Politique de confidentialité

Cette politique explique, en termes simples, quelles données l'application Spice My Date (« l'App », « nous ») traite, où elles se trouvent, combien de temps elles sont conservées et ce que vous pouvez contrôler. Spice My Date est développée par generictec, responsable du traitement au sens du RGPD (règlement (UE) 2016/679).

1. Le résumé en 30 secondes

• Les rendez-vous que vous préparez, les personnes et les réponses à leur sujet restent sur votre téléphone et ne sont pas envoyés à nos serveurs.
• Un aperçu contient uniquement la date du rendez-vous, le titre de chaque idée et les photos que vous ajoutez, sans leurs données de localisation. Il est scellé sur votre téléphone pour la clé de votre partenaire, et nous ne pouvons pas l'ouvrir. Il disparaît une fois vu et, si personne ne l'ouvre, le serveur le supprime au bout de 10 jours.
• Une demande de jumelage peut être acceptée pendant 2 jours, et l'enregistrement de cette demande est supprimé au plus tard 30 jours après sa création. Deux délais différents, pour deux données différentes.
• La vérification de l'âge a lieu avant la création du compte et votre date de naissance reste dans votre profil.
• Nous utilisons des statistiques anonymes et agrégées pour améliorer l'App, et vous pouvez les désactiver dans votre profil. L'App ne contient aucune publicité.

2. Compte et profil

Pour utiliser l'App, vous avez besoin d'un compte. Vous pouvez le créer avec une adresse e-mail et un mot de passe, ou vous connecter avec Google ou Apple. L'authentification est assurée par Firebase Authentication, qui traite votre adresse e-mail et vos identifiants.

Dans votre profil, vous pouvez aussi enregistrer, si vous le souhaitez : un nom, une photo de profil, un numéro de téléphone et un pays. Le nom et le pays permettent à votre partenaire de savoir qui vous êtes ; le numéro de téléphone est une simple coordonnée que vous saisissez, il n'est jamais vérifié et, sous forme d'empreinte à sens unique, permet à votre partenaire de vous trouver, et aucun de ces champs n'est obligatoire. La date de naissance que vous indiquez lors de la vérification de l'âge est aussi conservée dans votre profil, pour adapter les idées à votre âge. La photo de profil est conservée sur votre téléphone sans ses métadonnées EXIF, localisation comprise, et, lorsqu'un stockage est configuré, elle est aussi envoyée vers notre stockage pour que votre partenaire puisse la voir. Nous conservons également votre choix concernant la réception de communications sur le produit.

Ce qui reste uniquement sur votre téléphone. Les rendez-vous que vous préparez, les personnes avec qui vous les préparez, les réponses à leur sujet et le nombre de rendez-vous de la semaine réalisés sont conservés uniquement sur l'appareil. Ils ne sont ni envoyés à nos serveurs ni synchronisés entre téléphones, et Réglages → Supprimer toutes les données les supprime.

Si vous activez le verrouillage de l'app, le code PIN est conservé sur le téléphone uniquement sous forme d'empreinte salée, jamais le code lui-même, et le déverrouillage biométrique est géré par le système. Rien de tout cela ne quitte l'appareil.

3. Le jumelage et la demande

Vous pouvez utiliser l'App sans jumelage. Pour envoyer des aperçus et voir la même idée de la semaine, vous jumelez votre téléphone avec celui de votre partenaire. L'un de vous envoie une demande de jumelage, et l'autre l'accepte ou la refuse dans l'App. Les deux comptes sont alors liés, et chaque côté publie sa clé publique pour que l'autre puisse sceller du contenu pour lui. La clé privée ne quitte jamais l'appareil : elle n'est ni exportée, ni copiée, ni remise à quiconque, nous compris.

