Confidentialité · RGPD

Politique de confidentialité

Dernière mise à jour : 25 octobre 2026

Cette politique décrit comment Jamodio collecte, utilise et protège les données personnelles des utilisateurs, en conformité avec le Règlement général sur la protection des données (RGPD — UE 2016/679) et la loi Informatique et Libertés.

En résumé — On collecte uniquement le strict nécessaire pour faire fonctionner le service (email, prénom, studios que vous créez). Vos données sont stockées dans l'Union européenne (Supabase, Irlande), jamais revendues, et vous pouvez les supprimer vous-même depuis l'app (Paramètres → Supprimer mon compte).

1. Responsable du traitement

Le responsable du traitement est Benoît Godard, entrepreneur individuel (SIRET 10499100500018), 10 rue Tisserant, 92100 Boulogne-Billancourt, France. Contact : contact@jamodio.com.

Aucun délégué à la protection des données (DPO) n'est désigné à ce stade, l'activité ne répondant pas aux critères d'obligation de désignation (article 37 RGPD).

2. Données collectées

2.1 Données que vous nous fournissez directement

Email — utilisé pour créer votre compte, vous envoyer les emails transactionnels (confirmation, bienvenue, invitations) et vous permettre de vous connecter.
Prénom et nom — demandés à l'inscription ; ils ne sont pas montrés aux autres musiciens.
Pseudo — choisi par vous ; c'est lui qui est affiché aux autres musiciens (studios, Communauté, invitations).
Mot de passe — stocké haché (bcrypt) par Supabase Auth, jamais accessible en clair.
Préférences — langue, thème, instruments, sélection audio/vidéo, réglages de flou vidéo. Stockées pour personnaliser votre expérience.
Photo de profil (optionnelle) — si vous en uploadez une.
Données de paiement (si vous vous abonnez) — saisies directement chez Stripe, notre prestataire de paiement : Jamodio ne voit et ne stocke jamais votre numéro de carte. Votre nom et votre adresse de facturation, demandés au paiement, sont enregistrés chez Stripe pour figurer sur vos factures ; Jamodio ne les recopie pas. Nous conservons l'identifiant client et d'abonnement Stripe, votre formule, son statut et sa date d'échéance.
Carte ayant servi à un essai gratuit — pour qu'un essai gratuit ne soit accordé qu'une fois par carte bancaire, nous conservons une empreinte brouillée de la carte utilisée pour un essai : un code calculé par Stripe à partir du numéro de carte, que nous transformons encore avec une clé secrète. Ni ce code ni nous ne permettent de retrouver le numéro de la carte. Nous y associons votre compte, l'identifiant Stripe de l'abonnement d'essai et sa date.

2.2 Données générées par l'utilisation du service

Studios créés — nom, slug (identifiant), date de création, propriétaire.
Historique de participation — studios rejoints, dates.
Enregistrements que vous réalisez dans un studio (forfaits payants) — déposés dans la bibliothèque de ce studio (Supabase Storage, Irlande), visibles et téléchargeables par ses membres.
Backing tracks que vous uploadez — stockés chiffrés dans Supabase Storage pour pouvoir les partager au sein d'un studio.
Métadonnées techniques audio — instrument sélectionné, niveau VU, latence mesurée. Échangées entre musiciens d'un même studio pour afficher la mixette. Non stockées à long terme.

2.3 Données techniques automatiques

Adresse IP — nécessaire pour établir les connexions audio/vidéo temps réel (SFU WebRTC). Elle est visible du serveur audio mais non stockée en base de données. Conservée seulement dans les logs techniques du serveur (7 jours maximum, pour diagnostic).
Informations du navigateur / plateforme — navigateur (Chrome, Edge…), système d'exploitation, architecture processeur (pour proposer la bonne version de l'Audio Engine). Non stockées en base.
Adresse email de l'expéditeur/destinataire d'invitations par email (conservée uniquement le temps de l'envoi par Resend, pas stockée durablement).

2.4 Liste d'attente (avant le lancement)

Ce que nous enregistrons — votre adresse email, votre prénom si vous l'indiquez, la langue de la page, la campagne d'où vient votre inscription (par exemple une publicité), la date et la version du consentement donné, puis la date de confirmation.
Pourquoi — vous annoncer l'ouverture de Jamodio. Base légale : votre consentement, donné en cochant la case du formulaire puis confirmé par le lien reçu par email (double confirmation). Sans ce clic, nous ne vous écrivons plus.
Combien de temps — une inscription jamais confirmée est supprimée au bout de 30 jours. Une inscription confirmée est conservée au plus 3 ans après notre dernier contact. Si vous vous désinscrivez, votre prénom est effacé ; nous gardons l'adresse, la langue, la campagne d'origine et les dates de consentement, de confirmation et de désinscription, comme preuve et pour ne plus jamais vous écrire.
Protection contre les abus — une adresse reçoit au plus 3 emails de confirmation tant qu'elle n'est pas confirmée, et aucun après une désinscription. Pour limiter les envois automatisés, une empreinte de votre adresse IP, calculée avec une clé secrète, est conservée 24 heures. L'adresse IP elle-même n'est pas enregistrée.
Qui envoie les emails — l'email de confirmation part par Resend. L'annonce du lancement partira par Brevo (société française), à qui nous transmettrons seulement les inscriptions confirmées et non désinscrites.
Vous désinscrire — à tout moment, par le lien présent dans chaque email, ou en écrivant à support@jamodio.com.

