Dernière mise à jour : 11 septembre 2026 · version 6
1. Responsable du traitement. Le responsable du traitement est Daniele Cattaneo, joignable à l'adresse [email protected]. Aucun délégué à la protection des données n'a été désigné, cela n'étant pas obligatoire au titre de l'art. 37 du RGPD.
2. Quelles données nous traitons.
(a) Données du compte : l'adresse e-mail avec laquelle tu te connectes, par lien de connexion ou compte Google. Si tu utilises la connexion Google, Google nous transmet ton e-mail et des identifiants de base du profil ; nous n'utilisons que l'e-mail.
(b) Données de l'app : les contenus que tu saisis volontairement, à savoir séances d'étude ou de travail, notes de focus, examens, notes, objectifs, plans hebdomadaires, bilans, réglages et, facultativement, le prénom que tu choisis d'afficher.
(c) Données du coworking : si tu utilises le coworking, nous traitons le créneau que tu réserves, l'état de la séance (en file, en binôme, terminée, annulée), le prénom ou surnom que tu choisis de montrer aux autres participants, obligatoire pour utiliser le coworking, l'année de naissance que tu indiques une seule fois pour confirmer ta majorité (pas la date complète), les favoris que tu ajoutes (visibles de toi seul) et les éventuels signalements envoyés ou reçus. Voir aussi le point 5.
(d) Données d'assistance : si tu envoies un signalement ou une demande d'aide, le texte du message, la langue de l'interface et — seulement si tu coches la case prévue — ton e-mail. Si tu ne la coches pas, l'envoi est anonyme.
(e) Données techniques : informations strictement nécessaires au fonctionnement, comme les jetons d'authentification, les horodatages et les journaux de sécurité des hébergeurs.
(f) Statistiques de trafic agrégées : pour chaque page ouverte, nous enregistrons le chemin de la page, la page d'origine, la langue du navigateur, le moment de la visite et — uniquement si tu es arrivé par l'un de nos liens étiquetés, par exemple focus-sea.com/c1 — l'étiquette de ce lien. L'étiquette appartient au lien, pas à toi : elle est identique pour quiconque le clique, elle n'est jamais enregistrée sur ton appareil et elle disparaît aussitôt de la barre d'adresse. Nous n'utilisons aucun cookie, ne générons aucun identifiant et ne relions jamais deux visites entre elles : il est impossible de reconstituer le parcours d'une personne ni de t'identifier. Voir le point 10.
2-bis. Si tu ne fournis pas les données. L'e-mail est nécessaire pour créer le compte et te connecter : sans lui, le service ne peut pas t'être fourni. Le nom affiché et l'année de naissance ne servent que pour le coworking : sans eux, le minuteur et le reste de l'application restent disponibles. Toutes les autres données, c'est toi qui les saisis quand tu veux, et ne pas les saisir n'entraîne aucune conséquence.
3. Finalités et bases légales. Nous traitons tes données pour : fournir le service, t'authentifier et synchroniser tes données entre tes appareils (art. 6.1.b RGPD, exécution d'un contrat) ; permettre la mise en relation et le déroulement des séances de coworking que tu demandes (art. 6.1.b) ; répondre aux demandes d'assistance (art. 6.1.b) ; assurer la sécurité du service, prévenir les abus et traiter les signalements entre utilisateurs (art. 6.1.f, intérêt légitime, le nôtre et celui des autres utilisateurs à un environnement sûr) ; mesurer sous forme agrégée quelles pages sont utilisées (art. 6.1.f, intérêt légitime à savoir si le service fonctionne, avec l'impact le plus faible possible sur ta vie privée) ; recueillir automatiquement les messages d'erreur techniques de l'app — ce qui a cassé, sur quel écran et avec quel navigateur, jamais ce que tu as écrit — afin de corriger les pannes (art. 6.1.f, intérêt légitime à faire fonctionner le service) ; respecter des obligations légales (art. 6.1.c). Nous ne vendons pas tes données, nous ne les utilisons pas à des fins publicitaires et nous n'effectuons aucun profilage ni décision automatisée produisant des effets juridiques à ton égard. La seule mesure automatique prévue est la suspension conservatoire des réservations futures après des séances où l'autre personne ne s'est pas présentée : elle est temporaire, tu peux la lever toi-même ou elle expire d'elle-même au terme indiqué dans l'application, et elle ne produit pas d'effets juridiques et ne t'affecte pas de manière significative de façon analogue au sens de l'art. 22 du RGPD. Toute limitation, suspension ou fermeture est en revanche décidée par une personne (voir le point 5).
