Politique de confidentialité

01Introduction et responsable du traitement

Bienvenue sur Odyssey Journal (« nous », « notre » ou l’« Application »). Nous respectons votre vie privée et nous engageons à protéger vos données personnelles dans le plein respect de la loi turque sur la protection des données personnelles (KVKK — loi n° 6698), du Règlement général sur la protection des données (RGPD — UE 2016/679) et du California Consumer Privacy Act (CCPA).

La présente Politique de confidentialité explique comment nous collectons, utilisons, conservons, traitons et protégeons vos informations lorsque vous utilisez notre application mobile et les services web associés à l’adresse odysseyjournal.app.

• Responsable du traitement : Arif Gültaş
• Contact protection des données et confidentialité : privacy@odysseyjournal.app
• Assistance générale : support@odysseyjournal.app
• Site officiel : odysseyjournal.app

La présente Politique de confidentialité a pour but de vous informer ; ce n’est pas un contrat et il ne vous est pas demandé de l’accepter. Lorsque nous nous fondons sur votre consentement, nous le recueillons séparément dans l’Applicationlication (voir la section 4), et vous pouvez le retirer à tout moment.

02Informations que nous collectons

Nous collectons les données personnelles par voie électronique, via l’Application et le site web : en partie directement auprès de vous, lorsque vous les saisissez, et en partie automatiquement pendant que vous les utilisez (section 2B).

A. Informations que vous fournissez volontairement

• Identifiants et profil du compte : adresse e-mail, mot de passe (haché et salé de manière sécurisée via Supabase Auth), nom d’utilisateur, nom complet, biographie du profil, image d’avatar, un lien facultatif vers un site web, la langue que vous avez choisie dans l’application et vos préférences de notification.
• Lieu de résidence (facultatif) : si vous acceptez la demande affichée après votre première connexion, les coordonnées, la ville et le pays de votre domicile sont enregistrés dans votre compte, où vous seul pouvez les consulter. Ils servent uniquement à calculer la distance de votre carte d’embarquement. Les autres utilisateurs ne les voient jamais ; ils ne voient que ce chiffre de distance, calculé pour eux à partir d’une version approximative (arrondie) de votre lieu de résidence. Vous pouvez ignorer cette demande.
• Contenu généré par l’utilisateur (UGC) : publications de voyage, récits, photographies et leurs légendes, catégories, la météo enregistrée avec une publication, commentaires, favoris, collections, réactions (mentions « j’aime »), dates de voyage et, facultativement, lieux. Les publications sont publiques : tout utilisateur connecté de l’Application peut les voir, avec leur lieu. Les collections peuvent être rendues privées.
• Activité sociale : les comptes que vous suivez et qui vous suivent, les utilisateurs que vous bloquez, les signalements que vous envoyez (avec leur motif, le texte que vous ajoutez et le compte concerné) et votre historique de recherche, enregistré dans votre compte afin de vous proposer vos recherches récentes.
• Communications directes : messages privés échangés entre voyageurs dans l’application (« Lettres »), demandes de message et leur acceptation, et échanges d’assistance envoyés à nos adresses e-mail.

B. Données techniques collectées automatiquement

• Informations sur l’appareil : système d’exploitation et version, version de l’application et, seulement si vous autorisez les notifications, le jeton de notification push de votre appareil. Les rapports de plantage contiennent aussi le modèle de l’appareil, que Sentry enregistre automatiquement.
• Données de diagnostic et de plantage : journaux de plantage, traces d’exécution et mesures de performance issues d’un échantillon de sessions, collectés via Sentry. Les adresses e-mail sont masquées avant qu’un rapport ne quitte votre appareil ; les rapports sont liés à votre identifiant de compte (un identifiant aléatoire), non à votre nom.
• Données de réseau et de session : votre adresse IP, que reçoit nécessairement chaque serveur contacté par l’application, et l’heure de vos requêtes. Notre fournisseur d’infrastructure, Supabase, les conserve dans ses journaux de service pendant sept (7) jours au plus.
• Journal d’activité (loi turque n° 5651) : lorsque vous créez, modifiez ou supprimez une publication, un commentaire, un message, une collection visible par d’autres, ou votre nom d’utilisateur, votre nom, votre bio ou votre avatar, nous enregistrons votre identifiant de compte, votre adresse IP, l’heure, le type d’action (création, modification ou suppression), l’élément concerné, ainsi que la version de l’application et le système d’exploitation transmis avec la requête (user agent). Le contenu lui-même n’est pas conservé dans ce journal. La section 8 précise sa durée de conservation.

