Politique de confidentialité

En résumé

Volta est un projet personnel et gratuit. Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires — il n’y a ni publicité, ni régie, ni modèle économique derrière ce service.

Seules sont traitées les données nécessaires au fonctionnement de l’application.

Qui traite vos données

Le responsable du traitement est l’éditeur de Volta, particulier publiant à titre non professionnel. Pour toute question ou pour exercer vos droits : [email protected].

Ce site vitrine

Ce site ne comporte ni formulaire, ni compte, ni outil de mesure d’audience. Aucun cookie n’y est déposé.

Rien n’est enregistré dans le stockage local de votre navigateur. La langue affichée est déduite de celle que votre navigateur déclare, à chaque visite. Un sélecteur en bas de page permet d’en changer : ce choix vaut le temps de la visite, il n’est ni conservé ni transmis, et la détection reprend la main au rechargement suivant.

Ce site ne dépose lui-même aucun cookie. Si vous êtes connecté à votre compte Volta, il interroge account.volta-music.com pour afficher votre nom d’utilisateur et votre photo de profil dans l’en-tête ; le cookie de session utilisé pour cela est celui de l’espace compte, et il n’est jamais lisible par ce site. Sans session, aucune donnée vous concernant n’est demandée.

Les polices de caractères sont servies par ce site lui-même : aucune requête n’est adressée à Google Fonts, et votre adresse IP ne lui est donc jamais transmise.

Le panneau de paroles de la page d’accueil se rafraîchit auprès de nos propres serveurs, sans que rien vous concernant ne leur soit transmis. La pochette du morceau affiché est en revanche servie par le CDN d’images de Spotify ou de Deezer selon sa source : afficher cette image transmet votre adresse IP à l’opérateur du CDN concerné.

Votre adresse IP est par ailleurs traitée par Cloudflare, qui héberge le site, pour délivrer les pages et assurer la sécurité du service.

L’application Volta

L’application, accessible sur un domaine distinct, traite les données nécessaires à son fonctionnement :

• compte : nom d’utilisateur, adresse e-mail et mot de passe — ce dernier n’est jamais stocké en clair, seulement sous forme hachée ;
• photo de profil, si vous en ajoutez une ;
• usage : bibliothèque, playlists, favoris, historique et position de lecture — indispensables à la synchronisation entre appareils ;
• partage : quand vous ouvrez une playlist collaborative ou une session d’écoute partagée, le lien entre votre compte et celui des participants est enregistré, le temps que le partage existe ;
• technique : type d’appareil et journaux de connexion, pour la sécurité et le diagnostic.

Votre adresse IP sert à limiter le débit des requêtes et à prévenir les abus. Elle n’est jamais enregistrée en base : elle reste quelques minutes en mémoire, puis disparaît.

Authentification

La gestion des comptes repose sur Zitadel, une solution d’identité open source que nous hébergeons nous-mêmes. Vos identifiants ne sont donc confiés à aucun prestataire tiers : ils restent sur la même infrastructure que le reste du service.

Vous pouvez également vous connecter avec un compte Google, Apple ou Discord. Dans ce cas seulement, le fournisseur concerné est sollicité au moment de la connexion : il apprend que vous vous connectez à Volta et nous transmet les informations nécessaires à la création du compte — identifiant, adresse e-mail, nom affiché et, le cas échéant, photo de profil. Ces fournisseurs sont établis aux États-Unis et appliquent leurs propres politiques de confidentialité.

Importation depuis un autre service

L’importation depuis Spotify se fait par fichier : vous exportez votre bibliothèque depuis Spotify et vous nous transmettez ce fichier. Volta n’accède jamais à votre compte Spotify et ne conserve aucune autorisation le concernant.

Pour Apple Music, YouTube, Last.fm et Tidal en revanche, l’importation passe par une autorisation : vous permettez à Volta d’accéder à votre compte chez ce service, et Volta conserve alors le jeton d’accès délivré par le fournisseur, ainsi que le jeton de renouvellement associé.

C’est davantage qu’une copie de vos playlists : tant qu’il est valide, ce jeton donne un accès réel à votre compte chez le service concerné. Il est conservé pour pouvoir reprendre ou actualiser l’importation sans vous redemander l’autorisation à chaque fois.

Vous pouvez le retirer à tout moment depuis votre espace compte. Volta l’efface alors de ses serveurs et, lorsque le fournisseur expose un mécanisme de révocation — c’est le cas de YouTube —, en demande l’invalidation immédiate.

Apple Music, Tidal et Last.fm n’offrent pas ce mécanisme : le jeton disparaît de nos serveurs et Volta cesse de s’en servir, mais seule une révocation depuis votre compte chez le fournisseur y met fin de façon certaine. Le lien correspondant vous est indiqué dans l’espace compte.

