Politique de confidentialité

Cette politique explique quelles données Graalia traite, pourquoi, avec quels prestataires, combien de temps, et comment exercer tes droits. Elle s'applique au site graalia.app et à l'application, dans le navigateur, installée sur l'écran d'accueil ou téléchargée sur l'App Store (app iPhone). Le responsable du traitement est Mathys YON, entrepreneur individuel, éditeur de Graalia (voir les mentions légales).

Ce que Graalia collecte

Ton compte. Ton adresse e-mail, qui sert à te connecter par un lien ou un code envoyé par e-mail, et les identifiants techniques de ta session. Si tu te connectes avec Google, Google nous transmet ton adresse e-mail, ton nom et ta photo de profil, affichée dans ton menu de compte. Un compte Google à la même adresse qu'un compte Graalia existant se rattache à ce compte. Si tu te connectes avec Apple, Apple nous transmet ton adresse e-mail et, si tu l'autorises, ton nom ; tu peux choisir de masquer ton adresse, Apple nous en donne alors une adresse relais, qui lui renvoie les messages que nous t'envoyons.

Ta collection. Les cartes et produits scellés que tu ajoutes, leurs quantités, leur état, leur langue, leurs prix et dates d'achat, tes notes, les photos de produits que tu envoies, et tes réglages.

Le scan. La lecture des cartes se fait d'abord sur ton appareil. Quand cette lecture échoue, l'image de la carte est envoyée à l'API Gemini de Google pour l'identifier ; pour un produit scellé, c'est son code-barres qui est envoyé. Cadre la carte seule : tout ce qui apparaît sur l'image est transmis. Graalia compte ces demandes par compte pour limiter les abus.

Le pré-grading. Pour estimer le grade d'une carte, ton navigateur mesure le centrage et découpe les coins, les bords et une version réduite de chaque face, qui sont envoyés à l'API Gemini de Google pour classer l'état des zones. Cadre la carte seule : tout ce qui apparaît sur l'image est transmis. Connecté, tu peux enregistrer l'estimation : Graalia garde alors le centrage mesuré, les lignes de bordure, la classe de chacune des seize zones, le résultat et, si tu la renseignes, le grade officiel reçu, ainsi que les images de cette estimation : tes deux faces redressées (réduites) et les zooms des zones. Ces photos sont rangées dans ton espace, visibles de toi seul, et supprimées avec l'estimation ou avec ton compte. Sans compte, rien n'est enregistré : l'outil public garde tout dans ton navigateur et Graalia ne conserve aucune image ; elle garde seulement, pour appliquer la limite du jour, une empreinte de ton adresse IP (voir plus bas). Côté Google, les images envoyées à Gemini restent soumises aux conditions de son API payante (voir plus bas).

La photo de tes cartes. Quand tu ajoutes des cartes scannées, la photo prise par ta caméra est gardée dans ton espace, pour la montrer sur la fiche de la carte. Elle n'est visible que de toi. Tu peux couper cet enregistrement dans les Réglages, et supprimer une photo depuis la fiche de la carte.

Les signalements. Quand tu corriges une carte mal reconnue en laissant cochée la case « Signaler l'erreur avec ta photo », la photo de la carte et ce que le scanner a lu nous sont envoyés, avec le type de ton appareil, seulement pour corriger la reconnaissance.

Le catalogue commun. Les produits scellés à code-barres forment un catalogue commun : un produit scanné une fois est reconnu pour tous les comptes, avec sa photo, trouvée en ligne lors de son identification. Quand cette photo est détourée, sa version d'origine est gardée dans l'espace du compte qui a scanné le produit.

Ta vitrine. Si tu partages ta vitrine, toute personne qui a son lien voit ton pseudo, le mois de ton inscription et ce que tu choisis d'y montrer : tes graals, toute ta collection (cartes et scellé, avec la photo du catalogue commun), tes séries, les cartes que tu cherches, et des montants seulement si tu les affiches. Ton e-mail, tes prix d'achat, tes notes et les photos de tes cartes n'y figurent jamais. Elle n'est pas indexée par les moteurs de recherche, et tu peux couper son lien à tout moment. Pour te dire combien de fois elle a été ouverte, Graalia compte les ouvertures par jour, sans cookie ni aucune donnée sur ceux qui la regardent.

