Confidentialité - MesSeances

Responsable du traitement

Identité: Mathis Verstrepen
Contact pour les données personnelles: contact@diikstra.fr

Données et mécanismes utilisés

Préférences de cinémas

Le navigateur conserve les identifiants des cinémas sélectionnés dans le stockage local, sous la clé messeances.favoriteTheaterIds.v1. Cette préférence personnalise les séances affichées. Les identifiants peuvent être transmis à l’API MesSeances comme filtres lors de la consultation des pages. Ils ne servent pas à créer un compte utilisateur.

La sélection peut être modifiée depuis la page Cinémas. L’effacement des données du site depuis le navigateur supprime la préférence enregistrée et rétablit ensuite la sélection par défaut.

Géolocalisation et carte interactive

La géolocalisation ne démarre qu’après un clic sur le bouton Utiliser ma position et l’autorisation explicite accordée dans le navigateur. L’API de géolocalisation du navigateur fournit alors la latitude, la longitude et une estimation de la précision, sans demande de haute précision. Elle peut réutiliser une position mise en cache datant d’au plus 10 minutes.

La position et sa précision restent uniquement en mémoire dans la page, afin de calculer localement les cinémas proches et d’afficher la position sur la carte. MesSeances ne les transmet pas à son API et ne les enregistre ni dans un cookie, ni dans le stockage local ou de session, ni dans l’URL.

Lorsque la carte est affichée, le navigateur demande automatiquement à OpenFreeMap le style et les ressources cartographiques nécessaires. Ces requêtes peuvent communiquer les données techniques usuelles du navigateur, notamment l’adresse IP et les en-têtes, ainsi que la zone de carte demandée. Le style OpenFreeMap peut sélectionner dynamiquement les services chargés de fournir les tuiles, glyphes et sprites. À l’inverse, la latitude et la longitude ne sont transmises à OpenStreetMap par le lien vers la position que si l’utilisateur choisit explicitement d’ouvrir ce lien.

Session d’administration

L’espace réservé à l’administration utilise le cookie messeances_admin_session après authentification. Ce cookie est limité aux routes d’administration de l’API, marqué HttpOnly et SameSite=Strict, et expire après 12 heures. Il est nécessaire au maintien et à la sécurisation de la session d’administration.

Mesure d’audience Umami

MesSeances utilise en permanence une instance Umami auto-hébergée pour produire des statistiques de fréquentation. Le traceur fonctionne sans cookie et sans suivi entre sites. Il est intégré dans sa configuration par défaut, avec l’identifiant du site pour seul paramètre : aucun événement personnalisé, tag, identifiant distinct ou mécanisme d’identification des utilisateurs n’est configuré.

Umami enregistre par défaut l’identifiant du site, le nom d’hôte, le chemin visité et sa chaîne de requête, le titre de la page, le site référent, le navigateur, le système d’exploitation, le type d’appareil, les dimensions de l’écran, la langue du navigateur, le pays, la région et la ville déduits de l’adresse IP, les paramètres UTM et les identifiants de clic publicitaire présents dans l’URL, des identifiants techniques d’événement et de session, ainsi que les horodatages associés. L’adresse IP sert à déterminer la localisation, mais n’est pas enregistrée.

Journaux techniques

Les journaux applicatifs de MesSeances enregistrent un horodatage, un niveau de gravité, un composant et un événement prédéfini. Pour une requête HTTP, ils contiennent la méthode normalisée, le motif de route plutôt que l’URL complète ou sa chaîne de requête, le statut de la réponse et la durée de traitement. Une erreur applicative est limitée à un code générique.

Les opérations de mise à jour des séances et de synchronisation peuvent aussi enregistrer l’étape, le résultat ou le motif, la durée et des compteurs agrégés. En cas d’échec d’un fournisseur, le diagnostic est limité à la catégorie d’échec, l’opération, le statut HTTP, le numéro de tentative et la limite de tentatives.

Ces journaux applicatifs excluent l’adresse IP du visiteur, l’agent utilisateur, l’URL complète et sa chaîne de requête, les corps des requêtes et réponses, les identifiants de connexion, mots de passe et jetons, les détails des proxys, ainsi que la valeur d’une panique récupérée et sa pile d’appels. Aucun journal de requêtes distinct du reverse proxy ou de l’hôte n’est conservé.

Affiches et images distantes

Les affiches et arrière-plans peuvent être chargés directement depuis les domaines de TMDB (image.tmdb.org), UGC, Kinepolis (cdn.kinepolis.fr), Pathé et ACSTA pour certaines images CGR. Lors de ce chargement, le fournisseur distant reçoit nécessairement la requête technique du navigateur, notamment l’adresse IP et les en-têtes transmis par celui-ci.