Clés d’accès à l’API

Si vous créez des clés depuis votre espace compte, Volta conserve leur nom, leur description, leur identifiant public, les autorisations accordées, ainsi que les dates de création et de dernière utilisation. Cette dernière date sert à vous signaler les clés inutilisées.

Le secret associé n’est jamais conservé en clair : seule une empreinte à sens unique en est gardée, accompagnée de ses premiers caractères pour vous permettre de reconnaître la clé dans la liste. Il ne figure donc ni dans l’export de vos données, ni nulle part ailleurs.

Ces informations sont conservées tant que la clé existe. Sa suppression les efface, ainsi que les jetons émis à partir d’elle.

Rapports de bug

Si vous signalez un problème depuis l’application, le rapport contient votre description, le type d’appareil et la version utilisée, un extrait des journaux serveur et client au moment de l’envoi, et la capture d’écran que vous joignez éventuellement.

Une capture d’écran enregistre tout ce qui est affiché à cet instant. Regardez ce qu’elle contient avant de l’envoyer : elle peut faire apparaître des informations sans rapport avec le problème signalé.

Après validation par un administrateur, le rapport — capture comprise — est transmis à GitHub, aux États-Unis, pour y ouvrir un ticket de suivi. Un rapport qui n’est pas validé n’est jamais transmis.

Pourquoi, et sur quelle base

Chaque traitement repose sur une base légale :

• fournir le service et la synchronisation : exécution du service demandé ;
• sécurité et prévention des abus : intérêt légitime de l’éditeur ;
• connexion via Google, Apple ou Discord : votre consentement, matérialisé par le choix de ce bouton ;
• importation depuis un service tiers, et conservation du jeton correspondant : votre consentement, révocable à tout moment ;
• envoi d’un rapport de bug : votre consentement, donné au moment où vous l’envoyez ;
• conservation imposée par la loi : obligation légale.

Qui d’autre y a accès

Personne, en dehors de ce qui est techniquement indispensable. Zitadel étant auto-hébergé, aucun prestataire d’identité tiers ne détient vos identifiants.

Restent Cloudflare, qui héberge le site, le relais d’acheminement des e-mails décrit ci-dessous, les fournisseurs d’identité que vous choisissez d’utiliser, et GitHub pour les seuls rapports de bug validés. Vos données peuvent être communiquées aux autorités lorsque la loi l’exige.

Les e-mails du service — vérification d’adresse, réinitialisation de mot de passe — sont émis par une passerelle Proxmox Mail Gateway que nous hébergeons, puis remis à leur destinataire via le relais SMTP de Google. Google traite donc l’adresse du destinataire et le contenu du message au moment de l’acheminement.

Plusieurs de ces intervenants sont établis aux États-Unis : Cloudflare pour l’hébergement, Google pour l’acheminement des e-mails, GitHub pour les rapports de bug validés, ainsi que Google, Apple ou Discord si vous choisissez de vous connecter par leur intermédiaire. Ces transferts hors de l’Union européenne sont encadrés par les garanties prévues par le RGPD.

Combien de temps

Les données de compte sont conservées tant que le compte existe. Une demande de suppression ouvre un délai de trente jours : rien n’est effacé pendant cette période, et vous pouvez annuler la demande depuis votre espace compte. Passé ce délai, la suppression est exécutée et devient irréversible. Les journaux techniques sont conservés trente jours.

Un compte resté sans aucune connexion pendant trois ans est supprimé, avec les données qui s’y rattachent. Un courriel d’avertissement est envoyé à l’adresse associée trente jours avant : il suffit de se connecter pendant ce délai pour que le compteur reparte à zéro.

Les jetons d’accès aux services tiers sont conservés tant que vous n’avez pas révoqué l’autorisation. Un rapport de bug transmis à GitHub y suit la durée de vie du ticket correspondant.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

La plupart de ces droits s’exercent directement depuis votre espace compte, sur account.volta-music.com : consultation et modification de vos informations, export de vos données — bibliothèque, playlists, services connectés et clés d’accès, à l’exclusion de tout secret —, révocation des services tiers connectés, suppression du compte. La suppression efface aussi votre identifiant de connexion, et pas seulement les données rattachées à votre compte Volta.

Pour tout le reste, écrivez à [email protected] : la demande sera traitée dans les meilleurs délais. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Sécurité

Des mesures raisonnables sont mises en œuvre pour protéger vos données contre la perte et les accès non autorisés. Aucun système n’étant infaillible, elles ne constituent pas une garantie absolue — n’enregistrez pas dans Volta d’information dont la divulgation vous porterait préjudice.

Modification

Cette politique peut évoluer. La date de dernière mise à jour figure en tête de page ; les modifications substantielles sont signalées aux titulaires d’un compte.