Politique de confidentialité de shTime
Version 1.1 du 16 septembre 2026, en vigueur le 1er novembre 2026
En deux phrases
Nous conservons vos contenus jusqu'à leur date de remise, puis nous les remettons. Nous ne les lisons pas, nous ne les vendons pas, nous ne les cédons à personne, et nous ne les utilisons pas pour entraîner des modèles d'intelligence artificielle. Il n'y a sur ce site ni traceur, ni mesure d'audience, ni cookie publicitaire, donc aucun bandeau à cliquer.
1. Qui est responsable
Le responsable de traitement est shTime, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 109 018 473, dont le siège est 18 rue Bayard, 75008 Paris, France.
Contact pour toute question relative à vos données : contact@shtime.fr.
Nous n'avons pas désigné de délégué à la protection des données : notre activité ne relève d'aucun des cas où l'article 37 du RGPD l'impose. Cela ne change rien à vos droits, ni au fait qu'une personne réponde à contact@shtime.fr.
2. Les personnes concernées : il y en a quatre
Cette distinction gouverne tout le reste du document.
| Qui | Comment ses données arrivent | Ce qui suit |
|---|---|---|
| Vous, qui écrivez | Vous les fournissez en créant votre compte. | §3 |
| Le destinataire | Quelqu'un d'autre les a fournies. Il n'a rien demandé, rien signé, et le plus souvent ne sait pas que ce jardin existe. | §4, le cas le plus délicat |
| Le contributeur | Il a accepté une invitation et créé son compte. Il est alors traité comme vous. | §3 |
| Le témoin | Vous l'avez désigné, avec son prénom et son adresse électronique. Il en est informé aussitôt, peut refuser, et n'accède jamais à vos pierres blanches. | §4 bis |
3. Ce que nous traitons vous concernant
| Données | Pourquoi | Base légale | Combien de temps |
|---|---|---|---|
| Adresse électronique, mot de passe (haché) | Vous identifier, vous permettre de revenir | Exécution du contrat (art. 6.1.b RGPD) | Jusqu'à suppression du compte |
| Nom d'affichage | Signer vos pierres blanches, apparaître auprès des contributeurs | Contrat | Idem |
| Numéro de mobile (facultatif) | Second facteur pour les modifications sensibles, et rien d'autre | Intérêt légitime : protéger des actions difficiles à défaire | Jusqu'à suppression, ou retrait de votre part |
| Vos contenus : mots, lettres, photos, voix | Les conserver, les rendre lisibles le jour venu, les remettre | Contrat | Jusqu'à la remise, parfois des décennies. Puis §6. |
| Repères, dates, règles de remise | Savoir quand remettre | Contrat | Idem |
| Date de votre dernier signe de vie (ouverture de l'application, au plus une fois par jour ; dépôt d'une pierre blanche ; confirmation de la révision annuelle) | Savoir, si vous avez désigné un témoin, quand vous demander de vos nouvelles (§4 bis) | Intérêt légitime : qu'une remise posthume ne reste pas sans personne pour la corriger | Tant que le compte existe |
| État du compteur de silence (seulement si vous avez désigné un témoin) | Savoir quand interroger vos témoins (§4 bis) | Contrat : c'est vous qui avez demandé ce cercle | Tant que le compte existe |
| Données de facturation | Vous facturer, tenir la comptabilité | Obligation légale (art. 6.1.c) et contrat | 10 ans (art. L. 123-22 du code de commerce) |
| Journaux techniques : adresse IP, horodatage, erreurs | Sécurité, prévention des abus, diagnostic | Intérêt légitime | 12 mois |
Nous ne collectons rien d'autre. Pas de données de navigation, pas de profil publicitaire, pas de mesure d'audience.
Nous ne lisons pas vos contenus. L'accès technique existe (il faut bien stocker des octets), mais aucune consultation n'a lieu, sauf sur signalement d'un contenu manifestement illicite (article 9 des CGV) ou sur réquisition judiciaire.
