Politique de confidentialité

La version allemande de ce document fait foi. Cette traduction est fournie à titre informatif uniquement.

Mise à jour : 5 octobre 2026

1. Responsable du traitement

Le responsable au sens du Règlement général sur la protection des données (RGPD) est :

Yannick Stein
Auf’m Bruch 6
59929 Brilon
E-mail : [email protected]

2. Aperçu des traitements

Cette politique de confidentialité informe sur le traitement des données à caractère personnel lors de l’utilisation du site web notenarchiv.com ainsi que de la plateforme web et de l’application mobile « Notenarchiv » (ci-après désignés ensemble par « service »).

3. Données collectées

3.1 Visite du site web (notenarchiv.com)

Ce site web est un site d’information statique. Aucun formulaire de collecte de données n’est utilisé. Lors de la visite du site, des fichiers journaux du serveur, techniquement nécessaires, sont enregistrés (voir section 4).

Par ailleurs, nous utilisons Google Ads sur ce site afin de mesurer l’efficacité de nos annonces publicitaires (voir section 6.5). Des cookies sont alors déposés et des données transmises à Google. Cela n’a lieu qu’après ton consentement explicite, que nous recueillons au moyen d’une bannière. Si tu ne donnes pas ton consentement, aucun cookie publicitaire n’est déposé et aucun identifiant n’est transmis à Google.

Pour la mesure d’audience, nous utilisons Umami, un logiciel d’analyse que nous hébergeons nous-mêmes sur un serveur chez Hetzner au sein de l’UE (voir section 6.2). Sont enregistrés la page consultée, la page de provenance, l’origine approximative (pays, région et ville, déduite de l’adresse IP), le type d’appareil, la taille de l’écran et la langue du navigateur. Umami ne dépose aucun cookie et n’enregistre rien de durable sur ton appareil. Ton adresse IP n’est pas conservée : elle sert uniquement de manière transitoire à former une valeur de comptage, avec l’identifiant de ton navigateur et une valeur aléatoire qui change chaque jour — dès que cette valeur change, toute reconnaissance devient impossible. Aucune donnée n’est transmise à des tiers ; l’analyse ne quitte pas notre propre serveur. La base juridique est l’art. 6 al. 1 let. f RGPD (intérêt légitime à une conception de notre offre adaptée aux besoins). Tu peux t’opposer à ce traitement au titre de l’art. 21 RGPD (voir section 10).

Aucune mesure publicitaire ni d’audience n’a lieu dans l’application mobile. Dans l’application web, nous utilisons la mesure d’audience sans cookies décrite à la section 3.7 ; il n’y a pas de mesure publicitaire.

3.2 Inscription et gestion du compte (application)

• Nom de la société (clients associatifs)
• Prénom, nom et adresse e-mail de la personne de contact ou – pour une archive personnelle – de l’utilisateur
• Adresse IP et user-agent lors de l’inscription (preuve de l’acceptation des CGV)
• Rôle au sein de la société (administrateur, responsable des partitions, chef de pupitre, membre)
• Instruments attribués

3.3 Utilisation du service (application)

• Fichiers téléversés (partitions musicales en PDF)
• Métadonnées des partitions (titre, compositeur, catégorie, etc.)
• Dates avec réponses (présent, absent, peut-être) et – uniquement si la société active la fonction – la présence relevée aux répétitions et aux concerts
• Annotations et renvois personnels dans les partitions
• Journaux d’accès (horodatage, pages consultées)
• Trace d’utilisation par membre et par société : les jours où une personne a été active et avec quel client (web, application iOS, application Android). Nous l’exploitons pour le fonctionnement et pour vérifier l’étendue d’utilisation prévue au contrat (§ 3a CGV – p. ex. le nombre de membres actifs d’une société au cours des 90 derniers jours)
• Journal des modifications de la société : qui a créé, modifié, supprimé ou partagé quelles partitions, voix, livres, données de base, adhésions, droits ou réglages de la société, et quand (personne agissante, personne concernée, moment, appareil utilisé – web, application iOS, application Android ou API). Les adresses IP, les contenus, les accès en lecture et les téléchargements ne sont pas enregistrés. Les administrateurs de la société peuvent le consulter intégralement, les responsables des partitions pour le domaine des partitions

