Politique de confidentialité

Cette politique explique quelles données Graalia traite, pourquoi, avec quels prestataires, combien de temps, et comment exercer tes droits. Elle s'applique au site graalia.app et à l'application, dans le navigateur comme installée sur l'écran d'accueil. Le responsable du traitement est Mathys YON, entrepreneur individuel, éditeur de Graalia (voir les mentions légales).

Ce que Graalia collecte

Ton compte. Ton adresse e-mail, qui sert à te connecter par un lien ou un code envoyé par e-mail, et les identifiants techniques de ta session. Si tu te connectes avec Google, lorsque cette option est proposée, Google nous transmet ton adresse e-mail et ton nom.

Ta collection. Les cartes et produits scellés que tu ajoutes, leurs quantités, leur état, leur langue, leurs prix et dates d'achat, tes notes, les photos de produits que tu envoies, et tes réglages.

Le scan. La lecture des cartes se fait d'abord sur ton appareil : l'image de la caméra n'en sort pas. Quand cette lecture échoue, l'image de la carte est envoyée à l'API Gemini de Google pour l'identifier ; pour un produit scellé, c'est son code-barres qui est envoyé. Cadre la carte seule : tout ce qui apparaît sur l'image est transmis. Graalia compte ces demandes par compte pour limiter les abus.

Les journaux techniques. Comme tout site, nos hébergeurs enregistrent l'adresse IP, la date, la page demandée et le type de navigateur, pour assurer le fonctionnement et la sécurité du Service.

Graalia ne vend aucune donnée, n'affiche aucune publicité et ne mesure pas ton comportement à des fins publicitaires.

Pourquoi, et sur quelle base

• Fournir le Service (exécution des conditions d'utilisation) : créer ton compte, garder ta collection, calculer sa valeur, reconnaître tes cartes.
• Sécurité et prévention des abus (intérêt légitime) : journaux techniques, vérification anti-robot à la connexion, limites d'usage du scan.
• Obligations légales : répondre aux demandes des autorités et à tes demandes d'exercice de droits.

Avec qui

Ces prestataires traitent des données pour le compte de Graalia, sur ses instructions, et sont tenus à la confidentialité et à la sécurité :

• Supabase : base de données, connexion, envoi des e-mails de connexion et stockage des photos. Serveurs à Londres (Royaume-Uni).
• Vercel : hébergement du site et exécution de l'application. Fonctions exécutées à Londres ; société établie aux États-Unis.
• Google (API Gemini) : identification d'une carte ou d'un produit scellé quand la lecture sur l'appareil ne suffit pas. Selon les conditions de l'API payante de Google, ces contenus ne servent pas à entraîner ses modèles.
• Cloudflare (Turnstile) : vérification anti-robot sur la page de connexion, à partir de signaux techniques du navigateur et de l'adresse IP, sans cookie publicitaire. Société établie aux États-Unis.

Les sources de prix (Cardmarket via TCGdex, ventes eBay via SoldComps) ne reçoivent aucune donnée te concernant : Graalia les interroge depuis ses serveurs, pour tous les utilisateurs à la fois.

Où sont les données

La base de données et les photos sont hébergées à Londres. Le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne. Vercel, Google et Cloudflare sont des sociétés américaines : les transferts vers les États-Unis sont encadrés par le Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne.

Combien de temps

• Compte et collection : tant que ton compte existe. À sa suppression, ils sont effacés, photos comprises, sauf ce que la loi impose de garder.
• Images envoyées pour l'identification : elles ne sont pas conservées par Graalia une fois la réponse obtenue.
• Journaux techniques : pendant la durée fixée par nos hébergeurs, au plus 12 mois.

Cookies et stockage sur ton appareil

Graalia n'utilise que ce qui est strictement nécessaire au Service, sans bannière de consentement à accepter :

• un cookie de session, pour te garder connecté ;
• un stockage local et un cache, pour que l'application s'ouvre vite et que les pages déjà consultées restent disponibles hors ligne.

Aucun cookie publicitaire ni de mesure d'audience n'est déposé. Si une mesure d'audience est ajoutée un jour, elle sera annoncée ici avant sa mise en place, et soumise à ton accord si la loi l'exige.

Tes droits

Tu peux accéder à tes données, les rectifier, les effacer, en limiter le traitement, t'opposer à un traitement fondé sur l'intérêt légitime, en demander la portabilité, et définir des directives sur leur sort après ton décès. Pour cela, ou pour supprimer ton compte, écris à contact@graalia.app depuis l'adresse de ton compte. La réponse arrive dans un délai d'un mois au plus, prolongeable de deux mois si la demande est complexe.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (cnil.fr).

Âge minimum

Graalia s'adresse aux personnes de 15 ans et plus. En dessous, l'accord d'un parent ou du titulaire de l'autorité parentale est nécessaire.

Modifications

Cette politique peut évoluer avec le Service. La version en vigueur est toujours sur cette page, avec sa date de mise à jour. Un changement important sera signalé dans l'application.