Politique de confidentialité

Dernière mise à jour : 23/08/2026

La présente politique explique comment Loomkeep traite les données personnelles des utilisateurs de l'instance officielle accessible à l'adresse https://loomkeep.app.

Elle concerne uniquement cette instance.

Loomkeep étant un logiciel libre et auto-hébergeable, d'autres personnes peuvent exploiter leur propre instance. Dans ce cas, l'administrateur de l'instance concernée est responsable des traitements réalisés sur cette instance et doit fournir sa propre politique de confidentialité.

1. Responsable du traitement

Pour l'instance officielle de Loomkeep, le responsable du traitement est :

Logan WILLEM, particulier n'agissant pas à titre professionnel — adresse postale non communiquée publiquement, conformément à l'article 6-III de la LCEN (voir les mentions légales). E-mail : [email protected]

2. Principes appliqués

Loomkeep s'efforce de respecter les principes du RGPD, notamment :

• ne collecter que les données nécessaires aux finalités poursuivies ;
• utiliser les données uniquement pour les finalités indiquées ;
• limiter la durée de conservation ;
• assurer la sécurité des données ;
• permettre l'exercice des droits prévus par la réglementation applicable.

3. Données collectées

Les données traitées dépendent des fonctionnalités utilisées.

Création et gestion du compte

Loomkeep peut traiter notamment :

• adresse e-mail ;
• nom d'utilisateur ;
• nom d'affichage ;
• mot de passe ou dérivé cryptographique du mot de passe ;
• état de vérification de l'adresse e-mail ;
• langue ou préférences régionales ;
• préférences de notification.

Le mot de passe n'est pas conservé en clair.

Profil

Lorsque l'utilisateur choisit de compléter son profil, Loomkeep peut traiter :

• nom d'utilisateur ;
• nom d'affichage ;
• biographie ;
• avatar ;
• paramètres de visibilité ;
• préférences liées au profil.

Ces informations peuvent être visibles par d'autres utilisateurs lorsque l'utilisateur choisit un niveau de visibilité permettant leur partage.

Âge et contenu adulte

Loomkeep peut traiter une information relative à l'âge de l'utilisateur ou à son accès aux contenus adultes afin d'appliquer les restrictions prévues par le service.

Il s'agit de la date de naissance complète : une simple information d'âge au moment de sa saisie deviendrait obsolète et ne permettrait plus de vérifier dans le temps que l'utilisateur reste éligible à ces contenus.

Données de suivi culturel

Lorsque l'utilisateur utilise Loomkeep pour suivre ses contenus, le service peut traiter notamment :

• œuvres présentes dans sa bibliothèque ;
• statut de suivi ;
• progression ;
• dates associées au suivi ;
• notes ;
• avis ;
• historique d'utilisation ;
• listes ;
• préférences de contenu.

Ces informations peuvent révéler les centres d'intérêt et habitudes culturelles de l'utilisateur.

Fonctionnalités sociales

Lorsque l'utilisateur utilise les fonctionnalités sociales, Loomkeep peut traiter notamment :

• abonnements entre utilisateurs ;
• blocages ;
• avis ;
• commentaires ;
• réactions ;
• listes ;
• événements d'activité ;
• paramètres de visibilité ;
• signalements.

La visibilité de certaines de ces informations dépend des fonctionnalités disponibles et des paramètres choisis par l'utilisateur.

Imports

Lorsque l'utilisateur utilise une fonctionnalité d'import, Loomkeep peut traiter les données contenues dans les fichiers ou données fournis par l'utilisateur afin de les intégrer à son compte.

Les données importées deviennent ensuite soumises aux règles applicables aux données de suivi et de compte Loomkeep.

Données techniques et de sécurité

Pour assurer le fonctionnement et la sécurité du service, Loomkeep peut traiter certaines données techniques telles que :

• adresse IP ;
• informations relatives à la connexion ;
• événements de sécurité ;
• informations relatives à la session ;
• journaux techniques ;
• informations relatives aux erreurs ;
• informations nécessaires au diagnostic d'incidents.

