Informations légales

Politique de confidentialité

Version 2.0 · mise à jour le 09/11/2026

L’application Sirocco s’appelle Alley depuis le 9 novembre 2026 : seul son nom change.

1. Préambule

La présente politique de confidentialité (ci-après la « Politique ») a pour objet d'informer les utilisateurs (ci-après l'« Utilisateur » ou « vous ») de l'application mobile « Alley » (ci-après l'« Application ») des conditions dans lesquelles leurs données à caractère personnel sont collectées, traitées et protégées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »).

L'Application est un service de mise en relation et d'organisation communautaire d'événements destiné aux personnes francophones. Elle permet notamment de créer un profil, de rejoindre une zone géographique (« serveur »), de participer à des événements proposés par la communauté, de publier sur un fil d'actualité public, d'échanger des messages privés textuels et vocaux, de passer des appels audio et vidéo, et de découvrir sur une carte les lieux d'une ville.

L'utilisation de l'Application emporte la reconnaissance par l'Utilisateur qu'il a pris connaissance de la présente Politique. Celle-ci est accessible à tout moment depuis l'Application.

2. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via l'Application est :

• Idris EL HANNACH
• Adresse : 382 rue de la rêverie, Carrières-sous-Poissy (78955) ;
• Adresse électronique de contact : contact@alleyapp.fr.

3. Données collectées

Le responsable du traitement s'attache à ne collecter que les données strictement nécessaires au fonctionnement de l'Application et à l'enrichissement de l'expérience de l'Utilisateur (principe de minimisation). Les catégories de données suivantes sont susceptibles d'être collectées :

3.1. Données fournies directement par l'Utilisateur

• Données d'identification : nom, prénom, nom d’utilisateur, date de naissance (permettant notamment de vérifier la condition d'âge minimum de 16 ans) ;
• Données de compte : adresse électronique et mot de passe. Le mot de passe n'est jamais stocké en clair : il est conservé sous forme hachée et salée via le service d'authentification Firebase Authentication ;
• Données de profil : photographie de profil, description, préférences et éléments de personnalisation renseignés par l'Utilisateur ;
• Données liées à un serveur d'établissement qui propose un annuaire (par exemple celui d'une école) : la formation suivie, si l'Utilisateur choisit de l'indiquer, ainsi que les associations de l'établissement qu'il a rejointes ou demandé à rejoindre. Ces données sont facultatives ;
• Contenus publiés : publications sur le fil d'actualité public, photographies, commentaires, réactions, ainsi que les événements créés ou rejoints ;
• Communications privées : messages privés textuels et messages vocaux échangés avec d'autres Utilisateurs, ainsi que la liste d'amis et les demandes d'amis.

3.2. Données collectées lors de l'utilisation de l'Application

• Données de localisation : (i) la zone géographique (« serveur ») librement choisie par l'Utilisateur ; (ii) le cas échéant, et uniquement avec son consentement exprès recueilli via les autorisations du système d'exploitation, sa position précise, utilisée sur l'appareil pour le situer sur la carte et filtrer les événements autour de lui. Depuis la version 2.4 de l'Application, elle n'est plus envoyée à nos serveurs ; les versions antérieures l'y envoient pour décrocher les trophées liés à un lieu (avoir été à tel endroit) ou à une distance parcourue. Ces relevés ne sont jamais montrés aux autres Utilisateurs. L'Utilisateur peut retirer cette autorisation à tout moment dans les réglages de son appareil ;
• Données de gamification : trophées, badges, points, distances parcourues, nombre d'événements auxquels l'Utilisateur a participé, position dans les classements. L'Application ne les affiche plus depuis sa version 2.4 ; elles restent tenues pour les versions antérieures, où certaines sont, par nature, affichées publiquement (tableau des Utilisateurs les plus médaillés par zone géographique) ;
• Lieux aimés : les lieux de l'onglet Lieux auxquels l'Utilisateur a mis un « j'aime », rattachés à son compte. L'Application n'en montre aux autres Utilisateurs que le nombre ;
• Données relatives aux appels : les appels audio et vidéo transitent par l'Application mais leur contenu n'est ni écouté ni enregistré par le responsable du traitement. Seules des métadonnées techniques (identité des correspondants, date, durée, qualité de connexion) peuvent être traitées à des fins de fonctionnement et d'amélioration du service ;
• Données techniques et de connexion : identifiant d'appareil, modèle, système d'exploitation, version de l'application installée, langue, journaux de connexion (logs), adresse IP, rapports d'incidents ;
• Données d'usage et de mesure d'audience : données statistiques collectées via Google Analytics for Firebase (écrans consultés, fonctionnalités utilisées, événements d'usage), présentées sous une forme agrégée et pseudonymisée ;
• Données de personnalisation : temps passé sur les publications du fil d'actualité et centres d'intérêt déduits des interactions de l'Utilisateur (mentions « j'aime », commentaires, publications enregistrées ou masquées, événements rejoints ou auxquels il a participé). Ces données sont calculées et conservées uniquement sur l'appareil de l'Utilisateur : elles ne sont transmises ni au responsable du traitement, ni à des tiers ;
• Données de modération : signalements émis ou reçus, contenus modérés, historique des avertissements et sanctions.