3.4 Authentification (application)

• Identifiants WebAuthn/Passkey (clé publique, identifiant de credential)
• Jetons Magic Link (temporaires, valables 15 minutes maximum)
• Jetons JWT (dans le stockage du navigateur de l’utilisateur)

3.5 Abonnement et facturation (application)

• Tarif choisi et statut de l’abonnement
• Adresse de facturation (si indiquée)
• Informations de paiement (numéro de facture, statut du paiement)
• En cas de paiement par carte, prélèvement SEPA, Apple Pay ou Google Pay : les données de paiement sont collectées et traitées par le prestataire de paiement Stripe (section 6.9). Nous ne conservons aucun numéro de carte ni de compte, seulement un identifiant client Stripe et le statut du paiement
• En cas d’achat intégré via l’App Store ou Google Play : le paiement est traité par Apple ou Google (section 6.11). Nous ne recevons que la confirmation d’achat avec la formule, la durée et le statut, aucune donnée de paiement

3.6 Programme de parrainage « une société en recommande une autre » (si activé)

Si une société s’inscrit avec le code de parrainage d’une autre société, nous traitons en outre :

• le rattachement à la société marraine et l’état du parrainage,
• l’adresse IP lors de l’inscription ainsi que – pour le rapprochement – l’adresse de facturation, l’e-mail de facturation, le numéro fiscal et les domaines e-mail des administrateurs des deux sociétés,
• les écritures d’avoir (crédit, imputation, expiration).

Le rapprochement sert exclusivement à prévenir les abus (p. ex. « auto-parrainage » avec une société fictive). La société marraine ne voit que le nom de la société parrainée, la date d’inscription et l’état du parrainage – ni personnes, ni montants, ni résultats de contrôle.

3.7 Mesure d’audience dans l’application web

Dans l’application web (app.notenarchiv.com), nous utilisons également le logiciel auto-hébergé Umami décrit à la section 3.1 – pour voir quelles fonctions sont utilisées et pour trouver les erreurs. Umami ne dépose aucun cookie et n’enregistre rien sur ton appareil.

Sont enregistrés par page consultée ou par événement :

• la page consultée comme type de page, sans identifiants – par exemple /scores/:id au lieu du numéro d’une partition ; les liens de partage, de date et de connexion sont réduits à :token, les paramètres de requête sont supprimés,
• le navigateur, le système d’exploitation, le type d’appareil, la taille de l’écran et la langue,
• l’origine approximative (pays, région, ville), déduite de l’adresse IP ; l’adresse IP elle-même n’est pas conservée,
• des événements techniques : le code de statut HTTP des requêtes échouées et la classe d’erreur en cas d’erreur d’affichage – sans contenu.

Umami forme, à partir de l’adresse IP, de l’identifiant du navigateur et d’une valeur aléatoire qui change chaque jour, une valeur de comptage non réversible afin de regrouper les consultations d’une même journée en une session. Aucun profil sur plusieurs jours ni aucun rattachement à un compte, une société ou une personne n’est établi. Si « Do Not Track » est activé dans ton navigateur, le script de comptage n’est même pas chargé.

La base juridique est notre intérêt légitime à un service stable, développé en fonction des besoins (art. 6 al. 1 let. f RGPD). Comme rien n’est enregistré ni lu sur l’appareil, aucun consentement au titre de l’art. 25 TDDDG n’est requis. Tu peux t’opposer à ce traitement au titre de l’art. 21 RGPD (section 10) ou t’en exclure comme décrit à la section 9.1.

