1. Responsable du traitement
Le responsable du traitement de tes données personnelles est DEVANDCO (SASU), RCS Poitiers 899 740 955. Ses coordonnées postales complètes figurent à l’article 1 des Conditions d’utilisation (« Éditeur »).
Point de contact RGPD : privacy@dev-and-co.fr
Délégué à la protection des données : non désigné (non obligatoire au regard de l’activité), point de contact RGPD unique à l’adresse ci-dessus.
2. Données collectées
Données fournies à l’inscription :
- numéro de téléphone (authentification SMS) ;
- prénom (ou pseudonyme), date de naissance, photo de profil, couleur personnalisée.
Données générées par ton utilisation :
- Smalas (groupes) auxquels tu appartiens et ton rôle ;
- événements créés ou auxquels tu participes ;
- messages que tu envoies (texte, voix, vidéo, médias) ;
- photos et vidéos uploadées (métadonnées + fichier), ainsi que les notes d’intérêt et de cadrage produites par l’analyse automatique décrite à l’article 4 ;
- dépenses déclarées et parts associées (montants, libellés) ;
- documents partagés sur un event (billets, réservations…) ;
- coordonnées de remboursement que tu renseignes toi-même (Wero, Lydia, Revolut, PayPal, IBAN), visibles de tes co-membres pour te rembourser — Smala n’encaisse rien et ne s’en sert jamais ;
- ta position, uniquement lorsque tu actives le partage sur la carte d’un event en cours : localisation précise, au premier plan seulement (jamais en arrière-plan), effacée automatiquement au bout de 2 heures ;
- préférences (notifications, intensité haptique, locale).
Accès ponctuel à tes contacts :
- quand tu choisis d’inviter quelqu’un, l’app ouvre le sélecteur de contacts de ton téléphone. La lecture est strictement locale : aucun carnet d’adresses n’est transmis à nos serveurs, seul le numéro que tu sélectionnes sert à l’invitation.
Données techniques :
- jeton FCM pour les notifications push ;
- informations d’installation (plateforme, modèle, version d’OS et de l’app, numéro de build/patch) conservées par appareil pour te livrer les mises à jour — identifiant d’installation aléatoire, jamais un identifiant matériel ;
- adresse IP et logs de connexion (conservés 1 an au titre de la LCEN).
3. Finalités et bases légales
Tes données sont utilisées pour :
- fournir le service (authentification, affichage de ton profil aux membres, gestion des Smalas, des events, des photos, des dépenses, des notifications) — base légale : exécution du contrat (CGU) ;
- assurer la sécurité du service (lutte contre les abus, modération des contenus signalés, rapports de crash) — base légale : intérêt légitime ;
- respecter nos obligations légales (conservation des logs de connexion, réponse aux réquisitions) — base légale : obligation légale ;
- améliorer le produit via des statistiques d’usage pseudonymisées, rattachées à ton identifiant de compte et non à ton nom (Firebase Analytics) — base légale : ton consentement (recueilli au 1er lancement, désactivé par défaut, retirable à tout moment depuis Paramètres → Préférences de confidentialité).
4. Analyse automatique de tes photos
Pour proposer « Le film » — un montage souvenir des meilleures photos d’un event — chaque photo ajoutée à un album est analysée automatiquement par un modèle d’intelligence artificielle (Google Gemini, via Vertex AI), au moment de son ajout et sans action de ta part.
Ce qui part : le fichier image (vignette, ou image pleine si la vignette manque). Ce qui revient et se range à côté de la photo : une note d’intérêt, une ambiance, une légende courte, un sujet, et un point de cadrage — celui-ci correspond souvent au visage le plus expressif de l’image. Ces informations ne servent qu’au tri et au cadrage du montage, dans l’album dont la photo provient.
Ce que nous ne faisons pas : aucune reconnaissance faciale, aucune identification de personne, aucun gabarit biométrique, aucun profilage publicitaire, aucune revente.
