Politique de confidentialité — Open Projects Lab

Open Projects Lab respecte votre vie privée. Cette page décrit ce qui est réellement fait aujourd’hui — pas ce qui est prévu — conformément au RGPD (Règlement (UE) 2016/679).

Responsable du traitement

Open Projects Lab (éditeur non professionnel — voir les mentions légales) — contact : contact@openprojectslab.com.

Principe : le moins de données possible

Open Projects Lab est bâti sur une conviction : vos données restent chez vous. Les logiciels proposés fonctionnent 100 % en local et n’envoient aucune télémétrie. Le site suit la même ligne : aucun outil tiers de mesure d’audience n’est installé — la seule mesure de fréquentation est calculée à partir des journaux du serveur, voir le point 1, aucun traceur, aucun cookie publicitaire, aucun service tiers chargé dans vos pages.

Données traitées

1. Journaux du serveur web

Comme tout serveur web, celui d’Open Projects Lab enregistre techniquement chaque requête : adresse IP, date et heure, page demandée, code de réponse, navigateur déclaré. L’adresse IP étant une donnée personnelle, ce traitement est déclaré ici.

Ces journaux servent à la sécurité (détecter une attaque, un abus), au diagnostic technique, et à une mesure de fréquentation frugale : un script quotidien en tire des totaux — pages vues, nombre estimé de visiteurs, pages les plus lues, sites d’origine — sans cookie, sans script dans vos pages, sans service tiers. Le rapport produit ne contient aucune adresse IP, aucun identifiant, aucune empreinte : l’adresse n’intervient que le temps du calcul, en mémoire, et n’est jamais écrite. Ils ne sont ni recoupés avec un compte, ni utilisés pour du profilage, ni transmis à qui que ce soit.

Base légale : intérêt légitime (sécurité et bon fonctionnement du service), et obligation légale de conservation des données d’identification pesant sur les hébergeurs (LCEN, article 6).

2. Espace membre

L’espace membre est ouvert, sur app.openprojectslab.com. La création d’un compte est facultative : les logiciels se téléchargent et s’utilisent sans compte.

Si vous créez un compte, sont traités :

votre adresse email — identification, vérification de l’adresse, réinitialisation du mot de passe ;
votre pseudonyme — affiché publiquement à côté de vos messages ;
votre mot de passe — jamais stocké en clair, uniquement sous forme hachée avec argon2id, un algorithme conçu pour rester coûteux à casser ; il est techniquement impossible de le retrouver, y compris pour l’éditeur ;
votre avatar, si vous en envoyez un — réencodé au format WebP, les métadonnées de l’image d’origine (dont la géolocalisation éventuelle) ne sont pas conservées ;
votre courte biographie, si vous en écrivez une ;
vos messages publiés dans le chat communautaire, avec leur date ;
la date de création de votre compte.

Aucune de ces données n’est vendue, louée, ni utilisée à des fins publicitaires. Aucun profilage, aucune décision automatisée.

Base légale : exécution du service que vous demandez en créant un compte.

3. Envoi des emails

Les emails du service (confirmation d’adresse, réinitialisation de mot de passe) sont expédiés via Brevo, société française. Votre adresse email lui est donc transmise pour cet unique usage. Brevo agit comme sous-traitant au sens du RGPD et applique sa propre politique de confidentialité.

Base légale : exécution du service (sans envoi d’email, aucune inscription ni récupération de compte n’est possible).

4. Dons

Les dons éventuels passent par Ko-fi, un service tiers, depuis un lien sortant. Aucune donnée bancaire ne transite ni n’est stockée sur les serveurs d’Open Projects Lab ; le paiement est intégralement géré par Ko-fi, selon sa propre politique de confidentialité.

Hébergement et localisation

Le site et l’espace membre sont hébergés en France, sur un serveur OVH. Brevo, le prestataire d’envoi d’emails, est une société française traitant les données dans l’Union européenne. Aucun transfert hors Union européenne n’est effectué par Open Projects Lab.

