Politique de confidentialité

1. Qui nous sommes

La présente politique décrit comment Huasca (« nous ») traite les données personnelles lorsque vous utilisez l’application mobile Huasca et ce site (huasca.app et sous-domaines associés).

Responsable de traitement : Maxime Dal Gobbo, entrepreneur individuel sous le nom Huasca, 6b rue Paul Langevin, 33170 Gradignan, France. SIREN 803597491. Non assujetti à la TVA. Contact confidentialité : hello@huasca.app.

La même adresse sert aux demandes de confidentialité. Un DPO dédié sera indiqué ici s’il est désigné.

2. Périmètre

Huasca est un compagnon de voyage local d’abord : budget (Flux), timeline carte (Trace), Souvenirs (Moments), Sac, profil voyageur / Musée, aides IA optionnelles et liens de partage invité.

Les données peuvent être traitées sur votre appareil et, uniquement lorsque vous activez des fonctions cloud ou des services en ligne que vous déclenchez, sur des serveurs de nos sous-traitants.

Cette politique couvre les apps mobiles (iOS/Android) et ce site marketing / support / voyages partagés.

3. Données traitées

Selon votre usage, nous pouvons traiter :

• Compte : identifiant Firebase ; e-mail et identifiants de profil si vous liez Google, Apple, Facebook ou une connexion e-mail ; sessions anonymes possibles.
• Voyages & finances : voyages, dépenses, budgets, participants, retraits, partages de note, préférences.
• Médias : photos de reçus, photos/vidéos de moments, images de matériel : stockés localement ; upload Firebase Storage seulement si la sync cloud / médias s’applique.
• Localisation : coordonnées à la demande pour souvenirs/dépenses ; points GPS passifs optionnels pour la Trace ; tuiles Mapbox.
• IA : images ou textes courts envoyés à Google Gemini lorsque vous utilisez l’OCR de ticket, la reconnaissance de matériel ou les insights profil. Traitement déclenché par vous ; les sorties peuvent être stockées avec la dépense, l’objet ou le profil (et dans le cloud seulement si la sync est active).
• Achats : identifiants de transaction stores et entitlements via Apple/Google et RevenueCat : nous ne stockons pas de numéro de carte.
• Partage : jetons de timeline publique / invitée et métadonnées de voyage lorsque vous créez un lien de partage.
• Messages support : nom, e-mail, sujet et contenu envoyés via le formulaire de ce site.
• Diagnostics : événements Firebase Analytics (production), Crashlytics et Performance en builds release lorsqu’ils sont activés.
• Préférences techniques : thème, langue, sauvegarde cloud ON/OFF, en local.
• Données de connexion du site : adresse IP, user-agent, horodatages et journaux techniques traités par l’hébergeur pour servir les pages et la sécurité : pas pour la publicité.

4. Finalités et bases légales (RGPD)

Nous traitons les données pour :

• Fournir les fonctionnalités que vous demandez : contrat / mesures précontractuelles.
• Sauvegarde cloud et sync multi-appareils : consentement (opt-in explicite ; défaut OFF).
• Suivi de localisation passif optionnel : consentement / permission appareil.
• Fonctions IA que vous déclenchez (OCR, matériel, insights) : contrat / mesures précontractuelles ; le modèle est opéré par Google en tant que sous-traitant.
• Liens invités / publics que vous créez : contrat / intérêt légitime à opérer le partage demandé.
• Achats in-app et contrôle d’entitlements : contrat.
• Formulaire support du site : contrat / mesures précontractuelles et intérêt légitime à répondre à votre demande.
• Sécurité, diagnostics de crash et analytics produit : intérêts légitimes et/ou consentement lorsque requis pour les SDK non essentiels (ePrivacy/CNIL).
• Mesure d’audience du site (Google Analytics) : consentement via la bannière cookies.
• Répondre au support et aux demandes de suppression : contrat / obligation légale.
• Respecter les obligations légales : obligation légale.

5. Stockage local vs cloud

Par défaut, les données financières, photos de reçus et positions GPS sont stockées sur votre appareil.

Elles ne sont transmises à nos backends Firebase que si vous activez explicitement la synchronisation / sauvegarde cloud. L’usage hors ligne reste possible.

L’authentification, les appels IA cloud, les tuiles cartographiques, les taux de change, la météo et les diagnostics peuvent toutefois contacter des tiers indépendamment de la sauvegarde cloud lorsque vous utilisez ces fonctions.

6. Intelligence artificielle

Lorsque vous scannez un ticket, identifiez un matériel ou demandez des insights profil, l’image ou le texte concerné est envoyé à Google Gemini / Generative AI pour produire une suggestion.

