Politique de confidentialité

• Aucun cookie de notre part, aucun pistage, aucune pub, aucune mesure d'audience. Seules exceptions possibles, strictement nécessaires : un cookie de sécurité de Cloudflare et, sur le site, la position où tu étais sur la page, gardée dans ton navigateur le temps de ta visite (détails plus bas).
• Les journaux du serveur gardent une trace technique de tes visites (adresse IP, page demandée…) pendant 15 jours au plus, pour la sécurité, puis s'effacent tout seuls.
• Cloudflare, une entreprise américaine, protège le site : tout le trafic passe par ses serveurs, et des données peuvent être traitées hors de l'Union européenne, notamment aux États-Unis, avec les garanties prévues par le RGPD.
• La newsletter : on te prévient du lancement près de chez toi, puis on continue de te donner des nouvelles tant que tu ne te désinscris pas (un simple mail suffit, même juste « STOP »).
• Si tu nous écris (lieu à inscrire, candidature d'ambassadeur, question), on garde ton message le temps d'y donner suite, et 3 ans au maximum après ton dernier contact.
• Le formulaire « Préviens-moi » du site enregistre ton adresse e-mail, ta ville ou ta région et, si tu la coches, la case ambassadeur, sur notre serveur en France, pour te prévenir du lancement puis t'envoyer la newsletter. Ton adresse IP sert seulement à freiner les robots : elle n'est jamais enregistrée avec ton inscription.
• On ne vend jamais tes données, et on ne les loue pas.
• Tu gardes la main : un mail à [email protected] suffit pour consulter, corriger ou effacer tes données, ou t'opposer à leur utilisation.

Le responsable du traitement, c'est-à-dire la personne qui décide de ce qu'on fait de tes données et qui en répond, est Hugo Rostagno Laurens, qui édite SOS Miam en tant que particulier, à titre non professionnel. SOS Miam n'est pas une entreprise : tout y est gratuit et rien n'y est vendu.

Pour toute question sur tes données, écris à [email protected].

Il n'y a pas de délégué à la protection des données (DPO) : la loi ne l'impose pas pour une activité comme celle-ci. C'est l'éditeur lui-même qui te répond.

Les coordonnées de l'hébergeur et les autres informations sur l'éditeur sont dans les mentions légales.

Comme presque tous les sites, notre serveur note chaque page qu'il envoie dans un journal (les « logs »). C'est automatique dès que tu ouvres une page.

• Ce qui est enregistré : ton adresse IP (transmise par Cloudflare, voir plus bas), la date et l'heure, la page demandée, le code de réponse du serveur, l'adresse de la page d'où tu arrives (le « referer ») et la signature de ton navigateur (le « user-agent » : type de navigateur, système, version). En cas d'erreur, un journal d'erreurs garde aussi ton adresse IP et la page demandée, pour la même durée.
• Pourquoi : repérer et bloquer les attaques ou les abus, et comprendre une panne quand quelque chose casse. Ces journaux ne servent ni à te suivre, ni à faire des statistiques de visite.
• Base légale : l'intérêt légitime (article 6.1.f du RGPD). L'intérêt poursuivi : assurer la sécurité et le bon fonctionnement du site.
• Où et qui : sur notre serveur, loué à FEELB SARL et situé en France. FEELB SARL agit comme sous-traitant : il héberge le serveur pour notre compte, et seul l'éditeur consulte ces journaux.
• Combien de temps : 15 jours au plus. Un nouveau journal démarre chaque jour ; on garde les 14 précédents, et le plus ancien est effacé automatiquement.
• Obligatoire ? Tu n'as rien à fournir : ces informations sont envoyées par ton navigateur dès qu'il demande une page.

Tout le trafic de sosmiam.fr passe par Cloudflare, Inc., une entreprise américaine (101 Townsend Street, San Francisco, CA 94107, États-Unis). Il diffuse le site et le protège : concrètement, il se place entre ton navigateur et notre serveur pour livrer les pages rapidement et arrêter les attaques avant qu'elles n'arrivent jusqu'à nous. Pour faire ce travail, il déchiffre au passage ce qui circule, puis le chiffre à nouveau jusqu'à notre serveur.

