Politique de confidentialité

Dernière mise à jour : 22 octobre 2026

Cette page décrit les données personnelles traitées par BandStash, conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

Responsable du traitement

Rock and More (Association loi 1901), [à compléter] — Guichen (35580). Contact pour toute question ou demande relative à vos données : ngmaxime@gmail.com.

Données traitées

Compte : pseudo, prénom et nom (facultatifs), format d'affichage du nom, photo de profil et instruments joués dans chaque groupe (facultatifs), préférences de notification, mot de passe (conservé uniquement sous forme d'empreinte chiffrée, jamais en clair), rôle, groupes dont vous êtes membre. Les comptes sont créés par un administrateur : il n'y a pas d'inscription libre.
Contenus que vous déposez : enregistrements audio (et nom du fichier d'origine), liens vers des vidéos YouTube, commentaires, réactions, publications, notes, sessions (dont les noms des participants saisis), morceaux, playlists, setlists, images (logo du groupe, pochettes de morceaux, photos de session). Pochettes, photos de session et photos de profil sont réencodées à l'envoi : leurs métadonnées (EXIF, dont la position GPS d'une photo) ne sont pas conservées. Un enregistrement recadré à l'envoi garde son passage écarté, pour que le recadrage puisse être défait : ce passage n'est pas écoutable par les autres membres tant que son déposant ou un administrateur du groupe ne l'a pas rétabli.
Agenda : événements du groupe et indisponibilités personnelles que vous y indiquez.
Espace personnel : enregistrements que vous gardez pour vous. Ils ne sont visibles que par vous, tant que vous ne les publiez pas dans un groupe.
Notifications générées par l'activité de vos groupes.
Journaux techniques : adresse IP, date, page demandée et navigateur, enregistrés par le serveur web à chaque requête.

Aucune donnée n'est utilisée à des fins publicitaires, de profilage ou de mesure d'audience, ni vendue ou cédée.

Finalités et base légale

Ces données servent uniquement à faire fonctionner l'outil : vous authentifier, partager les contenus avec les membres de vos groupes, vous notifier de leur activité et assurer la sécurité du service (journaux techniques). Le traitement repose sur l'intérêt légitime de l'association à fournir à ses membres un outil de travail commun (article 6.1.f du RGPD).

Qui y a accès

Les membres de chacun de vos groupes voient ce que vous y déposez, ainsi que votre nom affiché. Les membres des groupes auxquels vous appartenez voient vos indisponibilités d'agenda et votre photo de profil ; ceux d'un groupe voient les instruments que vous y avez indiqués.
Les administrateurs de la plateforme gèrent les comptes et les groupes. Ils n'ont pas accès aux espaces personnels.
Toute personne qui détient un lien d'écoute public, si un membre du groupe (ou vous, pour votre espace personnel) en a créé un : elle peut écouter ce seul enregistrement en ligne, sans compte, et le télécharger uniquement si le membre qui a créé le lien l'a autorisé, jusqu'à l'expiration ou la révocation du lien. Ces liens s'ouvrent sur music.rockandmore.org, et la page rappelle que le contenu est protégé par le droit d'auteur et les droits voisins. Elle voit le titre, la date et le nom du groupe, jamais les commentaires, les notes ni les noms des participants. Les membres du groupe voient qu'une prise est écoutable en public et peuvent révoquer son lien.
IONOS SARL, hébergeur du serveur ([à compléter]), en qualité de sous-traitant technique.

Services tiers : YouTube

Les vidéos YouTube ne sont jamais copiées sur nos serveurs. Lorsqu'une page affiche une vidéo (prise vidéo, publication) ou la vignette d'une vidéo citée dans un commentaire, votre navigateur contacte les serveurs de Google (YouTube), qui reçoivent alors votre adresse IP. Nous utilisons le mode de confidentialité renforcée (youtube-nocookie.com), et le lecteur d'une vidéo citée dans un commentaire n'est chargé qu'au clic. En lançant une vidéo, vous êtes soumis à la politique de confidentialité de Google.

Services tiers : Deezer

Pour compléter la fiche d'une reprise, un membre peut chercher un titre dans le catalogue public de Deezer. La recherche passe par notre serveur : seul le texte saisi est transmis à Deezer, jamais votre identité ni votre compte. Les vignettes des résultats, elles, sont affichées depuis les serveurs d'images de Deezer : votre navigateur les contacte alors, et Deezer reçoit votre adresse IP. Rien n'est chargé tant que vous ne lancez pas de recherche. Quand un membre choisit un titre, sa pochette est copiée sur nos serveurs et n'est plus demandée à Deezer ensuite. Voir la politique de confidentialité de Deezer.

Services tiers : Base Adresse Nationale et OpenStreetMap

Pour indiquer le lieu d'une session ou l'adresse d'un lieu du groupe, un membre peut chercher une adresse dans la Base Adresse Nationale, service public de l'IGN. La recherche passe par notre serveur : seul le texte saisi est transmis à l'IGN, jamais votre identité ni votre compte. L'adresse choisie est enregistrée avec la session ou le lieu, dans le groupe. Un lien « carte » ouvre ensuite ce lieu sur OpenStreetMap, dans un nouvel onglet et seulement si vous le suivez : votre navigateur contacte alors les serveurs d'OpenStreetMap. Voir la politique de confidentialité d'OpenStreetMap.

Durées de conservation

Compte : jusqu'à sa suppression, à votre demande ou à votre départ de l'association.
Contenus : tant qu'ils ne sont pas supprimés par leur auteur, par un administrateur ou avec le groupe auquel ils appartiennent. Votre espace personnel est supprimé avec votre compte.
Fichiers en attente de découpe : 7 jours au plus.
Journaux techniques du serveur web : 90 jours au plus.

À la suppression d'un compte, les contenus partagés dans un groupe (prises, commentaires, sessions) y restent sous le nom affiché au moment de leur dépôt, car ils font partie du travail commun du groupe. Vous pouvez en demander la suppression ou l'anonymisation.

Cookies et stockage local

BandStash n'utilise que des cookies strictement nécessaires à son fonctionnement, dispensés de consentement (article 82 de la loi Informatique et Libertés). Aucun cookie de mesure d'audience ni de publicité n'est déposé.

band_session: Maintient votre connexion. 30 jours.
band_group: Mémorise le groupe actif. 1 an.
band_group_switched: Annonce une fois le changement de groupe actif après l'ouverture d'un lien. 30 secondes.
Stockage local (IndexedDB): Copie de secours d'un enregistrement en cours, dans votre navigateur uniquement, effacée dès que le fichier est reçu par le serveur.

Sécurité

Les échanges sont chiffrés (HTTPS), les mots de passe sont conservés sous forme d'empreinte (scrypt) et chaque fichier audio n'est servi qu'après vérification de votre session et de votre appartenance au groupe concerné — ou, pour un lien d'écoute public, d'un jeton aléatoire dont seule l'empreinte est conservée, qui expire au plus tard après 6 mois.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Vous pouvez modifier vous-même votre pseudo, vos nom et prénom, votre photo, vos instruments et votre mot de passe depuis votre profil, et supprimer vos enregistrements, publications, sessions et setlists depuis l'application. Pour toute autre demande (copie de vos données, suppression d'un commentaire ou du compte…), écrivez à ngmaxime@gmail.com ; une réponse vous sera apportée dans un délai d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr/fr/plaintes).