C. Informations de localisation

• Localisation précise (GPS) : lue uniquement lorsque l’Application est ouverte et seulement quand vous utilisez une fonction qui en a besoin : associer votre position actuelle à une publication, définir votre lieu de résidence ou afficher votre propre position sur la carte. Nous ne suivons jamais votre position en arrière-plan ni en continu. Vous pouvez révoquer les autorisations de localisation à tout moment dans les réglages de votre appareil et rechercher plutôt un lieu par son nom.
• Métadonnées des photos : les photos sont réencodées en JPEG avant l’envoi, ce qui supprime leurs métadonnées intégrées, y compris la position GPS enregistrée par l’appareil photo.

03Infrastructure et architecture de données Supabase

Odyssey Journal utilise Supabase (supabase.com) comme backend cloud, base de données, moteur d’authentification et fournisseur de stockage des médias.

Spécifications de sécurité et de stockage Supabase :

• Région des serveurs : notre base de données de production principale et le stockage des médias sont hébergés sur l’infrastructure Supabase (région AWS UE — Francfort, Allemagne).
• Chiffrement en transit : toutes les communications entre l’application mobile, les clients web et les serveurs Supabase sont chiffrées en TLS 1.3 / HTTPS.
• Chiffrement au repos : toutes les tables de la base de données, les enregistrements utilisateurs et les fichiers médias téléversés sont chiffrés au repos selon la norme AES-256.
• Sécurité au niveau des lignes (RLS) : des politiques de base de données strictes et granulaires imposent l’isolation des accès. Les utilisateurs ne peuvent lire, insérer, modifier ou supprimer que les données autorisées par des jetons d’authentification cryptographiques vérifiés (JWT).
• Stockage de la session : votre session est conservée sur votre appareil, dans le stockage privé de l’Application (AsyncStorage), que le système d’exploitation tient séparé des autres applications. Elle est supprimée lorsque vous vous déconnectez ou supprimez votre compte.
• Sauvegardes automatiques : la base de données est sauvegardée automatiquement une fois par jour sur notre offre Supabase Pro, et chaque sauvegarde est conservée sept (7) jours.

04Utilisation de vos informations et bases légales

Nous traitons les données personnelles sur les fondements licites définis aux articles 5 et 6 de la KVKK et à l’article 6 du RGPD :

Lorsque nous nous fondons sur votre consentement, vous pouvez le retirer à tout moment : la vérification de contenu par IA dans les réglages de l’Applicationlication, les autorisations de localisation et de notifications dans les réglages de votre appareil, ou en écrivant à privacy@odysseyjournal.app. Le retrait du consentement n’affecte pas le traitement effectué avant celui-ci.

05Sous-traitants ultérieurs

Nous ne travaillons qu’avec des prestataires tiers reconnus, appliquant des normes strictes de sécurité et de confidentialité :