• Ce qui est traité : ton adresse IP et les données de chaque requête (page demandée, date et heure, informations envoyées par ton navigateur, et ce que tu envoies, par exemple dans un formulaire).
• Pourquoi : afficher le site rapidement et le protéger, notamment contre les attaques par déni de service et les robots malveillants.
• Base légale : l'intérêt légitime (article 6.1.f du RGPD). L'intérêt poursuivi : garder le site disponible, rapide et sûr pour tout le monde.
• Qui : Cloudflare, Inc. agit comme sous-traitant : il traite ces données pour notre compte, dans le cadre de son contrat de traitement des données, sauf pour l'usage décrit juste en dessous.
• Pour son propre compte : d'après sa politique de confidentialité, Cloudflare tire aussi du trafic qu'il achemine des analyses et des statistiques qui l'aident à repérer et bloquer les activités malveillantes sur son réseau. Pour cet usage, il agit comme responsable distinct, et c'est sa propre politique qui s'applique.
• Hors de l'Union européenne : Cloudflare a des serveurs dans le monde entier, et des données peuvent être traitées hors de l'Union européenne, notamment aux États-Unis. Vers les États-Unis, le transfert est encadré par le Data Privacy Framework UE–États-Unis, reconnu par une décision d'adéquation de la Commission européenne du 10 juillet 2023 et auquel Cloudflare a adhéré (certification vérifiable sur dataprivacyframework.gov). Vers les autres pays, ce sont les clauses contractuelles types de la Commission européenne, prévues dans son contrat de traitement des données. Tu peux aussi obtenir une copie de ces clauses en nous écrivant à [email protected].
• Combien de temps : pour notre compte, Cloudflare garde ces données le temps nécessaire pour livrer les pages et protéger le site, et au plus jusqu'à la fin de notre contrat avec lui ; son contrat de traitement des données l'oblige ensuite à les effacer ou à nous les rendre. Pour l'usage qu'il fait pour son propre compte, ce sont les durées prévues par sa politique de confidentialité.
• Obligatoire ? C'est automatique : c'est le chemin par lequel le site arrive jusqu'à toi.

Et les cookies ? Dans certains cas, Cloudflare peut déposer un cookie de sécurité strictement nécessaire, comme « __cf_bm », qui aide à distinguer les humains des robots et expire au bout d'environ 30 minutes. Ce type de cookie indispensable ne nécessite pas ton accord. À ce jour, nos pages n'en déposent aucun : tous les détails sont sur la page Cookies.

Tu peux t'inscrire de deux façons : avec le formulaire « Préviens-moi » du site (détails dans la section suivante), ou en nous écrivant à [email protected], par exemple avec l'objet « Inscription à la newsletter SOS Miam ». Ce qui suit vaut pour les deux.

• Ce qu'on reçoit : par le formulaire, ce qui est décrit dans la section suivante ; par mail, ton adresse e-mail, le nom affiché par ta messagerie, la ville que tu indiques et ce que tu choisis d'ajouter au message.
• Pourquoi : te prévenir quand SOS Miam se lance près de chez toi, puis te donner des nouvelles (nouveaux lieux, nouvelles villes, BIG SOS…) par la newsletter.
• Base légale : ton consentement (article 6.1.a du RGPD), que tu donnes en envoyant le formulaire ou le mail, et que tu peux retirer à tout moment.
• Où et qui : si tu t'inscris par mail, ton mail arrive dans la boîte [email protected], fournie par FEELB SARL ; il est reçu par un serveur de messagerie situé en Suisse (voir « Qui voit tes données, et où elles sont »). Seul l'éditeur consulte cette boîte.
• La liste des inscrits : pour t'envoyer la newsletter, les inscriptions du formulaire et celles reçues par mail sont réunies dans une liste (ton adresse e-mail, ta ville, la date de ton inscription et celle de ton dernier message), gardée sur notre serveur, loué à FEELB SARL et situé en France. Seul l'éditeur y a accès, et elle suit les mêmes règles de durée : si tu te désinscris, ta ligne est retirée de la liste et effacée de notre base avant tout nouvel envoi, ville comprise.
• Combien de temps : tant que tu restes inscrit, tu continues de recevoir la newsletter, même après le lancement. Si on n'a plus aucun message de ta part pendant 3 ans, on te demande si tu veux continuer ; sans réponse, on efface ton adresse. Ton mail d'inscription ou de désinscription reste dans notre boîte comme preuve de ton choix, 3 ans au plus.
• Obligatoire ? Non, rien ne l'est. Sans adresse e-mail, on ne peut simplement pas te prévenir ; la ville nous aide à le faire au bon moment.
• Te désinscrire : un simple mail à [email protected] suffit, sans avoir à te justifier ; tu peux aussi répondre « STOP » à une newsletter.

