Privacy Policy

Dernière mise à jour : 22/08/2026

1. Identité du Responsable de Traitement (Data Controller)

Le traitement des données personnelles au sein de l'application AdorEcho est opéré par :

• Nom / Société : DELEPORTE Hugo
• Adresse : 5 rue Pierre et Marie Curie, 91400 Orsay, France
• Immatriculation : entrepreneur individuel (EI), R.C.S. Évry 108 658 949
• E-mail de contact : support@adorecho.com

2. Données Collectées (Data We Collect)

Nous collectons différents types d'informations lorsque vous utilisez notre application. Conformément au principe de minimisation des données, seules les informations strictement nécessaires sont traitées.

3. Finalités et Bases Légales (Purposes and Legal Basis)

Le RGPD impose de justifier chaque collecte par une base légale définie à l'Article 6.

• Intérêt légitime — vérification de votre adresse électronique : avant de créer votre compte, nous vous envoyons un code à 6 chiffres pour établir que l'adresse saisie est bien la vôtre. Cette base légale n'est ni le contrat (à cet instant vous n'avez pas encore de compte, donc aucun contrat n'est formé) ni votre consentement (vous n'avez rien accepté à ce stade). L'intérêt légitime poursuivi est double, et le premier est le vôtre : la réinitialisation de mot de passe est le seul message que nous vous enverrons jamais, si bien qu'une adresse mal saisie rendrait votre compte définitivement irrécupérable, sans que rien ne permette de s'en apercevoir. Le second est d'empêcher que cet envoi, accessible sans être connecté, serve à inonder la boîte d'un tiers : un délai minimal est imposé entre deux envois, et le volume total de messages émis par le service est plafonné. Ces limites sont appliquées par notre prestataire d'authentification.
• Exécution du contrat (CGU) :
  • Création et gestion du compte utilisateur (email, name, birthday).
  • Mise en relation avec d'autres utilisateurs (interactions, conversations).
  • Traitement de la location précise, et de la city qui en est déduite, pour afficher les profils à proximité. AdorEcho est un service de mise en relation par proximité géographique : sans votre position, l'application ne peut pas constituer le fil de profils qui est sa fonction même. Ce traitement n'est donc pas fondé sur votre consentement mais sur l'exécution du contrat, et il est obligatoire : l'accès à l'application n'est pas possible sans autorisation de localisation. Android et iOS vous demandent malgré tout d'accorder cette autorisation au niveau du système, et vous pouvez la retirer à tout moment dans les réglages de votre téléphone — voir le §7 pour ce que cela implique.
  • Fourniture des fonctionnalités d'achat in-app (don "café" et abonnement Premium).
• Consentement explicite (Article 9 du RGPD) :
  • Traitement de la préférence de genre (search_preferences.gender) pouvant révéler des informations sensibles.
  • Utilisation du microphone pour enregistrer un voice_url. Cet enregistrement est facultatif : un profil sans enregistrement vocal fonctionne normalement.
• Intérêt légitime :
  • Assurer la sécurité de la plateforme, modérer les comportements abusifs via les reports.
• Obligation légale :
  • Conservation des données de facturation transmises par nos prestataires de paiement, pour la comptabilité.

4. Durées de Conservation (Data Retention)

Si vous n'avez pas terminé votre inscription. Ce paragraphe s'adresse à deux personnes que le reste de cette page ne concerne pas. La première a commencé une inscription et ne l'a pas terminée. La seconde n'a rien fait du tout : quelqu'un s'est trompé en saisissant son adresse électronique, et elle a reçu de notre part un message qu'elle n'attendait pas.

Ce qui existe alors de votre côté, dit précisément : un compte est créé dès l'envoi du formulaire, et non après la validation du code. Il porte votre adresse électronique et une empreinte du code envoyé ; il est marqué comme non finalisé, n'apparaît dans aucune recherche, n'est visible d'aucun autre utilisateur, et ne contient ni photo, ni enregistrement vocal, ni aucune des informations demandées plus loin dans l'inscription. Aucune adresse IP n'est enregistrée.

Si l'inscription n'est pas menée à terme, ce compte est entièrement supprimé au bout d'environ 24 heures — le compte, son profil et tout fichier associé — par une tâche automatique. La suppression du compte emporte l'empreinte du code avec elle. Ces données ne servent qu'à établir que vous avez la maîtrise de l'adresse saisie, ne sont jamais utilisées pour vous contacter à nouveau, et ne sont transmises à personne en dehors du prestataire qui acheminera le message (§5).

Si vous avez reçu un tel code sans l'avoir demandé, vous n'avez rien à faire : le compte incomplet disparaît de lui-même dans les 24 heures environ. Vous pouvez néanmoins nous écrire à l'adresse du §1 pour en demander la suppression immédiate.

