Politique de confidentialité

Cette politique décrit les données personnelles que traitent l'application Animon et son site : lesquelles, pourquoi, sur quelle base légale, qui y a accès, combien de temps, et comment exercer vos droits. 1. Responsable du traitement Le responsable du traitement est Rémy Mainard, entrepreneur individuel (EI), éditeur d'Animon, dont l'identité complète figure dans les mentions légales. Dans ce texte, « Animon » désigne l'éditeur. Pour toute question sur vos données, ou pour exercer vos droits : contact@animon.fr. 2. Les données, par catégorie Chaque catégorie dit ce qui est traité, puis sa finalité, sa base légale, ses destinataires et sa durée de conservation. Les sous-traitants nommés ici sont décrits à la section 5. Compte — votre adresse e-mail et les informations que Google transmet à la connexion (votre identifiant Google et, selon les réglages de votre compte Google, votre nom et l'adresse de votre photo de profil Google), que le service d'authentification conserve avec votre compte ; votre pseudo, votre photo de profil, votre bio si vous en écrivez une, votre code ami ; la date et la version des textes légaux que vous avez acceptés ; la date de votre dernière activité ; l'état de votre abonnement Premium. De votre compte Google, Animon n'utilise que l'adresse e-mail. Finalité : créer votre compte et vous connecter, vous identifier auprès de vos amis, vérifier que vous avez accepté les textes en vigueur, savoir si votre Premium est actif, refuser une photo de profil qui montre de la nudité ou du gore. Base légale : l'exécution du contrat (les conditions générales d'utilisation). Destinataires : Animon ; Supabase (authentification et base de données), Railway (API) ; Google, pour la connexion, et Google (Cloud Vision), qui reçoit votre photo de profil seule, sans votre compte, pour une analyse automatique qui refuse la nudité et le gore. Durée : jusqu'à la suppression du compte. La date de dernière activité et celle de l'acceptation des textes sont remplacées à chaque mise à jour. Cartes — la photo que vous importez, sa zone recadrée et deux versions réduites de cette zone ; l'espèce choisie ; sauvage ou captivité ; le lieu (coordonnées et pays), facultatif et choisi par vous à chaque carte ; la date, facultative ; vos expéditions (le lieu choisi et sa liste d'animaux) et les séries que vous avez complétées ; les drapeaux et animaux débloqués. Avant l'envoi, l'application retire de la photo la position enregistrée par l'appareil. Le lieu peut vous être proposé à partir de cette position, lue sur votre téléphone, ou du bouton « Ma position » : il n'est enregistré que si vous le gardez. Finalité : constituer votre collection, afficher vos cartes et votre carte du monde, faire progresser vos séries et vos expéditions, les montrer à vos amis ; montrer une carte à quiconque reçoit le lien que vous créez pour elle ; refuser une photo qui montre de la nudité ou du gore. Base légale : l'exécution du contrat ; le lieu n'est enregistré que si vous le choisissez. Destinataires : Animon ; vos amis et quiconque reçoit un lien que vous créez (section 3) ; Supabase (stockage des photos et base de données), Railway (API), le stockage de sauvegarde (copie des photos) ; Google, qui reçoit le texte tapé quand vous cherchez un lieu par son nom, et affiche les cartes géographiques dans l'application ; Google (Cloud Vision), qui reçoit la photo seule, réduite et sans votre compte, pour une analyse automatique qui refuse la nudité et le gore. Un refus est noté dans les journaux techniques, avec votre compte et son motif, sans la photo. Durée : jusqu'à la suppression de la carte ou du compte. Une photo refusée par l'analyse automatique ne devient pas une carte et est supprimée. Une photo envoyée pour une carte qui n'a pas été créée est supprimée au bout d'un jour. Une copie technique de la réponse à la création d'une carte, qui évite les doublons quand le réseau coupe, est supprimée