Confidentialité

Cette page dit exactement ce qui part, quand, et comment l'empêcher. Elle est courte parce qu'il n'y a vraiment pas grand-chose.

Ce qui reste sur ton appareil

Tes articles, la quantité de chacun, ce que tu as acheté et quand, ta liste de courses, le nom de ton foyer et tes réglages. Tout est stocké et lu en local. Les prédictions sont des calculs qui tournent sur ton téléphone.

Tout ce qui envoie des données hors de ton appareil

Neuf choses, et sept d'entre elles attendent que tu choisisses. Les deux qui ne le font pas sont signalées, car une liste comme celle-ci n'est utile que si elle est complète. Chacune est distincte.

• La sauvegarde. Si tu ajoutes une adresse e-mail pour que ta réserve survive à la perte du téléphone, nous conservons cette adresse et envoyons une copie de ton étagère.
• Le partage d'un foyer. Si tu partages ton étagère avec les personnes qui vivent avec toi, elle est envoyée pour que leurs téléphones puissent la lire et la modifier.
• Quelle version demande. Chaque envoi ci-dessus indique quelle version de l'application l'a émis, pour savoir quand une ancienne est encore utilisée et éviter de modifier le serveur d'une façon qui la casserait. Nous comptons des versions, pas des personnes : aucun compte, aucun appareil et aucune partie de ta réserve n'est rattaché à ce décompte. Cela nomme l'application, pas toi.
• Les statistiques d'utilisation. Désactivées sauf si tu les actives dans les Réglages. Désactivé est la valeur par défaut, et les laisser ainsi ne change rien au fonctionnement de l'app.
• Lire un reçu. Si tu acceptes quand le scanner le demande — la lecture attentive —, les lignes de courses sont envoyées pour être nommées : celles qui portent un nom et un prix, et rien d'autre de ce que la caisse a imprimé. Le magasin, la date et l'heure et la ligne de la carte sont écartés ici, sur ton téléphone, avant que quoi que ce soit n'en parte. Les lignes vont à un modèle d'IA joint via une société appelée OpenRouter, et nous n'en conservons rien. La photo elle-même ne part jamais. Dis non, ou laisse l'option désactivée dans les Réglages, et le scanner est rangé : rien n'est envoyé, et rien de ce que tu as déjà scanné n'est touché. L'identifiant de ton foyer accompagne les lignes pour que la lecture puisse lui être comptée — aucun email et aucun compte ne sont nécessaires pour cela, et cet identifiant est tout ce que le serveur apprend de toi.
• Les messages que tu nous envoies. Si tu nous écris depuis les Réglages, nous recevons le message et ce qui l'accompagne. Décrit en détail plus bas.
• Chercher un code-barres — uniquement les applications iPhone et Android. Quand tu scannes un produit, le code-barres est envoyé à Open Food Facts, une base de données alimentaire publique, qui répond avec le nom et la taille du produit. La requête indique aussi quelle application demande — « Ullage », sa version et notre adresse d'assistance — parce qu'ils demandent à chaque client de s'identifier ; cela nous nomme, pas toi. Rien d'autre ne part : ils apprennent que quelqu'un a cherché ce produit, on ne leur dit pas qui, et rien de ton étagère ne part avec. L'application web n'a pas de scanner et ne leur demande jamais rien. Rien n'est envoyé si tu ajoutes l'article à la main.
• Ouvrir le site d'un magasin. Quand tu touches Chercher en ligne — ou un magasin que tu as mis en favori —, l'app remet au navigateur de ton téléphone une adresse de recherche chez ce magasin contenant le nom de l'article, et le navigateur s'y rend. À partir de là c'est une visite ordinaire sur leur site : ils voient le mot cherché, et tout ce que voit n'importe quel site quand tu arrives, y compris ce que ton navigateur avait déjà pour eux. Rien d'autre de ton garde-manger ne part, on ne nous dit pas que tu y es allé, et l'adresse ne contient aucun code de parrainage ni d'affiliation. Sans ton geste, il ne se passe rien du tout.
• Rapports de plantage — l'exception. L'app signale ses propres plantages sans demander, parce qu'un plantage est le seul moment où elle ne peut pas demander. C'est vrai des trois — le web, l'iPhone et Android. Ton adresse e-mail et ton adresse IP sont retirées avant que le rapport ne parte.

Ce que contient la sauvegarde ou un foyer partagé

• Le nom de ton foyer, ainsi que le nom, la couleur et l'avatar choisis par chaque membre
• Tes articles : ce qu'ils sont, et la taille et la variété
• Événements d'achat : quel article, quand, qui l'a enregistré, combien, la marque si un reçu l'a nommée, de quel de tes magasins il vient et combien il a coûté
• Les magasins que tu as nommés, et les codes-barres que tu as associés à un article
• Corrections : quand tu nous as dit qu'une prévision était fausse, et ce qu'elle avait prévu
• Ta liste de courses, et le code d'invitation si tu partages

Pas de localisation, pas de contacts, pas de données de paiement : nous ne les demandons jamais, et l’app n’a aucun code qui les lit. Ta galerie photo non plus — Ullage ne la parcourt jamais, ne l’indexe jamais, et ne voit aucune image que tu ne lui as pas donnée toi-même. Données de paiement désigne la façon dont tu paies — une carte, un compte — et non ce qu’a coûté une boîte de tomates : les prix figurent plus haut parce que ton placard les enregistre, et aucun d’eux n’est un moyen de te prendre de l’argent. La seule exception à tout cela est un reçu que tu choisis de scanner, que tu le photographies ou que tu le prennes dans ta galerie, imprimé avec ce que la caisse y a imprimé — c’est pourquoi le scanner demande d’abord, pourquoi il dit ce qu’il s’apprête à envoyer, et pourquoi la photo elle-même ne quitte jamais l’appareil.

