Politique de confidentialité

Dernière mise à jour : 2026-10-18

En bref

Cette section est un résumé. Ce sont les sections suivantes qui constituent la politique, et ce sont elles qui font foi.

• Aucune inscription nécessaire. Tu rejoins un événement par un lien et tu choisis un nom. Nous ne te demandons jamais ton vrai nom ni ton numéro de téléphone, et nous ne te demandons ton adresse e-mail que si tu choisis de créer un compte, dont tu as aussi besoin pour acheter quelque chose.
• Ce que nous conservons, c’est ce que tu saisis dans un événement, plus un identifiant anonyme pour que ton appareil puisse y revenir.
• Le lien est l’identifiant d’accès. Toute personne qui détient le lien d’un événement peut ouvrir cet événement et voir les noms et les dépenses qu’il contient. Ne le partage qu’avec les personnes que tu veux y voir.
• Nos sous-traitants : Supabase (Irlande) pour la base de données, Sentry (Allemagne) pour les rapports d’erreur, et Resend pour les e-mails de connexion si tu crées un compte (et pour l’accusé de réception si tu te rétractes d’un achat sur le web). Cloudflare sert les pages et compte les visites, Google Workspace héberge notre messagerie, et Google Cloud nous transmet les notifications d’achat de Google Play si tu achètes dans l’application Android. C’est la liste complète.
• Si tu achètes un Pass Événement ou CabuTally Pro, le vendeur traite ce paiement en tant que responsable du traitement à part entière : Google dans l’application Android, Stripe sur le web (voir la section 1). Nous ne voyons ni ne conservons jamais les données de ta carte ou de ton compte bancaire.
• Ni publicité, ni pistage, ni profilage. Nous comptons les visites de l’application de façon agrégée, sans rien stocker sur ton appareil et sans rien qui t’identifie (section 3.4). Rien n’est vendu, loué ou partagé, et rien ne sert à entraîner quoi que ce soit.
• Le plugin pour assistants IA. Utilisé sans compte, il ne conserve rien. Si tu connectes ton compte, ChatGPT ou Claude peuvent lire tes événements et y ajouter des éléments en ton nom, et ce qu’ils lisent, y compris les noms et les montants des autres membres, est transmis au fournisseur de cet assistant, un destinataire que tu choisis. Tu peux le déconnecter à tout moment dans Profil (section 3.6).
• Pas de bandeau cookies, parce que tout ce que nous stockons sur ton appareil est strictement nécessaire à un service que tu as demandé. Il n’y a rien à quoi consentir.
• Tu peux faire supprimer tes données. Avec un compte, tu le supprimes toi-même dans l’application (section 10). Sans compte, écris-nous avec le lien de l’événement et le nom que tu y as utilisé, pour que nous puissions les retrouver.

1. Ce que couvre cette politique

Cette politique couvre l’application web et Android CabuTally sur app.cabutally.com, son plugin pour assistants IA sur mcp.cabutally.com, et ce site web, cabutally.com.

Elle ne couvre rien de ce que tu atteins en les quittant. Si tu installes CabuTally depuis Google Play, Google traite tes données d’installation et d’appareil en tant que responsable du traitement à part entière, selon sa propre politique de confidentialité, et nous ne voyons ni ne contrôlons ce traitement. Il en va de même pour l’assistant IA depuis lequel tu utilises le plugin : son fournisseur traite ta conversation en tant que responsable du traitement à part entière (section 3.6).

Si tu achètes un Pass Événement ou CabuTally Pro, qui te le vend dépend de l’endroit où tu l’achètes, et dans les deux cas le paiement n’est pas quelque chose que nous voyons :

• Dans l’application Android, tu achètes auprès de Google. Google Play traite ton paiement en tant que responsable du traitement à part entière pour cette transaction, selon sa propre politique de confidentialité, avec le moyen de paiement enregistré sur ton compte Play.
• Sur le web, tu achètes par l’intermédiaire du service Link de Stripe, qui traite tes données de paiement (ta carte ou tes informations bancaires, ton e-mail de facturation, ton nom si tu le donnes) en tant que responsable du traitement à part entière pour cette transaction, selon sa propre politique de confidentialité.

Ce qui nous parvient de l’un ou de l’autre se limite au fait que tu as acheté quelque chose, quand, son prix, et une référence que nous utilisons pour accorder le déblocage. Jamais ton numéro de carte, son type ou la banque qui l’a émise.

Ce que nous envoyons au vendeur. Pour lancer un achat sur le web, nous envoyons à Stripe l’adresse e-mail de ton compte, notre référence interne de ton compte et, pour un Pass Événement, notre référence interne de l’événement, afin que l’achat parvienne au bon compte et au bon événement. Dans l’application Android, nous n’envoyons rien à Google à ton sujet (section 7).

2. Quelques termes utilisés ci-dessous

• Événement : un espace partagé avec un nom, une devise, une liste de membres et des comptes.
• Membre ou invité : une personne, ou une place réservée pour une personne, dans la liste d’un événement.
• Organisateur : la personne qui a créé un événement. Chaque membre d’un événement a un rôle (lecture seule, membre, co-organisateur ou admin), et la personne qui l’a créé est admin. Un rôle décide de ce que quelqu’un peut faire (inviter, modifier, retirer quelqu’un, clôturer l’événement), jamais de ce qu’il peut voir : aucun rôle ne révèle les lignes privées d’une autre personne.
• Place réservée : un membre ajouté par quelqu’un d’autre avant que cette personne n’ait rejoint l’événement.
• Lien : l’invitation. Le détenir est ce qui donne accès à un événement.

