Règlement (UE) 2016/679 (RGPD) et loi Informatique et Libertés — Version du 5 septembre 2026, qui remplace la version d'août 2026
Responsable : Cooda, entreprise individuelle de Mohamed Islem Kermiche, éditeur de Chat Coco Tchat (coordonnées complètes dans les mentions légales)
Contact pour vos données : [email protected]
L'éditeur n'est pas tenu de désigner un délégué à la protection des données ; les demandes sont traitées directement par lui.
Cette politique s'applique au site https://chat-coco-tchat.fr et à l'application Android « Chat Coco », qui accèdent au même service et traitent les données de la même façon.
| Donnée | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Pseudo | Vous identifier dans le tchat | Exécution du contrat | Durée du compte |
| Âge | Vérifier la majorité, l'afficher aux autres membres | Obligation légale, exécution du contrat | Durée du compte |
| Genre | L'afficher sur le profil, personnaliser l'affichage | Exécution du contrat | Durée du compte |
| Pays et code postal | Vous placer dans les salons de votre ville et de votre département ; seule la ville est affichée | Exécution du contrat | Durée du compte |
| Description, couleur, photo de profil (facultatives) | Personnaliser votre profil | Consentement | Durée du compte, ou jusqu'à retrait |
| Adresse e-mail et mot de passe (facultatifs) | Sauvegarder le compte, le récupérer, confirmer un achat VIP, rappels liés au compte | Exécution du contrat | Durée du compte |
| Identifiant de session | Vous reconnaître d'une visite à l'autre sans mot de passe | Exécution du contrat | Durée du compte ; une session inactive expire après 90 jours |
| Messages des salons publics | Fonctionnement du tchat, modération | Exécution du contrat, intérêt légitime (sécurité) | 90 jours, y compris les messages retirés par leur auteur (voir ci-dessous) |
| Messages privés | Communication entre membres, modération | Exécution du contrat, intérêt légitime (sécurité) | 90 jours |
| Photos et vidéos envoyées dans le tchat | Partage de médias | Exécution du contrat | 90 jours après l'envoi, suppression automatique du fichier |
| Adresse IP sous forme d'empreinte (hachage salé) | Détecter les comptes multiples et les contournements de sanction | Intérêt légitime (sécurité) | Durée du compte |
| Adresse IP en clair et journal de connexions horodaté | Répondre aux réquisitions des autorités | Obligation légale (LCEN art. 6, II ; CPCE art. L.34-1 ; décret n° 2021-1362) | 1 an |
| Signalements reçus et alertes de modération (extraits de conversation, décision prise) | Traiter les signalements, détecter les contenus illicites, prouver les faits aux autorités | Obligation légale, intérêt légitime | 1 an après traitement |
| Sanctions (avertissements, bannissements, blocages de connexion) | Appliquer et faire respecter les sanctions | Intérêt légitime, exécution du contrat | Durée de la sanction, puis 1 an pour les récidives |
| Liste d'amis, blocages, salons créés | Fonctionnement du service | Exécution du contrat | Durée du compte ; un salon créé par un membre est supprimé après 30 jours sans activité |
| Abonnement aux notifications push (identifiant technique du navigateur) | Vous prévenir d'un message reçu quand l'application est fermée | Consentement, révocable dans les réglages du navigateur | Durée du compte, ou jusqu'à désinscription |
| Achats VIP (identifiant de transaction Stripe, montant, date) | Activer l'accès VIP, gérer les réclamations, obligations comptables | Exécution du contrat, obligation légale | 10 ans (pièces comptables) |
| Choix exprimé sur le bandeau cookies | Mémoriser votre réponse | Intérêt légitime | 6 mois |
| Journaux techniques du serveur | Sécurité, débogage, détection des intrusions | Intérêt légitime | Rotation automatique : seuls les cinq fichiers les plus récents sont gardés, soit quelques semaines au plus |
Messages retirés par leur auteur : lorsque vous supprimez un de vos messages, il disparaît immédiatement pour tous les participants, mais une copie est conservée jusqu'à l'échéance de 90 jours. Sans cela, il suffirait d'effacer un message illicite pour en faire disparaître toute trace. Ces copies ne sont accessibles qu'à l'équipe de modération et, sur réquisition, aux autorités.