Tu peux couper cette analyse à tout moment depuis Paramètres → Préférences de confidentialité : tes photos restent dans l’album, elles n’entrent simplement plus dans les montages. Le retrait vaut pour l’avenir ; pour effacer les analyses déjà calculées, écris-nous à privacy@dev-and-co.fr.
Les couvertures illustrées d’event sont, elles, générées à partir du seul titre que tu donnes à l’event — aucune photo, aucune donnée de profil — par Google Gemini puis Cloudflare Workers AI.
5. Traitement automatisé des signalements
Quand tu signales un contenu, le motif que tu choisis et le texte que tu écris dans le formulaire sont transmis à un modèle d’intelligence artificielle (Google Gemini) qui en estime l’urgence : une catégorie, un niveau de gravité et un résumé de ce que tu reproches.
Ce qui ne part pas : le contenu que tu signales. Ni le message visé, ni la photo, ni le document. Ce classement porte sur ta plainte, pas sur ce qu’elle vise.
À quoi ça sert : à prévenir la modération avec le bon degré d’urgence, et à respecter les délais imposés par le règlement sur les services numériques. Ce classement ne décide rien (voir les CGU, article 6).
Base légale : l’obligation légale qui pèse sur nous au titre du règlement (UE) 2022/2065 (DSA), articles 16 et 17, de traiter les signalements sans retard injustifié.
Ce traitement est distinct de l’analyse de tes photos (article 4) et repose sur une base légale différente : l’interrupteur des préférences de confidentialité ne le concerne pas, et ne le coupe pas. Il ne pourrait pas en aller autrement — la sécurité des personnes ne peut pas dépendre d’un réglage de confort. Ce que tu écris dans un formulaire de signalement, tu l’écris pour être lu par la modération.
Lorsque la modération a besoin d’examiner le contenu signalé lui-même, elle le fait depuis son outil interne, sur décision d’une personne, et cet accès est journalisé.
6. Hébergement et transferts
Le cœur du service (ton profil, tes Smalas, tes contenus) est hébergé par Google Ireland Limited via Firebase, dans des centres de données situés dans l’Union européenne (région europe-west9 (Paris, France)).
Certains traitements accessoires reposent sur des prestataires établis aux États-Unis, avec un transfert encadré par les clauses contractuelles types de la Commission européenne et/ou le Data Privacy Framework :
- la télémétrie Google (statistiques, rapports de crash, notifications push, App Check) ;
- Stripe, lors d’un soutien financier (voir article 7) ;
- Giphy, lors d’une recherche de GIF dans le chat (voir article 7) ;
- Google Vertex AI, pour l’analyse automatique des photos d’album (article 4) : ce service est appelé sur son point d’entrée mondial, sans garantie de localisation dans l’Union européenne ;
- Google Gemini, pour le classement des signalements (article 5) : seuls le motif choisi et le texte que tu as écrit lui sont transmis, jamais le contenu signalé ;
- Cloudflare, pour la génération des couvertures d’event (article 4) — aucune donnée personnelle ne lui est transmise.
Google peut par ailleurs, à des fins de sécurité et de redondance, dupliquer des données vers d’autres régions Google Cloud, sous le même encadrement contractuel.
7. Destinataires de tes données
Tes données ne sont accessibles qu’à :
- toi-même (toutes tes données) ;
- les autres membres des Smalas auxquelles tu appartiens (profil public, contenus partagés au sein de ces Smalas et, si tu les renseignes, tes coordonnées de remboursement) ;
- les invité·es event-scoped sur les events auxquels tu les as conviés (sandbox strict, voir CGU) ;
- le personnel autorisé de DEVANDCO en cas de modération ou de support technique ;
- les autorités compétentes sur réquisition légale.
