Politique de confidentialité

Version 3, en vigueur le 22 octobre 2026

Responsable du traitement : Digression SAS (voir les mentions légales). Contact : hello@shopinata.com.

Ce que nous collectons, et pourquoi

Donnée	Pourquoi	Base légale	Durée	Qui la voit
Prénom ou pseudo, avatar	Ton compte ; te reconnaître dans un groupe	Contrat	Tant que le compte existe	Les membres de tes groupes ; la personne qui ouvre ton lien d'invitation
E-mail (seulement si tu sécurises ton compte)	Retrouver ton compte, inviter par e-mail, te prévenir (changements, suppression)	Contrat	Tant que le compte existe	Nous seulement
Connexion avec Google (si tu la choisis, quand elle est proposée) : Google nous transmet ton e-mail, ton identifiant Google et ton prénom	Créer ou retrouver ton compte sans code par e-mail	Contrat	Nous ne gardons que l'e-mail et le fait qu'il est confirmé par Google ; l'identifiant et le prénom transmis ne sont pas conservés	Nous seulement
Connexion avec Apple (sur iPhone, si tu la choisis) : Apple nous transmet ton e-mail (ou une adresse relais @privaterelay.appleid.com si tu masques ton e-mail) et ton identifiant Apple	Créer ou retrouver ton compte sans code par e-mail	Contrat	Nous ne gardons que l'e-mail (ou l'adresse relais) et le fait qu'il est confirmé par Apple ; l'identifiant transmis n'est pas conservé	Nous seulement
Ordre des rayons que tu règles pour un magasin	Te présenter ta liste dans ton ordre à chaque course dans ce magasin ; proposer aux autres l'ordre le plus choisi pour ce magasin (moyenne anonyme : le magasin et l'ordre, jamais ton identité)	Contrat (ton ordre) ; intérêt légitime (la moyenne anonyme, sans donnée personnelle)	Ton ordre : tant que le compte existe ; la moyenne : sans limite, elle ne contient rien de personnel	Ton ordre : les membres du groupe ; la moyenne : tout le monde
Identifiant de compte et jeton de connexion (aléatoires)	Te garder connecté	Contrat	Tant que le compte existe	Personne
Langue de l'application	T'écrire dans ta langue (par exemple le préavis avant suppression d'un compte inactif)	Contrat	Tant que le compte existe	Nous seulement
Année de naissance et genre (facultatifs, « Et toi ? »)	Vérifier l'âge demandé par la loi de ton pays avant certaines questions et pour le panel ; joints à tes tickets seulement si tu participes au panel	Consentement (tu les indiques si tu veux, tu peux les effacer)	Tant que le compte existe, ou jusqu'à ce que tu les effaces	Nous seulement, jamais les membres de tes groupes
Composition du foyer (facultative, « Qui vit chez toi ? ») : combien à table, enfants (aucun, 1, 2 ou plus), chien ou chat	Régler les portions des recettes ; plus tard, si tu acceptes les promos, te proposer des produits adaptés (goûters, nourriture pour animaux)	Intérêt légitime pour les portions ; ton accord « promos » pour les produits	Tant que le groupe existe ; effaçable à tout moment dans Paramètres	Les membres du groupe
Repas et allergies (facultatif) : régime (végétarien, vegan, sans alcool, sans porc, halal, casher) et allergies ou intolérances du foyer, avec un prénom si tu l'indiques. Une allergie touche à la santé ; « sans porc », « halal » ou « casher » peuvent révéler une conviction religieuse : ce sont des données sensibles (RGPD, article 9)	Signaler ou cacher les recettes qui ne vont pas, te prévenir avant d'ajouter une recette à ta liste, montrer les commerces halal ou casher	Sur ton téléphone seulement : rien ne nous est envoyé. Sur nos serveurs : ton consentement explicite (RGPD, article 9.2.a), demandé à part, case non cochée	Tant que tu ne retires pas ton accord ; le retrait efface tout de suite la copie sur nos serveurs (ton téléphone garde tes choix)	Toi ; un membre de ton groupe seulement si tu choisis de le lui montrer, personne par personne
Acceptation des CGU, réponses aux questions de confidentialité (date, version, téléphone ou web)	Prouver tes choix	Obligation légale (RGPD art. 7.1)	Tant que le compte existe	Nous seulement
Listes, articles, magasins choisis, groupes	Faire fonctionner l'application	Contrat	Tant que le groupe existe ; listes terminées : 2 ans (30 jours si l'historique est désactivé)	Les membres du groupe
Journal des courses : article ajouté, coché ou retiré, liste terminée, magasin et ville du magasin. Il porte un identifiant aléatoire, jamais ton nom ni ton e-mail : c'est une donnée personnelle pseudonymisée, protégée comme telle. Il n'est tenu que si l'historique est activé.	a) Ton historique et tes habituels. b) Comprendre l'usage de l'appli pour l'améliorer. c) Seulement si tu as dit oui à « Aider Shopinata à rester gratuit » : des chiffres globaux, calculés sur au moins 100 foyers.	a) Contrat (désactivable). b) Intérêt légitime (tu peux t'y opposer). c) Consentement	2 ans, puis effacé ; effacé avec ton compte	Nous seulement, en chiffres globaux
