Politique de confidentialité

Cabas (« nous ») est une application collaborative de listes de courses éditée par NGames, basé en France. Cette politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD) et à la législation française applicable.

Le responsable du traitement est NGames, joignable à contact@ngames.fr. Vous pouvez adresser toute demande relative à la protection des données à cette adresse email.

Données de compte : Lorsque vous vous connectez avec Google ou Apple, nous recevons votre adresse email, votre nom d'affichage et votre photo de profil. Nous n'accédons pas à votre mot de passe Google ou Apple.

Données d'achat : Les listes de courses que vous créez, les articles que vous ajoutez (noms, quantités, catégories) et les actions collaboratives (partage, cochage d'articles).

Données d'utilisation : Nous enregistrons des événements d'usage pseudonymes, c'est-à-dire liés à votre compte (par exemple « article ajouté » ou « liste créée »), qui peuvent inclure le nom de l'article ou de la liste concernés, pour améliorer le service. Si vous utilisez les fonctions IA Premium, les demandes envoyées à notre fournisseur d'IA et ses réponses, qui contiennent des noms d'articles, sont aussi enregistrées. Nous ne suivons pas votre localisation ni votre activité de navigation en dehors de l'application.

Analyses du site web : Sur notre site marketing (getcabas.com), nous utilisons Google Analytics 4 pour collecter des données d'utilisation anonymisées telles que les pages visitées, les sources de trafic et les interactions avec le site. Ces données nous aident à comprendre comment les visiteurs découvrent et interagissent avec Cabas. Google Analytics utilise des cookies uniquement avec votre consentement (voir la section Cookies ci-dessous). Au sein de l'application Cabas elle-même (app.getcabas.com), nous utilisons des analyses internes distinctes décrites ci-dessus.

Données d'abonnement : Si vous souscrivez à Cabas Premium, les informations d'achat et de statut d'abonnement sont traitées par RevenueCat.

Notifications push : Si vous autorisez les notifications dans l'application iOS, nous conservons le jeton push de votre appareil pour vous signaler l'activité sur vos listes partagées (un membre a modifié une liste, quelqu'un a rejoint l'une des vôtres). Une notification ne contient que le nom d'affichage du membre et le nom de la liste.

Nous traitons vos données sur les bases légales suivantes (article 6 du RGPD) :

Exécution du contrat (art. 6(1)(b)) : Le traitement de vos données de compte et de vos listes de courses est nécessaire à la fourniture du service Cabas auquel vous vous êtes inscrit.

Intérêt légitime (art. 6(1)(f)) : Nous collectons des données analytiques pour améliorer le service, corriger les bugs et comprendre les usages. Vous pouvez vous opposer à ce traitement en nous écrivant à contact@ngames.fr.

Intérêt légitime, après la suppression du compte (art. 6(1)(f)) : Nous conservons l'historique d'abonnement pendant 5 ans pour gérer la facturation et pouvoir répondre à une éventuelle réclamation pendant le délai de prescription.

Consentement (art. 6(1)(a)) : Sur notre site marketing, nous utilisons les cookies Google Analytics uniquement avec votre consentement explicite, recueilli via un bandeau de cookies. Les notifications push ne sont envoyées que si vous les autorisez lorsque iOS vous le demande, et vous pouvez les désactiver à tout moment dans les Réglages iOS. Pour tout autre traitement optionnel allant au-delà de ce qui est nécessaire au service, nous vous demanderons votre consentement explicite.

Vos listes de courses ne sont partagées qu'avec les utilisateurs que vous invitez explicitement, et avec les assistants IA que vous connectez vous-même (voir la section Assistants IA). Nous faisons appel aux sous-traitants suivants pour exploiter le service :

Supabase (Supabase Inc.) — Hébergement de la base de données, authentification et fonctions serverless. Vos données sont hébergées sur l'infrastructure Supabase dans l'UE.

RevenueCat (RevenueCat Inc.) — Gestion des abonnements et achats intégrés. Traite les jetons d'achat et le statut d'abonnement.

Google (Google LLC) — Fournisseur d'authentification. Ne reçoit que le flux d'authentification OAuth ; nous ne partageons pas vos données de courses avec Google.

