Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est Flowly, basé en France.

Pour toute question relative à la confidentialité, contacte-nous à support@myflowly.co.

2. Données que nous collectons

Nous collectons uniquement ce qui est nécessaire au fonctionnement du service :

• Données de compte : adresse email, prénom/pseudo, identifiant Apple Sign-In (si tu utilises « Se connecter avec Apple »).
• Données d'habitudes : objectifs, habitudes que tu crées, historique de complétion, streaks.
• Données d'onboarding : état émotionnel déclaré, expérience passée avec les routines, temps disponible quotidien, style de progression préféré, préférence de soutien.
• Données de souscription : statut d'abonnement, identifiants de transaction (Apple App Store, Google Play). Nous ne recevons jamais ton numéro de carte bancaire.
• Données techniques : token de notification push, préférences de langue et de thème, modèle d'appareil et version OS (à des fins de diagnostic).
• Données d'usage : interactions avec l'app (écrans ouverts, actions), timestamps, pour améliorer le produit.
• Identifiant publicitaire (IDFA) — uniquement si tu as accepté le suivi via la fenêtre App Tracking Transparency d'iOS. Sert exclusivement à savoir quelle publicité t'a amené jusqu'à Flowly. Voir la section 7.

3. Comment nous collectons ces données

• Directement : lorsque tu crées un compte, que tu remplis l'onboarding ou que tu utilises l'app.
• Via Apple Sign-In : si tu choisis cette méthode de connexion, nous recevons un identifiant anonyme et, selon ton choix, ton email (réel ou relais Apple).
• Automatiquement : informations techniques non identifiantes (type d'appareil, langue système) lors de l'utilisation.

4. Pourquoi nous traitons ces données

• Fournir et maintenir le service Flowly.
• Générer tes routines personnalisées via IA.
• Envoyer les notifications que tu as activées.
• Comprendre l'usage agrégé de l'app pour l'améliorer.
• Traiter les demandes de support.
• Gérer les abonnements et les paiements (via Apple et Google).

5. Base légale (RGPD)

• Exécution du contrat : pour fournir le service auquel tu as souscrit.
• Consentement : pour les notifications push et les données sensibles (état émotionnel).
• Intérêt légitime : pour améliorer le service et prévenir les abus.
• Obligation légale : pour conserver les preuves de transaction.

6. Services tiers et sous-traitants

Flowly est une petite équipe. Pour faire tourner l'app, on s'appuie sur une courte liste de prestataires soigneusement choisis qui traitent tes données pour notre compte, dans le cadre d'un Accord de traitement des données (DPA). On ne vend jamais tes données. Chaque service applique sa propre politique de confidentialité en plus des protections décrites ici :

• Supabase, Inc. (États-Unis — hébergement et base de données). Stocke ton e-mail, ton profil, tes objectifs, tes habitudes, ton historique de complétion, tes séries et l'historique de tes générations IA dans une instance PostgreSQL hébergée dans l'Union européenne. Base légale : exécution du contrat (art. 6, §1, b RGPD). DPA et Clauses Contractuelles Types en place. https://supabase.com/privacy
• OpenAI, L.L.C. (États-Unis — génération d'habitudes par IA et bilans hebdomadaires). Quand tu crées un objectif ou que tu demandes un plan généré par IA, on envoie à l'API d'OpenAI les éléments nécessaires à la personnalisation — titre de l'objectif, description, habitudes d'ancrage que tu as choisies, et tes réponses d'onboarding comme ta disponibilité et ta motivation — pour qu'elle te renvoie une routine. OpenAI n'utilise pas le contenu envoyé via l'API pour entraîner ses modèles. Aucune donnée n'est envoyée à OpenAI si tu n'utilises jamais de fonctionnalité IA. La même disclosure s'affiche dans l'app lors de la première génération IA. Base légale : exécution du contrat (art. 6, §1, b RGPD). DPA et Clauses Contractuelles Types en place. https://openai.com/enterprise-privacy
• PostHog Inc. (région UE — eu.i.posthog.com — analytique produit). Reçoit des événements d'usage anonymes (vues d'écran, taps, points d'abandon) pour qu'on comprenne comment l'app est utilisée et qu'on l'améliore. On n'envoie ni ton e-mail, ni ton mot de passe, ni le titre de tes objectifs, ni le contenu de tes habitudes à PostHog. Tu peux désactiver l'analytique à tout moment dans Réglages → Confidentialité & Données → Désactiver l'analytique. Base légale : intérêt légitime à améliorer le produit (art. 6, §1, f RGPD), avec l'opt-out in-app matérialisant ton droit d'opposition (art. 21 RGPD). https://posthog.com/privacy
• Apple (Sign in with Apple, StoreKit, notifications push). https://www.apple.com/legal/privacy/
• Expo (builds, mises à jour OTA, routage des notifications push). https://expo.dev/privacy
• AppsFlyer Ltd. (Israël / États-Unis — mesure d'attribution publicitaire). Reçoit un identifiant d'installation, les événements d'installation et d'abonnement, et — uniquement si tu y as consenti via la fenêtre App Tracking Transparency — l'IDFA de ton appareil, qu'il peut transmettre à Meta et TikTok pour créditer la publicité que tu as vue. Ne reçoit jamais tes objectifs, tes habitudes ni tes notes. Base légale : consentement (art. 6, §1, a RGPD). Voir la section 7 ci-dessous. https://www.appsflyer.com/legal/services-privacy-policy/
• RevenueCat, Inc. (États-Unis — gestion des abonnements). Reçoit un identifiant utilisateur anonyme et l'état de ton abonnement, pour vérifier tes achats auprès d'Apple. Ne reçoit ni ton e-mail, ni tes objectifs, ni tes habitudes. Base légale : exécution du contrat (art. 6, §1, b RGPD). https://www.revenuecat.com/privacy/