3. Ce que nous collectons

3.1 Ce que tu saisis

• Le nom d’affichage que tu choisis pour toi dans un événement. Il est choisi pour chaque événement, ce n’est pas un vrai nom sauf si tu en fais un, et il n’y a pas de profil global : rien de visible ne relie la même personne dans deux événements.
• Les noms d’événements, la devise, un montant cible facultatif et les réglages de l’événement.
• La logistique d’un événement, si la personne qui l’a configuré l’a renseignée : une date et une heure de début, un lieu, un lien vers une carte et des notes libres.
• Les éléments de la liste : un titre, une note libre facultative, qui les a pris en charge, un prix estimé facultatif, et s’ils sont faits.
• Les dépenses : une description, une note facultative, un montant, qui a payé, entre qui elle est partagée, et si elle est marquée comme privée.
• Les paiements et mouvements d’espèces enregistrés : un montant, qui a payé qui, et une note facultative.
• Les entrées du journal d’activité : une trace de qui a fait quoi dans un événement, générée par tes actions plutôt que saisie par toi. Certaines entrées ne sont visibles que par des personnes précises.
• Les photos, si quelqu’un en ajoute à un événement payant : jusqu’à trois photos de justificatifs sur une dépense, ainsi que la couverture et l’icône de l’événement. Une photo contient ce qui figurait sur l’image, comme un nom, les derniers chiffres d’une carte ou un visage. Chacune est réduite sur l’appareil avant d’être envoyée, ce qui supprime les informations du fichier d’origine (où et avec quel appareil elle a été prise).

3.2 Ce qui est créé automatiquement

• Un identifiant de compte anonyme. La première fois que tu utilises l’application, un compte anonyme est créé pour que ta place survive à la fermeture du navigateur. Il ne contient aucun nom ni aucune coordonnée, mais c’est tout de même une donnée personnelle, car il identifie la place de ton appareil dans tes événements. C’est un enregistrement réel et permanent jusqu’à sa suppression.
• Des identifiants de membre et des enregistrements de session, qui relient un appareil à une place dans un événement.
• Des jetons d’invitation, de reprise de place et de récupération, pour que les liens fonctionnent. Les liens de reprise de place sont à usage unique et expirent ; les invitations peuvent être renouvelées ou révoquées par l’organisateur.
• Des horodatages sur à peu près tout, ce qui rend les comptes vérifiables.
• Un enregistrement d’achat, si tu achètes un Pass Événement ou CabuTally Pro : quel produit, quand, s’il est toujours actif, et un identifiant de référence de celui qui te l’a vendu, Google ou Stripe. Jamais les données de ta carte ; voir la section 1.

3.3 Si tu choisis de créer un compte

Un compte est facultatif. Il existe pour qu’effacer ton navigateur ne te fasse pas perdre tes places, et il t’en faut un pour acheter quelque chose. Il est rattaché à l’identité anonyme que tu as déjà. Il n’en crée pas une deuxième.

• Une adresse e-mail, si tu en ajoutes une. La connexion se fait par un code à 6 chiffres envoyé à cette adresse.
• Un mot de passe, seulement si tu choisis d’en ajouter un à ton compte ; personne n’est invité à en fournir un. Il est conservé par notre fournisseur de base de données (Supabase) sous forme d’empreinte à sens unique (hachage), si bien que ni nous ni lui ne pouvons le relire. Si tu l’oublies, un code à 6 chiffres envoyé à ton adresse e-mail te permet d’en choisir un nouveau.
• Les données de ton compte Google, si tu choisis de te connecter avec Google : l’adresse e-mail et le profil de base que Google renvoie. Google agit en tant que responsable du traitement à part entière pour la connexion elle-même.
• Un nom préféré facultatif, utilisé uniquement pour préremplir le formulaire pour rejoindre un événement. Il est stocké dans un champ que le navigateur peut modifier, donc nous le traitons comme non vérifié et il ne confère aucun droit.

3.4 Données techniques

• Rapports d’erreur : quand quelque chose ne fonctionne pas, un rapport est envoyé à Sentry, tout comme des lignes de journal techniques de l’application. Ils peuvent inclure ton adresse IP, la version de ton navigateur et de ton système d’exploitation, et la suite d’écrans qui y a mené. Les liens d’événement sont retirés de ces rapports avant leur envoi, car un lien d’événement est un identifiant d’accès qui fonctionne.
• Données de serveur et de distribution : Cloudflare et Supabase traitent l’adresse IP et les informations de requête nécessaires pour servir les pages et répondre aux requêtes de base de données.
• Statistiques de visite : quand tu ouvres l’application sur l’une de ses pages d’accueil (jamais sur un lien d’événement ou d’invitation), un petit script de Cloudflare signale cette page, le site d’où tu viens, ton navigateur, ton système d’exploitation, le type d’appareil et le pays, ainsi que la vitesse à laquelle la page s’est chargée et a répondu. Si tu ouvres ensuite un événement, une mesure de vitesse ultérieure peut porter la référence interne de cet événement, jamais son lien d’invitation. Le script ne stocke rien sur ton appareil et n’utilise aucun identifiant pour toi ou pour ton appareil. Cloudflare transforme les rapports en totaux, et les totaux sont tout ce que nous voyons.