Apple (Apple Inc.) — Fournisseur d'authentification sur iOS. Ne reçoit que le flux « Connexion avec Apple ». Achemine aussi les notifications push (Apple Push Notification service) et reçoit à ce titre le jeton push de votre appareil et le texte de la notification.

Stripe (Stripe Inc.) — Traitement des paiements pour les abonnements web. Traite les détails de carte bancaire et les données de transaction. Nous ne stockons pas directement vos informations de carte.

Anthropic (Anthropic PBC) — Fournisseur d'IA pour les fonctions Premium (catégorisation des articles, suggestions de saison). Reçoit les noms d'articles concernés et ne les utilise pas pour entraîner ses modèles.

Sentry (Functional Software Inc.) — Suivi des erreurs techniques. Reçoit le message d'erreur et votre identifiant utilisateur.

Google Analytics (Google LLC) — Analyses du site marketing (getcabas.com). Collecte des pages vues et données d'interaction anonymisées. Soumis à votre consentement cookies. Les données peuvent être transférées aux États-Unis dans le cadre des Clauses Contractuelles Types de Google.

Nous ne vendons pas vos données personnelles à des tiers. Nous n'utilisons pas vos données à des fins publicitaires.

Vous pouvez connecter Cabas à un assistant IA, comme ChatGPT (OpenAI) ou Claude (Anthropic), grâce à notre connecteur https://app.getcabas.com/mcp. Cette connexion est facultative : elle n'existe que si vous ajoutez vous-même Cabas dans l'assistant, puis l'autorisez sur la page de connexion Cabas.

Autorisation : La connexion repose sur le protocole OAuth. Vous vous connectez à Cabas avec Apple ou Google ; l'assistant ne reçoit jamais votre mot de passe, seulement un jeton d'accès propre à cette connexion. Vous pouvez retirer l'accès à tout moment dans Cabas sur le web (app.getcabas.com), depuis Paramètres › Applications connectées : il s'arrête aussitôt, et l'assistant ne peut plus lire ni modifier vos listes. Se déconnecter de Cabas sur un appareil ne retire pas l'accès d'un assistant. La suppression de votre compte met fin à toutes les connexions.

Données accessibles : Une fois connecté, l'assistant agit en votre nom, avec les mêmes droits que vous sur vos listes. Il peut lire les listes dont vous êtes membre (nom, articles, quantités, catégories, notes, articles cochés), le nom d'affichage et le rôle des membres de ces listes, et l'historique de vos achats lorsqu'il vous propose des suggestions. Il peut ajouter, modifier, cocher et retirer des articles, créer, renommer, archiver, restaurer et supprimer des listes (la suppression demande votre confirmation), et créer des liens d'invitation. Les membres de vos listes voient ses modifications comme venant de vous.

Vos informations de compte : Lorsque vous connectez Cabas à un assistant, les jetons de connexion que Cabas lui remet contiennent votre identifiant utilisateur Cabas et votre adresse email ; votre nom et le lien de votre photo de profil, si votre compte les a ; et les informations de connexion fournies par Apple ou Google, comme celui des deux que vous utilisez, votre identifiant de compte chez ce service et le fait que votre adresse email soit vérifiée ou masquée. Le fournisseur de l'assistant (OpenAI pour ChatGPT, Anthropic pour Claude) les reçoit donc, et les traite selon sa propre politique de confidentialité (voir plus bas).

Données non accessibles : Le connecteur ne transmet pas à l'assistant vos informations de paiement ni l'état de votre abonnement. L'assistant ne peut pas gérer votre abonnement, effectuer un paiement, supprimer votre compte, gérer les membres de vos listes, ni voir les listes dont vous n'êtes pas membre.

Listes partagées : Si un autre membre d'une liste partagée connecte son propre assistant, celui-ci peut lire cette liste, y compris les articles que vous y avez ajoutés et votre nom d'affichage.

Traitement par le fournisseur de l'assistant : Ce que l'assistant lit dans Cabas, et tout ce que vous écrivez dans la conversation, est traité par le fournisseur de l'assistant selon sa propre politique de confidentialité, et non par Cabas. Ce fournisseur n'est pas notre sous-traitant : c'est vous qui choisissez de lui confier ces données. Pour ChatGPT, consultez la politique d'OpenAI : https://openai.com/policies/privacy-policy/. Pour Claude, celle d'Anthropic : https://www.anthropic.com/legal/privacy.