2.5 Demandes au support et rapports de bug

Ce qui est envoyé — uniquement quand vous cliquez « Envoyer au support » : votre description, l'email et l'identifiant de votre compte, votre formule, des informations système (navigateur, système, version de l'Audio Engine, écran, fuseau horaire), un relevé de votre connexion à la dernière session (latence, débit, type de chemin réseau) et les journaux techniques de Jamodio, et seulement eux : ceux de l'application Jamodio dans votre navigateur (7 derniers jours) et ceux de l'Audio Engine (3 derniers jours). Rien d'autre de votre navigateur n'est lu : ni votre historique, ni les autres sites, ni leurs onglets. Ces journaux décrivent le fonctionnement du son : noms de vos interfaces audio et de vos plugins, mesures de latence et de réseau, studios rejoints et horaires, et le dossier de votre ordinateur où ils sont rangés, qui peut contenir votre nom d'utilisateur. Jamodio n'y écrit ni mot de passe ni jeton de connexion.
Pourquoi — comprendre et corriger le problème signalé, et vous répondre (exécution du contrat ; intérêt légitime : la fiabilité du service).
Qui les lit — l'éditeur seul. Le rapport est transmis par Resend à la boîte support@jamodio.com, hébergée par OVH SAS (société française). Les messages du formulaire de contact suivent le même chemin vers contact@jamodio.com ; si l'adresse indiquée correspond à un compte Jamodio, sa formule est ajoutée au message, avec la mention « adresse non vérifiée », pour traiter en priorité les abonnés.
Combien de temps — 12 mois après le dernier échange sur votre demande, puis supprimés.
Sur votre ordinateur — tant que vous n'envoyez rien, ces journaux restent chez vous : 7 jours dans le navigateur, 14 jours pour l'Audio Engine. « Télécharger le bundle » crée un fichier sur votre ordinateur sans rien nous envoyer.

Actuellement pas collecté : aucun outil d'analytics (pas de Google Analytics, Plausible, Matomo…), aucun tracker tiers, aucun pixel publicitaire, aucun cookie de profilage. Seul un cookie strictement essentiel est utilisé pour maintenir votre session. Voir Politique cookies.

3. Finalités du traitement

Vos données sont utilisées pour :

vous permettre de créer un compte et de vous authentifier (base légale : exécution du contrat) ;
vous fournir le service de jam à distance (studios, audio, vidéo) (exécution du contrat) ;
vous envoyer les emails transactionnels indispensables (confirmation d'inscription, invitations à un studio que vous envoyez, support) (exécution du contrat) ;
vous rappeler les jams auxquelles vous êtes inscrit : une heure avant chacune, quand sa salle ouvre, un rappel dans l'application et un email. Chacun se coupe dans Mon compte → Notifications ; l'email aussi par le lien présent dans chaque rappel (exécution du contrat) ;
vous signaler les jams qui cherchent un de vos instruments, dans l'application et, si vous ne l'avez pas refusé, par email : au plus deux par semaine, regroupés. Vous pouvez refuser l'email à l'inscription, à tout moment dans Mon compte → Notifications, et en un clic depuis chaque email (intérêt légitime : faire vivre les jams de la communauté) ;
gérer votre abonnement et son paiement (exécution du contrat), et conserver les factures (obligation légale) ;
éviter qu'un essai gratuit soit accordé plusieurs fois avec la même carte bancaire (intérêt légitime : prévention des abus) ;
diagnostiquer les incidents techniques et améliorer le service (intérêt légitime) ;
répondre à vos demandes (support, questions, droits RGPD) (exécution du contrat / obligation légale).

Aucun traitement à finalité publicitaire ou commerciale n'est réalisé sans votre consentement explicite. Vous ne recevrez pas de newsletter commerciale non sollicitée. Les alertes de jams ne sont pas de la publicité : elles signalent des jams gratuites organisées sur Jamodio, en lien avec le service que vous utilisez.

