Politique de confidentialité

1. Responsable de traitement

Studroof (Benhmid Oualid). Contact : privacy@studroof.app.

2. Données collectées

Compte : e-mail, nom, photo, université, dates, ville. Profil étudiant : budget, préférences de colocation, style de vie. Annonces : adresse, photos, prix. Messages. Paiements via Stripe — Studroof ne stocke aucune carte bancaire. Cohortes Erasmus (cohorts) : ville, saison, capacité — données techniques de référence, non personnelles. Adhésions cohorte (cohort_memberships) : user_id, cohort_id, rôle (étudiant/hôte), statut Roofer, statut d’adhésion (active/diplômé/abandon), date d’adhésion. Paiements semestriels (season_payments) : user_id, cohort_id, montant, devise, identifiants de session et d’intention de paiement Stripe, statut, date de paiement. Squads Erasmus (squad_memberships) : user_id, squad_id, état pré-arrivée/active/diplômé, date de dernier passage. Sujets de discussion (squad_topics) : identifiants techniques (clés i18n), pas de données personnelles. Posts publiés entre étudiants (squad_posts) : auteur, contenu texte, locale d’origine, date de création/édition, statut masqué (modération). Réactions emoji aux posts (squad_post_reactions) : auteur, type de réaction. Journal des notifications squad (squad_notification_log) : user_id, squad_id, type de digest envoyé (J-7 / J-1 / arrivée), date d’envoi. Cookies analytics (Plausible) avec ton consentement. Logs serveur : adresse IP, user-agent, date. Pièces jointes des conversations : images que tu envoies à ton correspondant dans une conversation, stockées dans un espace privé (nom de fichier, type, taille). Position partagée : lorsque tu choisis de partager ta position dans une conversation, des coordonnées de géolocalisation ponctuelles (latitude et longitude à l’instant du partage) et la date du partage. Studroof n’effectue aucun suivi de tes déplacements et ne déduit pas d’adresse à partir de ces coordonnées. Recherche de ville (autocomplétion) : lorsque tu saisis le nom d’une ville, le texte tapé est relayé par le serveur de Studroof à notre prestataire de géocodage pour te proposer des suggestions ; Studroof ne transmet pas ton adresse IP à ce prestataire et ne conserve de ta recherche que la ville choisie et son code pays. Compteur d’usage des mises en relation (contact_usage_total) : ton identifiant, le nombre total de propriétaires et de colocataires que tu as contactés depuis la création de ton compte, et la date de dernière mise à jour. Ce compteur sert uniquement à appliquer tes mises en relation gratuites puis, si tu prends un Pass, à te donner des contacts illimités.

3. Base légale

Consentement (création de compte, publication de posts dans une Squad), exécution du contrat (services payants Studroof+ et les Pass Studroof, adhésion au Programme Roofers, échange des informations nécessaires à ton logement dont les pièces jointes de conversation), intérêt légitime (lutte contre la fraude, sécurité de la communauté dont le retrait des contenus illicites signalés, animation de la communauté pré-arrivée pour favoriser l’entraide et la rencontre entre étudiants d’une même cohorte), obligation légale (conservation comptable des paiements). Pour le partage de position : ton consentement explicite, recueilli au moment précis où tu décides de partager ta position (RGPD article 6, paragraphe 1, point a) ; tu peux retirer ce consentement à tout moment en supprimant le message de position, aussi facilement que tu l’as donné (article 7, paragraphe 3).

4. Durée de conservation

Compte actif, puis 30 jours après une demande de suppression. Logs serveur : 12 mois. Données Stripe : selon leur politique de rétention. Paiements semestriels (season_payments) : 5 ans à compter du paiement, en application de l’article L102B du Livre des procédures fiscales français. Posts publiés dans une Squad (squad_posts) et réactions (squad_post_reactions) : conservés jusqu’à la suppression définitive (hard-delete) du compte de l’auteur, puis supprimés en cascade. Journal des notifications squad (squad_notification_log) : supprimé en cascade lors du hard-delete du compte de l’utilisateur destinataire.