3 bis. L'application installée sur votre téléphone
Cette politique couvre de la même façon le site, l'application iPhone et l'application Android. Ce sont la même chose : un seul service, un seul compte, les mêmes données. L'application ne collecte rien de plus que le site, mais elle demande à votre téléphone des autorisations, et il faut dire lesquelles et pourquoi.
| Ce que l'application demande | Pourquoi | Quand |
|---|---|---|
| Le microphone | Enregistrer les messages vocaux que vous déposez | À votre premier enregistrement, jamais avant |
| Vos photos et vidéos | Joindre une image ou une vidéo à une pierre blanche. Nous n'accédons qu'aux fichiers que vous désignez, jamais à votre bibliothèque | Au moment où vous choisissez un fichier |
| L'appareil photo (iPhone) | Prendre une photo ou filmer sur le moment plutôt que de fouiller sa bibliothèque | Si vous choisissez de filmer ou photographier depuis l'application |
| Écrire un fichier | Déposer l'archive de vos jardins quand vous demandez à tout exporter | Au moment de l'export, dans vos Téléchargements ou vos Fichiers |
| Les notifications (iPhone uniquement) | Vous prévenir qu'une pierre blanche a été remise. L'application Android n'envoie aucune notification | Si vous les acceptez |
Un refus de votre part n'a d'autre conséquence que la fonction concernée : refuser le microphone n'empêche pas d'écrire, refuser les notifications n'empêche rien du tout.
Ce que l'application ne fait pas : elle ne connaît pas votre position, ne lit pas vos contacts, ne lit pas votre bibliothèque de photos, n'utilise aucun identifiant publicitaire et n'embarque aucun outil de mesure d'audience ni aucune trousse logicielle tierce. Vos contenus partent vers nos serveurs et vers eux seuls.
Deux envois techniques, et rien d'autre : lorsqu'une erreur survient, l'application nous transmet le message d'erreur et le nom de l'écran concerné ; à l'ouverture, elle signale une visite en indiquant seulement la plateforme (ordinateur, iPhone, Android). Ni l'un ni l'autre ne contient d'identifiant, et ces journaux sont effacés au bout de douze mois (§6).
Les achats : sur iPhone, l'abonnement se souscrit par l'App Store, et Apple ne nous communique aucune donnée bancaire — nous n'en voyons jamais. L'application Android ne propose aucun achat : les offres y sont affichées à titre d'information, et se souscrivent depuis le site.
4. Le destinataire : la question la plus difficile de ce produit
Un destinataire n'a rien demandé. Nous détenons pourtant son nom, son adresse électronique, parfois sa date de naissance, et des contenus qui parlent de lui. Il faut expliquer précisément à quel titre.
Ce que nous détenons, et pourquoi
Nom, adresse électronique (et adresse de secours), date de naissance lorsqu'elle est fournie, car elle sert à traduire un repère comme « ses 18 ans » en une date réelle.
Base légale : l'intérêt légitime (art. 6.1.f du RGPD). L'intérêt en question est celui, ancien et parfaitement licite, d'écrire à quelqu'un. Une lettre confiée à un tiers pour être remise plus tard n'a jamais supposé l'accord préalable de son destinataire. Nous avons mis en balance cet intérêt avec les droits du destinataire et retenu trois garanties qui font pencher la balance : elles ne sont pas décoratives, elles sont la condition de la licéité du traitement :
- Rien ne lui est révélé avant la date choisie. Ni l'existence du jardin, ni son contenu, ni son auteur. Aucune notification, aucun message d'attente.
- Un refus, et tout s'arrête. Chaque pli comporte un moyen de refuser, d'un seul geste, sans compte à créer. Le refus est définitif, immédiat, et s'impose à l'expéditeur : plus rien ne sera remis à cette personne, jamais.
- Il peut demander l'effacement de ce qui le concerne, et nous l'exécutons.
Pourquoi nous ne l'informons pas d'avance
L'article 14 du RGPD impose en principe d'informer une personne dont les données ont été obtenues auprès d'un tiers. Nous ne le faisons pas avant la remise, et il faut dire franchement sur quoi nous nous appuyons.
L'article 14.5.b prévoit une exception lorsque l'information « est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs » du traitement. C'est exactement le cas ici : prévenir quelqu'un qu'un message l'attend dans vingt ans détruit ce qui est remis. L'objet même du service est la remise différée ; une information préalable le viderait de sa substance.
Nous compensons par ce qui suit, et nous considérons que l'équilibre y est :
- l'information intégrale est délivrée au premier pli : qui l'a écrit, quand, pourquoi nous détenons son adresse, et tous ses droits ;
- le refus est disponible dans ce même pli, avant même d'avoir à lire quoi que ce soit ;
- la présente politique est publique et accessible sans compte.
