Politique de confidentialité

1. Introduction

Collectalys (ci-après « nous », « notre » ou « le Service ») accorde une importance fondamentale à la protection de vos données personnelles. La présente Politique de Confidentialité a pour objet de vous informer de manière transparente sur la façon dont nous collectons, utilisons, stockons et protégeons vos informations personnelles lorsque vous utilisez notre plateforme de gestion de collections multimédia.

Cette politique s'applique à l'ensemble des services proposés par Collectalys, accessibles via l'application web, l'application mobile (iOS et Android) et l'application de bureau (Windows et macOS).

En utilisant le Service, vous acceptez les pratiques décrites dans la présente Politique de Confidentialité. Nous vous invitons à la lire attentivement et à consulter également nos Conditions générales d'utilisation.

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

• Nom : Yann Rozelot
• Entité : Ynelys, SASU au capital de 500 euros, RCS d'Annecy 132 092 214, Saint-Sixt (74800)
• E-mail : privacy@collectalys.com
• Site web : https://collectalys.com

3. Données collectées

3.1. Données que vous nous fournissez directement

• Données d'inscription : adresse e-mail, nom d'utilisateur, mot de passe (stocké sous forme de hash cryptographique)
• Données de profil (optionnelles) : date de naissance, photo de profil, préférences de langue
• Données de collection : éléments ajoutés à vos collections (jeux vidéo, films, livres, musique), notes, évaluations, progression, dates d'achat, prix payés, format de possession
• Données sociales : code ami, liste d'amis, préférences de partage, commentaires, réactions dans le flux d'activité
• Données d'import : bibliothèques importées depuis des plateformes tierces (Steam, GOG Galaxy, Epic Games, fichiers CLZ)
• Données d'interaction IA : questions et conversations avec le Compagnon IA, photos soumises au scanner d'étagères

3.2. Données collectées automatiquement

• Données techniques : adresse IP, type et version du navigateur, système d'exploitation, résolution d'écran, langue du navigateur
• Données de session : identifiant de session, date et heure de connexion, durée de session, appareil utilisé, localisation approximative (ville et pays), déduite de l'adresse IP à la connexion
• Données d'utilisation : pages consultées, fonctionnalités utilisées, actions effectuées, fréquence d'utilisation
• Données de sécurité : tentatives de connexion (réussies et échouées), détection d'anomalies de connexion, journaux d'authentification 2FA/WebAuthn

3.3. Données provenant de tiers

• Fournisseurs OAuth : en cas de connexion via Google, Microsoft ou Apple, nous recevons votre nom, adresse e-mail et photo de profil selon les autorisations que vous accordez
• Plateformes de jeux : lors de l'import de vos bibliothèques, nous recevons la liste de vos jeux et temps de jeu associés depuis Steam, GOG Galaxy ou Epic Games
• Stripe : notre prestataire de paiement nous communique le statut de vos transactions, votre identifiant client Stripe et l'état de votre abonnement. Nous ne recevons ni ne stockons jamais vos données de carte bancaire

4. Finalités du traitement

Nous utilisons vos données personnelles pour les finalités suivantes :

• Fourniture du Service : création et gestion de votre compte, stockage et affichage de vos collections, synchronisation entre appareils
• Personnalisation : recommandations personnalisées via le Compagnon IA, suggestions basées sur vos collections et préférences
• Fonctionnalités sociales : gestion de votre liste d'amis, partage de profils et collections, flux d'activité et notifications
• Paiement et facturation : traitement des abonnements, gestion des renouvellements et annulations
• Sécurité : protection de votre compte, détection des tentatives d'accès non autorisés, prévention de la fraude, vérification des mots de passe compromis (via Have I Been Pwned, en utilisant uniquement un hash partiel). Seul l'exploitant du Service consulte l'adresse IP, l'appareil et la localisation approximative de vos connexions. L'exploitant et les administrateurs qu'il désigne voient un aperçu chiffré de votre collection (pièces par univers, envies). Dans les deux cas, pour ces seules raisons et pour vous assister
• Amélioration du Service : analyse statistique de l'utilisation pour améliorer les fonctionnalités, corriger les bugs et optimiser les performances
• Communication : envoi de notifications relatives au Service (sécurité du compte, mise à jour des CGU, confirmations de paiement), et éventuellement des communications commerciales (avec votre consentement)
• Obligations légales : conformité avec les obligations légales et réglementaires applicables, réponse aux demandes des autorités compétentes

