1. Introduction
Spliz, SASU (« nous », « notre ») s’engage à protéger votre vie privée. Cette politique explique quelles données nous collectons, comment nous les utilisons et vos droits concernant vos informations personnelles. Le responsable du traitement est Spliz SASU, 20 Rue de Coeuilly, 77340 Pontault-Combault, France, joignable à privacy@spliz.app. Nos autres informations légales figurent dans les Mentions légales. Spliz arrête son service de paiement. Après cet arrêt, nous ne collectons plus de données de paiement, sauf les dépôts reçus décrits en section 2 ; les données des paiements faits avant l’arrêt sont conservées selon la section 8.
2. Données collectées
Nous collectons le minimum de données nécessaire au fonctionnement du service : identifiant de compte Spliz, nom d’affichage et avatar (si fournis), identifiants d’appareil pour les notifications push et données de dépenses saisies dans l’app (descriptions, montants, membres). Les noms ou surnoms que vous donnez à des personnes sans compte Spliz sont enregistrés pour tenir les comptes du groupe ; ces personnes peuvent exercer leurs droits à privacy@spliz.app. Les versions utilisant Firebase Authentication permettent la connexion avec Apple, Google ou un lien email. Firebase conserve l’adresse email et les informations du fournisseur de connexion, notamment le nom et l’URL de photo de profil transmis par Google ; Spliz traite la preuve de connexion, qui peut contenir cette adresse. Dans sa base, Spliz conserve la correspondance avec l’identifiant Firebase, la méthode de connexion et des empreintes pseudonymes des méthodes autorisées, sans y recopier l’adresse email ni l’identifiant social brut. Les données de l’ancien compte Privy, dont son adresse de wallet, restent nécessaires à la continuité des anciennes versions et à la reprise du compte. Si vous souscrivez à Spliz Premium, nous recevons l’état de votre abonnement (produit, formule, période, dates de début et de fin, renouvellement, store d’achat, identifiant de l’abonnement chez RevenueCat) et nous enregistrons un identifiant de facturation aléatoire, distinct de votre identifiant de compte. Vos coordonnées et vos données de paiement restent chez Apple ou Google. Scan de tickets (facultatif) : la photo que vous choisissez de scanner et les informations qui en sont extraites (voir sections 4 et 8), un compteur mensuel de scans et un journal technique sans la photo ni son contenu. Ne scannez que des tickets de caisse, jamais une ordonnance. Vous vérifiez les informations avant de créer la dépense. Lorsque la conservation des tickets est disponible, une information avant capture vous indique que la photo reconnue sera jointe à la dépense et visible par ses lecteurs autorisés. Vous pouvez retirer la photo sans supprimer la dépense. Sans cette fonction, Spliz ne conserve pas la photo après la lecture. Pour la sécurité de votre compte, nous enregistrons l’adresse IP et un identifiant d’appareil lors des connexions et des opérations sensibles. Nous ne collectons ni ne stockons vos clés privées. Pour les paiements faits avec Spliz avant l’arrêt de son service de paiement, nous avons aussi enregistré leurs données : montants, adresses de wallet de l’expéditeur et du destinataire, autorisations signées, identifiants de transaction, achats et retraits d’USDC faits chez notre partenaire, résultats du criblage des sanctions. Après cet arrêt, nous ne collectons plus ces données. Seule exception : un dépôt reçu sur une adresse de wallet qui était associée à un compte Spliz reste enregistré (date, montant, adresses d’envoi et de réception) pour votre historique et votre export.