3.8 Rapports d’erreur (application web, application mobile et serveurs)

Si une erreur technique survient dans l’application web, dans l’application mobile ou sur nos serveurs, un rapport d’erreur est transmis au service Sentry (section 6.8). Il contient le message d’erreur et le déroulement du programme (stack trace), la page concernée sans identifiants, la version de l’application, le navigateur ou le type d’appareil et le système d’exploitation, ainsi que le moment. Les données personnelles sont retirées avant l’envoi : pas d’adresses e-mail, pas de jetons de connexion, de partage ou de réponse, pas de contenu des requêtes. Sentry est configuré pour ne conserver ni identifiants d’utilisateur ni adresses IP. En outre, une petite part des requêtes (environ 10 %) est enregistrée pour mesurer les temps de réponse – nom du point de terminaison et durée, sans contenu. La base juridique est l’art. 6 al. 1 let. f RGPD (intérêt légitime à un service stable et sûr).

4. Fichiers journaux du serveur

L’hébergeur (Cloudflare) collecte et stocke automatiquement des informations dans ce que l’on appelle des fichiers journaux du serveur, que ton navigateur transmet automatiquement. Il s’agit de :

• type et version du navigateur
• système d’exploitation utilisé
• URL de référence (referrer)
• adresse IP
• heure de la requête au serveur

Ces données ne sont pas regroupées avec d’autres sources de données. La collecte de ces données s’effectue sur la base de l’art. 6 al. 1 let. f RGPD. L’exploitant du site web a un intérêt légitime à la présentation et à la mise à disposition techniquement irréprochables de son site.

L’instance d’analyse stats.notenarchiv.com fonctionne sur notre propre serveur chez Hetzner au sein de l’UE (voir section 6.2). Des fichiers journaux du serveur contenant les mêmes indications, en particulier ton adresse IP, y sont également créés lors du chargement du script de comptage et lors de la transmission des mesures. Ces journaux servent uniquement au fonctionnement sécurisé et au dépannage. Ils ne sont pas regroupés avec les données d’analyse de la section 3.1 et sont supprimés à l’issue du délai indiqué pour les journaux d’accès à la section 8. La base juridique est l’art. 6 al. 1 let. f RGPD.

5. Bases juridiques du traitement

6. Sous-traitants et prestataires tiers intégrés

Nous faisons appel aux prestataires suivants :

6.1 Cloudflare, Inc.

• Finalité : hébergement du site web, protection contre les bots lors de l’inscription et sur le formulaire de contact de la plateforme (Cloudflare Turnstile)
• Données : adresse IP, informations du navigateur (anonymisées)
• Stockage : aucun stockage durable de données à caractère personnel
• Localisation : monde entier, clauses contractuelles types selon l’art. 46 al. 2 let. c RGPD
• Info : https://www.cloudflare.com/privacypolicy

6.2 Hetzner Online GmbH

• Finalité : hébergement de l’application et stockage des données (serveurs et stockage objet S3) ainsi qu’exploitation de notre instance d’analyse auto-hébergée (stats.notenarchiv.com)
• Localisation : Union européenne – centres de données en Allemagne et en Finlande
• Protection des données : contrat de sous-traitance conclu selon l’art. 28 RGPD
• Info : https://www.hetzner.com/legal/privacy-policy

6.3 Resend Inc. (si activé)

• Finalité : envoi d’e-mails (liens de connexion, notifications)
• Données : adresse e-mail, prénom
• Localisation : États-Unis, clauses contractuelles types selon l’art. 46 al. 2 let. c RGPD
• Info : https://resend.com/legal/privacy-policy