1. Supabase, Inc. : base de données cloud, authentification des utilisateurs, stockage objet des photos. (Serveurs : AWS Francfort, Allemagne — UE).
2. Sentry (Functional Software, Inc.) : supervision des erreurs et diagnostic des plantages, hébergé dans la région UE de Sentry (Francfort, Allemagne). Les adresses e-mail sont masquées sur l’appareil ; les rapports contiennent votre identifiant de compte, des informations sur l’appareil et l’application, et le contexte technique de l’erreur.
3. Google LLC (Google Maps Platform) : tuiles cartographiques dans l’application Android ; leur chargement transmet la zone de carte affichée et votre adresse IP. Lorsque la carte interactive n’est pas disponible, le profil affiche à la place une image de carte statique Google, dont la requête contient les coordonnées de vos publications.
4. Google LLC (Google Workspace) : hébergement de la messagerie professionnelle pour l’assistance client et les demandes relatives à la confidentialité.
5. Expo / 650 Industries, Inc. : cadre applicatif et passerelle de notifications push (Expo Push Service). Lorsqu’une notification doit partir, notre serveur transmet à Expo le jeton push de votre appareil, le texte de la notification (y compris le nom affiché de la personne qui a aimé, commenté ou s’est abonnée) et les identifiants des éléments concernés. Expo la livre via Firebase Cloud Messaging (Google LLC) sur Android et l’Apple Push Notification service (Apple Inc.) sur iPhone.
6. Open-Meteo (Zurich, Suisse) : la météo actuelle au lieu d’une entrée, relevée au moment où vous la créez. L’Application n’envoie que les coordonnées de cette entrée ; aucun identifiant de compte, nom ou courriel n’y est joint.
7. Wikimedia Foundation, Inc. (Wikidata) : noms de villes et de pays dans les douze langues de l’application. L’Application n’envoie que le nom du lieu recherché ; les noms obtenus sont conservés dans une table partagée afin de ne pas avoir à les rechercher de nouveau.
8. OpenAI, L.L.C. : modération automatique du contenu. Avec votre autorisation, le texte et les photos de vos publications ainsi que le texte de vos commentaires sont envoyés à la Moderation API d’OpenAI afin de vérifier qu’ils respectent nos Règles de la communauté. Le texte et les photos sont vérifiés avant la mise en ligne de la publication ; le contenu signalé n’est pas publié. Si la vérification est temporairement indisponible, le contenu peut être publié sans elle et reste soumis aux signalements et à l’examen. OpenAI n’utilise pas les données envoyées via son API pour entraîner ses modèles et les conserve jusqu’à 30 jours pour la détection des abus. Vous donnez ou retirez cette autorisation dans l’Application, sous Paramètres > Légal et communauté > Contrôle du contenu par IA ; sans elle, vous pouvez toujours naviguer, mais pas publier ni commenter. Si vous pensez qu’un contenu a été signalé par erreur, écrivez à support@odysseyjournal.app : une personne l’examinera.
9. Unsplash, Inc. : photographies d’illustration utilisées comme images de secours dans l’application, par exemple sur l’écran Explorer et pour les collections sans couverture. Leur chargement transmet votre adresse IP.
10. Apple Inc. : sur iPhone, les cartes sont affichées avec Plans d’Apple, et le nom du lieu correspondant à une position est obtenu grâce au service de géocodage intégré du téléphone ; tous deux reçoivent les coordonnées concernées et votre adresse IP. Le bouton « Plans » sur la carte d’une publication transmet ses coordonnées à l’app Plans.

Nous ne vendons PAS, ne louons pas et n’échangeons pas vos données personnelles avec des courtiers en données, des annonceurs ou tout autre tiers commercial.

06Contenu utilisateur et vie privée des tiers (responsabilité de l’utilisateur)

07Transferts internationaux de données

Vos données sont traitées par nos sous-traitants dans l’Union européenne (Francfort, Allemagne : Supabase, Sentry), aux États-Unis (Google, Expo, OpenAI, Apple, Wikimedia, Unsplash) et en Suisse (Open-Meteo), uniquement aux fins et avec les données décrites à la section 5.

• Au titre de la KVKK (article 9) : le Conseil turc de protection des données personnelles n’a encore adopté de décision d’adéquation pour aucun pays ; ces transferts nécessitent donc les garanties appropriées prévues à l’article 9, à savoir des contrats types conclus avec les destinataires et notifiés à l’Autorité de protection des données personnelles. Utiliser l’Applicationlication ne signifie pas que vous consentez aux transferts à l’étranger, et nous ne subordonnons pas le service à un tel consentement. Vous pouvez demander à privacy@odysseyjournal.app quelle garantie s’applique à un destinataire donné.
• Au titre du RGPD (chapitre V) : les transferts vers des sous-traitants situés hors de l’EEE sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et par des décisions d’adéquation.