Ton adresse e-mail

Collectée seulement si tu en ajoutes une, et utilisée seulement pour t'envoyer le code de confirmation et te permettre de restaurer ton étagère sur un nouveau téléphone. Elle ne sert jamais au marketing, n'est jamais vendue et n'est jamais rattachée aux statistiques d'utilisation.

Les statistiques d'utilisation, si tu les actives

Chaque enregistrement est une ligne : quel écran ou quelle étape, la plateforme, la version de l'app, l'identifiant de ton compte et l'heure.

Cela n'inclut jamais le contenu de ta réserve, tes achats, ton adresse e-mail ni ta position. Cela sert à voir quelles parties de l'app fonctionnent et lesquelles sont ignorées — rien d'autre, et cela ne va à personne d'autre.

Les notes que tu nous envoies

Si tu nous écris depuis les réglages, nous recevons ton texte, lequel des quatre types tu as choisi et — seulement si tu la remplis — une adresse e-mail pour te répondre. S'y ajoutent ta version de l'app, ta plateforme, ta langue, si tu as un compte, l'état de la synchronisation, la date de la dernière synchronisation et le nombre de choses et de personnes sur ton étagère.

Jamais l'étagère elle-même : aucun nom de produit, aucun magasin, aucun prix. Une note est conservée jusqu'à ce qu'on s'en soit occupé. Supprimer toutes les données ne l'enlève pas, car ce bouton ne vide que cet appareil — Supprimer le compte le fait, avec tout le reste de ce que nous avons de toi.

Rapports d'erreur

Les versions web, iPhone et Android signalent toutes les plantages à Sentry pour qu'on puisse les corriger, avec ton adresse e-mail et ton adresse IP retirées avant l'envoi du rapport. Chaque app signale dans son propre projet, donc une panne de l'une n'est jamais mêlée à une panne de l'autre.

Pas de pistage, pas de publicité

Nous ne te pistons pas à travers d'autres apps ou sites. Il n'y a pas d'identifiant publicitaire, pas de régie, pas de kit d'analyse tiers, pas de courtier en données. Rien de ce que tu fais ici n'est rapproché de données te concernant venues d'ailleurs. C'est pourquoi iOS ne te demande jamais l'autorisation de pistage — il n'y a rien à demander.

Qui le traite

Quand des données sont envoyées, elles sont conservées dans une base Postgres et un service d'authentification exploités par Supabase pour notre compte, protégés par des règles au niveau des lignes afin que seuls les membres de ton foyer puissent lire ton foyer. Ils les traitent pour nous et pour rien qui leur soit propre.

Deux autres sont impliqués, et ton téléphone les atteint différemment. Open Food Facts répond aux recherches de codes-barres, et ton téléphone les interroge directement — leurs serveurs voient donc la requête arriver depuis ta connexion, avec le code-barres ainsi que le nom et la version de l'application. Rien de toi. OpenRouter transmet le texte d'un reçu scanné au modèle qui nomme les articles, et il est appelé par notre serveur plutôt que par ton téléphone, il ne voit donc jamais d'où vient le reçu. Ni l'un ni l'autre ne sait qui tu es, et rien de ton étagère ne leur est envoyé.

Combien de temps nous le gardons

Aussi longtemps que ton compte existe. Supprime le compte et la copie sur le serveur part avec lui — sauf un foyer dont quelqu'un d'autre est encore membre : celui-là leur reste, et ton nom en est retiré.

Ce que tu peux y faire

• Enregistrer une copie de ton étagère — Réglages. Écrit tout ce qui est sur ce téléphone dans un fichier qui est à toi. Tu peux le relire dans l'app, sur n'importe quel téléphone, avec Importer un fichier de sauvegarde.
• Supprimer ton compte — Réglages. Efface la copie sur le serveur. Ta réserve reste sur le téléphone, sauf si tu demandes aussi sa suppression.
• Supprimer toutes les données — Réglages. Efface tout sur cet appareil.
• Arrêter le partage — Réglages. Le foyer cesse de se synchroniser et le code d'invitation ne fonctionne plus.
• Désactiver les statistiques d'utilisation — Réglages. Elles sont désactivées au départ, et les redésactiver arrête immédiatement tout nouvel enregistrement.

Les réglages ont un bouton pour ça — Demander tout ce qui est sur le serveur, à côté de celui qui enregistre ton étagère.

Enfants

Ullage est un outil domestique pour adultes et ne s'adresse pas aux enfants de moins de 13 ans. Nous ne collectons sciemment rien à leur sujet.

Modifications

Si cette politique change d'une manière qui touche ce que nous collectons, la date en haut change et l'app te le dira avant que le changement prenne effet.

Contact

Des questions sur tout cela, ou une demande concernant tes données : privacy@ullage.app.