5. Bases légales du traitement

Conformément au RGPD, chaque traitement de données repose sur une base légale :

• Exécution du contrat (Art. 6.1.b RGPD) : les traitements nécessaires à la fourniture du Service (gestion du compte, stockage des collections, paiements)
• Consentement (Art. 6.1.a RGPD) : les communications commerciales, les cookies non essentiels, le traitement des données optionnelles de profil
• Intérêt légitime (Art. 6.1.f RGPD) : la sécurité du Service, la prévention de la fraude, l'amélioration du Service via des analyses statistiques anonymisées
• Obligation légale (Art. 6.1.c RGPD) : la conservation des données de facturation conformément aux obligations fiscales et comptables

6. Partage des données et tiers

Nous ne vendons jamais vos données personnelles à des tiers. Nous pouvons partager certaines données avec les catégories de destinataires suivantes, dans le strict respect des finalités décrites ci-dessus :

6.1. Sous-traitants techniques

• Stripe : traitement des paiements et gestion des abonnements (certifié PCI DSS)
• OpenRouter : acheminement des requêtes d'IA (Compagnon IA, scanner d'étagères, lecture des justificatifs) vers le modèle retenu pour chaque tâche, sans conservation des données. Fournisseurs de modèles : Anthropic (Claude), DeepSeek, Google (Gemini) et OpenAI (GPT), exécutés uniquement chez des hébergeurs qui s'engagent à ne pas conserver les données
• Cloudflare : hébergement de l'infrastructure, réseau de diffusion de contenu (CDN) et protection contre les attaques (société établie aux États-Unis, voir la section 11 sur les transferts internationaux)
• Service d'envoi d'e-mails (Mailjet) : distribution des notifications transactionnelles (confirmations, sécurité, rappels)
• Microsoft Azure (AI Speech) : synthèse de la voix du compagnon IA. Seul le texte à prononcer est transmis, jamais votre identité
• ipwho.is : géolocalisation approximative de l'adresse IP à chaque connexion, pour détecter une connexion inhabituelle et vous en alerter. Seule l'adresse IP est transmise
• Have I Been Pwned : vérification qu'un mot de passe choisi ne figure pas dans une fuite connue. Seuls les cinq premiers caractères de son empreinte sont transmis (protocole de k-anonymat) : le mot de passe lui-même ne quitte jamais nos serveurs
• Services appelés directement par votre navigateur : les polices du site et de l'application proviennent de Google Fonts, qui reçoit votre adresse IP à l'affichage d'une page ; la dictée vocale à Lys utilise la reconnaissance vocale de votre navigateur, qui peut transmettre l'audio à son éditeur (Google dans Chrome, Apple dans Safari) ; les extraits musicaux de 30 secondes sont lus depuis les serveurs d'Apple ou de Deezer, qui reçoivent votre adresse IP

6.2. API de données multimédia

Pour enrichir les métadonnées de vos collections, nous interrogeons des bases de données externes. Lors de ces requêtes, aucune donnée personnelle vous identifiant n'est transmise à ces fournisseurs ; seules des requêtes de recherche (titre, identifiant d'élément) sont envoyées :

• Jeux vidéo : IGDB
• Films et séries : TMDB, JustWatch
• Livres : ISBNdb, Open Library
• Musique : MusicBrainz, Cover Art Archive, Discogs, Deezer, Apple (iTunes, extraits de 30 secondes)
• Prix : PriceCharting, CheapShark, eBay, Discogs, ISBNdb
• Codes-barres : EAN-Search, Open GTIN Database, UPCitemdb
• Images de matériel de jeu : Wikimedia Commons
• Taux de change : Frankfurter

La liste à jour de ces fournisseurs, avec le rôle exact de chacun et les mentions d'attribution qu'ils exigent, est publiée sur la page D'où vient notre donnée.

6.3. Partage social

Si vous utilisez les fonctionnalités sociales du Service (ajout d'amis, partage de profil), certaines données de votre profil et de vos collections peuvent être visibles par vos amis, selon les préférences de partage que vous configurez individuellement pour chaque ami.

6.4. Obligations légales

Nous pouvons divulguer vos données personnelles si nous y sommes contraints par la loi, une décision de justice ou une demande d'une autorité administrative compétente.