Vérification étudiant : les justificatifs sont supprimés dès qu’une décision est prise ; les métadonnées de soumission et le journal d’audit de vérification sont conservés tant que ton compte est actif, puis supprimés ou anonymisés lorsque tu supprimes ton compte.

Pièces jointes des conversations : conservées tant que le message existe ; supprimées de notre espace de stockage lorsque tu supprimes le message ou lors de la suppression définitive (hard-delete) de ton compte.

Positions partagées : conservées tant que le message existe ; les coordonnées sont effacées lorsque tu supprimes le message ou lors de la suppression définitive (hard-delete) de ton compte.

Compteur d’usage des mises en relation (contact_usage_total) : conservé tant que ton compte existe, puis supprimé en cascade lors de la suppression définitive (hard-delete) de ton compte.

5. Destinataires

Vercel (hébergement), Supabase (base de données), Stripe (paiements), Resend (e-mails), Plausible (analytics) — tous encadrés par un accord de traitement (DPA) conforme au RGPD.

komoot GmbH (Allemagne, service de géocodage « Photon », fondé sur les données OpenStreetMap) reçoit uniquement le texte de la ville que tu recherches, afin de te renvoyer des suggestions d’autocomplétion ; Studroof relaie cette recherche depuis son serveur, si bien que ton adresse IP n’est jamais transmise à komoot, et la requête n’est associée à aucun cookie ni traceur. komoot traite cette requête conformément à sa propre politique de confidentialité (komoot.com/privacy).

La Fondation OpenStreetMap (OpenStreetMap Foundation, Royaume-Uni — pays couvert par une décision d’adéquation de la Commission européenne —, service de géocodage « Nominatim ») reçoit uniquement l’identifiant OpenStreetMap public de la ville que tu sélectionnes (osm_id) — jamais ton adresse IP ni le texte que tu as saisi — afin que Studroof obtienne le nom de cette ville dans ta langue ; Studroof relaie cette requête depuis son serveur, si bien que ton adresse IP n’est jamais transmise à la Fondation, et la requête n’est associée à aucun cookie ni traceur. La Fondation OpenStreetMap traite cette requête conformément à sa propre politique de confidentialité (osmfoundation.org/wiki/Privacy_Policy).

6. Tes droits

Accès, rectification, suppression (via /account/danger-zone), opposition et portabilité (export JSON). Tu peux aussi supprimer toi-même un message, une pièce jointe ou une position partagée depuis la conversation ; la suppression efface la donnée correspondante de nos systèmes (et purge le fichier de notre espace de stockage s’il s’agit d’une pièce jointe). Délégué à la protection des données : privacy@studroof.app.

7. Cookies

Voir la Politique cookies : /legal/cookies.

8. Sécurité

Chiffrement en transit (TLS), Row-Level Security Supabase, chiffrement au repos.

9. Transferts hors UE

Stripe (États-Unis) et Resend (États-Unis, envoi d’e-mails), encadrés par les Clauses Contractuelles Types de la Commission européenne (et, le cas échéant, le cadre EU-US Data Privacy Framework).

10. Modifications

Toute modification de la présente politique est publiée sur cette page.

11. Réclamation

Tu peux introduire une réclamation auprès de la CNIL (www.cnil.fr).