4. Durée de conservation

Compte utilisateur : conservé tant que le compte est actif. Supprimé immédiatement à votre demande (Paramètres → Supprimer mon compte, ou email à contact@jamodio.com). Un abonnement en cours est alors résilié immédiatement, sans remboursement de la période en cours ; vous en êtes prévenu avant de confirmer.
Studios, leurs fichiers, participations et photo de profil : supprimés avec le compte.
Notifications de l'application : supprimées 60 jours après leur lecture, et au plus tard 90 jours après leur création ; avec le compte dans tous les cas.
Suivi des emails de notification : la trace de chaque rappel envoyé est conservée 90 jours, pour ne jamais l'envoyer deux fois ; les compteurs d'envois et de désinscriptions, 13 mois. Supprimés avec le compte.
Conversations privées (messagerie) : supprimées avec le compte, y compris pour l'autre participant.
Messages et fichiers déposés dans les studios d'autres musiciens : ils restent dans ces studios, mais votre nom ne leur est plus associé.
Factures et historique de paiement : conservés par Stripe pour le compte de Jamodio pendant 10 ans, y compris après la suppression du compte, pour respecter nos obligations comptables (article L123-22 du Code de commerce). Stripe conserve avec eux votre email et les identifiants techniques de votre fiche client ; votre numéro de carte, lui, n'est jamais transmis à Jamodio.
Empreinte brouillée d'une carte ayant servi à un essai gratuit : 3 ans après l'essai, puis effacée automatiquement. Si vous supprimez votre compte, elle n'y est plus rattachée mais reste conservée jusqu'à cette échéance, pour que la carte ne donne pas droit à un nouvel essai.
Logs techniques (serveur SFU) : 7 jours glissants.
Emails transactionnels : Resend conserve les logs d'envoi 30 jours glissants (conformément à leur politique).
Rapports DMARC : conservés 6 mois maximum pour analyse de sécurité.
Demandes au support, rapports de bug et messages du formulaire de contact : 12 mois après le dernier échange sur la demande, puis supprimés.

5. Destinataires des données

Vos données sont accessibles à :

Vous — intégralement, via l'interface de l'application ou sur demande.
Les autres musiciens d'un studio que vous rejoignez — ils voient votre pseudo, votre photo ou avatar, votre instrument et les flux audio/vidéo que vous partagez volontairement.
L'éditeur (Benoît Godard), strictement pour les besoins d'administration et de support.
Nos sous-traitants techniques, listés dans les Mentions légales : Vercel (frontend), Supabase (base de données + auth, Irlande), OVH (SFU, Gravelines), Scaleway (SFU, Paris), Resend (emails), OVH (messagerie du support et du contact), Stripe (paiement en ligne).

Aucune donnée n'est vendue, louée, cédée ou partagée à des tiers à des fins commerciales.

6. Transferts hors Union européenne

Supabase Inc. et Vercel Inc. sont des sociétés américaines. Les données utilisateurs Jamodio sont toutefois stockées exclusivement dans la région eu-west-1 de Supabase (Irlande, Union européenne) — elles ne quittent pas l'UE. L'infrastructure Vercel déploie le code frontend sur un CDN mondial ; seules des données publiques (HTML, CSS, JavaScript) y transitent, aucune donnée personnelle.

Pour les paiements, Stripe peut traiter certaines données aux États-Unis (Stripe, Inc.).

Les échanges contractuels avec ces prestataires s'appuient sur les Clauses contractuelles types (CCT) de la Commission européenne, conformément à l'arrêt Schrems II.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

Accès — obtenir une copie de toutes les données vous concernant ;
Rectification — corriger des données inexactes (modifiable vous-même dans Paramètres) ;
Effacement — supprimer vos données (fonction « Supprimer mon compte » dans Paramètres) ;
Portabilité — recevoir vos données dans un format structuré et lisible machine (JSON) ;
Opposition — vous opposer à un traitement fondé sur l'intérêt légitime ;
Limitation — demander le gel temporaire d'un traitement ;
Retrait du consentement — à tout moment, pour les traitements fondés sur le consentement.

Pour exercer ces droits, contactez contact@jamodio.com. Une réponse vous sera apportée sous un délai maximal de 30 jours.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL — Commission nationale de l'informatique et des libertés : cnil.fr/fr/plaintes.

8. Sécurité des données

Jamodio met en œuvre des mesures techniques et organisationnelles pour protéger vos données :

chiffrement TLS 1.3 pour toutes les communications (HTTPS partout, WSS pour WebSocket) ;
mots de passe hachés avec bcrypt (jamais stockés en clair) ;
authentification par JWT signé avec rotation automatique de la clé de signature ;
politiques Row-Level Security (RLS) Supabase pour isoler les données entre utilisateurs ;
rate limiting côté serveur SFU (protection contre les abus) ;
en-têtes de sécurité HTTP stricts (HSTS 2 ans, CSP, X-Frame-Options DENY, etc.).

En cas de violation de données susceptible d'engendrer un risque pour vos droits, une notification sera effectuée à la CNIL sous 72 heures, et, le cas échéant, aux personnes concernées dans les meilleurs délais.

9. Mineurs

Jamodio est accessible à partir de 15 ans (âge du consentement numérique en France, article 8 RGPD). Pour les utilisateurs de moins de 15 ans, le consentement d'un titulaire de l'autorité parentale est requis.

10. Évolutions

Cette politique peut être mise à jour pour refléter les évolutions techniques ou légales. La date de dernière mise à jour (en haut de page) indique la version courante. En cas de modification substantielle, les utilisateurs actifs sont notifiés par email.