6.4 OpenAI, LLC (uniquement si la reconnaissance par IA est activée)

• Finalité : reconnaissance des instruments assistée par IA sur les pages PDF
• Données : des images de pages PDF isolées sont transmises temporairement à l’API OpenAI
• Stockage : conformément à sa propre Data Usage Policy, OpenAI ne conserve pas durablement à des fins d’entraînement les données transmises via l’API (en cas d’utilisation de l’API)
• Localisation : États-Unis, clauses contractuelles types selon l’art. 46 al. 2 let. c RGPD
• Remarque : la reconnaissance par IA est désactivée par défaut et n’est activée qu’à la demande du client. Le client peut désactiver son utilisation à tout moment dans les réglages.
• Info : https://openai.com/policies/privacy-policy

6.5 Google Ireland Limited (uniquement après consentement, site web uniquement)

• Finalité : mesure de l’efficacité de nos annonces publicitaires (suivi des conversions et remarketing Google Ads) sur notenarchiv.com
• Prestataire : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande
• Données : adresse IP, informations sur le navigateur et l’appareil, pages consultées, URL de provenance, identifiants de clic publicitaire (par ex. gclid), identifiants de cookies
• Base juridique : Art. 6 al. 1 let. a RGPD (consentement) en liaison avec l’art. 25 al. 1 TDDDG
• Rôle : Google traite une partie de ces données non pas en tant que sous-traitant, mais en tant que responsable de traitement autonome. Les détails sont régis par les conditions relatives au traitement des données Google Ads.
• Transfert vers un pays tiers : un transfert aux États-Unis vers Google LLC n’est pas exclu. Google LLC est certifiée au titre du EU-US Data Privacy Framework ; des clauses contractuelles types au sens de l’art. 46 al. 2 let. c RGPD s’y ajoutent.
• Consent Mode : nous utilisons le Google Consent Mode v2. Tant que tu n’as pas consenti, tous les signaux de consentement (ad_storage, ad_user_data, ad_personalization, analytics_storage) sont réglés sur « denied ». Google ne reçoit alors aucun identifiant, tout au plus des signaux anonymes et sans cookie.
• Retrait : à tout moment via « Paramètres des cookies » dans le pied de page de chaque page
• Info : https://policies.google.com/privacy et https://policies.google.com/technologies/ads

6.6 YouTube (Google Ireland Limited) – uniquement dans l’application, uniquement au clic

• Finalité : lecture des extraits audio qu’une société a associés à une partition sous forme de lien YouTube
• Données : ce n’est que lorsque tu lances un extrait que le navigateur charge le lecteur depuis youtube-nocookie.com (mode de confidentialité avancé). Google reçoit alors ton adresse IP et des informations sur ton appareil ; aucune connexion à Google n’est établie avant. Dans l’application mobile, un appui ouvre la vidéo dans l’application YouTube ou dans le navigateur.
• Base juridique : Art. 6 al. 1 let. a RGPD (consentement par le lancement de la vidéo) en liaison avec l’art. 25 al. 1 TDDDG
• Transfert vers un pays tiers : comme décrit au point 6.5
• Info : https://policies.google.com/privacy

6.7 Notifications push (Expo, Apple, Google) – application mobile uniquement, uniquement après autorisation

• Finalité : remise des notifications push (dates, rappels, annonces) sur ton appareil
• Services : la remise passe par le service push d’Expo (650 Industries, Inc., États-Unis) puis par le service push de ton système d’exploitation – Apple Push Notification service (Apple Inc.) ou Firebase Cloud Messaging (Google LLC)
• Données : jeton d’appareil (Expo push token), plateforme, titre et texte de la notification (par exemple le titre et l’heure d’une date) ainsi que des données techniques de remise
• Localisation : États-Unis ; le transfert repose sur des clauses contractuelles types selon l’art. 46 al. 2 let. c RGPD. Apple Inc. et Google LLC sont en outre certifiées au titre du EU-US Data Privacy Framework
• Remarque : tu ne reçois des notifications push que si tu les autorises dans l’application ou dans les réglages système de ton appareil. Tu peux les désactiver à tout moment au même endroit.
• Info : https://expo.dev/privacy, https://www.apple.com/legal/privacy et https://firebase.google.com/support/privacy