Durée de vie des comptes : un compte invité (sans mot de passe) est supprimé automatiquement 30 jours après la dernière visite, avec les données qui lui sont attachées, hors celles dont la loi impose la conservation. Un compte sauvegardé (e-mail et mot de passe) est conservé tant que son titulaire ne demande pas sa suppression. Un compte VIP est conservé au moins jusqu'à la fin de la période payée.
Profils de démonstration : certains profils de la liste des membres sont créés par l'éditeur et ne correspondent à aucune personne réelle ; ils ne contiennent aucune donnée personnelle.
Votre adresse IP est conservée sous deux formes :
Ces données ne sont accessibles qu'à l'éditeur. Elles ne sont communiquées qu'aux autorités judiciaires ou de police sur réquisition, ou jointes à un signalement de contenu manifestement illicite.
Pour protéger ses membres, en particulier contre la sollicitation de mineurs, le harcèlement et les menaces, Chat Coco Tchat met en œuvre :
Ces traitements reposent sur l'intérêt légitime de l'éditeur (sécurité du service, protection des personnes) et sur son obligation légale de concourir à la lutte contre certaines infractions (article 6 de la LCEN, article 18 du règlement (UE) 2022/2065, DSA).
Décisions automatisées : en cas de comportement manifestement abusif, le système peut bloquer automatiquement la connexion utilisée, pour une durée temporaire qui augmente à chaque répétition et ne devient définitive qu'après plusieurs répétitions. Aucun signalement aux autorités ni aucun bannissement définitif de compte n'est décidé sans relecture humaine. Conformément à l'article 22 du RGPD, vous pouvez obtenir l'intervention d'une personne, exprimer votre point de vue et contester la décision en écrivant à [email protected] ; le message de blocage vous rappelle cette adresse.
Lorsqu'un contenu manifestement illicite est détecté, l'éditeur le retire, conserve les éléments de preuve (extraits, données d'identification) et le signale aux autorités compétentes (plateforme PHAROS).
Conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL (délibération n° 2020-091), les traceurs qui ne sont pas strictement nécessaires au service ne sont déposés qu'avec votre accord.
| Traceur | Qui | À quoi il sert | Accord requis | Durée |
|---|---|---|---|---|
| chat_token, réglages d'affichage (thème, préférences) | Chat Coco Tchat | Vous reconnaître d'une visite à l'autre, mémoriser vos réglages | Non (strictement nécessaire) | Durée du compte |
| ads_consent | Chat Coco Tchat | Mémoriser votre choix sur le bandeau | Non (strictement nécessaire) | 6 mois |
| Cookies de la régie publicitaire Adsterra | Adsterra (bannières des membres non VIP) | Afficher et mesurer les annonces | Oui | Selon la régie, au plus 13 mois |
| Google Ads (_gcl_au et associés) | Google Ireland Ltd | Mesurer si une visite venant d'une annonce Google aboutit à une inscription ou à un achat VIP | Oui (en mode « consentement refusé », la balise n'écrit aucun cookie) | Au plus 13 mois |
| Microsoft Clarity (_clck, _clsk, MUID et associés) | Microsoft Ireland Operations Ltd | Comprendre l'usage des pages : zones cliquées, défilement, rediffusion anonymisée du parcours | Oui (tant que vous n'avez pas accepté, aucun cookie n'est déposé) | Au plus 13 mois |
| hCaptcha | Intuition Machines, Inc. | Distinguer un humain d'un robot ; cette protection n'est activée qu'en cas d'inscriptions abusives et ne l'est pas actuellement | Non (sécurité du service) | Session |
Le contenu de vos conversations, publiques comme privées, est masqué à la source et n'apparaît jamais dans les enregistrements Clarity. La régie publicitaire et Google ne reçoivent aucune donnée de votre profil (pseudo, âge, ville, messages).
Donner ou retirer votre accord : le bandeau vous est présenté à la connexion. Vous pouvez changer d'avis à tout moment par le lien « Cookies » en bas du menu du tchat, qui réaffiche le bandeau. Refuser ne prive d'aucune fonctionnalité ; les membres VIP ne voient aucune publicité.
