Politique de confidentialité

AUPA AB respecte le Règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) et la Loi Informatique et Libertés modifiée. La présente politique décrit, en langage clair, les données collectées sur aupaab.fr, leur traitement, vos droits et nos sous-traitants.

Responsable du traitement

AUPA AB — agrégateur d'actualités non-officiel de l'Aviron Bayonnais. Détails complets (statut juridique, siège, directeur de la publication) sur la page mentions légales.

Contact général : contact@aupaab.fr
Contact DPO / vie privée : dpo@aupaab.fr

Données que nous collectons (V1)

Si vous visitez le site sans rien faire

• Analytics anonymes via Umami (auto-hébergé en UE) : URL visitée, pays, navigateur, source de trafic. Aucun cookie, aucun identifiant individuel, IP non stockée. Conforme RGPD sans nécessité de consentement (recommandation CNIL "mesure d'audience exemptée").
• Logs serveur techniques (Vercel) : IP, user-agent, route, code HTTP. Conservés 30 jours pour détection d'abus, puis purgés automatiquement.

Si vous vous inscrivez à la newsletter

• Adresse e-mail (obligatoire) — pour vous envoyer la brève.
• Date d'inscription, source de signup, IP, user-agent au moment du signup — anti-abus uniquement.
• Token de désinscription — généré aléatoirement, permet le désabo en 1 clic.
• Date du dernier e-mail envoyé — pour éviter les doubles envois.

Base légale : votre consentement explicite (case "Je m'abonne" + confirmation par e-mail). Conservation : tant que votre inscription est active. Suppression automatique si vous cliquez "Se désinscrire" dans n'importe quel e-mail.

Cookies

En V1, le site ne dépose AUCUN cookie. Détails sur la page cookies dédiée.

Vos droits

Conformément au RGPD, vous disposez à tout moment des droits suivants :

• Accès — savoir quelles données nous détenons sur vous. Email à dpo@aupaab.fr, réponse sous 30 jours.
• Rectification — corriger une donnée inexacte. Même contact.
• Effacement — supprimer définitivement vos données. Pour la newsletter : 1 clic sur "Se désinscrire" dans n'importe quel e-mail. Pour les logs serveur : suppression automatique à 30 jours.
• Portabilité — recevoir vos données dans un format structuré (JSON). Email à dpo@aupaab.fr.
• Opposition — refuser un traitement. Pour la newsletter : désinscription en 1 clic.
• Réclamation — saisir l'autorité de contrôle : cnil.fr ou par courrier (CNIL, 3 place de Fontenoy, 75007 Paris).

Sous-traitants

Pour faire fonctionner le service, nous utilisons les prestataires suivants. Chacun est tenu par contrat (DPA) de traiter vos données uniquement pour notre compte et de respecter le RGPD.

• Vercel Inc. (États-Unis) — hébergement du site. Données : logs techniques. Garanties : clauses contractuelles types (CCT) UE.
• Supabase Inc. (siège social Singapour, infrastructure AWS région eu-west-3 à Paris) — base de données. Données : emails newsletter, tokens, logs d'inscription. Vos données restent en UE.
• Resend (États-Unis, infrastructure UE eu-west-1 à Dublin) — envoi des e-mails newsletter. Données : adresse e-mail uniquement. Garanties : CCT UE.
• Anthropic PBC (États-Unis) — génération des synthèses IA des articles (Claude Haiku). Données envoyées : uniquement le titre et l'extrait public de l'article source, jamais vos données personnelles. Garanties : CCT UE.
• GitHub Inc. (États-Unis, filiale Microsoft) — automatisation des crawls et envois newsletter (GitHub Actions). Données : aucune donnée perso, juste l'exécution de scripts. Garanties : CCT UE.
• Meta Platforms Inc. (États-Unis) — publication d'un résumé quotidien sur notre page Facebook AUPA AB. Aucune donnée des visiteurs du site n'est envoyée à Meta — seulement le contenu éditorial du jour.

Transferts hors UE

Vercel, Resend (siège), Anthropic, GitHub et Meta sont des entreprises américaines. Les transferts de données vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, pour les sous-traitants éligibles, par le Data Privacy Framework UE-USA.

Durée de conservation

Donnée	Durée
E-mail newsletter	Jusqu'à désinscription
Logs serveur (IP, route)	30 jours, puis purge automatique
Analytics Umami (anonymes)	13 mois (recommandation CNIL)
Données après désinscription	Suppression définitive sous 7 jours

Sécurité

• HTTPS obligatoire (TLS 1.3) sur l'ensemble du site et des API.
• Mots de passe et tokens stockés chiffrés (au repos en base, en transit en HTTPS).
• Accès aux données : limité aux administrateurs techniques nommés.
• Sauvegardes chiffrées de la base de données (rétention 7 jours).

Évolutions à venir (V1.5+)

Quand la fonctionnalité compte utilisateur sera activée (V1.5), nous collecterons en plus : pseudo, mot de passe haché (Argon2), liste de bookmarks, préférences. Quand les commentaires seront activés (V2), le contenu des commentaires passera par Anthropic pour modération automatique (sans envoi de l'identité de l'auteur). Cette politique sera mise à jour avant activation, avec notification aux abonnés newsletter.

Modifications de cette politique

Toute modification substantielle sera signalée en haut de cette page et, si vous êtes inscrit à la newsletter, par e-mail au moins 15 jours avant entrée en vigueur. La date de dernière mise à jour figure en tête du document.