En bref. Nous collectons le minimum : votre e-mail et votre mot de passe (ou votre compte Google) pour le compte, ce que vous nous dites de votre pratique musicale pour personnaliser le site, et les grilles que vous enregistrez, qui restent privées. Nous ne vendons pas vos données et ne faisons pas de marketing. Pour consulter, corriger ou supprimer vos données, écrivez-nous.
1. Qui est responsable de vos données
Le responsable du traitement est l’éditeur du site OpenRealb (www.openrealb.com), personne physique éditant le site à titre non professionnel (voir les conditions générales d’utilisation). Pour toute question sur vos données : contact@openrealb.com.
La présente politique décrit, conformément aux articles 13 et 14 du règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés, les données que nous traitons, pourquoi, combien de temps, avec qui, et vos droits.
2. Les données que nous collectons
2.1 Sans compte
Vous pouvez consulter tout le site sans compte. Nous traitons alors uniquement :
- Données techniques de connexion : adresse IP, navigateur et système (user agent), pages demandées, horodatage. Elles apparaissent dans les journaux réseau de notre hébergeur, Cloudflare, et dans ceux de notre application, et servent à faire fonctionner le site, à limiter le nombre de tentatives de connexion par adresse IP et à détecter les abus.
- Mesure d’audience : voir la section 6 (cookies et traceurs).
- Formulaire « Signaler un problème » : le type de retour, votre message, votre adresse e-mail, la page et le morceau concernés, et votre éventuel souhait de recevoir la newsletter. Ces envois sont aujourd’hui uniquement inscrits dans les journaux de l’application (voir la durée de conservation en section 5).
2.2 Votre compte
| Donnée | Origine | Pourquoi |
|---|---|---|
| Adresse e-mail | Vous, ou Google si vous vous inscrivez avec Google | Identifiant du compte, envoi des codes de connexion et des messages liés au compte |
| Mot de passe | Vous | Connexion. Conservé uniquement sous forme hachée ; nous ne pouvons pas le lire |
| Nom et photo | Google, si vous vous inscrivez avec Google | Affichage dans l’en-tête du site (initiales, avatar) |
| Identifiant Google et jetons d’accès | Reconnaître votre compte Google à la prochaine connexion | |
| Langue de l’interface | La page depuis laquelle vous vous inscrivez | Langue des e-mails et des redirections |
| Statut de vérification de l’e-mail, dates de création et de dernière modification, date de fin d’onboarding | Générées par le site | Gestion du compte |
| Sessions : jeton, date d’expiration, adresse IP et navigateur à la connexion | Générées à chaque connexion | Vous garder connecté ; vous permettre de voir et de fermer vos sessions ; sécurité |
| Codes à usage unique (connexion, vérification, réinitialisation) | Générés par le site | Vérifier que vous contrôlez l’adresse e-mail |
2.3 Votre profil musical (onboarding et page de compte)
Après l’inscription, le site vous pose quelques questions, toutes facultatives, que vous pouvez passer et modifier ensuite depuis votre page de compte :
- votre ou vos instruments, dans l’ordre de préférence ;
- la tonalité de lecture de votre instrument (ut, si bémol, mi bémol…) ;
- votre niveau (débutant, intermédiaire, avancé, professionnel) ;
- les styles que vous aimez jouer ;
- vos objectifs (apprendre, faire des jams, jouer en groupe, enseigner, composer) ;
- l’étape de l’onboarding où vous vous êtes arrêté, pour la reprendre ;
- la date de votre accord pour recevoir la newsletter, si vous vous y êtes inscrit.
Ces informations servent uniquement à personnaliser le service : ouvrir les grilles dans la tonalité de votre instrument, vous suggérer des morceaux et des styles, adapter les outils à votre niveau. Elles ne sont pas utilisées à des fins publicitaires ou de prospection, et ne sont pas transmises à des tiers.
2.4 Vos grilles (« Mes grilles »)
Les grilles que vous créez dans l’éditeur, ou que vous copiez depuis le catalogue avec « Remixer », sont enregistrées sur nos serveurs et rattachées à votre compte : titre, tonalité, tempo, styles et personnes renseignés, contenu de la grille, dates de création et de modification et, pour un remix, le morceau d’origine.
