photobooth-qr/docs/rgpd.md

RGPD

⚠️ Ce document n'est pas un avis juridique formel. Il pose les principes retenus pour le projet, à faire valider par un professionnel du droit (avocat, service juridique) avant tout usage commercial (V2/V3) impliquant des clients externes.

Mention légale (page d'upload)

Texte à afficher, de façon visible, sur la page d'upload avant que l'invité ne dépose une photo :

En déposant une photo, vous acceptez qu'elle soit stockée temporairement dans le cadre de cet événement et mise à disposition de l'organisateur. Vos photos sont automatiquement supprimées 7 jours après la date de l'événement, sans action de votre part. Aucune photo n'est utilisée à d'autres fins, ni transmise à des tiers. Vous pouvez demander la suppression anticipée d'une photo en contactant l'organisateur de l'événement.

Politique de conservation

• Durée de conservation : 7 jours à compter de la date de l'événement (date_evenement), et non de la date de création de l'événement dans le système ni de la date d'upload de chaque photo.
• Suppression automatique et systématique : à l'échéance, les photos (fichiers dans Supabase Storage) et les métadonnées associées (lignes de la table photos) sont supprimées, même si l'organisateur a déjà téléchargé le ZIP d'export. Le téléchargement du ZIP transfère la responsabilité de conservation à l'organisateur ; le système ne conserve pas de copie au-delà de l'échéance.
• Données minimales collectées côté invité : uniquement ce que l'invité choisit de fournir (nom, message), aucune collecte d'email, de numéro de téléphone ou de données de compte (pas de compte invité).
• Pas de traçage : pas de cookies de suivi ni d'analytics tiers sur la page d'upload, conformément à la contrainte d'écoconception et de sobriété du projet.

Points à valider avec Kévin (et si besoin un juriste) avant V2/V3

• Rédaction définitive des CGU/mentions légales pour un usage commercial auprès de clients externes (mariages, événementiel pro).
• Statut du client (organisateur) comme responsable de traitement, et de Kévin/l'outil comme sous-traitant, au sens RGPD — à formaliser contractuellement en V2/V3.
• Procédure de demande de suppression anticipée par un invité (droit à l'effacement) avant l'échéance des 7 jours.