Trouver votre partenaire. Sous Couple, vous choisissez votre partenaire dans vos contacts ou par son numéro de téléphone ou son adresse e-mail. Vos contacts ne sont lus que si vous le souhaitez, et uniquement sur votre téléphone. Chaque numéro et chaque adresse e-mail devient sur le téléphone une empreinte salée à sens unique, et seule cette empreinte est envoyée pour vérifier une correspondance. La vérification se fait en temps réel et l'empreinte n'est pas conservée. Pour que votre partenaire puisse vous trouver, nous conservons avec l'identifiant de votre compte une empreinte à sens unique de votre numéro de téléphone, et de votre adresse e-mail si votre service de connexion l'a vérifiée, sans nom ni clé. Cette empreinte est supprimée avec votre compte.

Une demande a deux délais, et la différence compte :

• elle peut être acceptée pendant 2 jours ; passé ce délai, elle ne fonctionne plus et il faut en envoyer une nouvelle ;
• l'enregistrement de la demande est supprimé au plus tard 30 jours après sa création, qu'elle ait été acceptée ou non.

Un compte est jumelé avec une seule personne à la fois. Chacun peut annuler le jumelage seul, sans l'accord de l'autre. Dans ce cas, tout ce qui n'a pas encore été ouvert est détruit immédiatement : la destruction a lieu avant l'annulation du jumelage, pour que rien ne reste conservé derrière un lien qui n'existe plus. Chaque personne reçoit un avis et peut ensuite jumeler son téléphone à nouveau.

4. Les aperçus

Une fois un rendez-vous préparé, vous pouvez envoyer à votre partenaire un aperçu : quand le rendez-vous a lieu et le titre de chaque idée, jamais les détails, plus jusqu'à cinq photos si vous en ajoutez. Les photos partent sans leurs données de localisation et sont scellées sur votre téléphone. Ce qu'il advient de ce contenu :

• il est scellé sur votre téléphone pour la clé publique de votre partenaire (X25519 → HKDF → AES-256-GCM) avant de quitter l'appareil ;
• notre infrastructure stocke et transmet uniquement des octets opaques que nous n'avons aucun moyen d'ouvrir ;
• il ne s'ouvre que sur le téléphone qui le reçoit et, sur Android, l'écran de l'aperçu bloque les captures et l'enregistrement d'écran ; l'iPhone ne donne pas à une app de contrôle équivalent, c'est pourquoi nous ne le promettons pas sur ce système ;
• il est détruit une fois vu ;
• et, quoi qu'il arrive, il est supprimé du serveur 10 jours après sa création.

Un aperçu qui expire avant d'être ouvert peut être rouvert une fois avec un achat unique (section 11), avant sa suppression, qui intervient au plus tard 10 jours après son envoi. Rien ne change pour son contenu : il reste scellé, est détruit une fois vu et est supprimé du serveur au plus tard 10 jours après sa création.

Il n'y a ni album ni historique. Rien n'est archivé, exporté ou renvoyé : la suppression est donc la règle, et non une demande que vous devez faire.

5. La vérification de l'âge

Avant la création de tout compte, l'App vous demande votre date de naissance lors d'une vérification unique. La vérification a lieu avant la création du compte : si vous la réussissez, votre date de naissance est conservée dans votre profil (section 2). Une personne qui ne passe pas la vérification ne laisse aucune trace : ni compte, ni enregistrement, ni événement statistique.

Cette vérification est une mesure relevant de notre politique, et non un mécanisme de vérification d'identité ou d'âge.

6. Statistiques et identifiant publicitaire

Nous utilisons Firebase Analytics pour comprendre comment l'App est utilisée. Ce qui est collecté relève de l'utilisation du produit : des comptages, des noms d'événements issus d'un vocabulaire fixe et un compteur de jours. Jamais vos rendez-vous, les idées, les réponses au sujet d'une personne, le contenu d'un aperçu ni l'identité de votre partenaire. Les statistiques sont activées par défaut et vous pouvez les désactiver dans votre profil ; une fois désactivées, l'App ne conserve plus d'identifiant statistique et Firebase ne reçoit que des signaux agrégés, sans cet identifiant.

