Notre approche
Onyvapp est conçu autour d'une logique « zéro friction » : l'application mobile est utilisable sans compte et nous ne collectons que les données strictement nécessaires au service. Nous ne revendons aucune donnée et n'utilisons aucun outil publicitaire tiers.
Site web onyvapp.com : la consultation du site est anonyme. Aucun cookie tiers publicitaire n'est déposé. Le site est purement informatif et redirige vers l'application mobile pour l'ensemble des fonctions nécessitant un compte. Nous utilisons uniquement Vercel Analytics (Vercel Inc., États-Unis) — un outil de mesure d'audience anonyme et sans cookie qui compte les pages vues et mesure la performance technique du site. Aucune donnée personnelle, aucun identifiant durable, aucun profil publicitaire n'est constitué. Transfert vers les États-Unis encadré par les clauses contractuelles types de la Commission européenne, Vercel est certifié SOC 2 Type II.
Données collectées
- Compte utilisateur : adresse email, prénom (modifiable), photo de profil optionnelle, ville de référence et rayon de recherche, préférences de catégories.
- Soumissions d'événements : photo de l'affiche, données extraites automatiquement (titre, date, lieu, description, catégorie, public visé), historique de modération.
- Favoris et séjours : événements et lieux sauvegardés. Pour les séjours : villes étapes, dates, préférences (catégories, public, budget), programme généré.
- Notifications push : jeton Expo / FCM associé à votre appareil, historique des notifications reçues (30 jours).
Aucune donnée de localisation continue n'est collectée. Nous n'intégrons aucun pixel publicitaire, aucun outil de tracking cross-app ni aucun analytics comportementale tierce. La seule mesure d'audience côté web est Vercel Analytics (voir plus haut) — anonyme, sans cookie, sans profilage.
Analyse par intelligence artificielle (service tiers)
Lorsque vous soumettez l'affiche d'un événement, Onyvapp utilise un service d'intelligence artificielle tiers pour extraire automatiquement les informations clés (titre, date, lieu, prix, catégorie) afin de vous éviter une saisie manuelle. Cette fonctionnalité ne s'active qu'après un consentement explicite recueilli dans l'application au premier usage de la soumission.
- Données envoyées : (1) la photo que vous sélectionnez ou prenez ; OU (2) si vous partagez / collez le lien d'une publication Facebook ou Instagram, notre serveur ouvre la page et en capture un rendu — c'est ce rendu qui est envoyé au service d'analyse. Aucune donnée de compte, aucun identifiant utilisateur n'est transmis aux services tiers.
- Destinataire principal : modèle Claude Haiku 4.5, opéré par Anthropic, Inc. Le traitement s'effectue sur l'infrastructure Anthropic aux États-Unis. Le transfert est encadré par les clauses contractuelles types de la Commission européenne et Anthropic est certifié SOC 2 Type II.
- Destinataire secondaire (share URL) : uniquement lorsque vous partagez / collez un lien Facebook ou Instagram, Cloudflare Browser Rendering (Cloudflare, Inc., États-Unis) est utilisé pour ouvrir la page dans un navigateur serveur et en produire le rendu. Cloudflare ne conserve pas le contenu au-delà du rendu (quelques secondes). Transfert encadré par les clauses contractuelles types de la Commission européenne, Cloudflare est certifié ISO 27001 et SOC 2 Type II.
- Finalité : extraction automatique du texte et des informations structurées de l'affiche pour pré-remplir le formulaire de soumission. Vous vérifiez et corrigez les informations avant tout envoi.
- Conservation côté Anthropic : l'image est traitée brièvement puis n'est pas conservée par Anthropic au-delà du traitement. Si vous finalisez la soumission, elle est ensuite stockée chez Supabase (Irlande) jusqu'à ce que vous la supprimiez depuis « Mes soumissions ».
- Retrait du consentement : si vous refusez ou souhaitez retirer votre consentement, n'utilisez pas la fonction de soumission. Aucune autre fonctionnalité d'Onyvapp ne fait appel à un service IA tiers.
Base légale du traitement : votre consentement (art. 6.1.a du RGPD), recueilli explicitement avant tout envoi.
Finalités et base légale
- Fournir le service (consultation, favoris, séjours), base légale : exécution du contrat.
- Modération des soumissions, base légale : intérêt légitime à la qualité du contenu publié.
- Envoi des notifications transactionnelles (validation / refus de vos soumissions), base légale : exécution du contrat.
Conservation
- Compte utilisateur et favoris : tant que votre compte est actif.
- Soumissions refusées ou brouillons : 15 jours, supprimées automatiquement.
- Soumissions publiées : conservées tant que l'événement correspondant est dans le feed.
- Historique de notifications : 30 jours, supprimé automatiquement.
- Jetons push : tant que vous restez connecté sur l'appareil.
Localisation des données
Vos données personnelles restent en Union européenne.
Toutes les données utilisateur que nous stockons (compte, profil, favoris, séjours, soumissions d'événements) sont hébergées exclusivement dans des centres de données situés en Union européenne, en Irlande, chez notre sous-traitant Supabase.
Cloudflare est utilisé uniquement comme couche edge pour exécuter des fonctions serveur et mettre en cache des contenus PUBLICS (événements DATAtourisme, miniatures d'affiches). Aucune donnée personnelle n'y est stockée durablement. Les éventuels traitements techniques sur l'infrastructure mondiale Cloudflare sont encadrés par les clauses contractuelles types de la Commission européenne.
Destinataires et sous-traitants
Nous nous appuyons sur les sous-traitants suivants, tous engagés sur le respect du RGPD :
- Supabase (Irlande, UE), authentification, base de données, stockage des images soumises.
- Cloudflare (États-Unis, réseau edge global) : exécution des fonctions serveur (Workers), cache de contenus publics, redimensionnement d'images (Cloudflare Images). Aucun stockage durable de données personnelles côté Cloudflare. Encadré par les clauses contractuelles types de la Commission européenne.
- Anthropic, Inc. (États-Unis) : modèle Claude Haiku 4.5 utilisé pour l'analyse automatique des affiches d'événements soumises (extraction de texte). La photo est transmise par notre worker au modèle Claude pour traitement puis n'est pas conservée par Anthropic. Encadré par les clauses contractuelles types de la Commission européenne. Anthropic est certifié SOC 2 Type II.
- Vercel (États-Unis), hébergement du site web onyvapp.com. Le site étant purement informatif, aucune donnée personnelle n'y transite. Encadré par les clauses contractuelles types.
- Expo / Firebase Cloud Messaging, relais des notifications push vers l'appareil.
- Resend, envoi d'emails de modération à l'équipe (pas vers les utilisateurs).
- DATAtourisme et OpenAgenda, sources publiques d'événements. Onyvapp consulte leurs API mais ne leur transmet aucune donnée utilisateur.
Vos droits
Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, et du droit de définir des directives relatives à vos données après votre décès.
- La plupart des droits peuvent être exercés directement depuis les Réglages.
- Pour toute demande spécifique, écrivez-nous à contact@onyvapp.com. Nous nous engageons à répondre dans un délai d'un mois.
- Vous pouvez également déposer une réclamation auprès de la CNIL (www.cnil.fr).
Contact
Pour toute question relative à vos données personnelles, écrivez-nous à : contact@onyvapp.com