Politique de confidentialité

Tov.events collecte les données suivantes :

• Compte de l’organisateur : nom, e-mail, mot de passe (haché, jamais lisible), photo de profil si vous vous connectez avec Google, langue, fuseau horaire et nom d’utilisateur (visible dans l’adresse de vos invitations).
• Sessions de connexion : adresse IP et navigateur de chaque session ouverte, affichés dans vos paramètres pour que vous puissiez les révoquer.
• Clés d’accès (passkey) : si vous en ajoutez une, la clé publique créée par votre appareil, son identifiant, son type et le nom de l’appareil (par exemple « iPhone »). Votre visage, votre empreinte et le code de votre téléphone restent dans l’appareil : Tov ne les reçoit jamais. Une clé est effacée quand vous la supprimez, quand vous réinitialisez votre mot de passe et avec votre compte.
• Événements : titre, date, lieu, description, cérémonies, photos téléchargées, et, si vous les renseignez, votre mémoire familiale (proches, dates de yahrzeit).
• Invités : nom, nom hébreu, téléphone, e-mail, notes et langue, saisis par l’organisateur (à la main, par liste collée, par fichier ou depuis ses contacts).
• Réponses des invités : présence, nombre de personnes, enfants, accompagnants (leur prénom et celui des enfants, si l’invité les donne), message et réponses aux questions sur mesure. Si le formulaire les demande, l’invité peut aussi indiquer un régime cacher et des allergies alimentaires : ce sont des données sensibles (convictions religieuses, santé), saisies volontairement par l’invité pour l’organisation du repas. Elles sont visibles par l’organisateur et par ses éditeurs (y compris dans l’export des réponses et la page traiteur) ; un lecteur n’en voit que les chiffres (combien en glatt, combien d’allergies), sauf si l’organisateur lui ouvre le détail. Quand une réponse est modifiée, la précédente est gardée en archive. Tov n’enregistre pas l’adresse IP des invités avec leur réponse.
• Contacts Google importés : si vous importez vos contacts Google, ils sont copiés dans une zone temporaire, effacée dès que vous les voyez pour faire votre choix ; seuls les contacts que vous choisissez deviennent des invités. Tov ne conserve aucun jeton d’accès Google. Détail au paragraphe 9.
• Carnet : chaque foyer invité à l’une de vos fêtes entre dans votre carnet (« Mon carnet »), visible par vous seulement : nom du foyer, nom hébreu, personnes du foyer (prénom, nom, téléphone, e-mail), groupes que vous créez et note privée (nous vous conseillons de n’y écrire aucune information de santé). Les contacts lus depuis votre téléphone ou un fichier de contacts (.vcf) le sont dans votre navigateur : seuls ceux que vous cochez sont envoyés à Tov. Les invités qu’un co-organisateur ajoute à votre fête entrent dans votre carnet, celui du propriétaire de la fête. Les prénoms et noms que vous écrivez dans « Qui vient » du plan de table, y compris ceux qu’un invité a donnés en répondant et que vous enregistrez, y sont ajoutés aux personnes du foyer.
• Plan de table : pour placer vos invités, vous pouvez poser des étiquettes (« Rabbanim », « Jeunes »…) sur des personnes et sur des tables, faire des groupes dans une famille et, si la salle est séparée (mehitsa), indiquer le côté hommes ou femmes de chaque personne. Tov propose ce côté d’après un prénom clair ou un titre écrit (« Rav », « Mme »), sans intelligence artificielle ; une proposition n’est enregistrée que si vous la confirmez, et un prénom porté par les deux reste à vérifier. Ces informations ne sont visibles que par l’organisateur et ses éditeurs, jamais par un lecteur ni par les invités, et sont effacées avec la fête. Un invité ne voit que le numéro de sa table.
• Cadeaux : si l’organisateur les indique, ses moyens de recevoir un cadeau (numéro Bit ou Wero, lien du QR code Bit — lu sur une capture d’écran qui ne quitte jamais l’appareil de l’organisateur —, lien PayBox, PayPal, Revolut, d’une cagnotte ou d’une liste, IBAN et nom du titulaire), montrés à ses invités ; chaque ajout ou changement est gardé (avant et après) pour l’e-mail de sécurité et le bouton « Ce n’était pas moi ». Quand un invité touche un de ces moyens dans son invitation, Tov l’inscrit dans la page Cadeaux de l’organisateur avec le moyen choisi, la date, le message de sa réponse et, s’il l’écrit, un montant. Ce cadeau n’est visible que par l’organisateur et ses éditeurs, jamais par un lecteur, et n’est jamais publié. Tov ne reçoit, ne transmet ni ne voit jamais l’argent : le paiement se fait dans l’application de l’invité (Bit, PayBox, banque…). L’ordre dans lequel l’invitation présente ces moyens suit le pays de l’invité : celui de son numéro de téléphone si l’organisateur l’a noté, sinon le pays de connexion indiqué par Cloudflare ; ce pays n’est jamais enregistré.
• Prestataires : si l’organisateur les note, le nom de chaque prestataire (salle, traiteur…), son téléphone s’il l’indique, le prix, chaque paiement (montant, date, quel côté de la famille a payé) et, s’il en prend une, la photo du reçu (nettoyée dans le navigateur avant l’envoi, comme les autres photos). Ces données sont visibles par l’organisateur et ses éditeurs ; un lecteur ne voit les dépenses que si l’organisateur coche « Voir les dépenses » pour lui, et jamais le téléphone d’un prestataire ni un reçu. Elles sont effacées avec la fête ; un paiement ou un prestataire supprimé emporte la photo de son reçu. Si l’organisateur d’un mariage partage les dépenses avec l’autre famille, c’est par un lien qu’il peut arrêter à tout moment : la page montre les dépenses et quel côté les a payées, jamais les cadeaux, les invités ni le téléphone d’un prestataire ; la réponse écrite depuis ce lien (« C’est d’accord », « Il manque une dépense » et son mot) est gardée avec la fête, sans nom ni numéro, et n’est jamais mesurée.
• Ouvertures d’invitations : Tov enregistre en interne les ouvertures d’une invitation (pour que l’organisateur sache qui l’a lue), sans cookie et sans accord, avec un identifiant pseudonyme ; ces données ne sont envoyées à aucun tiers. L’organisateur, et ses co-organisateurs qui voient le détail des réponses (éditeurs, ou lecteurs à qui il l’a ouvert), voient quelle famille a ouvert son lien personnel et quand (la première ouverture). Un co-organisateur qui ne voit que les chiffres voit seulement combien de familles l’ont ouvert, jamais lesquelles, et ce total ne lui est montré que s’il ne permet pas de deviner une famille. Un lien personnel transféré à quelqu’un d’autre compte comme une ouverture de la famille ; une ouverture peut, rarement, ne pas être enregistrée.
• Journaux et formulaires : journal des e-mails envoyés (domaine du destinataire seulement), messages de retour (conservés sans votre identité après suppression du compte) et liste d’attente (e-mail, pays, navigateur).
• Mesure d’audience et rapports d’erreurs : uniquement avec votre accord pour le navigateur, voir le paragraphe 6.

