Notice d'Information sur les Données

En vigueur : 14 Mai 2026 · v1.0 · RGPD art. 13 · Loi Informatique et Libertés

1. Responsable du Traitement

Gökhan Camcı (entrepreneur individuel opérant sous la marque SOU) — Istanbul, Türkiye
Contact : kvkk@souprivate.com

Modèle opérationnel : SOU ne conserve pas de données à caractère personnel relevant de catégories particulières (gabarits biométriques, casier judiciaire) sur ses propres systèmes. Les contrôles d'identité et de fond sont effectués par des tiers autorisés (Persona KYC, système QR E-Devlet du ministère turc de la Justice) ; SOU ne conserve que le résultat de la vérification (« vérifié / non vérifié »). En cas d'évolution du modèle de conservation, le présent document sera mis à jour en conséquence.

2. Données Personnelles Traitées

Catégorie	Type de données	Base légale
Identité	Nom, prénom, date de naissance	RGPD art. 6 §1 b) · exécution du contrat
Contact	Adresse e-mail, numéro de téléphone	RGPD art. 6 §1 b) · exécution du contrat
Localisation (approximative)	Ville, quartier (déclaré par l'utilisateur). Lorsque les fonctions « membres à proximité » et check-in automatique sont activées, la localisation approximative de votre appareil est également utilisée : aucune coordonnée GPS exacte n'est conservée sur le serveur ; une localisation arrondie à une précision d'environ 111 m est conservée de manière temporaire (au plus 5 min). Le texte de localisation saisi lors de l'ajout d'un lieu est transmis à OpenStreetMap Nominatim (UE).	RGPD art. 6 §1 a) · consentement
Image	Photographies de profil (métadonnées EXIF supprimées)	RGPD art. 6 §1 a) · consentement
Résultat de la vérification d'identité	Sortie Persona KYC : drapeau verified=true/false. La pièce d'identité, le numéro officiel et le selfie biométrique ne sont pas conservés sur les systèmes SOU — traités par Persona, le résultat est renvoyé.	RGPD art. 6 §1 b) · exécution du contrat
Résultat de la vérification du casier judiciaire	L'utilisateur télécharge un document QR E-Devlet ; le système QR du ministère turc de la Justice effectue la vérification. SOU ne conserve que le résultat clean=true/false ; le document lui-même n'est pas conservé.	RGPD art. 6 §1 b) · exécution du contrat
Préférences d'intention	Intention (connaissance / amitié / professionnel / conversation), réponses aux prompts	RGPD art. 6 §1 a) · consentement
Comportemental	Réactions aux drops, métriques de fiabilité, graphe de recommandations	RGPD art. 6 §1 f) · intérêt légitime
Profilage (déduit)	Catégories déduites du texte de votre profil et de vos préférences in-app (valeurs, centres d'intérêt, style de communication) et indicateur de fiabilité calculé à partir de vos décisions de drop — utilisés uniquement pour la mise en relation ; un éditeur humain intervient dans la boucle (pas de décision exclusivement automatisée).	RGPD art. 6 §1 f) · intérêt légitime
Transaction	Métadonnées d'abonnement Apple, statut de paiement (aucune donnée bancaire conservée)	RGPD art. 6 §1 b) · exécution du contrat
Technique	Type d'appareil, version OS, version de l'app, adresse IP, jeton push	RGPD art. 6 §1 f) · intérêt légitime

Note : SOU ne conserve ni pièces d'identité, ni gabarits biométriques, ni casiers judiciaires, ni toute autre donnée brute de catégorie particulière. La vérification est effectuée avec le consentement de l'utilisateur par des sous-traitants autorisés (Persona, système QR du ministère turc de la Justice) ; SOU ne traite que le drapeau-résultat. Base légale : RGPD art. 13.

3. Finalités du Traitement

Évaluation et approbation de la demande d'adhésion
Préparation de la mise en relation curatée (Drop)
Ouverture du canal de match et de messagerie
Trust & Safety (vérification d'identité, gestion des signalements, exclusions)
Respect des obligations légales
Traitement des demandes relatives aux droits des consommateurs

4. Transferts Vers des Pays Tiers (RGPD art. 44 à 49)

Les sous-traitants tiers suivants traitent des données en dehors de l'Espace économique européen. Les transferts sont encadrés par le consentement explicite et/ou les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne :

Prestataire	Localisation	Données	Base légale
Firebase / Google Cloud	europe-west3 (Francfort)	Ensemble Firestore + Storage	CCT + hébergement UE
OpenAI	États-Unis	Contenu des messages (modération de sécurité + analyse de la qualité/risque des conversations), texte du bio/des prompts de profil (embedding de mise en relation), enregistrement vocal de présentation (transcription Whisper), catégories de profil agrégées (texte éditorial des Drops)	Consentement explicite (AI Consent Sheet) + DPA/CCT
Google Cloud Vision	États-Unis / monde	Photographies téléversées (analyse de sécurité contenu inapproprié / NSFW + détection de visage)	Consentement explicite + DPA/CCT
OpenStreetMap Nominatim	UE	Texte de localisation/recherche que vous saisissez lors de l'ajout d'un lieu (conversion coordonnées→adresse)	Intérêt légitime + conditions d'utilisation publiques de l'API
Persona (KYC)	États-Unis	Pièce d'identité, selfie biométrique	Consentement explicite + SOC2 Type II + DPA
RevenueCat	États-Unis	UID, métadonnées d'abonnement	CCT + contrat
Resend (email)	UE	Adresse e-mail de contact	DPA UE
Sentry	UE (région DE sentry.io)	Journaux d'erreurs (données personnelles supprimées)	DPA UE
Apple App Store	États-Unis / UE	Apple ID, reçus d'achat	Apple Developer Agreement
Twilio (SMS, optionnel)	UE / RU	OTP par téléphone	DPA + CCT