6.8 Functional Software, Inc. (Sentry) – rapports d’erreur

• Finalité : enregistrement des erreurs techniques et des temps de réponse dans l’application web, l’application mobile et le backend (section 3.8)
• Données : rapports d’erreur sans données personnelles, voir section 3.8
• Localisation : États-Unis ; contrat de sous-traitance avec clauses contractuelles types selon l’art. 46 al. 2 let. c RGPD
• Info : https://sentry.io/privacy/

6.9 Stripe Payments Europe, Ltd. (uniquement en cas de paiement par carte, prélèvement SEPA, Apple Pay ou Google Pay)

• Finalité : traitement des paiements, gestion des paiements récurrents et portail client
• Prestataire : Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlande
• Données : nom, adresse e-mail, adresse de facturation, montant et moment du paiement ainsi que les données de paiement ; les données de carte et l’IBAN sont saisis directement chez Stripe et ne sont pas conservés sur nos serveurs
• Rôle : Stripe traite en partie les données de paiement en tant que responsable de traitement autonome, par exemple pour la prévention de la fraude
• Transfert vers un pays tiers : un transfert vers Stripe, Inc. (États-Unis) a lieu sur la base de clauses contractuelles types ; Stripe, Inc. est certifiée au titre du EU-US Data Privacy Framework
• Info : https://stripe.com/fr/privacy

6.10 sevdesk GmbH – facturation

• Finalité : établissement et envoi des factures en cas de paiement par virement, comptabilité
• Prestataire : sevdesk GmbH, Offenburg, Allemagne
• Données : nom de la société ou nom, adresse de facturation, e-mail de facturation, personne de contact, montants des factures et statut du paiement
• Localisation : Allemagne ; contrat de sous-traitance selon l’art. 28 RGPD
• Info : https://sevdesk.de/datenschutz/

6.11 Apple Inc. et Google LLC – achats intégrés (uniquement en cas de souscription dans l’application)

• Finalité : traitement des abonnements souscrits dans l’application iOS ou Android
• Données : Apple ou Google traitent les données de paiement en tant que responsables de traitement autonomes selon leurs propres politiques de confidentialité. Nous recevons une confirmation d’achat avec identifiant de transaction, formule, durée et statut, aucune donnée de paiement
• Info : https://www.apple.com/legal/privacy et https://policies.google.com/privacy

7. Transmission des données

Une transmission de données à caractère personnel à des tiers n’a lieu que :

• aux prestataires mentionnés à la section 6
• à Google dans le cadre de la mesure publicitaire décrite à la section 6.5, à condition que tu aies consenti
• lorsque nous y sommes légalement tenus (par ex. sur décision d’un tribunal)

Aucune transmission à des fins publicitaires au-delà de cela n’a lieu. En particulier, le contenu de ton archive de partitions ainsi que les données de compte et d’utilisation de l’application ne sont jamais transmis à des réseaux publicitaires.

8. Durée de conservation

9. Cookies et stockage local

9.1 Stockage techniquement nécessaire (sans consentement)

• Stockage local (localStorage) : les jetons d’authentification JWT et l’organisation choisie sont enregistrés dans le navigateur. Ces données sont techniquement nécessaires au fonctionnement du service.
• Cookie de consentement na_consent : enregistre ta décision relative à la bannière (valeur granted ou denied, durée 6 mois). Sans ce cookie, nous devrions te redemander à chaque page consultée. Il est donc nécessaire au sens de l’art. 25 al. 2 TDDDG et ne requiert pas lui-même de consentement. Il ne contient aucun identifiant permettant de te reconnaître.
• Mesure d’audience (Umami) : ne dépose aucun cookie et ne crée de lui-même aucune entrée dans le stockage du navigateur. La seule valeur lue est umami.disabled. Si ton navigateur a activé « Do Not Track », nous ne te comptons pas du tout. Indépendamment de cela, tu peux t’exclure durablement en exécutant localStorage.setItem('umami.disabled', 1) dans la console de développement de cette page — cette entrée reste dans ton navigateur et n’est jamais lue ni transmise par nous. Cela vaut aussi bien sur ce site web que dans l’application web ; comme les navigateurs séparent le stockage par domaine, l’entrée umami.disabled doit être définie séparément sur notenarchiv.com et sur app.notenarchiv.com.