3. Utilisation des données
Vos données sont utilisées uniquement pour faire fonctionner Spliz. Chaque traitement repose sur une base légale. Exécution du contrat (RGPD art. 6(1)(b)) : la création et la connexion de votre compte (Firebase Authentication, et Privy pour les anciennes versions), le suivi des dépenses et le calcul des soldes, le nom d’affichage et l’avatar si vous les fournissez, les notifications push, l’abonnement Spliz Premium, la vérification des achats, le scan de tickets et son compteur. Intérêt légitime (art. 6(1)(f)) : la sécurité des comptes et la prévention de la fraude et des abus (journal de sécurité, adresse IP et identifiant d’appareil lors des connexions et des opérations sensibles, vérification d’intégrité de l’app, limite après plusieurs scans ratés), la supervision des erreurs (Sentry), les alertes techniques de notre équipe (Slack), les statistiques d’utilisation de l’app et la mesure d’audience du site (PostHog), le traitement de vos retours et réclamations (Tally, e-mail), la conservation des données des paiements faits avant l’arrêt du service de paiement et des dépôts reçus après cet arrêt, pour votre historique et comme preuve en cas de litige, et la conservation de la preuve d’acceptation des conditions d’utilisation (section 8). Consentement (art. 6(1)(a)) : l’inscription à la liste d’attente, que vous pouvez retirer à tout moment à privacy@spliz.app. Vous pouvez vous opposer aux traitements fondés sur notre intérêt légitime (section 9). Nous ne vendons, ne louons et ne partageons pas vos données personnelles avec des tiers à des fins marketing. Nos obligations comptables portent sur les relevés globaux d’Apple et de Google, pas sur des données qui vous concernent.
4. Sous-traitants et services tiers
Spliz s’appuie sur les sous-traitants suivants. Chacun opère selon sa propre politique de confidentialité et ne reçoit que le minimum de données nécessaire à sa mission. Google (Firebase Authentication, authentification, États-Unis) : adresse email, identifiants de connexion Apple ou Google, nom et URL de photo de profil transmis par Google, informations techniques du client et adresse IP pour la connexion et la prévention des abus. Privy (anciennes versions et reprise des comptes, États-Unis, CCT) : identifiants du compte historique, adresse de wallet, email et facteurs de sécurité déjà associés. Privy reste utilisé pour les anciennes connexions et la récupération web des wallets ; il ne crée pas de wallet dans les versions mobiles utilisant Firebase. Alchemy et le point d’accès public de Base opéré par Coinbase restent utilisés pour les accès aux anciens wallets. Expo (notifications push, États-Unis, CCT) : token push, métadonnées de notification. Sentry (supervision d’erreurs, données hébergées à Francfort par une société américaine, CCT) : identifiant utilisateur haché, traces d’erreur, breadcrumbs (sans contenu de message ni montants détaillés au-delà de métadonnées tronquées). Slack (alertes techniques destinées à notre équipe, États-Unis) : identifiants techniques internes (par exemple d’un Spliz, d’un transfert ou d’une opération) et empreintes de transactions publiques. PostHog (statistiques d’utilisation produit, hébergé en Allemagne, Francfort, par PostHog Cloud EU) : depuis l’app, un identifiant aléatoire propre à l’installation ; depuis nos serveurs, pour quelques événements (provenance de l’installation), un pseudonyme de votre compte, calculé à partir de son identifiant avec une clé secrète. Les événements envoyés par nos serveurs sont donc reliés à votre compte sous ce pseudonyme, jamais à votre nom ni à votre adresse e-mail. Ces événements portent la méthode de connexion, des interactions (par exemple la création d’un Spliz), la campagne ou le lien qui a mené à l’installation, le type d’écran consulté et les erreurs. Pour les paiements faits avant l’arrêt du service de paiement, ils ont aussi porté la signature et le règlement, des montants par tranche et l’étape d’un dépôt ou d’un retrait. Les événements ne contiennent ni adresse de wallet, ni pseudo, ni e-mail. Pour les statistiques de l’app, PostHog utilise l’adresse IP reçue en transit pour estimer une localisation approximative (pays, région et ville). Cette localisation est associée aux événements ; l’adresse IP est retirée avant leur stockage. La