1. Responsable du traitement
Le responsable du traitement est l’exploitant de DroMap. Les coordonnées opérationnelles disponibles sont les suivantes :
- Service
- DroMap
- Responsable du traitement
- À renseigner avant la mise en production
- Contact confidentialité
Pour exercer un droit relatif aux données personnelles, il suffit d’écrire à . Une vérification d’identité peut être demandée uniquement lorsqu’elle est nécessaire pour éviter qu’une demande soit exécutée pour le compte d’une autre personne.
2. Données traitées, finalités et bases légales
| Traitement | Données concernées | Pourquoi | Base légale |
|---|---|---|---|
| Compte et authentification | Prénom, nom, adresse e-mail, identifiant utilisateur, préférences, informations de session. Le mot de passe n’est pas stocké en clair par DroMap. | Créer le compte, sécuriser la connexion, synchroniser les projets et appliquer les droits du compte. | Exécution du service demandé et mesures précontractuelles. |
| Projets cartographiques | Nom de projet, zone de travail, objets, calques, GeoJSON, imports, marqueurs, réglages de rendu, miniature et autres données nécessaires à la carte. | Sauvegarder, restaurer, modifier, prévisualiser et exporter les cartes. | Exécution du service. |
| Assistant IA | Messages envoyés à l’Assistant, contexte de projet strictement nécessaire à la demande et réponses produites. | Répondre aux demandes et proposer ou exécuter des plans d’édition lorsque l’utilisateur utilise cette fonction. | Exécution du service demandé par l’utilisateur. |
| Facturation | Formule, identifiants Stripe, statut d’abonnement, droits d’achat à l’unité, dates de paiement et données nécessaires à la facturation. Les numéros complets de carte bancaire ne sont pas stockés par DroMap. | Gérer les abonnements, achats, accès premium, factures et obligations comptables. | Exécution du contrat et obligations légales. |
| Contact et support | Nom, e-mail, catégorie, sujet, message, pièces jointes facultatives et, si l’utilisateur les choisit, informations techniques ou métadonnées d’un projet. | Répondre à la demande, diagnostiquer un problème et assurer le suivi du support. | Intérêt légitime à assurer le support et, selon la demande, exécution du contrat. |
| Publication publique | Titre, description, aperçu de carte, nom du créateur affiché selon les réglages, droits de consultation/export/copie et source figée nécessaire aux fonctions autorisées. | Publier la carte dans la bibliothèque et appliquer les permissions choisies par son auteur. | Exécution de l’action de publication demandée par l’utilisateur. |
| Mesure d’audience publique | Pages publiques consultées, provenance éventuelle, pays, type d’appareil, navigateur et système d’exploitation. DroMap exclut les espaces privés et retire les paramètres de l’URL envoyée. Les statistiques sont agrégées par Vercel Web Analytics. | Connaître la fréquentation des pages publiques et améliorer le service. | Consentement facultatif, retirable avec le bouton Confidentialité. |
3. Durées de conservation
- Compte : pendant la durée d’utilisation du compte, puis suppression lorsque l’utilisateur supprime son compte, sous réserve des données qui doivent être conservées pour respecter une obligation légale ou défendre un droit.
- Compte inactif : la politique de DroMap prévoit une revue après 3 ans sans activité, puis une information préalable laissant 30 jours pour réactiver le compte ou récupérer ses données avant suppression. Les droits d’accès à des contenus achetés et les abonnements font l’objet d’un examen spécifique. Le délai de 3 ans est un choix de conservation de DroMap, pas une durée légale applicable à toutes les données.
- Projets : tant qu’ils sont conservés par l’utilisateur. Un projet placé dans la corbeille est prévu pour rester restaurable pendant 10 jours avant suppression définitive.
- Projet invité et caches locaux : les données peuvent rester sur l’appareil de l’utilisateur dans le stockage local du navigateur jusqu’à suppression du projet, effacement des données du site ou transfert vers un compte.
- Facturation et pièces comptables : les pièces comptables et justificatifs nécessaires sont conservés 10 ans à compter de la clôture de l’exercice concerné, avec accès restreint. Cela ne justifie pas de conserver l’intégralité des projets supprimés.
- Demandes de support : jusqu’à 24 mois après le dernier échange, sauf nécessité de conservation plus longue liée à un litige, une obligation légale ou une demande de l’utilisateur.
