Politique de Confidentialité

StintBox ("nous") est développé par Kameli ApS, basé au Danemark. Cette politique explique quelles données nous collectons, pourquoi et comment nous les protégeons.

StintBox peut offrir un stockage cloud optionnel pour les fichiers vidéo et de télémétrie. C'est toujours opt-in : vos données ne sont jamais téléchargées sans votre action explicite. Les données stockées dans le cloud sont chiffrées au repos et accessibles uniquement par votre compte. Si votre accès payant prend fin, l'envoi s'arrête, mais rien n'est verrouillé : tout ce qui se trouve déjà dans le cloud reste visible et téléchargeable pendant 365 jours de plus, et vous n'avez jamais à payer pour le récupérer. Pendant cette période, nous vous écrivons par e-mail (chaque semaine, puis chaque jour les trois derniers jours) en indiquant la date exacte de suppression et ce qu'un renouvellement restaurerait. Si vous renouvelez à tout moment, la synchronisation se réactive et vos données sont toujours là. Passé ces 365 jours, les copies dans le cloud sont définitivement supprimées ; les copies sur votre propre ordinateur ne sont pas touchées. Vous pouvez aussi supprimer vos données cloud vous-même à tout moment. Elles restent récupérables pendant 30 jours, puis disparaissent définitivement. Base légale : exécution de notre contrat avec vous tant que votre offre est active (RGPD article 6(1)(b)) ; pour les 365 jours qui suivent, notre intérêt légitime à vous laisser une vraie chance de revenir sans perdre votre travail (article 6(1)(f)), auquel vous pouvez mettre fin à tout moment en supprimant vos données cloud.

Vous pouvez relier StintBox à des services que vous utilisez déjà. Aujourd'hui, il s'agit de Strava. Lorsque vous connectez Strava, nous demandons un accès en lecture à votre profil et à vos activités, y compris celles que vous avez marquées comme privées, car pouvoir les importer est précisément l'objet de la fonctionnalité. StintBox lit des données d'activité telles que la position GPS, la vitesse, la fréquence cardiaque, la puissance, la cadence et l'altitude, et les transforme en télémétrie à superposer à votre vidéo. Dans l'application de bureau, vos jetons Strava sont chiffrés et conservés uniquement sur votre propre ordinateur. Si vous vous connectez depuis le site web, ils sont chiffrés et conservés sur nos serveurs afin que le site puisse afficher vos activités. Vous déconnecter depuis StintBox révoque notre accès chez Strava et supprime les jetons enregistrés. Vous déconnecter depuis Strava produit le même effet : Strava nous en informe et nous supprimons notre copie. Base légale : exécution de notre contrat avec vous (article 6.1.b du RGPD), tant que la connexion est active.

• Plateformes sociales : reliez un compte YouTube, TikTok, Instagram, Facebook ou X et nous conservons le jeton qui nous permet de publier pour vous, jusqu'à ce que vous rompiez le lien. Pour Instagram, Facebook et X, la vidéo transite par notre serveur ; pour YouTube et TikTok, elle part directement de votre téléphone vers la plateforme. Une fois arrivée, elle relève de leurs conditions, pas des nôtres.
• Votre propre stockage cloud : connectez Dropbox, OneDrive ou Google Drive et vos sessions et vidéos arrivent sur votre compte chez eux, sous les conditions de ce fournisseur. Nous conservons le jeton jusqu'à ce que vous vous déconnectiez. La suppression de votre compte met fin à chacune de ces connexions chez le fournisseur lui-même, et pas seulement chez nous.

Le direct est désactivé tant que vous ne le lancez pas. Pendant une diffusion, votre vitesse, vos temps au tour et votre position partent vers un lien une fois par seconde. Toute personne disposant de ce lien peut regarder et le transmettre. À l'intérieur d'une zone de confidentialité, votre position est omise, et votre fréquence cardiaque n'est envoyée que si vous activez ce canal, et uniquement pour cette diffusion. La vidéo ne fait pas partie d'une diffusion : elle reste sur votre téléphone à moins que vous ne la sauvegardiez vous-même.

