Politique de Confidentialité

1. Responsable du traitement

FUYANO, société par actions simplifiée à associé unique au capital de 1 €
Immatriculée au RCS de Paris sous le numéro 108 072 430
Siège social : 173 rue de Courcelles, 75017 Paris, France
Représentant légal : Anthony ZHU, président
Email : contact@fuyano.com
Délégué à la protection des données (DPO) : Fuyano n'a pas désigné de DPO, l'obligation de désignation prévue à l'article 37 du RGPD ne s'applique pas. Pour toute question relative à la protection des données : privacy@fuyano.com.

1 bis. Âge minimum (RGPD Art. 8 + COPPA)

Vous devez avoir au moins 13 ans pour utiliser Fuyano. Si vous résidez dans l'Espace économique européen (EEE), au Royaume-Uni ou en Suisse, vous devez avoir au moins 16 ans, ou l'âge minimum requis par votre pays pour consentir au traitement de vos données personnelles. En créant un compte, vous déclarez sur l'honneur avoir l'âge requis.

Conformément à l'article 8 du RGPD et au Children's Online Privacy Protection Act (COPPA, US), Fuyano ne traite pas en connaissance de cause de données personnelles de mineurs en dessous de ces seuils. Si nous découvrons qu'un compte a été ouvert par un mineur en violation de cette règle, nous procédons à sa suppression immédiate. Pour signaler un tel cas, contactez privacy@fuyano.com.

2. Portée

Cette politique couvre l'application mobile Fuyano ainsi que, le cas échéant, le site fuyano.com.

3. Données Collectées

3.1 Données que vous fournissez

• Compte : email, identifiant public, authentification via email/Google/Apple
• Profil : alias, bio, photo de profil, bannière, genre (optionnel — valeurs « Homme », « Femme », « Autre » ou « Préfère ne pas dire » ; conservé sur nos serveurs uniquement si vous le renseignez, à la seule fin d'établir des statistiques démographiques agrégées, sur la base de votre consentement — cf. sections 4 et 5), date de naissance (optionnelle — vérification de l'âge minimum et statistiques démographiques agrégées), liens sociaux, préférences (langue, thème, confidentialité, notifications)
• Contenu utilisateur : posts, messages, photos/vidéos, documents, audio
• Contact : téléphone (optionnel)
• Connexion via Apple Sign In : Apple peut nous transmettre votre identifiant utilisateur Apple (sub) et, sur votre consentement explicite à la première connexion, votre prénom/nom et adresse email (réelle ou relais @privaterelay.appleid.com). Conformément à l'article 13 du RGPD, ces données sont traitées pour la finalité d'authentification et de création de compte uniquement. Vous pouvez à tout moment révoquer cet accès depuis vos Réglages iOS → Identifiant Apple → Sign in with Apple → Fuyano → Cesser d'utiliser.
• Pays de l'appareil : au moment où vous acceptez les conditions générales, nous enregistrons sur votre profil le code pays à deux lettres issu du réglage « Région » de votre appareil (par exemple FR, US). Cette donnée ne provient ni de votre adresse IP ni du GPS, et aucune autorisation de localisation ne vous est demandée : c'est un réglage que vous choisissez vous-même et qui ne révèle pas où vous vous trouvez. Finalité : surveiller le seuil de 100 000 consommateurs californiens à partir duquel la loi californienne CCPA/CPRA deviendrait applicable à Fuyano. Base légale : intérêt légitime (article 6.1.f du RGPD) — vous pouvez vous y opposer (article 21, cf. section 8.5). Cette donnée est effacée avec votre compte.

3.2 Données générées par l'usage

• Interactions : likes, follows, vues, mentions
• Stockage : quota, usage, statistiques de stockage

3.3 Données techniques

• Identifiants internes : uid utilisateur, identifiants techniques nécessaires au service
• Logs techniques : événements de sécurité, erreurs applicatives
• Localisation approximative : pays, région, ville déduits de votre adresse IP par Cloudflare au moment de chaque requête réseau. Données pseudonymisées agrégées pour les statistiques de trafic serveur, jamais liées à votre identité utilisateur. Cette dernière garantie ne porte QUE sur les données déduites de votre adresse IP : le pays issu du réglage « Région » de votre appareil, lui, est bien rattaché à votre profil (cf. section 3.1).
• Identifiants de notification (APNs / FCM) : jetons de push notifications associés à votre compte pour la livraison des alertes (messages, appels entrants, décisions de modération).

