1. Introduction
Spliz, SASU (« nous », « notre ») s’engage à protéger votre vie privée. Cette politique explique quelles données nous collectons, comment nous les utilisons et vos droits concernant vos informations personnelles. Pour nos informations légales complètes, consultez nos Mentions légales.
2. Données collectées
Nous collectons le minimum de données nécessaire au fonctionnement du service : votre adresse de wallet (publique, on-chain), nom d’affichage et avatar (si fournis), adresse e-mail (si vous vous connectez via Google ou Apple : elle est conservée par Privy, notre prestataire d’authentification, et n’est pas enregistrée dans la base Spliz), identifiants d’appareil pour les notifications push, et les données de dépenses saisies dans l’app (descriptions, montants, membres). Si vous souscrivez à Spliz Premium, nous recevons l’état de votre abonnement (produit, formule, période, dates de début et de fin, renouvellement, store d’achat, identifiant de l’abonnement chez RevenueCat) et nous enregistrons un identifiant de facturation aléatoire, distinct de votre identifiant de compte. Vos coordonnées et vos données de paiement restent chez Apple ou Google. Places partagées : pour chaque place, nous enregistrons un code à usage unique (chiffré tant qu’il n’est pas utilisé), le compte qui l’utilise et les dates d’utilisation et de libération. Le titulaire voit seulement si chaque place est libre ou utilisée ; Spliz ne lui montre jamais qui l’occupe. La personne qui utilise une place ne voit rien du compte du titulaire, ni son nom, ni ses dates d’abonnement : elle sait seulement que son accès dure tant que l’abonnement qui le porte est actif. Scan de tickets (facultatif) : la photo que vous choisissez de scanner et les informations qui en sont extraites (voir sections 4 et 8), un compteur mensuel de scans et un journal technique sans la photo ni son contenu. Ne scannez que des tickets de caisse, jamais une ordonnance. Vous vérifiez les informations avant de créer la dépense. Lorsque la conservation des tickets est disponible, une information avant capture vous indique que la photo reconnue sera jointe à la dépense et visible par ses lecteurs autorisés. Vous pouvez retirer la photo sans supprimer la dépense. Sans cette fonction, Spliz ne conserve pas la photo après la lecture. Pour la sécurité de votre compte, nous enregistrons l’adresse IP et un identifiant d’appareil lors des connexions et des opérations sensibles. Nous ne collectons ni ne stockons vos clés privées.
3. Utilisation des données
Vos données sont utilisées uniquement pour faire fonctionner Spliz. Nous traitons vos données sur les bases légales suivantes : (a) exécution du contrat (RGPD art. 6(1)(b)) pour le suivi des dépenses, le calcul des soldes et la coordination des règlements ; (b) intérêt légitime (art. 6(1)(f)) pour l’amélioration du service, la sécurité et la prévention de la fraude ; (c) obligation légale (art. 6(1)(c)) pour la conservation des enregistrements de règlement. Nous ne vendons, ne louons et ne partageons pas vos données personnelles avec des tiers à des fins marketing. Spliz Premium : l’exécution du contrat (art. 6(1)(b)) fonde l’abonnement, la vérification des achats, les places partagées, le scan de tickets et son compteur. L’intérêt légitime (art. 6(1)(f)) fonde la prévention des abus et des doubles paiements (limite après plusieurs scans ratés, journal de sécurité) et le traitement de vos réclamations. Nos obligations comptables portent sur les relevés globaux d’Apple et de Google, pas sur des données qui vous concernent.
