Tes données

Confidentialité

Le site n'utilise aucun cookie de pistage et aucun pixel : pas de bouton de réseau social, pas de publicité. Les seuls cookies servent à te connecter et à te garder connecté, et seulement si tu crées un compte. La fréquentation est mesurée sans cookie, par un outil installé sur le serveur du site (voir « La mesure d'audience »). C'est pour cela qu'aucun bandeau ne te demande ton accord.

Le responsable du traitement est l'éditeur du site, Alexandre, un particulier qui a choisi de préserver son anonymat comme la loi le permet (voir les mentions légales). Pour toute question : [email protected].

Si tu lis le site sans compte

Rien ne t'est demandé et aucun profil n'est constitué. La recherche fonctionne dans ton navigateur, à partir d'un index téléchargé depuis le site : ce que tu tapes n'est envoyé à personne. Les polices sont hébergées par le site lui-même.

Les bandes-annonces des fiches sont lues par YouTube (Google), avec son lecteur youtube-nocookie.com : rien ne lui est demandé avant que tu cliques sur « Bande-annonce ». Une fois la vidéo lancée, YouTube reçoit ton adresse IP et applique sa propre politique de confidentialité.

Comme tout serveur web, celui qui héberge le site tient des journaux techniques (adresse IP, page demandée, date, navigateur), nécessaires à son fonctionnement et à sa sécurité. Ils ne servent à rien d'autre.

La mesure d'audience

Pour savoir quelles pages sont lues et d'où viennent les visiteurs, le site utilise Umami, un outil libre installé sur son propre serveur : rien ne part chez un tiers. Il ne dépose aucun cookie et ne garde pas ton adresse IP. Il note la page vue (sans ce qui suit le « ? » de l'adresse), la page d'où tu arrives, ton pays et ta ville, ta langue, le type d'appareil, de système et de navigateur, et la taille de l'écran. Il reconnaît un même appareil pendant un mois au plus, sans savoir qui tu es, et ne te suit pas d'un site à l'autre. Seul l'éditeur du site voit ces chiffres.

Si ton navigateur envoie le signal « Ne pas me pister », tu n'es pas compté. Tu peux aussi refuser ici, pour ce navigateur :

Si tu crées un compte : ce qui est gardé

• ton adresse e-mail, pour t'envoyer le lien de connexion et, au besoin, te prévenir d'un changement qui touche ton compte (conditions d'utilisation, modération, fermeture du service) ;
• si tu te connectes avec Google : l'identifiant de ton compte Google et ton adresse e-mail vérifiée, rien d'autre ;
• ton pseudo et tes réglages (étagère publique ou non) ;
• ta photo de profil, si tu en mets une : recadrée et réduite sur ton appareil avant l'envoi, sans ses informations cachées (position, appareil) ;
• tes notes de films (de 0 à 10) et les identifiants de tes profils ailleurs (IMDb, Letterboxd, SensCritique…) si tu en donnes ;
• ta collection : les éditions que tu possèdes, avec ce que tu choisis d'y ajouter (état, prix payé, numéro, note) ;
• tes envies, tes alertes et les titres que tu suis (un e-mail à chaque nouveau steelbook) ;
• tes succès et leur date de déblocage ;
• les dates de tes visites : création du compte, dernière visite, visite précédente, et les semaines où tu es passé, pour te montrer ce qui a bougé « depuis ta dernière visite » ;
• tes sessions : une empreinte du secret de connexion (jamais le secret lui-même), avec ses dates de création, de dernier usage et d'expiration ;
• pour chaque demande de lien de connexion : l'adresse e-mail, l'heure et l'adresse IP de la demande, pour limiter les abus.

Ta collection est privée par défaut. Si tu rends ton étagère publique, n'importe qui peut la voir à l'adresse steelbooks.fr/u/ton-pseudo : il suffit de connaître ton pseudo. On y voit ton pseudo, ta photo de profil si tu en as mis une, depuis quand tu es membre, ton rang, tes steelbooks avec leur date d'ajout, tes succès, tes notes de films et les liens vers tes profils ailleurs. Jamais ton adresse e-mail, tes prix payés ni tes commentaires d'exemplaire.

Pourquoi

Pour faire fonctionner le service que tu demandes en créant un compte : te connecter, garder ta collection, tes envies, tes alertes et les titres que tu suis, calculer tes succès et ton rang, te montrer les nouveautés qui te concernent, afficher ton étagère si tu la rends publique, et protéger le site contre les abus. Tes données ne sont ni vendues, ni louées, ni utilisées pour de la publicité.

Sur quelle base

L'exécution du service que tu demandes (article 6, 1, b du règlement général sur la protection des données). Les journaux du serveur et les limites contre les abus reposent sur l'intérêt légitime à protéger le site (article 6, 1, f). La mesure d'audience repose sur l'intérêt légitime à connaître la fréquentation du site (article 6, 1, f) : faite sans cookie, pour le seul éditeur, elle ne demande pas ton accord, et tu peux la refuser d'un clic (voir « La mesure d'audience »). Il faut avoir au moins 15 ans pour créer un compte.