position précise fournie par votre appareil n’est pas utilisée. Ces données sont pseudonymes : vos droits d’accès, d’opposition et d’effacement s’y appliquent, sur demande à privacy@spliz.app. Activé par défaut ; vous pouvez vous y opposer à tout moment dans Réglages → Confidentialité, ce qui arrête aussi les événements envoyés par nos serveurs (base légale : intérêt légitime, art. 6(1)(f) RGPD, mesure d’audience sans publicité ni recoupement entre apps). Aucun enregistrement de session. Conservation : les événements ne sont plus accessibles après 12 mois, selon l’offre de PostHog que nous utilisons ; PostHog ne précise pas quand ils sont effacés définitivement. Sur demande à privacy@spliz.app, nous demandons à PostHog de les supprimer. Apple (APNs) et Google (FCM) (acheminement des notifications push, États-Unis, CCT) : token d’appareil, titre et texte de la notification, et des identifiants techniques qui ouvrent le bon écran (type de notification, identifiants internes de la notification, du Spliz concerné et de votre compte, date d’expiration). Le titre et le texte sont volontairement génériques : ni nom de groupe, ni nom de personne, ni montant. Apple (App Attest) et Google (Play Integrity) (vérification d’intégrité de l’app, États-Unis) : lors de certaines actions, comme la création d’un Spliz, l’app demande à Apple ou à Google d’attester que la requête vient d’une copie authentique de Spliz sur un appareil réel ; ils reçoivent pour cela des informations techniques sur l’app et l’appareil, sans votre nom ni votre e-mail. Cloudflare (stockage privé des avatars et des photos de tickets, journal de conformité immuable sur R2, relais des statistiques PostHog, États-Unis, CCT) : octets des avatars et des photos de tickets conservées, adresses de wallet hachées pour audit, adresse IP en transit vers PostHog. Railway (hébergement de l’API, de la base de données et du cache, société américaine, serveurs dans l’Union européenne aux Pays-Bas, CCT) : ensemble des données backend. Vercel (hébergement du site, États-Unis, CCT) : adresse IP des visiteurs, et pour les pages d’invitation, de suppression de compte et d’export de clé, le nom du Spliz et le pseudo de son créateur affichés dans l’aperçu d’invitation. Tally (formulaires de retour et liste d’attente, Tally BV, Gand, Belgique, données stockées dans l’Union européenne, traitement intra-UE) : vos réponses et, si vous la donnez, votre adresse e-mail, conservées jusqu’à votre demande de suppression à privacy@spliz.app. RevenueCat (gestion des abonnements Spliz Premium, États-Unis, CCT) : un identifiant de facturation aléatoire, distinct de votre identifiant de compte, l’historique et l’état de vos achats transmis par l’App Store ou Google Play, le pays du store, l’adresse IP de connexion et des informations techniques sur l’appareil (système, version de l’app, langue). La collecte d’identifiants publicitaires et d’identifiants d’appareil est désactivée. Aucun e-mail, téléphone, nom, pseudo ni adresse de wallet n’est transmis. À la suppression définitive de votre compte, nous demandons la suppression de l’abonné chez RevenueCat, avec relances automatiques puis manuelles jusqu’à confirmation. Anthropic (lecture automatique des photos de tickets, États-Unis, CCT) : la photo que vous scannez, sans aucune donnée de votre compte ; Anthropic renvoie le commerçant, la date, la devise et le total lus, et n’utilise pas ces données pour entraîner ses modèles. Apple et Google (achat, paiement, taxes et remboursement de Spliz Premium) : ils agissent comme responsables de traitement distincts, selon leurs propres politiques de confidentialité ; Spliz ne reçoit ni votre carte, ni votre adresse de facturation. Pour les paiements faits avant l’arrêt de son service de paiement, Spliz a aussi fait appel à Coinbase (achat et retrait d’USDC : adresse de wallet, IP pour les vérifications d’identité et la géo-restriction), Relay (acheminement des dépôts entrants : adresse de wallet, données de transaction on-chain), Chainalysis Oracle (criblage des sanctions en lecture seule : adresse de wallet vérifiée contre la liste OFAC) et au réseau Base (blockchain publique, voir section 6). Après cet arrêt, ils ne reçoivent plus de données de Spliz. Nous ne vendons, ne louons et ne partageons pas vos données avec des tiers à des fins publicitaires.