• Nous retenons les 30 dernières secondes avant que les spectateurs ne les voient, afin qu'une diffusion puisse être arrêtée avant que ces secondes n'atteignent quiconque. Jusqu'à 500 personnes peuvent regarder en même temps, et une diffusion silencieuse pendant 120 secondes s'arrête d'elle-même.
• Nous conservons une copie de la télémétrie que vous diffusez pendant 30 jours après la fin de la diffusion, afin de pouvoir enquêter sur un usage abusif du service, par exemple si une diffusion sert à commettre une infraction ou à harceler quelqu'un. Cette copie ne contient jamais votre fréquence cardiaque, et jamais rien sur les personnes qui ont regardé. Elle est conservée ces 30 jours, que vous supprimiez ou non votre compte, puis supprimée automatiquement. Il n'existe aucune autre copie.
• Une copie qui existe est une copie qu'une autorité peut exiger. C'est vrai de tout service qui conserve quoi que ce soit, et c'est la raison pour laquelle celle-ci est réduite, de courte durée et destinée à une seule finalité. Des personnes qui regardent, nous ne savons rien d'autre que leur adresse IP.

Une caméra StintBox est pointée sur vous et votre véhicule, c'est à cela qu'elle sert. Dans la pratique, quelqu'un au paddock ou sur la route peut se retrouver à l'arrière-plan d'un extrait. Ces personnes ne sont jamais le sujet, nous n'identifions personne et nous ne fouillons pas vos images. Mais si vous envoyez, publiez ou diffusez quelque chose où figurent d'autres personnes, cette décision vous appartient, et elle mérite d'être prise comme vous voudriez qu'elle le soit à votre sujet. Lors d'une sortie en groupe, rappelez-vous que votre position est approximativement aussi celle de tous les autres.

• Validation de licence : vérifier que votre licence est active et dans les limites d'appareils
• Gestion de compte : connexion, réinitialisation de mot de passe, statut d'abonnement
• Support : répondre à vos demandes
• Amélioration du produit : statistiques agrégées et anonymisées (ex. "X% des utilisateurs sont sur Windows"), jamais de suivi individuel

Nous ne vendons ni ne partageons vos données personnelles avec des tiers, sauf :

• Paddle.com : traite les paiements en tant que merchant of record
• Backblaze B2 (région UE) : stocke les fichiers que vous sauvegardez dans le cloud, à savoir vos fichiers vidéo, de télémétrie et de projet. Le stockage est chez eux ; seul votre compte peut les récupérer. Accord de sous-traitance signé.
• Sentry (Functional Software, Inc.) : reçoit des rapports de plantage anonymes et des données de performance pour nous aider à corriger les bugs. Aucune donnée personnelle n'est partagée. Consultez la politique de confidentialité de Sentry sur sentry.io/privacy
• SparkPost (région UE) : achemine nos e-mails (liens de connexion, notifications de compte et la newsletter si vous l'avez demandée). Accord de sous-traitance signé.
• Hetzner (Falkenstein, Allemagne) : héberge nos serveurs et notre base de données. Vos données ne quittent pas l'UE.
• Autorités : si requis légalement par la loi danoise ou de l'UE
• VersaTiles : fournit le fond de carte satellite optionnel. Chaque requête de tuile leur indique approximativement où se situe votre tracé, ainsi que votre adresse IP. Ce fond de carte reste désactivé tant que vous ne l'activez pas.
• Les plateformes sur lesquelles vous publiez et les comptes cloud que vous connectez vous-même : YouTube, TikTok, Instagram, Facebook, X, Dropbox, OneDrive, Google Drive. Rien ne parvient à aucune d'elles tant que vous n'avez pas relié le compte et appuyé sur publier ou sauvegarder.

C'est tout. Pas de réseaux publicitaires, pas de courtiers en données.

• Serveur situé en Allemagne (Hetzner Cloud, Falkenstein)
• Données chiffrées en transit (TLS 1.3) et au repos
• Mots de passe hachés avec bcrypt
• Identifiants machine stockés uniquement en hashes SHA-256
• Base de données : PostgreSQL avec sauvegardes régulières

Sous le RGPD de l'UE, vous avez le droit de :

• Accès : demander une copie de vos données
• Rectification : mettre à jour des données inexactes
• Suppression : demander la suppression complète de votre compte et données
• Portabilité : recevoir vos données dans un format standard
• Opposition : vous opposer à un traitement spécifique

Pour exercer tout droit : envoyez un e-mail à [email protected]. Nous répondrons sous 30 jours.

stintbox.app utilise des cookies minimaux :

• Cookie de session : vous maintient connecté (essentiel, aucun consentement requis)
• Cookie d'attribution de parrainage : cookie de première partie de 30 jours pour le suivi des parrainages (intérêt légitime)

Nous n'utilisons PAS de cookies de suivi tiers, Google Analytics, Facebook Pixel ou similaire.

StintBox ne s'adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données de mineurs.