En bas de l'accueil du site, le formulaire « Préviens-moi » te demande ton adresse e-mail et ta ville ou ta région (que tu écris toi-même, avec des suggestions), et propose une case facultative « Je veux devenir ambassadeur fondateur ».

• Ce qu'on enregistre : ton adresse e-mail, ta ville ou ta région, ton choix pour la case ambassadeur, la date de ta première et de ta dernière inscription, et le fait que l'inscription vient du site. Si tu remplis le formulaire plusieurs fois, on garde une seule ligne, mise à jour.
• Pourquoi : te prévenir du lancement dans ta ville, puis t'envoyer la newsletter, et, si tu as coché la case, te recontacter au sujet du programme des ambassadeurs fondateurs.
• Base légale : ton consentement (article 6.1.a du RGPD), que tu peux retirer à tout moment.
• Où et qui : dans une base de données sur notre serveur, loué à FEELB SARL et situé en France. Seul l'éditeur y a accès.
• Combien de temps : comme pour la newsletter, tant que tu restes inscrit ; si tu te désinscris, ta ligne est effacée avant tout nouvel envoi ; après 3 ans sans aucun message de ta part, on te demande si tu veux continuer, sinon on efface.
• Ton adresse IP : le site la transmet à notre serveur pour limiter le nombre d'envois (5 toutes les 10 minutes), contre les robots. Elle reste seulement en mémoire, une dizaine de minutes, et n'est jamais enregistrée avec ton inscription.
• Obligatoire ? Seul l'e-mail est indispensable pour te prévenir. Ta ville ou ta région (qui nous dit quand te prévenir) et la case ambassadeur sont facultatives.

Comme toute visite, l'envoi du formulaire passe par Cloudflare et apparaît dans les journaux du serveur. Les journaux notent la page appelée, pas ce que tu as saisi. Cloudflare, lui, voit passer ce que tu envoies, comme pour toute requête.

Tu peux aussi nous écrire à [email protected] pour inscrire ton lieu (bouton « J'inscris mon lieu »), pour devenir ambassadeur fondateur (bouton « Je deviens ambassadeur ») ou simplement pour poser une question.

• Ce qu'on reçoit : ton adresse e-mail, le nom affiché par ta messagerie et le contenu de ton message. Pour un lieu : son nom, sa ville et son type (resto, pâtisserie, bar, sortie…). Pour une candidature d'ambassadeur : ton quartier et tes pépites du coin.
• Pourquoi : te répondre, examiner la demande d'inscription de ton lieu ou ta candidature, et en reparler avec toi.
• Base légale : l'intérêt légitime (article 6.1.f du RGPD). L'intérêt poursuivi : donner suite aux messages qu'on reçoit, faire connaître des lieux indépendants et réunir les premiers ambassadeurs.
• Où et qui : dans la boîte [email protected], fournie par FEELB SARL ; les mails sont reçus par un serveur de messagerie situé en Suisse (voir « Qui voit tes données, et où elles sont »). Seul l'éditeur consulte cette boîte.
• Combien de temps : pour une demande de lieu ou une candidature, au plus 3 ans après ton dernier contact. Pour une simple question, le temps de te répondre, puis au plus 3 ans.
• Obligatoire ? Non. Sans adresse e-mail, on ne peut simplement pas te répondre.

Pas besoin de nous envoyer d'informations sensibles (santé, opinions, coordonnées bancaires…) : on n'en a pas l'usage.