4. Sous-traitants et services tiers
Spliz s’appuie sur les sous-traitants suivants. Chacun opère selon sa propre politique de confidentialité et ne reçoit que le minimum de données nécessaire à sa mission. Privy (authentification et wallets intégrés, États-Unis, CCT) : adresse de wallet, e-mail si vous vous connectez via Google ou Apple, et vos facteurs de sécurité (passkey, application d’authentification) si vous les activez. Coinbase (on-ramp et off-ramp USDC, États-Unis, CCT) : adresse de wallet, IP pour KYC et géo-restriction. Alchemy (lecture de la blockchain Base, États-Unis, CCT) et, en secours, le point d’accès public de Base opéré par Coinbase : adresse de wallet et adresse IP de votre appareil, lors de l’affichage des soldes et du suivi des transactions. Relay (acheminement des dépôts entrants, infrastructure distribuée) : adresse de wallet, données de transaction on-chain. Bridge (on-ramp SEPA, États-Unis, CCT, prévu V2) : adresse de wallet, IBAN, documents KYC. WalletConnect (protocole de wallets externes, infrastructure distribuée) : adresse de wallet, payloads RPC. Expo (notifications push, États-Unis, CCT) : token push, métadonnées de notification. Sentry (supervision d’erreurs, données hébergées à Francfort par une société américaine, CCT) : identifiant utilisateur haché, traces d’erreur, breadcrumbs (sans contenu de message ni montants détaillés au-delà de métadonnées tronquées). PostHog (statistiques d’utilisation produit, hébergé en Allemagne, Francfort, par PostHog Cloud EU) : depuis l’app, un identifiant aléatoire propre à l’installation, jamais relié à votre compte ; depuis nos serveurs, pour quelques événements (règlement, dépôt ou retrait, provenance de l’installation), un pseudonyme calculé à partir de votre identifiant de compte avec une clé secrète. Ces événements portent la méthode de connexion, des interactions (création de Spliz, signature, règlement), des montants par tranche, l’étape d’un dépôt ou d’un retrait, la campagne ou le lien qui a mené à l’installation, le type d’écran consulté et les erreurs. Les événements ne contiennent ni adresse de wallet, ni pseudo, ni e-mail. Pour les statistiques de l’app, PostHog utilise l’adresse IP reçue en transit pour estimer une localisation approximative (pays, région et ville). Cette localisation est associée aux événements ; l’adresse IP est retirée avant leur stockage. La position précise fournie par votre appareil n’est pas utilisée. Ces données sont pseudonymes : vos droits d’accès, d’opposition et d’effacement s’y appliquent, sur demande à privacy@spliz.app. Activé par défaut ; vous pouvez vous y opposer à tout moment dans Réglages → Confidentialité, ce qui arrête aussi les événements envoyés par nos serveurs (base légale : intérêt légitime, art. 6(1)(f) RGPD, mesure d’audience sans publicité ni recoupement entre apps). Aucun enregistrement de session. Conservation : 25 mois. Apple (APNs) et Google (FCM) (acheminement des notifications push, États-Unis, CCT) : token d’appareil et contenu de notification. Le contenu des notifications est volontairement générique et ne comporte aucune donnée financière sensible (ni montants détaillés ni soldes). Chainalysis Oracle (criblage AML on-chain, lecture seule) : adresse de wallet vérifiée contre la liste OFAC, voir section 9. Cloudflare (stockage privé des avatars et des photos de tickets, journal de conformité immuable sur R2, relais des statistiques PostHog, États-Unis, CCT) : octets des avatars et des photos de tickets conservées, adresses de wallet hachées pour audit, adresse IP en transit vers PostHog. Railway (hébergement de l’API, de la base de données et du cache, société américaine, serveurs dans l’Union européenne aux Pays-Bas, CCT) : ensemble des données backend. Vercel (hébergement du site, États-Unis, CCT) : adresse IP des visiteurs, et pour les pages d’invitation, de suppression de compte et d’export de clé, le nom du Spliz et le pseudo de son créateur affichés dans l’aperçu d’invitation. Tally (formulaire de waitlist pré-launch, Tally BV, Gand, Belgique, données stockées dans l’Union européenne, traitement intra-UE) : adresse e-mail uniquement, conservée le temps du pré-launch puis supprimée à l’ouverture publique de l’app. RevenueCat (gestion des abonnements Spliz Premium, États-Unis, CCT) : un identifiant de facturation aléatoire, distinct de votre identifiant de compte, l’historique et l’état de vos achats transmis par l’App Store ou Google Play, le pays du store, l’adresse IP de connexion et des informations techniques sur l’appareil (système, version de l’app, langue). La collecte d’identifiants publicitaires et d’identifiants d’appareil est désactivée. Aucun e-mail, téléphone, nom, pseudo ni adresse de wallet n’est transmis. À la suppression définitive de votre compte, nous demandons la suppression de l’abonné chez RevenueCat, avec relances automatiques puis manuelles jusqu’à confirmation. Anthropic (lecture automatique des photos de tickets, États-Unis, CCT) : la photo que vous scannez, sans aucune donnée de votre compte ; Anthropic renvoie le commerçant, la date, la devise et le total lus, et n’utilise pas ces données pour entraîner ses modèles. Apple et Google (achat, paiement, taxes et remboursement de Spliz Premium) : ils agissent comme responsables de traitement distincts, selon leurs propres politiques de confidentialité ; Spliz ne reçoit ni votre carte, ni votre adresse de facturation. Réseau Base (règlement, blockchain publique) : données de transactions on-chain. Nous ne vendons, ne louons et ne partageons pas vos données avec des tiers à des fins publicitaires.
