1. Responsable du traitement
Le responsable du traitement des données personnelles collectées via Sourcy est l'éditeur de l'application. Sourcy est un service proposant des achats intégrés (abonnements et crédits d'analyse) via Google Play.
Contact : contact@getsourcy.com
2. Données collectées
Sourcy collecte uniquement les données strictement nécessaires au fonctionnement du service (principe de minimisation, Art. 5(1)(c) RGPD) :
- Adresse e-mail — fournie lors de la création de compte (par e-mail ou via Google). Finalité : authentification. Base légale : exécution du contrat.
- Date de naissance — demandée une seule fois, à la première connexion (écran de vérification d'âge). Finalités : garantir l'âge minimum d'accès au service (13 ans) et réserver les fonctions d'analyse par IA aux personnes majeures, conformément aux conditions d'utilisation de l'API Google Gemini. Elle n'est jamais publique, n'est pas modifiable dans l'application et est supprimée avec le compte. Base légale : protection des mineurs et respect des conditions du fournisseur d'IA (intérêt légitime).
- Pseudonyme public (facultatif) — nom d'affichage choisi pour le classement communautaire. Base légale : consentement.
- Votes et contributions — votes de clarté, sources soumises au catalogue. Finalité : calcul de l'indice de rigueur documentaire.
- Nombre d'analyses et horodatages — compteur d'activité et date de la dernière analyse. Finalité : paliers communautaires et délai de 24 h entre analyses.
- Abonnement et crédits d'analyse — palier d'abonnement actif, date de renouvellement, solde de crédits et badges possédés. Finalité : fourniture de l'analyse « Sourcy » et gestion de la facturation. Base légale : exécution du contrat.
- Vidéos enregistrées (« Ma liste ») et chaînes suivies — identifiants des vidéos et chaînes que vous choisissez de suivre. Finalité : bibliothèque personnelle et notifications. Base légale : exécution du contrat.
- Statut de soutien — indique si un don volontaire a été effectué. Finalité : badge supporter.
- Données techniques de plantage — en cas d'erreur ou de plantage de l'application, un rapport technique (trace d'erreur, modèle d'appareil, version du système et de l'application) est transmis à notre outil de supervision (Sentry). Ces rapports ne contiennent ni votre e-mail, ni votre adresse IP. Finalité : correction des bugs et fiabilité du service. Base légale : intérêt légitime.
- Statistiques d'usage — événements techniques (ex. « analyse lancée », « analyse réussie », version de l'app) enregistrés dans notre propre base de données, associés au compte puis anonymisés à sa suppression. Aucun outil publicitaire tiers. Finalité : amélioration du service. Base légale : intérêt légitime.
Le traitement des paiements (abonnements et achats de crédits) est assuré par Google Play (Google LLC) ; Sourcy ne reçoit ni ne stocke aucune donnée bancaire.
3. Analyse IA : clé personnelle (locale) ou clé Sourcy (serveur)
L'analyse des vidéos fonctionne selon deux modes :
- Clé personnelle (BYOK) — si vous fournissez votre propre clé Google Gemini, elle est stockée chiffrée localement sur votre appareil (mécanisme de sécurité natif du système d'exploitation) et ne transite jamais par nos serveurs. Chaque analyse soumise avec une clé personnelle est journalisée (compte, vidéo, date) pendant 30 jours, afin de prévenir les abus et de limiter le nombre d'analyses par compte ; ce journal est supprimé avec le compte. Base légale : intérêt légitime (sécurité du service).
- Clé « Sourcy » — réservée aux abonnés et détenteurs de crédits. Dans ce mode, l'URL de la vidéo et l'instruction d'analyse sont transmises à nos serveurs, puis à l'API Google Gemini qui réalise l'analyse. Un système de crédits décompte chaque analyse.
La clé d'accès à l'API YouTube (récupération des métadonnées publiques des vidéos) est détenue par Sourcy côté serveur et n'est jamais exposée à l'utilisateur. Seul l'identifiant public de la vidéo est transmis ; aucune donnée de compte n'est envoyée.
3 bis. Extension de navigateur Sourcy
L'extension Sourcy pour navigateur (Chrome et navigateurs compatibles) affiche
l'indice de preuve et les sources d'une vidéo directement sur YouTube. Elle traite
les données de la façon suivante :
- Consultation sans compte — l'affichage du catalogue ne
nécessite aucune connexion et ne collecte aucune donnée personnelle. Seul
l'identifiant public de la vidéo consultée est envoyé à nos serveurs, pour savoir
si elle figure au catalogue.
- Connexion Google (facultative) — nécessaire uniquement pour
lancer une analyse, voter ou proposer une source. Elle utilise le même compte que
l'application ; l'adresse e-mail et le jeton de session sont conservés
localement dans le navigateur et ne sont transmis qu'à Supabase,
notre prestataire d'authentification.