• Données de compte : conservées tant que votre compte est actif. Supprimées sous 30 jours après demande de suppression de compte.
• Sauvegardes cloud : conservées jusqu'à ce que vous les supprimiez. Il n'y a aucune limite de durée tant que votre offre est active.
• Sauvegardes cloud du quota gratuit : conservées tant que votre compte est actif, sans limite de durée. Il n'y a aucune échéance à partir de laquelle compter, donc rien n'expire de soi-même. La suppression de votre compte les efface selon le même délai de 30 jours que le reste de vos données.
• Après la fin de l'accès payant : l'envoi s'arrête, mais tout ce qui se trouve déjà dans le cloud reste visible et téléchargeable pendant 365 jours de plus, sans frais. Nous vous prévenons par e-mail (chaque semaine, puis chaque jour les trois derniers jours) en indiquant la date exacte de suppression. Passé 365 jours, les copies dans le cloud sont définitivement supprimées.
• Données cloud que vous supprimez vous-même : conservées 30 jours pour vous permettre de revenir sur une erreur, puis définitivement supprimées. La suppression de votre compte efface vos données cloud selon le même délai de 30 jours.
• Capacité de stockage : dans de rares cas, nous pouvons devoir supprimer un projet exceptionnellement volumineux avant les délais ci-dessus. Nous prévenons alors par e-mail au moins 30 jours à l'avance (voir nos Conditions).
• Journaux de validation de licence : conservés pendant 12 mois, puis automatiquement purgés.
• Registres de paiement : conservés pendant cinq ans après la fin de l'exercice comptable auquel ils se rapportent, comme l'exige la loi comptable danoise.
• Un paiement effectué sans compte : l'enregistrement entier, y compris le nom, l'adresse de facturation, le pays et le numéro de TVA, conservé pendant cinq ans après la fin de l'exercice comptable où il est arrivé, puis supprimé.
• Télémétrie d'une diffusion en direct : une copie administrative conservée 30 jours après la fin de la diffusion, puis supprimée automatiquement. Elle ne contient jamais de fréquence cardiaque.
• Journal de sécurité et d'administration : l'événement est conservé, tandis que l'identifiant d'utilisateur et l'adresse IP qu'il porte sont retirés au bout de deux ans.

Vous supprimez votre compte dans l'application, sous Paramètres, Compte, Supprimer le compte. Vous êtes déconnecté partout immédiatement, votre profil cesse d'être visible par les autres, et nous vous envoyons par e-mail un lien qui remet tout en place. Au bout de 30 jours, c'est définitif, et nous envoyons un rappel avant. À ce moment-là, vos sessions, vidéos, tracés, préréglages, réglages, appareils et identifiants sont supprimés de notre base de données et de notre stockage, et vos connexions à d'autres plateformes sont résiliées chez ces plateformes et pas seulement effacées chez nous.

• Vous choisissez ce qu'il advient de ce que vous avez partagé avec d'autres utilisateurs, comme le contour d'un circuit, un préréglage ou une définition PID : emportez-le, ou laissez-le à tous les autres sans que votre compte y soit rattaché. Le laisser ne le rend pas anonyme, car un circuit reste un lieu et un préréglage reste une configuration. Tout ce que vous avez écrit avec vos propres mots, comme un avis, est supprimé dans les deux cas.
• Votre historique de paiement part avec le compte, à l'exception de l'écriture comptable décrite dans Conservation des données. Ce qui subsiste, c'est le montant, la devise, l'objet du paiement, la date et la référence de paiement, pas votre nom, votre adresse e-mail ou votre adresse de facturation. Si vous nous avez payés sans jamais créer de compte, nous conservons cet enregistrement entier, nom, adresse de facturation, pays et numéro de TVA compris, pendant ses cinq ans. C'est plus large que ce qu'exige une pièce comptable, et c'est une décision assumée : un paiement non rattaché doit rester rapprochable de la personne qui l'a effectué tant que nous le conservons. Vos factures sont détenues par Paddle au titre de leurs propres obligations légales, que nous ne pouvons pas raccourcir.
• Ce que nous ne pouvons pas reprendre, parce que cela n'a jamais été à nous seuls : ce que quelqu'un a déjà regardé, un lien que quelqu'un a enregistré, une publication que vous avez faite sur une autre plateforme, un fichier que vous avez envoyé vers votre propre Dropbox, OneDrive ou Google Drive, et ce que notre prestataire de paiement doit conserver. Nous pouvons éteindre une diffusion ; nous ne pouvons la rendre invisible pour personne.

Nous vous informerons des changements significatifs par e-mail au moins 30 jours à l'avance. Les changements non significatifs sont publiés ici avec une date mise à jour.

• Général : [email protected]
• Confidentialité : [email protected]
• Protection des données : Kameli ApS, Danemark