Politique de confidentialité (RGPD)
Dernière mise à jour : 14 novembre 2026
1. Responsable du traitement et contact
Les données personnelles traitées via Boumb'App (boumbapp-daw.app) sont sous la responsabilité de l'éditeur particulier désigné dans les Mentions légales, basé en France, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.
Compte tenu de la nature et du volume des traitements, aucun délégué à la protection des données (DPO) n'a été désigné (non requis par l'article 37 du RGPD). Pour toute question relative à la protection des données ou à l'exercice de vos droits : contact@boumbapp-daw.app.
2. Usage sans compte, données obligatoires et minimisation
Le studio audio (séquenceur, synthétiseur, mixage, export WAV/JSON) fonctionne localement dans votre navigateur via la Web Audio API. Aucune inscription ni donnée personnelle n'est requise pour composer.
L'inscription est strictement réservée aux personnes âgées de 15 ans ou plus (seuil de majorité numérique en France). Lors de la création d'un compte gratuit :
- Données obligatoires pour la sauvegarde cloud : adresse email valide, pseudonyme, mot de passe (12 caractères minimum) et déclaration d'âge minimum (15 ans ou plus). Nous ne collectons aucune pièce d'identité. Sans ces informations, la création du compte et la sauvegarde cloud sont impossibles, mais l'utilisation locale du studio reste entièrement accessible.
- Données facultatives : préférence de langue et évaluation facultative (note de 1 à 10) sur les motifs MIDI générés par l'assistant IA.
3. Données collectées, finalités et bases légales (art. 13.1.c)
- Compte utilisateur et emails transactionnels associés : adresse email (identifiant unique et vérification), pseudonyme privé (non unique), mot de passe haché, langue préférée (
en/fr), déclaration horodatée d'âge minimum (15 ans ou plus) et horodatages techniques (création, mise à jour, dernière connexion, avis d'inactivité), ainsi que les emails strictement transactionnels (vérification, changement d'email, réinitialisation de mot de passe, avis d'inactivité et confirmation de suppression). - Projets cloud : jusqu'à 50 projets privés par compte (et 20 versions par projet) contenant uniquement vos données musicales JSON (tempo, pistes, motifs, préréglages synthé).
- Sécurité, limitation de débit et journaux serveur : adresse IP traitée brièvement en cache applicatif (protection anti-force-brute et limitation de débit API) ainsi que dans les journaux techniques d'accès HTTP du serveur.
- Télémétrie technique anonyme de l'assistant IA : lors d'une génération IA, notre propre serveur d'inférence (auto-hébergé en France, UE) enregistre dans une base SQLite (
telemetry.db) l'horodatage UTC, le texte du prompt (tronqué à 200 caractères), les paramètres musicaux, les notes MIDI générées et l'éventuelle note de satisfaction (1 à 10). Aucun identifiant de compte, email ou adresse IP n'y figure. Ne saisissez jamais de données personnelles, confidentielles ou concernant des tiers dans vos prompts IA.
| Traitement | Données concernées | Base légale (RGPD) |
|---|---|---|
| Gestion du compte, sauvegarde cloud et emails transactionnels liés | Email, pseudo, mot de passe haché, déclaration 15+, langue, projets JSON | Exécution du contrat (art. 6.1.b — CGU du service demandé) |
| Sécurité, anti-abus, limitation de débit et journaux HTTP | Adresse IP, horodatages techniques | Intérêt légitime (art. 6.1.f — protection de l'infrastructure et des comptes) |
| Mémorisation de la langue d'interface | Cookie boumbapp_locale et stockage local i18nextLng |
Intérêt légitime (art. 6.1.f — affichage dans la langue choisie) |
| Suivi qualité du générateur IA | Horodatage UTC, prompt (≤ 200 car.), paramètres, notes MIDI, note 1–10 | Intérêt légitime (art. 6.1.f — diagnostic et amélioration du modèle) |
| Réponse aux réquisitions légales éventuelles | Données strictement requises par la loi | Obligation légale (art. 6.1.c) |
Aucun traitement actuel de Boumb'App ne repose sur le consentement préalable au sens de l'article 6.1.a du RGPD (aucun traceur publicitaire ou analytique tiers n'étant utilisé).