Nous faisons par ailleurs appel à des sous-traitants techniques, qui n’accèdent qu’aux données strictement nécessaires à leur prestation :
- Google/Firebase — hébergement et infrastructure ;
- Stripe — traitement du paiement si tu choisis de soutenir l’app (nous lui transmettons uniquement un identifiant de compte pour rattacher ton soutien ; les coordonnées bancaires sont saisies chez Stripe, nous n’y avons jamais accès) ;
- Giphy — recherche de GIF dans le chat (ton terme de recherche et ton adresse IP lui sont transmis au moment de la recherche) ;
- Google Vertex AI — analyse automatique des photos d’album (article 4) ; le fichier image lui est transmis, sans ton nom ni aucun identifiant de compte ;
- Cloudflare — génération des couvertures illustrées d’event (article 4) ; seul le texte du visuel à produire lui est transmis.
Aucune donnée n’est revendue à des tiers, jamais.
8. Durées de conservation
Profil et contenus : tant que ton compte est actif. À sa suppression, tes données personnelles sont effacées sous 30 jours (le plus souvent immédiatement). Tes contributions partagées (dépenses, messages, photos) sont anonymisées (ton nom est remplacé par « Ancien membre »).
Position partagée sur la carte d’un event : effacée automatiquement au bout de 2 heures, et au plus tard à la clôture de l’event.
Historique des notifications (la cloche) : 30 jours.
Archive de portabilité (export de tes données) : le lien de téléchargement et le fichier sont supprimés de nos serveurs au bout de 7 jours.
Logs de connexion (IP, horodatage) : 1 an (article L34-1 du Code des postes et communications électroniques).
Documents d’event (billets, etc.) : purgés du serveur 12 mois après la clôture de l’event.
Smalas mises à la corbeille : conservées 30 jours puis hard-delete.
Contenu retiré par la modération : le fichier d’origine est conservé 6 mois (durée de la voie de recours DSA), le contenu étant masqué immédiatement.
Rapports de modération et de bug : conservés 3 ans à des fins de traçabilité et de défense.
9. Tes droits
Conformément au RGPD (art. 15 à 22) et à la loi Informatique et Libertés, tu disposes des droits suivants :
- droit d’accès et d’information ;
- droit de rectification ;
- droit à l’effacement (« droit à l’oubli ») ;
- droit à la portabilité : depuis Paramètres → Exporter mes données, tu récupères une archive complète (tes fichiers réels — photos, vidéos, documents — accompagnés d’un export JSON structuré et d’une version lisible dans un navigateur) ;
- droit d’opposition ;
- droit à la limitation du traitement ;
- droit de retirer ton consentement à tout moment (Paramètres → Préférences de confidentialité) ;
- droit de définir des directives sur le sort de tes données après ton décès.
Pour exercer un droit : privacy@dev-and-co.fr. Tu peux aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).
10. Mineurs (15 ans et plus)
Smala est réservé aux personnes âgées d’au moins 15 ans (seuil de consentement seul pour les services en ligne en France, article 7-1 de la loi Informatique et Libertés). Une date de naissance est demandée à l’inscription pour vérifier ce seuil. Si nous apprenons qu’un compte a été créé par une personne de moins de 15 ans, il est supprimé sans délai.
11. Cookies et traceurs
Smala n’utilise aucun cookie publicitaire et aucun traceur tiers à des fins de profilage ou de marketing.
Sur mobile, deux outils manipulent des identifiants de terminal (assimilés à des cookies au sens ePrivacy / CNIL) :
- Firebase Analytics (statistiques d’usage pseudonymes) — désactivé par défaut, activé uniquement avec ton consentement demandé au 1er lancement de l’app et retirable à tout moment ;
- Firebase Crashlytics (rapports de crash) — base légale : intérêt légitime (sécurité du service). Désactivable depuis Paramètres → Préférences de confidentialité.
12. Sécurité
Les données transitent et sont stockées chiffrées (TLS en transit, AES-256 au repos chez Google). L’app s’appuie sur Firebase App Check (Play Integrity sur Android, App Attest sur iOS) pour attester l’authenticité des requêtes. Les règles de sécurité Firestore restreignent l’accès à chaque donnée au strict cercle autorisé.
13. Modifications
Cette politique peut évoluer. Les modifications substantielles sont annoncées dans l’application au moins 15 jours avant leur entrée en vigueur. La date de dernière mise à jour figure en tête de ce document.