5. Transferts internationaux
Certains de nos prestataires sont situés en dehors de l’Espace économique européen, principalement aux États-Unis (Google (Firebase Authentication), Privy, Alchemy, Expo, RevenueCat, Anthropic, Cloudflare, Vercel, Railway, Slack, ainsi qu’Apple et Google pour l’acheminement des notifications push). Sentry et PostHog hébergent vos données dans l’Union européenne, mais ce sont des sociétés américaines : un accès depuis les États-Unis reste possible. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et, le cas échéant, par la certification au Data Privacy Framework pour les sous-traitants effectivement certifiés. Une analyse d’impact des transferts (TIA) est disponible sur demande à privacy@spliz.app. Pour les paiements faits avant l’arrêt du service de paiement, ces transferts ont aussi concerné Coinbase, pour l’achat et le retrait d’USDC. Les données de transactions on-chain sont stockées sur un réseau décentralisé accessible mondialement.
6. Données on-chain
Les paiements faits avec Spliz avant l’arrêt de son service de paiement sont enregistrés sur la blockchain Base et sont publiquement visibles : adresses de wallet, montants en USDC et horodatages. Après cet arrêt, Spliz n’en inscrit plus. Les données on-chain ne peuvent pas être supprimées car elles font partie du registre public de la blockchain.
7. Stockage et sécurité
Les données off-chain (informations de compte, détails des dépenses) sont stockées sur des serveurs sécurisés. Nous utilisons le chiffrement en transit (TLS) et au repos. L’accès aux données de production est restreint au personnel autorisé.
8. Conservation et suppression
Les correspondances Firebase et les empreintes des méthodes de connexion sont supprimées de Spliz à la purge définitive du compte. Nous demandons alors la suppression de l’identité Firebase ; les coordonnées nécessaires aux relances sont conservées jusqu’à confirmation. Firebase indique conserver les journaux IP quelques semaines et effacer les autres données d’authentification de ses systèmes actifs et sauvegardes sous 180 jours après la demande de suppression. Vous pouvez supprimer votre compte à tout moment depuis les paramètres de l’app ou via notre page publique de suppression (https://spliz.app/account-deletion). Nous conservons chaque catégorie de données seulement le temps nécessaire, dans les limites suivantes : profil, Spliz et dépenses : tant que votre compte existe, puis selon la suppression décrite ci-dessus ; tokens d’authentification : 24 heures ; sessions actives : 90 jours après révocation ; compte en suppression progressive : 30 jours de grâce avant effacement irréversible ; notifications in-app : 90 jours après lecture ; avatars et tokens push : supprimés au moment de la suppression du compte ; données des paiements faits avant l’arrêt du service de paiement (règlements, envois, dépôts reçus, transactions diffusées, autorisations signées, relances, adresses communiquées) et dépôts reçus après cet arrêt sur une adresse de wallet qui était associée à un compte Spliz (date, montant, adresses) : 5 ans à compter de l’opération, puis suppression, comme preuve en cas de litige (prescription de droit commun, art. 2224 du Code civil ; RGPD art. 6(1)(f)) ; journaux de conformité des paiements (criblage des sanctions), en base et dans l’archive : 5 ans, puis suppression ; données techniques de ces paiements (déduplication des notifications, frais de réseau, journal du relayeur) : supprimées lors du retrait technique des paiements, au plus tard 5 ans après l’opération ; renonciation au droit de rétractation, si vous en avez donné une : 5 ans, rattachée à une empreinte non réversible de l’identifiant du compte après son effacement ; achats et retraits d’USDC faits chez notre partenaire : supprimés avec votre compte ; preuve d’acceptation des conditions d’utilisation (version, empreinte du texte, langue, méthode et date, ainsi que les préavis de modification reçus), rattachée à une empreinte non réversible de l’identifiant du compte, sans identifiant direct : 5 ans après l’effacement du compte, pour la constatation, l’exercice ou la défense de droits en justice (RGPD art. 6(1)(f) et 17(3)(e)), puis suppression ; paiements inscrits on-chain : permanents et hors de notre contrôle. Spliz Premium : état de l’abonnement, identifiant de facturation, compteurs et journal des scans : jusqu’à la suppression définitive du compte ; notifications d’achat