08Conservation et suppression des données

• Comptes actifs : nous conservons vos données personnelles et vos entrées de carnet aussi longtemps que votre compte reste actif.
• Suppression du compte : vous pouvez supprimer définitivement votre compte ainsi que l’ensemble des publications, photos, commentaires et messages associés, directement dans l’Application, via Paramètres > Compte > Supprimer le compte.
• Déroulement de l’effacement : lorsque vous supprimez votre compte, votre profil, vos publications, commentaires, mentions « j’aime », collections, abonnements, blocages, signalements, votre historique de recherche, vos jetons de notification ainsi que les messages que vous avez envoyés et reçus sont effacés immédiatement de notre base de données ; l’Application supprime ensuite vos photos du stockage. Des copies subsistent dans les sauvegardes quotidiennes pendant sept (7) jours au plus, jusqu’à leur expiration. Les enregistrements que la loi nous impose de conserver ne sont gardés que pendant le délai de prescription applicable. Ce qui est effacé et les rares enregistrements conservés sont détaillés sur odysseyjournal.app/fr/delete-account.
• Journal d’activité : en tant qu’hébergeur des contenus publiés par les utilisateurs, la loi turque n° 5651 nous oblige à conserver le journal d’activité décrit à la section 2B pendant au moins un an. Nous conservons chaque entrée pendant un (1) an à compter de l’action qu’elle enregistre, puis la supprimons automatiquement, même si vous avez supprimé votre compte entre-temps. Ce journal n’est pas visible dans l’Application ; nous seuls y avons accès et ne le communiquons qu’aux autorités légalement habilitées à le demander.
• Supprimer une conversation : supprimer une conversation dans Lettres la masque uniquement dans votre propre boîte. Les messages restent visibles pour l’autre voyageur jusqu’à ce que l’un de vous deux supprime son compte.

09Droits au titre du droit turc (article 11 de la KVKK)

Conformément à l’article 11 de la loi n° 6698 sur la protection des données personnelles de la République de Turquie (« KVKK »), vous disposez, en tant que personne concernée, des droits suivants :

1. Savoir si vos données personnelles font l’objet d’un traitement.
2. Demander des informations à ce sujet si tel est le cas.
3. Connaître la finalité du traitement et vérifier que les données sont utilisées conformément à cette finalité.
4. Connaître les tiers, en Turquie ou à l’étranger, auxquels vos données sont transférées.
5. Demander la rectification de vos données si elles sont incomplètes ou inexactes.
6. Demander l’effacement ou la destruction de vos données dans les conditions prévues à l’article 7 de la KVKK.
7. Demander que la rectification, l’effacement ou la destruction soient notifiés aux tiers destinataires.
8. Vous opposer à ce qu’une décision produisant des effets défavorables à votre égard résulte d’une analyse exclusivement automatisée de vos données.
9. Demander réparation du préjudice subi du fait d’un traitement illicite de vos données personnelles.

Comment présenter une demande : conformément au Communiqué sur les procédures et principes de demande auprès du responsable du traitement, vous pouvez présenter votre demande par écrit, par courrier électronique recommandé (KEP), avec une signature électronique sécurisée ou une signature mobile, ou par e-mail à privacy@odysseyjournal.app depuis l’adresse enregistrée dans votre compte. Indiquez vos nom et prénom, votre numéro d’identité turc (ou, si vous n’êtes pas citoyen turc, votre nationalité et votre numéro de passeport ou de carte d’identité), votre adresse, le moyen de vous contacter et l’objet de votre demande. Nous traitons les demandes gratuitement dans les meilleurs délais et au plus tard dans les trente (30) jours ; seuls des frais fixés par le Conseil peuvent être perçus si la réponse entraîne un coût supplémentaire. Si votre demande est refusée, si vous jugez notre réponse insuffisante ou si nous ne répondons pas dans le délai, vous pouvez introduire une plainte auprès du Conseil de protection des données personnelles dans les trente (30) jours suivant la prise de connaissance de notre réponse et, en tout état de cause, dans les soixante (60) jours suivant votre demande (article 14 de la KVKK).

