Confidentialité - MesSeances

Responsable du traitement

Identité: Mathis Verstrepen
Contact pour les données personnelles: contact@diikstra.fr

Données et mécanismes utilisés

Préférences de cinémas

Sans connexion à un compte terminé, le navigateur conserve les identifiants des cinémas choisis dans le stockage local, sous la clé messeances.favoriteTheaterIds.v1. Cette sélection locale reste distincte de celle du compte. Les identifiants peuvent être transmis à l’API MesSeances comme filtres pour personnaliser les séances affichées ; ils ne servent pas à créer un compte.

Lorsque les comptes sont disponibles et que vous êtes connecté à un compte terminé, les identifiants des cinémas sélectionnés sont enregistrés sur le serveur et associés à ce compte. Ce sont des données personnelles. La sélection du compte prévaut sur celle de chaque appareil, sans remplacer la sélection locale du navigateur.

Si le compte n’a encore aucune sélection enregistrée, les cinémas encore disponibles dans le catalogue parmi votre sélection locale enregistrée sont importés une seule fois dans le compte. Sans sélection locale enregistrée valide, les cinémas proposés par défaut restent provisoires : aucun import n’a lieu et le compte attend un enregistrement explicite depuis la page Cinémas.

Sur les autres appareils connectés au même compte, la sélection est récupérée au retour sur le site, à l’actualisation, lorsque la page redevient active ou lorsque la connexion réseau revient. Les onglets du même navigateur sont également avertis des changements. Il ne s’agit pas d’une synchronisation instantanée entre appareils. En cas de modifications concurrentes, la sélection déjà enregistrée est affichée et les changements non enregistrés doivent être réappliqués.

La sélection peut être modifiée depuis la page Cinémas. La déconnexion ou la suppression du compte ne supprime pas la sélection locale du navigateur. L’effacement des données du site dans le navigateur supprime cette sélection locale, sans supprimer celle du compte. Sans sélection enregistrée applicable, les cinémas par défaut sont proposés à nouveau.

Cinémas suivis et activité privée

Les identifiants des cinémas que vous suivez sont associés à votre compte sur le serveur, séparément des cinémas sélectionnés pour filtrer les séances. Leur activité regroupe les événements publics déjà conservés, sans reconstituer les programmations antérieures ni envoyer de notifications. Cette liste et ce regroupement restent privés, sans stockage local ou de session, sans partage dans les liens et sans mesure d’audience. Ils sont actualisés au retour sur le site et lors des changements signalés par les autres onglets, sans synchronisation instantanée entre appareils. La déconnexion retire ces données de la mémoire du navigateur ; la suppression du compte efface les suivis sur le serveur, sans supprimer le journal public des cinémas. Les sauvegardes restent soumises à leur politique de conservation.

Watchlist privée et fiches de films publiques

Les films de votre watchlist, leur date d’ajout, vos tags et leurs associations sont liés à votre compte sur le serveur. Cette liste reste privée, sans stockage local ou de session, sans partage dans les liens de recherche et sans transmission à la mesure d’audience. Elle est actualisée au retour sur le site et lors des changements signalés par les autres onglets. La suppression du compte efface cette liste et ses tags. Supprimer un tag retire ses associations, sans supprimer les films.

La recherche peut interroger TMDB via notre serveur, sans transmettre votre identité de compte. Ajouter un film externe crée immédiatement sa fiche publique à partir des métadonnées TMDB, même sans séance. Cette fiche ne mentionne pas votre compte et reste publique après le retrait de votre watchlist ou la suppression de votre compte.

Géolocalisation et carte interactive

La géolocalisation ne démarre qu’après un clic sur le bouton Utiliser ma position et l’autorisation explicite accordée dans le navigateur. L’API de géolocalisation du navigateur fournit alors la latitude, la longitude et une estimation de la précision, sans demande de haute précision. Elle peut réutiliser une position mise en cache datant d’au plus 10 minutes.

La position et sa précision restent uniquement en mémoire dans la page, afin de calculer localement les cinémas proches et d’afficher la position sur la carte. MesSeances ne les transmet pas à son API et ne les enregistre ni dans un cookie, ni dans le stockage local ou de session, ni dans l’URL.

