Confidentialité

Ullage garde ta réserve sur ton téléphone. Pas sur notre serveur, pas dans un compte à créer d'abord — sur l'appareil que tu tiens. La plupart des gens peuvent utiliser toute l'app sans qu'aucune donnée n'en sorte jamais.

Cette page dit exactement ce qui part, quand, et comment l'empêcher. Elle est courte parce qu'il n'y a vraiment pas grand-chose.

Ce qui reste sur ton appareil

Tes articles, la quantité de chacun, ce que tu as acheté et quand, ta liste de courses, le nom de ton foyer et tes réglages. Tout est stocké et lu en local. Les prédictions sont des calculs qui tournent sur ton téléphone.

Tout ce qui envoie des données hors de ton appareil

Sept choses, et six d'entre elles attendent que tu choisisses. La septième est signalée, car une liste comme celle-ci n'est utile que si elle est complète. Chacune est indépendante.

• La sauvegarde. Si tu ajoutes une adresse e-mail pour que ta réserve survive à la perte du téléphone, nous conservons cette adresse et envoyons une copie de ton étagère.
• Le partage d'un foyer. Si tu partages ton étagère avec les personnes qui vivent avec toi, elle est envoyée pour que leurs téléphones puissent la lire et la modifier.
• Les statistiques d'utilisation. Désactivées sauf si tu les actives dans les Réglages. Désactivé est la valeur par défaut, et les laisser ainsi ne change rien au fonctionnement de l'app.
• Lire un reçu. Si tu acceptes quand le scanner le demande — la lecture attentive —, les lignes de courses sont envoyées pour être nommées : celles qui portent un nom et un prix, et rien d'autre de ce que la caisse a imprimé. Le magasin, la date et l'heure et la ligne de la carte sont écartés ici, sur ton téléphone, avant que quoi que ce soit n'en parte. Les lignes vont à un modèle d'IA joint via une société appelée OpenRouter, et nous n'en conservons rien. La photo elle-même ne part jamais. Dis non, ou laisse l'option désactivée dans les Réglages, et le scanner est rangé : rien n'est envoyé, et rien de ce que tu as déjà scanné n'est touché. L'identifiant de ton foyer accompagne les lignes pour que la lecture puisse lui être comptée — aucun email et aucun compte ne sont nécessaires pour cela, et cet identifiant est tout ce que le serveur apprend de toi.
• Les messages que tu nous envoies. Si tu nous écris depuis les Réglages, nous recevons le message et ce qui l'accompagne. Décrit en détail plus bas.
• Consulter un code-barres — uniquement dans les apps iPhone et Android. Quand tu scannes un produit, le code-barres — et rien d'autre — est envoyé à Open Food Facts, une base de données alimentaire publique, qui répond avec le nom et la taille du produit. Ils apprennent que quelqu'un a consulté ce produit ; on ne leur dit pas qui, et rien de ton garde-manger ne part avec. L'app web n'a pas de scanner et ne leur demande jamais rien. Si tu ajoutes l'article à la main, rien n'est envoyé.
• Rapports de plantage — l'exception. La version web signale ses propres plantages sans demander, car un plantage est précisément le moment où elle ne peut pas demander. Ton adresse e-mail et ton adresse IP sont retirées avant l'envoi du rapport. Les apps iOS et Android ne signalent rien à personne.

Ce que contient la sauvegarde ou un foyer partagé

• Le nom de ton foyer, ainsi que le nom, la couleur et l'avatar choisis par chaque membre
• Tes articles : ce qu'ils sont, et la taille et la variété
• Événements d'achat : quel article, quand, qui l'a enregistré, combien, la marque si un reçu l'a nommée, de quel de tes magasins il vient et combien il a coûté
• Les magasins que tu as nommés, et les codes-barres que tu as associés à un article
• Corrections : quand tu nous as dit qu'une prévision était fausse, et ce qu'elle avait prévu
• Ta liste de courses, et le code d'invitation si tu partages

Pas de localisation, pas de contacts, pas de données de paiement : nous ne les demandons jamais, et l’app n’a aucun code qui les lit. Ta galerie photo non plus — Ullage ne la parcourt jamais, ne l’indexe jamais, et ne voit aucune image que tu ne lui as pas donnée toi-même. Données de paiement désigne la façon dont tu paies — une carte, un compte — et non ce qu’a coûté une boîte de tomates : les prix figurent plus haut parce que ton placard les enregistre, et aucun d’eux n’est un moyen de te prendre de l’argent. La seule exception à tout cela est un reçu que tu choisis de scanner, que tu le photographies ou que tu le prennes dans ta galerie, imprimé avec ce que la caisse y a imprimé — c’est pourquoi le scanner demande d’abord, pourquoi il dit ce qu’il s’apprête à envoyer, et pourquoi la photo elle-même ne quitte jamais l’appareil.