Vérifiez toujours montants et libellés avant de vous y fier. Les sorties IA ne constituent pas un conseil financier, juridique, médical ou assurantiel.

Des quotas (Voyageur / Explorateur) peuvent s’appliquer. Nous ne vendons pas vos prompts ni le contenu de vos voyages à des fins publicitaires.

Les appels IA sont destinés à passer par notre backend lorsque disponible ; les clés côté client sont progressivement remplacées par un proxy serveur pour réduire le risque d’exposition.

7. Sous-traitants et destinataires

Nous faisons appel notamment à :

• Google Firebase / Google Cloud (Auth, Firestore, Storage, Cloud Functions, Remote Config, Analytics, Crashlytics, Performance, App Hosting).
• Mapbox (cartes / SDK).
• Google Gemini / Generative AI (OCR, matériel, insights).
• RevenueCat (entitlements d’abonnement).
• Apple App Store et Google Play (paiements).
• Fournisseurs de connexion sociale optionnels : Google, Apple, Facebook.
• Envoi d’e-mails du formulaire support du site (ex. Resend), lorsqu’il est configuré.
• OpenStreetMap Nominatim / APIs publiques de géocodage ; Frankfurter et APIs de change ; météo via Cloud Functions le cas échéant.
• Google Analytics sur ce site, uniquement après consentement cookies.

8. Transferts internationaux

Certains sous-traitants sont situés hors EEE (notamment aux États-Unis). Lorsque des transferts ont lieu, nous nous appuyons sur des décisions d’adéquation et/ou des clauses contractuelles types ainsi que sur les conditions des sous-traitants. Des précisions sont disponibles sur demande à hello@huasca.app.

9. Durées de conservation

Données locales : jusqu’à suppression in-app, effacement des données ou désinstallation.

Données cloud : tant que le compte existe et que la sync est pertinente ; la suppression de compte purge les données cloud via la Cloud Function deleteAccount (Firestore, Storage, Auth ; RevenueCat au mieux).

Liens de partage : jusqu’à révocation ou suppression du voyage / compte associé.

E-mails de support : le temps de traiter votre demande, puis une période d’archivage limitée sauf besoin juridique plus long.

Sauvegardes, journaux et crash reports : période opérationnelle limitée (typiquement jusqu’à 90 jours sauf besoin de sécurité ou de litige).

Traces d’achat : conservation possible selon le droit fiscal / de la consommation.

10. Vos droits

Conformément au RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition, et retirer votre consentement lorsque le traitement repose sur celui-ci.

Exercice des droits : écrivez à hello@huasca.app depuis l’adresse liée au compte, utilisez le formulaire support du site, Réglages → supprimer le compte dans l’app, ou la page Suppression de compte sur ce site.

Nous répondons dans les délais légaux (en principe un mois). Vous pouvez introduire une réclamation auprès de la CNIL ou de l’autorité de votre pays.

11. Sécurité

Nous appliquons des mesures organisationnelles et techniques adaptées au risque (authentification, règles d’accès, chiffrement en transit). Aucun système n’est parfaitement sécurisé.

En cas de violation de données personnelles susceptible d’engendrer un risque élevé, nous informerons l’autorité compétente et, le cas échéant, les personnes concernées.

12. Cookies et technologies similaires (site)

Ce site marketing utilise des cookies ou un stockage similaire essentiels au fonctionnement du service (par exemple langue, préférence de thème, et mémorisation de votre choix cookies).

Avec votre consentement préalable, nous utilisons aussi Google Analytics (Google Ireland / Google LLC) pour mesurer l’audience et améliorer le site. Les cookies d’analytics ne sont déposés qu’après acceptation via la bannière. Vous pouvez modifier votre choix à tout moment via « Gérer les cookies » dans le pied de page.

Lorsque l’analytics est activée, des données telles que les pages consultées, une localisation approximative dérivée de l’IP (avec anonymisation d’IP lorsque disponible), le type d’appareil/navigateur et la provenance peuvent être traitées. Google peut traiter des données hors UE selon ses conditions et les garanties de transfert applicables.

L’app mobile peut utiliser les SDK listés ci-dessus. Les SDK analytics / diagnostics non essentiels restent soumis aux règles de consentement et aux permissions des plateformes.

13. Modifications

Nous pouvons mettre à jour cette politique. La date de « Dernière mise à jour » changera et, pour les évolutions importantes, une information complémentaire pourra être fournie (in-app ou sur ce site).