L'Application ne collecte aucune donnée dite « sensible » au sens de l'article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, orientation sexuelle, etc.). Il est demandé aux Utilisateurs de ne pas publier de telles informations dans leurs contenus ; toute donnée de cette nature librement rendue publique par l'Utilisateur relève de sa seule initiative.

4. Finalités et bases légales des traitements

Les données sont collectées et traitées exclusivement pour permettre le fonctionnement de l'Application et enrichir l'expérience de l'Utilisateur. Elles ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales, et ne font l'objet d'aucune publicité ciblée. Les traitements poursuivent les finalités suivantes, chacune reposant sur une base légale déterminée :

• Création et gestion du compte, fourniture des services (profil, serveurs par zone, événements, fil d'actualité, messagerie, appels, système d'amis) — base légale : exécution du contrat (Conditions Générales d'Utilisation) ;
• Vérification de la condition d'âge minimum (16 ans) — base légale : exécution du contrat et respect d'une obligation légale ;
• Fonctionnement du système de trophées, points et classements publics, pour les versions antérieures à la 2.4, base légale : exécution du contrat ;
• Affichage des lieux et de leurs « j'aime », base légale : exécution du contrat ;
• Géolocalisation précise (situer l'Utilisateur sur la carte, filtrer les événements autour de lui et, dans les versions antérieures à la 2.4, trophées de lieu et de distance), base légale : consentement, librement révocable à tout moment ;
• Modération des contenus, traitement des signalements, prévention des abus et des comportements illicites — base légale : intérêt légitime (assurer la sécurité des Utilisateurs et du service) et respect d'obligations légales ;
• Personnalisation de l'ordre du fil d'actualité et suggestions d'événements, à partir des interactions de l'Utilisateur et de ses liens d'amitié, lorsque sa zone géographique publie suffisamment de contenus. Le calcul est réalisé sur l'appareil de l'Utilisateur, qui peut revenir à tout moment à l'ordre chronologique (« Récent », en tête du fil). Ces données ne quittent pas l'appareil et disparaissent avec l'Application. Base légale : intérêt légitime (proposer des contenus et des sorties pertinents) ;
• Annuaire d'un serveur d'établissement : présentation de ses étudiants (nom d'utilisateur, photographie et description de profil, langues parlées, formation lorsqu'elle a été indiquée), recherche et filtres par formation et par langue, mise en relation par la messagerie ; pages des associations de l'établissement, avec leurs membres, leurs publications et leurs événements, et traitement des demandes d'adhésion par le responsable de chaque association. Un Utilisateur dont le profil est réservé à ses amis n'apparaît pas dans la liste des étudiants. Base légale : exécution du contrat ;
• Mesure d'audience et amélioration de l'Application (statistiques d'usage, correction des dysfonctionnements) — base légale : intérêt légitime, et consentement lorsque celui-ci est requis pour le dépôt de traceurs ;
• Communications relatives au service (notifications de fonctionnement, informations importantes relatives au compte ou aux présentes) — base légale : exécution du contrat et intérêt légitime ;
• Gestion des demandes d'exercice de droits et des réclamations — base légale : respect d'une obligation légale ;
• Constatation, exercice ou défense de droits en justice — base légale : intérêt légitime.