Ce qu'il peut faire, concrètement
Écrire à contact@shtime.fr depuis l'adresse concernée suffit à obtenir l'accès, la rectification, l'effacement, ou l'arrêt définitif de toute remise. Aucun compte n'est nécessaire.
4 bis. Le témoin : une personne que vous avez choisie
Vous pouvez désigner un à trois témoins : des personnes de confiance à qui nous demanderions de vos nouvelles si vous cessiez de donner signe de vie, et qui pourraient, si vous n'étiez plus là, corriger l'adresse d'un destinataire pour que vos pierres blanches arrivent quand même. C'est une fonction que vous choisissez ; sans témoin, rien de ce qui suit n'existe.
Ce que nous détenons, et pourquoi
| Données | Pourquoi | Base légale | Combien de temps |
|---|---|---|---|
| Prénom, adresse électronique et langue de vos témoins (un à trois) | Les informer de leur désignation ; leur demander si vous allez bien après douze mois sans signe de vie de votre part ; puis leur permettre de corriger l'adresse d'un destinataire, et jamais de lire une pierre blanche | Intérêt légitime (art. 6.1.f du RGPD) : garantir la remise que vous nous avez confiée | Tant que votre compte existe ; effacement dès que le témoin refuse ou que vous le retirez |
| Journal des corrections faites par vos témoins : qui a changé quelle adresse, quand, ancienne et nouvelle valeur | Que chaque témoin, et vous-même, voyiez ce qui a été fait | Intérêt légitime : rendre le geste vérifiable par les autres | Conservé avec le compte, supprimé avec lui |
L'intérêt légitime est ici le vôtre et le nôtre : qu'une lettre écrite pour être remise après vous ne se perde pas sur une adresse morte. Nous l'avons mis en balance avec les droits du témoin, et ce qui fait pencher la balance est l'étroitesse de ce qui lui est demandé : rien aujourd'hui, un mot un jour peut-être, et une correction d'adresse au pire.
Il est informé dès le premier jour
Contrairement au destinataire, le témoin est informé dès sa désignation : il reçoit aussitôt un courriel qui dit qui l'a désigné, ce que cela engage, ce qu'il pourra faire, ce qu'il ne verra jamais, et comment refuser. L'article 14 du RGPD s'applique ici pleinement, sans l'exception du §4 : rien ne serait compromis par cette information, elle est même le point de départ.
Ce qu'il peut faire, et ce qu'il ne peut pas
- Refuser, d'un clic, sans compte à créer. Ses données sont alors effacées et vous en êtes informé.
- Dire si vous allez bien, lorsque nous le lui demandons, d'un clic également.
- Corriger l'adresse d'un destinataire, mais seulement une fois le relais passé, depuis l'application, connecté avec un compte à sa propre adresse et après une vérification par code. Un lien reçu par courriel ne permet jamais de modifier une adresse.
- Il ne peut jamais lire vos contenus, ni changer une date de remise, ni rétablir un destinataire qui a refusé.
Vous pouvez retirer un témoin à tout moment depuis l'application. Écrire à contact@shtime.fr depuis l'adresse concernée suffit au témoin pour obtenir l'accès, la rectification ou l'effacement de ce qui le concerne.
5. Qui d'autre voit ces données
Nous ne vendons, ne louons et n'échangeons aucune donnée. Nous faisons appel aux prestataires strictement nécessaires au fonctionnement, tous liés par contrat et n'agissant que sur nos instructions :
| Prestataire | Rôle | Où | Encadrement du transfert |
|---|---|---|---|
| Supabase | Base de données, comptes, stockage des fichiers | Union européenne, Irlande (eu-west-1) | Données stockées dans l'Union. Clauses contractuelles types pour tout accès depuis les États-Unis |
| Railway | Hébergement de l'application et du moteur de remise | États-Unis | Clauses contractuelles types (décision d'exécution (UE) 2021/914) |
| Postmark (ActiveCampaign) | Envoi des courriels : plis, codes de vérification, invitations, courriels à vos témoins | États-Unis | Clauses contractuelles types (décision d'exécution (UE) 2021/914) |
| Stripe Payments Europe, Ltd. | Paiement des abonnements | Irlande | Aucun transfert hors UE pour le traitement principal |
Vos coordonnées bancaires ne nous parviennent jamais. Elles sont saisies sur une page tenue par Stripe. Nous ne les voyons pas, ne les stockons pas, et ne pourrions pas les communiquer.