Photos. Avant l’envoi, chaque photo est redessinée dans votre navigateur : la position GPS, l’appareil et l’heure de prise de vue qu’elle contient sont retirés. Une photo qui en porte encore est refusée. Seule la date de prise (le jour, jamais l’heure) est lue avant ce nettoyage et gardée avec la photo de votre album : vous pouvez la corriger ou l’effacer dans l’atelier photo ; elle peut s’afficher sur votre invitation (modèle Éphéméride).

Si vous êtes invité. Quand vous répondez à une invitation, votre réponse (présence, nombre de personnes, message et, si vous les indiquez, cacherout et allergies) est enregistrée pour l’organisateur de la fête, qui en décide l’usage. Seuls l’organisateur et ses co-organisateurs la voient ; elle n’est jamais publiée. Pour la faire modifier ou effacer, demandez-le à l’organisateur, ou écrivez à contact@tov.events. Si l’organisateur vous retire de sa liste, votre réponse est effacée avec votre fiche.

Les données sont utilisées pour :

• Fournir le service d’invitations en ligne.
• Permettre la gestion des RSVP et le suivi des confirmations.
• Indiquer à l’organisateur qu’une invitation a été ouverte.
• Envoyer des notifications liées au service à l’organisateur et à ses collaborateurs (confirmations, rappels, alertes de sécurité). Tov n’écrit pas aux invités, sauf un e-mail : si l’organisateur le choisit, le matin de la fête, chaque famille qui vient reçoit sa table (numéro, nom de la table, heure et lieu) à l’adresse e-mail donnée par l’organisateur ou par l’invité ; un lien en bas de cet e-mail suffit pour ne plus en recevoir.
• Envoyer à l’organisateur, au plus une fois tous les 3 jours (sauf l’alerte d’un changement pas encore annoncé aux invités), des conseils écrits à l’avance quand sa fête semble en attente (aucune fête créée, invitation jamais envoyée, envoi commencé puis arrêté, fêtes en double, changement de jour, d’heure ou de lieu pas encore annoncé aux invités). Ces e-mails ne contiennent que des nombres, jamais le nom ni le message d’un invité. L’heure de vos dernières visites nous sert à vous écrire à un moment pratique ; aucun pixel ne mesure leur ouverture, et un lien en bas de chacun suffit pour ne plus les recevoir.
• Assurer la sécurité des comptes et corriger les erreurs du service.
• Avec votre accord, mesurer la fréquentation du site public.

Le traitement des données repose sur l’exécution du contrat de service (création de compte, acceptation des CGU), sur l’intérêt légitime d’assurer la sécurité du service et de vous aider à mener votre fête à bien (conseils par e-mail, auxquels vous renoncez en un clic), et sur votre consentement pour la mesure d’audience et les rapports d’erreurs du navigateur. Les données des invités sont saisies par l’organisateur, qui décide de qui il invite, ou par l’invité lui-même quand il répond.

Vos fêtes sont conservées tant que vous ne les supprimez pas. Une fête et ses données (invités, réponses, messages, cadeaux…) restent conservées tant que son propriétaire ne la supprime pas ; il peut le faire à tout moment : la fête passe alors 30 jours dans une corbeille, fermée aux invités et restaurable par lui, puis elle est effacée. Les mesures d’ouverture des invitations sont conservées un an. La copie temporaire des contacts Google importés est effacée dès son affichage, ou, si elle n’est jamais ouverte, par le nettoyage suivant une fois passée une heure (paragraphe 9) ; les sessions de connexion durent 30 jours, puis les sessions expirées sont effacées ; les compteurs d’usage quotidiens (textes rédigés par l’IA, invitations de co-organisateurs), qui servent aux plafonds, sont effacés après 30 jours. Les liens de connexion et de réinitialisation du mot de passe sont effacés un jour après leur expiration. Le compte des essais de connexion par clé d’accès, qui sert à bloquer les essais répétés, est effacé à la connexion réussie suivante, sinon un jour après la fin de sa fenêtre de 15 minutes. Les anciennes réponses, gardées quand un invité change d’avis, sont effacées après 180 jours ; les notifications, le journal des e-mails (domaine seulement), le registre des conseils envoyés par e-mail et la liste d’attente, après un an ; les messages de retour, après deux ans. Le journal des actions de l’équipe Tov sur un compte ou une fête (assistance, suppression, restauration), tenu pour la sécurité, garde seulement des identifiants, le type de navigateur et le pays ; il est effacé après deux ans. Quand un organisateur change l’adresse de ses invitations (@nom) ou supprime son compte, l’ancienne adresse est gardée sous forme d’empreinte (jamais en clair), sans limite de durée, pour qu’aucun autre compte ne puisse la reprendre et que les liens déjà envoyés ne mènent jamais chez quelqu’un d’autre.

Votre carnet est conservé tant que vous ne le videz pas. Supprimer une fête n’efface pas les foyers de votre carnet. Supprimer une fiche la retire du carnet ; les fêtes gardent leurs invités, sauf si vous cochez « Supprimer aussi de toutes mes fêtes » (demande d’effacement : le foyer et ses réponses disparaissent alors de toutes vos fêtes). Supprimer votre compte efface votre carnet.

Supprimer une fête efface sa page, ses moments, ses invités et leurs réponses ; les photos de la fête sont effacées du stockage en même temps. Son propriétaire peut le faire à tout moment. Supprimer un invité efface aussi sa réponse et ses anciennes réponses.

Le récapitulatif après la fête est privé par défaut. Pour les fêtes créées depuis le 1er octobre 2026, la page souvenir n’est visible que si l’organisateur la publie lui-même ; elle montre alors le bilan et les photos approuvées ; les messages des invités n’y figurent pas. Elle n’est jamais indexée par les moteurs de recherche. L’organisateur peut la masquer de nouveau à tout moment.

Supprimer votre compte (Paramètres, Confidentialité) demande une confirmation par e-mail, valable une heure, puis efface immédiatement le compte, ses fêtes, ses invités et leurs réponses. Subsistent : les messages de retour (sans votre identité, au plus deux ans), les comptages d’ouvertures (pseudonymes), le journal des e-mails (domaine seulement, au plus un an), la liste d’attente (au plus un an) et l’historique technique de la base de données, qui permet de restaurer les six dernières heures. Les fichiers des photos sont effacés avec la fête ; après une suppression de compte, au plus tard sous 24 heures.

Tov ne vend jamais vos données : elles ne servent qu’à votre fête et au fonctionnement du service. Elles sont confiées aux prestataires suivants, chacun pour sa seule fonction :

• Cloudflare : hébergement et exécution du site (réseau mondial), stockage des photos, et protection anti-robots Turnstile sur l’inscription, le mot de passe oublié et le formulaire de réponse des invités.
• Neon : base de données (Union européenne, Francfort).
• Resend : envoi des e-mails de service à l’organisateur et à ses collaborateurs et, si l’organisateur le choisit, de l’e-mail « Votre table » aux invités le matin de la fête.
• Inngest : tâches planifiées (rappels, résumés, remerciements).
• Google : connexion avec Google, import de vos contacts à votre demande, saisie d’adresses (Google Maps) et, avec votre accord, Google Analytics.
• Google (Gemini) : aide à l’écriture, uniquement quand vous la demandez (bouton « Écrire avec Tov » ou de l’assistant), et traduction de vos textes, à votre demande puis automatiquement lorsque votre invitation est lue dans une autre langue ; Tov n’envoie que les textes nécessaires et le type de fête, jamais les prénoms (remplacés avant l’envoi) ni les coordonnées de vos invités. Seule exception : quand vous donnez une consigne ou posez une question à l’assistant du plan de table (Tovy), Google reçoit, pour la comprendre, votre consigne, les dernières lignes de la conversation en cours (six au plus) et les noms et prénoms des familles du moment, leur côté, leurs étiquettes et les tables — jamais un régime, une allergie, un message, une note privée, un téléphone ni un e-mail. Tov ne garde pas cette conversation : elle s’efface quand vous quittez le plan. Ce que fait l’assistant s’applique tout de suite dans le plan et s’annule d’un geste.
• PostHog (serveurs européens) : avec votre accord, mesure de l’usage du site.
• Sentry : rapports d’erreurs techniques du serveur et, avec votre accord, du navigateur.
• Services de notification de votre navigateur : si vous activez les notifications.
• UptimeRobot : surveillance de la disponibilité du site (adresse publique seulement).
• Hostinger : boîte de messagerie contact@tov.events.

Certains de ces prestataires peuvent traiter des données en dehors de l’Union européenne (Google Analytics, notamment, aux États-Unis, dans le cadre du Data Privacy Framework UE–États-Unis ; le traitement de vos textes par Google (Gemini) peut aussi avoir lieu hors de l’Union européenne). Nous communiquons aussi des données aux autorités compétentes en cas d’obligation légale. Enfin, l’équipe Tov peut ouvrir temporairement (deux heures) l’espace d’un organisateur pour du support technique.

Cookies essentiels (sans accord) : cookie de session (30 jours, inaccessible au JavaScript), cache de session (1 heure), deux cookies techniques pendant l’ajout ou l’utilisation d’une clé d’accès (10 minutes au plus) et, pour l’équipe Tov en support, un cookie temporaire (2 heures).

Stockage local du navigateur (sans accord) : ce ne sont pas des cookies. Tov y garde votre choix de cookies, la langue de l’espace organisateur, l’état « connecté », l’état de la barre latérale, l’enveloppe ouverte d’une invitation, votre préférence de musique, et si cet appareil a déjà une clé d’accès pour Tov (et si elle vous a déjà été proposée). Rien n’en sort de votre appareil.

Mesure d’audience (avec votre accord) : la catégorie « Mesure d’audience » du bandeau couvre trois outils :

• Google Analytics : pages vues du site public, avec les cookies de Google. Google peut traiter ces données aux États-Unis. Les signaux Google et la personnalisation publicitaire sont désactivés.
• PostHog : usage du site et des parcours (serveurs européens), avec le stockage propre de PostHog dans votre navigateur.
• Sentry : rapports d’erreurs du navigateur, chargés à la première erreur, avec une relecture de l’écran (tous les textes masqués, médias bloqués) pour une partie des sessions et pour toute session en erreur.

Ces trois outils ne tournent jamais sur les invitations, dans l’espace organisateur, sur la connexion, les brouillons ni les pages de collaboration, et jamais sur une adresse contenant un lien personnel. Aucun cookie publicitaire n’est utilisé. Vous pouvez retirer votre accord à tout moment depuis les paramètres de votre espace ou en effaçant les données du site dans votre navigateur ; le bandeau « Gestion des cookies » reparaît alors.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d’accès : obtenir une copie de vos données personnelles.
• Droit de rectification : corriger vos données inexactes.
• Droit de suppression : supprimer une fête ou votre compte depuis vos paramètres (voir le paragraphe 4).
• Droit de portabilité : recevoir vos données dans un format structuré et lisible par machine (export JSON des fêtes dont vous êtes propriétaire, sans les fichiers photo, depuis vos paramètres ; export CSV des réponses).
• Droit d’opposition : vous opposer au traitement de vos données.