Durée de conservation

Journaux du serveur : rotation automatique, avec une conservation plafonnée à 12 mois.
Compte membre : conservé tant que le compte existe. Sa suppression efface l’adresse email, le pseudonyme, l’avatar et la biographie.
Sujets et messages du forum : conservés tant que le compte existe ; supprimés avec lui. Un message retiré par la modération n’est pas effacé : il est masqué, et figure dans votre export avec son état — une modération se conteste, et un texte effacé ne se retrouve pas.
Personnalisation de la carte de labo (bannière, cadre, liseré, jetons mis en vitrine) : conservée tant que le compte existe ; supprimée avec lui. Ce sont des choix d’apparence, jamais des données d’identification : aucune conservation légale ne s’y applique, et rien n’en subsiste après la suppression. Ils figurent dans l’export de vos données.
Messages du chat : conservés tant que le compte existe ; supprimés avec le compte.
Données d’identification des contributions (identifiant du message, identifiant du membre, adresse IP, protocole, date et heure) : 12 mois. Elles sont conservées séparément du contenu, dans une table qui n’en porte aucun : ni le texte du message, ni extrait, ni empreinte. Cette conservation est imposée à tout hébergeur par l’article 6-II de la LCEN et le décret n° 2021-1362 — elle relève de l’obligation légale (RGPD, art. 6-1-c) et survit donc à la suppression du compte : le pseudonyme et l’adresse email y sont recopiés au moment de cette suppression, puis effacés douze mois plus tard. C’est la seule exception au point précédent, et le RGPD la prévoit expressément (art. 17-3-b).
Contenus manifestement illicites : le texte est détruit de la base, et non seulement masqué. Aucune copie n’en est conservée, y compris à titre de preuve — pour les infractions les plus graves, la détention est réprimée en elle-même. Seule limite, dite franchement : les sauvegardes chiffrées déjà produites avant l’effacement le contiennent encore et ne peuvent pas être réécrites ; elles disparaîtront à leur propre rotation. Seules subsistent les données d’identification ci-dessus, communicables sur réquisition.
Jetons de vérification et de réinitialisation : 24 heures, puis inutilisables.
Cookie de préférences d’affichage (opl_aspect) : 400 jours, ou jusqu’à ce que vous l’effaciez depuis votre navigateur. Il ne contient aucune donnée personnelle.

Sécurité

Tout le site est servi en HTTPS ; les cookies de session sont marqués Secure et HttpOnly.
Les mots de passe sont hachés avec argon2id (jamais chiffrés, jamais réversibles).
L’espace membre est isolé du reste du serveur, dans des conteneurs sans privilèges administrateur.

Cookies

Site vitrine : un unique cookie, opl_aspect, qui conserve vos seules préférences d’affichage — thème clair ou sombre, teinte, taille du texte, densité, langue. Il ne contient aucun identifiant, ne sert à aucun suivi, n’est lu par aucun tiers, et n’est écrit que si vous modifiez un de ces réglages. Il relève des cookies de personnalisation d’interface demandée par l’utilisateur, exemptés de consentement au sens de l’article 82 de la loi Informatique et Libertés. Aucune bannière n’est donc nécessaire.
Espace membre : le même cookie de préférences, plus un cookie de session, strictement nécessaire au maintien de votre connexion. Il ne sert à aucun suivi et relève de la même exemption.

Aucun cookie publicitaire, aucun cookie de mesure d’audience, aucun cookie tiers.

Âge minimum

La création d’un compte est réservée aux personnes âgées d’au moins 15 ans. En dessous de cet âge, le consentement d’un titulaire de l’autorité parentale est requis.

Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition sur vos données.

Une partie s’exerce directement depuis votre compte : modifier votre email, votre pseudonyme, votre avatar ou votre biographie, télécharger une copie de toutes vos données au format JSON (droits d’accès et de portabilité), et supprimer définitivement votre compte — le tout depuis la page Paramètres.

Pour toute autre demande — rectification d’une donnée que vous ne pouvez pas modifier vous-même, limitation, opposition —, écrivez à contact@openprojectslab.com : la demande est traitée manuellement, et il y est répondu dans un délai maximum d’un mois.

Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Modifications

Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en haut de page. En cas de changement substantiel affectant vos droits, les membres inscrits en sont informés par email.