Politique de Confidentialité

Qui est responsable de vos données ?

La présente politique décrit comment Stellion collecte, utilise et protège vos données personnelles lorsque vous utilisez la plateforme, accessible à l'adresse https://stellion.be.

Responsable du traitement : [À COMPLÉTER : nom de l'éditeur ou de la structure — personne physique ou société, adresse, et n° SIREN une fois l'entreprise créée].

Pour toute question relative à vos données, vous pouvez nous contacter à : support@stellion.be.

Quelles données collectons-nous ?

Nous appliquons le principe de minimisation : nous ne collectons que les données nécessaires au fonctionnement du service.

Données de compte : adresse e-mail, pseudonyme, mot de passe (jamais stocké en clair — uniquement son empreinte bcrypt), et, si vous les renseignez : nom d'affichage, avatar, bannière, biographie, statut personnalisé, type de compte.

Contenus que vous publiez : messages (privés, de groupe et de salon), publications et « loops », stories (supprimées automatiquement après 24 h), commentaires, réactions, fichiers médias (images, vidéos, audio, documents), sondages et fils de forum.

Données relationnelles : vos amis, abonnements, appartenances aux serveurs (« nexus ») et paramètres de confidentialité.

Données techniques & de sécurité : adresse IP (conservée uniquement sous forme d'empreinte cryptographique HMAC-SHA256, jamais en clair) dans les journaux de connexion, jeton de session, appareils de confiance (empreinte de jeton, pour éviter de redemander votre code 2FA), et, si vous les activez, vos abonnements aux notifications push.

Nous ne collectons aucune donnée de géolocalisation précise, ni aucun identifiant publicitaire.

Pourquoi et sur quelle base ?

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale :

• Fourniture du service (compte, profil, messagerie, serveurs, appels) — exécution du contrat (les CGU).
• Sécurité & lutte contre les abus (rate-limiting, journaux de connexion, appareils de confiance) — intérêt légitime.
• Conservation des données de connexion — obligation légale (loi belge du 20 juillet 2022 sur la conservation des données).
• Envoi d'e-mails de vérification et de réinitialisation de mot de passe — exécution du contrat.
• Fonctions non essentielles soumises à votre consentement (notifications push, préférences via bannière).

Vos données ne sont jamais vendues ni utilisées à des fins publicitaires ou de profilage.

Comment vos données sont-elles protégées ?

Nous mettons en œuvre des mesures techniques strictes : chiffrement des échanges via HTTPS/TLS, mots de passe hachés avec bcrypt, adresses IP pseudonymisées par empreinte HMAC-SHA256 à sel secret, et limitation du nombre de tentatives de connexion.

Messages privés : ils sont chiffrés au repos dans notre base de données à l'aide de l'algorithme AES-256-GCM. Cela signifie qu'ils ne sont pas lisibles par un tiers qui accéderait physiquement au stockage. En revanche — par transparence — il ne s'agit pas d'un chiffrement de bout en bout : nos serveurs déchiffrent les messages afin de vous les afficher et de gérer l'historique. Nous nous interdisons toute lecture en dehors du strict fonctionnement du service et des obligations légales.

Hébergement souverain : l'ensemble de vos données est hébergé en France et dans l'Union européenne. Aucune donnée n'est transférée vers un pays tiers sans garanties appropriées.

Combien de temps conservons-nous vos données ?

• Données de compte et contenus : pendant toute la durée de vie du compte.
• Stories : supprimées automatiquement 24 heures après leur publication.
• Journaux de connexion (IP hachée) : maximum 1 an (obligation légale).
• Appareils de confiance : 90 jours glissants, puis suppression automatique.
• Après suppression de votre compte : vos données personnelles sont effacées de façon définitive et irréversible ; seuls les journaux de connexion légalement obligatoires subsistent jusqu'à l'échéance d'un an.

Avec qui vos données sont-elles partagées ?

Nous ne partageons jamais vos données à des fins commerciales. Certaines sont traitées par des prestataires techniques (« sous-traitants » au sens du RGPD), strictement pour faire fonctionner le service :

• OVHcloud (France) — hébergement des serveurs.
• Scaleway — Groupe Iliad (France/UE) — stockage des fichiers médias.
• Serveur de visioconférence LiveKit — acheminement des appels audio/vidéo (les flux vocaux/vidéo transitent en temps réel et ne sont pas enregistrés).
• Google (Gmail SMTP) — envoi des e-mails de vérification et de réinitialisation ; seule votre adresse e-mail transite pour la remise du message.
• GIPHY, microlink.io, Apple (iTunes Search) — uniquement lorsque vous recherchez un GIF, générez un aperçu de lien ou recherchez une musique ; votre requête est transmise au service concerné.

Chaque prestataire n'a accès qu'aux données strictement nécessaires à sa mission et est tenu à la confidentialité.

Cookies et stockage local

Stellion n'utilise aucun cookie de traçage ni de publicité. Nous utilisons uniquement le stockage local (localStorage) de votre navigateur pour des fonctions essentielles : jeton de session (pour vous garder connecté), jetons d'appareil de confiance (pour éviter de redemander votre code 2FA) et mémorisation de votre choix sur la bannière de consentement.

Aucune de ces informations n'est transmise à des tiers.

Vos droits sur vos données

Conformément au RGPD, vous disposez des droits suivants :

• Accès et portabilité — vous pouvez exporter l'ensemble de vos données directement depuis les paramètres de l'application (fichier JSON).
• Effacement (« droit à l'oubli ») — la suppression de votre compte depuis les paramètres efface toutes vos données personnelles.
• Rectification — vous pouvez corriger vos informations de profil à tout moment.
• Limitation et opposition — vous pouvez vous opposer à certains traitements fondés sur l'intérêt légitime.
• Retrait du consentement — pour les traitements qui en dépendent, à tout moment.

Pour exercer un droit qui ne serait pas directement accessible dans l'application, écrivez-nous à support@stellion.be. Nous répondons dans un délai maximum d'un mois.

Vous avez également le droit d'introduire une réclamation auprès de l'Autorité de protection des données (APD), l'autorité de contrôle belge (Rue de la Presse 35, 1000 Bruxelles).

Protection des mineurs

L'accès à Stellion est réservé aux personnes âgées d'au moins 15 ans. Le droit belge fixe l'âge du consentement numérique à 13 ans (article 8 du RGPD) ; Stellion applique volontairement un seuil plus élevé. Nous ne collectons pas sciemment de données concernant des mineurs sous cet âge.

Réquisitions légales

En cas de réquisition officielle émanant d'une autorité judiciaire ou des forces de l'ordre, Stellion peut être amené à communiquer les données de connexion et d'identification disponibles, dans le strict cadre légal belge applicable (Code de droit économique et loi du 20 juillet 2022 sur la conservation des données). Chaque accès de ce type est journalisé.

Évolution de cette politique

Cette politique peut être mise à jour pour refléter des évolutions du service ou de la réglementation. En cas de modification substantielle, les utilisateurs seront informés. La date de dernière mise à jour figure en haut de cette page.

Nous contacter

Pour toute question relative à la protection de vos données personnelles : support@stellion.be.