au bout de 24 heures. Les drapeaux et animaux débloqués restent acquis, même si la carte est supprimée, jusqu'à la suppression du compte. Amis et social — vos demandes d'ami (envoyées, reçues, refusées), vos amitiés, les likes que vous posez, les signalements que vous émettez (l'objet signalé et son motif) et ceux qui vous visent. Finalité : faire fonctionner les amis, le fil et les likes ; protéger les joueurs et modérer les contenus. Base légale : l'exécution du contrat pour les amis et les likes ; notre intérêt légitime à protéger la communauté pour les signalements. Destinataires : Animon ; vos amis, pour le fil ; Supabase, Railway. Un like est compté, jamais nommé : personne, pas même l'auteur de la carte, ne voit qui l'a posé. Un signalement n'est jamais communiqué à la personne signalée. Durée : une amitié, jusqu'à son retrait ou la suppression de l'un des deux comptes ; une demande refusée, jusqu'à la suppression de l'un des deux comptes, pour empêcher les demandes répétées ; un like, jusqu'à son retrait ou la suppression de ce qu'il vise ; un signalement, tant qu'il n'est pas traité, puis un an après son classement. Passé ce délai, il ne reste du signalement d'une carte que le fait qu'elle est masquée à celui qui l'a signalée, sans motif ni date, tant que la carte existe. Tout disparaît avec le compte. Modération — les décisions prises sur un compte depuis l'administration (suspension et sa levée, suppression d'une carte ou du compte, Premium offert), avec leur date, une note interne, et l'adresse e-mail et le pseudo du compte au moment de la décision. Finalité : garder la trace des décisions de modération et pouvoir en répondre. Base légale : notre intérêt légitime. Destinataires : Animon seul ; Supabase, Railway. Durée : l'adresse e-mail et le pseudo sont effacés 3 ans après la décision ; la trace, sans eux, reste ensuite, y compris après la suppression du compte. Scan d'espèce — la photo envoyée pour identifier l'animal, réduite à 1 024 pixels et sans la position enregistrée dans le fichier ; le nombre de scans du jour ; pour un compte gratuit, le dernier nom d'animal reconnu hors du catalogue ; le journal de mesure du scan, qui ne porte ni votre compte ni un identifiant de votre appareil : modèle et mémoire de l'appareil, version d'Android, durées, hypothèses d'identification, et une empreinte numérique de la photo, qui ne permet pas de la reconstituer. Un modèle installé avec l'application analyse aussi la photo sur votre téléphone ; son résultat rejoint ce journal. Les noms d'animaux reconnus hors du catalogue sont aussi comptés, sans aucun lien avec un joueur, pour enrichir le catalogue. Finalité : identifier l'animal photographié ; appliquer la limite quotidienne de scans ; vous montrer ce nom si vous passez Premium dans les 10 minutes ; mesurer et améliorer la qualité de l'identification. Base légale : l'exécution du contrat pour l'identification, la limite et le nom retenu ; notre intérêt légitime pour le journal de mesure. Destinataires : Animon ; Google (Gemini), qui reçoit la photo seule, sans votre compte ; Supabase, Railway. Durée : la photo n'est pas conservée après l'identification ; le nombre de scans du jour, jusqu'à la suppression du compte ; le nom retenu, lisible 10 minutes, est remplacé au scan suivant et effacé avec le compte ; le journal de mesure, 13 mois. Exception : dans la version de test de l'application, distribuée aux seuls testeurs, la photo envoyée à l'identification est conservée 30 jours avec le journal de mesure, sans lien avec un compte. Abonnement — le reçu Google Play de votre abonnement (jeton d'achat, produit et offre, état, dates de début et d'échéance, renouvellement automatique), l'échéance de votre Premium, et l'historique des événements de l'abonnement (achat, restauration, notifications de Google Play, Premium offert). Animon ne reçoit aucune donnée bancaire. Finalité : activer et maintenir votre Premium ; traiter