5. Caractère obligatoire ou facultatif des données

Les données signalées comme obligatoires lors de l'inscription (nom, prénom, adresse électronique, date de naissance, mot de passe) sont nécessaires à la création du compte : à défaut, l'inscription ne peut aboutir. Les autres données (photographie de profil, contenus publiés, géolocalisation précise, etc.) sont facultatives et relèvent du libre choix de l'Utilisateur ; leur absence peut toutefois limiter l'accès à certaines fonctionnalités (par exemple, les trophées liés à la distance parcourue nécessitent la géolocalisation).

La formation et l'adhésion à une association sont entièrement facultatives : l'Utilisateur peut les modifier ou les retirer à tout moment (« Ma formation », « Quitter l'association ») et utiliser l'annuaire sans les renseigner.

6. Destinataires des données et sous-traitants

Les données des Utilisateurs sont destinées au responsable du traitement et aux personnes strictement habilitées à en connaître (notamment les modérateurs, dans la limite de ce qui est nécessaire à leur mission). Certaines données sont, par nature et au choix de l'Utilisateur, visibles des autres Utilisateurs : profil public, publications sur le fil d'actualité, trophées et classements publics dans les versions antérieures à la 2.4, participation à des événements. Au sein d'un serveur d'établissement doté d'un annuaire, la présence de l'Utilisateur dans cet annuaire, sa formation lorsqu'il l'a indiquée et les associations dont il est membre sont visibles des membres de ce serveur ; une demande d'adhésion n'est visible que de son auteur et du responsable de l'association concernée. Lorsque ce serveur est réservé à ses membres (serveur privé, comme celui d'une école), elles ne sont visibles de personne d'autre.

Le responsable du traitement a recours au sous-traitant suivant, agissant sur instruction et pour son compte :

• Google Ireland Limited / Google LLC — services Firebase (hébergement des données, base de données, stockage des fichiers, authentification, notifications, mesure d'audience via Google Analytics for Firebase) — Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irlande / 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis.

Ce sous-traitant présente des garanties appropriées au sens de l'article 28 du RGPD, formalisées dans les conditions de traitement des données de Google Cloud (« Google Cloud Data Processing Addendum »). Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.

Les cartes et l'onglet Lieux s'appuient sur Apple Plans (MapKit JS), fourni par Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlande. Pour les fournir, Apple reçoit la zone de carte affichée, les recherches faites dans l'onglet Lieux et l'adresse IP de l'appareil, sans le nom ni le compte de l'Utilisateur. Les informations sur les lieux (nom, adresse, numéro, site) viennent d'Apple et ne sont pas enregistrées par Alley.

7. Transferts de données hors de l'Union européenne

Les services Firebase peuvent impliquer un stockage ou un traitement de données sur des serveurs situés en dehors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens des articles 44 et suivants du RGPD :

• la certification de Google LLC au Cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework), objet de la décision d'adéquation de la Commission européenne du 10 juillet 2023 ;
• les clauses contractuelles types adoptées par la Commission européenne, intégrées aux conditions de traitement des données de Google.

Dans la mesure du possible, le responsable du traitement privilégie une localisation des données au sein de l'Union européenne dans le paramétrage de ses services d'hébergement.

Apple peut traiter hors de l'Union européenne les données nécessaires aux cartes, dans les conditions de sa propre politique de confidentialité.