5. Transferts internationaux
Certains de nos prestataires sont situés en dehors de l’Espace économique européen, principalement aux États-Unis (Privy, Coinbase, Alchemy, Expo, RevenueCat, Anthropic, Cloudflare, Vercel, Railway, ainsi qu’Apple et Google pour l’acheminement des notifications push). Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et, le cas échéant, par la certification au Data Privacy Framework pour les sous-traitants effectivement certifiés. Une analyse d’impact des transferts (TIA) est disponible sur demande à privacy@spliz.app. Les données de transactions on-chain sont stockées sur un réseau décentralisé accessible mondialement.
6. Données on-chain
Les transactions de règlement sont enregistrées sur la blockchain Base et sont publiquement visibles. Cela inclut les adresses de wallet, les montants en USDC et les horodatages. Les données on-chain ne peuvent pas être supprimées car elles font partie du registre public de la blockchain.
7. Stockage et sécurité
Les données off-chain (informations de compte, détails des dépenses) sont stockées sur des serveurs sécurisés. Nous utilisons le chiffrement en transit (TLS) et au repos. L’accès aux données de production est restreint au personnel autorisé.
8. Conservation et suppression
Vous pouvez supprimer votre compte à tout moment depuis les paramètres de l’app ou via notre page publique de suppression (https://spliz.app/account-deletion). Nous conservons chaque catégorie de données seulement le temps nécessaire, dans les limites suivantes : tokens d’authentification : 24 heures ; sessions actives : 90 jours après révocation ; compte en suppression progressive : 30 jours de grâce avant effacement irréversible ; notifications in-app : 90 jours après lecture ; enregistrements de déduplication des notifications de règlement : 30 jours ; avatars et tokens push : supprimés au moment de la suppression du compte ; enregistrements de règlement en base : 5 ans (obligation de conservation du Code de commerce français) ; journaux de conformité couvrant les événements sanctions ou AML : 7 ans (imposé par les règlements UE DAC8 / AMLD6), puis suppression ; preuve d’acceptation des conditions d’utilisation (version, empreinte du texte, langue, méthode et date, ainsi que les préavis de modification reçus), rattachée à une empreinte non réversible de l’identifiant du compte, sans identifiant direct : 5 ans après l’effacement du compte, pour la constatation, l’exercice ou la défense de droits en justice (RGPD art. 6(1)(f) et 17(3)(e)), puis suppression ; transactions de règlement on-chain : permanentes et hors de notre contrôle. Spliz Premium : état de l’abonnement, identifiant de facturation, places partagées, compteurs et journal des scans : jusqu’à la suppression définitive du compte ; notifications d’achat reçues de RevenueCat : 90 jours après leur réception, ou jusqu’à leur traitement si elles sont en échec ; journal de sécurité du compte, opérations Premium comprises : 180 jours, l’adresse IP étant tronquée après 90 jours ; abonné chez RevenueCat : suppression demandée à la suppression définitive du compte, avec relances jusqu’à confirmation ; photo de ticket : sans conservation activée, la photo est traitée temporairement pour la lecture ; avec conservation activée, une photo non rattachée expire après 24 heures et une photo jointe suit la dépense, indépendamment de Premium. Le retrait, la suppression de la dépense ou du Spliz, ou la suppression du compte propriétaire rendent la photo inaccessible ; son effacement physique est repris automatiquement en cas d'échec ; chez Anthropic, supprimée sous 30 jours, ou conservée jusqu’à 2 ans si ses filtres de sécurité la signalent ; résultat de la lecture : 2 minutes dans notre cache, pour éviter une double lecture. Supprimer votre compte ne résilie pas votre abonnement : résiliez-le dans l’App Store ou Google Play. Apple et Google conservent leur propre historique d’achat selon leurs règles. Mode invité : une identité technique permet de retrouver vos Spliz sans compte inscrit. Réglages → Effacer mes données supprime cette identité et vos signalements et blocages, sans délai de grâce. Les Spliz où aucun autre membre réel ne reste sont supprimés. Dans les autres, votre place est anonymisée et conserve ses parts pour préserver les comptes du groupe. Un identifiant de révocation est conservé 360 jours pour empêcher une ancienne session de recréer vos données ; les preuves d'acceptation pseudonymisées suivent la durée de 5 ans ci-dessus. Les dépenses partagées restent jusqu'à la suppression du groupe. Vos signalements et blocages suivent votre compte si vous vous inscrivez.
