1. Responsable du traitement

Le responsable du traitement des données personnelles est : Rolland Eudelin, entrepreneur individuel.

Contact : contact@aidermaville.fr

2. Données collectées

Pour les citoyens sans compte(lors de la soumission d'une observation) :

Photo de la situation observée
Commentaire descriptif
Géolocalisation GPS (coordonnées de l'observation)
Adresse email (optionnelle, uniquement pour recevoir des mises à jour sur le suivi)

Pour les citoyens avec un compte(lors de la création d'un compte citoyen) :

Adresse email
Mot de passe (haché avec bcrypt, non stocké en clair)
Historique de vos observations soumises via votre compte

Pour les agents municipaux (lors de la création du compte mairie) :

Adresse email professionnelle
Nom complet
Mot de passe (haché avec bcrypt, jamais stocké en clair)

3. Finalités du traitement

Les données collectées sont utilisées aux fins suivantes :

Traitement des observations urbaines par les services municipaux
Communication entre la mairie et le citoyen (suivi de l'observation)
Production de statistiques anonymisées sur les observations
Amélioration du service

4. Base légale

Mission d'intérêt public (article 6.1.e du RGPD) : le traitement des observations urbaines relève de la mission de service public des communes.
Consentement(article 6.1.a du RGPD) : la fourniture de l'adresse email par le citoyen est volontaire et constitue un consentement au traitement pour le suivi de l'observation.
Intérêt légitime (article 6.1.f du RGPD) : la sécurité du service (rate limiting, protection contre les abus) et la prévention de la fraude.

5. Durée de conservation

Email citoyen : anonymisé après 90 jours sur les observations résolues.
Photos : conservées 3 ans après la résolution du signalement, puis supprimées définitivement (compressées automatiquement après 30 jours).
Observations :les métadonnées sont conservées à des fins d'historique et de statistiques, mais le lien avec le citoyen est anonymisé (email et identifiant supprimés) à l'issue des délais légaux applicables.
Sessions démo : supprimées automatiquement après 48 heures.

6. Cookies utilisés

Aider Ma Ville utilise uniquement des cookies fonctionnels, strictement nécessaires au fonctionnement du service :

Cookie de session d'authentification (agents municipaux et citoyens connectés)
Cookie de session démo (demo_verified, demo_municipality_id, demo_session_id) : durée 30 minutes, session démo supprimée après 48 h

Aucun cookie de tracking, analytique ou publicitaire n'est utilisé.

7. Droits des utilisateurs

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie de vos données personnelles.
Droit de rectification : corriger des données inexactes.
Droit de suppression : demander l'effacement de vos données.
Droit à la portabilité : recevoir vos données dans un format structuré.
Droit d'opposition : vous opposer au traitement de vos données.

Pour exercer ces droits, contactez-nous à : contact@aidermaville.fr

Vous pouvez également introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés).

8. Sous-traitants

Les données personnelles peuvent être traitées par les sous-traitants suivants :

Vercel Inc.: hébergement de l'application web
Supabase Inc. : base de données PostgreSQL et stockage de fichiers (photos)
Resend: envoi d'emails transactionnels (notifications de suivi)
Cloudflare : protection CAPTCHA (Turnstile)
Sentry (Functional Software, Inc.) : supervision technique des erreurs applicatives (les emails et jetons sont expurgés avant envoi ; ni adresse IP ni cookies transmis)
IGN (Géoplateforme) : API publique française de géocodage inversé (carte et localisation)

L'IGN est un établissement public français. Aucune donnée nominative n'est transmise à ce service : seules des coordonnées GPS anonymes sont envoyées pour le géocodage public.

9. Transferts de données hors Union européenne

Certains de nos sous-traitants opèrent depuis les États-Unis. Ces transferts sont encadrés par le Data Privacy Framework (DPF)UE-États-Unis, décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023 (article 45 du RGPD), complété par des clauses contractuelles types (CCT) selon le DPA de chaque prestataire :

Vercel Inc. : certifié DPF, CCT en complément
Resend Inc. : certifié DPF, CCT en complément
Cloudflare, Inc. : certifié DPF, CCT en complément
Sentry (Functional Software, Inc.) : clauses contractuelles types (CCT) conformément au DPA de Sentry, données expurgées avant transmission
Supabase Inc. : données hébergées en Europe (Irlande, eu-west-1, UE), aucun transfert hors UE pour les données stockées

10. Mesures de sécurité

Nous mettons en œuvre les mesures techniques suivantes pour protéger vos données :

Chiffrement de toutes les communications via HTTPS/TLS
Mots de passe hachés avec l'algorithme bcrypt
Rate limiting pour prévenir les abus et attaques par force brute
En-têtes de sécurité CSP (Content Security Policy)
Validation et assainissement de toutes les entrées utilisateur

11. Risque d'inférence et données sensibles (article 9 RGPD)

AiderMaVille ne collecte ni n'analyse votre état de santé, vos opinions politiques ou toute autre donnée sensible au sens de l'article 9 du RGPD. Deux situations peuvent néanmoins permettre une inférence indirecte à partir de vos signalements :

Commentaire libre : un texte descriptif peut révéler involontairement une situation personnelle (problème de santé, situation familiale). Nous vous recommandons de limiter votre commentaire à la description du problème constaté, sans mentionner de détails personnels.
Localisation et historique :la combinaison d'une adresse précise et de l'historique de vos signalements peut révéler vos habitudes de déplacement. Pour limiter ce risque, vous pouvez indiquer un code postal ou un quartier approximatif plutôt qu'une adresse exacte.

Le signalement entièrement anonyme est possible : vous pouvez soumettre une observation sans fournir d'adresse email ni indiquer votre adresse personnelle comme lieu du signalement.