Article 1
Responsable de traitement
Le responsable du traitement de vos données personnelles est :
| Champ | Valeur |
|---|---|
| Dénomination | OCTO TECH LDA (en cours d'activation — effectif au 31 août 2026) |
| Forme juridique | Sociedade por Quotas · Portugal |
| Siège social | Zona Franca da Madeira (ZFM), Funchal, Portugal |
| Représentant légal | João Bernardo (décideur unique) |
| E-mail général | hello@octoplus.co |
| DPO | dpo@octoplus.co |
Avant la date d'activation, OctoLive opère en mode bêta non-commercial sous la responsabilité personnelle de João Bernardo. Aucune donnée n'est monétisée avant le 31 août 2026.
Article 2
Données collectées
OctoLive collecte les catégories de données suivantes selon le rôle de la personne :
| Catégorie | Données | Acteurs concernés | Source |
|---|---|---|---|
| Identité | Nom, prénom, adresse e-mail | Organisateurs (compte) | Formulaire d'inscription |
| Navigation | Pages visitées, timestamps, langue préférée, thème UI | Visiteurs, utilisateurs | Logs serveur (anonymisés après 30 j) |
| Données événements | Titre, description, date, lieu, URL billetterie, image | Organisateurs | Soumission formulaire + scraping public |
| Communications | Objet, message, e-mail expéditeur | Visiteurs (formulaire contact) | Formulaire /support |
| HOOK provenance | Identifiant HOOK, SHA-256 stamp, timestamp | Tous | Middleware HOOK automatique |
| Données techniques | Adresse IP (tronquée), user-agent, session token (JWT) | Utilisateurs authentifiés | Authentification JWT |
Données non collectées : aucune donnée de paiement, aucune donnée de catégorie spéciale (santé, origine ethnique, opinions politiques, etc.), aucun profil comportemental cross-sites.
Article 3
Finalités et bases légales
| Finalité | Base légale (RGPD) | Données concernées |
|---|---|---|
| Affichage de l'agenda événementiel | Art. 6(1)(f) — Intérêt légitime | Données événements publiques |
| Gestion des comptes organisateurs | Art. 6(1)(b) — Exécution d'un contrat | Identité, e-mail, données événements |
| Traitement des demandes de contact | Art. 6(1)(a) — Consentement | Communications |
| Sécurité et intégrité de la plateforme | Art. 6(1)(f) — Intérêt légitime | Données techniques, HOOK stamps |
| Audit HOOK Protocol (DPIA-HOOK-001) | Art. 6(1)(c) — Obligation légale | Identifiants HOOK, SHA-256 |
| Statistiques de fréquentation (anonymes) | Art. 6(1)(f) — Intérêt légitime | Logs anonymisés |
Article 4
Durées de conservation
| Données | Durée active | Archive |
|---|---|---|
| Comptes organisateurs | Durée du compte + 12 mois | 5 ans (obligation comptable) |
| Messages de contact | 12 mois | 3 ans (prescription civile) |
| Logs serveur (IP tronquée) | 30 jours | Suppression définitive |
| HOOK stamps | Indéfini (registre d'audit) | Archivage VOID doctrine |
| Données événements scraping | 90 jours après expiration | Archive VOID (non-suppression) |
| JWT sessions | 7 jours (expiration token) | Non conservé |
La VOID doctrine d'Octo+ impose l'archivage plutôt que la suppression pour les données liées au HOOK Protocol. Les archives sont chiffrées, non-accessibles sans autorisation de João Bernardo.
Article 5
HOOK Protocol & DPIA
DPIA-HOOK-001 — Une analyse d'impact relative à la protection des données (DPIA, Art. 35 RGPD) est en cours (draft V1.1) pour le HOOK Protocol (Brevet INPI Nº 20262007855099, déposé le 27 mars 2026) et pour la fonctionnalité OctoLive Guardian. Sa contresignature (responsable de traitement + revue juridique) est requise avant tout déploiement client externe — elle n'est pas encore signée à ce jour.