Lorsque la carte est affichée, le navigateur demande automatiquement à OpenFreeMap le style et les ressources cartographiques nécessaires. Ces requêtes peuvent communiquer les données techniques usuelles du navigateur, notamment l’adresse IP et les en-têtes, ainsi que la zone de carte demandée. Le style OpenFreeMap peut sélectionner dynamiquement les services chargés de fournir les tuiles, glyphes et sprites. À l’inverse, la latitude et la longitude ne sont transmises à OpenStreetMap par le lien vers la position que si l’utilisateur choisit explicitement d’ouvrir ce lien.

Comptes personnels

Lorsque la fonctionnalité est disponible, vous pouvez créer un compte privé par email et mot de passe ou avec Google. Les traitements décrits ci-dessous s’appliquent si vous utilisez ces fonctionnalités ; cette notice n’annonce pas leur activation en production.

Les données utilisées sont l’email du compte, sa vérification, un nom d’utilisateur unique et définitif, une empreinte sécurisée du mot de passe lorsqu’il existe, ainsi que les informations nécessaires aux sessions et à la prévention des abus. Pour Google, un identifiant de liaison et l’email communiqué par Google sont conservés séparément de l’email du compte. Une photo privée peut être ajoutée dans les paramètres. Aucun nom n’est importé depuis Google. Il n’y a ni profil public ni annuaire. Les identifiants des cinémas sélectionnés sont également associés au compte terminé pour retrouver cette sélection sur les appareils connectés, selon les modalités décrites ci-dessus.

Google est sollicité avec les permissions d’identité, d’email et de profil. Après une inscription, une connexion ou une association réussie, le serveur peut récupérer la photo communiquée par Google si aucune photo n’a été ajoutée ou explicitement supprimée. Cet import facultatif ne remplace jamais une photo existante ; son échec n’empêche pas la connexion. Dissocier Google conserve la photo déjà importée.

Les photos JPEG, PNG ou WebP non animées de 5 Mio maximum sont vérifiées, orientées automatiquement lorsque les métadonnées le permettent, recadrées au centre et redimensionnées en WebP de 256 × 256 pixels, avec une compression avec perte de qualité 80. Seule cette copie sans métadonnées est conservée dans un espace privé du serveur ; la base contient son chemin, pas l’image. L’original et l’adresse de la photo Google ne sont pas conservés. L’aperçu est livré par MesSeances à la session du propriétaire, uniquement dans les paramètres, sans chargement de photo Google par le navigateur, stockage local ou disponibilité hors ligne.

Une connexion Google ouvre le service Google uniquement à votre demande. Amazon SES assure l’envoi des emails de vérification, de récupération et de sécurité, avec SNS et SQS pour traiter les échecs de livraison et plaintes. L’accès à Google et à l’email actuel du compte est nécessaire pour les changements sensibles sans mot de passe ; aucun contournement manuel de ces preuves n’est proposé.

Les cookies nécessaires au compte sont distincts du cookie d’administration et détaillés dans le résumé des traceurs ci-dessous. Les liens de vérification et les secrets saisis restent en mémoire dans les pages concernées, sans stockage local ou de session. Aucune mesure d’audience n’est envoyée depuis ces pages. Le traceur chargé sur une page publique peut rester présent pendant la navigation, sans constituer une isolation du code tiers. Ces pages ne sont pas disponibles hors ligne.

Session d’administration

L’espace réservé à l’administration utilise le cookie messeances_admin_session après authentification. Ce cookie est limité aux routes d’administration de l’API, marqué HttpOnly et SameSite=Strict, et expire après 12 heures. Il est nécessaire au maintien et à la sécurisation de la session d’administration.

Mesure d’audience Umami

Lorsqu’elle est configurée, une instance Umami auto-hébergée mesure les visites des pages publiques autorisées, sans cookie ni suivi entre sites. Le suivi automatique est désactivé : seules ces visites sont transmises, sans événement personnalisé, performance, tag ni identification des utilisateurs. Les pages de connexion, de compte, de confirmation et d’administration ne transmettent aucune mesure.