- Anti-abus : les identifiants techniques dérivés d’une adresse IP ou d’une adresse e-mail servent uniquement à limiter les requêtes. Les fenêtres expirées sont destinées à être purgées quotidiennement ; les compteurs techniques IA/GeoJSON après 24 heures. Les journaux d’hébergement ont leurs propres durées, gérées auprès des prestataires.
- Choix de confidentialité : acceptation et refus de la mesure d’audience sont mémorisés pendant 180 jours sur cet appareil, puis demandés à nouveau.
- Publication publique : jusqu’au retrait de la publication, à la mise en corbeille du projet source ou à une suppression imposée pour des raisons juridiques ou de sécurité.
4. Prestataires et destinataires
Les données ne sont accessibles qu’aux personnes qui en ont besoin pour exploiter DroMap et aux prestataires nécessaires aux fonctions utilisées :
- Supabase : authentification, base de données, synchronisation des projets et données de compte.
- Stripe : paiement, abonnement, portail de facturation et pièces de paiement. Les données de carte bancaire sont traitées par Stripe.
- Infomaniak : réception des messages adressés à DroMap via le formulaire Contact et la messagerie @dromap.fr.
- Vercel — Web Analytics : hébergement de DroMap et mesure agrégée de l’audience des pages publiques. Vercel Web Analytics est configuré par DroMap pour ne pas envoyer les routes privées ou sensibles de l’application.
- OpenAI — API : traitement des demandes adressées à l’Assistant IA, recherche web lorsque la demande le nécessite et production des réponses. DroMap désactive la conservation de l’état des réponses par l’API avec
store: false. Les durées applicables aux autres journaux techniques dépendent des conditions du prestataire. - Fournisseurs cartographiques et de données : certains fonds, recherches et imports s’appuient sur des services externes (par exemple IGN, OpenStreetMap/Overpass ou fournisseurs des fonds cartographiques). Selon la fonction, la requête peut être effectuée par le serveur DroMap ou directement par le navigateur.
DroMap ne vend pas les données personnelles de ses utilisateurs et ne les communique pas à des annonceurs.
5. Hébergement et transferts hors Espace économique européen
Certains prestataires techniques internationaux peuvent traiter des données depuis plusieurs régions du monde. Lorsque des données personnelles sont transférées hors de l’Espace économique européen, DroMap doit s’appuyer sur un mécanisme reconnu par le droit applicable (par exemple décision d’adéquation ou clauses contractuelles types) et sur les garanties proposées par le prestataire concerné.
DroMap tient cette liste et les informations relatives aux garanties de transfert à jour lorsque l’infrastructure ou les prestataires changent.
7. Cartes publiques et visibilité
Un projet privé ne devient pas public automatiquement. La publication résulte d’une action explicite du créateur. Une publication peut rendre visibles le rendu de la carte, son titre, sa description, le nom du créateur et les informations associées aux permissions choisies.
Si le créateur autorise l’export ou la création d’une copie modifiable, DroMap conserve les données techniques nécessaires pour appliquer ces droits. Les droits d’une publication achetés à l’unité sont gérés séparément de l’achat Export Max d’un projet propriétaire.
8. Vos droits
Vous pouvez supprimer votre compte depuis Mon compte, et supprimer vos projets depuis le tableau de bord puis la corbeille. La suppression du compte concerne aussi ses projets en ligne et sa bibliothèque personnelle. Les messages de support et les pièces comptables suivent leurs règles de conservation distinctes.
Selon la situation et la base légale du traitement, une personne peut demander l’accès à ses données, leur rectification, leur effacement, la limitation du traitement, la portabilité des données concernées ou s’opposer à certains traitements fondés sur l’intérêt légitime.
Les demandes peuvent être envoyées à . Si la réponse apportée n’est pas satisfaisante, la personne conserve le droit de saisir l’autorité de contrôle compétente, notamment la CNIL en France.
9. Sécurité et confidentialité
DroMap met en œuvre des mesures destinées à limiter les accès non autorisés : sessions d’authentification protégées par des cookies HTTP-only, droits d’accès côté serveur, contrôle des permissions sur les projets et publications, validation des paiements côté serveur et limitation des pièces jointes du formulaire Contact.
Aucune mesure technique ne peut garantir un risque nul. En cas d’incident affectant des données personnelles, DroMap applique les obligations de documentation et de notification prévues par le droit applicable.
10. Évolution de cette politique
Cette politique est mise à jour lorsqu’un traitement, un prestataire, une finalité ou une règle de conservation change de manière significative. La date de mise à jour affichée en haut de page permet d’identifier la version applicable.