renouvellements, résiliations, échecs de paiement et remboursements ; répondre à une réclamation. Base légale : l'exécution du contrat (les conditions générales de vente) ; notre intérêt légitime à garder la preuve des événements de l'abonnement. Destinataires : Animon ; Google (Google Play, qui encaisse le paiement) ; Supabase, Railway. Durée : le reçu, jusqu'à la suppression du compte ; chaque événement de l'historique, 3 ans à compter de sa date, y compris après la suppression du compte. Support — votre adresse e-mail et votre message : le sujet et le texte que vous écrivez dans « Contacter le support », ou, pour un envoi depuis une fenêtre d'erreur, la référence de l'erreur, l'écran concerné et le code d'erreur. Finalité : répondre à votre demande, diagnostiquer un problème. Base légale : notre intérêt légitime à vous répondre ; l'exécution du contrat quand la demande porte sur votre compte ou votre abonnement. Destinataires : Animon ; Resend, qui achemine le message ; la messagerie de l'adresse de contact. Animon n'enregistre pas ces messages dans sa base de données. Durée : 3 ans à compter du dernier échange. Journaux techniques et suivi des erreurs — à chaque requête, l'API journalise la méthode, le chemin appelé sans ses paramètres, l'heure, l'adresse IP de l'appareil et, pour certaines lignes, l'identifiant de votre compte ; le service d'authentification et le stockage des fichiers journalisent les requêtes qu'ils reçoivent. Une erreur technique de l'application ou de l'API est envoyée à Sentry avec l'identifiant de votre compte, le message et la pile de l'erreur et la référence montrée à l'écran, et, pour l'application, le modèle de l'appareil, sa version d'Android, sa langue et son fuseau horaire. Jamais votre position, vos photos, les textes que vous saisissez ni vos jetons de connexion ; Sentry est réglé pour ne pas conserver l'adresse IP. Une erreur de l'application survenue sans compte connecté porte un identifiant d'installation tiré au hasard. Finalité : faire fonctionner et sécuriser le service, détecter et corriger les pannes. Base légale : notre intérêt légitime. Destinataires : Animon ; Railway, Supabase ; Sentry. Durée : les journaux sont conservés par chaque hébergeur selon son offre, 90 jours au plus ; les erreurs envoyées à Sentry, 90 jours au plus. 3. Ce que voient les autres joueurs Vos amis. Accepter une demande d'ami donne à cette personne accès à l'intégralité de votre collection, y compris les cartes antérieures à votre amitié : les photos (dans leur version recadrée, sans métadonnées), les espèces, sauvage ou captivité, les lieux et les dates de capture, votre carte du monde, vos expéditions et leur lieu, vos séries complétées, et votre profil (pseudo, photo de profil, bio, ancienneté, compteurs, badges, et le sceau Premium si vous ne l'avez pas masqué). L'écran d'acceptation le rappelle avant que vous validiez. Exception : le lieu d'une carte dont l'espèce est classée « En danger » ou « En danger critique » par l'UICN est décalé de quelques kilomètres pour vos amis ; vous seul voyez sa position exacte. Une carte en attente (au-delà du plafond du compte gratuit) n'est pas visible de vos amis. Retirer un ami lui retire cet accès immédiatement, sans qu'il en soit averti. Vos amis ne voient ni votre code ami, ni votre adresse e-mail, ni la liste et le nombre de vos amis. Quiconque connaît votre pseudo ou votre code ami. La recherche d'un joueur, par pseudo ou par code ami exact, montre votre pseudo, votre photo de profil, votre nombre d'animons et de pays, et le sceau Premium s'il est visible. Votre photo de profil est un fichier public : toute personne qui en connaît l'adresse peut l'afficher. Une personne à qui vous envoyez une demande d'ami voit aussi votre bio. Quiconque a le lien d'une carte. Le geste « Partager » d'une carte crée un lien public vers cette carte seule : toute personne qui le reçoit voit sur le site votre pseudo, la photo dans sa version recadrée, sans métadonnées, l'animal, sa date et son pays, sauvage ou captivité, et votre code ami si vous avez choisi de l'afficher ; jamais le lieu, ni le reste de votre collection. Aucun lien n'est créé sans ce geste, et le site demande aux moteurs de recherche de ne pas le référencer. Vous le retirez à tout moment depuis la carte, ou dans les Réglages, groupe « Capture et confidentialité », « Mes cartes partagées » : la page cesse de s'ouvrir dans les cinq minutes. Un aperçu déjà reçu dans une conversation reste chez la messagerie qui l'a affiché : nous ne pouvons pas le reprendre. 