Les visites transmises contiennent l’identifiant du site, le nom d’hôte, le chemin public sans requête ni fragment, un titre fixe, les dimensions de l’écran et la langue du navigateur. Le référent est limité au chemin public précédent ou au domaine externe d’arrivée ; aucun chemin privé, paramètre UTM ou identifiant de clic n’est transmis. Umami peut en déduire le navigateur, le système d’exploitation, le type d’appareil et la localisation approximative à partir de la requête réseau, avec des identifiants techniques de session et des horodatages. L’adresse IP sert à déterminer la localisation, mais n’est pas enregistrée.

Journaux techniques

Les journaux applicatifs de MesSeances enregistrent un horodatage, un niveau de gravité, un composant et un événement prédéfini. Pour une requête HTTP, ils contiennent la méthode normalisée, le motif de route plutôt que l’URL complète ou sa chaîne de requête, le statut de la réponse et la durée de traitement. Une erreur applicative est limitée à un code générique.

Les opérations de mise à jour des séances et de synchronisation peuvent aussi enregistrer l’étape, le résultat ou le motif, la durée et des compteurs agrégés. En cas d’échec d’un fournisseur, le diagnostic est limité à la catégorie d’échec, l’opération, le statut HTTP, le numéro de tentative et la limite de tentatives.

Ces journaux applicatifs excluent l’adresse IP du visiteur, l’agent utilisateur, l’URL complète et sa chaîne de requête, les corps des requêtes et réponses, les identifiants de connexion, mots de passe et jetons, les détails des proxys, ainsi que la valeur d’une panique récupérée et sa pile d’appels. Aucun journal de requêtes distinct du reverse proxy ou de l’hôte n’est conservé.

Affiches et images distantes

Les affiches et arrière-plans peuvent être chargés directement depuis les domaines de TMDB (image.tmdb.org), UGC, Kinepolis (cdn.kinepolis.fr), Pathé et ACSTA pour certaines images CGR. Lors de ce chargement, le fournisseur distant reçoit nécessairement la requête technique du navigateur, notamment l’adresse IP et les en-têtes transmis par celui-ci.

Finalités et bases légales

Fournir le compte et la connexion demandés : créer et gérer le compte privé, vérifier l’adresse email, maintenir la session et permettre l’authentification par mot de passe ou Google. Ces traitements reposent sur l’exécution du contrat de service, conformément à l’article 6, paragraphe 1, point b), du RGPD.
Envoyer les emails transactionnels du compte : transmettre les liens de vérification, de récupération et de confirmation des changements demandés, ainsi que les notifications de sécurité nécessaires au service. Ces envois reposent sur l’exécution du contrat de service, conformément à l’article 6, paragraphe 1, point b), du RGPD, et ne sont pas des messages publicitaires.
Afficher une photo privée facultative : traiter la photo téléversée ou importée lors de l’utilisation de Google pour personnaliser les paramètres du compte. Cette fonctionnalité facultative repose sur l’exécution du contrat de service pour la personnalisation demandée, conformément à l’article 6, paragraphe 1, point b), du RGPD. Le compte reste utilisable sans photo. Les permissions OAuth de Google définissent les informations accessibles ; elles ne constituent pas, à elles seules, un consentement au sens du RGPD ni une base légale du traitement.
Protéger les comptes et prévenir les abus : limiter les tentatives abusives, bloquer les envois après un échec permanent ou une plainte et réserver définitivement les noms d’utilisateur supprimés pour empêcher leur réutilisation et prévenir l’usurpation. Ces traitements reposent sur l’intérêt légitime de l’éditeur à sécuriser le service et protéger ses utilisateurs, conformément à l’article 6, paragraphe 1, point f), du RGPD.
Personnaliser les séances : mémoriser et appliquer les cinémas choisis, puis retrouver la sélection du compte sur les appareils connectés. Le stockage des préférences associées au compte et leur synchronisation reposent sur l’exécution du contrat de service pour la personnalisation demandée, conformément à l’article 6, paragraphe 1, point b), du RGPD. L’écriture et la lecture de la préférence locale, y compris sa lecture pour l’import initial, sont exemptées de consentement au titre de l’article 82 de la loi « Informatique et Libertés », car elles sont strictement nécessaires à une fonctionnalité expressément demandée. Cette exemption de consentement au stockage local ne dispense pas de respecter le RGPD pour les données associées au compte. Hors compte, si la transmission des identifiants à l’API pour filtrer les résultats constitue un traitement de données personnelles, celui-ci repose sur l’intérêt légitime de l’éditeur, conformément à l’article 6, paragraphe 1, point f), du RGPD, à seule fin de renvoyer les résultats personnalisés expressément demandés.
Trouver les cinémas proches et afficher la position : utiliser la position dans le navigateur pour calculer les distances, trier les cinémas et placer un repère sur la carte. Le traitement de la position repose sur le consentement, conformément à l’article 6, paragraphe 1, point a), du RGPD. Ce consentement est exprimé par le clic sur le bouton Utiliser ma position, sous réserve de l’autorisation du navigateur, que celui-ci peut demander ou avoir déjà mémorisée. Il peut être retiré pour l’avenir dans les réglages d’autorisation du navigateur. Le retour au mode d’affichage par ville cesse immédiatement l’utilisation locale de la position et l’efface de la page.
Administrer et sécuriser le service : contrôler l’accès à l’espace restreint, prévenir les accès non autorisés et les abus, et détecter, diagnostiquer puis corriger les incidents techniques. Ces traitements reposent sur l’intérêt légitime de l’éditeur à assurer la sécurité, la disponibilité et le bon fonctionnement du service, conformément à l’article 6, paragraphe 1, point f), du RGPD.
Afficher les contenus demandés : charger auprès des fournisseurs distants les affiches et arrière-plans nécessaires à la consultation des films et des séances, ainsi que le style et les ressources de la carte lorsque celle-ci est affichée. La transmission technique requise repose sur l’intérêt légitime de l’éditeur à présenter ces contenus dans le service demandé, conformément à l’article 6, paragraphe 1, point f), du RGPD.
Mesurer la fréquentation : produire des statistiques pour comprendre l’usage du site et améliorer son contenu. Ces traitements reposent sur l’intérêt légitime de l’éditeur au titre de l’article 6, paragraphe 1, point f), du RGPD et, pour les opérations relevant de l’article 82, une exemption de consentement uniquement si la configuration déployée respecte de manière démontrable les critères publiés par la CNIL, notamment ceux de son outil d’auto-évaluation 2025.