Les journaux techniques (accès, application) sont conservés par rotation de volume sur le serveur (environ 50 Mo par service, soit quelques jours à quelques semaines selon le trafic) ; lorsque le module de supervision est activé, ils sont en outre conservés 30 jours glissants dans l'outil de supervision (Loki). Les données d'erreur (stack traces) sont conservées dans l'outil de suivi des erreurs auto-hébergé (GlitchTip), pendant sa durée de rétention par défaut (90 jours).

4. Finalités et bases légales

Les données sont traitées notamment pour les finalités suivantes :

Les bases légales indiquées ci-dessus peuvent dépendre du traitement concret et de la fonctionnalité concernée.

5. Données rendues visibles aux autres utilisateurs

Loomkeep permet à l'utilisateur de partager certaines informations avec d'autres utilisateurs.

Selon les fonctionnalités et les paramètres choisis, peuvent notamment être visibles :

• nom d'utilisateur ;
• nom d'affichage ;
• avatar ;
• biographie ;
• certaines bibliothèques ;
• listes ;
• avis ;
• commentaires ;
• certaines activités ;
• relations sociales.

Les données strictement nécessaires à la sécurité et à la gestion du compte, telles que le mot de passe ou les informations techniques d'authentification, ne sont pas rendues publiques.

L'utilisateur doit vérifier les paramètres de visibilité avant de publier ou partager une information.

6. Services tiers

Loomkeep utilise certains prestataires et services tiers nécessaires au fonctionnement du service.

Hébergement

L'instance officielle est hébergée sur une infrastructure OVHcloud.

Les données nécessaires au fonctionnement du service peuvent donc être stockées sur cette infrastructure.

Envoi d'e-mails

Loomkeep peut utiliser Brevo pour l'envoi de certains e-mails.

Cela peut notamment concerner :

• la vérification d'adresse e-mail ;
• la récupération de compte ;
• les communications liées à la sécurité ;
• les communications facultatives lorsque l'utilisateur y a consenti.

Brevo agit uniquement comme relais d'envoi (SMTP) : les données qui lui sont transmises se limitent à l'adresse e-mail du destinataire et au contenu de l'e-mail (sujet, texte) — aucune autre donnée du compte ne lui est communiquée.

Données de catalogue

Pour fournir les informations relatives aux œuvres, Loomkeep peut utiliser notamment :

• TMDB ;
• AniList ;
• OMDb ;
• IGDB ;
• Open Library ;
• MusicBrainz.

Les recherches de catalogue sont effectuées par l'application et ne transmettent pas directement aux fournisseurs les informations permettant d'identifier le compte Loomkeep de l'utilisateur.

Les fournisseurs tiers peuvent néanmoins traiter les données techniques nécessaires à leurs propres services, conformément à leurs propres politiques de confidentialité.

Par ailleurs, les jaquettes et visuels des œuvres affichées dans Loomkeep sont chargés directement par le navigateur de l'utilisateur depuis les serveurs (CDN) de ces fournisseurs (notamment TMDB et Open Library), et non via les serveurs de Loomkeep. Ces fournisseurs reçoivent donc l'adresse IP du visiteur à chaque affichage d'une fiche, y compris en dehors de toute recherche active.

Protection contre les inscriptions automatisées

Loomkeep utilise Cloudflare Turnstile, un service de vérification anti-bot édité par Cloudflare Inc. (États-Unis), affiché lors de la création de compte. Ce service transmet à Cloudflare l'adresse IP et certains signaux techniques du navigateur de l'utilisateur.

Finalité : prévention des inscriptions automatisées et des abus. Base légale : intérêt légitime.

Dons et soutien financier

Loomkeep propose, dans les paramètres du compte, plusieurs moyens facultatifs de soutenir financièrement le projet : Ko-fi, Liberapay, Buy Me a Coffee et GitHub Sponsors.

Selon la plateforme choisie, cela ouvre un widget intégré au sein de Loomkeep (Ko-fi) ou redirige l'utilisateur vers le site du prestataire concerné. Ce prestataire devient alors responsable des données que l'utilisateur lui communique directement (informations de paiement, compte, etc.) ; Loomkeep n'y a pas accès et ne les reçoit pas.

