Politique de confidentialité

Responsable du traitement

Nicolas Prin — Axons, 5 rue de la Tour Ronde, 69440 Mornant, France, détermine les finalités et les moyens des traitements décrits ici. Contact relatif aux données : [email protected]. Cette politique concerne le site web et l’application Kiveukoi.

Compte et connexion

Nous utilisons votre identifiant de compte, votre nom d’affichage, votre pseudo unique et votre adresse e-mail pour créer votre espace, vérifier votre accès et retrouver vos données. Base juridique : exécution du service demandé.

Keycloak, hébergé pour Kiveukoi, gère l’identité et les sessions. Les mots de passe de la connexion e-mail sont traités par Keycloak ; ils ne sont pas stockés dans la base applicative des listes. Si vous choisissez Apple ou Google, nous recevons les informations d’identité autorisées par ce fournisseur. Kiveukoi ne reçoit pas votre mot de passe Apple ou Google. Apple peut fournir une adresse relais si vous choisissez de masquer votre adresse.

Listes, cadeaux et réservations

Nous conservons les noms et descriptions de listes, les occasions et dates choisies, les idées cadeaux, prix, liens et adresses d’images, les adhésions aux listes et les réservations. Ces données permettent d’exécuter les fonctionnalités demandées.

Le créateur choisit un accès par lien, par lien avec validation des demandes, ou uniquement sur invitation. Le contenu est accessible après adhésion ou acceptation. Le renouvellement du lien empêche les nouvelles adhésions avec l’ancien lien ; il ne retire pas les membres déjà acceptés. Quitter une liste libère vos réservations dans cette liste.

Les autres participants voient les disponibilités nécessaires pour éviter les doublons. Sur une liste « Pour moi », pendant le cycle actif, le propriétaire ne reçoit ni les cadeaux ajoutés par les invités ni les statuts de réservation dans les réponses de l’application. À l’expiration, les objets réservés et ceux ajoutés par les invités sont supprimés : la disparition d’un de ses objets peut permettre au propriétaire de déduire une réservation passée, sans révéler l’identité du réservant. Sur une liste « Pour quelqu’un », tous les membres, y compris le créateur, voient les idées et les disponibilités ; le destinataire n’a pas besoin de compte. Le mode est fixé à la création. Cette discrétion n’est pas un chiffrement de bout en bout : les personnes habilitées à exploiter le service peuvent accéder aux données lorsque cela est nécessaire. Évitez les informations sensibles ou inutiles sur des tiers.

Carnet personnel et notifications

Vous pouvez ajouter à votre carnet un membre accepté d’une liste commune. Cet ajout est personnel et non réciproque. Il ne donne pas accès à vos autres listes. Le filtrage par e-mail ou pseudo est limité à votre carnet ; aucune recherche globale de comptes n’est proposée. Les membres voient le nom d’affichage et le pseudo, pas l’adresse e-mail.

Lorsqu’un compte rejoint sa première liste au moyen du lien personnel partagé par un membre, nous enregistrons le compte à l’origine de cette recommandation, la liste concernée et la date. Cette attribution de premier contact permet de mesurer les recommandations directes et indirectes dans le backoffice ; elle ne donne aucun droit supplémentaire, n’est pas montrée aux autres membres et ne contient ni cadeau ni réservation. Un lien historique ou privé de son paramètre d’attribution reste utilisable sans créer cette relation.

Nous conservons le carnet, les invitations, les demandes et leurs réponses pour exécuter ces fonctionnalités. Les réglages permettent de choisir les alertes reçues. Les rappels à J−14, J−7 et J−1 utilisent la date de la liste et l’heure de Paris. Les demandes et invitations en attente restent consultables lorsque leurs alertes sont désactivées.

Si vous autorisez les push sur votre appareil, Firebase Cloud Messaging (Google) et, sur iOS, Apple Push Notification service transmettent les notifications. Un identifiant d’installation, le jeton de notification, la plateforme et le contenu de l’alerte sont utilisés à cette fin. Ils peuvent inclure le nom d’une liste, mais jamais ses réservations. Vous pouvez désactiver les alertes dans les réglages de l’app ou du système. Aucun accès au carnet d’adresses du téléphone n’est demandé. La mesure Firebase Analytics, distincte des notifications, reste désactivée sans consentement facultatif.

