Article 1
Responsable de traitement
Le responsable du traitement de vos données personnelles est :
| Champ | Valeur |
|---|---|
| Dénomination | OCTO TECH LDA (active depuis le 31 août 2026) |
| Forme juridique | Sociedade por Quotas · Portugal |
| Siège social | Zona Franca da Madeira (ZFM), Funchal, Portugal |
| Représentant légal | João Bernardo (décideur unique) |
| E-mail général | hello@octoplus.co |
| DPO | dpo@octoplus.co |
Responsable du traitement : João Bernardo Silva à titre personnel jusqu'au 31 août 2026, puis OCTO TECH LDA à compter de cette date.
Article 2
Données collectées
OctoLive collecte les catégories de données suivantes selon le rôle de la personne :
| Catégorie | Données | Acteurs concernés | Source |
|---|---|---|---|
| Identité | Nom, prénom, adresse e-mail | Organisateurs (compte) | Formulaire d'inscription |
| Navigation | Pages visitées, timestamps, langue préférée, thème UI | Visiteurs, utilisateurs | Logs serveur (anonymisés après 30 j) |
| Données événements | Titre, description, date, lieu, URL billetterie, image | Organisateurs | Soumission formulaire + scraping public |
| Localisation (facultative) | Ville la plus proche et villes situées à 30 km, déduites de la position de l'appareil. Les coordonnées ne sont ni transmises ni conservées. | Utilisateurs de l'application mobile qui l'acceptent | Capteur de position de l'appareil, uniquement après votre accord explicite |
| Communications | Objet, message, e-mail expéditeur | Visiteurs (formulaire contact) | Formulaire /support |
| HOOK provenance | Identifiant HOOK, SHA-256 stamp, timestamp | Tous | Middleware HOOK automatique |
| Données techniques | Adresse IP (tronquée), user-agent, session token (JWT) | Utilisateurs authentifiés | Authentification JWT |
Données non collectées : aucune donnée de paiement, aucune donnée de catégorie spéciale (santé, origine ethnique, opinions politiques, etc.), aucun profil comportemental cross-sites.
Article 3
Finalités et bases légales
| Finalité | Base légale (RGPD) | Données concernées |
|---|---|---|
| Affichage de l'agenda événementiel | Art. 6(1)(f) — Intérêt légitime | Données événements publiques |
| Gestion des comptes organisateurs | Art. 6(1)(b) — Exécution d'un contrat | Identité, e-mail, données événements |
| Traitement des demandes de contact | Art. 6(1)(a) — Consentement | Communications |
| Proposer les événements de votre ville et des villes situées à 30 km | Art. 6(1)(a) — Consentement | Localisation (facultative) |
| Sécurité et intégrité de la plateforme | Art. 6(1)(f) — Intérêt légitime | Données techniques, HOOK stamps |
| Audit HOOK Protocol (DPIA-HOOK-001) | Art. 6(1)(c) — Obligation légale | Identifiants HOOK, SHA-256 |
| Statistiques de fréquentation (anonymes) | Art. 6(1)(f) — Intérêt légitime | Logs anonymisés |
Article 4
Durées de conservation
| Données | Durée active | Archive |
|---|---|---|
| Comptes organisateurs | Durée du compte + 12 mois | 5 ans (obligation comptable) |
| Messages de contact | 12 mois | 3 ans (prescription civile) |
| Logs serveur (IP tronquée) | 30 jours | Suppression définitive |
| HOOK stamps | Indéfini (registre d'audit) | Archivage VOID doctrine |
| Données événements scraping | 90 jours après expiration | Archive VOID (non-suppression) |
| JWT sessions | 7 jours (expiration token) | Non conservé |
| Mesure d'audience OctoTrack (sans cookie, sans IP conservée) | 13 mois | Suppression définitive |
| Localisation (noms de villes, sur votre appareil) | Jusqu'au retrait de votre accord | Non conservé côté serveur |
Localisation. Avec votre accord explicite, l'application lit la position de votre appareil pour trouver votre ville et les villes situées à 30 km. Cette position est traitée sur votre appareil et n'est ni transmise ni conservée : seuls les noms de ces villes sont enregistrés sur votre appareil, et envoyés à OctoLive pour rechercher les événements. Ces noms de villes apparaissent, comme toute requête, dans les journaux serveur décrits ci-dessus (30 jours, adresse IP tronquée). Sans accord, vous choisissez votre ville à la main : aucune fonction n'est bloquée, et votre refus n'est pas redemandé automatiquement. Vous pouvez retirer votre accord à tout moment depuis Compte → Confidentialité → Localisation, ce qui efface les villes enregistrées.
La VOID doctrine d'Octo+ impose l'archivage plutôt que la suppression pour les données liées au HOOK Protocol. Les archives sont chiffrées, non-accessibles sans autorisation de João Bernardo.
Article 5
HOOK Protocol & DPIA
DPIA-HOOK-001 — Une analyse d'impact relative à la protection des données (DPIA, Art. 35 RGPD) est en cours (draft V1.1) pour le HOOK Protocol (Brevet INPI Nº 20262007855099, déposé le 27 mars 2026) et pour la fonctionnalité OctoLive Guardian. Sa contresignature (responsable de traitement + revue juridique) est requise avant tout déploiement client externe — elle n'est pas encore signée à ce jour.