3.4 Permissions de l'app

• Appareil photo : capturer des photos/vidéos
• Microphone : enregistrer des messages vocaux ou des vidéos avec audio
• Galerie : sélectionner ou enregistrer des médias

3.6 Appels audio/vidéo 1-1

Lorsque vous passez ou recevez un appel via Fuyano, les données suivantes sont traitées :

• Historique des appels (CDR) : identifiant unique de l'appel, uid de l'interlocuteur, type (audio ou vidéo), durée en millisecondes, horodatages début/fin, indicateur de relais TURN (relayed boolean). Stocké jusqu'à la suppression de votre compte.
• Signaling éphémère : offres/réponses SDP et candidats ICE transitent par nos serveurs Cloudflare pour établir la connexion pair-à-pair. Ces données sont supprimées automatiquement 30 secondes après la fin de l'appel. Elles ne sont jamais persistées en base de données.
• TURN credentials : identifiants de relais à usage unique, valables pour la durée de l'appel, générés à la demande. Invalidés dès la fin de l'appel.

Médias audio/vidéo : le flux chiffré SRTP/DTLS circule directement de pair à pair dans la mesure du possible. En cas de relais TURN (lorsque les conditions réseau l'exigent), les paquets transitent chiffrés — aucun octet de média n'est déchiffré ni stocké côté serveur.

Divulgation d'adresse IP à votre interlocuteur (technologie WebRTC) : pour établir la connexion audio directe la plus performante possible, votre appareil et celui de votre interlocuteur échangent des « candidats de connexion » (protocole ICE, standard WebRTC). Ces candidats peuvent révéler à votre interlocuteur — et à lui seul, jamais à un tiers ni publiquement — une ou plusieurs de vos adresses IP : adresse locale de votre réseau domestique/Wi-Fi, adresse IPv6 globale de votre appareil le cas échéant, ou adresse d'une interface VPN active. Nous ne configurons pas votre navigateur ou application pour forcer systématiquement le passage par un relais (paramètre technique iceTransportPolicy laissé à sa valeur standard « tous les chemins »), afin de conserver la meilleure qualité d'appel et de limiter la charge de nos serveurs de relais — conformément à l'article 13 du RGPD, cette information vous est communiquée avant tout usage de la fonction d'appel. Cette divulgation est inhérente au fonctionnement pair-à-pair de la technologie WebRTC (norme W3C/IETF) et existe, à des degrés divers, sur toute application d'appel P2P. La fonction d'appel étant réservée aux amis mutuels (cf. ci-dessous), seule une personne que vous avez explicitement acceptée comme contact peut recevoir cette information, et uniquement pendant la durée de l'appel.

La fonction d'appel est réservée aux amis mutuels (contacts bidirectionnels confirmés).

3.5 Ce que nous ne collectons pas

• Localisation GPS précise (l'app ne demande pas la permission de géolocalisation système). Par ailleurs, les métadonnées de localisation embarquées dans vos médias (EXIF des photos, géolocalisation GPS des vidéos MP4/MOV) sont retirées sur votre appareil avant l'envoi.
• Contacts / carnet d'adresses
• Identifiants publicitaires (IDFA Apple, AAID Google)
• Données bancaires ou de paiement
• Données de santé ou de fitness
• Données spéciales (article 9 RGPD) : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques d'identification, données de santé, orientation sexuelle
• Authentification biométrique (Face ID / Touch ID) : utilisée localement par votre appareil pour déverrouiller vos identifiants stockés. Vos données biométriques ne sortent jamais de votre téléphone et ne sont jamais transmises à Fuyano.

4. Finalités du Traitement

• Fonctionnement du service : authentification, profil, messagerie, publication
• Stockage : héberger vos contenus et gérer les quotas
• Sécurité : prévention des abus, protection du compte
• Support : assistance et résolution d'incidents
• Statistiques de trafic agrégées : mesure de la fréquentation et détection d'abus, à partir de données pseudonymisées (pays/région/ville déduits de l'adresse IP, arrondies à environ 11 km) non liées à votre identité utilisateur
• Statistiques démographiques agrégées (âge, genre) : optionnel, sur la base de votre consentement (RGPD Art. 6.1.a). Si vous renseignez votre genre et/ou votre date de naissance, ces données peuvent être agrégées pour produire des statistiques démographiques globales (ex. : répartition par tranche d'âge ou par genre sur l'ensemble des utilisateurs). Ces statistiques sont agrégées uniquement, sans profilage individuel ni publicité ciblée. Vous pouvez retirer votre consentement à tout moment en effaçant ces champs dans vos paramètres ou en nous écrivant (cf. section 8).

