Livrable 20

Privacy

Privacy by design. Ceci n'est pas un avis juridique. LEGAL REVIEW REQUIRED avant prod, avant toute prospection, avant géolocalisation stockée, avant publicité.

Minimisation

Donnée	Défaut
Position précise	opt-in à l'action, calcul distance côté client si possible, non historisée
IP	non stockée dans `analytics_events`. Logs techniques : durée courte proposée, à valider juridiquement
Historique comportemental	agrégats. Pas de profilage sensible
Âge	seulement `age_min` d'un événement (contrainte organisateur). Pas l'âge de l'utilisateur
Documents de claim	rétention limitée au besoin de preuve, accès restreint

Consentements séparés : cookies non essentiels, géolocalisation, marketing, notifications. Pas de case précochée. Le refus cookies analytics n'empêche pas la consultation.

Base légale : à qualifier par un conseil (contrat, intérêt légitime, consentement). On ne la « choisit » pas dans ce document comme si c'était tranché.

Droits

Prévus dans le produit, pas encore construits :

accès / export JSON des données de compte (favoris, suivis, plans, consents, claims) ;
rectification profil ;
suppression : PII effacée ou anonymisée ; audit_logs peuvent conserver un actor_id détaché si une obligation légale de preuve l'exige — à valider, sinon pseudonymisation ;
opposition marketing : un interrupteur, effet immédiat sur les envois ;
centre de préférences notifications (types : event_reminder, followed_venue_update, offer, booking, important_change) + plafond de fréquence.

La suppression d'un compte pro ne supprime pas la fiche publique d'un lieu s'il existe une autre source légitime. Elle retire les memberships et les PII du compte.

Rétention — classes, pas des durées présentées comme la loi

Classe	Proposition à faire valider
Compte	vie du compte + suppression à la demande
Analytics bruts	fenêtre courte puis agrégats seuls
Search gaps	agrégats, pas de query brute identifiable
Logs sécurité	fenêtre limitée
Audit admin	plus long, justification compliance
Documents claim	durée de la revue + archive courte
Marketing	jusqu'au retrait du consentement

Aucune de ces durées n'est un nombre légal. Ne pas les coder en « 5 ans » sans revue.

Géolocalisation

Opt-in. But : distance et itinéraire de la session. Pas de suivi de trajet. Pas de revente. La position n'est pas un critère publicitaire sensible.

Ciblage autorisé plus tard : ville, zone, moment, catégorie de contenu. Pas de santé, religion, opinion, orientation. Alcool : pas de diffusion commerciale par défaut. LEGAL REVIEW REQUIRED.

UGC

Avis : pas au MVP. Si plus tard : modération, droit de réponse, anti-spam, badge « réservation vérifiée » seulement si une réservation interne existe. Signalements : workflow du document admin.

Sous-traitants

Liste à tenir (hébergeur DB, e-mail, carte, paiement, IA). Aucun n'est signé ici. Transfert hors UE : non par défaut. L'appel LLM envoie le texte de recherche, pas le dossier utilisateur. THIRD-PARTY DEPENDENCY.

Décisions

D1 — Analytics sans identité par défaut

Choix : événements anonymes même connecté, sauf si l'événement est une action de compte (favori) nécessaire au produit.
Alternative : tout coller à user_id (meilleure reco, pire minimisation).
Risque : reco P2 plus faible. Accepté.

D2 — Registre des traitements

Document vivant à ouvrir avec le conseil, pas un faux registre complété. Entrées prévues : compte, fiche pro, analytics, support, claim, notifications.

Enfants

Le service n'est pas dirigé vers les enfants. Un age_min d'événement est une info organisateur, pas une collecte d'âge.