3.5 Ce que nous ne collectons jamais

Ni numéro de téléphone, ni contacts, ni carnet d’adresses, ni données de localisation ou GPS, ni identifiant publicitaire, ni empreinte d’appareil, ni données biométriques, ni données de carte de paiement ou bancaires, ni catégories particulières de données (santé, convictions, opinions politiques, origine ethnique, sexualité, appartenance syndicale). CabuTally ne manie jamais d’argent entre ses membres : il enregistre ce que les personnes disent avoir dépensé et s’être payé entre elles. L’argent que tu paies pour une fonctionnalité payante va directement à Google ou à Stripe, jamais par notre intermédiaire (voir la section 1).

Ce que tu dois nous donner, c’est un nom d’affichage, pour rejoindre un événement. Tout le reste est facultatif : une adresse e-mail seulement si tu crées un compte, et un compte seulement si tu veux que tes places survivent à la perte d’un navigateur ou si tu veux acheter quelque chose. Nous ne te demandons jamais ton vrai nom.

3.6 Si tu utilises CabuTally depuis un assistant IA

CabuTally dispose d’un plugin pour les assistants IA comme ChatGPT et Claude, sur mcp.cabutally.com. Tu peux l’utiliser de deux façons.

Sans connecter de compte, il fait deux choses : il transforme un projet en un lien qui ouvre l’application avec l’événement prérempli, et il calcule qui doit combien à qui pour une liste ponctuelle de paiements. Utilisé ainsi, le plugin n’écrit rien : un événement n’existe qu’une fois que tu ouvres le lien et appuies sur Créer dans l’application, et à partir de là le reste de cette politique s’y applique comme à n’importe quel autre.

• Ce que nous recevons. Uniquement ce que l’assistant nous envoie pour répondre à ta demande : un nom d’événement, les noms des personnes concernées, un budget, une devise et, pour un partage, les montants, qui a payé, qui partage chaque paiement et à quoi il a servi. Ton assistant décide de ce qu’il envoie à partir de ta conversation. Nous ne voyons jamais la conversation elle-même, et nous ne la demandons jamais.
• Ce que nous en faisons. Nous calculons la réponse et la renvoyons. Nous ne conservons pas la demande, et nous ne la relions ni à toi, ni à un compte, ni à un événement.

Si tu connectes ton compte CabuTally (section 3.3) à l’assistant, il peut agir dans tes événements en ton nom. Il passe par les mêmes contrôles de base de données que l’application, donc il ne voit que ce que tu peux y voir et ne peut faire que ce que tu pourrais faire.

• Ce qu’il peut lire. Tes événements et ce que tu peux y voir : les noms des événements, le nom de chaque membre, les dépenses avec leurs montants, qui a payé et qui les partage, tes propres dettes, les paiements enregistrés, la liste, l’activité récente, et le lien d’invitation de l’événement quand tu le demandes. Une dépense marquée comme privée reste privée, exactement comme dans l’application (section 6.2).
• Ce qu’il peut écrire. Il peut créer un événement, ajouter des places réservées, ajouter des dépenses, enregistrer un paiement, des espèces remises ou une contribution à la cagnotte, et ajouter ou mettre à jour des éléments de la liste. Chacune est une entrée ordinaire faite par toi, et le journal d’activité la marque « Via un assistant » pour toutes les personnes qui peuvent voir cette entrée. Il ne peut rien modifier ni supprimer, ni rejoindre un événement, ni changer un rôle ou un réglage, ni acheter quoi que ce soit.
• Ce que nous conservons. La connexion : un enregistrement chez Cloudflare qui relie l’assistant à ton compte. Il ne conserve les codes d’accès de l’assistant que sous forme d’empreintes à sens unique, et ta connexion chiffrée avec une clé que seul le propre code de l’assistant déverrouille. Ce que l’assistant lit transite par le plugin et n’y est pas conservé ; ce qu’il écrit est conservé comme tout ce que tu ajoutes dans l’application.
• Déconnexion. Profil → Assistants → Déconnecter les assistants met fin à la connexion de tous les assistants à la fois. Un assistant peut continuer à fonctionner jusqu’à une heure, jusqu’à l’expiration du code d’accès qu’il détient déjà. Supprimer ton compte a le même effet (section 10.1), et une connexion inutilisée pendant 30 jours prend fin d’elle-même.

Dans les deux cas :

• Ce que reçoit le fournisseur de l’assistant. Le fournisseur de l’assistant, comme OpenAI ou Anthropic, reçoit ta conversation et tout ce que le plugin y renvoie. Avec un compte connecté, cela inclut les noms des autres membres et les montants qu’ils ont dépensés, payés ou qu’ils doivent, dans la mesure où tu peux les voir. Le fournisseur est un destinataire que tu choisis en l’utilisant. Il est responsable du traitement à part entière pour ta conversation, selon sa propre politique de confidentialité, et nous ne voyons ni ne contrôlons ce qu’il en fait.
• Qui d’autre intervient. Le plugin fonctionne sur Cloudflare (section 7), qui traite chaque requête comme des données de distribution (section 3.4).
• Ce que nous mesurons. Pour chaque outil, combien de fois il est utilisé et s’il a fonctionné. Ce décompte ne contient rien de la requête : ni nom, ni montant, ni événement.

