Politique de confidentialité

Responsable de traitement

Le responsable du traitement des données est SAS GELMIX (voir les Mentions légales). Vous pouvez écrire à bonjour@baza.fr.

Données traitées

Le service traite uniquement les données nécessaires à son fonctionnement :

• numéro de téléphone mobile (identifiant du compte, vérifié par SMS) ;
• adresse email (obligatoire à l’inscription — connexion et récupération du compte) ;
• mot de passe (stocké exclusivement sous forme hachée — empreinte scrypt —, jamais en clair et jamais sous une forme réversible) ;
• date de naissance (vérification de la majorité — seul l’âge calculé est affiché, et cet affichage peut être désactivé) ;
• pseudo, type de profil (femme, homme, couple), phrase de présentation, préférences de rencontre sélectionnées ;
• photo de profil, photos envoyées en messagerie et photos de vos albums privés ;
• position approximative (uniquement avec votre consentement explicite) ;
• messages privés et messages échangés dans les groupes ;
• favoris, profils masqués et blocages ;
• signalements émis et reçus, et pièces jointes que vous choisissez d’y ajouter ;
• statut de certification de votre profil (certifié ou non, méthode et date) ;
• photo de certification, uniquement si vous demandez la certification ET si l’analyse automatique laisse un doute : elle est alors conservée temporairement, dans un espace privé, pour être examinée par une personne de l’équipe (voir « Durées de conservation ») ;
• abonnement aux notifications push, uniquement si vous les activez (adresse d’abonnement fournie par votre navigateur, clés publiques de chiffrement associées, empreinte hachée du navigateur et type de plateforme) ;
• données techniques de connexion (journaux du serveur, identifiants de session).

Minimisation

Aucun nom ou prénom réel, aucune adresse postale et aucune pièce d’identité ne sont demandés : seules les données nécessaires à la sécurité du compte et à la vérification de la majorité sont collectées.

Finalités et bases légales

Les traitements reposent sur les bases légales suivantes :

• fourniture du service (profils, messagerie, favoris) — exécution du contrat ;
• affichage des profils à proximité — consentement (géolocalisation) ;
• sécurité, prévention des abus, modération de la photo de profil, traitement des signalements — intérêt légitime et obligations légales ;
• certification du profil par photo — consentement (vous seul la demandez ; le service fonctionne sans) ;
• notifications push — consentement (autorisation donnée à votre navigateur, révocable à tout moment) ;
• emails transactionnels (récupération de compte, notifications de sécurité) — exécution du contrat.

Géolocalisation

Votre position n’est enregistrée qu’avec votre consentement explicite. Elle n’est jamais affichée : aucune coordonnée exacte ni adresse n’est montrée, ni à vous ni aux autres membres.

Les autres membres ne voient qu’une distance arrondie (multiple de 100 m), calculée côté serveur. Le mode « discret » masque totalement votre position (aucune distance affichée).

Le retrait du consentement efface immédiatement votre position : aucune position n’est conservée après retrait.

Messages privés et médias privés

Les messages échangés en privé — texte comme photos — ne sont jamais lus ni modérés automatiquement : ils relèvent de la confidentialité des correspondances. Ils ne sont accessibles qu’aux participants de la conversation.

Les photos envoyées en messagerie ne sont jamais transmises à un service de modération ou d’analyse. Elles sont compressées et refusées si elles contiennent des métadonnées (EXIF/GPS) — protections techniques uniquement.

La même règle s’applique aux photos de vos albums privés et aux messages de groupe : aucun de ces contenus n’est analysé automatiquement, ni transmis à un service d’analyse extérieur. Ils sont servis uniquement aux personnes que vous avez autorisées, par une adresse authentifiée, et ne sont ni publics ni indexables.

Photo de profil : modération automatisée puis revue humaine

La photo de profil est PUBLIQUE : elle est la seule photo soumise à une modération automatisée, avant toute publication. L’image est transmise à OpenAI pour analyse — d’abord à un service de classification, puis, si nécessaire, à un modèle d’analyse d’images. Si l’analyse est indisponible, la photo est refusée : aucune photo n’est jamais publiée par défaut.

Lorsque le refus porte sur le contenu, la photo n’est jamais publiée mais peut être conservée temporairement dans un espace privé, afin qu’une personne de l’équipe de modération l’examine. Si elle est acceptée, elle devient votre photo de profil ; si elle est refusée, le fichier est supprimé. Sans décision humaine, elle est détruite automatiquement au plus tard 3 jours après le dépôt.

Une photo refusée parce qu’un doute existe sur la minorité de la personne représentée n’entre jamais dans cette file : elle est détruite immédiatement.

Certification du profil (facultative)

La certification est une démarche VOLONTAIRE : vous seul pouvez la demander, et le service fonctionne entièrement sans elle. Elle consiste à prendre une photo de vous à l’instant même, avec l’appareil photo de votre téléphone, en reproduisant un code affiché à l’écran pendant une durée limitée.

Cette photo est transmise à OpenAI pour une seule question : s’agit-il d’un visage réel, net, correctement éclairé et correctement cadré ? Elle n’est JAMAIS comparée à votre photo de profil, ne fait l’objet d’AUCUNE reconnaissance faciale d’identité, ne donne lieu à AUCUNE pièce d’identité, AUCUNE vidéo et AUCUNE donnée de localisation (les métadonnées de l’image sont refusées). La certification atteste d’un niveau de confiance ; elle ne garantit pas l’identité civile d’un membre.