• On ne vend jamais tes données, on ne les loue pas, et on ne les confie qu'aux prestataires techniques présentés plus bas, pour notre compte (sauf obligation légale).
• Aucun cookie de notre part : à ce jour, nos pages n'en déposent aucun (seule exception possible : le cookie de sécurité de Cloudflare présenté plus haut). Détails sur la page Cookies.
• Presque rien dans ton navigateur : le site garde seulement, dans le stockage de session de ton navigateur, la position où tu étais sur chaque page, pour t'y ramener quand tu reviens en arrière, et parfois le numéro de version du site après une mise à jour. Aucun identifiant, aucune donnée personnelle, et tout s'efface quand tu fermes l'onglet : c'est strictement nécessaire à la navigation, donc sans demande d'accord.
• Aucune mesure d'audience, aucune statistique de visite et aucune publicité pour l'instant.
• Aucun contenu tiers intégré : pas de vidéo, de carte ou de bouton de réseau social qui préviendrait un autre service de ta visite. Même nos polices de caractères sont hébergées avec le site, sur notre serveur chez notre hébergeur.
• Aucune décision automatisée au sens de l'article 22 du RGPD : aucune décision produisant des effets juridiques te concernant, ou t'affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé. Seul le filtrage de sécurité de Cloudflare peut, automatiquement, te demander une vérification ou bloquer une requête jugée malveillante. Si tu es bloqué à tort, écris-nous à [email protected].

Tes données ne sont consultées que par l'éditeur de SOS Miam. Les prestataires techniques ci-dessous les traitent pour son compte, dans le cadre de leur contrat (ce sont des « sous-traitants » au sens du RGPD) :

• FEELB SARL (4 quai Jean Moulin, 69001 Lyon, France) : hébergement du serveur du site, en France.
• FEELB SARL : hébergement de la boîte mail [email protected] ; les mails sont reçus par un serveur de messagerie situé en Suisse.
• Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, États-Unis) : réseau de diffusion et protection du site (le trafic passe par ses serveurs). Pour la sécurité de son propre réseau, il utilise aussi certaines données pour son propre compte (voir « Cloudflare, qui protège le site »).

Ces prestataires peuvent eux-mêmes faire appel à d'autres prestataires techniques (des « sous-traitants ultérieurs »), qui doivent respecter les mêmes obligations de protection de tes données.

Si la loi l'impose, certaines données peuvent être communiquées à une autorité qui les demande dans un cadre légal, par exemple sur décision d'un juge. Personne d'autre ne les reçoit.

Transferts hors de l'Union européenne : le serveur du site est en France. Les e-mails envoyés à [email protected] sont reçus par un serveur situé en Suisse : la Suisse bénéficie d'une décision d'adéquation de la Commission européenne (décision 2000/518/CE du 26 juillet 2000), qui reconnaît que tes données y sont aussi bien protégées que dans l'Union européenne. Enfin, Cloudflare peut traiter des données hors de l'Union européenne, notamment aux États-Unis, avec les garanties décrites dans la partie « Cloudflare, qui protège le site ».

• Connexion chiffrée : tout le site passe en HTTPS. La connexion est chiffrée de ton navigateur jusqu'à Cloudflare, puis de Cloudflare jusqu'à notre serveur ; Cloudflare déchiffre le trafic au passage pour le protéger.
• Un seul administrateur : l'éditeur est le seul à administrer le serveur et à consulter les journaux et la boîte mail.
• Protection contre les attaques : Cloudflare filtre le trafic malveillant avant qu'il n'atteigne le serveur.
• Le moins possible, le moins longtemps possible : on collecte le strict nécessaire, et les journaux s'effacent d'eux-mêmes au bout de 15 jours au plus. Ce qu'on n'a pas ne peut pas fuiter.

Si un incident de sécurité touchait tes données, on le signalerait à la CNIL dans les 72 heures quand la loi l'exige, et on te préviendrait directement si le risque pour toi était élevé.