Ce que Cabas enregistre : Nous ne conservons pas vos conversations. Cabas ne reçoit de l'assistant que les actions demandées (par exemple « ajouter 2 l de lait ») et les exécute comme si vous utilisiez l'app ; elles sont enregistrées comme toute action faite dans l'app (voir Données collectées). Pour chaque assistant connecté, nous conservons son nom et la date de connexion, affichés dans Paramètres › Applications connectées. Lorsqu'une requête du connecteur est refusée, nous journalisons le code d'erreur, le type de requête, la version du protocole, l'identifiant technique du client (son « user agent ») et le message d'erreur. Les erreurs techniques sont signalées à notre outil de suivi d'erreurs (Sentry), avec votre identifiant utilisateur. Nos journaux techniques ne contiennent ni votre jeton d'accès ni le contenu de vos listes, et sont conservés au plus 90 jours.

Fonctions IA de Cabas : Si vous êtes abonné Premium, les articles ajoutés via l'assistant peuvent être catégorisés, et des idées de saison proposées, par la même fonction d'IA que dans l'app : les noms d'articles concernés sont alors envoyés à notre fournisseur d'IA, Anthropic, en tant que sous-traitant. Anthropic n'utilise pas ces données pour entraîner ses modèles.

Pas de vente, pas d'entraînement : Nous ne vendons pas les données qui passent par le connecteur et ne les utilisons pas à des fins publicitaires. Cabas n'utilise pas vos listes pour entraîner des modèles d'IA.

Base légale : Ce traitement est nécessaire à l'exécution du service que vous demandez (art. 6(1)(b) du RGPD) : il n'a lieu que lorsque vous connectez un assistant et lui demandez d'agir.

Contact : Pour toute question ou demande sur vos données et les assistants IA, écrivez-nous à contact@ngames.fr ou via notre formulaire de contact : https://getcabas.com/contact.

Nous conservons vos données tant que votre compte est actif, avec les durées spécifiques suivantes :

Données de compte et profil : Conservées jusqu'à la suppression de votre compte.

Listes et articles : Les listes actives sont conservées indéfiniment. Les articles supprimés sont conservés 90 jours (pour permettre une récupération) puis définitivement effacés.

Jetons push : Conservés jusqu'à ce que vous vous déconnectiez sur cet appareil, désinstalliez l'application ou supprimiez votre compte.

Applications connectées : La connexion (nom de l'assistant et date) est conservée jusqu'à ce que vous retiriez l'accès ou supprimiez votre compte. Les journaux techniques sont conservés au plus 90 jours.

Événements d'usage : Supprimés automatiquement 90 jours après leur création, ou dès la suppression de votre compte. Les événements d'abonnement reçus après la suppression (renouvellement, résiliation, expiration) sont supprimés 90 jours après leur création. Les statistiques agrégées et anonymisées peuvent être conservées indéfiniment.

Abonnement et facturation : Si vous avez souscrit à Cabas Premium, l'historique de votre abonnement (offre, période, statut, prix, dates de début, d'expiration et de résiliation) est conservé après la suppression de votre compte pendant 5 ans à compter de la fin de l'abonnement. Il nous sert à gérer la facturation et à répondre à une éventuelle réclamation pendant le délai de prescription de 5 ans (article 2224 du Code civil, article L110-4 du Code de commerce). Il n'est plus rattaché à votre profil, à votre email ni à vos listes, qui sont supprimés. Tant que l'abonnement n'a pas pris fin auprès de la boutique, les notifications de RevenueCat (renouvellement, résiliation, expiration) continuent de mettre cet historique à jour. Les justificatifs de paiement eux-mêmes sont conservés par Apple, Stripe et RevenueCat, selon leurs propres politiques.

Lorsque vous supprimez votre compte, toutes vos données personnelles sont définitivement supprimées sous 30 jours, y compris les informations de profil, listes de courses, articles, événements d'usage et connexions aux assistants IA, à l'exception de l'historique d'abonnement et de facturation (voir ci-dessus).