4. D’où viennent les données, quand elles ne viennent pas de toi

D’autres personnes peuvent saisir des données te concernant, et tu dois le savoir avant que cela n’arrive. Quelqu’un qui crée un événement peut t’y ajouter comme place réservée sous un nom qu’il choisit pour toi, et peut enregistrer que tu as payé quelque chose ou que tu en dois une part. Dans ce cas, nous recevons tes données de cette personne plutôt que de toi, et les catégories sont les mêmes que celles listées à la section 3.1.

C’est la personne qui l’a fait qui sait pourquoi. Si tu préfères ne pas figurer dans un événement, demande-lui de te retirer, ou écris-nous à atencion@azurblade.com (voir la section 9).

5. Pourquoi nous les traitons, et ce qui nous y autorise

Sur les six intérêts légitimes. Nous avons examiné s’ils l’emportent sur tes droits, et conclu que non, pour les raisons suivantes : le journal d’activité existe parce que des comptes partagés sans attribution provoquent exactement les disputes que l’application doit éviter, et il n’est visible qu’à l’intérieur de l’événement auquel il appartient ; les rapports d’erreur sont le seul moyen pour un service aussi petit de savoir qu’il est en panne, et les liens d’événement en sont retirés ; la prévention des abus protège les autres utilisateurs autant que nous ; un enregistrement d’achat est ce qui nous permet de répondre à un remboursement, à un litige de paiement ou à une réclamation sur quelque chose que tu as payé ; les totaux de visites disent à un service aussi petit si les gens y arrivent et s’il est assez rapide pour eux, et des totaux sans aucun identifiant te concernant sont le moyen le moins intrusif de le savoir ; et l’assistant d’un membre ne voit que ce que ce membre peut déjà lire, copier ou capturer à l’écran dans l’application, jamais une dépense privée dont il ne fait pas partie, et ce qu’il écrit est marqué comme venant d’un assistant. Aucun des six ne sert à établir un profil, à te cibler, ni à quoi que ce soit d’étranger au fonctionnement du service. Si tu t’y opposes, écris-nous (section 9).

6. Qui peut voir tes données

6.1 Les autres personnes de ton événement

Toute personne qui détient le lien d’un événement peut ouvrir cet événement. Elle verra le nom de l’événement, les noms des membres, la liste, les descriptions des dépenses et les montants. C’est ainsi que fonctionne le fait de rejoindre (le lien est l’invitation), et c’est la phrase la plus importante de cette politique.

L’organisateur peut renouveler ou révoquer ce lien, ce qui empêche l’ancien de fonctionner. Si un lien est parvenu à quelqu’un qui n’aurait pas dû l’avoir, c’est la solution.

Les photos suivent ce à quoi elles appartiennent. La photo d’un justificatif est visible par quiconque peut voir sa dépense, donc celles d’une dépense privée uniquement par ses personnes. La couverture et l’icône d’un événement sont visibles par tout l’événement, et la couverture aussi par quiconque détient le lien de l’événement, sur la page qui l’invite. La couverture et l’icône sont stockées à une adresse que personne ne peut deviner et qui fonctionne sans connexion : quiconque reçoit cette adresse peut donc ouvrir l’image jusqu’à ce qu’elle soit remplacée ou retirée.

Un membre qui connecte un assistant IA lui permet de lire ce qu’il voit dans l’événement, y compris ton nom et les montants qui te concernent, et le fournisseur de cet assistant le reçoit (section 3.6). Ce sont les mêmes informations que ce membre pourrait copier ou capturer à l’écran dans l’application.

6.2 Ce qui reste privé, même à l’intérieur d’un événement

• Par défaut, qui doit quoi à qui est privé entre les deux personnes concernées. Tu ne vois que les dettes dont tu fais partie, et ni l’organisateur ni personne d’autre n’a de vue d’ensemble de qui doit quoi dans le groupe. Un co-organisateur ou un admin peut passer l’événement en soldes visibles par tout le groupe : tout le monde y voit alors chaque dette restante, pas seulement les siennes. Le réglage s’applique à tous de la même façon, le journal d’activité montre qui l’a activé, et il peut être désactivé.
• L’achat d’un Pass Événement est visible par tout l’événement. Le journal d’activité montre qui l’a débloqué, et le montre à nouveau s’il prend fin à la suite d’un remboursement ou d’un litige de paiement.
• Une dépense marquée comme privée n’est visible que par les personnes qu’elle concerne.
• Les entrées du journal d’activité qui révéleraient ce qu’une autre personne a dépensé ou doit ne sont montrées qu’aux personnes concernées : les entrées relatives à une dépense privée, et l’entrée qui enregistre qu’une dette a été réglée.
• Une entrée d’argent est visible par tout l’événement, à dessein : les espèces remises entre deux membres. Elle nomme les deux et indique le montant, parce que l’un comme l’autre peut l’enregistrer, y compris face à une place réservée, qui ne peut pas répondre, et c’est le fait que le groupe la voie qui garde cette déclaration honnête.