Mesure d'audience

La page d'accueil publique de Loomkeep utilise Umami, un outil de mesure d'audience auto-hébergé, sans cookie ni identifiant persistant : le visiteur n'est pas suivi individuellement d'une visite à l'autre, seules des statistiques agrégées et anonymes sont produites (nombre de visites, pages consultées, clics sur certains boutons, provenance approximative). Umami est hébergé sur la même infrastructure que Loomkeep ; aucune donnée n'est transmise à un tiers.

Les liens présents dans les e-mails envoyés par Loomkeep passent par un raccourcisseur de liens auto-hébergé (Umami Link), qui comptabilise les clics de manière agrégée par type de message, sans les rattacher au compte de l'utilisateur.

Distribution et protection du site (CDN)

Le site loomkeep.app est distribué via l'infrastructure de Cloudflare Inc. (États-Unis), qui agit comme CDN et pare-feu applicatif entre le visiteur et les serveurs de Loomkeep. Cloudflare reçoit à ce titre l'adresse IP de chaque visiteur du site.

Finalité : sécurité, disponibilité et performance du service. Base légale : intérêt légitime.

Services techniques supplémentaires

Loomkeep peut utiliser d'autres prestataires techniques nécessaires notamment à :

• la supervision ;
• la gestion des erreurs ;
• l'envoi de notifications ;
• l'hébergement ou la sauvegarde.

La liste et les usages de ces prestataires peuvent évoluer avec le service.

7. Notifications push

Lorsque l'utilisateur active les notifications push, Loomkeep traite les informations techniques nécessaires à l'envoi des notifications vers son appareil ou navigateur.

Techniquement, cet envoi transite par le service de notification propre au navigateur ou à l'appareil de l'utilisateur — notamment Firebase Cloud Messaging (Google) pour Chrome et la plupart des navigateurs Android, le service Push de Mozilla pour Firefox, ou le service de notifications d'Apple pour Safari/iOS — qui reçoit à cette fin l'adresse technique de l'abonnement (endpoint). Le contenu de la notification est chiffré de bout en bout : ce service ne peut pas le lire en clair.

L'utilisateur peut désactiver ces notifications depuis Loomkeep ou depuis les paramètres de son appareil ou navigateur, selon le mécanisme utilisé.

Les abonnements push devenus inutiles ou invalides peuvent être supprimés.

8. Newsletter

L'inscription à la newsletter est facultative.

Lorsque le consentement est requis, la newsletter n'est envoyée qu'après obtention de ce consentement.

L'utilisateur peut retirer son consentement à tout moment, notamment au moyen du lien de désinscription présent dans les e-mails concernés.

Le retrait du consentement n'affecte pas la licéité des traitements effectués avant ce retrait.

9. Cookies et stockage local

Loomkeep peut utiliser des mécanismes de stockage côté navigateur, notamment pour assurer certaines fonctions nécessaires au fonctionnement du service, telles que l'authentification, les préférences ou l'état de l'application.

Les mécanismes strictement nécessaires au fonctionnement du service ne sont pas utilisés à des fins de publicité comportementale.

Concrètement, Loomkeep utilise :

• un cookie PARAGLIDE_LOCALE (durée de vie : 400 jours), pour mémoriser la langue choisie ;
• deux cookies de connexion HttpOnly, strictement nécessaires, non accessibles par JavaScript et supprimés à la déconnexion ;
• un stockage local (localStorage) contenant le thème choisi (clair/sombre) et l'état replié/déplié de la barre latérale.

Aucun de ces éléments n'est utilisé à des fins de suivi publicitaire.

La mesure d'audience de la page d'accueil (voir section 6, « Mesure d'audience ») n'utilise ni cookie ni stockage local.

Loomkeep n'utilise pas, à sa connaissance, de traceurs publicitaires destinés à établir un profil publicitaire des utilisateurs.

10. Données provenant des services de catalogue

Les données relatives aux œuvres affichées dans Loomkeep peuvent provenir de services tiers.