4. Ce qu'Animon ne fait pas Animon ne vend aucune donnée personnelle et n'affiche aucune publicité. Le site d'Animon ne dépose aucun cookie et n'utilise aucun traceur de mesure ou de publicité. Certaines pages gardent ta progression dans ton navigateur ; elle n'en sort pas. 5. Sous-traitants et transferts hors de l'Union européenne Supabase (Supabase Pte. Ltd.) — base de données, authentification, stockage des photos — toutes les catégories de la section 2, sauf le suivi des erreurs — hébergé dans l'Union européenne ; un accès depuis l'extérieur de l'Union, pour le support ou la sécurité, est encadré par les clauses contractuelles types de la Commission européenne. Railway (Railway Corporation) — hébergement de l'API, par laquelle passent toutes les requêtes de l'application, ainsi que du site et de l'outil d'administration — pour ces deux derniers, l'adresse IP des visiteurs du site et les données des comptes consultées par l'administrateur — hébergé dans l'Union européenne ; un accès depuis les États-Unis est encadré par les clauses contractuelles types. Google (Google Ireland Limited et Google LLC) — connexion avec Google, identification des photos (Gemini), contrôle des photos de carte et de profil (Cloud Vision), recherche de lieux (Places) et cartes géographiques (Maps), paiement de l'abonnement (Google Play) — l'adresse e-mail et l'identifiant Google, la photo d'un scan, les photos de carte et de profil, le texte d'une recherche de lieu, les zones de carte affichées, le reçu d'abonnement — Union européenne et États-Unis : cadre de protection des données UE–États-Unis et clauses contractuelles types. Pour la connexion, les cartes et Google Play, Google traite aussi ces données pour son propre compte, selon ses propres règles de confidentialité. Resend (Plus Five Five, Inc.) — envoi des messages du support — votre adresse e-mail et votre message — États-Unis : clauses contractuelles types. Sentry (Functional Software, Inc.) — suivi des erreurs — les données décrites à la section 2 — hébergé dans l'Union européenne (Allemagne) ; un accès depuis les États-Unis est encadré par le cadre de protection des données UE–États-Unis et les clauses contractuelles types. Stockage de sauvegarde, Cloudflare (Cloudflare, Inc., service R2) — hébergé dans l'Union européenne ; un accès depuis les États-Unis est encadré par le cadre de protection des données UE–États-Unis et les clauses contractuelles types — une copie quotidienne des photos des cartes et des photos de profil ; une photo effacée en sort au plus 30 jours après son effacement. Messagerie de l'adresse de contact, Google Workspace (Google Ireland Limited et Google LLC) — Union européenne et États-Unis : cadre de protection des données UE–États-Unis et clauses contractuelles types — les messages envoyés au support et à l'adresse de contact. 6. Après la suppression de votre compte La suppression efface votre compte, vos cartes et leurs photos, votre photo de profil, vos amitiés, vos likes, vos signalements émis et reçus, et tout ce qui s'y rattache. Restent seulement : l'historique des événements de l'abonnement (3 ans à compter de chaque événement) ; la trace des décisions de modération (section 2) ; les journaux de mesure du scan et de mesure d'usage, qui ne sont pas reliés à votre compte. La copie de sauvegarde des photos efface les vôtres au plus 30 jours après, et les sauvegardes quotidiennes de la base de données, tenues par Supabase, disparaissent à l'échéance de leur durée de rétention. 