6.3 Personne d’autre

Nous ne vendons, ne louons, ne partageons ni n’échangeons de données personnelles. Il n’y a ni régie publicitaire, ni outil d’analyse tiers, ni courtier en données. Les totaux de visites de la section 3.4 sont produits pour nous seuls, par Cloudflare en tant que sous-traitant. Les seuls destinataires sont les sous-traitants de la section 7 ; celui qui te vend une fonctionnalité payante (Google dans l’application Android, Stripe sur le web), chacun recevant tes données de paiement en tant que responsable du traitement à part entière (section 1) ; et le fournisseur d’un assistant IA qu’un membre choisit d’utiliser, qui reçoit ce que lit l’assistant de ce membre en tant que responsable du traitement à part entière (section 3.6).

Nous communiquerions des données si une injonction légale valable l’exigeait. Cela n’est jamais arrivé ; si cela arrive, nous te le dirons, sauf si l’injonction l’interdit.

Si CabuTally changeait un jour de mains (vente, fusion ou transmission avec l’activité), tes données suivraient le service, et celui qui le reprend serait lié par cette politique. Nous le dirions dans l’application avant que cela n’arrive, et tu peux toujours nous demander de supprimer tes données d’abord.

7. Sous-traitants

Ces entreprises traitent des données uniquement sur nos instructions, en vertu de contrats écrits de sous-traitance conformes à l’art. 28.3 du RGPD.

C’est la liste complète.

Google apparaît comme vendeur et comme sous-traitant, et ce sont deux choses différentes. Quand tu achètes dans l’application Android, Google est le vendeur et traite ton paiement en tant que responsable du traitement à part entière (section 1), c’est pourquoi ce rôle ne figure pas dans ce tableau. Par ailleurs, Google Play doit nous signaler qu’un achat a eu lieu, qu’un abonnement a été renouvelé, ou qu’il a été annulé ou remboursé, pour que ce que l’application te montre reste exact. Ces notifications nous parviennent par Google Cloud Pub/Sub, sur un projet que nous gérons et sur nos instructions, ce qui fait de Google notre sous-traitant pour cette transmission. La notification contient un numéro de référence de l’achat et rien d’autre : ni ton nom, ni ton e-mail, ni tes données de paiement, ni quoi que ce soit de tes événements. Nous n’envoyons à aucun moment d’informations te concernant à Google : nous l’interrogeons seulement sur une référence d’achat qu’il nous a donnée.

Stripe ne figure pas dans ce tableau, pour la raison donnée à la section 1 : sur le web, c’est le vendeur, et il traite ton paiement en tant que responsable du traitement à part entière, et non sur nos instructions.

8. Transferts internationaux

Supabase et Sentry conservent tes données dans l’UE. Supabase est en Irlande ; Sentry est sur sa région UE en Allemagne, ce qui est un choix délibéré ; par défaut, ç’aurait été les États-Unis. Ce sont deux entreprises américaines, et leur personnel peut accéder à ces données depuis l’extérieur de l’UE pour l’assistance et la maintenance ; cet accès est couvert par les clauses contractuelles types de la Commission européenne figurant dans leurs contrats de sous-traitance.

Cloudflare est l’exception honnête, et nous préférons l’expliquer plutôt que d’affirmer le contraire. Cloudflare distribue l’application et ce site web, et fait fonctionner le plugin pour assistants IA, depuis un réseau mondial, si bien qu’une requête peut être servie par une machine située hors de l’UE, et la société mère de Cloudflare est aux États-Unis. Ce que Cloudflare traite dans ce rôle, ce sont des données de distribution (adresse IP, adresse demandée, type de navigateur), plus les rapports de visite de la section 3.4, les requêtes au plugin de la section 3.6, qui reçoivent une réponse et ne sont pas conservées, et les connexions du plugin, qui ne conservent ta connexion que chiffrée, et non le contenu de tes événements, qui reste dans la base de données Supabase en Irlande. Le transfert est couvert par le contrat de sous-traitance de Cloudflare, qui intègre les clauses contractuelles types de la Commission européenne, et par la certification de Cloudflare au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework).

Resend est la deuxième exception. Resend envoie les e-mails de connexion, qui contiennent ton adresse e-mail et le code, et seulement si tu crées un compte. Il envoie aussi l’accusé de réception lorsque tu te rétractes d’un achat sur le web (section 15 des Conditions), qui contient ton adresse e-mail, le nom que tu indiques, ce dont tu t’es rétracté et le montant ; ce nom, nous ne le conservons nulle part ailleurs. Nous les envoyons depuis la région UE de Resend, en Irlande, mais ce réglage ne décide que de l’endroit d’où un message est acheminé. Resend conserve ses propres registres à son sujet (l’adresse du destinataire, le statut de remise et ses journaux) aux États-Unis, quelle que soit la région choisie. Le transfert est couvert par le contrat de sous-traitance de Resend, qui intègre les clauses contractuelles types de la Commission européenne, et par la certification de Resend au titre du cadre de protection des données UE–États-Unis.

Google Cloud est la troisième exception, et la plus petite. Les notifications d’achat décrites à la section 7 sont transmises sur le réseau mondial de Google, et la société mère de Google est aux États-Unis. Ce qui circule est un numéro de référence pour un achat que Google a déjà effectué et qu’il connaît déjà. Il ne contient ni nom, ni e-mail, ni données de paiement, ni rien de tes événements, donc rien qui t’identifie auprès de quiconque ne détient pas déjà cet achat. Le transfert est couvert par l’avenant relatif au traitement des données de Google Cloud, qui intègre les clauses contractuelles types de la Commission européenne, et par la certification de Google au titre du cadre de protection des données UE–États-Unis.