Liens, images et assistance par IA

Lorsque vous saisissez un lien public de produit, notre serveur peut consulter cette page pour suggérer ses informations publiques. Le marchand reçoit une requête de notre serveur. Les images affichées depuis une adresse externe peuvent être chargées directement depuis votre appareil ; leur hébergeur peut alors recevoir des données techniques comme l’adresse IP.

L’assistance OpenAI est facultative, désactivée par défaut et proposée lors de l’étape du pseudo ou des préférences au premier accès. Elle reste activable et désactivable dans « Mon compte ». Votre choix et sa date de modification sont enregistrés dans votre profil et s’appliquent sur vos appareils. Une fois activée, l’assistance se lance automatiquement lorsque vous renseignez un nouveau lien produit valide, y compris dans le Coffre et depuis un partage du navigateur, sans vous redemander votre accord pour chaque idée. Nous transmettons un extrait de la page produit, ses métadonnées et des adresses d’images candidates à OpenAI pour suggérer le nom, la description, le prix, une image et une catégorie de produit. Cette catégorie est enregistrée avec votre idée, peut être corrigée et permet de classer les cadeaux ainsi que de préparer des statistiques agrégées par catégorie. Nous n’ajoutons pas votre identité, vos autres listes ni vos réservations à cette demande. Un extrait ou un lien peut toutefois contenir des données personnelles : utilisez uniquement une page produit publique.

Vous pouvez laisser cette option désactivée et remplir les champs vous-même ou utiliser les métadonnées disponibles sans IA. Vous pouvez retirer votre autorisation à tout moment dans « Mon compte ». La désactivation empêche les nouvelles demandes d’IA sur vos appareils, sans annuler une demande déjà transmise. Les suggestions ne sont pas garanties : vérifiez le prix et le modèle. Le paramètre API store est désactivé ; cela ne signifie pas que le prestataire ne conserve aucun journal technique. Les conditions de conservation et de transfert du prestataire doivent être prises en compte.

Achats et crédits

Les paiements passent par Stripe sur le web, Apple App Store sur iOS et Google Play sur Android. RevenueCat vérifie et synchronise les achats mobiles pour permettre l’attribution des crédits. L’identifiant de votre compte permet d’attribuer le crédit au bon utilisateur. Nous enregistrons les références de transaction, la plateforme, l’état de l’achat ou du remboursement et les crédits utilisés. Un crédit est consommé à la création ou au renouvellement ; les crédits non utilisés n’expirent pas. Nous ne recevons pas votre numéro complet de carte bancaire.

Ces traitements servent à exécuter l’achat, éviter un double crédit, gérer les remboursements et respecter les obligations applicables. Les crédits offerts et les interventions administratives sont tracés pour justifier les opérations et prévenir les abus. Les justificatifs comptables soumis à une obligation légale suivent la durée de conservation correspondante.

Nous enregistrons les renouvellements pour éviter les doubles débits. Les corrections et renouvellements offerts par l’administration sont journalisés avec l’auteur, le motif, les dates et le type concernés, sans y copier les cadeaux cachés ni les réservations.

Assistance, demandes et sécurité

Si vous utilisez notre formulaire authentifié, nous conservons votre identifiant, la catégorie, le texte et la date de votre demande, son état et la réponse de l’équipe. Une demande de suppression est une demande à traiter, pas une suppression immédiate. Un message d’erreur ne vaut pas confirmation d’enregistrement.

Les serveurs et prestataires peuvent traiter des adresses IP, dates, informations de navigateur ou d’appareil et événements techniques pour assurer la sécurité et la disponibilité. L’intérêt légitime de protéger le service fonde ces traitements, dans la limite des données nécessaires. Ne fournissez jamais de mot de passe, de code de connexion ou de numéro de carte dans une demande.

Signalements, modération et confiance

Pour prévenir les abus et protéger les utilisateurs, nous traitons les signalements, leurs motifs et dates, la référence et une copie limitée du contenu signalé, son auteur, les décisions motivées, les restrictions et un score de confiance. L’intérêt légitime de sécuriser le service et faire respecter ses règles fonde ces traitements. Les copies de modération n’incluent jamais l’état des réservations.