Elles sont privées : vous seul y accédez, depuis « Mes grilles » ; nous ne les publions pas et ne les communiquons à personne. L’éditeur ne les consulte que si c’est nécessaire à la maintenance technique du Service ou à la demande d’une autorité. Vous pouvez les supprimer une à une à tout moment ; elles sont toutes effacées avec votre compte.
2.5 Ce que nous ne collectons pas
Les réglages du métronome et du lecteur, et vos préférences d’affichage, restent dans votre navigateur (stockage local) et ne sont pas envoyés au site. Nous ne collectons ni données de paiement, ni données de localisation précise, ni données sensibles.
3. Pourquoi et sur quelle base
| Finalité | Données | Base légale (art. 6 RGPD) |
|---|---|---|
| Fournir le site et le compte : connexion, sessions, e-mails de codes | Compte, sessions, codes | Exécution du contrat (les CGU) |
| Enregistrer vos grilles et vous les rendre accessibles | Vos grilles | Exécution du contrat (les CGU) |
| Personnaliser le service | Profil musical, langue | Exécution du contrat ; vous choisissez ce que vous renseignez |
| Sécurité : limiter les tentatives de connexion, détecter les abus, diagnostiquer les pannes | Adresse IP, journaux techniques | Intérêt légitime (sécurité et bon fonctionnement du site) |
| Traiter vos retours et corriger les grilles | Formulaire de retour | Intérêt légitime (améliorer le service) ; l’e-mail sert à vous répondre |
| Newsletter : vous envoyer les nouveautés du site | E-mail, langue, date d’accord ; vos instruments, niveau et styles, pour choisir les nouveautés qui vous concernent | Consentement, retirable à tout moment (lien de désinscription dans chaque e-mail, ou Mon compte) |
| Notifications sur vos appareils | Abonnement du navigateur aux notifications, identifiant de votre compte | Consentement (l’autorisation que vous donnez au navigateur), retirable à tout moment depuis Mon compte ou les réglages du navigateur |
| Mesure d’audience anonyme, sans cookie | Événements d’usage ; adresse IP et navigateur, réduits à une empreinte journalière par PostHog (voir section 6.2) | Intérêt légitime (comprendre l’usage du site pour l’améliorer) |
| Mesure d’audience avancée : identifiant persistant, lien avec le compte, enregistrement des sessions | Voir section 6.3 | Consentement, retirable à tout moment |
| Répondre à vos demandes et aux obligations légales | Correspondance, données du compte | Obligation légale ; intérêt légitime |
Nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard, et nous ne faisons pas de profilage au-delà de la personnalisation décrite ci-dessus.
4. Qui a accès à vos données
Vos données ne sont ni vendues ni louées. Elles sont accessibles à l’éditeur du site, et traitées pour son compte par les prestataires suivants (sous-traitants au sens du RGPD) :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Cloudflare, Inc. | Hébergement du site, de la base de données et des journaux ; envoi des e-mails de codes | Réseau mondial ; données stockées en Europe autant que possible. Transferts hors UE encadrés par les clauses contractuelles types de la Commission européenne et la certification Data Privacy Framework |
| PostHog, Inc. | Mesure d’audience (voir section 6) | Serveurs en Union européenne (Francfort) |
| OneSignal, Inc. | Envoi de la newsletter et des notifications, si vous les avez demandées : votre e-mail, votre identifiant de compte, votre langue, vos instruments, niveau et styles (newsletter), l’abonnement aux notifications de vos appareils | États-Unis ; transferts encadrés par les clauses contractuelles types de la Commission européenne |
| Google LLC | Connexion avec un compte Google, si vous choisissez cette option | États-Unis ; transferts encadrés par le Data Privacy Framework. Google traite vos données selon sa propre politique de confidentialité |
| YouTube (Google) | Lecture des vidéos, uniquement quand vous lancez une vidéo | Voir la politique de confidentialité de Google. Rien n’est chargé depuis YouTube tant que vous ne lancez pas de vidéo |
Vos données peuvent aussi être communiquées aux autorités qui en font la demande dans le cadre prévu par la loi.