Vos données ne sont jamais vendues, louées ni cédées à des fins commerciales. Elles ne sont accessibles qu'à l'éditeur et aux modérateurs, tenus à la confidentialité, et aux prestataires suivants, chacun pour la seule tâche indiquée :
| Prestataire | Rôle | Données concernées | Lieu |
|---|---|---|---|
| Cloudflare, Inc. | Acheminement et protection du trafic, chiffrement TLS, relais technique des appels audio et vidéo | Adresse IP, données techniques de connexion, flux des appels (chiffrés, non stockés) | Réseau mondial ; société certifiée au cadre UE–États-Unis de protection des données (DPF) |
| Stripe Payments Europe, Ltd. et Stripe, Inc. | Paiement des accès VIP | Données de paiement, e-mail de reçu | Irlande ; États-Unis (DPF et clauses contractuelles types) |
| Resend, Inc., via un relais d'envoi administré par l'éditeur | Envoi des e-mails du service (confirmation d'achat, récupération de compte, rappels) | Adresse e-mail, contenu de l'e-mail | États-Unis (DPF et clauses contractuelles types) |
| Services de notification des navigateurs (Google, Mozilla, Apple) | Acheminement des notifications push | Identifiant technique de l'abonnement ; le contenu est chiffré de bout en bout | Selon le navigateur ; DPF ou clauses contractuelles types |
| Adsterra | Régie publicitaire (membres non VIP, après accord) | Données techniques collectées par la régie elle-même (IP, navigateur, pages) | International ; garanties décrites dans sa politique de confidentialité |
| Google Ireland Ltd | Mesure des conversions publicitaires (après accord) | Cookies publicitaires, données techniques | Irlande ; États-Unis (DPF) |
| Microsoft Ireland Operations Ltd | Mesure d'audience Clarity (après accord) | Données de navigation, hors contenu des conversations | Irlande ; États-Unis (DPF) |
| Intuition Machines, Inc. (hCaptcha) | Protection contre les robots, uniquement si activée (inactive actuellement) | Données techniques du navigateur | États-Unis (DPF) |
| API Adresse et Découpage administratif de l'État (geo.api.gouv.fr) | Retrouver la commune à partir du code postal saisi | Code postal | France |
Les autorités judiciaires ou de police peuvent en outre obtenir vos données d'identification sur réquisition légale, et les contenus manifestement illicites leur sont signalés, comme indiqué aux sections 4 et 5.
Les données que nous conservons (compte, messages, journaux) sont stockées sur un serveur situé en France. Certains prestataires listés à la section 7 sont établis aux États-Unis ou opèrent un réseau mondial ; les transferts correspondants reposent sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (DPF) pour les sociétés certifiées, et à défaut sur les clauses contractuelles types de la Commission (articles 44 à 49 du RGPD).
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en serez informé conformément à l'article 34 du RGPD.
| Droit | Ce que vous pouvez demander |
|---|---|
| Accès (art. 15) | Une copie des données que nous détenons sur vous |
| Rectification (art. 16) | La correction de données inexactes ; la plupart des données du profil sont modifiables directement dans l'application |
| Effacement (art. 17) | La suppression de votre compte et de vos données, hors celles dont la loi impose la conservation (données de connexion, pièces comptables) |
| Limitation (art. 18) | La suspension temporaire d'un traitement |
| Portabilité (art. 20) | Vos données dans un format structuré et lisible par machine |
| Opposition (art. 21) | Vous opposer, pour des raisons tenant à votre situation, à un traitement fondé sur l'intérêt légitime |
| Retrait du consentement (art. 7) | Retirer à tout moment un consentement donné (cookies, notifications, éléments facultatifs du profil), sans effet sur la licéité du traitement passé |
| Décisions automatisées (art. 22) | Obtenir l'intervention d'une personne face à un blocage automatique (voir section 5) |
| Directives post-mortem (loi Informatique et Libertés, art. 85) | Définir le sort de vos données après votre décès |
Pour exercer ces droits, écrivez à [email protected] en indiquant votre pseudo, depuis l'adresse e-mail associée à votre compte si vous en avez une. Si votre compte n'a pas d'adresse e-mail, nous pourrons vous demander de confirmer la demande depuis la session connectée. Nous répondons dans un délai d'un mois (article 12 du RGPD), prolongeable de deux mois en cas de demande complexe.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL) : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Le service est interdit aux personnes de moins de 18 ans. Aucune donnée relative à un mineur n'est collectée sciemment. Tout compte identifié comme appartenant à un mineur est suspendu puis supprimé, dans les conditions de la page Protection des mineurs. Un parent ou tuteur qui découvre qu'un mineur a créé un compte peut en demander la suppression à l'adresse ci-dessus.
Cette politique peut être mise à jour pour suivre l'évolution du service ou de la réglementation. La date de version figure en haut de page ; toute modification substantielle est signalée dans l'application.