🇫🇷 Français
1. Introduction
La présente politique décrit comment Rotamix (« l'Application », « nous ») collecte, utilise et protège vos renseignements personnels. En utilisant l'Application, vous consentez aux pratiques décrites ici.
L'Application est exploitée depuis le Québec, Canada, et se conforme à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25).
Responsable de la protection des renseignements personnels : Marc-André Drouin — madrouin90@gmail.com
2. Renseignements collectés
Compte utilisateur : adresse courriel (identifiant de connexion) et mot de passe (haché, jamais en clair). Si vous vous connectez avec Google : identifiant, courriel et photo de profil.
Profils de groupe : pseudonyme et avatar affichés dans chaque groupe ; adresse courriel de profil optionnelle (résumé hebdomadaire, désinscription possible).
Intégration Discord (optionnelle) : identifiant et nom d'utilisateur Discord, si vous liez votre compte. Déliaison possible en tout temps.
Contenu que vous créez : partages musicaux (liens Spotify et métadonnées publiques), notes, commentaires, réactions, évaluations, favoris, messages de groupe, historique des partages, ainsi que les suggestions et signalements de bug que vous nous envoyez.
Données techniques : jetons de session (hachés), abonnements aux notifications push, adresse IP (utilisée transitoirement pour la limitation de débit uniquement, jamais enregistrée en base). Notre hébergeur (Vercel) génère ses propres journaux d'infrastructure (IP, navigateur).
Journal d'audit interne : certaines actions administratives (ex. renommage, liaison Discord) sont consignées dans un journal à accès restreint, purgé automatiquement après 180 jours.
Nous ne collectons pas votre compte Spotify, vos données de paiement, ni votre localisation. Aucun outil d'analytique ou de suivi publicitaire n'est utilisé.
3. Témoins (cookies) et stockage local
L'Application utilise uniquement des témoins et du stockage local essentiels au fonctionnement — aucun témoin publicitaire ou de suivi :
| Donnée | Finalité | Durée |
|---|---|---|
| Jetons de session (compte et groupes) | Vous garder connecté | 1 an ou jusqu'à déconnexion |
| Dernier groupe consulté | Vous ramener au bon groupe | 1 an |
| Thème (clair/sombre) | Préférence d'affichage | Jusqu'à changement |
| Rappel de notifications push | Ne pas vous redemander | Jusqu'à effacement |
| Fermeture du bandeau « phase alpha » | Ne pas le réafficher | Jusqu'à effacement |
| Brouillons de formulaires | Survivre à la connexion Google | Fermeture de l'onglet |
| Témoins de sécurité (anti-CSRF) | Protéger la connexion Google/Discord | 10 minutes |
4. Utilisation des renseignements
Vos renseignements servent exclusivement à fournir les fonctionnalités de l'Application, faire fonctionner les intégrations Google/Discord, assurer la sécurité et prévenir les abus, et répondre à vos suggestions ou signalements de bug.
Nous ne vendons ni ne louons vos renseignements à des tiers. Aucune publicité.
5. Services tiers et transferts hors Québec
L'Application s'appuie sur les services suivants :
| Service | Rôle | Données traitées | Emplacement |
|---|---|---|---|
| Supabase | Base de données | L'ensemble des données décrites à la section 2 | Canada (Central) |
| Vercel | Hébergement et exécution | Trafic, traitement des requêtes, journaux (IP, navigateur) | États-Unis |
| Connexion optionnelle | Identifiant, courriel, photo de profil | États-Unis | |
| Discord | Liaison de compte optionnelle | Identifiant et nom d'utilisateur Discord | États-Unis |
| Railway | Bot Discord optionnel | Identifiant Discord, salon, lien détecté — jamais le texte des messages | États-Unis |
| Spotify (oEmbed) | Aperçus de liens musicaux | Liens partagés uniquement | États-Unis |
| Last.fm | Métadonnées musicales (genres) | Titres/artistes uniquement | Royaume-Uni |
| Resend | Envoi de courriels transactionnels | Courriel, pseudonyme, nom du groupe | États-Unis |
| Upstash | Limitation de débit | Adresse IP, usage transitoire | États-Unis |
Transfert de renseignements hors Québec : notre base de données (Supabase) est hébergée dans la région Canada, mais l'exécution de l'Application (Vercel) et plusieurs services tiers essentiels à son fonctionnement sont situés aux États-Unis. Vos renseignements personnels peuvent donc transiter par les États-Unis dans le cadre normal du fonctionnement de l'Application. Nous n'utilisons que des fournisseurs reconnus et limitons les données transmises à chacun au strict nécessaire.
6. Conservation et suppression
Suppression de compte : vous pouvez demander la suppression de votre compte à tout moment. Un délai de grâce de 14 jours s'applique, annulable. À l'échéance, votre compte et toutes vos données sont supprimés définitivement.
Exception — journal d'audit : les entrées internes peuvent subsister jusqu'à 180 jours après l'action concernée, même après suppression du compte. Accès restreint, purge automatique.
Copies de sauvegarde : notre projet Supabase est sur le plan gratuit, dont la politique de sauvegarde est limitée et peut changer sans préavis. En cas de restauration, les suppressions demandées sont réappliquées dès que possible.
Autres durées : les jetons temporaires (réinitialisation de mot de passe, liaison Discord, connexion Google) expirent en 10 minutes à 1 heure.
