# Politique de confidentialité — Vukiro
**Dernière mise à jour :** 30 avril 2026
**Version applicable :** Vukiro mobile 1.0.0 et ultérieures
Cette politique décrit comment Vukiro collecte, utilise et protège tes données personnelles. Nous appliquons à la fois le **Règlement général sur la protection des données (RGPD)** européen et la **Loi fédérale suisse sur la protection des données (nFADP, 2023)**.
---
## 1. Responsable du traitement
- Nom / dénomination sociale : **superd superd**
- Adresse postale : **Suisse**
- Email de contact : **[email protected]**
Pour toute question relative à tes données, écris-nous à **[email protected]**. Nous répondons sous 30 jours maximum, conformément à la réglementation.
---
## 2. Données que nous collectons
Vukiro est conçu pour être minimaliste : nous ne collectons **que** les données strictement nécessaires au fonctionnement de l'application.
### 2.1. Données de compte (obligatoires)
| Donnée | Source | Stockage |
| ------------------------------ | ------------------------------ | ------------------------ |
| Adresse email | Saisie par toi à l'inscription | Supabase (Frankfurt, UE) |
| Identifiant utilisateur (UUID) | Généré automatiquement | Supabase |
| Date de création du compte | Générée automatiquement | Supabase |
### 2.2. Données que tu créés dans l'app (optionnelles)
Tout ce que tu enregistres reste **strictement privé**. Aucune donnée n'est partagée avec d'autres utilisateurs.
| Catégorie | Détails | Sensibilité |
| -------------- | -------------------------------------------------------------------------- | ----------- |
| Personnes | Nom, notes, anniversaire, téléphone, email, étiquettes | Élevée |
| Captures | Texte, audio (si dictée), photo (si jointe), géolocalisation (optionnelle) | Élevée |
| Faits extraits | Synthèses générées par IA à partir de tes captures | Élevée |
| Rappels | Date, heure, sujet, fréquence de récurrence | Moyenne |
| Étiquettes | Mots-clés que tu crées (ami, famille, etc.) | Faible |
### 2.3. Données techniques (collectées automatiquement)
| Donnée | Finalité | Stockage |
| ----------------------------------------------------------- | ------------------------- | ------------ |
| Identifiant utilisateur (UUID) | Diagnostic des erreurs | Sentry (UE) |
| Événements d'utilisation anonymisés (clics, écrans visités) | Amélioration du produit | PostHog (UE) |
| Logs serveur (IP tronquée, user-agent) | Sécurité, prévention abus | Supabase |
**Nous ne collectons PAS** : ton nom réel, ta géolocalisation passive, tes contacts du téléphone (sauf si tu choisis explicitement d'en importer certains), ta liste d'apps installées, tes données de santé, tes habitudes de navigation hors-app.
---
## 3. Finalités du traitement et bases légales
| Finalité | Base légale RGPD (Art. 6) | Données utilisées |
| -------------------------------------------------------------------------- | --------------------------------- | ---------------------------------- |
| Création et gestion de ton compte | Exécution du contrat (Art. 6.1.b) | Email, mot de passe |
| Stockage de tes captures et personnes | Exécution du contrat | Toutes données 2.2 |
| Génération IA (extraction de faits, idées cadeaux, synthèses, chat Vukiro) | Exécution du contrat | Captures, faits, données personnes |
| Recherche sémantique dans tes notes | Exécution du contrat | Embeddings vectoriels |
| Notifications de rappels | Exécution du contrat | Sujet, date du rappel |
| Diagnostic des erreurs (crashs) | Intérêt légitime (Art. 6.1.f) | UUID utilisateur |
| Amélioration produit (analytique anonyme) | Intérêt légitime | Événements d'usage |
Tu peux **t'opposer à tout moment** au traitement basé sur l'intérêt légitime via l'écran _Réglages → Suppression de compte_ (suppression totale) ou en nous écrivant.
---
## 4. Sous-traitants et destinataires
Tes données sont traitées par les sous-traitants suivants. Tous sont liés par un Data Processing Agreement (DPA) conforme à l'Art. 28 RGPD.
| Sous-traitant | Rôle | Localisation des données | Conformité |
| ---------------------------------------- | ----------------------------------------------------------------------------------------------------- | -------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------- |
| **Supabase Inc.** | Hébergement base de données, authentification, stockage de fichiers, fonctions serveur | Région Frankfurt (Allemagne, UE) | RGPD natif, certifié SOC 2 Type II |
| **Mistral AI SAS** | Modèle de langage (extraction de faits, synthèse, idées cadeaux, chat) | France (UE) | RGPD natif, hébergement souverain européen |
| **OpenAI, L.L.C.** | Génération d'embeddings vectoriels (recherche sémantique uniquement, modèle `text-embedding-3-small`) | États-Unis | Standard Contractual Clauses (SCC) UE-US, DPA signé. Aucun contenu n'est utilisé pour entraîner les modèles OpenAI (clause API par défaut). |
| **Functional Software Inc. (Sentry.io)** | Rapports de crash anonymisés | Région UE (sentry.io/eu/) | DPA conforme RGPD |
| **PostHog Inc.** | Analytique d'usage anonymisée | Région UE (eu.i.posthog.com) | DPA conforme RGPD |
**Aucune donnée n'est vendue, louée ou échangée** avec des tiers à des fins commerciales.
---
## 5. Durée de conservation
| Catégorie | Durée |
| ----------------------------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| Données de compte et données utilisateur | Tant que le compte est actif |
| Données après suppression du compte | Effacement immédiat des données applicatives ; les sauvegardes Supabase chiffrées sont purgées sous **7 jours maximum** |
| Logs serveur (IP tronquée) | 30 jours |
| Rapports de crash Sentry | 90 jours |
| Données analytiques PostHog (anonymisées) | 12 mois |
Aucune donnée n'est conservée au-delà de ces durées sans base légale spécifique (ex : obligation comptable).