Google Workspace est la quatrième. Il héberge notre boîte de réception, donc un e-mail que tu nous envoies, y compris une demande relative à la vie privée, est stocké sur le réseau mondial de Google. Le transfert est couvert par l’avenant relatif au traitement des données Cloud de Google, avec les mêmes clauses contractuelles types et la même certification au titre du cadre de protection des données UE–États-Unis que ci-dessus.

Tu peux nous demander une copie de ces garanties à atencion@azurblade.com.

Les garanties de transfert propres au vendeur régissent les données de paiement qu’il traite en tant que responsable du traitement à part entière. Elles figurent dans les politiques de confidentialité de Google et de Stripe, pas dans celle-ci, pour la même raison que celles de Google régissent une installation depuis Google Play (section 1). Il en va de même pour le fournisseur d’un assistant IA que tu utilises, qui peut se trouver hors de l’UE : sa propre politique régit ta conversation (section 3.6).

9. Tes droits

En vertu du RGPD, tu as le droit :

• D’accès : obtenir une copie des données que nous détenons sur toi.
• De rectification : faire corriger des données inexactes. Tu peux en corriger la plupart toi-même dans l’application.
• À l’effacement : faire supprimer tes données. La section 10 explique ce que cela signifie pour des comptes partagés.
• À la limitation : nous faire cesser d’utiliser des données le temps qu’un désaccord à leur sujet soit résolu.
• À la portabilité : recevoir les données que tu nous as fournies dans un format lisible par machine.
• D’opposition : t’opposer au traitement fondé sur l’intérêt légitime, pour des raisons tenant à ta situation particulière. La section 5 indique de quels traitements il s’agit.
• De retirer ton consentement : lorsque nous nous appuyons sur celui-ci. Aujourd’hui, nous ne nous appuyons sur lui pour rien.
• De ne pas faire l’objet de décisions automatisées : voir la section 12.

Comment les exercer. Écris à atencion@azurblade.com. Il n’y a pas de formulaire et aucun compte n’est nécessaire. Si tu as un compte, tu peux aussi le supprimer toi-même dans l’application (section 10). Nous répondons dans un délai d’un mois, comme l’exige l’art. 12.3. Si une demande est particulièrement complexe, nous pouvons prolonger ce délai de deux mois et t’en expliquerons la raison dans le premier mois. L’exercice d’un droit est gratuit ; nous ne pouvons facturer des frais raisonnables que pour une demande répétée manifestement infondée ou excessive.

Comment nous t’identifions, et pourquoi nous devons le demander. Sauf si tu as créé un compte, nous ne détenons aucune adresse e-mail te concernant, donc nous ne pouvons pas te reconnaître à partir d’un simple message. Envoie ta demande depuis un appareil qui peut ouvrir l’événement et indique le lien de l’événement et le nom d’affichage que tu y as utilisé. Un organisateur peut demander la suppression d’un événement entier. Nous ne demandons rien au-delà de ce qui est nécessaire pour retrouver les données, et nous ne créons pas de fiche d’identité pour te répondre.

Réclamations. Si tu penses que nous avons mal traité tes données, dis-le-nous d’abord. C’est généralement plus rapide. Tu as aussi le droit d’introduire une réclamation auprès d’une autorité de contrôle. La nôtre est l’Agencia Española de Protección de Datos (aepd.es, C/ Jorge Juan 6, 28001 Madrid). Si tu vis ailleurs dans l’Espace économique européen, tu peux plutôt introduire une réclamation auprès de l’autorité de ton propre pays.

Si tu vis hors de l’EEE. Ces droits sont les mêmes pour toutes les personnes qui utilisent CabuTally, et nous ne demandons pas dans quel pays tu te trouves. Tes données sont stockées dans l’Union européenne quel que soit le pays depuis lequel tu utilises l’application (section 8). Nous ne les vendons pas, ne les partageons pas à des fins publicitaires et ne te profilons pas (section 12), ce qui est l’essentiel de ce que régissent les lois sur la vie privée des États américains ; une demande d’un résident d’un État américain est traitée comme n’importe quelle autre. Si tu vis en Australie, en Nouvelle-Zélande ou en Suisse, tu peux aussi demander l’accès à tes données et leur rectification en vertu de ta loi nationale sur la protection de la vie privée ; pour la Nouvelle-Zélande, nous répondons dans un délai de 20 jours ouvrables, comme l’exige sa loi. Tu peux introduire une réclamation auprès de ta propre autorité : aux États-Unis, le procureur général de ton État ou la Federal Trade Commission ; en Australie, l’Office of the Australian Information Commissioner (oaic.gov.au) ; en Nouvelle-Zélande, l’Office of the Privacy Commissioner (privacy.org.nz) ; en Suisse, le Préposé fédéral à la protection des données et à la transparence (edoeb.admin.ch).