Si l’analyse accepte la photo, votre profil est certifié et la photo n’est PAS conservée. Si elle la refuse, le motif vous est indiqué et la photo n’est PAS conservée. Si elle laisse un doute, la photo est conservée dans un espace privé pour être examinée par une personne habilitée, puis détruite automatiquement à l’échéance de rétention (3 jours par défaut, au maximum 30 jours). Seul le résultat (certifié ou non) est visible des autres membres.

Notifications push

Les notifications push sont facultatives et ne fonctionnent qu’avec votre autorisation, donnée à votre navigateur. Lorsque vous les activez, le service enregistre l’adresse d’abonnement fournie par votre navigateur, les clés publiques de chiffrement associées, une empreinte hachée du navigateur et le type de plateforme — jamais votre numéro, votre email ni votre position.

Le contenu d’une notification est MINIMAL : un type d’événement, le pseudo de l’expéditeur, l’identifiant de la conversation et, le cas échéant, votre nombre total de messages non lus. Le texte de vos messages n’y figure JAMAIS, ni aucune photo.

Ce contenu est chiffré selon le standard Web Push : le service de notification de votre navigateur (fourni par l’éditeur de votre navigateur ou de votre système) achemine le message sans pouvoir le lire. Vous pouvez désactiver les notifications à tout moment ; l’abonnement est alors supprimé.

Destinataires et sous-traitants

Vos données ne sont ni vendues ni utilisées à des fins publicitaires. Elles ne sont transmises qu’aux sous-traitants techniques strictement nécessaires :

• Hetzner Online GmbH (Allemagne) — hébergement des serveurs, dans l’Union européenne ;
• Mailjet — acheminement des emails transactionnels ;
• OpenAI — analyse d’images : modération automatisée de la photo de profil uniquement, et, si vous demandez la certification de votre profil, analyse de la photo de certification (jamais vos messages, jamais vos photos de messagerie, jamais vos albums privés, jamais votre position) ;
• Capitol Mobile — envoi des codes de vérification par SMS ;
• le service de notification de l’éditeur de votre navigateur ou de votre système (Apple, Google ou Mozilla selon l’appareil) — acheminement des notifications push, si vous les avez activées : il reçoit l’adresse d’abonnement et un contenu chiffré qu’il ne peut pas lire.

Transferts hors de l’Union européenne

Les serveurs qui hébergent le service et vos données sont situés dans l’Union européenne (Allemagne).

Deux traitements font intervenir un prestataire établi hors de l’Union européenne : la modération de la photo de profil publique et, si vous la demandez, l’analyse de la photo de certification, confiées à OpenAI, société établie aux États-Unis. Ces transferts sont strictement limités à l’image concernée et à cette seule finalité : ni vos messages, ni vos photos de messagerie, ni vos albums privés, ni votre position ne sont transmis.

L’acheminement des notifications push, si vous les activez, passe par le service de notification de votre navigateur ou de votre système, qui peut être établi hors de l’Union européenne ; le contenu transmis est chiffré et ne peut pas être lu par ce service.

Pour toute question sur les garanties encadrant ces transferts, écrivez à bonjour@baza.fr.

Durées de conservation

• données du compte : conservées tant que le compte est actif ;
• suppression du compte : effacement immédiat des données (voir la page Suppression de compte) ;
• codes de vérification SMS : éphémères, stockés uniquement sous forme hachée, à usage unique ;
• photo de profil refusée par la modération automatique et mise en attente d’une revue humaine : détruite (fichier et enregistrement) au plus tard 3 jours après le dépôt si aucune décision n’est prise, et immédiatement en cas de décision ;
• photo de certification laissée en doute : conservée le temps de la revue humaine puis détruite automatiquement à l’échéance de rétention — 3 jours par défaut, au maximum 30 jours ; acceptée ou refusée par l’analyse automatique, elle n’est pas conservée du tout ;
• abonnement aux notifications push : conservé tant que vous les laissez activées, supprimé au désabonnement, à la suppression du compte, ou lorsque le service de notification indique que l’abonnement n’existe plus ;
• journaux techniques : conservés au plus 12 mois (obligations légales), jamais au-delà des durées légales applicables ; sauvegardes : purgées au plus tard 30 jours après leur création.
• suspension définitive d’un compte : des empreintes irréversibles (hachages) du téléphone et de l’email sont conservées dans le seul but d’empêcher la réinscription (intérêt légitime — sécurité du service) ; elles sont supprimées en cas de réhabilitation du compte.

Vos droits (RGPD)

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données. Vous pouvez les exercer via la page Contact.

Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Sécurité

Les échanges avec le service sont chiffrés en transit. Les sessions sont révocables (la déconnexion invalide le jeton). Les codes de vérification ne sont jamais stockés en clair.

Votre mot de passe n’est pas chiffré : il est HACHÉ (fonction scrypt, avec un sel unique par mot de passe). Un hachage n’est pas réversible — personne, y compris nous, ne peut retrouver votre mot de passe à partir de ce qui est stocké.

Les photos sont stockées hors de tout dossier public et ne sont servies qu’aux personnes autorisées (vous pour votre photo de profil, les participants pour une photo de messagerie, les membres autorisés pour un album privé).

Cookies et stockage local

Le service n’utilise pas de cookies publicitaires. Seul un stockage strictement nécessaire au fonctionnement est utilisé (session, préférences d’affichage).

Si des outils de mesure d’audience étaient ajoutés, ils feraient l’objet d’une information dédiée et, si requis, d’un bandeau de consentement préalable.

Mineurs

Le service est interdit aux mineurs. Tout signalement « Mineur présumé » est traité en priorité et entraîne la suppression du compte en cas de minorité avérée.