9.2 Cookies après consentement (Google Ads, site web uniquement)

Si tu consens, Google Ads dépose des cookies destinés à mesurer la performance publicitaire :

Ces cookies ne sont pas déposés avant ton consentement.

9.3 Retrait

Tu peux retirer ton consentement à tout moment avec effet pour l’avenir via le lien « Paramètres des cookies » dans le pied de page de chaque page. Tu peux en outre supprimer les cookies déjà déposés dans les paramètres de ton navigateur. La licéité du traitement effectué jusqu’au retrait n’en est pas affectée (art. 7 al. 3 RGPD).

10. Droits des personnes concernées

Toute personne concernée dispose des droits suivants :

• Accès (art. 15 RGPD) : tu peux demander des informations sur les données te concernant qui sont conservées.
• Rectification (art. 16 RGPD) : tu peux demander la rectification de données inexactes.
• Effacement (art. 17 RGPD) : tu peux demander l’effacement de tes données, dans la mesure où aucune obligation légale de conservation ne s’y oppose. Lors de la suppression de ton compte, le journal des modifications de ta société est pseudonymisé : les entrées dans lesquelles tu as agi ou étais concerné n’affichent plus que « Compte supprimé ».
• Limitation (art. 18 RGPD) : tu peux demander la limitation du traitement.
• Portabilité des données (art. 20 RGPD) : tu peux recevoir tes données dans un format courant et lisible par machine.
• Opposition (art. 21 RGPD) : tu peux t’opposer au traitement de tes données.

Pour exercer tes droits, adresse-toi à l’adresse e-mail mentionnée à la section 1.

11. Droit de réclamation

En cas de violation du RGPD, tu disposes d’un droit de réclamation auprès d’une autorité de contrôle. L’autorité de contrôle compétente est :

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
https://www.ldi.nrw.de

12. Mesures de sécurité

Nous prenons des mesures techniques et organisationnelles appropriées pour protéger tes données :

• Transmission des données chiffrée (HTTPS/TLS)
• Connexion sans mot de passe via WebAuthn/Passkeys (résistante au hameçonnage)
• Séparation des clients (architecture multi-tenant avec isolation stricte des données)
• Mises à jour de sécurité régulières
• Contrôles d’accès et autorisations basées sur les rôles

13. Prise de contact par e-mail ou formulaire de contact

Lorsque tu nous contactes par e-mail ou via le formulaire de contact de la plateforme (nom, adresse e-mail, objet, message), ta demande, y compris toutes les données à caractère personnel qui en découlent (nom, adresse e-mail, contenu de la demande), est conservée et traitée chez nous aux fins du traitement de ta demande. Nous ne transmettons pas ces données sans ton consentement.

Le traitement de ces données s’effectue sur la base de l’art. 6 al. 1 let. b RGPD, dans la mesure où ta demande est liée à l’exécution d’un contrat ou est nécessaire à la mise en œuvre de mesures précontractuelles. Dans tous les autres cas, le traitement repose sur notre intérêt légitime au traitement efficace des demandes qui nous sont adressées (art. 6 al. 1 let. f RGPD).

14. Modifications de cette politique de confidentialité

Nous nous réservons le droit d’adapter cette politique de confidentialité afin de l’ajuster à des évolutions de la situation juridique ou à des modifications du service. La version respectivement en vigueur est consultable sur cette page et dans l’application.