reçues de RevenueCat : 90 jours après leur réception, ou jusqu’à leur traitement si elles sont en échec ; journal de sécurité du compte, opérations Premium comprises : 180 jours, l’adresse IP étant tronquée après 90 jours ; abonné chez RevenueCat : suppression demandée à la suppression définitive du compte, avec relances jusqu’à confirmation ; photo de ticket : sans conservation activée, la photo est traitée temporairement pour la lecture ; avec conservation activée, une photo non rattachée expire après 24 heures et une photo jointe suit la dépense, indépendamment de Premium. Le retrait, la suppression de la dépense ou du Spliz, ou la suppression du compte propriétaire rendent la photo inaccessible ; son effacement physique est repris automatiquement en cas d'échec ; chez Anthropic, supprimée sous 30 jours, ou conservée jusqu’à 2 ans si ses filtres de sécurité la signalent ; résultat de la lecture : 2 minutes dans notre cache, pour éviter une double lecture. Supprimer votre compte ne résilie pas votre abonnement : résiliez-le dans l’App Store ou Google Play. Apple et Google conservent leur propre historique d’achat selon leurs règles. Mode invité : une identité technique permet de retrouver vos Spliz sans compte inscrit. Réglages → Effacer mes données supprime cette identité et vos signalements et blocages, sans délai de grâce. Les Spliz où aucun autre membre réel ne reste sont supprimés. Dans les autres, votre place est anonymisée et conserve ses parts pour préserver les comptes du groupe. Un identifiant de révocation est conservé 360 jours pour empêcher une ancienne session de recréer vos données ; les preuves d'acceptation pseudonymisées suivent la durée de 5 ans ci-dessus. Les dépenses partagées restent jusqu'à la suppression du groupe. Vos signalements et blocages suivent votre compte si vous vous inscrivez.
9. Vos droits (RGPD) et décisions automatisées
Si vous résidez dans l’Espace économique européen, vous disposez du droit : d’accéder à vos données personnelles, de rectifier les données inexactes, de demander la suppression de vos données, de limiter le traitement, à la portabilité des données, et de retirer à tout moment votre consentement à un traitement qui en dépend (liste d’attente). Pour exercer ces droits, contactez-nous à privacy@spliz.app. Droit d’opposition : vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime (section 3), en écrivant à privacy@spliz.app ; nous cessons alors le traitement, sauf motif légitime impérieux ou besoin de constater, exercer ou défendre des droits en justice. Pour les statistiques d’utilisation, l’opposition est directe et sans justification : Réglages → Confidentialité dans l’app, lien « Désactiver la mesure d’audience » sur le site. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès et désigner une personne chargée de les exécuter, en écrivant à privacy@spliz.app. Sans directive, vos héritiers peuvent nous demander la clôture du compte. Vos données Premium (abonnement, identifiant de facturation, journal et compteurs de scans) vous sont communiquées sur demande à privacy@spliz.app ; nous répondons sous un mois. Résidents des États-Unis : Spliz ne vend pas vos données personnelles et ne les partage pas à des fins de publicité ciblée ou comportementale, au sens des lois des États américains sur la vie privée, dont le California Consumer Privacy Act. Vous pouvez demander l’accès, la rectification ou la suppression de vos données à privacy@spliz.app, quel que soit votre État de résidence, sans subir de traitement différent pour l’avoir fait. Vous disposez également du droit d’introduire une réclamation auprès de votre autorité de contrôle (en France : CNIL, www.cnil.fr). Décisions automatisées (art. 22 RGPD) : pour les paiements faits avant l’arrêt de son service de paiement, Spliz a appliqué des contrôles automatisés. Les adresses de wallet étaient criblées contre l’oracle on-chain Chainalysis et contre des plafonds de transfert par utilisateur ; un paiement impliquant une adresse sanctionnée ou dépassant le plafond était automatiquement bloqué. Après cet arrêt, Spliz ne prend plus de décision automatisée de ce type. Pour une décision prise avant l’arrêt, vous gardez le droit, au titre de l’art. 22 RGPD, d’obtenir un examen humain, d’exprimer votre point de vue et de la contester : écrivez à privacy@spliz.app et nous procéderons à un examen manuel sous un mois. Le nom d’affichage et l’avatar sont facultatifs.