4. Cookies et stockage local du navigateur
Boumb'App n'utilise aucun cookie publicitaire, aucun traceur marketing et aucun outil de mesure d'audience tiers. Seuls trois traceurs techniques strictement nécessaires à la fourniture du service ou à la préférence linguistique expressément demandée sont utilisés (exemptés de consentement conformément à la directive ePrivacy et aux lignes directrices de la CNIL) :
| Nom | Type | Finalité | Durée |
|---|---|---|---|
BEARER |
Cookie HTTP (HttpOnly, SameSite=Lax, Secure en HTTPS) |
Authentification de session (JWT) lorsque vous êtes connecté | 12 heures |
boumbapp_locale |
Cookie HTTP (SameSite=Lax, Secure en HTTPS) |
Mémorisation de la langue choisie (FR/EN) | 6 mois (180 jours) |
i18nextLng |
localStorage |
Synchronisation de la langue dans l'interface du studio | Jusqu'à effacement navigateur |
5. Destinataires, sous-traitants et transferts hors UE
Destinataires : vos données sont accessibles uniquement à l'éditeur en sa qualité d'administrateur technique (dans la stricte limite des besoins d'exploitation et d'assistance), aux sous-traitants techniques listés ci-dessous, ainsi qu'aux autorités compétentes uniquement sur réquisition légale.
- OVH SAS (Roubaix, France — datacenter à Milan, Italie, UE) : hébergement des serveurs applicatifs, de la base de données PostgreSQL et des sauvegardes automatisées.
- Serveur d'inférence IA auto-hébergé (France, UE) : génération musicale locale et base anonyme
telemetry.db(raccordé via tunnel chiffré Tailscale). - Brevo (Sendinblue SAS) (Union européenne) : acheminement des emails strictement transactionnels (vérification d'email, réinitialisation de mot de passe, avis d'inactivité et confirmation de suppression).
- Cloudflare, Inc. (États-Unis) : résolution DNS autoritative uniquement (mode DNS-only, aucun proxy HTTP actif sur le trafic du site). Aucune donnée de compte, cookie applicatif ou projet n'est transmise à Cloudflare. Seules les métadonnées techniques des requêtes DNS (pouvant inclure l'adresse IP du résolveur ou du client) peuvent transiter par son réseau mondial pour acheminer les requêtes DNS, sous couvert des garanties de transfert de Cloudflare (Data Privacy Framework UE–États-Unis et Clauses Contractuelles Types de la Commission européenne).
Vos données de compte et projets restent hébergées au sein de l'Union européenne et ne sont jamais vendues ni partagées à des fins commerciales.
6. Durées de conservation et purges automatisées
- Comptes non vérifiés : suppression automatique 7 jours après l'inscription si l'adresse email n'a pas été confirmée.
- Comptes inactifs : envoi d'un email d'avertissement 30 jours avant suppression (à 23 mois d'inactivité), suivi d'une suppression définitive en cascade du compte et des projets cloud à 24 mois sans connexion.
- Jetons temporaires de sécurité : validité maximale de 24 heures (vérification ou changement d'email) et 1 heure (réinitialisation de mot de passe) ; les jetons expirés sont purgés automatiquement.
- Adresses IP (sécurité) : conservation en cache applicatif de 1 minute (limitation de débit IA) à 15 minutes (protection anti-force-brute de connexion et d'envoi d'emails), et 7 jours maximum pour les journaux techniques d'accès HTTP du serveur.
- Télémétrie technique IA (
telemetry.db) : purge automatique des enregistrements après 6 mois (180 jours). - Sauvegardes chiffrées hors-site (
age) : conservation maximale de 3 mois glissants.
7. Sécurité et absence de décision automatisée
Nous appliquons des mesures techniques et organisationnelles proportionnées : chiffrement des communications en transit (HTTPS/TLS et HSTS), hachage fort des mots de passe, jetons de session JWT en cookie HttpOnly avec révocation immédiate par versionnement, protection CSRF par signature HMAC, isolation stricte des projets privés, limitation de débit multi-couches et chiffrement au repos (age) des sauvegardes hors-site. Aucune mesure technique ne garantissant un risque nul, conservez une copie locale (export WAV/JSON) de vos créations importantes.
Décisions automatisées (art. 22 RGPD) : Boumb'App n'effectue aucune prise de décision entièrement automatisée ni profilage produisant des effets juridiques ou vous affectant de manière significative (l'assistant IA produit uniquement des motifs MIDI à votre demande).
8. Vos droits et recours
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition (pour les traitements fondés sur l'intérêt légitime) et de portabilité de vos données personnelles :
- En autonomie depuis /profile : modification de profil, export intégral au format JSON et suppression immédiate du compte actif avec suppression en cascade de tous vos projets cloud. Les copies figées éventuellement contenues dans les sauvegardes chiffrées hors-site (
age) expirent automatiquement sous 3 mois maximum (et les journaux techniques HTTP sous 7 jours maximum). - Par email : contact@boumbapp-daw.app (réponse sous un mois maximum).
- Autorité de contrôle : si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés).