Politique de confidentialité

Qui est responsable

Minara est un produit de YZO Labs, société par actions simplifiée (SAS) immatriculée au RCS de Paris sous le numéro 105 133 094, dont le siège est situé 229 rue Saint-Honoré, 75001 Paris, France (« Minara », « nous »). YZO Labs est responsable des données personnelles décrites ici : le « responsable du traitement », au sens du Règlement général sur la protection des données (RGPD). Voir aussi nos mentions légales.

Pour toute question ou demande sur vos données, écrivez à support@minarafoundation.com. Nous n’avons pas désigné de délégué à la protection des données : toutes les demandes sont à adresser à cette adresse.

Cette politique couvre le site minarafoundation.com, l’application Minara pour iPhone et Apple Watch, l’application Minara pour Android et le tableau de bord qu’utilisent les mosquées pour gérer leur page. Quand l’un d’eux fonctionne différemment, nous le précisons.

L’essentiel

• Vous pouvez consulter les horaires de prière, la qibla, la bibliothèque et l’annuaire des mosquées sans compte.
• Votre position, les prières que vous cochez, votre avancement dans les routines et vos réglages restent dans votre navigateur ou sur votre téléphone.
• Si vous créez un compte, nous conservons votre adresse e-mail et ce que vous choisissez de synchroniser : les mosquées que vous suivez, vos invocations favorites et vos routines. Vous pouvez le supprimer à tout moment depuis la page Compte ou dans l’application.
• Les responsables de mosquée nous en confient davantage : qui ils sont, et la preuve qu’ils gèrent bien la mosquée, pour que personne ne puisse s’approprier sa page.
• Avec votre accord, nous utilisons Google Analytics sur le site et Firebase Analytics dans l’application iPhone pour comprendre comment Minara est utilisée. Nous ne vendons pas de données, n’affichons pas de publicité et ne constituons pas de profils publicitaires.

Quand vous visitez le site

Ce qui reste dans votre navigateur

Vos réglages (ville et coordonnées, méthode de calcul, format de l’heure, préférences d’affichage), les prières que vous cochez, votre avancement dans les routines et, tant que vous n’êtes pas connecté, vos favoris, vos routines et les mosquées que vous suivez sont enregistrés dans le stockage local de votre navigateur. Ils ne nous sont pas envoyés. Vous pouvez les effacer à tout moment en supprimant les données de ce site dans votre navigateur.

Votre position

Vous pouvez saisir une ville ou laisser votre navigateur partager votre position. Les horaires de prière sont ensuite calculés dans votre navigateur. Pour le reste, quelques services reçoivent des coordonnées ou ce que vous tapez :

• Mapbox traduit des coordonnées en nom de lieu, trouve les lieux que vous cherchez et affiche les cartes.
• timeapi.io indique le fuseau horaire d’un lieu.
• Notre serveur, quand vous cherchez des mosquées à proximité : il reçoit la zone affichée sur la carte, ou votre position approximative, pour interroger notre annuaire et OpenStreetMap. Il ne la conserve pas, et il interroge le service Overpass d’OpenStreetMap par carrés de carte entiers, jamais à votre sujet.

Les requêtes vers Mapbox et timeapi.io partent directement de votre navigateur : ces services voient donc aussi votre adresse IP, comme tout site que vous chargez.

Langue

Nous retenons la langue choisie dans un cookie nommé NEXT_LOCALE, pendant un an. Lors de votre première visite, notre hébergeur nous indique le pays de votre adresse IP, uniquement pour ouvrir le site en français dans les pays francophones. Nous ne le conservons pas.

Journaux techniques

Comme pour tout site web, notre hébergeur Vercel traite votre adresse IP, le type de votre navigateur et les adresses demandées (qui, pour la recherche de mosquées, peuvent contenir des coordonnées) afin de servir le site, de le sécuriser et de corriger les erreurs. Ces journaux sont conservés 6 mois au plus.

Signaler un problème sur une mosquée

Si vous signalez un problème sur la page d’une mosquée, nous conservons le motif, votre message, la mosquée concernée, votre langue, les photos ou fichiers PDF que vous joignez et, si vous l’indiquez, votre adresse e-mail pour vous répondre. Seule l’équipe Minara le lit. Pour limiter les abus, les signalements avec pièces jointes sont comptés par expéditeur pendant une heure à l’aide d’une empreinte chiffrée de votre adresse IP qui change chaque jour ; l’adresse elle-même n’est jamais conservée, et ce décompte est supprimé au bout d’un jour.

Être prévenu quand une mosquée arrive

Sur la page d’une mosquée qui n’est pas encore sur Minara, vous pouvez demander à être prévenu quand elle arrive. Si vous êtes connecté, nous utilisons l’adresse e-mail de votre compte. Sinon, vous nous donnez une adresse e-mail : nous la conservons avec la mosquée concernée et votre langue, et nous vous envoyons un lien pour confirmer qu’elle est bien à vous. Le seul but est de vous envoyer un e-mail quand cette mosquée rejoint Minara. Notre base légale est votre consentement, que vous confirmez en ouvrant le lien. Si vous ne l’ouvrez pas sous 48 heures, nous supprimons l’adresse. Une fois l’e-mail envoyé, nous supprimons aussi l’adresse ; seul le nombre de personnes qui attendaient est conservé. Chaque e-mail contient un lien « Me retirer de cette liste » qui supprime aussitôt votre inscription, et vous pouvez aussi nous écrire. Pour limiter les abus, les inscriptions sont comptées par expéditeur pendant une heure à l’aide d’une empreinte chiffrée de votre adresse IP qui change chaque jour ; l’adresse elle-même n’est jamais conservée. Les e-mails sont envoyés par Resend.

Si vous créez un compte

Le compte est facultatif. Il synchronise vos mosquées et votre bibliothèque entre le site et l’application.

Connexion

Vous pouvez vous connecter avec votre adresse e-mail (nous vous envoyons un code ou un lien à usage unique), avec Apple ou avec Google. La connexion est gérée par Supabase. Nous recevons votre adresse e-mail et un identifiant de compte ; avec Google, Supabase conserve aussi le nom et le lien de la photo de profil que Google transmet. Avec Apple, vous pouvez masquer votre véritable adresse derrière une adresse relais d’Apple. Nous ne voyons jamais votre mot de passe Apple ou Google. Sur le site, des cookies de session vous gardent connecté.

Ce qui est synchronisé

• Les mosquées que vous suivez : pour chacune, son nom, sa ville et sa position, s’il s’agit de votre mosquée principale et si vous souhaitez ses notifications.
• Deux réglages : utiliser ou non les horaires de votre mosquée, et votre rappel avant l’iqama.
• Votre bibliothèque : vos invocations favorites, les routines que vous créez (noms, descriptions et réglages de rappel), vos modifications de la routine du matin et l’ordre de vos routines.

Votre position, les prières cochées, votre avancement dans les routines et vos autres réglages ne sont pas synchronisés : ils restent sur chaque appareil. Nous n’utilisons les données synchronisées que pour assurer la synchronisation que vous avez demandée.

Supprimer votre compte

La suppression du compte, depuis la page Compte ou les réglages de l’application, efface vos mosquées suivies, vos réglages synchronisés, vos favoris et vos routines, puis votre identifiant de connexion. Dans l’application, si vous vous êtes connecté avec Apple, nous demandons aussi à Apple de révoquer l’accès de Minara. Ce qui est enregistré sur vos appareils y reste jusqu’à ce que vous l’effaciez. Si vous gérez aussi une mosquée, votre identifiant est conservé, car il donne accès à votre tableau de bord : écrivez-nous pour le faire supprimer.

Dans l’application Minara

L’application fonctionne comme le site, avec quelques ajouts. Les horaires de prière, les alarmes, les widgets, l’application Apple Watch et le Verrou de prière fonctionnent sur votre appareil. Le Verrou de prière s’appuie sur Temps d’écran d’Apple : Apple ne nous laisse pas voir les applications que vous choisissez de bloquer, et rien à ce sujet ne quitte votre téléphone.

Statistiques d’utilisation (iPhone)

L’application iPhone utilise Firebase Analytics, de Google. Elle enregistre des événements comme l’ouverture de l’application ou d’un onglet, le réglage d’une alarme, le début ou la fin d’une routine, et le fait de cocher ou décocher une prière (avec le nom de la prière et sa date). Google y ajoute un identifiant aléatoire propre à votre installation, le modèle de votre appareil, les versions d’iOS et de l’application, votre langue et une localisation approximative (pays et ville, déduits de votre adresse IP). Nous ne relions pas ces événements à votre compte ni à votre adresse e-mail, et nous ne les recueillons qu’avec votre accord (voir « Sur quelles bases nous utilisons vos données »).

Notifications

Les notifications passent par Firebase Cloud Messaging, de Google, et par le service de notifications d’Apple. L’application abonne votre appareil à quelques canaux : un pour votre langue, un pour les nouvelles de Minara, et un pour chaque mosquée que vous suivez avec les notifications activées. Google détient l’adresse qui permet de joindre votre appareil ; nous ne la conservons pas. Vous pouvez couper les notifications mosquée par mosquée dans l’application, ou entièrement dans les réglages de votre téléphone.

Contacter l’assistance

Le formulaire d’assistance de l’application iPhone nous envoie la catégorie et votre message, une capture d’écran si vous en joignez une, le modèle de votre appareil et sa version d’iOS, la version de l’application, votre langue, la ville réglée dans l’application et, si vous l’indiquez, votre adresse e-mail. Les captures d’écran sont conservées dans un espace de stockage privé, et une copie du message arrive par e-mail dans notre boîte d’assistance. Firebase App Check vérifie que la demande vient bien de l’application officielle.

Android

L’application Android n’intègre pas Firebase : ni statistiques d’utilisation, ni notifications envoyées par Minara. Son formulaire d’assistance ouvre votre application de messagerie avec les mêmes informations : le message part donc de votre propre boîte. [à confirmer : toujours vrai à la sortie de l’application Android]

Si vous gérez une mosquée

Les responsables de mosquée utilisent le tableau de bord pour publier la page de leur mosquée, ses horaires et ses actualités. Cela demande davantage d’informations.

Votre compte de gestion

Votre nom, votre adresse e-mail et votre mot de passe (conservé uniquement sous forme hachée par Supabase) ou des codes de connexion à usage unique ; votre rôle dans chaque mosquée (propriétaire, administrateur, éditeur, trésorier ou lecteur) ; et les invitations envoyées à votre équipe (adresse e-mail et rôle de la personne, qui reçoit l’invitation par e-mail).

Ce que vous publiez

Les informations de votre mosquée (nom, adresse et position, e-mail et téléphone de contact, site web, présentation, équipements), ses horaires, ses annonces, ses événements (noms des intervenants compris), ses publications et leurs photos. Une fois publiés, ils sont visibles de tous sur le site et dans l’application. Ne publiez des noms et des photos de personnes qu’avec leur accord.

Prouver que vous gérez la mosquée

Pour que personne ne puisse s’approprier la page d’une mosquée, quiconque en crée ou en revendique une envoie une demande de vérification. Elle peut contenir :

• votre rôle dans la mosquée, votre déclaration sur l’honneur et, si vous agissez pour le compte de quelqu’un, le nom et les coordonnées de cette personne ;
• le nom officiel de l’organisation, son téléphone, son site, son pays et son numéro d’immatriculation ;
• ce que renvoie un registre officiel pour ce numéro. Seul le numéro est transmis :
  • associations et entreprises françaises : le service public Recherche d’entreprises ;
  • organismes caritatifs d’Angleterre et du pays de Galles : le registre de la Charity Commission ;
• une preuve par e-mail : nous envoyons un code à l’adresse de la mosquée et n’en gardons qu’une version hachée ;
• une preuve par le site web : notre serveur consulte le site de la mosquée pour y trouver un code que nous vous avons donné ;
• des photos de la mosquée et des documents (statuts, facture…), conservés de façon privée dans notre base de données et consultés uniquement par l’équipe Minara chargée des vérifications.

Nous vous écrivons à chaque étape de votre demande, et notre équipe est prévenue des nouvelles demandes.

Lecture automatique d’un calendrier

Si vous demandez au tableau de bord de lire un calendrier à partir d’un PDF ou d’une photo, le fichier est envoyé à Anthropic (l’IA Claude) pour en extraire les horaires. Seuls les horaires que vous validez sont enregistrés. [à confirmer : durée de conservation des données d’API chez Anthropic selon votre contrat, et absence d’utilisation pour l’entraînement]

Traçabilité

Les actions effectuées dans le tableau de bord (par exemple modifier une heure d’iqama ou annuler une écriture) sont enregistrées avec le nom et l’identifiant de leur auteur. Quand une annonce ou une publication déjà publiée est modifiée, la date de la modification est affichée publiquement et la version précédente est conservée pour la modération.

Comptabilité, écrans et abonnés

Si votre mosquée tient sa comptabilité sur Minara, les écritures que vous saisissez (qui peuvent mentionner des donateurs ou des fournisseurs) sont conservées pour votre mosquée et visibles uniquement par votre équipe. Pour chaque écran TV, nous gardons un code d’appareil, son nom et l’heure de sa dernière connexion. Vous voyez seulement combien de personnes suivent votre mosquée, jamais qui elles sont. [à confirmer : pour ce que saisit une mosquée, comme sa comptabilité, la mosquée décide de ce qu’elle enregistre et Minara le conserve pour son compte ; prévoir un accord de sous-traitance avec les mosquées]

Sur quelles bases nous utilisons vos données

Le RGPD nous demande d’indiquer une base légale pour chaque usage. Les nôtres :

• Fournir le service que vous demandez (contrat) : votre compte et sa synchronisation, le tableau de bord des mosquées, les réponses à vos demandes.
• Notre intérêt légitime : assurer la sécurité et le bon fonctionnement de Minara, vérifier qui gère une mosquée, garder une trace des actions et des modifications dans le tableau de bord, corriger les problèmes signalés.
• Votre consentement : les notifications (demandées par votre téléphone), le partage de votre position (demandé par votre navigateur ou votre téléphone), les cookies de mesure d’audience sur le site (demandés par notre bandeau cookies), l’e-mail qui vous prévient qu’une mosquée est arrivée (confirmé par le lien que nous vous envoyons) et, comme expliqué ci-dessous, les données liées à la religion.
• Nos obligations légales : quand une loi ou une autorité nous impose de conserver ou de communiquer des informations.

Utiliser une application de prière musulmane peut révéler votre religion, une donnée que le RGPD considère comme sensible. Si vous utilisez Minara sans compte, rien de tout cela ne quitte votre navigateur ou votre téléphone. Dans les autres cas, nous nous fondons sur votre consentement explicite (article 9, paragraphe 2, a) du RGPD) :

• pour les statistiques sur les prières cochées dans l’application iPhone ;
• pour les routines, la bibliothèque et les mosquées suivies, synchronisées avec votre compte.

Sur le site, nous vous demandons ce consentement par une case à cocher lors de votre première connexion, avant toute synchronisation, et nous enregistrons la date à laquelle vous l’avez donné et la version de cette politique que vous avez acceptée. [à confirmer : écran de consentement dans l’application] Vous pouvez retirer ce consentement à tout moment, en modifiant votre choix dans l’application ou en supprimant votre compte. Nous n’utilisons ces informations que pour faire fonctionner Minara, jamais pour la publicité ou le profilage, et nous ne les vendons jamais.

Avec qui nous partageons vos données

Nous ne vendons pas de données personnelles et ne les partageons pas à des fins publicitaires. Nous faisons appel à ces prestataires, qui les traitent selon nos instructions :

• Supabase : base de données, connexion et stockage de fichiers, hébergés dans l’Union européenne (Irlande).
• Vercel : hébergement du site et de son serveur. [à confirmer : région où s’exécutent les fonctions serveur ; par défaut, Vercel utilise les États-Unis]
• Google : Google Analytics (site) ; Firebase Analytics, Cloud Messaging et App Check (application iPhone) ; connexion avec Google.
• Apple : connexion avec Apple et envoi des notifications vers les appareils Apple.
• Mapbox : cartes, recherche de lieux et noms de lieux.
• timeapi.io : fuseaux horaires à partir de coordonnées.
• Resend : envoi de nos e-mails (vérification, invitations d’équipe, alertes d’assistance). [à confirmer : les e-mails de connexion de Supabase passent-ils aussi par Resend ?]
• Anthropic : lecture des calendriers, seulement quand une mosquée utilise cette fonction.

Nous interrogeons aussi OpenStreetMap et les registres publics cités plus haut, sans rien leur transmettre vous concernant au-delà d’une zone de carte ou d’un numéro d’immatriculation. Les mosquées ne voient jamais qui les suit. Nous pouvons communiquer des informations si la loi l’exige.

Données hors de l’Union européenne

Notre base de données se trouve dans l’UE, mais Vercel, Google, Apple, Mapbox, Resend et Anthropic sont des entreprises américaines et peuvent traiter des données aux États-Unis. Ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou sur les clauses contractuelles types de la Commission européenne. [à confirmer pour chaque prestataire, ainsi que le pays de timeapi.io]

Combien de temps nous les conservons

• Dans votre navigateur ou l’application : jusqu’à ce que vous les effaciez ou désinstalliez l’application.
• Votre compte et vos données synchronisées : jusqu’à la suppression de votre compte. Si vous ne l’utilisez pas pendant 3 ans, nous vous prévenons par e-mail, puis nous le supprimons.
• Demandes d’assistance et signalements de mosquée (pièces jointes comprises) : 2 ans après leur clôture.
• Adresses e-mail « Me prévenir quand elle arrive » : jusqu’à l’envoi de l’e-mail annonçant l’arrivée de la mosquée, puis supprimées ; 48 heures si l’adresse n’est jamais confirmée. Vous pouvez retirer la vôtre à tout moment grâce au lien présent dans chaque e-mail.
• Documents et photos de vérification : tant que la mosquée est sur Minara, puis 1 an après son départ, afin de pouvoir montrer qui l’a vérifiée et comment si cela était un jour contesté. Pour une demande refusée : 1 an après le refus.
• Données du tableau de bord : tant que la mosquée est sur Minara. Quand une mosquée part, sa page est retirée aussitôt et ses données sont conservées 1 an pour qu’elle puisse revenir là où elle s’était arrêtée, puis supprimées, sauf ce que la loi nous oblige à conserver. Une mosquée peut nous demander de tout supprimer immédiatement.
• Journal des actions et historique des modifications : tant que le contenu ou la mosquée existe, plus 1 an.
• Écritures comptables tenues dans le module de comptabilité : 10 ans lorsque la loi l’exige (obligations comptables françaises).
• Statistiques d’utilisation : 14 mois.
• Cookies de mesure d’audience : 13 mois au maximum.
• Votre choix concernant les cookies : 6 mois.
• Journaux du serveur : 6 mois au plus.

Vos droits

Le RGPD vous permet :

• d’obtenir une copie de vos données et de savoir comment elles sont utilisées ;
• de les faire corriger si elles sont inexactes ;
• de les faire effacer ;
• d’en limiter l’usage, ou de vous opposer à un usage fondé sur notre intérêt légitime ;
• de recevoir les données que vous nous avez fournies dans un format réutilisable ;
• de retirer votre consentement à tout moment, sans remettre en cause ce qui a été fait avant ;
• de définir des directives sur le sort de vos données après votre décès, comme le prévoit la loi Informatique et Libertés.

Vous pouvez faire une bonne partie de tout cela vous-même : supprimer votre compte sur la page Compte ou dans l’application, effacer les données de votre navigateur, couper les notifications, refuser les cookies de mesure d’audience via « Paramètres des cookies ». Pour le reste, écrivez à support@minarafoundation.com, si possible depuis l’adresse liée à votre compte. Nous répondons sous un mois et pouvons vous demander de confirmer votre identité.

Si vous estimez que vos droits n’ont pas été respectés, vous pouvez adresser une réclamation à la CNIL ou à l’autorité de protection des données de votre pays.

Cookies et stockage local

Le site utilise peu de cookies :

• NEXT_LOCALE retient votre langue, pendant un an. Nécessaire au fonctionnement du site.
• Les cookies de session Supabase (dont le nom commence par sb-) vous gardent connecté, une fois connecté. Nécessaires à votre compte.
• minara-setup-done retient les étapes de configuration qu’un responsable de mosquée a masquées dans le tableau de bord, pendant un an.
• Les cookies Google Analytics (_ga, et _ga_ suivi d’un identifiant) comptent les visites et les pages vues, avec le type d’appareil et une localisation approximative. Ils ne sont déposés que si vous les acceptez, et durent 13 mois au maximum.
• minara-consent retient si vous avez accepté ou refusé les cookies de mesure d’audience, pendant six mois.

Le stockage local, décrit plus haut, garde vos réglages et vos propres données dans votre navigateur. Ce n’est pas un cookie, mais il fonctionne de façon comparable, et il ne quitte votre appareil que si vous le synchronisez avec un compte.

Lors de votre première visite, un bandeau vous demande si vous acceptez les cookies de mesure d’audience, avec des boutons « Accepter » et « Refuser » présentés à égalité. Google Analytics ne se charge que si vous acceptez : rien n’est envoyé à Google avant, et refuser ne change rien d’autre sur le site. Fermer le bandeau sans choisir vaut refus, et nous vous reposons la question lors de votre prochaine visite. Votre choix est conservé six mois, puis nous vous le redemandons. Vous pouvez changer d’avis à tout moment grâce au lien « Paramètres des cookies » en bas de chaque page (dans le tableau de bord des mosquées, dans le menu du compte). Si vous retirez votre consentement, Google Analytics s’arrête et nous supprimons ses cookies.

Enfants

Minara est ouverte à tous, quel que soit l’âge : les horaires de prière, la qibla et la bibliothèque ne demandent aucun compte. Comme le compte et la mesure d’audience reposent sur le consentement, lorsque la loi de votre pays fixe un âge (entre 13 et 16 ans dans l’Union européenne et au Royaume-Uni, 13 ans aux États-Unis), les personnes qui n’ont pas cet âge ont besoin de l’accord d’un parent pour créer un compte ou accepter les statistiques. Si vous pensez qu’un enfant l’a fait sans cet accord, écrivez-nous et nous supprimerons ses données.

Sécurité

Les connexions à Minara sont chiffrées (HTTPS). Les mots de passe sont gérés par Supabase et ne sont jamais conservés en clair, les codes envoyés par e-mail sont stockés sous forme hachée, et les documents de vérification comme les captures d’écran d’assistance sont privés et visibles uniquement par notre équipe. Notre base de données n’est censée être accessible que depuis notre propre serveur, pas directement depuis les navigateurs ou les applications. [à confirmer : une fois la sécurité au niveau des lignes (RLS) activée sur toutes les tables] Aucun système n’est parfaitement sûr : si une violation mettait vos données en danger, nous vous en informerions, ainsi que les autorités, comme la loi l’exige.

Évolution de cette politique

Quand nous modifions cette politique, nous mettons à jour la date en haut de cette page. Si un changement est important, nous prévenons aussi les titulaires d’un compte, par e-mail ou dans l’application, avant qu’il ne s’applique. [à confirmer]

Contact

Questions, demandes ou inquiétudes : support@minarafoundation.com, ou consultez notre page Assistance.