12. Affiliations partenaires

Studroof affiche, dans certaines pages éditoriales, des recommandations vers des partenaires sélectionnés (par exemple Garantme pour la garantie locative, Uniplaces / Spotahome / HousingAnywhere pour la recherche de logement). Données collectées lors d’un clic affilié (table affiliate_clicks) : horodatage, identifiant du partenaire cliqué, URL source côté Studroof, identifiant de session anonyme (depuis le cookie analytique), identifiant utilisateur (uniquement si tu es connecté — sinon NULL), empreinte hachée SHA-256 de l’adresse IP (jamais l’IP en clair, avec un sel rotaté mensuellement) et empreinte hachée SHA-256 du user-agent. Conversions transmises par les partenaires (table affiliate_conversions) : horodatage, identifiant du partenaire, montant de la commission B2B (information comptable interne, jamais affichée à un autre utilisateur). Bases légales (RGPD art. 6) : (a) ton consentement, recueilli via le bandeau cookies, pour le suivi analytique individualisé (art. 6(1)(a)) ; (b) l’intérêt légitime de Studroof pour la mesure d’audience anonymisée des recommandations et pour le calcul de la commission B2B due par le partenaire (art. 6(1)(f)). Finalités : mesurer l’efficacité éditoriale des recommandations, calculer la commission B2B due par le partenaire, améliorer la pertinence des recommandations affichées. Studroof n’effectue ni profilage commercial, ni revente de données, ni retargeting publicitaire. Destinataires : Studroof (responsable du traitement) ; les partenaires affiliés (Garantme, Uniplaces, Spotahome, HousingAnywhere) — uniquement au moment où tu cliques sur le lien partenaire et où ton navigateur est redirigé vers leur site, conformément à leur propre politique de confidentialité (lien CGU partenaire affiché sur chaque carte) ; les sous-traitants techniques Studroof : Supabase (hébergement DB, UE), Sentry (monitoring), Upstash (rate-limit). Aucun transfert hors UE n’est effectué sans encadrement par les Clauses Contractuelles Types de la Commission européenne. Durées de conservation : clics affiliés 24 mois maximum (audit éditorial + recommandations) ; conversions 5 ans (obligations comptables, article L102B du Livre des procédures fiscales). En cas de suppression définitive (hard-delete) de ton compte, le champ user_id des clics est mis à NULL — la statistique éditoriale est préservée, mais elle n’est plus rattachée à toi. Tes droits (RGPD art. 13, 15, 17 et 20) : tu peux accéder à tes clics affiliés via l’export JSON (affiliateClicks[] inclus dans /account export), demander leur effacement via /account/danger-zone (anonymisation user_id → NULL), et désactiver le suivi analytique à tout moment depuis /account/cookies. Disclaimer commission (DSA art. 26 et Code de la consommation L. 121-1) : Studroof reçoit une commission de la part du partenaire si tu réserves ou souscris via un lien affilié. Cela n’a aucun impact sur le prix que tu paies. Studroof n’intervient pas dans le contrat conclu entre toi et le partenaire, ne négocie pas le prix et ne perçoit aucune commission sur ton loyer.

13. Programme Alumni & Ambassadeurs

Programme Alumni & Ambassadeurs (à partir de la fin de ton séjour Erasmus) : statut alumni (à venir / actif / diplômé / alumni / sommeil / supprimé), date d’opt-in alumni, ville Erasmus d’origine, dates d’arrivée et de départ par séjour (table student_stays), journal d’audit du consentement alumni (table alumni_consent_log : identifiant du séjour concerné, action — opt-in / opt-out / purge —, finalité — rétention alumni ou droit à l’effacement —, empreinte hachée SHA-256 de ton adresse IP au moment du clic dans l’email J+0, horodatage, source — email_link). Aucune donnée sensible (RGPD Art. 9) collectée dans le cadre du programme. Bases légales (RGPD Art. 6) : (a) ton consentement, recueilli explicitement via le clic sur le bouton « Devenir Alumni Studroof » de l’email J+0 envoyé à la fin de ton séjour, pour la conservation active de ton compte alumni et l’envoi de communications post-séjour (Art. 6 §1.a) ; (b) l’intérêt légitime de Studroof pour la conservation passive de ton compte pendant 24 mois maximum d’inactivité si tu ne réponds pas à l’email J+0 — sans nouveau traitement actif, sans email ambassadeur, sans profilage (Art. 6 §1.f, balancing test documenté en interne). Finalités : conservation du passeport Erasmus multi-séjours, recommandations cross-ville aux étudiants entrants, communications post-séjour, animation du réseau alumni. Studroof ne réalise aucun profilage commercial, aucune revente de données, aucun retargeting publicitaire à partir de tes données alumni. Destinataires : Studroof (responsable du traitement) ; les sous-traitants techniques Studroof : Supabase (hébergement DB, UE), Resend (envoi des emails alumni), Sentry (monitoring). Aucun transfert hors UE n’est effectué sans encadrement par les Clauses Contractuelles Types de la Commission européenne. Durées de conservation : compte Alumni Studroof conservé tant que l’utilisateur reste actif (au moins une connexion tous les 24 mois) ; après 24 mois d’inactivité, le compte passe en sommeil (lecture seule, plus de notification) ; après 36 mois d’inactivité, le compte est définitivement supprimé (hard-delete) avec préavis email 30 jours avant. Journal alumni_consent_log : conservé tant que le compte alumni existe, supprimé en cascade au hard-delete. Tes droits (RGPD Art. 7 §3, 13, 15, 17 et 20) : tu peux retirer ton consentement au Programme Alumni & Ambassadeurs à tout moment depuis /me/alumni — avec exactement la même simplicité qu’à l’adhésion, sans justification (Art. 7 §3, anti-dark-pattern aligné CNIL délib. SAN-2022-009). Le retrait entraîne soit la mise en pause de ton compte, soit sa suppression définitive — tu choisis. Tu peux accéder à ton journal de consentement alumni via l’export JSON (alumni_consent_log filtré sur ton identifiant), et demander la suppression complète de ton passeport via /account/danger-zone (cascade student_stays → alumni_consent_log via clé étrangère ON DELETE CASCADE).