10Droits au titre du RGPD (utilisateurs de l’EEE et du Royaume-Uni)

Si vous résidez dans l’Espace économique européen (EEE) ou au Royaume-Uni, le RGPD vous reconnaît les droits suivants :

• Droit d’accès (article 15)
• Droit de rectification (article 16)
• Droit à l’effacement / droit à l’oubli (article 17)
• Droit à la limitation du traitement (article 18)
• Droit à la portabilité des données (article 20)
• Droit d’opposition (article 21)
• Droit de retirer votre consentement (article 7, paragraphe 3) à tout moment, sans que cela n’affecte le traitement effectué auparavant
• Droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé (article 22) ; la section 5, point 8, explique comment demander qu’une personne réexamine une décision de modération
• Droit d’introduire une réclamation auprès de votre autorité de contrôle locale.

Pour exercer ces droits, écrivez à privacy@odysseyjournal.app.

11Droits à la vie privée en Californie (CCPA / CPRA)

Les résidents de Californie ont le droit de demander la communication des informations personnelles collectées, d’en demander la suppression, de refuser la vente de leurs informations personnelles (nous ne vendons pas d’informations personnelles) et de ne pas faire l’objet de discrimination pour avoir exercé ces droits. Les demandes doivent être adressées à privacy@odysseyjournal.app. Nous ne vendons ni ne partageons d’informations personnelles à des fins de publicité comportementale intercontextuelle, et nous n’utilisons la localisation précise que pour les fonctionnalités que vous choisissez d’utiliser.

12Vie privée des mineurs

Odyssey Journal est réservée aux adultes : elle n’est ni destinée ni adressée aux personnes de moins de 18 ans, ni à celles qui n’ont pas atteint l’âge de la majorité dans leur pays lorsqu’il est plus élevé. Lors de l’inscription, vous confirmez séparément avoir 18 ans ou plus ; en acceptant les Conditions d’utilisation, vous confirmez également remplir cette condition d’âge. Nous ne collectons pas sciemment de données personnelles auprès d’enfants. Si nous découvrons qu’un enfant nous a communiqué des données personnelles, nous les supprimerons immédiatement de nos serveurs. Les parents ou tuteurs qui estiment que les données de leur enfant ont été collectées peuvent écrire à privacy@odysseyjournal.app.

13Cookies et stockage local

Odyssey Journal ne dépose aucun cookie publicitaire, analytique, de profilage ou de suivi intersites, ni dans l’application mobile ni sur odysseyjournal.app. Nous n’utilisons aucune régie publicitaire tierce ni script d’analyse comportementale : c’est pourquoi aucune bannière de consentement aux cookies ne s’affiche.

Le seul stockage navigateur utilisé par ce site est strictement nécessaire et reste sur votre propre appareil :

• oj-theme — mémorise si vous avez choisi le thème de lecture clair (Parchemin) ou sombre (Nuit sépia).

Cette valeur est écrite dans le localStorage de votre navigateur, n’est jamais transmise à nos serveurs ni à un tiers, et peut être effacée à tout moment en supprimant les données de site de votre navigateur.

Dans l’application mobile, les éléments suivants sont conservés dans le stockage privé de l’Application sur votre appareil et ne sont pas partagés avec d’autres applications :

• votre session (section 3) ;
• vos choix de langue et de thème, et le fait que vous ayez vu ou non les écrans d’introduction ;
• le fait que vous ayez autorisé ou non le contrôle du contenu par IA sur cet appareil (section 5) ;
• le fait que votre lieu de résidence vous ait déjà été demandé ;
• un cache des noms de lieux et une copie du contenu chargé récemment, conservée jusqu’à 24 heures pour que l’application s’ouvre rapidement et effacée à la déconnexion.

14Modifications de la présente Politique de confidentialité

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre afin de refléter l’évolution de nos services, de nos technologies ou de nos obligations légales. En cas de modification importante, nous vous en informerons par e-mail et mettrons à jour la date de « Dernière mise à jour » figurant en tête du document. Si une modification nécessite votre consentement, nous vous le redemanderons dans l’Applicationlication.

15Coordonnées

Pour toute question, demande ou réclamation relative à la présente Politique de confidentialité ou à vos données personnelles :

• Confidentialité et demandes KVKK : privacy@odysseyjournal.app
• Assistance client : support@odysseyjournal.app
• Questions générales : hello@odysseyjournal.app
• Vérification postale et numérique : Arif Gültaş, Istanbul, Turquie
• Site web : odysseyjournal.app/privacy-policy