Destinataires

Les données sont destinées à l’éditeur et, strictement dans la mesure nécessaire à leurs prestations, aux destinataires suivants :

Hetzner Online GmbH, qui héberge le site, l’API, l’instance Umami auto-hébergée et leurs bases de données sur la même infrastructure de production. Umami n’est donc pas fourni comme service SaaS par un destinataire distinct ;
Google, pour l’authentification choisie par l’utilisateur et, le cas échéant, l’import de sa photo : Google reçoit les données techniques de connexion et d’autorisation, notamment l’adresse IP et les en-têtes lors de l’ouverture de son service. MesSeances reçoit l’identifiant Google, l’email et les informations de vérification, ainsi que l’adresse de la photo lorsqu’elle est fournie. Les jetons d’accès du fournisseur ne sont pas conservés ;
Amazon Web Services (AWS), pour les emails du compte : SES reçoit l’adresse destinataire et le contenu du message, y compris les liens de confirmation nécessaires. SNS et SQS transmettent et mettent en file les retours de livraison ou de plainte, qui peuvent contenir des adresses email, des identifiants de message, des horodatages et le motif du retour ;
TMDB, UGC, Kinepolis, Pathé et ACSTA, uniquement lorsque le navigateur charge automatiquement une affiche ou une image distante : chacun reçoit alors les données techniques de la requête nécessaires à la livraison de l’image concernée ;
OpenFreeMap et les services cartographiques sélectionnés par son style, lorsque la carte est affichée : ils reçoivent automatiquement les données techniques nécessaires à la livraison du style et des ressources correspondant à la zone demandée ;
OpenStreetMap, uniquement si l’utilisateur ouvre le lien vers sa position : la latitude et la longitude sont alors incluses dans l’adresse ouverte.

Les données ne sont ni vendues ni transmises à des tiers pour leur propre publicité ou prospection commerciale.