Cartes de fidélité et cartes cadeaux (enseigne, numéro, format ; pour une carte cadeau : montant, date, code)	Les afficher en caisse ; les partager si tu le choisis	Contrat	Jusqu'à la suppression de la carte ou du compte	Toi, et les membres des groupes avec qui tu la partages (pas pendant un partage provisoire)
Mes recettes : texte, photo du plat (si tu en ajoutes une), qui peut la voir (moi seul, mes proches, tout le monde)	Retrouver tes recettes sur tous tes téléphones ; les montrer à tes proches si tu le choisis	Contrat	Tant que la recette ou le compte existe ; une photo remplacée ou une recette supprimée est effacée	Toi ; les membres de tes groupes si tu choisis « Mes proches » ou « Tout le monde »
Recette proposée à Shopinata (« Tout le monde ») : texte, photo du plat (obligatoire), les 3 engagements cochés (date et version), pseudo choisi au moment de la proposition, avatar de l'application (un dessin, jamais une photo)	Publier la recette avec ton pseudo et ton avatar (« proposée par … »)	Contrat (ta proposition, confirmée par la case cochée à ce moment-là). Après le retrait de ton nom ou la suppression de ton compte : intérêt légitime (garder la recette publiée)	Pseudo et avatar : tant que la recette est publiée avec ton nom. Après le retrait de ton nom ou la suppression de ton compte, la recette reste publiée sans pseudo ni avatar	Public : tout le monde, dans l'application, sur shopinata.com et dans les moteurs de recherche
Tickets de caisse (« Mes dépenses », si tu l'actives) : photo ou PDF du ticket, articles, prix, total, magasin, date et heure	Te montrer tes dépenses	Contrat	Gardés uniquement sur ton téléphone, jusqu'à ce que tu les supprimes. La lecture du ticket se fait sur le téléphone. Nous ne recevons pas tes tickets (sauf les prix partagés et le panel, ci-dessous). Ils ne sont ni sauvegardés par nous, ni dans le téléchargement de tes données : une réinstallation ou un changement de téléphone les efface, sauf si tu les exportes.	Toi seul
Prix partagés depuis tes tickets : pour chaque article, nom tel qu'imprimé, rayon, prix, quantité, devise, jour (sans l'heure), enseigne, magasin et pays du téléphone	Construire des prix par magasin pour aider chacun à comparer	Intérêt légitime, réglé pays par pays : activé d'office là où la loi le permet, tu peux l'arrêter d'un geste dans les réglages. Au Canada (règle du Québec) et si ton pays n'est pas connu : consentement, demandé après un ticket (au plus une fois par mois).	2 ans, puis effacés. Ils sont reçus par une connexion liée à ton compte, mais enregistrés sans ton identifiant, sans l'heure ni le ticket entier. Pour limiter les abus, une empreinte de ton compte valable un jour est gardée 2 jours.	Nous ; plus tard, tout le monde, sous forme de prix par magasin, sans lien avec toi
Panel Shopinata (seulement si tu le rejoins, majeurs seulement) : tickets complets (articles, prix, total, magasin, jour et heure), année de naissance, genre si tu l'as indiqué, pays, nombre de membres de tes groupes (le plus grand)	Études sur la consommation vendues à des marques et à des enseignes, toujours en chiffres regroupés sur de nombreuses personnes, jamais ton nom ni ton ticket seul	Consentement, demandé à part, avec le texte complet ; tu peux quitter à tout moment	2 ans, puis effacés. Tes tickets sont reliés entre eux par un code calculé à partir de ton compte, sans ton nom ni ton e-mail : ce sont des données pseudonymisées, pas anonymes. Quitter le panel efface aussitôt tout ce qui a été envoyé.	Nous seulement ; les acheteurs d'études ne reçoivent que des chiffres regroupés
Position (si tu l'autorises, seulement quand l'appli est ouverte) ou ville tapée	Trouver les magasins proches et leurs horaires	Consentement (permission du téléphone)	Dernière position gardée sur ton téléphone. Envoyée à nos serveurs à chaque recherche, sans y être enregistrée.	Les services de géocodage ci-dessous, sans ton identité
Adresse IP	Sécurité (limiter les abus) ; deviner ta ville si tu n'as pas donné ta position	Intérêt légitime	Journaux techniques : 7 jours	Nous et Cloudflare
Rapports de plantage : modèle de téléphone, version, erreur, identifiant de compte (aléatoire). Les adresses e-mail et les longs numéros (carte, téléphone) présents dans un message d'erreur sont effacés avant l'envoi.	Corriger les bugs	Intérêt légitime	90 jours au plus	Nous et Sentry
Messages « Nous écrire » et signalements (texte, e-mail si tu le donnes, modèle de téléphone, version)	Te répondre, corriger	Intérêt légitime	3 ans après le dernier échange ; effacés avec ton compte	Nous seulement
E-mail d'une personne que tu invites	Lui envoyer l'invitation	Intérêt légitime	14 jours (durée de l'invitation)	Nous seulement

