Politique de confidentialité

1. Qui sommes-nous ?

FoReLLISTS est une application interne de gestion et de publication de contenus sur les réseaux sociaux (LinkedIn, Bluesky) et d'animation de calendrier d'événements scientifiques, développée pour une équipe de recherche de l'Université de Poitiers. L'application est accessible à l'adresse https://forellists.vercel.app.

Responsable du traitement : équipe FoReLLISTS, Université de Poitiers.
Contact : hugo.semilly@univ-poitiers.fr

2. Données collectées

Utilisateurs authentifiés (membres de l'équipe)

• Adresse e-mail et identifiant (via Supabase Auth)
• Rôle dans l'application (rédacteur, validateur, administrateur)
• Préférences d'accessibilité (thème, mode lecture)
• Jetons d'accès OAuth LinkedIn et Bluesky (stockés chiffrés dans le coffre-fort applicatif)
• Contenu des publications (texte, images) créées ou validées par le membre
• Journaux d'erreurs techniques (via Sentry, pseudonymisés)

Visiteurs du calendrier public et suggestions d'événements

• Aucune donnée collectée pour la simple consultation du calendrier
• En cas de suggestion d'événement : nom, adresse e-mail de l'organisateur, titre, date et description de l'événement (formulaire volontaire)

3. Finalités et bases légales

4. Stockage et hébergement

Les données sont stockées :

• Supabase (base de données, authentification, stockage d'images) — serveurs dans l'Union européenne.
• Vercel (hébergement de l'application) — région CDG1, Paris, France.
• Sentry (journaux d'erreurs) — données pseudonymisées, conformité SOC 2.

Les jetons OAuth (LinkedIn, Bluesky) sont stockés chiffrés dans la base Supabase et ne transitent que lors des appels API nécessaires à la publication.

5. Partage avec des tiers

Nous ne vendons ni ne louons vos données. Les données sont partagées uniquement avec les sous-traitants nécessaires au fonctionnement de l'application :

• LinkedIn — pour la publication de contenus via l'API Community Management
• Bluesky / AT Protocol — pour la publication de contenus
• Supabase — base de données et authentification
• Vercel — hébergement et CDN
• Sentry — monitoring d'erreurs

Aucune donnée personnelle n'est transmise à des tiers à des fins publicitaires ou commerciales.

6. Durée de conservation

• Comptes membres : jusqu'à la suppression du compte ou la fin de l'usage de l'outil
• Publications et événements : conservation indéfinie à des fins d'archive interne
• Suggestions d'événements : conservées après leur traitement (acceptation ou refus), avec le nom et l'adresse e-mail de la personne qui propose, pour le suivi interne ; effacement sur demande (voir la section 7)
• Journaux Sentry : 90 jours glissants
• Jetons OAuth : jusqu'à révocation ou expiration

7. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie des données vous concernant
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de votre compte et de vos données
• Droit d'opposition : vous opposer à certains traitements
• Droit à la portabilité : recevoir vos données dans un format structuré
• Retrait du consentement : révoquer à tout moment vos accès OAuth LinkedIn ou Bluesky

Pour exercer ces droits, contactez-nous à : hugo.semilly@univ-poitiers.fr. Nous répondrons dans un délai maximum de 30 jours.

Vous pouvez également introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés).

8. Cookies et traceurs

L'application utilise uniquement des cookies strictement nécessaires à la session d'authentification (Supabase Auth). Aucun cookie publicitaire ou de tracking tiers n'est utilisé.

9. Sécurité

L'accès à l'application nécessite une authentification. La double authentification (MFA) est proposée à tous les membres ; un compte qui l'a activée doit présenter un code à chaque connexion. Les communications sont chiffrées via HTTPS. Les jetons sensibles sont stockés chiffrés. L'application applique les en-têtes de sécurité HTTP recommandés (HSTS, CSP, X-Frame-Options).