4. Appels vidéo de coworking. Les séances en binôme se déroulent en appel vidéo via Jitsi Meet, un logiciel libre qui tourne sur un serveur à nous, à Francfort (Allemagne, Union européenne). La machine est fournie par Oracle (voir le point 6) ; le logiciel d'appel vidéo est libre et c'est nous qui l'exploitons. Il n'y a aucun fournisseur tiers de visioconférence : l'appel ne passe par aucune plateforme commerciale.
Comment la vidéo circule, précisément. Quand vous êtes deux, vos appareils essaient d'abord de se connecter directement : c'est le chemin le plus court, et sans lui le retard suffit à vous parler dessus. Dans une connexion directe les deux appareils voient l'adresse IP l'un de l'autre, comme dans n'importe quelle liaison directe entre deux ordinateurs : c'est une donnée personnelle, nous ne la conservons pas et ne l'affichons pas, et c'est le prix d'une conversation sans retard (voir le point 4-bis). Si la connexion directe échoue — cela arrive souvent en réseau mobile — l'audio et la vidéo passent par notre serveur de Francfort, qui ne fait que les transmettre : il ne les enregistre pas, ne les conserve pas, ne les ouvre pas, et dans ce cas les deux adresses ne se rencontrent jamais. Dans aucun des deux cas l'appel ne passe par une plateforme commerciale.
Une chose vraie que nous te disons quand même : notre serveur est dans l'Union européenne, mais l'appel vidéo atteint la personne à qui tu parles, où qu'elle soit — y compris hors de l'UE, si c'est là qu'elle vit. C'est le sens même d'un appel vidéo, et écrire qu'aucune donnée ne quitte l'Europe ne serait pas honnête. Ce que nous pouvons te dire, c'est que ce qui en sort est uniquement ce que tu as choisi de lui montrer : ton image et ta voix, le temps de l'appel.
Nous n'enregistrons pas l'audio ni la vidéo : sur notre serveur l'enregistrement n'est pas une fonction désactivée, c'est une fonction qui n'existe pas. Le chat texte de la séance est lui aussi éphémère et n'est enregistré nulle part. L'autre personne voit ton image et entend ta voix pendant l'appel, ainsi que le prénom ou surnom que tu as choisi d'afficher : nous ne lui montrons jamais ton e-mail ni le nom de ton compte. Nous te recommandons de ne pas partager pendant l'appel des informations personnelles que tu ne veux pas divulguer. Enregistrer l'appel est interdit par les Conditions d'utilisation.
5. Signalements et modération. Si tu signales une séance, nous traitons le motif choisi, la description que tu rédiges, l'identifiant de la séance et les comptes concernés. Les signalements sont examinés par une personne : aucun automatisme ne suspend un compte. À l'issue de l'examen, nous pouvons limiter, suspendre ou fermer l'accès au coworking. Si une mesure te vise, tu as le droit de la contester en écrivant à [email protected], et tu recevras une réponse motivée.
6. Destinataires des données. Tes données ne sont jamais vendues et ne sont pas communiquées à des tiers à des fins de marketing. Nous distinguons deux situations, car les garanties ne sont pas les mêmes. Traitent des données pour notre compte, en tant que sous-traitants au sens de l'art. 28 RGPD : Supabase (base de données, authentification, fonctions serveur), Cloudflare (hébergement du site et acheminement du courrier), Resend (envoi des e-mails de connexion) et Oracle (la machine de Francfort sur laquelle tourne notre serveur d'appels vidéo : elle fournit l'infrastructure, pas le service d'appel vidéo). Traite des données de façon autonome, en tant que responsable propre et non pour notre compte : Google, uniquement si tu choisis la connexion avec Google et limité à l'authentification. Il n'y a pas d'autres destinataires : l'app ne charge aucun script, police, carte ou image depuis des serveurs tiers, n'utilise aucun réseau de diffusion externe et aucun outil d'analyse tiers. Nous pouvons également communiquer des données à l'autorité judiciaire ou aux autorités compétentes lorsque la loi l'exige.