Durées de conservation

Comptes personnels

La photo traitée est conservée jusqu’à son remplacement, sa suppression depuis les paramètres ou la suppression du compte. Ces actions retirent immédiatement l’accès à l’ancienne photo via le service après validation. Le serveur tente ensuite d’effacer le fichier ; en cas d’échec, un nettoyage périodique reprend les fichiers devenus inutiles après un délai minimal d’une heure. Une panne ou un retard de nettoyage peut prolonger leur présence physique. Les copies déjà reçues ne peuvent pas être rappelées. La suppression reste effective lors des connexions Google suivantes : aucun nouvel import automatique n’est effectué. La rétention des sauvegardes et leur effacement restent à valider par l’exploitant, sans promesse de suppression immédiate de ces copies.

Les comptes incomplets deviennent inaccessibles 7 jours après leur création et sont supprimés lors du prochain nettoyage périodique. Les comptes terminés sont conservés jusqu’à leur suppression ; aucune purge automatique pour inactivité n’est appliquée. Pour un compte terminé, la suppression demandée après preuve d’identité est immédiate et irréversible dans la base active : compte, moyens de connexion, sessions, préférences de cinémas, liens et messages en attente associés sont supprimés. Le nom d’utilisateur seul reste réservé indéfiniment, sans identifiant de compte, email, identité Google ou date de suppression associés, pour empêcher sa réutilisation et l’usurpation. Cette réserve ne peut pas être annulée depuis l’interface et ne garantit pas l’anonymat du nom d’utilisateur.

Sessions et liens de confirmation: Une session expire au plus tard après 30 jours, ou après 7 jours d’inactivité. Un lien de vérification d’email est valable au maximum 24 heures, dans la limite des 7 jours d’une inscription incomplète ; un lien de réinitialisation de mot de passe, 30 minutes. Un parcours Google OAuth dure au maximum 10 minutes et une autorisation d’action sensible, à usage unique, 5 minutes. Les enregistrements expirés sont supprimés par nettoyage périodique.
Emails en attente et suivi d’envoi local: Le contenu chiffré d’un email en attente est conservé jusqu’à la fin de son traitement ou son expiration, au maximum 24 heures, ou moins si le lien expire avant. Il est effacé dès l’état final d’envoi, d’échec ou d’abandon. Les métadonnées de suivi restantes, sans le contenu chiffré, sont supprimées après 7 jours par nettoyage.
Blocage local des envois et quotas anti-abus: L’empreinte HMAC de l’adresse et le motif de blocage après échec permanent ou plainte expirent 180 jours après le dernier retour traité. Les empreintes et compteurs de quotas expirent au plus tard 48 heures après le début de leur fenêtre. Ces données sont ensuite supprimées par nettoyage périodique.

Des données de prévention des abus et de non-envoi après plainte ou échec peuvent subsister indépendamment du compte. Une empreinte d’adresse utilisée pour ces protections reste une donnée personnelle, pas une anonymisation. Une panne ou un retard de nettoyage peut différer l’effacement physique des données expirées, sans prolonger la validité des sessions, liens ou autorisations. Ces limites de l’application ne fixent pas les durées de conservation des prestataires ou des sauvegardes. Aucune suppression immédiate de ces copies externes n’est promise ici.

Préférences locales: Jusqu’à leur remplacement par une nouvelle sélection ou l’effacement des données du site dans le navigateur. La déconnexion et la suppression du compte ne les effacent pas.
Préférences de cinémas du compte: Jusqu’à leur remplacement ou la suppression du compte dans la base active. La durée de conservation des sauvegardes et leur effacement restent à valider par l’exploitant ; aucune suppression immédiate de ces copies n’est promise.
Position du visiteur: Uniquement en mémoire jusqu’au retour au mode d’affichage par ville ou au départ de la page. MesSeances ne conserve pas cette position. Le navigateur peut réutiliser une position mise en cache datant d’au plus 10 minutes ; sa conservation effective relève du navigateur.
Session d’administration: 12 heures au maximum, ou jusqu’à la déconnexion.
Journaux techniques: Les journaux opérationnels des conteneurs sont acheminés vers journald sur le VPS dédié ; après installation du paramétrage prévu sur l’hôte, leur conservation est limitée à 30 jours au maximum. Les diagnostics persistés des synchronisations terminées sont supprimés après 30 jours ; les synchronisations en cours sont exclues de cette suppression. Aucun journal de requêtes distinct du reverse proxy ou de l’hôte n’est conservé.
Données Umami: Les données de mesure d’audience sont conservées 25 mois au maximum. Une purge automatisée s’exécute immédiatement lors du déploiement, puis chaque jour.