Le HOOK Protocol génère un identifiant cryptographique unique (SHA-256 ; architecture conçue pour ML-DSA, NIST FIPS 204, implémentation en cours) pour chaque opération significative sur la plateforme. Ces identifiants sont :
Un stamp HOOK atteste l'intégrité et la provenance d'un objet ; il n'atteste jamais une vérité clinique, une sécurité de sortie ou une acuité.
- Non-personnels dans leur forme standard (hash de contenu, non de personne)
- Utilisés exclusivement pour l'audit de provenance et l'intégrité des données
- Stockés dans un registre append-only (
packages/octo-hook-registry/entries.jsonl) - Couverts par la DPIA-HOOK-001, dont la signature est requise avant tout déploiement client externe
Un HOOK peut être en attente de confirmation de sa chaîne cryptographique, confirmé avec intégrité vérifiée, ou archivé (archivage plutôt que suppression).
Article 6
Sous-traitants & transferts
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Anthropic (claude-sonnet-4-6) | Traitement IA interne (non exposé aux données utilisateurs) | USA | Clauses contractuelles types UE · Privacy Shield successor |
| Google Fonts | Chargement typographies (Cormorant, Sora, JetBrains) | USA | Clauses contractuelles types UE |
| Hébergeur serveur | Infrastructure Node.js + SQLite | UE (en cours de finalisation) | Contrat sous-traitance RGPD Art. 28 |
Aucun transfert vers des pays tiers sans garanties appropriées. Les données de scraping proviennent exclusivement de sources publiques. Aucune donnée OctoLive n'est transmise à des tiers à des fins commerciales avant le 31 août 2026.
Fournisseurs explicitement exclus : OpenAI/GPT et Gemini en production sont exclus par notre politique interne — aucune donnée ne transite via ces fournisseurs.
Article 7
Vos droits (Art. 15–21 RGPD)
Vous disposez des droits suivants concernant vos données personnelles. Exercice via dpo@octoplus.co avec justificatif d'identité. Réponse dans les 30 jours.
Art. 15
Droit d'accès
Obtenir la liste des données vous concernant et les informations sur leur traitement.
Art. 16
Droit de rectification
Corriger des données inexactes ou incomplètes vous concernant.
Art. 17
Droit à l'effacement
Demander la suppression dans les cas prévus par le RGPD. Soumis à la VOID doctrine pour les données HOOK.
Art. 18
Droit à la limitation
Limiter temporairement le traitement pendant une contestation ou vérification.
Art. 19
Droit à la notification
Être informé des destinataires à qui une rectification ou effacement a été notifié.
Art. 20
Droit à la portabilité
Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
Art. 21
Droit d'opposition
Vous opposer au traitement fondé sur l'intérêt légitime, notamment à des fins de prospection. Pour la mesure d'audience OctoTrack : activez Global Privacy Control ou Do Not Track dans votre navigateur (plus rien n'est mesuré), ou écrivez-nous.
Retrait du consentement
Consentement
Retirer à tout moment votre consentement pour les traitements qui en dépendent, sans effet rétroactif.
Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : CNPD Portugal (cnpd.pt) ou l'autorité du pays UE de votre résidence habituelle.
Article 8
Cookies & traceurs
| Cookie | Finalité | Durée | Consentement requis |
|---|---|---|---|
octolive.attendee |
Session du compte OctoLive : jeton d'authentification, prénom et e-mail (localStorage) | 7 jours | Non — nécessaire |
ol-jwt |
Token d'authentification JWT des comptes organisateurs (localStorage) | 7 jours | Non — nécessaire |
ol-theme |
Préférence thème clair/sombre (localStorage) | Persistant | Non — nécessaire |
ol-lang |
Préférence langue UI (localStorage) | Persistant | Non — nécessaire |
| Analytiques | Statistiques de fréquentation anonymisées | Session | Oui — opt-in |
Mesure d'audience OctoTrack. Notre propre collecteur, servi depuis ce même site, est chargé directement sur les pages d'événement publiques et les pages À propos, FAQ et Support ; sur l'accueil, l'agenda et dans l'application, il ne l'est que si vous avez accepté la catégorie « Analytiques ». Il enregistre la page vue, le site d'origine du lien et la largeur d'écran, sans cookie ni stockage local, sans conserver l'adresse IP ni le navigateur (empreinte recalculée chaque jour avec un sel qui change). Nous n'en tirons que des totaux. Les données brutes sont supprimées au bout de 13 mois, et rien n'est mesuré si votre navigateur envoie Global Privacy Control ou Do Not Track.
OctoLive n'utilise pas de cookies publicitaires tiers. Aucun pixel de suivi cross-sites. La préférence de thème et de langue est stockée localement (localStorage) et n'est jamais transmise à des serveurs tiers.
Article 9
Contact & DPO
Pour toute question relative à cette politique ou pour exercer vos droits, contactez notre Délégué à la Protection des Données :
Délégué à la Protection des Données (DPO)
Funchal, Portugal
Cette politique peut être mise à jour pour refléter des évolutions légales ou techniques. La date de dernière révision est indiquée en en-tête. Toute modification substantielle sera notifiée aux organisateurs enregistrés par e-mail.