Seuls les administrateurs et super-administrateurs habilités accèdent au score et aux dossiers nécessaires à leur mission. Un propriétaire, même administrateur, ne peut pas consulter ou arbitrer les dossiers de sa liste ni voir les cadeaux cachés ajoutés par les invités à sa liste personnelle. Les signalants ne sont pas identifiés dans les messages adressés aux auteurs. Le Coffre privé n’est pas affiché à l’administration ; seule une référence interdite peut y être retirée automatiquement.

Les suspensions provisoires reposent sur des signalants distincts et sur le score confirmé. Les bans automatiques reposent sur des infractions préalablement confirmées par un administrateur ; les critères et seuils sont décrits dans les CGU. Vous pouvez demander un réexamen humain, présenter vos observations et contester la décision par e-mail à [email protected].

Les dossiers clos et leurs signalements détaillés sont conservés six mois après la décision, puis supprimés. L’historique des sanctions est conservé tant que le compte existe pour exécuter les restrictions et distinguer une récidive d’un ancien dossier ; le score confirmé n’est pas recalculé lors de la purge des dossiers. La blacklist est conservée tant que l’interdiction reste justifiée. Les e-mails de modération passent par Resend. Une suppression de compte supprime ses signalements, dossiers personnels, sanctions et e-mails de modération de la base active, sous réserve des autres obligations de conservation décrites ici.

Destinataires et transferts

Les destinataires sont les participants autorisés à vos listes, l’équipe habilitée de Kiveukoi et les prestataires nécessaires aux fonctions utilisées : hébergement OVHcloud, identité Apple ou Google si choisie, Stripe, Apple App Store, Google Play et RevenueCat pour les achats, Firebase et Apple pour les notifications, OpenAI si l’assistance IA est activée, Resend pour les e-mails de service.

Amplitude et Google Analytics reçoivent une mesure facultative de l’utilisation du service uniquement après consentement et déclaration de majorité, lorsque cette fonctionnalité est configurée dans la version utilisée. Le projet de développement Amplitude utilise la région UE. Google Analytics peut traiter des données hors de l’Union européenne ; les garanties applicables figurent dans les conditions de traitement des données de Google et ses mécanismes de transfert.

Les données peuvent être traitées hors de l’Espace économique européen par certains fournisseurs. Ces transferts reposent, selon le prestataire et le pays concerné, sur une décision d’adéquation ou sur des clauses contractuelles types accompagnées de mesures appropriées. La présence d’un serveur européen n’exclut pas ces transferts. Les garanties applicables sont accessibles auprès de [email protected].

Conservation et suppression

Les données du compte et des listes sont conservées pendant l’utilisation du service. Après deux ans sans connexion ni action de votre part, le compte est supprimé après avertissements par e-mail un mois, quinze jours et un jour avant la date annoncée. Une reconnexion ou une utilisation du compte interrompt la procédure. Les rafraîchissements automatiques de session ne constituent pas une activité. Un retard d’envoi peut reporter la suppression. Archiver une liste ne la supprime pas. Supprimer l’application du téléphone ne supprime pas le compte.

À la suppression du compte, le profil, le pseudo, les listes, les contributions aux listes d’autrui, les réservations, le carnet, les liens personnels de partage, les relations de recommandation et les données de notification sont effacés de la base active ; le compte d’authentification est supprimé. Une trace technique sans nom ni e-mail est conservée trente jours pour empêcher une réactivation par une ancienne session. Les statistiques de suppression produites sont des totaux mensuels sans identifiant individuel.

Les traces de paiement nécessaires aux obligations comptables sont conservées séparément pendant dix ans à compter de la clôture de l’exercice concerné au 31 décembre, puis supprimées. Le profil associé ne contient plus de nom, d’e-mail ni de pseudo, mais les références de transactions restent rattachables aux prestataires : ces archives sont pseudonymisées, pas anonymes. Les prestataires de paiement et d’e-mail appliquent également leurs propres durées de conservation.