Nous n'affichons pas de publicité et ne faisons pas de tracking publicitaire.

5. Base Légale (RGPD)

• Exécution du contrat (Art. 6.1.b) : fourniture des fonctionnalités de l'app
• Obligation légale (Art. 6.1.c) : vérification de l'âge minimum (RGPD Art. 8, COPPA), traçabilité des actions de modération (DSA Art. 17), conservation des journaux d'audit RGPD
• Consentement (Art. 6.1.a) : données optionnelles (ex: photo de profil, bio, téléphone, date de naissance, genre) et statistiques démographiques agrégées (âge, genre). Vous pouvez retirer votre consentement à tout moment, sans effet sur la licéité du traitement antérieur.
• Intérêt légitime (Art. 6.1.f) : sécurité et prévention des abus, statistiques de trafic agrégées (fréquentation, détection d'anomalies réseau, carte de trafic admin — données pseudonymisées non réidentifiables)

6. Durée de Conservation

Conformément à l'article 5(1)(e) du RGPD (limitation de la conservation), nous conservons vos données pendant les durées suivantes :

• Compte actif : conservé tant que vous n'avez pas demandé la suppression. Vous pouvez supprimer votre compte à tout moment depuis l'application (Profil → Paramètres → Compte → Supprimer le compte) ou par email à contact@fuyano.com.
• Contenus supprimés (soft-delete) : 7 jours avant suppression définitive. Permet une récupération accidentelle courte.
• Logs techniques (Cloudflare) : 30 jours, à des fins de sécurité (anti-DDoS, anti-abus).
• Statistiques de trafic agrégées (Cloudflare) : 90 jours, données pseudonymisées (pays/région/ville, jamais liées à votre identité).
• Logs d'authentification et de base de données (Supabase) : 7 jours.
• Journal d'audit de suppression de compte : 180 jours, puis purge automatique. Obligation de traçabilité (RGPD Art. 30).
• Signalements de contenu (DSA Art. 16) : tous les signalements publics, traités ou non, sont purgés automatiquement 12 mois après leur réception.
• Tokens de notification dormants (90 jours sans usage) : purge mensuelle automatique.
• Cookies / stockage local web : durée de la session navigateur, plus 1 an pour la préférence de consentement RGPD.

À l'issue de la suppression d'un compte, les données du compte lui-même sont effacées de manière irréversible des serveurs de production sous 30 jours, des sauvegardes périodiques sous 7 jours. Lorsqu'un compte est supprimé, les messages que son titulaire vous avait personnellement adressés restent visibles dans votre conversation, mais leur auteur cesse définitivement d'être identifiable : son nom, son identifiant, sa photo et son profil sont effacés et remplacés par la mention « Utilisateur supprimé ». Les fichiers que vous avez envoyés sont supprimés de nos serveurs ; vos correspondants voient à leur place la mention « média indisponible ».

7. Hébergement et sous-traitants

Conformément à l'article 13.1.e du RGPD, voici la liste de nos sous-traitants techniques (au sens de l'article 28 du RGPD) qui traitent vos données pour notre compte :

• Supabase (Union européenne — AWS eu-west-3 Paris) : authentification, base de données PostgreSQL, Edge Functions. Pas de transfert hors UE.
• Backblaze B2 (États-Unis) : stockage des fichiers (images, vidéos, documents, audio), chiffrés au repos (chiffrement côté serveur AES-256).
• Cloudflare (réseau global, edge UE prioritaire) : distribution réseau (CDN) de vos médias, hébergement du service de messagerie temps réel (UE), stockage des fichiers volumineux de votre Drive personnel (objets R2, chiffrés au repos AES-256), statistiques de trafic agrégées.
• Expo (EAS Build) (États-Unis) : service de compilation, signature et distribution technique des builds mobiles ; ne traite pas les données personnelles utilisateur de production.
• Apple Push Notification service (APNs) et Firebase Cloud Messaging (FCM, Google) : livraison technique des notifications push uniquement, payloads chiffrés en transit.
• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA : fournisseur du service Apple Sign In. DPA via Apple Developer Program License Agreement (Clauses Contractuelles Types incluses, conformément à l'article 28 du RGPD).
• Resend (États-Unis) : envoi de l'email de notification de bannissement (information de la décision de modération, DSA Art. 17), reçoit votre adresse email et le motif. Pas de conservation persistante chez le prestataire.
• Stripe (Stripe Payments Europe Ltd, Irlande — UE ; certains traitements par Stripe Inc., États-Unis, sous clauses contractuelles types) : encaissement des dons « Offrir un thé » sur une page de paiement hébergée par Stripe. Stripe reçoit votre adresse email, vos données de paiement (jamais transmises à Fuyano) et, si vous les renseignez, votre pseudo et un message facultatif. Fuyano ne stocke aucune donnée bancaire ; seuls l'email, le pseudo et le message sont consultables par l'équipe.