7. Où résident les données et transferts. La base de données et l'authentification sont hébergées par Supabase dans la région de Francfort, Allemagne (Union européenne). Le serveur d'appels vidéo se trouve lui aussi à Francfort. L'accès aux données de l'app est protégé par row-level security : chaque compte ne peut lire et écrire que ses propres données. Pour Supabase, Cloudflare et Oracle, où une partie du trafic technique ou des activités d'assistance peut impliquer des infrastructures hors de l'Union européenne, le transfert repose sur les garanties du chapitre V du RGPD prévues par les accords de traitement respectifs. Il n'y a aucune exception, et il y en avait une avant : jusqu'au 7 septembre 2026, l'appel vidéo passait par l'infrastructure américaine d'un fournisseur tiers, ce que nous te disions ouvertement et pour quoi nous te demandions un consentement spécifique au titre de l'art. 49.1.a RGPD. Depuis que l'appel vidéo tourne sur un serveur à nous dans l'Union européenne, ce transfert n'a plus lieu, et ce consentement a été retiré parce qu'il n'a plus rien à autoriser.
8. Conservation. Les données du compte et de l'app sont conservées tant que ton compte est actif. Si tu demandes la suppression de ton compte, elles sont effacées sans retard injustifié ; les copies résiduelles dans les sauvegardes techniques sont supprimées dans les cycles de sauvegarde habituels des prestataires, en règle générale sous 30 jours. Les données des séances de coworking sont conservées le temps nécessaire pour t'afficher ton historique et traiter d'éventuels signalements. Les signalements et le résultat de leur examen sont conservés jusqu'à 24 mois, afin de pouvoir apprécier des comportements répétés et nous défendre en cas de contestation. Les retours anonymes ne sont conservés que le temps utile à l'amélioration du service. Les statistiques de trafic agrégées sont conservées 12 mois au maximum.
9. Tes droits. Au titre des art. 15 à 22 du RGPD, tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Tu peux exporter toutes tes données toi-même et à tout moment depuis Réglages → Données, et supprimer ton compte et tes données depuis Réglages → Zone dangereuse. Pour exercer les autres droits, écris à [email protected] : nous répondons sous un mois. Tu as également le droit d'introduire une réclamation auprès de l'autorité de contrôle de ton pays ; en France, la CNIL (www.cnil.fr) ; en Italie, le Garante per la protezione dei dati personali.
9-bis. Droit d'opposition. Tu as le droit de t'opposer à tout moment, pour des raisons tenant à ta situation particulière, aux traitements que nous effectuons sur la base de l'intérêt légitime (point 3) : sécurité et gestion des signalements, statistiques de trafic agrégées, collecte automatique des erreurs techniques. Pour l'exercer, il suffit d'écrire à [email protected]. Nous te le signalons ici séparément parce que l'art. 21 du RGPD exige que ce droit soit porté à ton attention de manière explicite et distincte des autres informations.
10. Cookies et stockage local. L'app n'utilise aucun cookie, ni technique ni de profilage. Elle n'utilise que le stockage local du navigateur (localStorage et IndexedDB) nécessaire à son fonctionnement : la copie locale de tes données, le jeton de session et tes préférences, comme la langue et le thème. Pour chaque page ouverte, nous enregistrons aussi des statistiques de visite agrégées — quelle page, la page d'origine, la langue du navigateur, l'heure — mais sans cookie, sans aucun identifiant enregistré sur ton appareil et sans relier entre elles deux visites d'une même personne : le même principe que les outils « sans cookies » comme Plausible ou Fathom. Il n'y a ni cookies publicitaires, ni outils d'analyse tiers, ni pixels de suivi. C'est pourquoi aucune bannière de consentement n'apparaît : la réglementation sur les cookies concerne le fait de lire ou d'écrire des données sur ton appareil pour te suivre, ce qui n'arrive jamais ici.
11. Sécurité. Nous appliquons des mesures techniques et organisationnelles adaptées au risque : transmission chiffrée (HTTPS), accès aux données limité par compte via row-level security, authentification sans mot de passe stocké chez nous. Aucun système n'est absolument sûr : en cas de violation de données à caractère personnel présentant un risque élevé pour tes droits, nous t'en informerons conformément à l'art. 34 du RGPD.
12. Mineurs. Le service est réservé aux personnes de 18 ans et plus. Nous ne collectons pas sciemment de données de mineurs. Si tu penses qu'un mineur a créé un compte, écris-nous à [email protected] et nous le supprimerons.
13. Modifications. Nous pouvons mettre à jour cette politique. Les modifications importantes seront annoncées dans l'app avec un préavis raisonnable et la date en haut sera actualisée. Si tu n'es pas d'accord, tu peux fermer ton compte à tout moment depuis les Réglages, sans frais. Les modifications ne s'appliquent jamais rétroactivement aux traitements déjà effectués.