---
## 6. Tes droits
Conformément aux Art. 15-22 du RGPD et à la nFADP, tu disposes des droits suivants :
| Droit | Comment l'exercer |
| --------------------------------------- | ------------------------------------------------------------ |
| **Accès** à tes données | Sur demande à [email protected] (export JSON sous 30 jours) |
| **Rectification** des données inexactes | Directement dans l'app (édition fiche personne) ou par email |
| **Effacement** (« droit à l'oubli ») | _Réglages → Supprimer mon compte_ dans l'app |
| **Limitation** du traitement | Sur demande à [email protected] |
| **Portabilité** | Export JSON sur demande |
| **Opposition** | Sur demande, ou suppression du compte |
| **Retrait du consentement** | Suppression du compte = retrait global |
| **Réclamation auprès d'une autorité** | Voir section 11 |
Aucune décision automatisée produisant un effet juridique n'est prise par Vukiro. Les suggestions IA (idées cadeaux, synthèses) sont purement informatives.
---
## 7. Sécurité
Mesures techniques et organisationnelles en place :
- **Chiffrement en transit** : HTTPS obligatoire (TLS 1.2+) sur toutes les connexions
- **Chiffrement au repos** : base de données Supabase chiffrée (AES-256), session locale chiffrée via `expo-secure-store` (Keychain iOS / Keystore Android)
- **Isolation par utilisateur** : politiques RLS (Row Level Security) Postgres strictes — aucun utilisateur ne peut accéder aux données d'un autre
- **Authentification** : Supabase Auth avec OTP par email ou mot de passe haché (bcrypt)
- **Protection contre l'abus** : limites de débit sur les appels IA (50 extractions/jour, 30 brèves/jour, 100 questions chat/jour, 200 recherches/jour par utilisateur)
- **Surveillance** : logs d'erreurs anonymisés (UUID seulement, jamais d'email)
- **Mises à jour** : correctifs de sécurité appliqués sous 30 jours pour les CVE critiques
Si malgré ces mesures une violation de données venait à survenir, nous notifierions la CNIL (ou autorité compétente) sous **72 heures**, et toi sous délai raisonnable si la violation présente un risque élevé pour tes droits.
---
## 8. Transferts internationaux
Toutes tes **données applicatives** sont stockées exclusivement en Union Européenne (Frankfurt, Allemagne).
Une seule exception : la fonction de **recherche sémantique** envoie le texte d'une requête (et non les données stockées) à OpenAI aux États-Unis pour générer un embedding vectoriel. Ce transfert est encadré par les **Standard Contractual Clauses** (Décision d'exécution UE 2021/914) et OpenAI s'engage par contrat à ne pas conserver ni utiliser le contenu pour entraîner ses modèles.
Si tu refuses ce transfert, tu peux simplement ne pas utiliser la fonction de recherche sémantique — toutes les autres fonctions de l'app restent disponibles.
---
## 9. Mineurs
Vukiro est destiné aux personnes majeures (**18 ans et plus**). L'application n'est pas conçue pour les mineurs et nous ne collectons pas sciemment de données concernant des mineurs. Si tu es parent ou tuteur et constates qu'un mineur a créé un compte, contacte-nous à [email protected] pour suppression immédiate.
---
## 10. Cookies et stockage local
L'application mobile **ne dépose pas de cookies** (technologie web). Elle utilise un stockage local sécurisé pour :
- Le jeton de session (chiffré via `expo-secure-store`)
- L'état d'avancement de l'onboarding (stocké en clair dans `AsyncStorage`, non sensible)
Aucun stockage local ne contient de données personnelles identifiables au-delà du jeton de session.
---
## 11. Réclamations auprès des autorités
Si tu estimes que tes droits ne sont pas respectés, tu peux saisir :
| Pays | Autorité |
| ------------------ | --------------------------------------------------------- |
| 🇫🇷 France | **CNIL** — www.cnil.fr (3 Place de Fontenoy, 75007 Paris) |
| 🇧🇪 Belgique | **APD/GBA** — www.autoriteprotectiondonnees.be |
| 🇨🇭 Suisse | **PFPDT** — www.edoeb.admin.ch |
| 🇨🇦 Canada (Québec) | **CAI** — www.cai.gouv.qc.ca |
Tu peux également saisir l'autorité de ton lieu de résidence, de travail ou du lieu présumé de la violation.
---
## 12. Modifications de cette politique
En cas de modification matérielle, nous t'informerons :
- Par notification dans l'application (au moins 14 jours avant entrée en vigueur)
- Par email à l'adresse associée à ton compte (changements significatifs uniquement)
La date de dernière mise à jour est indiquée en haut de ce document. L'historique des versions est disponible sur demande.
---
## 13. Contact
**Email** : [email protected]
**Réponse garantie sous** : 30 jours (souvent 48h)
Pour toute demande relative à tes données, indique en objet : `[Données] — ta demande`.