L'app iPhone. Elle utilise les mêmes données que le site, avec le même compte, et rien de plus : ton adresse, ton nom, l'identifiant de ton compte, ta collection et, seulement si l'option « Garder la photo de mes cartes » reste activée dans les Réglages, la photo des cartes que tu scannes. La caméra sert à scanner tes cartes et à prendre les photos du pré-grading, la photothèque à choisir des photos de cartes, et le mouvement de l'appareil à incliner la carte sur sa fiche. Ce que tu scannes ou envoies est traité comme décrit plus haut dans « Le scan » et « Le pré-grading ». L'app ne contient aucune publicité, aucun outil de suivi ni de mesure d'audience, et ne demande ni ta position ni tes contacts. À la connexion, elle affiche la même vérification anti-robot Cloudflare Turnstile que le site. Ta session est gardée chiffrée sur ton iPhone, avec une copie de ta collection pour qu'elle s'ouvre vite et hors ligne.

Les journaux techniques. Comme tout site, nos hébergeurs enregistrent l'adresse IP, la date, la page demandée et le type de navigateur, pour assurer le fonctionnement et la sécurité du Service.

La mesure d'audience. Des statistiques anonymes sur la consultation des pages publiques, décrites plus bas.

Graalia ne vend aucune donnée, n'affiche aucune publicité et ne mesure pas ton comportement à des fins publicitaires.

Pourquoi, et sur quelle base

• Fournir le Service (exécution des conditions d'utilisation) : créer ton compte, garder ta collection, calculer sa valeur, reconnaître tes cartes.
• Sécurité et prévention des abus (intérêt légitime) : journaux techniques, vérification anti-robot à la connexion, limites d'usage du scan et du pré-grading.
• Mesure d'audience (intérêt légitime) : savoir quelles pages sont lues et d'où viennent les visiteurs, pour améliorer le site.
• Améliorer la reconnaissance des cartes (intérêt légitime) : les signalements que tu choisis d'envoyer en corrigeant une carte.
• Obligations légales : répondre aux demandes des autorités et à tes demandes d'exercice de droits.

Avec qui

Ces prestataires traitent des données pour le compte de Graalia, sur ses instructions, et sont tenus à la confidentialité et à la sécurité :

• Supabase : base de données, connexion et stockage des photos. Serveurs à Londres (Royaume-Uni).
• Brevo : envoi des e-mails de connexion.
• Vercel : hébergement du site et exécution de l'application. Fonctions exécutées à Londres ; société établie aux États-Unis.
• Google (API Gemini) : identification d'une carte ou d'un produit scellé quand la lecture sur l'appareil ne suffit pas, et classement de l'état des coins, des bords et de la surface pour le pré-grading (recadrages et images réduites des faces). Selon les conditions de l'API payante de Google, ces contenus ne servent pas à entraîner ses modèles.
• Apple : connexion avec Apple, et distribution de l'app iPhone sur l'App Store. Apple reçoit les informations de ton compte Apple selon sa propre politique de confidentialité ; Graalia ne reçoit de lui que ton adresse et ton nom. Société établie aux États-Unis.
• Cloudflare (Turnstile) : vérification anti-robot sur la page de connexion, dans le navigateur comme dans l'app iPhone, et sur la page publique du pré-grading, à partir de signaux techniques du navigateur et de l'adresse IP, sans cookie publicitaire. Société établie aux États-Unis.
• Umami : mesure d'audience des pages publiques, sans cookie. Statistiques hébergées dans l'Union européenne ; société établie aux États-Unis.

Les sources de prix (Cardmarket via TCGdex, ventes eBay via SoldComps, annonces Vinted publiques des objets suivis, lues par un proxy) ne reçoivent aucune donnée te concernant : Graalia les interroge depuis ses serveurs, pour tous les utilisateurs à la fois. Pour chaque annonce Vinted d'un objet suivi, Graalia garde le titre, le prix, l'adresse de la photo publiée (affichée depuis Vinted, jamais copiée), l'identifiant de l'annonce, les dates où elle a été vue et vendue, et le pays affiché du vendeur, pour ne garder que les ventes en France. Elle ne garde ni l'identifiant du vendeur, ni son pseudo, ni aucune donnée qui l'identifie.

Où sont les données

La base de données et les photos sont hébergées à Londres. Le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne. Vercel, Google, Apple, Cloudflare et Umami sont des sociétés américaines : les transferts vers les États-Unis sont encadrés par le Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne.

