Politique de confidentialité — Colocation

Version 2.0 — en vigueur le 12 novembre 2026. Cette politique explique quelles données personnelles l’application Colocation (aussi appelée « ColocApp », anciennement « Colocataire ») traite, pourquoi, avec qui, combien de temps, et comment exercer vos droits, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés »).

1. Responsable du traitement

Elisée Nelson BANGYA NOUPET, entrepreneur individuel (nom commercial « Nelson Apps »), RCS Versailles 934 617 119, 17 avenue de Savoie, 78140 Vélizy-Villacoublay, France. Contact pour toute question relative à vos données : nelson.apps.dev@gmail.com. Aucun délégué à la protection des données n’a été désigné, cette désignation n’étant pas obligatoire.

2. Données traitées

2.1 Compte

• Adresse e-mail, nom affiché, prénom et nom, photo de profil (facultative), identifiant de compte.
• Si vous vous connectez avec Apple ou Google : l’identifiant, l’e-mail (éventuellement masqué par Apple) et le nom transmis par ce service. Nous ne recevons jamais votre mot de passe Apple ou Google.
• Statut d’abonnement, compteurs d’utilisation de l’intelligence artificielle, points.

2.2 Données de la colocation

• Tâches, listes de courses, menus, recettes et favoris.
• Dépenses, répartitions, soldes et remboursements enregistrés entre membres.
• Moyens de remboursement que vous choisissez d’indiquer (IBAN, nom PayPal.me, identifiant Revolut, lien de paiement https) : facultatifs, visibles et copiables par les membres de votre colocation (l’IBAN est affiché masqué et copié en entier pour payer), jamais transmis à notre outil d’analyse. Déclarations « J’ai payé » et confirmations de remboursement.
• Points et classement.
• Codes et liens d’invitation, liens de partage public (et leur date d’expiration).

Ces données, ainsi que votre nom affiché et votre photo de profil, sont visibles par les autres membres de votre colocation. Les contenus partagés par lien sont visibles par toute personne qui détient le lien, jusqu’à son expiration.

2.3 Photos

• Photo de profil.
• Photo de restes alimentaires, lorsque vous demandez une suggestion de recette à partir d’une photo (transmise au service d’intelligence artificielle, voir 2.5).
• Photo d’un ticket de caisse, lorsque vous utilisez « Scanner un ticket » : transmise au service d’intelligence artificielle (voir 2.5) pour en extraire le magasin, la date, le total, la devise, la catégorie et les lignes, puis jointe à la dépense et visible par les membres de la colocation. Un ticket peut comporter des informations personnelles (fin de numéro de carte bancaire, nom, carte de fidélité) : masquez-les avant la photo si vous le souhaitez.
• Images envoyées au support.

L’Application n’accède à l’appareil photo ou à votre galerie que lorsque vous le décidez et avec l’autorisation de votre appareil.

2.4 Régime alimentaire et allergies (données de santé)

Si vous renseignez un régime alimentaire, des allergies ou des intolérances, ces informations peuvent révéler des données concernant votre santé au sens de l’article 9 du RGPD. Elles sont facultatives et ne sont traitées qu’avec votre consentement explicite, que vous donnez en les saisissant et en confirmant leur envoi lors d’une requête d’intelligence artificielle. Vous pouvez retirer ce consentement à tout moment en les supprimant de l’Application ; le retrait ne remet pas en cause les traitements déjà effectués. Ne saisissez des informations de santé concernant d’autres personnes que si elles vous y ont autorisé.

2.5 Requêtes d’intelligence artificielle

Lorsque vous utilisez une fonctionnalité d’intelligence artificielle, et après confirmation dans la fenêtre d’information affichée avant chaque requête, nous transmettons à Google (Gemini, via Vertex AI) les seules données utiles à la requête : le texte de votre demande, le régime et les allergies renseignés, le nombre de portions, les prénoms ou noms affichés des membres de la colocation, les tâches existantes et, le cas échéant, la photo. Les résultats générés, vos signalements de contenus générés et un compteur d’utilisation sont conservés. Selon les engagements contractuels de Google Cloud, ces données ne sont pas utilisées pour entraîner les modèles de Google.

2.6 Support

Si vous contactez le support via le chat intégré (Crisp) ou par e-mail : e-mail, nom affiché, photo de profil, contenu des messages, images et, le cas échéant, appels audio. Si vous répondez au questionnaire de satisfaction : vos réponses et commentaires.