Ton adresse e-mail

Collectée seulement si tu en ajoutes une, et utilisée seulement pour t'envoyer le code de confirmation et te permettre de restaurer ton étagère sur un nouveau téléphone. Elle ne sert jamais au marketing, n'est jamais vendue et n'est jamais rattachée aux statistiques d'utilisation.

Les statistiques d'utilisation, si tu les actives

Chaque enregistrement est une ligne : quel écran ou quelle étape, la plateforme, la version de l'app, l'identifiant de ton compte et l'heure.

Cela n'inclut jamais le contenu de ta réserve, tes achats, ton adresse e-mail ni ta position. Cela sert à voir quelles parties de l'app fonctionnent et lesquelles sont ignorées — rien d'autre, et cela ne va à personne d'autre.

Les notes que tu nous envoies

Si tu nous écris depuis les réglages, nous recevons ton texte, lequel des quatre types tu as choisi et — seulement si tu la remplis — une adresse e-mail pour te répondre. S'y ajoutent ta version de l'app, ta plateforme, ta langue, l'état de la synchronisation et le nombre de choses et de personnes sur ton étagère.

Jamais l'étagère elle-même : aucun nom de produit, aucun magasin, aucun prix. Une note est conservée jusqu'à ce qu'on s'en soit occupé. Supprimer toutes les données ne l'enlève pas, car ce bouton ne vide que cet appareil — Supprimer le compte le fait, avec tout le reste de ce que nous avons de toi.

Rapports d'erreur

La version web signale les plantages à Sentry pour que nous puissions les corriger, ton adresse e-mail et ton adresse IP étant retirées avant l'envoi du rapport. L'app iOS ne les signale à personne : les erreurs sont écrites dans le journal de l'appareil et y restent.

Pas de pistage, pas de publicité

Nous ne te pistons pas à travers d'autres apps ou sites. Il n'y a pas d'identifiant publicitaire, pas de régie, pas de kit d'analyse tiers, pas de courtier en données. Rien de ce que tu fais ici n'est rapproché de données te concernant venues d'ailleurs. C'est pourquoi iOS ne te demande jamais l'autorisation de pistage — il n'y a rien à demander.

Qui le traite

Quand des données sont envoyées, elles sont conservées dans une base Postgres et un service d'authentification exploités par Supabase pour notre compte, protégés par des règles au niveau des lignes afin que seuls les membres de ton foyer puissent lire ton foyer. Ils les traitent pour nous et pour rien qui leur soit propre.

Deux autres interviennent, et ton téléphone les atteint différemment. Open Food Facts répond aux recherches de codes-barres, et ton téléphone l'interroge directement — leurs serveurs voient donc la requête arriver depuis ta connexion, avec le code-barres et rien d'autre. OpenRouter transmet le texte d'un reçu scanné au modèle qui nomme les articles, et il est appelé par notre serveur et non par ton téléphone, il ne voit donc jamais d'où venait le reçu. On ne dit à aucun des deux qui tu es, et on n'envoie à aucun des deux quoi que ce soit de ton garde-manger.

Combien de temps nous le gardons

Aussi longtemps que ton compte existe. Supprime le compte et la copie sur le serveur part avec lui — sauf un foyer dont quelqu'un d'autre est encore membre : celui-là leur reste, et ton nom en est retiré.

Ce que tu peux y faire

• Supprimer ton compte — Réglages. Efface la copie sur le serveur. Ta réserve reste sur le téléphone, sauf si tu demandes aussi sa suppression.
• Supprimer toutes les données — Réglages. Efface tout sur cet appareil.
• Arrêter le partage — Réglages. Le foyer cesse de se synchroniser et le code d'invitation ne fonctionne plus.
• Désactiver les statistiques d'utilisation — Réglages. Elles sont désactivées au départ, et les redésactiver arrête immédiatement tout nouvel enregistrement.

Si tu es dans l'UE ou au Royaume-Uni, tu as aussi le droit de demander une copie de tes données, de les faire corriger, de les faire effacer et de t'opposer à leur traitement. Les commandes ci-dessus font l'essentiel instantanément ; pour le reste, écris-nous.

Enfants

Ullage est un outil domestique pour adultes et ne s'adresse pas aux enfants de moins de 13 ans. Nous ne collectons sciemment rien à leur sujet.

Modifications

Si cette politique change d'une manière qui touche ce que nous collectons, la date en haut change et l'app te le dira avant que le changement prenne effet.

Contact

Des questions sur tout cela, ou une demande concernant tes données : privacy@ullage.app.