8. Durées de conservation

Les données sont conservées pendant des durées n'excédant pas ce qui est nécessaire au regard des finalités poursuivies :

• Données de compte et de profil : pendant toute la durée d'utilisation de l'Application. En cas de suppression du compte par l'Utilisateur (ou de résiliation), les données sont supprimées ou anonymisées dans un délai maximum de 30 jours, les copies de sauvegarde techniques étant purgées dans un délai maximum de 90 jours ;
• Formation et adhésions aux associations : jusqu'à ce que l'Utilisateur les retire, et au plus tard jusqu'à la suppression de son compte, dans les conditions prévues pour les données de compte et de profil. Une demande d'adhésion est effacée dès que le responsable de l'association y répond ;
• Comptes inactifs : en l'absence de toute connexion pendant 2 ans, l'Utilisateur est informé par courrier électronique de la suppression prochaine de son compte ; à défaut de reconnexion dans un délai d'1 mois, le compte et les données associées sont supprimés ou anonymisés ;
• Messages privés (textes, photographies, messages vocaux et vidéos) : ils sont supprimés automatiquement 7 jours après avoir été lus par leur destinataire et, à défaut de lecture, 30 jours après leur envoi ; les fichiers associés (photographies, messages vocaux, vidéos) sont supprimés en même temps. L'Utilisateur peut par ailleurs supprimer l'un de ses messages à tout moment ;
• Contenus publics (publications, photographies, commentaires) : pendant la durée de vie du compte ; à la suppression du compte, ils sont supprimés ou anonymisés (dissociation de toute donnée identifiante) ;
• Trophées, points et classements : pendant la durée de vie du compte ; les classements publics sont mis à jour en conséquence lors de la suppression d'un compte ;
• Lieux aimés : pendant la durée de vie du compte ; ils sont supprimés avec lui ;
• Données de géolocalisation précise : les lieux visités et les distances parcourues sont conservés pendant la durée de vie du compte, dès lors qu'ils constituent l'avancement des trophées ; le dernier point de position relevé, utilisé pour vérifier la cohérence des relevés successifs, est supprimé au plus tard 30 jours après son enregistrement ;
• Métadonnées d'appels : 12 mois au maximum ;
• Journaux de connexion (logs) et données techniques : 12 mois, conformément aux obligations légales applicables aux données de connexion ;
• Données de mesure d'audience (Google Analytics for Firebase) : 14 mois au maximum ;
• Données de modération et signalements : 3 ans à compter de la clôture du signalement ou de la sanction, afin de prévenir la récidive et de répondre aux obligations légales ; en cas de contentieux ou de réquisition judiciaire, jusqu'à l'issue de la procédure ;
• Demandes d'exercice de droits : 3 ans à compter de la clôture de la demande.

À l'issue de ces durées, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible. Certaines données peuvent être conservées plus longtemps sous forme archivée lorsque la loi l'impose ou pour la constatation, l'exercice ou la défense de droits en justice, dans la limite des délais de prescription applicables.

9. Sécurité des données

Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques, notamment :

• chiffrement des communications entre l'Application et les serveurs (protocole TLS) et chiffrement des données au repos par l'infrastructure Firebase/Google Cloud ;
• stockage des mots de passe exclusivement sous forme hachée et salée ;
• règles de sécurité et contrôles d'accès stricts sur les bases de données (Firebase Security Rules), limitant l'accès de chaque Utilisateur aux seules données le concernant ou rendues publiques ;
• limitation et journalisation des accès administrateurs ;
• procédures de sauvegarde et de gestion des incidents.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, le responsable du traitement notifiera la violation à la CNIL dans les conditions prévues à l'article 33 du RGPD et, lorsque le risque est élevé, en informera les Utilisateurs concernés.

L'Utilisateur demeure responsable de la confidentialité de son mot de passe et est invité à choisir un mot de passe robuste et à ne le communiquer à personne.