2.7 Notifications et e-mails

Identifiants de notification de l’appareil (push et Live Activities), identifiant de compte associé, langue, et étiquettes techniques (niveau d’abonnement, consentement marketing). Votre adresse e-mail est enregistrée auprès de notre prestataire d’envoi pour les e-mails de service ; les e-mails marketing ne sont envoyés qu’avec votre consentement.

2.8 Achats

Historique et statut des achats et abonnements (produit, dates, renouvellement, pays du store), associés à votre identifiant de compte. Nous ne recevons aucune donnée bancaire : le paiement est traité par Apple ou Google.

2.9 Données techniques

• Rapports de plantage et mesures de performance (modèle et système de l’appareil, version de l’Application, traces techniques), via Firebase Crashlytics et Firebase Performance.
• Paramètres de configuration à distance et données de sécurité nécessaires au fonctionnement.
• Préférences enregistrées localement sur votre appareil.

2.10 Mesure d’audience (facultative)

Uniquement si vous l’acceptez dans l’Application : événements d’utilisation (écrans vus, fonctionnalités utilisées, étapes d’achat) rattachés à un identifiant pseudonymisé, stockés dans notre propre outil d’analyse hébergé par Google Cloud dans l’Union européenne (Belgique, europe-west1). Vous pouvez retirer ce consentement à tout moment dans les réglages de l’Application.

2.11 Recherche de recettes

Les termes de recherche de recettes sont envoyés à TheMealDB, sans identifiant de compte.

Nous ne collectons pas votre localisation, vos contacts, votre numéro de téléphone ni vos données bancaires, et n’utilisons aucun traceur publicitaire.

3. Finalités et bases légales

• Fournir l’Application (compte, colocation, tâches, dépenses, partage, synchronisation, notifications de service, e-mails de service, support) : exécution du contrat (art. 6.1.b RGPD).
• Fonctionnalités d’intelligence artificielle : exécution du contrat ; pour les données de régime et d’allergies, consentement explicite (art. 9.2.a).
• Gérer les abonnements et quotas : exécution du contrat ; conservation des preuves de transaction : obligation légale (art. 6.1.c).
• Sécurité, prévention des abus et de la fraude, stabilité (rapports de plantage, performance) : intérêt légitime à fournir un service fiable et sûr (art. 6.1.f).
• Mesure d’audience : consentement (art. 6.1.a).
• Notifications et e-mails marketing : consentement (art. 6.1.a), retirable à tout moment.
• Questionnaire de satisfaction et amélioration du service : intérêt légitime ; la participation est facultative.
• Modération et réponse aux autorités : obligation légale et intérêt légitime.
• Gestion des réclamations et litiges : intérêt légitime à défendre nos droits.

Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé. Nous ne vendons ni ne louons vos données.

4. Destinataires et sous-traitants

Vos données sont accessibles à l’Éditeur et, dans la limite de leurs missions, aux prestataires suivants, liés par des engagements de confidentialité et de sécurité :

• Google Ireland Ltd / Google LLC (Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions, Remote Config, Crashlytics, Performance, Hosting ; Vertex AI Gemini ; Google Cloud pour la mesure d’audience) — Union européenne et États-Unis.
• OneSignal, Inc. (notifications push, Live Activities, e-mails) — États-Unis.
• RevenueCat, Inc. (gestion des abonnements) — États-Unis.
• Crisp IM SAS (chat de support) — France / Union européenne.
• TheMealDB (recherche de recettes, sans identifiant) — Royaume-Uni.
• Apple et Google, en leur qualité de stores et de fournisseurs de connexion, qui traitent les paiements et les identifiants de connexion selon leurs propres politiques, en tant que responsables de traitement distincts.

Les autres membres de votre colocation et les détenteurs d’un lien de partage voient les données décrites à l’article 2.2. Nous pouvons communiquer des données aux autorités lorsque la loi l’impose.

5. Transferts hors de l’Union européenne

Certains prestataires (Google LLC, OneSignal, RevenueCat) sont établis aux États-Unis ou peuvent y accéder aux données ; certains traitements techniques de l’Application (fonctions serveur liées aux tâches et aux profils) s’exécutent aux États-Unis, et le service Gemini est appelé via un point d’accès mondial de Google. Ces transferts sont encadrés par la décision d’adéquation « EU-U.S. Data Privacy Framework » lorsque le destinataire y est certifié et, à défaut, par les clauses contractuelles types de la Commission européenne. Le Royaume-Uni bénéficie d’une décision d’adéquation. Vous pouvez obtenir une copie des garanties en nous écrivant.