Qui d'autre les voit

L'éditeur du site peut consulter les informations de ton compte (adresse e-mail, pseudo, dates d'inscription et de visite, collection, envies, alertes, titres suivis, succès, contributions) pour administrer le site : répondre à une demande, traiter une contribution, repérer un abus. Chaque consultation est notée dans le journal du service. Il n'a accès ni à tes cookies de connexion ni à rien qui lui permettrait d'agir à ta place.

• Brevo (France) envoie les e-mails du site, à commencer par le lien de connexion. Il reçoit ton adresse e-mail et le contenu du message, et garde une trace de l'envoi. Le message est écrit sans image ni lien de suivi ; si Brevo mesure l'ouverture ou les clics, le site n'exploite pas ces mesures.
• Google, si tu choisis « Continuer avec Google » : il sait alors que tu te connectes à steelbooks.fr et transmet ton adresse e-mail vérifiée et ton identifiant.
• Google encore, pour la messagerie : les messages que tu écris au site (à [email protected], ou en répondant à l'un de ses e-mails) arrivent dans une boîte Gmail.
• Cloudflare diffuse le site : toutes les pages passent par son réseau, qui voit donc l'adresse IP et la page demandée. Sur la page de connexion, son service Turnstile vérifie que la demande ne vient pas d'un robot. Il achemine aussi les messages écrits à [email protected].
• Private Layer Inc. fournit le serveur qui héberge le site, donc la base des comptes et ses sauvegardes.

Ce serveur est en Suisse, pays que la Commission européenne reconnaît comme offrant une protection adéquate. Private Layer Inc. est établie au Panama, pays qui n'a pas fait l'objet d'une telle décision. Le serveur est administré par l'éditeur du site, pas par Private Layer, qui fournit la machine et sa connexion. Cloudflare et Google sont établis aux États-Unis et adhèrent au cadre de protection des données entre l'Union européenne et les États-Unis (Data Privacy Framework).

Quand tu cliques sur un lien affilié, tu quittes le site : le marchand et la plateforme d'affiliation Awin appliquent alors leur propre politique de confidentialité.

Combien de temps

• ton compte et tout ce qu'il contient : jusqu'à ce que tu le supprimes ;
• ta photo de profil : jusqu'à ce que tu la changes ou la retires, et au plus tard jusqu'à la suppression de ton compte ;
• le lien de connexion : valable 20 minutes, et une seule fois ; la trace de la demande (adresse e-mail, heure, adresse IP) est effacée au bout de 24 heures ;
• une session : 180 jours, prolongés à chaque visite ; la déconnexion l'efface aussitôt ;
• les sauvegardes de la base : 14 jours. Après la suppression d'un compte, ses données restent dans les sauvegardes déjà faites, jusqu'à leur effacement ;
• la trace des e-mails envoyés chez Brevo : selon la politique de conservation de Brevo ;
• les journaux techniques du serveur web : 14 jours (rotation quotidienne) ;
• les données de la mesure d'audience : 25 mois au plus ;
• les messages écrits au site : un an après le dernier échange.
• les contributions (photos, message, adresse e-mail si tu la donnes) : tant qu'elles servent à la base, et six mois au plus pour celles qui ne sont pas retenues ; l'adresse IP de l'envoi, qui sert seulement à limiter les abus : deux jours.

Les cookies

Ils ne sont déposés que lorsque tu te connectes, et tous sont strictement nécessaires au service que tu demandes :

• sb_session te garde connecté. Il contient un secret aléatoire, illisible par les scripts de la page, et dure 180 jours, prolongés à chaque visite ;
• sb_connecte vaut simplement « 1 », sans aucune donnée : il dit aux pages qu'il faut demander ton compte au serveur ;
• sb_oauth, seulement si tu choisis « Continuer avec Google » : un cookie temporaire de 10 minutes qui protège l'aller-retour vers Google.

Ce qui reste dans ton navigateur

Ton choix de thème (clair ou sombre), ta vue préférée de la collection (mur ou liste) et, si tu le demandes, ton refus de la mesure d'audience sont gardés dans ton navigateur (stockage local), et nulle part ailleurs.

Si tu cliques sur « Je l'ai », « Je le veux » ou « Alerte » avant d'être connecté, l'action attend dans ton navigateur le temps de la connexion, en stockage de session et en stockage local, pour que le lien reçu par e-mail la retrouve dans un nouvel onglet. Elle est effacée dès qu'elle est rejouée, et n'est plus prise en compte au bout de 30 minutes.

Tes droits

• Accès : ta collection, tes envies, tes alertes, les titres que tu suis, tes succès et tes réglages sont visibles dans ton espace membre ; pour le reste, écris à [email protected] ;
• Rectification : pseudo, collection, envies, alertes, titres suivis et réglages se modifient directement ; pour ton adresse e-mail, écris à [email protected] ;
• Effacement : la suppression du compte, dans tes réglages, est immédiate et complète ; tu peux aussi la demander à [email protected] ;
• Portabilité : l'export de ta collection, en JSON ou en CSV, est libre et disponible à tout moment dans tes réglages ;
• Opposition et limitation : la mesure d'audience se refuse d'un clic (voir « La mesure d'audience ») ; pour le reste, écris à [email protected].

Toutes les demandes passent par une seule adresse, [email protected], avec une réponse sous un mois au plus.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL ou à l'autorité de protection des données de ton pays.