Pour le reste, nos règles de conservation sont les suivantes :

• Compte actif : Les données de profil et les messages sont conservés tant que le compte est actif.
• Compte inactif : Conformément aux recommandations de la CNIL, tout compte inactif pendant 2 ans consécutifs (mesuré via last_seen) sera automatiquement et définitivement supprimé.
• Données de localisation : La location exacte n'est pas conservée sous forme d'historique. Seule la dernière position connue (last_location_update) est conservée et écrasée à chaque nouvelle mise à jour.
• Suppression de compte : En cas de demande de suppression, une procédure automatisée efface immédiatement les données de profil, les interactions et les messages. Huit rémanences subsistent au-delà de cet effacement, et nous les énumérons toutes plutôt que d'annoncer une exception unique :
  • la ligne de signalement vous concernant (motif, statut, date, décision), sans son contenu — conservée sans durée bornée à ce jour ;
  • les preuves d'un signalement et le texte libre qui l'accompagne — 2 ans, voir le point suivant ;
  • le journal des accès sensibles (qui a consulté un dossier de modération, et quand) — 90 jours ;
  • la file de reprise du nettoyage des fichiers, lorsqu'une suppression de média a échoué et doit être réessayée — jusqu'à résolution ;
  • la file de résiliation d'abonnement, qui porte l'instruction d'arrêter de vous facturer — conservée sans durée bornée, parce qu'elle est la trace de ce qui a été demandé au magasin d'applications ;
  • la copie de sauvegarde de la base, chiffrée et déposée chez GitHub — 30 jours, puis supprimée automatiquement (§5) ;
  • votre identifiant chez RevenueCat, le gestionnaire des achats, ainsi que l'historique de facturation correspondant — conservés par ce prestataire selon ses propres durées, et les obligations comptables françaises imposent 10 ans aux pièces de facturation ;
  • les rapports de plantage chez Firebase Crashlytics — 90 jours — et seulement si vous aviez activé cette collecte, qui est désactivée par défaut.
  S'y ajoutent les journaux techniques de nos hébergeurs, dont la durée de conservation est fixée par eux et que nous n'avons pas établie à ce jour ; nous préférons l'écrire que de citer une durée que nous ne pourrions pas garantir.
• Preuves de signalement (reports.evidence) : lorsqu'un utilisateur en signale un autre depuis une conversation, notre serveur enregistre au moment du signalement une copie des messages de cette conversation (jusqu'à 200 messages, incluant donc des messages des deux participants), afin de pouvoir instruire le signalement même si les comptes concernés sont supprimés entre-temps. Cette copie est conservée 2 ans à compter du signalement, puis effacée automatiquement par une tâche quotidienne ; le signalement lui-même (motif, statut, date, décision prise) est conservé sans son contenu. Il s'agit d'une durée provisoire, alignée sur celle de la suppression des comptes inactifs, actuellement en cours de revue juridique — cette page sera mise à jour lorsqu'elle sera arrêtée. La base légale invoquée est l'intérêt légitime à assurer la sécurité des utilisateurs (§3).
• Données de facturation : Les factures et données de transaction sont conservées par nos prestataires de paiement pendant 10 ans pour satisfaire aux obligations fiscales et comptables françaises.

5. Partage des Données et Sous-traitants (Third-Party Services)

Nous ne vendons aucune donnée personnelle. Nous partageons certaines informations techniques avec des prestataires (sous-traitants) pour opérer le service :