Le Mexique et le reste de l’Amérique latine. Cette politique est aussi notre avis de confidentialité (aviso de privacidad integral) au titre de la loi fédérale mexicaine sur la protection des données : qui nous sommes et notre adresse figurent à la section 18, les données que nous détenons à la section 3, les finalités à la section 5, comment en limiter l’utilisation et comment exercer tes droits d’accès, de rectification, d’annulation (effacement) et d’opposition (les droits ARCO) dans la présente section, et comment nous t’informons des modifications à la section 16. Nous répondons à une demande provenant du Mexique dans un délai de 20 jours. Tu peux nous écrire en espagnol, en anglais ou en français, depuis n’importe quel pays.

Chili, Salvador et Panama. Si tu vis au Chili, tu peux aussi introduire une réclamation auprès de l’autorité chilienne de protection des données (Agencia de Protección de Datos Personales) une fois que sa nouvelle loi sur la protection des données et l’autorité elle-même seront en fonctionnement ; l’adresse de la section 17 est notre canal de contact pour les personnes au Chili. Si tu vis au Salvador, nous traitons tes données sur les fondements de la section 5 (le contrat que tu conclus en utilisant le service, et notre intérêt légitime à le faire fonctionner), et tu peux aussi introduire une réclamation auprès de l’Agence de cybersécurité (Agencia de Ciberseguridad del Estado). Si tu vis au Panama, tu peux aussi introduire une réclamation auprès de l’Autorité nationale de la transparence et de l’accès à l’information (ANTAI, antai.gob.pa).

Canada. Si tu vis au Canada, tu peux demander l’accès à tes données et leur rectification en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et, au Québec, de la Loi sur la protection des renseignements personnels dans le secteur privé. La personne responsable de la protection des renseignements personnels est Wilfredo Oswaldo Hernández Argueta, que tu peux joindre à l’adresse de la section 17, en français ou en anglais. Nous répondons dans un délai de 30 jours. Tes données sont conservées dans l’Union européenne (section 8), avec les garanties qui y sont décrites. Tu peux porter plainte auprès du Commissariat à la protection de la vie privée du Canada (priv.gc.ca) ou, au Québec, de la Commission d’accès à l’information (cai.gouv.qc.ca).

10. Ce que signifie réellement la suppression

Supprimer un événement efface l’événement et tout ce qu’il contient, pour tout le monde.

Te supprimer d’un événement que d’autres personnes utilisent encore, c’est différent, et nous voulons être clairs à ce sujet. Ton nom et tes identifiants sont supprimés. Les montants restent. Ils constituent aussi la trace financière de toutes les autres personnes de cet événement, et les supprimer modifierait en silence ce qui est dû aux autres. Ton nom disparaît donc, et l’arithmétique reste.

Ce qui reste ne porte plus ton nom ni aucun identifiant, donc cela ne t’identifie plus auprès de nous. Nous le conservons parce que l’intérêt des autres membres à disposer de comptes exacts (art. 6.1.f) RGPD) l’emporte sur ton intérêt à supprimer un chiffre qui ne te nomme plus, et c’est pourquoi l’application a été conçue, dès le départ, sans aucun lien entre un membre et un compte. Si tu veux que l’événement entier disparaisse, demande-le à l’organisateur, ou demande-le-nous et nous le contacterons.

Cela ne s’applique pas aux enregistrements d’achat et de facturation. La section 11 indique combien de temps ils sont conservés.

10.1 Supprimer ton compte

Si tu as créé un compte CabuTally, tu peux le supprimer toi-même dans l’application : Profil → ton compte → Supprimer le compte. Pour confirmer, tu saisis l’adresse e-mail de ton compte. La suppression est immédiate et irréversible. Tu n’as besoin ni d’un compte ni de l’application pour nous le demander à la place : écris à atencion@azurblade.com (section 9) et nous ferons la même chose pour toi.

• Ce qui est supprimé : ton compte (son adresse e-mail, le mot de passe si tu en as défini un, le lien avec Google si tu l’as utilisé, et le nom préféré), ton identifiant anonyme, l’accès que chacun de tes appareils avait à tes événements, tout lien de récupération, chaque événement que personne d’autre ne pouvait voir, et la connexion de chaque assistant IA (section 3.6), qui cesse de fonctionner dans l’heure.
• Ce qui change : dans tous les autres événements, ton nom devient « Deleted user », y compris dans l’historique de l’événement et dans ses paiements. Personne ne peut reprendre ta place dans l’événement.
• Ce qui reste : les montants, pour la raison indiquée ci-dessus ; le texte que tu as écrit et les photos que tu as ajoutées dans un événement partagé, comme la description d’une dépense ou un justificatif, car ils font partie de la trace du groupe (la section 11 dit quand les photos sont supprimées) ; et les enregistrements d’achat et de facturation (section 11). Un événement qui contient un enregistrement d’achat est conservé sans ton nom, plutôt que supprimé.
• Un abonnement qui se renouvelle doit d’abord être résilié, pour que tu ne sois pas facturé pour un compte qui n’existe plus.

11. Combien de temps nous les conservons

Rien n’expire automatiquement, sauf les événements d’exemple, les photos et les connexions d’assistants inutilisées, et nous préférons le dire plutôt que de promettre une durée de conservation que rien n’applique.

Si l’expiration automatique s’étend à d’autres données, cette section change en conséquence, et la date en haut de la page aussi.

12. Ni profilage, ni décisions automatisées

Rien ici ne te profile, ne t’attribue de score ni ne prend de décision automatisée à ton sujet au sens de l’art. 22 du RGPD. L’application calcule les partages à partir des montants que les personnes saisissent, ce qui relève de l’arithmétique que tu peux vérifier, et non d’une décision prise à ton sujet.