Seul le prénom est obligatoire, et un pseudo suffit. Tout le reste est facultatif.

Les adresses e-mail des personnes invitées ne servent qu'à l'invitation.
Une photo de recette peut montrer ta cuisine ou tes mains : nous pouvons la recadrer ou la remplacer avant de publier la recette.
Nous ne vendons jamais les données d'une personne ou d'un foyer. Si tu dis oui à la question « Aider Shopinata à rester gratuit », seuls des chiffres globaux peuvent être partagés. Ils sont rendus anonymes selon une méthode documentée et conforme aux recommandations de la CNIL : regroupement, nombre minimum de foyers par chiffre, retrait des cas rares et contrôle du risque de réidentification avant tout partage.
Le panel suit la même règle, avec ton accord séparé : les études vendues ne contiennent que des chiffres regroupés, calculés de la même façon. Aucun acheteur ne reçoit ton ticket, ton code de panel ni une donnée qui permette de te reconnaître.
Nous ne déduisons pas d'informations sensibles (santé, religion…) de tes listes ni de tes tickets. Pour les prix partagés, nous ne gardons que le nom de l'article, le prix et le magasin, jamais le ticket entier.
Repas et allergies : ces informations ne servent jamais à la publicité ni aux promos, ne sont jamais vendues ni comptées dans les chiffres globaux, et n'apparaissent pas dans nos outils d'administration. Quand une personne rejoint ton groupe, nous te demandons d'abord si tu veux les lui montrer : tant que tu n'as pas répondu, elle ne voit rien. Tu peux changer ce choix pour chaque personne dans Paramètres › Repas et allergies.
Les allergènes signalés et les mentions « compatible halal » ou « compatible casher » sont déduits des ingrédients des recettes : ils sont indicatifs, ne remplacent ni la lecture de l'étiquette ni une certification.
Une recette proposée à tout le monde est relue par notre équipe avant toute publication. Tant qu'elle n'est pas acceptée, elle reste visible de toi et de tes proches seulement. Si nous la refusons, tu vois le motif et tu peux le contester dans l'application.

Qui traite tes données pour nous

Cloudflare, Inc. (hébergement, base de données, e-mails), États-Unis, certifiée Data Privacy Framework ;
Sentry (Functional Software, Inc.), États-Unis, données hébergées dans l'Union européenne ;
Google (Google Ireland Ltd), seulement si tu choisis de te connecter avec Google : il nous confirme ton adresse e-mail ;
Apple (Apple Distribution International Ltd, Irlande), seulement si tu choisis de te connecter avec Apple sur iPhone : il nous confirme ton adresse e-mail (ou une adresse relais) ;
services de géocodage : ils reçoivent une position ou un nom de ville, jamais ton identité : Base Adresse Nationale (État français), Photon (Komoot, Allemagne), serveurs OpenStreetMap Overpass (Allemagne).

Les transferts vers les États-Unis reposent sur le Data Privacy Framework UE-États-Unis et, à défaut, sur les clauses contractuelles types de la Commission européenne.

Tes droits

Tu peux accéder à tes données, les corriger, les récupérer, les faire effacer, limiter leur usage, t'opposer au journal d'usage (b) et retirer ton consentement à tout moment, aussi facilement que tu l'as donné. Sur une recette que tu as proposée et qui est publiée, tu peux retirer ton nom toi-même dans l'application : ton pseudo et ton avatar disparaissent (article 4 bis des conditions d'utilisation). Le plus simple : Réglages › Mon compte (voir, télécharger, supprimer) et Réglages › Confidentialité (tes choix). Ou bien écris à hello@shopinata.com. Nous répondons sous un mois, ou sous trois mois au plus pour une demande complexe, en te prévenant. Tu peux saisir la CNIL (cnil.fr).