6. Durées de conservation

• Compte et profil : tant que le compte est actif ; supprimés immédiatement lors de la suppression du compte (article 7). Un compte inactif depuis 3 ans peut être supprimé après un avertissement par e-mail.
• Contenus publiés dans une colocation partagée : ils restent visibles des autres membres après votre départ ou la suppression de votre compte, tant que la colocation existe ; une colocation dont vous étiez le seul membre est supprimée avec votre compte.
• Liens de partage : jusqu’à leur expiration ; les enregistrements techniques correspondants sont purgés au plus tard 12 mois après.
• Données de régime et d’allergies : jusqu’à leur suppression par vous ou celle du compte.
• Photos de tickets de caisse : tant que la dépense à laquelle elles sont jointes existe dans la colocation ; elles ne sont pas conservées par le service d’intelligence artificielle au-delà du traitement de la requête, sous réserve des engagements de Google Cloud.
• Requêtes et résultats d’IA, signalements : jusqu’à la suppression du compte ; les compteurs d’utilisation sont réinitialisés périodiquement.
• Support (Crisp, e-mail) : 3 ans après le dernier échange ; supprimés sous 30 jours sur demande.
• Questionnaire de satisfaction : 3 ans au plus.
• Mesure d’audience pseudonymisée : 25 mois au plus.
• Rapports de plantage : 90 jours.
• Identifiants de notification : jusqu’à la désinscription, la suppression du compte ou l’expiration du jeton.
• Preuves d’achat et de transaction : pendant la durée légale de conservation des pièces comptables (10 ans).
• Éléments nécessaires à la gestion d’un litige ou à la preuve de vos consentements : 5 ans après la fin de la relation (prescription de droit commun).
• Sauvegardes techniques : effacées par rotation dans un délai de 35 jours au plus.

7. Suppression du compte

Vous pouvez supprimer votre compte depuis l’Application (Mon Profil → Zone de danger → Supprimer mon compte) ou via la page « Suppression du compte » du site. La suppression efface votre profil, votre photo, vos compteurs, vos signalements, les colocations dont vous étiez le seul membre, ainsi que vos profils chez OneSignal et RevenueCat. Les contenus publiés dans une colocation partagée sont conservés pour les autres membres (article 6). Les données détenues par Crisp et par notre outil d’analyse sont supprimées sous 30 jours sur simple demande à nelson.apps.dev@gmail.com. La suppression du compte ne résilie pas votre abonnement auprès d’Apple ou de Google.

8. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition (notamment à tout traitement fondé sur l’intérêt légitime et, sans motif, à la prospection), de portabilité (communication de vos données dans un format structuré, sur demande par e-mail), de retrait de votre consentement à tout moment, et du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits, écrivez à nelson.apps.dev@gmail.com depuis l’adresse associée à votre compte. Nous répondons dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe. Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, ou de l’autorité de contrôle de votre pays de résidence.

9. Mineurs

L’Application n’est pas destinée aux personnes de moins de 15 ans, qui ne sont pas autorisées à créer un compte. Si nous apprenons qu’un tel compte a été créé, nous le supprimons. Un parent peut nous le signaler à l’adresse ci-dessus.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des communications (HTTPS/TLS), règles d’accès limitant chaque utilisateur aux données de ses colocations, authentification renforcée pour la suppression du compte, stockage local sécurisé des secrets, accès restreint aux consoles d’administration. Aucun système n’étant totalement sécurisé, nous ne pouvons garantir une sécurité absolue ; en cas de violation de données présentant un risque pour vos droits, nous notifierons la CNIL et, si nécessaire, les personnes concernées, dans les conditions prévues par le RGPD.

11. Traceurs et kits de développement

L’Application n’intègre aucun kit publicitaire ni de suivi publicitaire entre applications et ne demande pas l’autorisation de suivi (ATT) sur iOS. Les kits utilisés (Firebase, OneSignal, RevenueCat, Crisp) servent au fonctionnement du service ; la mesure d’audience et les communications marketing ne sont activées qu’avec votre consentement. Le site web ne dépose pas de cookie de mesure d’audience ou publicitaire.

12. Modifications

Nous pouvons mettre à jour cette politique pour refléter l’évolution de l’Application ou de la loi. La date et la version figurent en tête du document. Toute modification importante vous est signalée dans l’Application ou par e-mail avant son entrée en vigueur et, si elle requiert votre consentement, nous vous le redemanderons.

13. Contact

Elisée Nelson BANGYA NOUPET (Nelson Apps), 17 avenue de Savoie, 78140 Vélizy-Villacoublay, France — nelson.apps.dev@gmail.com