Initialisation du projet photobooth-qr

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014akYEuf44fM6EiUvrmoBzS

docs/rgpd.md

@@ -0,0 +1,47 @@
+# RGPD
+
+> ⚠️ **Ce document n'est pas un avis juridique formel.** Il pose les
+> principes retenus pour le projet, à faire valider par un professionnel du
+> droit (avocat, service juridique) avant tout usage commercial (V2/V3)
+> impliquant des clients externes.
+
+## Mention légale (page d'upload)
+
+Texte à afficher, de façon visible, sur la page d'upload avant que l'invité
+ne dépose une photo :
+
+> En déposant une photo, vous acceptez qu'elle soit stockée temporairement
+> dans le cadre de cet événement et mise à disposition de l'organisateur.
+> Vos photos sont automatiquement supprimées **7 jours après la date de
+> l'événement**, sans action de votre part. Aucune photo n'est utilisée à
+> d'autres fins, ni transmise à des tiers. Vous pouvez demander la
+> suppression anticipée d'une photo en contactant l'organisateur de
+> l'événement.
+
+## Politique de conservation
+
+- **Durée de conservation** : 7 jours à compter de la **date de
+  l'événement** (`date_evenement`), et non de la date de création de
+  l'événement dans le système ni de la date d'upload de chaque photo.
+- **Suppression automatique et systématique** : à l'échéance, les photos
+  (fichiers dans Supabase Storage) et les métadonnées associées (lignes de
+  la table `photos`) sont supprimées, **même si l'organisateur a déjà
+  téléchargé le ZIP d'export**. Le téléchargement du ZIP transfère la
+  responsabilité de conservation à l'organisateur ; le système ne conserve
+  pas de copie au-delà de l'échéance.
+- **Données minimales collectées côté invité** : uniquement ce que l'invité
+  choisit de fournir (nom, message), aucune collecte d'email, de
+  numéro de téléphone ou de données de compte (pas de compte invité).
+- **Pas de traçage** : pas de cookies de suivi ni d'analytics tiers sur la
+  page d'upload, conformément à la contrainte d'écoconception et de
+  sobriété du projet.
+
+## Points à valider avec Kévin (et si besoin un juriste) avant V2/V3
+
+- Rédaction définitive des CGU/mentions légales pour un usage commercial
+  auprès de clients externes (mariages, événementiel pro).
+- Statut du client (organisateur) comme responsable de traitement, et de
+  Kévin/l'outil comme sous-traitant, au sens RGPD — à formaliser
+  contractuellement en V2/V3.
+- Procédure de demande de suppression anticipée par un invité (droit à
+  l'effacement) avant l'échéance des 7 jours.