Nous ne vendons ni ne louons vos données. Elles ne sont partagées qu'avec ces sous-traitants pour fournir le service.

7.1 Transferts hors Union européenne

Conformément à l'article 13.1.f du RGPD, nous vous informons que certains de nos sous-traitants traitent vos données en dehors de l'Union européenne. Ces transferts sont encadrés par les garanties appropriées prévues aux articles 44 à 49 du RGPD :

• Supabase (UE — AWS eu-west-3 Paris) : aucun transfert hors UE.
• Backblaze B2 (États-Unis) : transfert encadré par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision d'exécution 2021/914 du 4 juin 2021), signées dans le DPA Backblaze.
• Cloudflare (États-Unis et réseau global) : transfert encadré par le Data Privacy Framework UE-États-Unis (décision d'adéquation de la Commission européenne du 10 juillet 2023, auto-certification Cloudflare) et les Clauses Contractuelles Types. Couvre la distribution CDN, le stockage R2 des fichiers volumineux de votre Drive personnel et le relais TURN (UE) pour les appels 1-1 ; les paquets médias relayés sont chiffrés SRTP/DTLS et ne sont pas déchiffrés côté serveur.
• Expo (EAS Build) (États-Unis) : transfert limité au pipeline de build et signature mobile, encadré par les garanties contractuelles applicables au fournisseur.
• Apple APNs (réseau global) : transfert encadré par les Conditions Apple Developer Program Licence Agreement et le Data Privacy Framework UE-États-Unis.
• Google FCM (réseau global) : transfert encadré par les Conditions Google Cloud Data Processing Addendum et le Data Privacy Framework UE-États-Unis.
• Resend (États-Unis) : transfert encadré par les Clauses Contractuelles Types et/ou le Data Privacy Framework UE-États-Unis.

Les contrats DPA et garanties applicables (Art. 28 RGPD, Clauses Contractuelles Types, certifications Data Privacy Framework) sont conservés en interne et disponibles sur demande écrite à support@fuyano.com.

8. Vos Droits (RGPD)

8.1 Droit d'accès

Vous pouvez demander une copie de toutes les données que nous détenons sur vous.

8.2 Droit de rectification

Vous pouvez demander la correction de vos informations si elles sont inexactes.

8.3 Droit à l'effacement ("droit à l'oubli")

Vous pouvez demander la suppression complète de vos données à tout moment.

8.4 Droit à la portabilité

Vous pouvez recevoir vos données dans un format structuré (JSON/CSV). Vos exports incluent les messages que vous avez reçus ; lorsque leur auteur a supprimé son compte, il n'y est plus identifié.

8.5 Droit d'opposition

Vous pouvez vous opposer au traitement de vos données.

8.6 Comment exercer vos droits

Envoyez un email à privacy@fuyano.com avec l'objet "RGPD - [Votre demande]".
Nous vous répondrons sous 30 jours maximum.

8.7 Droit de réclamation

Vous pouvez déposer une plainte auprès de la CNIL (France) :
www.cnil.fr

9. Notifications

Nous utilisons des notifications locales pour certaines alertes (ex: stockage). Aucune notification publicitaire.

10. Site Web et Cookies (si applicable)

Le site peut utiliser des cookies techniques (préférence de thème) et des statistiques anonymisées, sans tracking publicitaire.

9 bis. Vos droits — Résidents de Californie (CCPA / CPRA)

Si vous résidez dans l'État de Californie (États-Unis), le California Consumer Privacy Act (CCPA, 2018) et son amendement le California Privacy Rights Act (CPRA, en vigueur depuis le 1ᵉʳ janvier 2023) vous accordent les droits suivants concernant vos informations personnelles. Ces droits s'ajoutent aux droits RGPD décrits à la section 8 ci-dessus.