• Supabase : Fournisseur de base de données et d'authentification. Héberge les profils, les conversations, ses propres journaux d'authentification techniques et les fichiers médias.
• Brevo (Sendinblue SAS) : Acheminement du courrier électronique contenant le code de vérification décrit au §3, ainsi que du code de réinitialisation de mot de passe. Ce prestataire reçoit votre adresse électronique et le contenu de ces messages, pour le seul acte de les livrer. Il ne reçoit aucune autre donnée, et n'est pas utilisé pour d'autres envois.
• RevenueCat : Gestionnaire des achats in-app. Traite le statut des transactions et conserve l'historique de facturation correspondant. Ce prestataire fait lui-même appel à ses propres sous-traitants — hébergement, analyse, supervision, et deux fournisseurs de services d'intelligence artificielle — dont la liste à jour est publiée dans l'annexe de son accord de traitement, à revenuecat.com/dpa. Nous ne reproduisons pas cette liste ici : elle change sans nous, et une copie périmée serait moins exacte que le renvoi.
• Cloudflare, Inc. : Ce prestataire est sur deux chemins distincts. (a) Le test anti-robot qui protège la création de compte, la connexion et la réinitialisation de mot de passe est le service Turnstile de Cloudflare : à ce titre il reçoit votre adresse IP et des signaux techniques de votre navigateur, pour la seule durée du test. Ce contrôle est nécessaire à la sécurité du service et n'est pas optionnel — sans lui, ces trois formulaires sont ouverts aux inscriptions automatisées. (b) L'adresse de contact support@adorecho.com n'est pas une boîte aux lettres mais un renvoi opéré par Cloudflare Email Routing vers une messagerie personnelle. Les messages que vous nous adressez — y compris l'exercice de vos droits et la contestation d'une sanction — transitent donc par ce prestataire.
• GitHub, Inc. (filiale de Microsoft) : Une copie de sauvegarde de la base de données est produite chaque nuit et déposée chez ce prestataire, où elle est conservée 30 jours puis supprimée automatiquement. Elle contient l'ensemble des données de la base — profils, messages, et les informations d'authentification, dont votre adresse électronique. Elle est chiffrée avant de quitter notre infrastructure (AES-256, clé dérivée par PBKDF2) et GitHub n'en détient pas la clé : ce prestataire héberge un fichier qu'il ne peut pas lire. Les fichiers médias (photos, enregistrements vocaux) ne sont pas dans cette copie.
• Discord Netherlands B.V. : Les alertes de modération — un signalement déposé, un volume de consultation anormal — sont adressées à un salon privé de messagerie professionnelle accessible à la seule équipe de modération. Ces alertes contiennent des identifiants de comptes (le vôtre si vous signalez, celui de la personne signalée) et le motif retenu. Elles ne contiennent jamais le texte libre que vous écrivez dans un signalement : seule sa longueur est transmise, et cette limite est imposée techniquement et non par consigne. La conservation est celle d'un fil de messagerie et n'est pas bornée à ce jour ; c'est une insuffisance que nous documentons plutôt que de la taire.
• Google / Firebase (Cloud Messaging) : Fournisseur de l'infrastructure de notifications push (fcm_token). Le corps de la notification transite par cette infrastructure — voir le §7 pour ce que cela implique et comment le limiter.
• Google Cloud Vision (SafeSearch) : Toutes les photos de profil que vous envoyez sont analysées automatiquement par ce service avant publication, afin de détecter les contenus à caractère sexuel ou violent. Seule la détection SAFE_SEARCH_DETECTION est demandée : il n'y a aucune reconnaissance faciale ni aucun traitement biométrique. Les requêtes sont envoyées au point de terminaison européen dédié (eu-vision.googleapis.com), pour lequel Google garantit un stockage et un traitement uniquement dans l'Union européenne. Google n'utilise pas ces images pour entraîner ses modèles.
• Firebase Crashlytics : Collecte des rapports de plantage (trace d'exécution, modèle d'appareil, version du système, identifiant d'installation), conservés 90 jours par Google. Cette collecte est désactivée par défaut : elle ne démarre que si vous l'activez explicitement dans Réglages → Application → « Rapports de plantage », et s'arrête dès que vous la désactivez.

6. Transferts de Données hors UE (International Transfers)

Certains de nos sous-traitants peuvent héberger ou traiter des données sur des serveurs situés en dehors de l'Espace Économique Européen (EEE), notamment aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) validées par la Commission Européenne pour garantir un niveau de protection équivalent au RGPD. Le détail, sous-traitant par sous-traitant :

7. Vos Droits (User Rights)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès et de portabilité : Obtenir une copie des données que nous détenons sur vous, directement depuis l'application via "Exporter mes données" dans les réglages.
• Droit de rectification : Corriger des informations inexactes dans vos settings.
• Droit à l'effacement (Droit à l'oubli) : Vous pouvez supprimer l'intégralité de votre compte directement dans l'application via le menu des paramètres.
• Droit de retrait du consentement : Vous pouvez révoquer l'accès à votre microphone depuis les réglages de votre smartphone à tout moment ; l'application continue de fonctionner sans lui. Vous pouvez également révoquer l'accès à votre localisation, mais celle-ci ne repose pas sur votre consentement (voir §3) : elle est nécessaire à l'exécution du service, et la révoquer rend l'application inutilisable. Si vous ne souhaitez plus partager votre position, la voie appropriée est la suppression de votre compte, ci-dessus.
• Droit d'opposition aux rapports de plantage : la collecte des rapports de plantage (Firebase Crashlytics) est désactivée par défaut. Vous pouvez l'activer, et la désactiver à nouveau, à tout moment dans Réglages → Application → « Rapports de plantage ». Aucun rapport n'est transmis tant que vous ne l'avez pas activée.

Aperçu des messages dans les notifications

Ce point n'est pas un droit au sens du RGPD mais un réglage qui a des conséquences sur la confidentialité de vos échanges, et il vaut mieux le savoir que le découvrir.

Par défaut, le texte du message que vous recevez est affiché dans la notification, comme dans la plupart des applications de messagerie. Pour l'afficher sur votre écran verrouillé, ce texte doit être transmis à l'infrastructure de notifications de Google (Firebase Cloud Messaging), qui est mondiale (voir §6). Cela concerne donc le contenu de conversations privées.

Vous pouvez désactiver cet aperçu : Réglages → Application → « Masquer l'aperçu des messages ». La notification indique alors seulement qui vous a écrit, sans le contenu du message, et le texte de vos messages n'est plus transmis à Google. Le prénom de l'expéditeur, lui, reste affiché.

Les messages vocaux n'ont jamais été concernés : leur contenu audio n'est pas transmis dans la notification, dans un cas comme dans l'autre.

Pour exercer vos droits, vous pouvez nous contacter à l'adresse : support@adorecho.com. Une réponse vous sera apportée dans un délai maximum de 30 jours.