9. Vos droits (RGPD) et décisions automatisées
Si vous résidez dans l’Espace économique européen, vous disposez du droit : d’accéder à vos données personnelles, de rectifier les données inexactes, de demander la suppression de vos données, de limiter ou vous opposer au traitement, à la portabilité des données, et de retirer votre consentement à tout moment. Pour exercer ces droits, contactez-nous à privacy@spliz.app. Vos données Premium (abonnement, identifiant de facturation, places, journal et compteurs de scans) vous sont communiquées sur demande à privacy@spliz.app ; nous répondons sous un mois. Résidents des États-Unis : Spliz ne vend pas vos données personnelles et ne les partage pas à des fins de publicité ciblée ou comportementale, au sens des lois des États américains sur la vie privée, dont le California Consumer Privacy Act. Vous pouvez demander l’accès, la rectification ou la suppression de vos données à privacy@spliz.app, quel que soit votre État de résidence, sans subir de traitement différent pour l’avoir fait. Vous disposez également du droit d’introduire une réclamation auprès de votre autorité de contrôle (en France : CNIL, www.cnil.fr). Décisions automatisées (art. 22 RGPD) : Spliz applique des contrôles automatisés imposés par la réglementation européenne anti-blanchiment (DAC8 / AMLD6). Les adresses de wallet sont criblées contre l’oracle on-chain Chainalysis et contre des plafonds de transfert par utilisateur ; un règlement ou un transfert impliquant une adresse sanctionnée ou dépassant le plafond configuré est automatiquement bloqué. La base légale est l’obligation légale qui pèse sur nous (art. 6(1)(c) RGPD). Vous disposez du droit, au titre de l’art. 22 RGPD, d’obtenir un examen humain, d’exprimer votre point de vue et de contester une telle décision, écrivez à privacy@spliz.app et nous procéderons à un examen manuel sous 30 jours. La fourniture de votre adresse de wallet est nécessaire pour utiliser les fonctions de règlement ; le nom d’affichage et l’avatar sont facultatifs.
10. Cookies, traçage et statistiques d’utilisation
L’application mobile Spliz n’utilise pas de cookies. Notre site web (spliz.app) utilise uniquement des cookies essentiels au fonctionnement. Nous n’utilisons aucun traceur publicitaire. Sur le site web, la mesure d’audience est anonyme et sans cookie : rien n’est stocké sur votre appareil, aucune donnée personnelle n’est collectée (ni identifiant, ni IP en clair), et le signal Do Not Track de votre navigateur est respecté (PostHog, hébergé en Europe, Francfort ; base légale : intérêt légitime, art. 6(1)(f) RGPD, mesure d’audience anonyme de première partie). Statistiques d’utilisation produit : nous utilisons PostHog (hébergé en Europe, Francfort) pour mesurer l’usage de l’app et l’améliorer. Ces statistiques sont activées par défaut et pseudonymes, sans adresse de wallet, pseudo ni e-mail (détail en section 4) ; vous pouvez vous y opposer à tout moment dans Réglages → Confidentialité (base légale : intérêt légitime, art. 6(1)(f) RGPD, sans traçage publicitaire). Aucun enregistrement de session.
11. Modifications
Nous pouvons mettre à jour cette politique de confidentialité. Nous vous informons dans l’app de tout changement important avant son entrée en vigueur.
12. Protection des mineurs
Spliz n’est pas destiné aux utilisateurs de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles de mineurs. Si vous pensez qu’un mineur nous a fourni des informations personnelles, contactez-nous à privacy@spliz.app afin que nous puissions les supprimer. Les achats Spliz Premium passent par Apple ou Google, qui appliquent leurs propres contrôles d’âge et d’autorisation parentale.
13. Contact
Pour toute question ou demande relative à la confidentialité, contactez-nous à privacy@spliz.app.