5. Combien de temps
| Données | Durée |
|---|---|
| Compte et profil musical | Tant que le compte existe. Effacés immédiatement à la suppression du compte (par vous ou par nous, voir les CGU). Un compte sans aucune connexion depuis trois ans peut être supprimé après avertissement |
| Vos grilles | Jusqu’à ce que vous les supprimiez, ou jusqu’à la suppression du compte |
| Sessions | Soixante jours sans activité, ou jusqu’à la déconnexion. Toutes vos sessions sont fermées si vous changez de mot de passe |
| Codes à usage unique | Quelques minutes, puis effacés |
| Journaux de l’application (Workers Logs), y compris les envois du formulaire de retour | Sept jours au plus |
| Journaux réseau de l’hébergeur (adresse IP, requêtes) | Durée fixée par Cloudflare pour ses propres journaux, selon sa politique de confidentialité |
| Accord pour la newsletter, et les données transmises à OneSignal pour l’envoyer | Jusqu’à son retrait ou la suppression du compte (qui efface aussi vos données chez OneSignal) |
| Abonnement d’un appareil aux notifications | Jusqu’à sa désactivation ou la suppression du compte |
| Mesure d’audience | Un an au plus pour l’identifiant persistant (avec votre accord), données agrégées ensuite |
| Votre choix sur les cookies | Treize mois si vous acceptez, quinze jours si vous refusez ; nous vous reposons ensuite la question |
| Correspondance (demandes d’exercice de droits, signalements) | Le temps de traiter la demande, puis au plus trois ans à des fins de preuve |
6. Cookies et traceurs
Vous pouvez revoir vos choix à tout moment : gérer les cookies, ou le lien « Cookies » en bas des pages du site.
6.1 Strictement nécessaires
Ces cookies et ce stockage ne requièrent pas de consentement (article 82 de la loi Informatique et Libertés) : ils servent uniquement à fournir le service que vous demandez. Ils sont déposés par le site lui-même ; sur le site en HTTPS, les cookies de session portent en plus le préfixe __Secure-.
| Nom | Rôle | Durée |
|---|---|---|
orb_consent | Mémorise votre choix sur les cookies (catégories acceptées, dates, identifiant aléatoire du choix), pour ne pas vous reposer la question à chaque page | Treize mois si vous acceptez, quinze jours si vous refusez |
better-auth.session_token (et son cache session_data) | Vous garder connecté. Inaccessible aux scripts (HttpOnly) | Soixante jours, renouvelés à chaque activité |
better-auth.dont_remember | Fermer la session avec le navigateur, si vous avez décoché « Rester connecté » | Le temps de la visite |
better-auth.last_used_login_method | Indiquer la dernière méthode de connexion utilisée sur la page de connexion | Trente jours |
orb_auth | Indique au navigateur d’afficher l’en-tête « connecté » sans attendre le serveur. Ne contient aucun secret | Même durée que la session |
Stockage local du navigateur (orb-*) | Vos initiales et votre avatar pour l’en-tête, vos réglages (lecteur, métronome, éditeur, affichage), et une copie de votre accord à la mesure d’audience avancée, lue par l’outil de mesure au chargement de la page | Jusqu’à effacement par vous, ou jusqu’au retrait de l’accord |
Stockage de session du navigateur (orb-*) | Le mode de connexion le temps d’une inscription ou d’une connexion avec Google | Jusqu’à la fermeture de l’onglet |
| Service worker et stockage local de OneSignal | Recevoir les notifications sur l’appareil. Chargés seulement quand vous activez les notifications, ou sur un appareil où vous les avez déjà autorisées | Jusqu’à la désactivation des notifications |
6.2 Mesure d’audience anonyme, sans cookie
Pour savoir combien de personnes utilisent le site et comment (pages vues, recherches, morceaux ouverts, outils utilisés, clics, erreurs rencontrées, grilles créées), nous utilisons PostHog (serveurs dans l’Union européenne),sans cookie ni stockage sur votre appareil. Les visiteurs sont distingués le temps d’une journée par une empreinte calculée sur les serveurs de PostHog à partir de l’adresse IP et du navigateur, avec un sel renouvelé chaque jour : elle ne permet ni de vous reconnaître d’un jour à l’autre, ni de vous identifier. Les événements sont envoyés depuis le site lui-même, via l’adresse /ingest, et ne sont pas rattachés à votre compte.