13. Enfants

CabuTally n’est pas destiné aux personnes de moins de 16 ans, et nous ne collectons pas sciemment de données auprès de personnes n’ayant pas atteint cet âge. Si tu penses que les données d’un enfant figurent dans un événement, écris à atencion@azurblade.com et nous les supprimerons.

14. Sécurité

• Les connexions sont chiffrées en transit, entre ton appareil et nous, et entre nous et nos fournisseurs.
• Les données sont chiffrées au repos par notre fournisseur de base de données.
• L’accès est contrôlé par la base de données elle-même, et pas seulement par l’application : chaque table applique une sécurité au niveau des lignes, et une requête qui ne doit rien voir ne reçoit rien, au lieu d’être filtrée ensuite.
• Les liens d’événement sont retirés des rapports d’erreur, car un lien donne accès.
• Les mots de passe sont facultatifs et ne sont conservés que sous forme d’empreinte à sens unique. La connexion se fait par un code à usage unique, par Google, ou par un mot de passe que tu as choisi d’ajouter.
• Nous ne traitons absolument pas les données de ta carte ou de ton compte bancaire. Google ou Stripe les collecte et les conserve directement (voir la section 1).
• Un assistant IA que tu connectes n’agit qu’en ton nom, avec la même sécurité au niveau des lignes. Ses codes d’accès ne sont conservés que sous forme d’empreintes à sens unique, et il ne peut rien modifier ni supprimer, ni rejoindre un événement, ni acheter quoi que ce soit (section 3.6).
• L’accès administratif nous est réservé et protégé par une authentification à deux facteurs.

En cas de violation de données susceptible d’engendrer un risque pour tes droits et libertés, nous la notifierons à l’AEPD dans les 72 heures, comme l’exige l’art. 33, et nous informerons directement les utilisateurs concernés lorsque l’art. 34 l’exige.

Aucun système n’est parfaitement sûr. Le plus grand risque pour tes données dans ce produit n’est pas technique : c’est qu’un lien d’événement soit transféré à quelqu’un à qui il n’était pas destiné.

15. Cookies et stockage local

Nous n’utilisons aucun cookie de pistage, de publicité ou de mesure d’audience, et il n’y a donc pas de bandeau cookies. Ce qui est stocké sur ton appareil est strictement nécessaire à un service que tu as demandé, ce qui est exempté de l’obligation de consentement en vertu de l’art. 22.2 de la loi espagnole 34/2002 (LSSI) et de l’art. 5.3 de la directive « vie privée et communications électroniques ».

Les rapports d’erreur de la section 3.4 ne stockent rien sur ton appareil. Ils sont envoyés depuis celui-ci, et uniquement à Sentry.

Les statistiques de visite de la section 3.4 ne stockent rien non plus sur ton appareil, mais elles lui font envoyer un rapport, donc elles relèvent de la même règle. Il s’agit de mesure d’audience produisant des totaux anonymes pour nous seuls, que les lignes directrices de l’AEPD sur les outils de mesure d’audience (janvier 2024) considèrent comme exemptée de consentement en vertu de l’art. 22.2 de la LSSI. Un bloqueur de contenu les arrête sans que cela te coûte quoi que ce soit dans l’application.

Tu peux tout effacer grâce aux réglages des données de site de ton navigateur. Cela te déconnecte et, si tu n’as ni compte ni lien enregistré, cela peut te faire perdre ta place dans un événement (voir la section 3.3).

16. Modifications de cette politique

Nous pouvons mettre à jour cette politique lorsqu’une fonctionnalité change, ou lorsque la loi change. La date en haut de la page reflète toujours la version en vigueur. Si une modification affecte sensiblement tes droits, nous le signalerons de manière visible dans l’application plutôt que de compter sur toi pour remarquer une date.

17. Contact

Wilfredo Oswaldo Hernández Argueta · Calle Ruiz Zorrilla 20 1 p6, 39009 Santander, Cantabria, España · atencion@azurblade.com

Autorité de contrôle : Agencia Española de Protección de Datos, aepd.es.

18. Qui est responsable

CabuTally est exploité par Wilfredo Oswaldo Hernández Argueta, travailleur indépendant (autónomo), numéro d’identification fiscale Y6565345D, établi en Espagne, à Calle Ruiz Zorrilla 20 1 p6, 39009 Santander, Cantabria, España.

CabuTally est publié sous le nom Azurblade, une marque de la personne identifiée ci-dessus. Azurblade n’est pas une société distincte et ne change rien à qui est responsable du service ou de tes données personnelles.

Nous sommes le responsable du traitement pour les traitements décrits dans cette politique, au sens du règlement (UE) 2016/679 (le RGPD) et de la loi organique espagnole 3/2018 (LOPDGDD).

Contact pour tout ce qui figure dans ce document, y compris les demandes relatives à la vie privée : atencion@azurblade.com.

Nous n’avons pas désigné de délégué à la protection des données. Nous n’y sommes pas tenus : nous ne sommes pas une autorité publique, notre activité principale n’est pas le suivi à grande échelle, et nous ne traitons aucune catégorie particulière de données. Les demandes sont adressées à l’adresse ci-dessus et traitées directement par nous.