5. Durées de Conservation (RGPD art. 5 §1 e) + art. 17)

Données de la liste d'attente web : conservées de la date de la candidature jusqu'au lancement de l'application + 6 mois. Si le lancement n'a pas lieu, elles sont supprimées au plus tard le 31 décembre 2027. Les candidatures rejetées sont supprimées 90 jours après la décision.
Données des membres actifs : pendant toute la durée de l'adhésion
Après fermeture du compte : 30 jours en soft-delete (période de grâce)
Au-delà de 30 jours : suppression définitive (anonymisation des messages, des drops et des recommandations)
Signalements (Trust & Safety) : 3 ans sous forme anonymisée (obligation légale)
Journaux d'audit : 3 ans (charge de la preuve au titre du RGPD art. 5 §2)

6. Vos Droits en tant que Personne Concernée (RGPD art. 15 à 22)

Vous pouvez exercer les droits ci-dessous en écrivant à kvkk@souprivate.com ou via Paramètres → Demande RGPD dans l'application :

Savoir si vos données personnelles font l'objet d'un traitement (art. 15)
Obtenir des informations sur le traitement si celui-ci est avéré (art. 15)
Connaître les finalités du traitement (art. 15 §1 b)
Connaître les destinataires, en France et à l'étranger (art. 15 §1 c)
Demander la rectification de données inexactes ou incomplètes (art. 16)
Demander l'effacement de vos données (Paramètres → Fermer le compte, art. 17)
Exporter vos données dans un format lisible par machine (Paramètres → Télécharger mes données, art. 20)
S'opposer à une décision fondée sur un traitement automatisé (art. 22 — opposition à la logique de sélection des drops : kvkk@souprivate.com)

Votre demande recevra une réponse dans un délai de 30 jours.

7. Utilisation de l'Intelligence Artificielle

Notre principal prestataire d'intelligence artificielle est OpenAI (États-Unis). Les données suivantes sont traitées pour la sécurité du service et la qualité de la mise en relation :

Messages de conversation : les messages texte que vous envoyez sont transmis à OpenAI à des fins de sécurité de la communauté (modération) et d'analyse de la qualité/du risque des conversations.
Bio de profil / réponses aux prompts : elles sont converties en vecteur numérique par le modèle d'embedding d'OpenAI afin de calculer la similarité de mise en relation. Ce traitement n'a lieu que si vous avez donné votre consentement explicite ; si vous ne le donnez pas ou si vous le retirez, votre texte n'est pas transmis à OpenAI.
Présentation vocale : l'enregistrement vocal que vous réalisez est transmis à OpenAI Whisper pour être transcrit en texte.
Photographies : les photographies que vous téléversez sont transmises à Google Cloud Vision pour l'analyse de contenu inapproprié (NSFW).
Texte éditorial des Drops : pour le texte « pourquoi vous avez été sélectionné(e) », seules des catégories agrégées ne comportant ni nom ni photographie (tranche d'âge, groupe socioprofessionnel, quartier) sont transmises à OpenAI.

Un accord de traitement des données (DPA) et des Clauses Contractuelles Types (CCT) s'appliquent avec ces prestataires. La décision finale d'appariement est prise par un éditeur humain (House Council) ; l'IA ne produit pas seule de décision automatisée (conformité RGPD art. 22). Vous pouvez refuser le traitement par IA depuis l'écran AI Consent de l'application.

8. Mesures de Sécurité (RGPD art. 32)

Jetons d'authentification stockés dans iOS Keychain / Android Keystore
Suppression des métadonnées EXIF des photographies avant leur téléversement
Accès aux photos via URL signée avec TTL de 5 minutes
Aucune donnée personnelle transmise à Sentry (liste de suppression de 45 clés)
Communication appareil-serveur chiffrée en TLS 1.3
Règles de sécurité Firestore avec liste blanche au niveau des champs

9. Protection des Mineurs

SOU s'adresse exclusivement aux personnes âgées de 21 ans ou plus. La vérification de l'âge est obligatoire via le processus KYC de Persona. Les candidatures de personnes identifiées comme mineures sont rejetées et leurs données supprimées.

10. Contact et Réclamations

Demandes relatives aux données : kvkk@souprivate.com · délai de réponse 30 jours
En l'absence de réponse satisfaisante, vous avez le droit de déposer une réclamation auprès de la CNIL ou d'une autre autorité de contrôle compétente (RGPD art. 77).