6. Combien de temps nous gardons quoi
Le point où shTime diffère de tout autre service : nous conservons volontairement très longtemps, parce que c'est l'objet du contrat. Cette durée n'est donc pas excessive au sens de l'article 5.1.e : elle est exactement celle que la finalité exige.
| Situation | Ce qui se passe |
|---|---|
| Pierre blanche en attente | Conservé jusqu'à sa date de remise, même dans quarante ans |
| Pierre blanche remise | Reste accessible au destinataire 12 mois par son lien, et dans votre compte tant qu'il existe |
| Fin d'abonnement | Tout reste lisible et exportable 12 mois ; les pierres blanches déjà déposées partent quand même (article 12 des CGV) |
| Passé ces 12 mois | Après deux relances, les contenus sans remise programmée peuvent être supprimés |
| Suppression du compte | Effacement immédiat et définitif : jardins, pierres blanches, fichiers. Plus rien n'est remis ensuite. |
| Refus d'un destinataire | Son adresse est conservée uniquement pour garantir que plus rien ne lui soit envoyé : c'est une liste d'opposition, et rien d'autre |
| Facturation | 10 ans, obligation comptable |
| Journaux techniques | 12 mois |
7. Comment c'est protégé
- Chiffrement en transit (HTTPS partout) et au repos chez l'hébergeur.
- Cloisonnement en base de données : chaque compte ne peut lire que ce qui lui revient, et cette règle est appliquée par le serveur de base lui-même, pas par l'interface, qui pourrait être contournée.
- Vérification supplémentaire par code avant toute modification d'une règle de remise.
- Mots de passe hachés, jamais stockés en clair, jamais consultables par nous.
- Contrôle de lisibilité avant chaque remise : un contenu illisible n'est pas envoyé, il est d'abord réparé.
Aucune protection n'est absolue. En cas de violation de données susceptible d'engendrer un risque élevé pour vous, nous vous préviendrons directement, et nous informerons la CNIL dans les 72 heures, conformément aux articles 33 et 34 du RGPD.
8. Cookies et traceurs
Il n'y en a pas. Ni mesure d'audience, ni régie publicitaire, ni bouton de réseau social, ni police de caractères chargée depuis un tiers.
Nous utilisons uniquement le stockage local de votre navigateur pour deux choses :
- garder votre session ouverte, pour ne pas vous redemander votre mot de passe à chaque page ;
- retenir qu'une vérification par code a eu lieu, pendant quinze minutes.
Ces usages sont strictement nécessaires au service que vous demandez. Ils relèvent de l'exemption prévue à l'article 82 de la loi Informatique et Libertés : aucun consentement n'est requis, donc aucun bandeau ne vous est imposé. C'est volontaire.
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 22 du RGPD), ainsi que du droit de définir des directives post-mortem (article 85 de la loi Informatique et Libertés).
Deux d'entre eux ne demandent pas de nous écrire, parce qu'ils sont dans le produit :
- Portabilité : le bouton « Exporter mes jardins » produit une archive complète de tous vos contenus, dans des formats ouverts, à tout moment.
- Effacement : « Supprimer mon compte » efface tout, définitivement.
Pour les autres : contact@shtime.fr. Nous répondons sous un mois, prolongeable de deux mois pour les demandes complexes, auquel cas nous vous en informerons.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) ou déposer une plainte sur cnil.fr.
10. Âge
L'offre gratuite est ouverte à partir de 15 ans, âge auquel le droit français reconnaît le consentement autonome au traitement des données personnelles (article 8 du RGPD, article 45 de la loi Informatique et Libertés). Les offres payantes sont réservées aux personnes majeures.
Si nous apprenons qu'un compte a été créé par un enfant de moins de 15 ans sans l'accord de ses parents, nous le supprimons.
11. Décisions automatisées
Aucune décision produisant des effets juridiques à votre égard n'est prise de manière automatisée. Le moteur qui déclenche les remises applique la règle que vous avez choisie : il exécute, il ne décide pas.
12. Modification de cette politique
Toute modification substantielle vous est notifiée par courriel au moins un mois avant son entrée en vigueur. La version en vigueur est toujours celle publiée sur cette page, avec sa date.