Identifiant publicitaire (Android). L'App intègre Firebase Analytics, qui ajoute au paquet l'autorisation de l'identifiant publicitaire (com.google.android.gms.permission.AD_ID) ; nous ne la retirons pas du manifeste. À l'exécution, la collecte de cet identifiant est désactivée et les deux signaux de consentement publicitaire, données utilisateur pour la publicité et personnalisation des annonces, sont toujours refusés. Nous ne l'utilisons pas à des fins publicitaires et ne le partageons avec aucune régie. C'est exactement ce que nous déclarons dans le formulaire Sécurité des données de Google Play.

Autorisation de suivi (iOS). Sur iPhone, l'App vous demande votre autorisation via App Tracking Transparency avant le démarrage des statistiques. Comme cette demande existe, les réponses de Confidentialité de l'app sur l'App Store indiquent que les données collectées peuvent servir à vous suivre. En pratique, nous collectons toujours uniquement l'utilisation du produit, et vous pouvez refuser dans la demande du système ou dans votre profil, dans l'App.

7. Intégrité de l'app

L'App envoie à notre backend une attestation d'intégrité (Firebase App Check), fournie par le système d'exploitation, qui confirme qu'une requête provient d'une installation authentique de l'App et non d'un script. Ce n'est pas un identifiant d'utilisateur : elle ne vous suit pas d'une app à l'autre et n'est pas utilisée à des fins publicitaires.

8. Notifications

Si vous autorisez les notifications, nous conservons le jeton de notification de votre appareil, lié à votre compte, pour vous prévenir lorsque votre partenaire vous envoie un aperçu. Le jeton ne contient pas le contenu de l'aperçu, et la notification non plus.

Le rappel du rendez-vous de la semaine est différent : il est programmé sur le téléphone lui-même, pour le jeudi à 19:00, si l'idée de la semaine n'a pas encore été marquée comme faite, et il n'envoie rien à aucun serveur. Il n'existe que si vous êtes en couple dans l'App et que les notifications sont activées. Vous pouvez retirer l'autorisation à tout moment dans les réglages du téléphone.

9. Bloquer et signaler

Vous pouvez bloquer et signaler la personne qui vous a envoyé un aperçu, depuis l'écran où vous l'ouvrez. Un blocage s'applique sur votre téléphone et est aussi enregistré côté serveur, pour qu'une personne bloquée ne puisse rien vous envoyer, même depuis un client modifié.

Un signalement crée un enregistrement contenant ce dont nous avons besoin pour l'examiner. Comme notre infrastructure ne détient que du contenu scellé, ce qui est joint à un signalement est la copie que votre propre téléphone avait déjà ouverte : c'est la seule version lisible qui existe. Seule l'App peut écrire des signalements : aucune installation ne peut les relire, pas même les siens.

10. Cookies sur ce site

Ce site utilise Google Analytics 4 en mode consentement. Tant que vous n'avez pas fait votre choix, le stockage est refusé et GA4 n'envoie que des mesures agrégées sans cookies. Si vous acceptez, les cookies _ga et _ga_<id> sont déposés pour les statistiques d'utilisation. Vous pouvez changer d'avis à tout moment via le lien Cookies en bas de page.

11. Paiements et abonnements

Premium est un abonnement vendu et facturé par l'App Store ou Google Play, avec l'aide de RevenueCat pour savoir si l'abonnement de votre compte est actif. Nous ne recevons ni ne conservons jamais les données de votre carte. Nous recevons uniquement le statut de l'abonnement, que notre serveur enregistre à partir d'une notification de RevenueCat.

Tant que vous êtes jumelés, l'App de votre partenaire lit si votre abonnement est actif et jusqu'à quand, jamais de données de paiement, afin d'appliquer Premium aux rendez-vous que vous préparez ensemble. Cela cesse lorsque vous annulez le jumelage ou lorsque l'abonnement prend fin. L'abonnement reste rattaché au compte de la boutique de la personne qui l'a acheté.

Rouvrir un aperçu expiré est un achat unique, vendu et facturé par l'App Store ou Google Play au prix affiché dans la boutique. Ce n'est pas un abonnement et cela ne change rien à votre statut Premium. Comme pour l'abonnement, nous ne recevons ni ne conservons jamais les données de votre carte. Nous recevons seulement la confirmation que l'achat est actif, pour rouvrir cet aperçu.