Si vous êtes invité, vous pouvez vous adresser à l’organisateur de la fête ou à nous. Pour exercer ces droits, contactez-nous à contact@tov.events.

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données : hachage des mots de passe, sessions signées dans un cookie inaccessible au JavaScript, protection CSRF, validation systématique des entrées, limitation du débit (rate-limit) et défi anti-robots Cloudflare Turnstile sur l’inscription, la récupération de mot de passe et le formulaire de réponse des invités. Les réponses des invités sont visibles selon le rôle (propriétaire, éditeur, lecteur) que l’organisateur attribue à ses collaborateurs.

Tov.events propose deux fonctions qui passent par votre compte Google. Elles ne servent que si vous les choisissez.

• Se connecter avec Google : Tov demande à Google votre identité de base seulement (autorisations « openid », « email » et « profile ») : votre nom, votre adresse e-mail, votre photo de profil et l’identifiant de votre compte Google. Elles servent uniquement à créer votre compte Tov et à vous connecter. Tov n’enregistre aucun jeton d’accès Google : ceux que Google transmet à la connexion sont écartés avant tout enregistrement.
• Importer vos contacts Google (page « Inviter » d’une fête, ou « Importer des contacts » de Mon carnet, seulement si vous cliquez sur ce bouton) : Tov demande l’accès à vos contacts en lecture seule (autorisation « contacts.readonly ») et lit, pour chaque contact, son nom, son numéro de téléphone principal et son adresse e-mail principale, rien d’autre, dans la limite de 2 000 contacts. Tov ne modifie ni ne supprime jamais vos contacts chez Google. Le jeton d’accès ne sert que le temps de cette lecture : il n’est jamais enregistré, et Tov ne demande aucun accès durable.

Utilisation et stockage : vos contacts servent uniquement à vous laisser choisir qui inviter ou qui ajouter à votre carnet. La liste lue chez Google est copiée dans une zone temporaire de notre base de données, liée à votre compte (et à votre fête, si l’import part d’une fête). Elle est effacée dès que la liste de choix s’affiche pour vous, aussitôt après votre retour de Google ; une liste qui n’aurait pas été ouverte est effacée par le nettoyage suivant, une fois passée une heure. Seuls les contacts que vous cochez deviennent des invités de votre fête ou des fiches de votre carnet ; les autres ne sont pas conservés. Ces invités et ces fiches sont ensuite traités comme ceux saisis à la main (paragraphes 1 et 4).

Transfert à des tiers : les données reçues de Google ne sont jamais vendues, jamais utilisées pour de la publicité (ni ciblage, ni reciblage, ni publicité personnalisée), jamais utilisées pour évaluer une solvabilité, et jamais transmises à des régies publicitaires ou à des courtiers en données. Elles ne servent pas à entraîner un modèle d’intelligence artificielle. Elles ne sont transférées à personne, sauf aux prestataires techniques qui font fonctionner le service (Cloudflare pour l’hébergement, Neon pour la base de données, voir le paragraphe 5), lorsque c’est nécessaire à la sécurité du service, ou lorsque la loi l’exige.

Lecture par une personne : personne chez Tov ne lit vos contacts Google. Les invités que vous avez choisis ne sont consultés par l’équipe Tov que si vous demandez de l’aide au support (paragraphe 5), pour la sécurité du service, ou pour respecter la loi.

Retirer l’accès et effacer ces données : vous pouvez retirer à tout moment l’accès de Tov.events à votre compte Google sur myaccount.google.com/permissions. Retirer l’accès n’efface pas ce que vous avez déjà choisi chez Tov : supprimez les invités concernés ou la fête dans votre espace, ou supprimez votre compte (Paramètres, Confidentialité) pour effacer le nom, l’e-mail et la photo reçus de Google (paragraphe 4). Vous pouvez aussi nous écrire à contact@tov.events.

Engagement « Limited Use » : l’utilisation par Tov.events des informations reçues des API Google, et leur transfert à toute autre application, respectent la Google API Services User Data Policy, y compris les exigences « Limited Use ». Texte de référence : « Tov.events’ use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. »