7. Vos droits Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. - Effacement : dans l'application, Réglages (votre avatar en haut de l'écran, puis l'engrenage), groupe « Compte », « Supprimer mon compte » ; la suppression est immédiate. Sans l'application, la page « Supprimer mon compte » du site d'Animon explique comment demander la suppression par e-mail. - Rectification : votre pseudo, votre photo de profil et votre bio se modifient dans l'application, en touchant votre avatar sur votre page de profil ou par « Modifier » en tête des Réglages ; pour le reste, écrivez à l'adresse de la section 1. - Accès et portabilité : l'application ne propose pas d'export. Écrivez à l'adresse de la section 1 depuis l'adresse e-mail de votre compte : la demande est traitée à la main, dans un délai d'un mois. - Opposition : à la mesure d'usage, par l'interrupteur « Mesure d'usage » des Réglages, groupe « Capture et confidentialité » (section 8) ; à tout autre traitement fondé sur notre intérêt légitime, par e-mail à l'adresse de la section 1. Retirer un ami met fin au partage de votre collection avec lui. - Réclamation : vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), www.cnil.fr. 8. Mesure d'usage Finalité : Animon mesure l'usage de l'application pour l'améliorer, et pour son seul compte : quels écrans servent, où la création d'une carte bloque, si les propositions de l'abonnement sont vues. Ces statistiques ne sont recoupées avec aucun autre traitement. Ce qui est mesuré : l'ouverture des onglets ; le début, l'abandon (avec l'étape quittée) et la fin de la création d'une carte, avec sa durée, l'origine de son lieu (photo, recherche, carte déplacée, « Ma position » ou aucun lieu) et celle de sa photo (galerie ou appareil photo) ; le résultat d'un scan (trouvé, absent du catalogue, sans résultat) ; l'affichage d'une limite de l'abonnement et l'abonnement qui s'ensuit ; la fermeture de l'application par le bouton retour, avec l'écran quitté ; le partage ou la copie de votre code ami, et l'ajout d'un ami (par code ou par pseudo) ; les blocs touchés sur l'écran d'accueil. Chaque événement porte aussi l'heure de votre téléphone, la version de l'application et un numéro de session tiré au hasard à chaque ouverture. Ce qui ne l'est jamais : aucune position (ni coordonnées, ni pays, ni nom de lieu), aucune photo, aucun texte que vous saisissez (recherche, pseudo, code ami), aucun identifiant de compte, de carte, d'ami ou d'espèce, ni votre adresse IP. Identifiant : les événements sont rattachés à un identifiant tiré au hasard par l'application. Il n'est dérivé ni de votre compte, ni de votre adresse e-mail, ni d'un identifiant de votre téléphone, et nous ne pouvons pas le relier à votre compte. Il est remplacé au plus tard 13 mois après sa création, et effacé à la déconnexion. Durée de conservation : les événements sont conservés 25 mois au plus. Faute de lien avec votre compte, ils ne sont pas supprimés avec lui. Aucun tiers : la mesure est faite par Animon seul, sans outil d'analyse d'un tiers. Les événements ne sont transmis à personne, hors des hébergeurs de l'API et de la base de données (section 5). Base légale : notre intérêt légitime à améliorer l'application (article 6.1.f du RGPD). La mesure suit les conditions de la CNIL pour une mesure d'audience exemptée de consentement. Vous opposer : l'interrupteur « Mesure d'usage », dans les Réglages de l'application, groupe « Capture et confidentialité », l'arrête sur votre téléphone. Éteint, plus rien n'est envoyé, et les événements en attente comme l'identifiant sont effacés du téléphone. 9. Modification de cette politique Toute nouvelle version porte un nouveau numéro. L'application vous la présente au lancement suivant sa publication et vous demande de l'accepter pour continuer ; la refuser vous déconnecte, sans supprimer votre compte.