12. Autorisations de l'appareil

• Appareil photo - pour prendre votre photo de profil, si vous le souhaitez, ou une photo pour un aperçu. La prise de vue a lieu sur l'appareil.
• Photos - pour choisir plutôt une photo existante, pour votre profil ou pour un aperçu.
• Notifications - pour vous prévenir à l'arrivée d'un aperçu, et pour le rappel du rendez-vous de la semaine.
• Biométrie - uniquement si vous activez le déverrouillage biométrique dans le verrouillage de l'app. La vérification est faite par le système, et l'App sait seulement si elle a réussi.

L'App ne demande jamais votre localisation, ne lit vos contacts que si vous souhaitez y chercher votre partenaire et n'accède à aucun autre contenu du téléphone. Vous pouvez refuser ou retirer toute autorisation dans les réglages du système.

13. Avec qui nous partageons des données

Nous ne vendons pas de données et n'en partageons pas à des fins publicitaires. Nous faisons uniquement appel aux sous-traitants nécessaires au fonctionnement du service : Google Firebase (authentification, base de données, stockage, notifications, statistiques et intégrité), RevenueCat (statut des abonnements) et les boutiques Apple App Store et Google Play (paiements). Nous pouvons aussi divulguer des données lorsque la loi l'exige.

L'App télécharge depuis notre base de données les idées et les packs publiés, pour que les nouveautés arrivent sans mettre l'App à jour. Cette requête n'envoie aucune donnée vous concernant en dehors de votre session dans l'App.

14. Supprimer votre compte

Vous pouvez supprimer votre compte dans l'App : dans votre Profil, ouvrez le menu ⋮ et choisissez Supprimer le compte. Par sécurité, nous vous demandons de confirmer votre identité juste avant (votre mot de passe, ou le compte Google/Apple utilisé pour la connexion). La suppression du compte, dans cet ordre :

• annule le jumelage, en détruisant tout ce qu'aucun des deux côtés n'a encore ouvert ;
• supprime le compte d'authentification et votre enregistrement utilisateur avec le nom, le téléphone, la date de naissance, le pays, la photo de profil et le jeton de notification ;
• retire de ce téléphone votre clé de chiffrement et votre profil.

Il n'y a pas de délai de récupération : passé ce moment, ni vous ni nous ne pouvons rien restaurer. Les signalements déjà déposés par une autre personne sont conservés, car ils ne vous appartiennent pas et ne peuvent pas être reconstitués. Les rendez-vous et les personnes que vous avez préparés restent sur le téléphone jusqu'à ce que vous utilisiez Réglages → Supprimer toutes les données, qui permet aussi de vider le téléphone sans supprimer le compte.

15. Vos droits (RGPD)

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition concernant les données que nous traitons (compte, profil, données de jumelage, statut de l'abonnement, statistiques anonymes), ainsi que du droit de retirer votre consentement. Comme vos rendez-vous restent sur votre téléphone et que nous n'avons jamais accès aux aperçus, l'essentiel du contrôle est directement entre vos mains, dans l'App. Pour exercer ces droits, écrivez à info@spicemydate.app. Vous avez également le droit d'introduire une réclamation auprès de votre autorité de contrôle (au Portugal, la CNPD).

16. Âge minimum

Spice My Date s'adresse aux personnes de 17 ans et plus. L'App n'est pas destinée aux enfants et nous ne collectons pas sciemment de données de mineurs. Si nous apprenons qu'un compte a été créé par une personne n'ayant pas l'âge minimum, nous le supprimons.

17. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des améliorations de l'App ou des évolutions légales. Nous publierons la version révisée sur cette page, avec la date de « Dernière mise à jour » en haut. Les modifications importantes seront signalées dans l'App.

18. Contact

Responsable du traitement : generictec. Pour toute question relative à la vie privée, écrivez à info@spicemydate.app.