec le pseudo.
• Note : 1–5 étoiles, 1 vote par session anonyme, modifiable.
• Proposition d'appli : nom, description, auteur, lien, catégorie, commentaire complémentaire.
• Session anonyme : identifiant aléatoire (cookie nv_s, HMAC serveur), créé automatiquement à l'appel API. Sert à l'anti-abus (1 note/session, quotas commentaires/signalements) et aux statistiques anonymes d'installation.
• Événements techniques : installation/téléchargement (appli, type, session, date), sans nom ni e-mail.
• Quotas sécurité : adresse IP utilisée en mémoire vive pour le rate-limit (fenêtre 1 min / 1 h), non stockée en base, remise à zéro au redémarrage.
• Admin uniquement : mot de passe haché (scrypt, jamais en clair), jetons de session (12 h). Aucun secret côté front.

Pas de compte, pas d'e-mail, pas de newsletter, pas de paiement. Aucune donnée sensible.

3. Finalités et bases légales

• Afficher notes, commentaires, propositions et stats : consentement (publication volontaire) et intérêt légitime (catalogue communautaire gratuit).
• Anti-spam et sécurité (rate-limit, same-origin, validation serveur, signalement) : intérêt légitime (sécurité du service).
• Panier et installation locale WebUSB : exécution du service demandé, 100 % navigateur, aucune donnée transmise sauf compteur anonyme best-effort.

4. Durées de conservation (constatées — à valider)

• Commentaires, notes, propositions : conservés tant que la fiche est en ligne, supprimés ou masqués sur demande ou modération. Point à traiter : ajouter une purge/auto-anonymisation documentée.
• Cookie nv_s : 365 jours (12 mois, < 13 mois CNIL), non reprolongé à chaque visite (posé une fois, DB last_seen max 1 écriture/h). Sessions anonymes sans purge auto actuelle — purge à prévoir.
• Cookie admin nv_a : 12 h, purge des expirés au démarrage.
• Rate-limit : mémoire vive, ≤ 1 h, effacé au redémarrage.

Repère CNIL (04/07/2025, mesure d'audience) : 13 mois traceurs / 25 mois infos. Ici aucune mesure d'audience tierce.

5. Cookies et stockage local — pas de bannière, information seule

Aucun cookie publicitaire, aucun réseau social, aucune mesure d'audience tierce. Uniquement des traceurs strictement nécessaires au service demandé, exemptés de consentement préalable (ePrivacy art. 5(3), loi Informatique et Libertés art. 82, CNIL « Cookies : que dit la loi ? » 29/09/2020) :

• nv_s (HttpOnly, SameSite=Lax, Secure en prod, 1 an) : session anonyme anti-abus. Assimilé auth/sécurité.
• nv_a (HttpOnly, SameSite=Strict, Secure en prod, 12 h, admin seul) : authentification back-office.
• nw-cart-v3 (localStorage) : contenu du panier. Exempté « panier d'achat ».
• nv-pseudo (localStorage) : pré-remplissage du pseudo. Personnalisation attendue.
• nw-open-cart (localStorage, éphémère) : ouverture du panier après « Installer ».

Pas d'acte positif requis, pas de refus à gérer, retrait = suppression cookies/site dans le navigateur (le service reste utilisable sans commenter/noter). Si un outil tiers (analytics, pub, vidéo) est ajouté un jour : consentement préalable, refus aussi simple que l'acceptation, retrait simple — à implémenter alors.

6. Destinataires et transferts

Destinataires actuels : responsable du site (modération, [email protected]) et hébergeur OVH Roubaix (infogérance). Aucune cession, aucune régie, aucun transfert hors UE prévu.

Si pubs : ajouter la/les régies (nom, finalités pub/mesure, lien vers leur politique, moyen de retirer).

7. Sécurité et minimisation

Requêtes SQL paramétrées, validation serveur (tailles, URL http/https, pseudo/texte), POST same-origin, quotas par IP/session, mots de passe scrypt + timingSafeEqual, cookies HttpOnly, en-têtes nosniff + Referrer-Policy: same-origin, HTTPS obligatoire en prod (WebUSB = contexte sécurisé), uploads .nwa/.nes en quarantaine non servis, textes affichés via textContent.

8. Vos droits

Droit d'accès, rectification, effacement, opposition, limitation. Pour un commentaire : écrivez à [email protected] en précisant pseudo + date + texte, ou utilisez le bouton « Signaler ». Réponse sous 1 mois (RGPD). Durées validées : commentaires tant que la fiche est en ligne (suppression sur demande/modération), cookie nv_s 12 mois, admin 12 h.

Réclamation : CNIL — plaintes.

Mineurs : publication sous responsabilité parentale ; ne publiez ni nom réel, ni e-mail, ni info permettant de vous identifier.