Transferts hors Union européenne

Le site, l’API, l’instance Umami auto-hébergée et leurs bases de données sont hébergés et stockés dans l’Union européenne, sur un serveur Hetzner situé en Finlande. Lorsque le navigateur charge directement des images auprès de TMDB, UGC, Kinepolis, Pathé ou ACSTA, ces fournisseurs peuvent traiter les requêtes techniques selon leurs propres infrastructures. Il en va de même pour les requêtes cartographiques adressées automatiquement à OpenFreeMap et aux services sélectionnés dynamiquement par son style, ainsi que pour la requête adressée à OpenStreetMap si l’utilisateur ouvre le lien vers sa position. MesSeances ne peut donc pas garantir l’absence de transfert hors de l’Union européenne pour ces requêtes externes.

L’authentification et l’import de photo via Google, ainsi que l’envoi d’emails et le traitement des retours par AWS SES, SNS et SQS, peuvent également impliquer des traitements hors Union européenne. L’hébergement de MesSeances dans l’Union européenne ne prouve pas que tous les traitements de ces prestataires y restent. Les entités contractantes, régions de traitement et garanties de transfert applicables à Google et AWS restent à confirmer ; cette notice n’affirme pas qu’un mécanisme particulier encadre ces transferts.

Vos droits

Selon le traitement concerné et les conditions prévues par la réglementation, vous pouvez demander l’accès, la rectification ou l’effacement de vos données, la limitation du traitement, vous opposer au traitement, demander la portabilité des données ou retirer votre consentement lorsqu’il constitue la base légale.

Pour exercer ces droits, contactez : contact@diikstra.fr. Une preuve d’identité peut être demandée uniquement lorsque cela est nécessaire pour vérifier l’identité du demandeur.

Vous pouvez également adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), ouverture dans un nouvel onglet.

Résumé des traceurs et stockages

Stockage local « Mes cinémas »: Mémorise la sélection locale utilisée hors compte terminé, distincte de celle du compte. Une sélection locale enregistrée valide peut initialiser un compte sans sélection. Les modifications du compte ne remplacent pas ce stockage, conservé jusqu’à remplacement local ou effacement dans le navigateur, même après déconnexion ou suppression du compte. Il est exempté de consentement dans les conditions exposées dans les finalités ci-dessus.
Sélection de cinémas du compte: Conservée sur le serveur, associée au compte terminé et synchronisée sur les appareils connectés selon les modalités ci-dessus. Elle n’est pas recopiée dans le stockage local et reste conservée jusqu’à remplacement ou suppression du compte, sous réserve des limites relatives aux sauvegardes.
Cookie de session du compte: __Host-messeances_session en HTTPS : maintient la connexion, pour 30 jours au maximum. La session expire après 7 jours d’inactivité ou à la déconnexion.
Cookie de preuve d’inscription: __Host-messeances_registration en HTTPS : prouve que la confirmation d’email a lieu dans le navigateur d’origine de l’inscription. Sa durée maximale est de 7 jours ; il est effacé après vérification réussie.
Cookie du parcours Google: __Host-messeances_google en HTTPS : lie le retour de Google au navigateur ayant lancé la demande, pour 10 minutes au maximum. Il est effacé au retour de Google.
Cookie de session d’administration: Présent uniquement après connexion à l’espace restreint, pour une durée maximale de 12 heures.
Umami: Chargé sur les pages publiques autorisées lorsqu’il est configuré, sans cookie ni suivi entre sites. Peut rester présent pendant la navigation, mais les pages privées ne transmettent aucune mesure.

Les trois cookies du compte sont strictement nécessaires aux opérations d’inscription, de connexion et de sécurisation demandées, et ne sont pas publicitaires. Ils sont limités au site, marqués Secure, HttpOnly et SameSite=Lax en HTTPS, donc inaccessibles au JavaScript. Leur utilisation ne dépend pas d’un consentement publicitaire.

Mise à jour de la politique

Dernière mise à jour : 24 septembre 2026. Cette politique sera mise à jour si les traitements, prestataires ou obligations applicables évoluent.