Combien de temps

• Compte et collection : tant que ton compte existe. À sa suppression, ils sont effacés, photos comprises, sauf ce que la loi impose de garder. Les produits que tu as ajoutés au catalogue commun restent, sans ton nom. Un compte jamais confirmé est effacé au bout de 2 jours. Sur le site comme dans l'app iPhone, la suppression se fait depuis Réglages, « Supprimer mon compte », en saisissant l'adresse du compte pour confirmer. Si ton compte est lié à Apple, Graalia te demande aussi de confirmer avec Apple, puis demande à Apple de révoquer l'autorisation donnée à Graalia. Tu peux aussi la retirer toi-même à tout moment, dans les Réglages de ton iPhone, rubrique de ton compte Apple, « Connexion et sécurité ».
• Images envoyées pour l'identification, et pour le pré-grading sans enregistrement : elles ne sont pas conservées par Graalia une fois la réponse obtenue.
• Estimations de pré-grading : tant que tu ne les supprimes pas, ou jusqu'à la suppression de ton compte.
• Photos des pré-gradings enregistrés (tes deux faces redressées et les zooms des zones) : tant que tu ne supprimes pas l'estimation, ou jusqu'à la suppression de ton compte.
• Empreinte d'adresse IP du pré-grading (visiteurs sans compte) : un code SHA-256 de l'adresse, salé côté serveur, jamais l'adresse elle-même ; il est gardé quelques jours (trois au plus en usage normal), le temps d'appliquer la limite du jour.
• Photos de tes cartes : tant que la carte est dans ta collection, sauf si tu la supprimes avant.
• Signalements : 90 jours au plus, moins si nous les supprimons après les avoir analysés.
• Journaux techniques : pendant la durée fixée par nos hébergeurs, au plus 12 mois.
• Ouvertures de ta vitrine : un total par jour, tant que ton compte existe.
• Statistiques de visite : au plus 25 mois.

Mesure d'audience

Graalia compte les visites de ses pages publiques (accueil, guides, pages produits, connexion), hors vitrines, pour savoir quels contenus sont lus et d'où viennent les visiteurs : moteur de recherche, réseau social ou lien direct. Elle compte aussi quelques clics, comme « Créer mon compte » ou « Voir le produit » chez une enseigne. L'espace connecté, ta collection comprise, n'est jamais mesuré.

Cette mesure passe par Umami, sans cookie : une visite est reconnue par un code calculé à partir de l'adresse IP et du navigateur, qui ne permet pas de t'identifier. Les statistiques restent anonymes, ne sont croisées avec aucune autre donnée ni transmises à des tiers, et sont conservées au plus 25 mois. Dans ces conditions, la loi n'exige pas ton accord ; tu peux tout de même refuser d'être compté sur ce navigateur.

Cookies et stockage sur ton appareil

Graalia n'utilise que ce qui est strictement nécessaire au Service, sans bannière de consentement à accepter :

• un cookie de session, pour te garder connecté ;
• un stockage local et un cache, pour que l'application s'ouvre vite et que les pages déjà consultées restent disponibles hors ligne. Dans l'app iPhone, c'est le stockage de l'appareil qui garde ta session et cette copie.

Aucun cookie publicitaire n'est déposé, et la mesure d'audience n'en utilise aucun. Si tu refuses d'être compté, ce choix est gardé dans le stockage local de ton navigateur.

Tes droits

Tu peux accéder à tes données, les rectifier, les effacer, en limiter le traitement, t'opposer à un traitement fondé sur l'intérêt légitime, en demander la portabilité, et définir des directives sur leur sort après ton décès. Deux de ces droits s'exercent directement dans l'application : la suppression de ton compte, depuis Réglages, et l'export de ta collection, depuis Réglages ou la page Collection ; l'app iPhone propose les deux dans ses Réglages. Pour le reste, écris à contact@graalia.app depuis l'adresse de ton compte. La réponse arrive dans un délai d'un mois au plus, prolongeable de deux mois si la demande est complexe.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (cnil.fr).

Âge minimum

Graalia s'adresse aux personnes de 15 ans et plus. En dessous, l'accord d'un parent ou du titulaire de l'autorité parentale est nécessaire.

Modifications

Cette politique peut évoluer avec le Service. La version en vigueur est toujours sur cette page, avec sa date de mise à jour. Un changement important sera signalé dans l'application.