7. Publicité et attribution

Flowly fait de la publicité payante sur Meta (Facebook, Instagram) et TikTok. Pour savoir quelle publicité amène réellement des utilisateurs — et donc arrêter de payer pour celles qui n'amènent personne — on utilise AppsFlyer (mesure d'attribution) et le SKAdNetwork d'Apple.

Sur iOS, cela peut impliquer l'identifiant publicitaire de ton appareil (IDFA). Apple nous oblige à te demander ton accord d'abord, via la fenêtre système App Tracking Transparency. Ce n'est pas une formalité, c'est une vraie question :

Si tu refuses — et tu peux le faire à tout moment dans Réglages iOS → Confidentialité et sécurité → Suivi — nous ne lisons pas ton IDFA et nous ne te suivons pas à travers les apps et sites d'autres entreprises. L'attribution repose alors uniquement sur le SKAdNetwork d'Apple, qui ne nous renvoie que des chiffres agrégés et ne nous apprend rien sur toi personnellement. Rien dans Flowly ne cesse de fonctionner. Aucune fonctionnalité n'est réduite. Tu ne perds rien.

Si tu acceptes, AppsFlyer peut recevoir ton IDFA ainsi que des événements d'installation et d'abonnement, et transmettre des signaux d'attribution à Meta et TikTok pour que la publicité que tu as vue puisse être créditée.

Au sens de la réglementation californienne (CPRA), cela constitue un partage de données à des fins de publicité contextuelle croisée, et au sens des règles d'Apple, cela constitue du suivi. Nous le déclarons comme tel sur notre fiche App Store plutôt que de le cacher dans un paragraphe.

Ce que nous ne faisons pas, et ne ferons pas : nous ne vendons pas tes données. Nous ne construisons pas de profil publicitaire sur toi. Et nous n'envoyons jamais à un partenaire publicitaire tes objectifs, tes habitudes, tes notes, ni le contenu de quoi que ce soit que tu écris dans l'app.

Base légale (RGPD) : consentement (art. 6, §1, a), recueilli via la fenêtre App Tracking Transparency. Tu peux le retirer à tout moment, sans conséquence sur ton usage de l'app.

8. Durée de conservation

Tes données sont conservées tant que ton compte est actif.

En cas de suppression de ton compte, toutes les données personnelles identifiables sont supprimées dans un délai de 30 jours. Certaines données anonymisées peuvent être conservées à des fins statistiques, et certaines preuves de transaction peuvent être conservées pour respecter nos obligations légales (comptabilité, fiscalité).

9. Transferts internationaux

Tes données sont hébergées par Supabase sur des serveurs situés en Union européenne et/ou aux États-Unis. Les transferts hors UE sont encadrés par des Clauses Contractuelles Types (Standard Contractual Clauses) conformément au RGPD.

10. Tes droits (RGPD — utilisateurs EU)

Si tu résides dans l'Union européenne, tu disposes des droits suivants :

• Accès à tes données personnelles.
• Rectification des données inexactes.
• Effacement (« droit à l'oubli »).
• Portabilité de tes données dans un format structuré.
• Restriction du traitement.
• Opposition au traitement basé sur l'intérêt légitime.
• Retrait du consentement à tout moment.
• Réclamation auprès d'une autorité de contrôle (en France : CNIL — https://www.cnil.fr).