En vertu du Règlement Général sur la Protection des Données, vous disposez des droits suivants :

Droit d'accès : Vous pouvez demander une copie de toutes les données personnelles que nous détenons à votre sujet.

Droit de rectification : Vous pouvez demander la correction de données personnelles inexactes.

Droit à l'effacement : Vous pouvez demander la suppression de votre compte et de toutes les données associées en nous contactant par email ou via notre formulaire de contact (sélectionnez « Demande RGPD »).

Droit à la limitation du traitement : Vous pouvez demander que nous limitions l'utilisation de vos données.

Droit d'opposition : Vous pouvez vous opposer au traitement fondé sur l'intérêt légitime, y compris les analyses.

Droit de retrait du consentement : Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment sans affecter la licéité du traitement antérieur.

Pour exercer l'un de ces droits, contactez-nous à contact@ngames.fr ou utilisez notre formulaire de contact à https://getcabas.com/contact. Nous répondrons dans un délai de 30 jours.

Cabas n'est pas destiné aux enfants de moins de 15 ans (en France) ou de 16 ans (dans les autres pays de l'UE). Nous ne collectons pas sciemment de données personnelles d'enfants en dessous de ces âges. Si vous pensez qu'un enfant nous a fourni des données personnelles, veuillez nous contacter et nous les supprimerons rapidement.

Vos données sont principalement hébergées dans l'Union européenne via Supabase. Certains de nos sous-traitants (RevenueCat, Stripe, Google, Apple, Anthropic, Sentry) sont basés aux États-Unis. Les transferts vers ces sous-traitants sont encadrés par des garanties appropriées, notamment les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne, conformément au chapitre V du RGPD.

Nous mettons en œuvre des mesures de sécurité conformes aux normes de l'industrie, notamment : transmission chiffrée des données (TLS/HTTPS), politiques de sécurité au niveau des lignes garantissant que les utilisateurs ne peuvent accéder qu'à leurs propres données, limitation du débit sur les points d'accès API et gestion sécurisée des jetons d'authentification.

Site marketing (getcabas.com) : Nous utilisons Google Analytics 4 avec le mode de consentement Google v2. Lors de votre première visite sur notre site, un bandeau de cookies vous demande votre consentement. Si vous acceptez, Google Analytics dépose des cookies pour mesurer les pages vues et les interactions. Si vous refusez, Google Analytics fonctionne en mode sans cookie — aucun cookie n'est déposé sur votre appareil, mais des données de mesure anonymisées basiques (sans identifiants personnels) peuvent être collectées. Vous pouvez modifier votre choix à tout moment en effaçant le stockage local de votre navigateur pour getcabas.com.

Application Cabas (app.getcabas.com) : L'application n'utilise pas de cookies publicitaires ou de suivi.

Nous utilisons les mécanismes de stockage local suivants, essentiels au fonctionnement du service :

Session d'authentification : Un cookie HTTP-only géré par Supabase est utilisé pour maintenir votre session de connexion. Ce cookie est strictement nécessaire et ne peut pas être désactivé.

Préférences utilisateur : Nous stockons votre préférence de thème (clair/sombre), votre choix de langue et votre décision concernant les cookies dans le stockage local de votre navigateur. Ces données ne quittent jamais votre appareil.

Données hors-ligne : L'application web met en cache vos listes de courses et vos articles localement (via IndexedDB) pour fonctionner hors-ligne. Ces données se synchronisent avec le serveur lorsque vous retrouvez une connexion.

Nous pouvons mettre à jour cette politique de confidentialité de temps en temps. Nous vous informerons des modifications significatives en publiant la politique mise à jour sur cette page avec une nouvelle date de « Dernière mise à jour ». Pour les modifications substantielles affectant vos droits, nous ferons des efforts raisonnables pour vous notifier via l'application ou par email. L'utilisation continue de Cabas après les modifications vaut acceptation de la politique mise à jour.

Si vous n'êtes pas satisfait de la manière dont nous traitons vos données ou votre demande d'exercice de droits, vous avez le droit d'introduire une réclamation auprès de votre autorité de protection des données. En France, il s'agit de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr.

Pour toute question concernant cette politique de confidentialité, pour exercer vos droits en matière de protection des données, ou pour toute préoccupation relative à vos données, veuillez nous contacter à contact@ngames.fr.