À l’expiration, les invités perdent l’accès à la liste. Les cadeaux cachés des listes personnelles et tous les objets réservés ou déclarés reçus sont supprimés de la base active avec leurs réservations. Les autres objets restent consultables uniquement par le propriétaire dans l’app, sous réserve des accès administratifs habilités décrits dans la politique de confidentialité. Les invitations et demandes en attente sont annulées. L’archivage manuel ne suspend ni ne prolonge le délai. Les objets restants sont conservés tant que la liste et le compte existent. Les sauvegardes suivent leur propre rotation ; une suppression de la base active n’efface pas instantanément les copies de sauvegarde.

Les sauvegardes chiffrées sont conservées pendant 14 jours. Elles ne servent pas à réactiver un compte supprimé. Une restauration rejoue les suppressions intervenues depuis la sauvegarde. La suppression automatique est suspendue pour les comptes ayant des crédits non utilisés, afin de respecter leur absence d’expiration, ainsi que pour les dossiers d’assistance ou remboursements en cours et les comptes d’administration. Ces exceptions font l’objet d’un examen périodique. Les comptes existants sans historique d’activité fiable bénéficient d’un nouveau délai de deux ans lors de la mise en place de ce suivi.

Vos droits

Vous pouvez demander l’accès, la rectification ou l’effacement de vos données, la limitation du traitement, la portabilité lorsque applicable, et vous opposer aux traitements fondés sur l’intérêt légitime dans les conditions prévues par le RGPD. Vous pouvez retirer un consentement pour l’avenir sans affecter la licéité du traitement antérieur.

Utilisez l’assistance de l’app, la page Suppression de compte, ou écrivez à [email protected]. Une vérification proportionnée peut être demandée en cas de doute sur votre identité. Une réponse doit en principe vous être apportée sous un mois ; une prolongation motivée peut s’appliquer aux demandes complexes. Vous pouvez saisir la CNIL sur cnil.fr ou votre autorité de contrôle compétente.

Protection des mineurs

Kiveukoi est destiné aux personnes de 15 ans et plus. Entre 15 et 17 ans, l’utilisation nécessite l’accord d’un titulaire de l’autorité parentale. Les moins de 15 ans ne peuvent pas créer leur propre compte ; un adulte peut créer et gérer une liste de cadeaux pour eux depuis son propre compte.

En France, à partir de 15 ans, une personne peut consentir elle-même aux traitements facultatifs de données concernés par ce seuil. Cela ne lui donne pas une capacité générale à contracter : les achats doivent être effectués ou expressément autorisés par son représentant légal. La mesure d’audience Amplitude et Google Analytics reste désactivée pour les utilisateurs mineurs.

Aucune pièce d’identité ni date de naissance complète n’est demandée. Évitez d’inscrire des informations sensibles, une adresse personnelle ou le nom d’une école dans les listes.

Analyse facultative de l’utilisation

Au premier accès connecté à cette version sur un appareil, l’étape du pseudo et des préférences propose séparément la déclaration de majorité, l’assistance IA et les mesures d’utilisation. Les comptes existants voient aussi cette étape, sans devoir changer de pseudo. La mesure par Amplitude et Google Analytics reste facultative et ne démarre qu’après accord, dans les versions où elle est configurée. Une fenêtre propose également ce choix lors de la première visite web sans connexion, à l’expiration du consentement ou après une modification importante de cette information. Vous pouvez modifier ce choix depuis Mon compte → Améliorer Kiveukoi, ou Mes choix de confidentialité sur la page d’accueil et de connexion du site. L’acceptation exige de déclarer avoir 18 ans ou plus. L’objectif est de comprendre les parcours et l’audience pour améliorer Kiveukoi. Base juridique : consentement facultatif. Refuser permet de continuer immédiatement et ne limite aucune fonctionnalité.

Amplitude mesure les écrans consultés et les principales étapes de création et modification de listes, ajout de cadeaux, partage, adhésion, invitation, réservation, renouvellement, réglages de notification et achat. Il reçoit le nom de l’événement, sa date, la plateforme et uniquement des catégories prédéfinies, par exemple le rôle propriétaire ou invité, le type de liste, l’étape du paiement et la présence ou non d’un lien ou d’une image. Aucun nom, e-mail, pseudo, texte libre, titre ou description de cadeau, URL, identifiant de liste ou cadeau, contenu de réservation, prix saisi ou jeton d’invitation n’est transmis. La capture automatique des interactions et l’enregistrement des sessions sont désactivés. Aucune requête IA n’est instrumentée.