Pour exercer tes droits, écris-nous à support@myflowly.co. Nous répondrons sous 30 jours.

11. Tes droits (CCPA/CPRA — résidents de Californie)

Si tu résides en Californie, tu disposes en plus des droits suivants :

• Droit de savoir quelles données personnelles sont collectées et comment elles sont utilisées.
• Droit de supprimer tes données personnelles.
• Droit de corriger les données inexactes.
• Droit de refuser la vente ou le partage de tes données. Flowly ne vend jamais tes données. En revanche, si tu as accepté le suivi publicitaire (fenêtre App Tracking Transparency), un identifiant est partagé à des fins de publicité contextuelle croisée, au sens de la CPRA — voir la section 7. Tu peux refuser ou revenir sur ton choix à tout moment dans Réglages iOS → Confidentialité et sécurité → Suivi, sans rien perdre dans l'app.
• Droit à la non-discrimination pour l'exercice de ces droits.

12. Données sensibles

Certaines informations que tu fournis (état émotionnel, objectifs de bien-être) peuvent être considérées comme sensibles. Elles ne sont utilisées que pour personnaliser tes routines. Elles ne sont jamais partagées avec des tiers à des fins commerciales et ne servent pas à entraîner les modèles d'IA publics. Leur traitement repose sur ton consentement explicite, que tu peux retirer à tout moment en supprimant ton compte.

13. Données des mineurs

Flowly n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données concernant des mineurs de moins de 16 ans. Si tu penses qu'un mineur nous a communiqué des données, contacte-nous à support@myflowly.co pour leur suppression.

14. Notifications push

Si tu actives les notifications, nous stockons un token opaque fourni par Apple ou Google pour t'envoyer les rappels que tu as configurés. Ce token ne permet pas de t'identifier personnellement. Tu peux désactiver les notifications à tout moment dans les Réglages de ton appareil ou de l'app.

15. Microphone et saisie vocale

Flowly utilise le microphone de ton appareil pour la saisie vocale (speech-to-text) lorsque tu choisis de dicter la description d'un objectif. L'audio est traité en temps réel sur ton appareil via les APIs natives de la plateforme (SFSpeechRecognizer sur iOS, SpeechRecognizer sur Android).

Aucun enregistrement audio n'est stocké, envoyé à nos serveurs ni conservé après la transcription. Le texte obtenu est utilisé uniquement pour remplir le champ de description de l'objectif.

Tu actives le micro manuellement à chaque utilisation — Flowly n'écoute jamais en arrière-plan. La permission RECORD_AUDIO peut être révoquée à tout moment dans les Réglages de ton appareil.

16. Accès au calendrier

Flowly peut demander l'accès au calendrier de ton appareil (Apple Calendar ou Google Calendar). Cet accès sert uniquement à analyser tes créneaux occupés pour te suggérer les meilleurs horaires pour tes habitudes.

Aucun événement de ton calendrier n'est copié, stocké ou envoyé à nos serveurs. L'analyse est effectuée localement sur ton appareil.

L'accès au calendrier est entièrement facultatif — l'app fonctionne normalement sans. Tu peux révoquer cette permission à tout moment dans les Réglages de ton appareil.

17. Reconnaissance vocale

La saisie vocale repose sur les services de reconnaissance vocale intégrés à ton système d'exploitation (Apple Speech Recognition sur iOS, Google Speech Services sur Android). Flowly ne gère pas directement le traitement audio — c'est le système d'exploitation qui s'en charge.

Les politiques de confidentialité d'Apple et de Google s'appliquent au traitement de la voix côté système. Flowly ne reçoit que le texte transcrit, jamais l'audio brut.

18. Sécurité

Toutes les communications entre l'app et nos serveurs sont chiffrées via HTTPS (TLS). Les données sont stockées de façon sécurisée avec Supabase (Row Level Security activée). Sur iOS, les informations sensibles locales sont stockées via SecureStore (Keychain). Aucun système n'est infaillible, mais nous appliquons les standards reconnus de l'industrie.

19. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des changements du service ou des obligations légales. En cas de modification importante, nous te préviendrons par email ou via une notification in-app avant l'entrée en vigueur.

20. Nous contacter

Pour toute question, demande d'exercice de tes droits ou réclamation, écris-nous à support@myflowly.co. Nous nous engageons à te répondre sous 30 jours.