1. Qui sommes-nous ?

VacaList est une application web de gestion de check-lists de vacances, accessible à l'adresse https://vacalist.fr. L'éditeur est un particulier/entreprise domicilié(e) en France. Pour toute question relative à la protection de vos données : contact@vacalist.fr.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

• Adresse email — utilisée pour l'authentification et les rappels optionnels.
• Contenu des listes — items, catégories, notes de séjour que vous créez.
• Préférences d'affichage — thème, police, densité (stockées côté serveur pour synchronisation).
• Date de paiement et statut d'abonnement — pour la gestion de l'accès à 2€/an via Stripe.

Nous ne collectons pas : données de localisation, photos (sauf si vous en téléversez volontairement), cookies de tracking, données comportementales à des fins publicitaires.

3. Finalités du traitement

4. Durée de conservation

• Données de compte : conservées jusqu'à suppression du compte ou 3 ans d'inactivité.
• Données de paiement : 10 ans (obligation comptable légale), conservées par Stripe.
• Logs techniques : 12 mois glissants.

5. Sous-traitants et transferts

Vos données sont hébergées en France sur les serveurs o2switch (Clermont-Ferrand). Seuls les sous-traitants suivants peuvent y accéder :

• Stripe (Stripe Payments Europe, Dublin) — gestion des paiements. Politique Stripe.
• Open-Meteo (Suisse) — prévisions météo. Aucune donnée personnelle transmise (seule la localisation géographique du séjour est utilisée).

Aucun transfert hors UE sans garanties appropriées.

6. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD — UE 2016/679), vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données.
• Droit de rectification — corriger des données inexactes.
• Droit à l'effacement — demander la suppression de votre compte et de vos données.
• Droit à la portabilité — exporter vos listes en JSON depuis votre tableau de bord.
• Droit d'opposition / limitation — vous opposer à certains traitements.
• Droit de retrait du consentement — pour les traitements fondés sur votre consentement (rappels email).

Pour exercer ces droits, contactez-nous à contact@vacalist.fr. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

7. Cookies

VacaList n'utilise pas de cookies de tracking ou publicitaires. Un token JWT est stocké dans le localStorage du navigateur pour maintenir votre session (durée : 30 jours). Ce mécanisme est strictement nécessaire au fonctionnement du service et ne requiert pas de consentement.

8. Sécurité

Les communications sont chiffrées en TLS/HTTPS. Les mots de passe sont hachés (bcrypt). L'accès aux données est contrôlé par authentification JWT. Les données de paiement ne transitent jamais par nos serveurs — elles sont traitées directement par Stripe (certifié PCI DSS niveau 1).

9. Suppression du compte

Vous pouvez supprimer votre compte depuis votre profil (icône utilisateur → Supprimer mon compte). Cette action supprime définitivement toutes vos listes, catégories et items. Les données de facturation sont conservées 10 ans (obligation légale).

10. Modifications de cette politique

En cas de modification substantielle, vous serez notifié par email au moins 15 jours avant l'entrée en vigueur. La date de mise à jour est indiquée en haut de cette page.