Ces données ne constituent pas nécessairement des données personnelles de l'utilisateur.

Lorsqu'une recherche est effectuée, Loomkeep transmet au fournisseur concerné les informations nécessaires à la recherche de l'œuvre demandée.

Loomkeep ne transmet pas volontairement à ces fournisseurs l'adresse e-mail, le mot de passe ou les informations privées du compte dans le cadre d'une recherche de catalogue.

11. Conservation des données

Les données sont conservées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées, sous réserve des obligations légales et des nécessités liées à la sécurité ou à la défense des droits.

À titre indicatif :

Politique de comptes inactifs. Un compte n'ayant fait l'objet d'aucune connexion pendant 24 mois reçoit un e-mail de relance l'informant qu'il sera supprimé automatiquement au bout de 36 mois d'inactivité continue s'il n'est pas réutilisé d'ici là. Une simple reconnexion avant cette échéance annule la suppression prévue.

12. Suppression du compte

L'utilisateur peut supprimer son compte selon les fonctionnalités proposées par Loomkeep.

La suppression entraîne la suppression des données personnelles dans les systèmes actifs, sous réserve notamment :

• des données devant être conservées en application d'une obligation légale ;
• des informations nécessaires à la prévention des abus ou à la défense des droits ;
• des données techniques présentes temporairement dans les sauvegardes.

Les sauvegardes sont soumises à leur propre cycle de rétention et ne sont pas utilisées pour restaurer volontairement les données d'un compte supprimé.

Certains contenus sociaux peuvent être supprimés ou anonymisés lorsqu'une suppression complète est incompatible avec le fonctionnement technique du service ou avec les obligations applicables.

Le journal de sécurité et d'imports (créations de compte, changements d'identifiants, imports commis) perd son lien avec l'identité du compte dès sa suppression, plutôt que d'être conservé nominativement. Les tentatives de connexion échouées restent journalisées indépendamment du compte visé, à des fins de prévention des abus.

13. Sécurité

Loomkeep met en œuvre des mesures techniques et organisationnelles destinées à protéger les données personnelles contre les accès non autorisés, la perte, la destruction, l'altération ou la divulgation.

Ces mesures peuvent notamment comprendre :

• chiffrement des communications ;
• stockage sécurisé des mots de passe ;
• mécanismes de gestion de session ;
• contrôle des accès ;
• mesures de protection contre les accès abusifs ;
• sauvegardes ;
• journalisation des événements de sécurité ;
• mises à jour de sécurité.

Aucune mesure de sécurité ne pouvant garantir une protection absolue, aucun système connecté à Internet ne peut être considéré comme totalement exempt de risque.

14. Destinataires des données

Les données personnelles peuvent être accessibles, dans la mesure nécessaire à leurs missions, aux catégories suivantes :

• l'éditeur de Loomkeep ;
• les prestataires techniques utilisés pour fournir le service ;
• Cloudflare, pour la distribution et la protection du site ainsi que la vérification anti-bot à l'inscription (Turnstile) ;
• les fournisseurs de services d'envoi d'e-mails ;
• les fournisseurs techniques nécessaires aux notifications, y compris les services de notification push des navigateurs ;
• les fournisseurs d'hébergement et de sauvegarde ;
• les fournisseurs de données de catalogue, uniquement pour les informations nécessaires à leurs fonctionnalités ;
• les plateformes de dons choisies par l'utilisateur, pour les données qu'il leur communique directement ;
• les autorités compétentes lorsque la loi l'exige.

Les données privées d'un utilisateur ne sont pas vendues à des fins publicitaires.

15. Transferts internationaux

Certains prestataires utilisés par Loomkeep peuvent traiter des données depuis des pays situés en dehors de l'Espace économique européen, notamment les États-Unis.

L'hébergement applicatif (OVHcloud), l'envoi d'e-mails (Brevo) et le suivi des erreurs (GlitchTip, auto-hébergé) sont opérés depuis l'Union européenne.