14. Vérification du statut étudiant

Pour protéger la communauté contre les faux profils, Studroof permet aux étudiants de prouver leur statut d’étudiant Erasmus afin d’obtenir un badge « Étudiant vérifié », au choix par e-mail universitaire (code à usage unique) ou par justificatif.

Données traitées à cette fin : (e-mail universitaire) l’adresse e-mail universitaire que tu saisis, un code à usage unique (stocké uniquement sous forme d’empreinte SHA-256 salée, valable 15 minutes, à usage unique) et sa date de vérification ; (justificatif) le document que tu téléverses (attestation Erasmus, certificat de scolarité, carte étudiante ou « autre ») — nous te demandons de masquer toute information non nécessaire à la preuve de ton statut. Les fichiers sont stockés dans un bucket PRIVÉ (verification-docs) ; ils ne sont jamais publics, ne sont accessibles qu’à l’équipe Studroof habilitée via des liens signés de courte durée, et sont SUPPRIMÉS dès qu’une décision est prise (acceptation, refus ou demande de renvoi), ainsi que lorsqu’une nouvelle soumission remplace une précédente ; (métadonnées et journal d’audit) méthode utilisée, type de document, statut, date de décision, membre de l’équipe ayant décidé, et le motif de refus le cas échéant.

Nous ne demandons ni ne traitons sciemment de données sensibles (RGPD Art. 9). Une photo sur une carte étudiante fait l’objet d’une revue visuelle humaine et n’est jamais utilisée à des fins d’identification biométrique.

Base légale : l’intérêt légitime de Studroof à prévenir la fraude et à garantir la sécurité de la communauté (RGPD Art. 6(1)(f) ; voir le considérant 47, qui reconnaît la prévention de la fraude comme un intérêt légitime). Un test de mise en balance est documenté en interne.

Destinataires : l’équipe Studroof habilitée (examen) ; Supabase (stockage privé et base de données) ; Resend (envoi de l’e-mail contenant le code). Voir la section 9 pour les transferts hors UE.

Durées de conservation : les justificatifs sont supprimés dès qu’une décision est prise. Les métadonnées de soumission et le journal d’audit sont conservés tant que ton compte est actif, puis supprimés ou anonymisés lorsque tu supprimes ton compte, afin de pouvoir justifier une décision et détecter des tentatives de fraude répétées tant que tu utilises Studroof.

Tes droits : tu peux accéder à tes données de vérification et les exporter via l’export JSON (/account), demander leur rectification, et en obtenir l’effacement (via /account/danger-zone, ou en retirant une demande en cours). Pendant qu’une demande est en cours d’examen, tu ne peux pas supprimer toi-même la preuve afin qu’elle ne puisse être altérée avant l’examen ; le document est supprimé automatiquement une fois la décision rendue.

⚠️ Texte provisoire — validation avocat requise.