Si ton compte n'a pas d'e-mail

Ton compte n'est relié qu'à ton téléphone. Nous ne connaissons ni ton nom de famille, ni ton e-mail, ni ton numéro.

Exerce tes droits depuis l'application : c'est là que nous savons que le compte est le tien. Par e-mail, nous ne pouvons pas le vérifier. Nous te demanderons de passer par l'application ou d'y ajouter ton adresse.
Téléphone perdu ou application désinstallée : nous ne pouvons ni te rendre ton compte, ni savoir qu'il est à toi (article 11 du RGPD). Il est supprimé automatiquement après 12 mois sans utilisation. Les listes de tes groupes partagés restent aux autres membres.

Comptes inactifs et suppression

Comptes inactifs : un compte sans e-mail est supprimé après 12 mois sans connexion, sans préavis possible. Un compte avec e-mail est supprimé après 3 ans sans connexion, après un e-mail de préavis envoyé 30 jours avant, dans la langue de ton application. Il suffit d'ouvrir l'application avant la date indiquée pour le garder. Nous ne supprimons jamais un compte dont le préavis n'a pas pu partir.

Listes terminées : effacées 2 ans après (30 jours si l'historique est désactivé), même si plus personne n'ouvre le groupe.

Suppression : depuis l'application, ton compte est effacé immédiatement. Il disparaît de nos sauvegardes au plus tard 30 jours après. Ce qui reste : les listes de tes groupes partagés (ton prénom y devient « Ancien membre »), les recettes que tu as proposées et qui sont publiées (sans ton pseudo ni ton avatar) et, seulement si la loi nous y oblige, certaines données techniques pendant la durée légale. Voir aussi : supprimer ton compte.

Publicité et promos

Aujourd'hui, Shopinata n'affiche aucune publicité et n'utilise pas tes données pour choisir des offres.
Nous n'utilisons aucun identifiant publicitaire (Apple ou Android) et ne suivons pas ton activité dans d'autres applications ou sites.
Si nous proposons un jour des promos choisies pour toi à partir de tes courses, nous te le demanderons d'abord, par une question séparée, jamais cochée d'avance. Elle dira quelles données servent, y compris ton historique déjà enregistré. Elle pourra aussi te proposer, sans obligation, d'indiquer ton année de naissance, ton genre et la composition de ton foyer. Si tu dis non, Shopinata reste gratuit et tu verras des promos non personnalisées.
Ces promos ne seront jamais choisies à partir d'informations sensibles (santé, grossesse, religion, vie sexuelle), ni à partir de tes numéros de cartes de fidélité, et ne seront jamais personnalisées pour une personne de moins de 18 ans.
Les promos sur les boissons alcoolisées ne seront montrées qu'aux personnes qui ont indiqué avoir 18 ans ou plus.
Nous ne transmettrons jamais à une enseigne ou à une marque une donnée qui permette de te reconnaître.

Sécurité

Les échanges sont chiffrés (HTTPS). Le contenu de tes listes n'est pas consultable dans nos outils d'administration.

Mineurs

Shopinata n'est pas destiné aux enfants de moins de 13 ans, et nous ne collectons pas sciemment leurs données. Si nous apprenons qu'un compte appartient à un enfant de moins de 13 ans, nous le supprimons. Entre 13 ans et l'âge à partir duquel la loi de ton pays permet de consentir seul au traitement de tes données, il faut l'accord d'un parent, par exemple quand un parent invite son enfant dans le groupe familial. Cet âge est appliqué pays par pays : par exemple 13 ans en Belgique, au Danemark, au Royaume-Uni et aux États-Unis, 14 ans en Espagne, en Italie, en Autriche et au Canada, 15 ans en France, 16 ans en Allemagne et aux Pays-Bas, et 16 ans quand ton pays n'est pas connu. Sous cet âge, Repas et allergies reste sur ton téléphone : rien n'est envoyé à nos serveurs. Nous ne posons les questions de consentement (comme « Aider Shopinata à rester gratuit ») qu'aux personnes qui ont atteint cet âge : si tu n'as pas indiqué ton année de naissance, le bouton « Oui » te demande de confirmer que tu l'as (« Oui, j'ai 15 ans ou plus »). Le panel est réservé aux personnes majeures dans leur pays ; nous le vérifions à l'inscription et à chaque envoi. Nous ne montrerons jamais de publicité personnalisée à une personne de moins de 18 ans.