Sont notamment concernés par un traitement hors UE :

• Cloudflare, pour la vérification anti-bot à l'inscription (Turnstile), qui reçoit l'IP et des signaux navigateur de l'utilisateur concerné ;
• Cloudflare, pour la distribution et la protection du site (CDN / pare-feu applicatif), qui reçoit l'IP de chaque visiteur ;
• les fournisseurs de données et d'images de catalogue basés hors UE (notamment TMDB, IGDB, Open Library et MusicBrainz), qui reçoivent l'IP du visiteur lors des recherches et de l'affichage des jaquettes (voir section 6) ;
• les services de notification push des navigateurs (notamment Google via Firebase Cloud Messaging, Mozilla et Apple) ;
• les plateformes de dons choisies par l'utilisateur (Ko-fi, Liberapay, Buy Me a Coffee, GitHub Sponsors), pour les données qu'il leur communique directement.

Ces transferts s'appuient, selon le prestataire, sur les garanties prévues par la réglementation applicable : certification au Data Privacy Framework (UE/Suisse–États-Unis) lorsque le prestataire y adhère, ou clauses contractuelles types de la Commission européenne à défaut.

16. Vos droits

Conformément au RGPD et à la réglementation applicable, l'utilisateur peut notamment disposer des droits suivants :

• droit d'accès à ses données ;
• droit de rectification ;
• droit à l'effacement ;
• droit à la limitation du traitement ;
• droit d'opposition lorsque ce droit est applicable, à exercer via le contact indiqué à l'article suivant ; Loomkeep peut refuser d'y faire droit en présence de motifs légitimes impérieux, notamment pour des raisons de sécurité ou de lutte contre la fraude ;
• droit à la portabilité des données lorsque les conditions sont réunies ;
• droit de retirer son consentement lorsqu'un traitement repose sur celui-ci.

L'exercice d'un droit peut être soumis aux conditions et exceptions prévues par la réglementation.

17. Exercice des droits

Pour exercer ses droits ou poser une question concernant le traitement de ses données, l'utilisateur peut contacter :

[email protected]

La demande doit permettre de comprendre suffisamment son objet afin de pouvoir être traitée.

Lorsque cela est nécessaire pour protéger les données du compte, Loomkeep peut demander des informations permettant de vérifier l'identité du demandeur.

Loomkeep répond à la demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires compte tenu de la complexité de la demande ou du nombre de demandes ; l'utilisateur en est alors informé, avec les motifs du report, dans le mois suivant la réception de sa demande.

18. Réclamation auprès de la CNIL

Si l'utilisateur estime que le traitement de ses données personnelles n'est pas conforme à la réglementation applicable, il peut contacter Loomkeep afin de tenter de résoudre le problème.

Il dispose également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).

Site : https://www.cnil.fr/

19. Données concernant les mineurs

Loomkeep est destiné aux personnes âgées d'au moins 15 ans.

Loomkeep ne cherche pas volontairement à collecter des données concernant des enfants n'ayant pas atteint l'âge minimum prévu par les présentes conditions.

Si un responsable légal estime qu'un compte a été créé en violation de cette règle, il peut contacter :

[email protected]

20. Instances auto-hébergées

La présente politique concerne uniquement l'instance officielle de Loomkeep.

Loomkeep étant distribué comme logiciel libre et pouvant être auto-hébergé, une personne ou une organisation peut installer sa propre instance.

Dans ce cas, l'administrateur de l'instance est responsable des traitements effectués sur celle-ci.

Logan WILLEM n'a pas accès aux données stockées sur les instances auto-hébergées qu'il ne contrôle pas et n'est pas responsable de leur gestion, de leur sécurité ou de leur conformité réglementaire.

21. Modification de la politique

Cette politique peut être mise à jour afin de tenir compte de l'évolution du service, de ses fonctionnalités, de ses prestataires ou de la réglementation applicable.

La date de dernière mise à jour est indiquée en début de document.

En cas de modification substantielle affectant les droits ou les traitements des utilisateurs, une information appropriée pourra être fournie via Loomkeep ou par e-mail lorsque cela est nécessaire.

22. Contact

Pour toute question concernant cette politique de confidentialité ou le traitement des données personnelles :

[email protected]