10. Cookies, traçage et statistiques d’utilisation
L’application mobile Spliz n’utilise pas de cookies. Notre site web (spliz.app) utilise uniquement des cookies essentiels au fonctionnement. Ils sont exemptés de consentement : NEXT_LOCALE mémorise la langue que vous choisissez, pendant un an ; spliz_analytics_disabled mémorise votre opposition à la mesure d’audience (valeur 1), pendant un an. Le site garde aussi dans votre navigateur, sans les transmettre, le thème clair ou sombre choisi (spliz:appearance, jusqu’à ce que vous reveniez au réglage du système) et, le temps de l’onglet, l’état de la démonstration de l’accueil et votre position de lecture au changement de langue. La page de récupération de wallet utilise le stockage de session de Privy nécessaire à la connexion. Nous n’utilisons aucun traceur publicitaire. Sur le site, les identifiants de mesure restent en mémoire pendant la page et ne sont pas conservés entre les visites. Pour vous opposer à la mesure d’audience du site, suivez le lien « Désactiver la mesure d’audience » en bas de chaque page, ou ajoutez ?analytics=off à l’adresse d’une page. Les navigateurs automatisés reconnus sont aussi exclus. Nous respectons les signaux Do Not Track et Global Privacy Control (PostHog, hébergé en Europe, Francfort ; base légale : intérêt légitime, art. 6(1)(f) RGPD, mesure d’audience anonyme de première partie). Statistiques d’utilisation produit : nous utilisons PostHog (hébergé en Europe, Francfort) pour mesurer l’usage de l’app et l’améliorer. Ces statistiques sont activées par défaut et pseudonymes, sans adresse de wallet, pseudo ni e-mail (détail en section 4) ; vous pouvez vous y opposer à tout moment dans Réglages → Confidentialité (base légale : intérêt légitime, art. 6(1)(f) RGPD, sans traçage publicitaire). Aucun enregistrement de session.
11. Modifications
Nous pouvons mettre à jour cette politique de confidentialité. Nous vous informons dans l’app de tout changement important avant son entrée en vigueur.
12. Protection des mineurs
Spliz est ouvert à partir de 13 ans et ne s’adresse pas aux enfants de moins de 13 ans. Nous ne vous demandons pas votre âge. Nous ne faisons de publicité ni de profilage publicitaire pour personne. Si nous apprenons qu’un compte appartient à un enfant de moins de 13 ans, nous le supprimons avec ses données. Un parent ou représentant légal peut nous demander l’accès aux données de son enfant ou leur effacement à privacy@spliz.app. Si vous étiez mineur lorsque vos données ont été collectées, vous pouvez en demander l’effacement à tout moment ; nous y répondons dans un délai d’un mois. Les achats Spliz Premium passent par Apple ou Google, qui appliquent leurs propres contrôles d’âge et d’autorisation parentale.
13. Contact
Pour toute question ou demande relative à la confidentialité, contactez-nous à privacy@spliz.app.