Rien n’étant lu ni écrit sur votre appareil, cette mesure ne requiert pas de consentement ; elle repose sur notre intérêt légitime à connaître l’usage du site pour l’améliorer. Vous pouvez vous y opposer en nous écrivant, ou en bloquant l’adresse/ingest dans votre navigateur.
6.3 Mesure d’audience avancée, avec votre accord
Si vous l’acceptez, PostHog dépose en plus un identifiant persistant (cookie et stockage local préfixés ph_, d’une durée d’un an au plus) qui permet :
- de relier vos visites entre elles ;
- si vous êtes connecté, de rattacher votre usage à votre identifiant de compte (jamais à votre e-mail ni à votre nom) ;
- d’enregistrer vos sessions (parcours dans les pages, clics, sans le contenu des champs de formulaire), pour comprendre les difficultés rencontrées.
Votre accord est conservé treize mois, un refus quinze jours ; nous vous reposons ensuite la question. Vous pouvez retirer votre accord à tout moment, aussi simplement que vous l’avez donné : l’identifiant est alors effacé et la mesure redevient anonyme. Le site fonctionne intégralement sans.
6.4 Tiers
Lancer une vidéo charge le lecteur YouTube, qui peut déposer ses propres traceurs selon la politique de Google. Les formulaires d’inscription et d’envoi de code utilisent Cloudflare Turnstile, un contrôle anti-robot nécessaire à la sécurité des comptes. Aucun traceur publicitaire n’est déposé par le site.
7. Vos droits
Vous disposez des droits suivants sur vos données :
- Accès : obtenir la copie des données que nous détenons sur vous ;
- Rectification : corriger des données inexactes ou incomplètes ;
- Effacement : demander la suppression de vos données ;
- Limitation : demander le gel du traitement dans les cas prévus par l’article 18 du RGPD ;
- Opposition : vous opposer aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation particulière ;
- Portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine ;
- Retrait du consentement : à tout moment, sans remettre en cause les traitements passés (newsletter, mesure d’audience) ;
- Directives post mortem : définir le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour exercer l’un de ces droits, écrivez-nous à contact@openrealb.com, de préférence depuis l’adresse e-mail de votre compte. Nous traitons chaque demande à la main et vous répondons dans le délai d’un mois prévu par le RGPD. Nous pourrons vous demander de confirmer votre identité avant d’y donner suite.
Vous pouvez aussi introduire une réclamation auprès de la CNIL.
8. Sécurité
Le site est servi exclusivement en HTTPS. Les mots de passe sont hachés avec un algorithme conçu à cet effet et ne sont jamais conservés en clair. Les cookies de session sont protégés (HttpOnly, Secure). Le nombre de tentatives de connexion et d’envoi de codes est limité par adresse IP. L’accès à la base de données et à l’hébergement est réservé à l’éditeur, protégé par une authentification forte. En cas de violation de données susceptible d’engendrer un risque élevé pour vous, nous vous en informerons conformément à l’article 34 du RGPD.
9. Mineurs
Le site s’adresse à un public d’au moins 15 ans. En dessous de cet âge, l’inscription requiert l’accord du titulaire de l’autorité parentale. Si vous pensez qu’un compte a été créé par un enfant de moins de 15 ans sans cet accord, écrivez-nous : nous le supprimerons.
10. Modifications de cette politique
Cette politique peut évoluer avec le service, par exemple si nous ajoutons une fonctionnalité qui traite de nouvelles données ou changeons de prestataire. La date de mise à jour figure en tête de page. En cas de changement substantiel, les membres en sont informés par e-mail ou par un message sur le site. Si nous devions un jour utiliser vos données à des fins de prospection, nous vous demanderions d’abord votre accord.
11. Contact
Pour toute question sur vos données : contact@openrealb.com.