10. Droits des Utilisateurs

Conformément au RGPD et à la Loi Informatique et Libertés, chaque Utilisateur dispose des droits suivants sur ses données :

• Droit d'accès (article 15 RGPD) : obtenir la confirmation que ses données sont traitées et en obtenir une copie ;
• Droit de rectification (article 16) : obtenir la correction des données inexactes ou incomplètes ;
• Droit à l'effacement (article 17) : obtenir la suppression de ses données dans les cas prévus par la réglementation ;
• Droit à la limitation du traitement (article 18) ;
• Droit à la portabilité (article 20) : recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition (article 21), notamment aux traitements fondés sur l'intérêt légitime ;
• Droit de retirer son consentement à tout moment, pour les traitements fondés sur celui-ci (notamment la géolocalisation précise), sans que ce retrait ne remette en cause la licéité des traitements antérieurs ;
• Droit de définir des directives relatives au sort de ses données après son décès ;
• Droit de ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques le concernant (article 22).

10.1. Modalités d'exercice

Ces droits peuvent être exercés à tout moment :

• par courrier électronique adressé à : contact@alleyapp.fr, en précisant l'objet de la demande et l'adresse électronique associée au compte ; en cas de doute raisonnable sur l'identité du demandeur, un justificatif d'identité pourra être demandé ;
• pour la suppression du compte : directement depuis l'Application, via le bouton dédié (« Paramètres » > « Supprimer mon compte »), sans qu'aucune autre formalité ne soit nécessaire. Cette suppression entraîne l'effacement des données dans les conditions et délais prévus à l'article 8.

Le responsable du traitement répond aux demandes dans un délai d'un mois à compter de leur réception, ce délai pouvant être prolongé de deux mois en cas de demande complexe ou de nombre élevé de demandes, auquel cas l'Utilisateur en est informé.

10.2. Réclamation auprès de la CNIL

Si l'Utilisateur estime, après avoir contacté le responsable du traitement, que ses droits ne sont pas respectés, il peut adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

11. Protection des mineurs

L'Application est strictement réservée aux personnes âgées d'au moins 16 ans. La date de naissance est demandée lors de l'inscription afin de vérifier cette condition. Les Utilisateurs âgés de 16 ou 17 ans sont mineurs : en France, un mineur peut consentir seul au traitement de ses données personnelles à compter de 15 ans (article 45 de la loi Informatique et Libertés). Aucune donnée relative à des personnes de moins de 16 ans n'est sciemment collectée. Si le responsable du traitement constate qu'un compte a été créé par une personne de moins de 16 ans, ce compte sera supprimé sans délai ainsi que les données associées. Toute personne ayant connaissance de l'inscription d'une personne de moins de 16 ans est invitée à le signaler à l'adresse : contact@alleyapp.fr .

12. Mesure d'audience et traceurs

L'Application utilise Google Analytics for Firebase afin de produire des statistiques d'usage agrégées (fonctionnalités utilisées, parcours dans l'Application, incidents techniques), dans le seul but d'améliorer le service. Ces données sont pseudonymisées et ne sont pas utilisées à des fins publicitaires.

Lorsque le recueil du consentement est requis par la réglementation applicable aux traceurs, ce consentement est sollicité lors de la première utilisation de l'Application et peut être retiré à tout moment depuis les paramètres de l'Application. Le refus du consentement n'empêche pas l'utilisation des fonctionnalités de l'Application.

L'Application n'intègre aucune régie publicitaire et ne pratique aucun profilage à des fins de publicité ciblée. La personnalisation du fil décrite à l'article 4 n'a aucune finalité publicitaire et s'effectue sur l'appareil de l'Utilisateur.

13. Modification de la Politique

La présente Politique peut être amenée à évoluer, notamment en cas d'évolution des fonctionnalités de l'Application ou de la réglementation. Toute modification substantielle sera portée à la connaissance des Utilisateurs par tout moyen approprié (notification dans l'Application ou courrier électronique) avant son entrée en vigueur. La version en vigueur est celle accessible dans l'Application, avec sa date de dernière mise à jour.

14. Contact

Pour toute question relative à la présente Politique ou au traitement de ses données, l'Utilisateur peut contacter le responsable du traitement à l'adresse : contact@alleyapp.fr.