# RGPD

> ⚠️ **Ce document n'est pas un avis juridique formel.** Il pose les
> principes retenus pour le projet, à faire valider par un professionnel du
> droit (avocat, service juridique) avant tout usage commercial (V2/V3)
> impliquant des clients externes.

## Mention légale (page d'upload)

Texte à afficher, de façon visible, sur la page d'upload avant que l'invité
ne dépose une photo :

> En déposant une photo, vous acceptez qu'elle soit stockée temporairement
> dans le cadre de cet événement et mise à disposition de l'organisateur.
> Vos photos sont automatiquement supprimées **7 jours après la date de
> l'événement**, sans action de votre part. Aucune photo n'est utilisée à
> d'autres fins, ni transmise à des tiers. Vous pouvez demander la
> suppression anticipée d'une photo en contactant l'organisateur de
> l'événement.

## Politique de conservation

- **Durée de conservation** : 7 jours à compter de la **date de
  l'événement** (`date_evenement`), et non de la date de création de
  l'événement dans le système ni de la date d'upload de chaque photo.
- **Suppression automatique et systématique** : à l'échéance, les photos
  (fichiers dans Supabase Storage) et les métadonnées associées (lignes de
  la table `photos`) sont supprimées, **même si l'organisateur a déjà
  téléchargé le ZIP d'export**. Le téléchargement du ZIP transfère la
  responsabilité de conservation à l'organisateur ; le système ne conserve
  pas de copie au-delà de l'échéance.
- **Données minimales collectées côté invité** : uniquement ce que l'invité
  choisit de fournir (nom, message), aucune collecte d'email, de
  numéro de téléphone ou de données de compte (pas de compte invité).
- **Pas de traçage** : pas de cookies de suivi ni d'analytics tiers sur la
  page d'upload, conformément à la contrainte d'écoconception et de
  sobriété du projet.

## Points à valider avec Kévin (et si besoin un juriste) avant V2/V3

- Rédaction définitive des CGU/mentions légales pour un usage commercial
  auprès de clients externes (mariages, événementiel pro).
- Statut du client (organisateur) comme responsable de traitement, et de
  Kévin/l'outil comme sous-traitant, au sens RGPD — à formaliser
  contractuellement en V2/V3.
- Procédure de demande de suppression anticipée par un invité (droit à
  l'effacement) avant l'échéance des 7 jours.