Le HOOK Protocol génère un identifiant cryptographique unique (SHA-256 + ML-DSA FIPS 204) pour chaque opération significative sur la plateforme. Ces identifiants sont :
- Non-personnels dans leur forme standard (hash de contenu, non de personne)
- Utilisés exclusivement pour l'audit de provenance et l'intégrité des données
- Stockés dans un registre append-only (
packages/octo-hook-registry/entries.jsonl) - Couverts par la DPIA-HOOK-001, dont la signature est requise avant tout déploiement client externe
L'état PENDING_CHAIN indique qu'un HOOK attend la confirmation de sa chaîne cryptographique. L'état ALIVE confirme l'intégrité vérifiée. L'état VOID déclenche l'archivage selon la VOID doctrine.
Article 6
Sous-traitants & transferts
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Anthropic (claude-sonnet-4-6) | Traitement IA interne (non exposé aux données utilisateurs) | USA | Clauses contractuelles types UE · Privacy Shield successor |
| Google Fonts | Chargement typographies (Cormorant, Sora, JetBrains) | USA | Clauses contractuelles types UE |
| Hébergeur serveur | Infrastructure Node.js + SQLite | UE (en cours de finalisation) | Contrat sous-traitance RGPD Art. 28 |
Aucun transfert vers des pays tiers sans garanties appropriées. Les données de scraping proviennent exclusivement de sources publiques. Aucune donnée OctoLive n'est transmise à des tiers à des fins commerciales avant le 31 août 2026.
Fournisseurs explicitement exclus : OpenAI/GPT et Gemini en production sont interdits par règle interne CLAUDE.md §2.1 — aucune donnée ne transite via ces fournisseurs.
Article 7
Vos droits (Art. 15–21 RGPD)
Vous disposez des droits suivants concernant vos données personnelles. Exercice via dpo@octoplus.co avec justificatif d'identité. Réponse dans les 30 jours.
Art. 15
Droit d'accès
Obtenir la liste des données vous concernant et les informations sur leur traitement.
Art. 16
Droit de rectification
Corriger des données inexactes ou incomplètes vous concernant.
Art. 17
Droit à l'effacement
Demander la suppression dans les cas prévus par le RGPD. Soumis à la VOID doctrine pour les données HOOK.
Art. 18
Droit à la limitation
Limiter temporairement le traitement pendant une contestation ou vérification.
Art. 19
Droit à la notification
Être informé des destinataires à qui une rectification ou effacement a été notifié.
Art. 20
Droit à la portabilité
Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
Art. 21
Droit d'opposition
Vous opposer au traitement fondé sur l'intérêt légitime, notamment à des fins de prospection.
Retrait du consentement
Consentement
Retirer à tout moment votre consentement pour les traitements qui en dépendent, sans effet rétroactif.
Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : CNPD Portugal (cnpd.pt) ou l'autorité du pays UE de votre résidence habituelle.
Article 8
Cookies & traceurs
| Cookie | Finalité | Durée | Consentement requis |
|---|---|---|---|
ol-jwt |
Token d'authentification JWT (localStorage) | 7 jours | Non — nécessaire |
ol-theme |
Préférence thème clair/sombre (localStorage) | Persistant | Non — nécessaire |
ol-lang |
Préférence langue UI (localStorage) | Persistant | Non — nécessaire |
| Analytiques | Statistiques de fréquentation anonymisées | Session | Oui — opt-in |
OctoLive n'utilise pas de cookies publicitaires tiers. Aucun pixel de suivi cross-sites. La préférence de thème et de langue est stockée localement (localStorage) et n'est jamais transmise à des serveurs tiers.
Article 9
Contact & DPO
Pour toute question relative à cette politique ou pour exercer vos droits, contactez notre Délégué à la Protection des Données :
Délégué à la Protection des Données (DPO)
Funchal, Portugal
Cette politique peut être mise à jour pour refléter des évolutions légales ou techniques. La date de dernière révision est indiquée en en-tête. Toute modification substantielle sera notifiée aux organisateurs enregistrés par e-mail.