- Clé Gemini personnelle (facultative) — si vous en enregistrez
une, elle est stockée uniquement dans le stockage local de votre
navigateur (
chrome.storage.local), n'est jamais synchronisée
entre appareils, n'est jamais transmise à nos serveurs, et n'est
envoyée qu'à l'API Google Gemini au moment où vous lancez une analyse. Vous pouvez
la retirer à tout moment depuis l'icône de l'extension.
- Aucun suivi — l'extension ne collecte pas votre historique de
navigation, ne lit aucune autre page que YouTube, n'installe aucun traceur et ne
transmet aucune donnée à des tiers publicitaires. Elle n'accède à aucun site en
dehors de
youtube.com, de nos serveurs et de l'API Gemini.
- Contributions — les sources que vous proposez et vos votes sont
publics et associés à votre compte, comme dans l'application. Ils sont anonymisés
à la suppression du compte.
Désinstaller l'extension efface l'ensemble de ces données locales (session et clé
personnelle comprises). La suppression de votre compte s'effectue depuis
l'application ou en nous écrivant (section 6).
4. Sous-traitants
- Supabase Inc. — base de données et authentification. Données hébergées dans l'Union Européenne (eu-west). Certifié SOC 2 Type II.
- Google LLC (Gemini) — analyses IA. En mode « clé Sourcy », l'URL de la vidéo et l'instruction d'analyse transitent par nos serveurs puis l'API Gemini ; en mode clé personnelle, l'appel part directement de votre appareil. Google adhère au Cadre de confidentialité des données UE-États-Unis (DPF, décision d'adéquation du 10 juillet 2023).
- Google LLC (YouTube Data API v3) — métadonnées publiques des vidéos, appelée par nos serveurs avec une clé fournie par Sourcy. Seul l'identifiant public de la vidéo est transmis.
- Google Play (Google LLC) — traitement des paiements (abonnements et crédits). Aucune donnée bancaire n'est transmise à Sourcy.
- Functional Software, Inc. (« Sentry », États-Unis) — supervision technique des plantages. Les rapports d'erreur sont hébergés dans l'Union Européenne (région Allemagne) et configurés sans données personnelles (pas d'e-mail, pas d'adresse IP). Sentry adhère au Cadre de confidentialité des données UE-États-Unis (DPF).
Sourcy utilise les YouTube API Services. En utilisant l'application, vous acceptez également les Conditions d'utilisation de YouTube. Les données traitées par Google le sont conformément à la Politique de confidentialité de Google.
5. Durée de conservation
- Données de compte (e-mail, date de naissance, pseudonyme, compteurs, abonnement, crédits, « Ma liste ») : conservées pendant la durée d'activité, supprimées dans les 30 jours suivant la clôture du compte.
- Votes et sources : conservés indéfiniment pour la continuité communautaire. Anonymisés en cas de suppression de compte.
- Rapports de plantage (Sentry) : conservés 90 jours puis supprimés automatiquement.
- Statistiques d'usage : conservées associées au compte pendant son activité, anonymisées dès la suppression du compte.
6. Vos droits (RGPD) et suppression de compte
Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation, portabilité et opposition.
Suppression de votre compte (effacement direct) : vous pouvez supprimer votre compte et l'ensemble de vos données à tout moment, directement dans l'application — onglet « Mon Profil » → bouton « Supprimer mon compte ». L'action est immédiate et irréversible : e-mail, pseudonyme, crédits, abonnement, vidéos enregistrées et historique sont effacés ; vos votes et sources publiés sont anonymisés (dissociés de votre identifiant). Aucune démarche par e-mail n'est nécessaire. Si vous ne pouvez plus accéder à l'application, écrivez à contact@getsourcy.com et nous procéderons à la suppression sous un (1) mois.
Pour exercer vos autres droits : contact@getsourcy.com
Vous avez également le droit de déposer une réclamation auprès de la CNIL — www.cnil.fr — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
7. Sécurité
Sourcy met en œuvre les mesures suivantes : chiffrement TLS en transit, Row-Level Security Supabase en base, authentification JWT, et stockage chiffré des clés personnelles sur l'appareil. Aucun cookie de tracking publicitaire ni outil d'analyse comportementale tiers n'est utilisé — la supervision technique (Sentry) et les statistiques d'usage internes décrites aux sections 2 et 4 ne servent qu'à la fiabilité et à l'amélioration du service. Vos données personnelles ne sont jamais vendues, louées ni partagées à des tiers à des fins commerciales ou publicitaires.
8. Contact
Pour toute question relative à cette politique : contact@getsourcy.com