Google Analytics complète cette mesure avec les pays et villes approximatifs déduits de l’adresse IP, les sources de visites, les types d’appareil et les écrans consultés. Aucun accès au GPS n’est demandé. Nous lui envoyons uniquement des noms d’écran prédéfinis et, sur le web, le domaine d’origine d’une visite, sans chemin, paramètres ni jeton de partage ou de connexion. Les pages du backoffice sont exclues. Sur mobile, le SDK Firebase mesure aussi des événements standards de session, premier lancement et mise à jour, ainsi que les achats intégrés détectés par la boutique (référence du produit vendu, prix, quantité et devise). Ces informations d’achat concernent les crédits Kiveukoi, pas les prix ou le contenu de vos idées cadeaux. La personnalisation publicitaire et Google Signals sont désactivés ; nous n’ajoutons aucune association publicitaire.

Les autorisations de l’étape du pseudo sont facultatives et séparées. Vous pouvez continuer sans les cocher. Dans la fenêtre de renouvellement, les actions Autoriser l’analyse et Continuer sans analyse sont présentées au même niveau. Un marqueur local indique que l’étape du pseudo et des préférences a été terminée pour ce compte et cette version ; il évite de la répéter à chaque connexion ou à l’expiration du consentement. Votre choix, sa date, sa version et votre déclaration de majorité sont conservés localement, pour le compte concerné ou la visite web sans connexion, pendant au maximum 180 jours. Le retrait arrête les nouveaux envois et supprime les cookies Google et la file locale Firebase. Amplitude ne stocke ni ne rejoue les événements hors ligne ; Firebase peut les conserver localement après accord pour les transmettre au retour de la connexion. Les données déjà reçues par un prestataire ne sont pas annulées par le retrait.

Amplitude reçoit un identifiant interne pseudonyme lié au compte pour relier les étapes d’un parcours entre plusieurs sessions et appareils. Il ne contient ni l’e-mail ni le pseudo, mais l’éditeur peut le rapprocher du compte pour traiter une demande d’accès ou d’effacement. La « Référence de mesure » est visible dans les réglages pour accompagner une demande à [email protected]. Un identifiant aléatoire distinct est créé pour chaque session d’analyse et n’est pas conservé par le SDK après sa fermeture. L’enrichissement géographique par l’adresse IP est désactivé dans les événements Amplitude.

Google utilise un identifiant de navigateur, enregistré dans des cookies après accord sur le web, ou un identifiant d’installation sur mobile. Nous ne lui envoyons ni identifiant de compte Kiveukoi, ni e-mail, ni pseudo, ni identifiant publicitaire. Les cookies Google expirent au plus tard après 180 jours, sans prolongation à chaque visite. Les données détaillées des utilisateurs et événements de la propriété Google Analytics sont conservées deux mois, sans renouvellement à chaque activité ; les statistiques agrégées peuvent subsister au-delà.

Les demandes d’accès ou d’effacement concernant les données d’analyse peuvent être adressées à [email protected]. Pour Amplitude, joignez la référence visible dans les réglages. Les données Google n’étant pas associées à votre compte Kiveukoi, une information permettant de retrouver le navigateur ou l’installation concernée peut être nécessaire ; nous ne collectons pas d’identité supplémentaire à cette seule fin.

Stockage local et évolution

Le site et l’app utilisent des stockages nécessaires à la session, à la sécurité du retour de connexion et aux préférences d’apparence. Le choix relatif à la mesure d’audience est mémorisé sur cet appareil. Aucun SDK publicitaire comportemental n’est configuré. Les détails figurent dans la page Cookies et stockage local.

La présente version est datée et doit être mise à jour si les traitements changent. Toute nouvelle finalité nécessitant un consentement fait l’objet d’un choix distinct. Les personnes concernées sont informées des modifications importantes.