7. Vos droits
Conformément à la législation applicable (dont la Loi 25), vous pouvez accéder aux renseignements que nous détenons sur vous, demander leur rectification ou leur suppression, et retirer votre consentement (ce qui peut limiter l'accès à l'Application).
Pour exercer ces droits : madrouin90@gmail.com.
8. Sécurité
Mots de passe hachés avec sel (jamais en clair). Jetons de session hachés côté serveur. Chiffrement en transit (HTTPS) partout. Protection contre le forçage de mots de passe (verrouillage temporaire, limitation de débit). Accès administratif restreint et journalisé.
9. Âge minimum
L'Application est réservée aux personnes de 13 ans et plus. Nous ne collectons pas sciemment de renseignements auprès d'enfants de moins de 13 ans. Si vous croyez qu'un enfant nous a fourni des renseignements, contactez-nous pour leur suppression.
10. Modifications
Nous pouvons modifier cette politique. Les changements importants seront annoncés dans l'Application. La date de mise à jour figure en haut du document.
🇬🇧 English
1. Introduction
This policy describes how Rotamix ("the App", "we") collects, uses, and protects your personal information. By using the App, you consent to the practices described here.
The App is operated from Quebec, Canada, and complies with Quebec's Act respecting the protection of personal information in the private sector (Law 25).
Privacy officer: Marc-André Drouin — madrouin90@gmail.com
2. Information We Collect
User account: email address (login identifier) and password (hashed, never in plain text). If you sign in with Google: ID, email, and profile picture.
Group profiles: display name and avatar shown in each group; optional profile email address (weekly digest, opt-out available).
Discord integration (optional): Discord ID and username, if you link your account. You may unlink at any time.
Content you create: music shares (Spotify links and public metadata), notes, comments, reactions, ratings, favorites, group messages, share history, and any suggestions or bug reports you send us.
Technical data: session tokens (hashed), push notification subscriptions, IP address (used transiently for rate limiting only, never stored). Our host (Vercel) generates its own infrastructure logs (IP, browser).
Internal audit log: certain administrative actions (e.g., renaming, Discord linking) are recorded in a restricted-access log, automatically purged after 180 days.
We do not collect your Spotify account, payment information, or your location. No analytics or advertising tracking tools are used.
3. Cookies and Local Storage
The App only uses cookies and local storage essential to its operation — no advertising or tracking cookies:
| Data | Purpose | Duration |
|---|---|---|
| Session tokens (account and groups) | Keep you signed in | 1 year or until sign-out |
| Last viewed group | Bring you back to the right group | 1 year |
| Theme (light/dark) | Display preference | Until changed |
| Push notification reminder | Avoid asking again | Until cleared |
| Dismissal of the "alpha phase" banner | Avoid showing it again | Until cleared |
| Form drafts | Survive Google sign-in redirects | Until tab is closed |
| Security cookies (anti-CSRF) | Protect Google/Discord sign-in | 10 minutes |
4. How We Use Information
Your information is used exclusively to provide the App's features, operate the Google/Discord integrations, ensure security and prevent abuse, and respond to suggestions or bug reports.
We do not sell or rent your information to third parties. No advertising.
5. Third-Party Services and Transfers Outside Quebec
The App relies on the following services:
| Service | Role | Data processed | Location |
|---|---|---|---|
| Supabase | Database | All data described in section 2 | Canada (Central) |
| Vercel | App hosting and execution | Traffic, request processing, infrastructure logs | United States |
| Optional sign-in | ID, email, profile picture | United States | |
| Discord | Optional account linking | Discord ID and username | United States |
| Railway | Optional Discord bot hosting | Discord ID, channel, detected link — never message text | United States |
| Spotify (oEmbed) | Music link previews | Shared links only | United States |
| Last.fm | Music metadata (genres) | Titles/artists only | United Kingdom |
| Resend | Transactional email delivery | Email, display name, group name | United States |
| Upstash | Rate limiting | IP address, transient use | United States |
Transfer of information outside Quebec: our database (Supabase) is hosted in the Canada region, but the App's own execution (Vercel) and several third-party services essential to its operation are located in the United States. Your personal information may therefore transit through the United States as part of the App's normal operation. We only use recognized providers and limit the data shared with each to what is strictly necessary.
6. Retention and Deletion
Account deletion: you may request deletion of your account at any time. A 14-day grace period applies, cancellable. Once it elapses, your account and all your data are permanently removed.
Exception — audit log: internal entries may persist for up to 180 days after the action they record, even after account deletion. Restricted access, automatically purged.
Backups: our Supabase project is on the free plan, whose backup policy is limited and may change without notice. If a backup is restored, requested deletions are re-applied as soon as possible.
Other durations: temporary tokens (password reset, Discord linking, Google sign-in) expire within 10 minutes to 1 hour.
7. Your Rights
Under applicable law (including Law 25), you may access the information we hold about you, request its correction or deletion, and withdraw your consent (which may limit access to the App).
To exercise these rights: madrouin90@gmail.com.
8. Security
Passwords hashed and salted (never in plain text). Session tokens hashed server-side. Encryption in transit (HTTPS) everywhere. Brute-force protection (temporary lockout, rate limiting). Restricted and logged administrative access.
9. Minimum Age
The App is intended for users 13 years of age and older. We do not knowingly collect information from children under 13. If you believe a child has provided us with information, contact us to have it deleted.
10. Changes
We may update this policy. Significant changes will be announced in the App. The last-updated date appears at the top of this document.