Sur les données qui te concernent, tu as le droit de :

• Accès : savoir si on a des données sur toi, et en recevoir une copie.
• Rectification : faire corriger ce qui est faux ou incomplet.
• Effacement : faire effacer tes données, par exemple quand tu retires ton consentement ou qu'elles ne sont plus nécessaires.
• Limitation : faire geler l'utilisation de tes données pendant un temps, par exemple le temps de vérifier une contestation.
• Opposition : t'opposer à un traitement fondé sur notre intérêt légitime (voir juste en dessous).
• Portabilité : recevoir les données que tu nous as fournies avec ton consentement (newsletter, formulaire) dans un format lisible par une machine, ou les faire transmettre à un autre service quand c'est techniquement possible.
• Retrait du consentement : à tout moment, aussi simplement que tu l'as donné. Ce qui a été fait avant reste valable.
• Directives après ton décès : nous dire ce que doivent devenir tes données après ta mort (conservation, effacement, communication) et désigner une personne chargée de les faire appliquer, comme le prévoit la loi Informatique et Libertés.

Ton droit d'opposition : pour les journaux du serveur, Cloudflare et tes messages, fondés sur notre intérêt légitime, tu peux t'opposer à tout moment au traitement de tes données pour des raisons tenant à ta situation particulière (article 21 du RGPD). On arrête alors, sauf motif légitime et impérieux qui l'emporte, comme la sécurité du site, ou si ces données sont nécessaires pour faire valoir ou défendre des droits en justice. Écris à [email protected].

• Écris-nous à [email protected] en précisant le droit que tu veux exercer. Pour les journaux du serveur, indique aussi ton adresse IP et le moment de ta visite : sans ça, impossible de retrouver les lignes qui te concernent (et elles disparaissent de toute façon au bout de 15 jours au plus).
• Pour les journaux, une précaution : une adresse IP pouvant être partagée par plusieurs personnes (box familiale, Wi-Fi public, réseau mobile), on pourra te demander de quoi vérifier qu'elle était bien la tienne à ce moment-là, et on ne te communiquera pas les lignes qui pourraient concerner quelqu'un d'autre.
• On te répond dans un délai d'un mois au plus. Si ta demande est complexe, ce délai peut être prolongé de deux mois : on te prévient alors dans le premier mois, en t'expliquant pourquoi.
• On ne te demande de prouver ton identité qu'en cas de doute raisonnable, par exemple si la demande ne vient pas de l'adresse e-mail concernée. Pas de copie de pièce d'identité par principe.
• C'est gratuit.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (Commission nationale de l'informatique et des libertés), l'autorité française de protection des données, directement en ligne.

Tu peux aussi nous écrire d'abord à [email protected] : on aimerait bien avoir une chance d'arranger les choses.

SOS Miam s'adresse à tout le monde, ados compris. En France, la loi Informatique et Libertés permet de consentir seul au traitement de ses données à partir de 15 ans.

Si tu as moins de 15 ans, il faut l'accord de tes parents (ou de la personne qui a l'autorité parentale), en plus du tien, avant de t'inscrire à la newsletter ou via le formulaire « Préviens-moi ».

Si on apprend qu'un enfant de moins de 15 ans s'est inscrit sans cet accord, on efface ses données. Un parent peut nous le signaler à [email protected].

SOS Miam va grandir. Voici ce qui est prévu, mais ne fonctionne pas aujourd'hui :

• L'app mobile, avec un compte et, seulement si tu l'autorises, ta position pour te montrer les lieux autour de toi.
• La publicité, toujours signalée comme telle, ainsi que la mesure d'audience et les vidéos intégrées : ce qui n'est pas indispensable ne sera activé qu'avec ton accord, recueilli par un bandeau conforme aux règles de la CNIL, et ton choix sera gardé 6 mois.
• L'envoi des e-mails (comme la newsletter) par un prestataire spécialisé.
• Les bons solidaires, pour payer à l'avance dans un lieu pendant son BIG SOS. La façon de payer n'est pas encore décidée.

Avant que chacune de ces nouveautés démarre, cette politique (et la page Cookies si besoin) sera mise à jour pour dire ce qui est collecté, pourquoi, sur quelle base légale, combien de temps et par quel prestataire.

Cette politique décrit ce qui se passe à la date indiquée en haut de la page. On la met à jour à chaque changement, et toujours avant qu'un nouveau traitement démarre.

Si un changement touche à des données que tu nous as déjà confiées, on te prévient, et on te redemande ton accord quand il le faut.