Finalités et bases légales envisagées

Personnaliser les séances : mémoriser et appliquer les cinémas choisis. L’écriture et la lecture de cette préférence dans le stockage local sont exemptées de consentement au titre de l’article 82 de la loi « Informatique et Libertés », car elles sont strictement nécessaires à une fonctionnalité expressément demandée. Les identifiants de cinémas ne permettent pas, à eux seuls, d’identifier un utilisateur : leur stockage ne constitue donc pas en lui-même un traitement de données personnelles auquel attribuer une base légale au titre du RGPD. Si leur transmission à l’API constitue un traitement de données personnelles, celui-ci repose sur l’intérêt légitime de l’éditeur, conformément à l’article 6, paragraphe 1, point f), du RGPD, à seule fin de renvoyer les résultats personnalisés expressément demandés.
Trouver les cinémas proches et afficher la position : utiliser la position dans le navigateur pour calculer les distances, trier les cinémas et placer un repère sur la carte. Le traitement de la position repose sur le consentement, conformément à l’article 6, paragraphe 1, point a), du RGPD. Ce consentement est exprimé par le clic sur le bouton Utiliser ma position, sous réserve de l’autorisation du navigateur, que celui-ci peut demander ou avoir déjà mémorisée. Il peut être retiré pour l’avenir dans les réglages d’autorisation du navigateur. Le retour au mode d’affichage par ville cesse immédiatement l’utilisation locale de la position et l’efface de la page.
Administrer et sécuriser le service : contrôler l’accès à l’espace restreint, prévenir les accès non autorisés et les abus, et détecter, diagnostiquer puis corriger les incidents techniques. Ces traitements reposent sur l’intérêt légitime de l’éditeur à assurer la sécurité, la disponibilité et le bon fonctionnement du service, conformément à l’article 6, paragraphe 1, point f), du RGPD.
Afficher les contenus demandés : charger auprès des fournisseurs distants les affiches et arrière-plans nécessaires à la consultation des films et des séances, ainsi que le style et les ressources de la carte lorsque celle-ci est affichée. La transmission technique requise repose sur l’intérêt légitime de l’éditeur à présenter ces contenus dans le service demandé, conformément à l’article 6, paragraphe 1, point f), du RGPD.
Mesurer la fréquentation : produire des statistiques pour comprendre l’usage du site et améliorer son contenu. Ces traitements reposent sur l’intérêt légitime de l’éditeur au titre de l’article 6, paragraphe 1, point f), du RGPD et, pour les opérations relevant de l’article 82, une exemption de consentement uniquement si la configuration déployée respecte de manière démontrable les critères publiés par la CNIL, notamment ceux de son outil d’auto-évaluation 2025.

Destinataires

Les données sont destinées à l’éditeur et, strictement dans la mesure nécessaire à leurs prestations, aux destinataires suivants :

Hetzner Online GmbH, qui héberge le site, l’API, l’instance Umami auto-hébergée et leurs bases de données sur la même infrastructure de production. Umami n’est donc pas fourni comme service SaaS par un destinataire distinct ;
TMDB, UGC, Kinepolis, Pathé et ACSTA, uniquement lorsque le navigateur charge automatiquement une affiche ou une image distante : chacun reçoit alors les données techniques de la requête nécessaires à la livraison de l’image concernée ;
OpenFreeMap et les services cartographiques sélectionnés par son style, lorsque la carte est affichée : ils reçoivent automatiquement les données techniques nécessaires à la livraison du style et des ressources correspondant à la zone demandée ;
OpenStreetMap, uniquement si l’utilisateur ouvre le lien vers sa position : la latitude et la longitude sont alors incluses dans l’adresse ouverte.

Les données ne sont ni vendues ni transmises à des tiers pour leur propre publicité ou prospection commerciale.

Durées de conservation

Préférences locales: Jusqu’à leur remplacement par une nouvelle sélection ou l’effacement des données du site dans le navigateur.
Position du visiteur: Uniquement en mémoire jusqu’au retour au mode d’affichage par ville ou au départ de la page. MesSeances ne conserve pas cette position. Le navigateur peut réutiliser une position mise en cache datant d’au plus 10 minutes ; sa conservation effective relève du navigateur.
Session d’administration: 12 heures au maximum, ou jusqu’à la déconnexion.
Journaux techniques: Les journaux opérationnels des conteneurs sont acheminés vers journald sur le VPS dédié ; après installation du paramétrage prévu sur l’hôte, leur conservation est limitée à 30 jours au maximum. Les diagnostics persistés des synchronisations terminées sont supprimés après 30 jours ; les synchronisations en cours sont exclues de cette suppression. Aucun journal de requêtes distinct du reverse proxy ou de l’hôte n’est conservé.
Données Umami: Les données de mesure d’audience sont conservées 25 mois au maximum. Une purge automatisée s’exécute immédiatement lors du déploiement, puis chaque jour.

Transferts hors Union européenne

Le site, l’API, l’instance Umami auto-hébergée et leurs bases de données sont hébergés et stockés dans l’Union européenne, sur un serveur Hetzner situé en Finlande. Lorsque le navigateur charge directement des images auprès de TMDB, UGC, Kinepolis, Pathé ou ACSTA, ces fournisseurs peuvent traiter les requêtes techniques selon leurs propres infrastructures. Il en va de même pour les requêtes cartographiques adressées automatiquement à OpenFreeMap et aux services sélectionnés dynamiquement par son style, ainsi que pour la requête adressée à OpenStreetMap si l’utilisateur ouvre le lien vers sa position. MesSeances ne peut donc pas garantir l’absence de transfert hors de l’Union européenne pour ces requêtes externes.

Vos droits

Selon le traitement concerné et les conditions prévues par la réglementation, vous pouvez demander l’accès, la rectification ou l’effacement de vos données, la limitation du traitement, vous opposer au traitement, demander la portabilité des données ou retirer votre consentement lorsqu’il constitue la base légale.

Pour exercer ces droits, contactez : contact@diikstra.fr. Une preuve d’identité peut être demandée uniquement lorsque cela est nécessaire pour vérifier l’identité du demandeur.

Vous pouvez également adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), ouverture dans un nouvel onglet.

Résumé des traceurs et stockages

Stockage local « Mes cinémas »: Présent pour mémoriser la sélection de l’utilisateur. Qualification et régime applicables à confirmer avant publication.
Cookie de session d’administration: Présent uniquement après connexion à l’espace restreint, pour une durée maximale de 12 heures.
Umami: Actif en permanence, sans cookie ni suivi entre sites. Les données collectées sont détaillées ci-dessus.

Mise à jour de la politique

Date d’entrée en vigueur : 27 août 2026. Cette politique sera mise à jour si les traitements, prestataires ou obligations applicables évoluent.