9 bis.1 Right to Know (Droit de savoir)

Vous pouvez demander à connaître les catégories d'informations personnelles que nous collectons à votre sujet, les sources de ces informations, les finalités de la collecte, les catégories de tiers avec lesquels nous partageons vos informations, et les informations spécifiques que nous détenons. Voir aussi notre section 3 (Données collectées) et 7 (Hébergement et sous-traitants) ci-dessus.

9 bis.2 Right to Delete (Droit à la suppression)

Vous pouvez demander la suppression de vos informations personnelles que nous avons collectées et conservées. Vous pouvez exercer ce droit directement depuis l'application (Profil → Paramètres → Compte → Supprimer le compte) ou par email à contact@fuyano.com.

9 bis.3 Right to Correct (Droit de rectification)

Vous pouvez demander la correction d'informations personnelles inexactes que nous détenons à votre sujet. Voir section 8.2 ci-dessus.

9 bis.4 Right to Opt-Out of Sale or Sharing (Droit de refuser la vente ou le partage)

Fuyano ne vend pas et ne partage pas vos informations personnelles à des tiers à des fins de publicité ciblée croisée (cross-context behavioral advertising). Aucun consentement explicite n'est donc requis pour la vente ou le partage publicitaire, car aucune vente ni partage de cette nature n'a lieu.

Le partage avec nos sous-traitants techniques (Supabase, Backblaze B2, Cloudflare, APNs/FCM) listés à la section 7 ne constitue pas une "vente" ou un "partage" au sens du CCPA/CPRA — il s'agit de transferts à des "service providers" liés par contrat de traitement (DPA) restreignant strictement leur usage de vos données.

9 bis.5 Right to Limit Use of Sensitive Personal Information (Droit de limiter l'usage des informations sensibles)

Fuyano ne traite pas d'informations sensibles au sens du CPRA (origine raciale ou ethnique, religion, orientation sexuelle, données de santé, données génétiques ou biométriques, géolocalisation précise, contenu de communications privées non destinées à Fuyano). Les messages que vous envoyez via la messagerie sont traités uniquement pour les router à leurs destinataires (finalité contractuelle nécessaire). Voir section 3.5 ci-dessus.

9 bis.6 Right to Non-Discrimination (Droit de ne pas subir de discrimination)

Nous ne vous discriminerons pas pour avoir exercé l'un de vos droits CCPA/CPRA. Cela inclut : pas de refus de service, pas de tarif différent, pas de qualité de service dégradée, pas de pénalité, pas de menace de représailles. L'exercice de vos droits est gratuit et sans condition.

9 bis.7 Comment exercer vos droits CCPA/CPRA

Envoyez un email à privacy@fuyano.com avec l'objet "CCPA - [Votre demande]" (ou "Right to Know", "Right to Delete", etc.). Nous vous répondrons sous 45 jours maximum (extensible 45 jours supplémentaires si justifié par la complexité, conformément au CCPA §1798.130(a)(2)).

Vous pouvez désigner un mandataire autorisé (authorized agent) pour exercer vos droits en votre nom, sous réserve de procuration vérifiable et de votre vérification d'identité.

En cas de réclamation non résolue, vous pouvez contacter le California Attorney General (oag.ca.gov/privacy/ccpa).

10 bis. Signalement de contenus illicites (DSA Article 16)

Conformément à l'article 16 du Règlement (UE) 2022/2065 (Digital Services Act), toute personne ou entité peut nous notifier la présence sur Fuyano d'une information qu'elle estime être un contenu illicite (haine, harcèlement, contenu pédopornographique, violation de droits, désinformation grave, etc.).

Utilisez notre formulaire public de signalement pour transmettre votre notification motivée. Chaque signalement reçoit un accusé de réception et fait l'objet d'une décision motivée communiquée au notifiant et, le cas échéant, à l'utilisateur dont le contenu est concerné.

11. Modifications de cette Politique

Nous nous réservons le droit de modifier cette politique de confidentialité à tout moment.
Les modifications seront publiées sur cette page avec une nouvelle date de mise à jour.

12. Contact

Pour toute question concernant cette politique ou vos données personnelles :
Email : contact@fuyano.com

Langue : En cas de traduction de la présente politique de confidentialité, seule la version française fait foi.