Politique de confidentialité

Dernière mise à jour : 18 octobre 2026

Cette politique explique quelles données personnelles TheQ traite, pourquoi, combien de temps et quels sont vos droits, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

Responsable du traitement

Eliott Bachelet, Entrepreneur individuel (EI), régime de la micro-entreprise, 173 rue d’Alésia, 75014 Paris, France. Contact pour toute question relative à vos données : contact@theq.fr.

Données traitées

Comptes (dashboard et staff)

Données :: E-mail, nom, mot de passe (stocké uniquement sous forme hachée), rôle, organisateurs et lieux rattachés, identifiant Google si vous utilisez « Se connecter avec Google ».
Finalité :: Créer et sécuriser votre compte, gérer les accès par rôle.
Base légale :: Exécution du contrat.
Conservation :: Durée de vie du compte. La suppression du compte efface ces données immédiatement.

Abonnements et facturation

Données :: Identifiants client et abonnement Stripe, plan, statut et dates d’abonnement. Aucune donnée bancaire n’est stockée par TheQ : le paiement est opéré par Stripe.
Finalité :: Gérer les abonnements, l’essai gratuit, les options et la facturation.
Base légale :: Exécution du contrat et obligations légales comptables.
Conservation :: Durée de l’abonnement, puis 10 ans pour les pièces comptables (article L.123-22 du Code de commerce).

Propositions et votes des clients d’un lieu

Données :: Identifiant technique aléatoire généré par votre navigateur, titres proposés et votés, horodatage. Aucun nom, e-mail ou compte n’est demandé.
Finalité :: Faire fonctionner la file musicale, éviter les votes en double, constituer la sélection et les statistiques de l’event.
Base légale :: Intérêt légitime (fourniture du service demandé).
Conservation :: Anti-doublon des votes : 24 heures. Historique des propositions et votes : durée de vie du lieu sur TheQ, supprimé avec le lieu ou le compte de l’organisateur.

Sécurité et journaux techniques

Données :: Adresse IP, date et heure des requêtes, jetons de session (stockés hachés).
Finalité :: Sécuriser le service, limiter les abus (limitation de débit), diagnostiquer les incidents.
Base légale :: Intérêt légitime et obligation de sécurité (article 32 du RGPD).
Conservation :: Journaux : selon la durée de rétention des hébergeurs. Jetons de session : 30 jours ; lien de réinitialisation de mot de passe : 1 heure.

E-mails transactionnels

Données :: Adresse e-mail.
Finalité :: Envoyer les e-mails nécessaires au service (réinitialisation de mot de passe, invitations).
Base légale :: Exécution du contrat.
Conservation :: Durée de vie du compte.

TheQ ne vend aucune donnée, n’affiche pas de publicité et ne réalise aucun profilage.

Cookies et stockage local

Le site ne dépose aucun cookie publicitaire ni de mesure d’audience. Il utilise uniquement le stockage local de votre navigateur pour des besoins strictement nécessaires au service : l’identifiant technique qui évite les votes en double, l’affichage unique de l’écran d’accueil d’un lieu et, pour les titulaires de compte, la session de connexion. Ces traceurs étant indispensables, ils ne nécessitent pas de consentement (article 82 de la loi Informatique et Libertés). Vous pouvez les effacer à tout moment depuis les réglages de votre navigateur.

Destinataires et sous-traitants

Les données sont accessibles uniquement à l’éditeur et, pour les données d’un lieu, aux membres habilités de l’organisateur concerné. Elles sont hébergées et traitées par les sous-traitants suivants :

Supabase — Base de données, stockage des logos
Upstash — Cache temps réel (file musicale, votes)
Railway — Hébergement de l’API
Vercel — Hébergement du site
Stripe — Paiement et facturation
Resend — Envoi des e-mails transactionnels
Google — Connexion « Se connecter avec Google » (si utilisée)
Spotify — Recherche de titres et export de playlists d’event (aucune donnée personnelle des clients transmise)
Sentry — Suivi des erreurs techniques (si activé)

Certains de ces prestataires sont établis aux États-Unis. Les transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y adhère, ou à défaut par les clauses contractuelles types de la Commission européenne.

Sécurité

Mots de passe hachés (bcrypt), connexions chiffrées (HTTPS), jetons de session courts et renouvelés, contrôle d’accès par rôle, aucune donnée de carte bancaire sur nos serveurs.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Titulaires d’un compte : consultation, modification et suppression du compte depuis la page Profil du dashboard.
Clients d’un lieu (sans compte) : écrivez-nous à contact@theq.fr. L’identifiant technique n’étant rattaché à aucune identité, nous pourrons vous demander des éléments permettant de retrouver vos propositions (lieu, date, titres).

Nous répondons dans un délai d’un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

Modification de la politique

Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en haut de la page ; les titulaires de compte sont informés par e-mail de tout changement important.