7. Intelligence artificielle

7.1. Compagnon IA

Le Compagnon IA de Collectalys est alimenté par des modèles de langage de fournisseurs tiers, nommés à la section 6 et choisis tâche par tâche. Lorsque vous interagissez avec le Compagnon IA, vos questions et le contexte de votre collection peuvent être transmis, par l'intermédiaire d'OpenRouter, au modèle en service pour générer des réponses personnalisées.

7.2. Scanner d'étagères

Lorsque vous utilisez le scanner d'étagères, les photos que vous soumettez, ou les images fixes choisies sur votre appareil à partir d'un balayage vidéo (ni la vidéo ni son son ne sont envoyés), sont transmises par l'intermédiaire d'OpenRouter au modèle de vision en service pour analyse. Les images sont traitées en temps réel, sur des routes sans conservation de données : ni OpenRouter, ni l'hébergeur du modèle ne les conservent après le traitement. Collectalys ne garde pas les images, seulement la liste des titres détectés, dans votre historique de scans. Si vous avez donné votre accord pour l'IA, la photo d'un justificatif d'achat que vous déposez est transmise de la même façon, pour en lire l'enseigne, la date et le total. Sans cet accord, elle n'est pas lue.

7.3. Absence d'entraînement

Vos données personnelles et vos interactions avec le Compagnon IA ne sont pas utilisées pour entraîner ou améliorer des modèles d'intelligence artificielle. Nous n'utilisons que des routes excluant toute collecte et toute conservation des données : ce que nous transmettons à ces services n'est pas utilisé à des fins d'entraînement.

8. Cookies et technologies similaires

8.1. Cookies essentiels

Nous utilisons des cookies strictement nécessaires au fonctionnement du Service. Ces cookies ne nécessitent pas votre consentement et incluent :

• Cookie d'authentification : stockage du jeton JWT pour maintenir votre session active
• Cookie de refresh token : renouvellement automatique et sécurisé de votre session
• Cookie de préférences : sauvegarde de votre langue préférée et de vos paramètres d'affichage

8.2. Stockage local

Le Service utilise également le stockage local du navigateur (localStorage) pour conserver vos préférences d'interface, le cache de certaines données de collection et les paramètres de langue. Ces données restent sur votre appareil et ne sont pas transmises à nos serveurs.

8.3. Cookies d'analyse (optionnels)

Avec votre consentement, nous pouvons utiliser des cookies d'analyse pour mesurer l'audience du Service et améliorer son ergonomie. Vous pouvez retirer votre consentement à tout moment depuis les paramètres de votre compte.

9. Durée de conservation

Nous conservons vos données personnelles pour les durées suivantes :

• Données de compte : pendant toute la durée de votre inscription, puis supprimées dans un délai de 30 jours après la clôture du compte
• Données de collection : pendant toute la durée de votre inscription, exportables avant la clôture du compte
• Données de facturation : conservées pendant 10 ans conformément aux obligations fiscales et comptables françaises
• Journaux de sécurité : conservés pendant 90 jours pour la détection d'intrusions et la prévention de la fraude
• Journaux de connexion et de localisation : conservés pendant 180 jours (adresses IP et données de géolocalisation associées aux connexions)
• Données d'analyse : anonymisées et conservées sous forme agrégée sans limitation de durée
• Interactions IA : conservées pendant 90 jours pour l'amélioration de la qualité du service, puis supprimées

Prévention de la fraude après suppression de compte : lorsque vous supprimez définitivement votre compte, nous conservons une empreinte cryptographique (hash) de votre adresse e-mail, qui ne permet pas de retrouver l'adresse d'origine, pendant une durée maximale de 24 mois. Cette conservation a pour seule finalité d'empêcher la création répétée de comptes destinée à bénéficier plusieurs fois des avantages réservés aux trente premiers jours d'un compte (scans offerts, plafond de dépense relevé pour les fonctions d'intelligence artificielle), au titre de l'intérêt légitime (art. 6.1.f du RGPD). Aucune autre donnée n'y est associée.

10. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre tout accès non autorisé, modification, divulgation ou destruction :

• Chiffrement : toutes les communications sont chiffrées via TLS/HTTPS. Les mots de passe sont hashés avec des algorithmes modernes et salés
• Authentification renforcée : support de l'authentification à deux facteurs (TOTP) et de l'authentification biométrique (WebAuthn/FIDO2)
• Rotation des jetons : les jetons d'authentification (JWT) sont à durée limitée avec rotation automatique des refresh tokens
• Détection d'anomalies : surveillance des tentatives de connexion suspectes et détection des anomalies de connexion
• Vérification des fuites : les mots de passe sont vérifiés contre les bases de données de fuites connues (Have I Been Pwned) via un protocole de hash partiel (k-anonymat) qui ne révèle jamais votre mot de passe
• Limitation de débit : protection contre les attaques par force brute via un système de rate limiting
• Gestion des sessions : visualisation et révocation des sessions actives depuis les paramètres du compte
• Gestion des secrets : les clés API et secrets ne sont jamais écrits dans le code source ; en production, ils sont fournis aux serveurs par leur configuration d'environnement, hors du dépôt de code

11. Transferts internationaux de données

Certains de nos sous-traitants techniques sont établis hors de l'Union européenne, principalement aux États-Unis : Stripe (paiements), OpenRouter et les hébergeurs des modèles d'IA vers lesquels il achemine les requêtes (Compagnon IA, scanner d'étagères, lecture des justificatifs) et Cloudflare (hébergement de l'infrastructure et CDN). Notre prestataire d'envoi d'e-mails (Mailjet) est établi dans l'Union européenne et y héberge les données. Les transferts de données vers ces prestataires sont encadrés par des garanties appropriées, conformément au chapitre V du RGPD :

• Clauses contractuelles types (CCT) adoptées par la Commission européenne
• EU-U.S. Data Privacy Framework pour les prestataires certifiés (Cloudflare et Stripe sont certifiés DPF)
• Mesures supplémentaires de sécurité (chiffrement, pseudonymisation) le cas échéant

Vous pouvez obtenir une copie des garanties mises en place en nous contactant à privacy@collectalys.com.

12. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15 RGPD) : vous pouvez obtenir la confirmation que vos données sont traitées et en demander une copie
• Droit de rectification (Art. 16 RGPD) : vous pouvez demander la correction de données inexactes ou incomplètes. Vous pouvez également modifier directement vos informations de profil depuis les paramètres de votre compte
• Droit à l'effacement (Art. 17 RGPD) : vous pouvez demander la suppression de vos données personnelles. La suppression de votre compte est également possible depuis les paramètres du Service
• Droit à la limitation (Art. 18 RGPD) : vous pouvez demander la limitation du traitement de vos données dans certains cas prévus par le RGPD
• Droit à la portabilité (Art. 20 RGPD) : vous pouvez demander à recevoir vos données dans un format structuré, couramment utilisé et lisible par machine. Le Service propose des fonctionnalités d'export (CSV, JSON, XML, PDF selon votre abonnement)
• Droit d'opposition (Art. 21 RGPD) : vous pouvez vous opposer au traitement de vos données fondé sur l'intérêt légitime, notamment à des fins de prospection commerciale
• Droit de retrait du consentement : lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment sans que cela n'affecte la licéité du traitement effectué antérieurement
• Droit d'introduire une réclamation : vous avez le droit de déposer une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr

Exercer vos droits

Pour exercer vos droits, vous pouvez nous contacter par e-mail à privacy@collectalys.com en précisant votre demande et en joignant un justificatif d'identité. Nous nous engageons à répondre à votre demande dans un délai d'un mois. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de nombre élevé de demandes, auquel cas vous en serez informé.

13. Protection des mineurs

Le Service est destiné aux personnes âgées d'au moins 16 ans. Nous ne collectons pas sciemment des données personnelles de mineurs de moins de 16 ans sans le consentement de leur représentant légal. Si nous découvrons qu'un mineur de moins de 16 ans a créé un compte sans le consentement parental requis, nous prendrons les mesures nécessaires pour supprimer ces données dans les meilleurs délais. Si vous êtes un parent ou un représentant légal et que vous pensez que votre enfant nous a fourni des données personnelles, veuillez nous contacter à privacy@collectalys.com.

14. Modifications de la politique

Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment. En cas de modification substantielle, nous vous en informerons par e-mail et/ou par notification au sein du Service au moins 15 jours avant l'entrée en vigueur des modifications.

La date de « dernière mise à jour » en haut de cette page indique la date de la dernière révision. Nous vous encourageons à consulter régulièrement cette page pour rester informé de nos pratiques en matière de protection des données.

15. Contact

Pour toute question relative à la présente Politique de Confidentialité ou à la protection de vos données personnelles, vous pouvez nous contacter :

• E-mail (données personnelles) : privacy@collectalys.com
• E-mail (général) : contact@collectalys.com
• Responsable du traitement : Yann Rozelot
• Autorité de contrôle : CNIL, www.cnil.fr