Politique de confidentialité
Dernière mise à jour : 24 juin 2026
La présente politique de confidentialité décrit la manière dont Lotmio (ci-après "l'Application") collecte, utilise et protège vos données personnelles, conformément au Règlement général sur la protection des données (RGPD).
1. Responsable de traitement
Benjamin de Leiris, éditeur de Lotmio (particulier).
Contact : [email protected]
Point de contact pour la protection des données :
[email protected]
Lotmio est édité aujourd'hui par une personne physique. En cas de création ultérieure d'une société éditrice, la responsabilité du traitement de vos données pourra lui être transférée ; vous en serez informé via l'Application et la présente politique sera mise à jour en conséquence.
2. Données collectées
Avant la création d'un compte, une fonctionnalité de démonstration permet de consulter la fiche d'un produit en scannant un code-barres. Aucune donnée personnelle n'est collectée côté serveur durant cette phase : les codes-barres scannés sont stockés uniquement sur votre appareil (jamais transmis à nos serveurs) afin de comptabiliser le nombre de produits consultables avant inscription. Aucun identifiant, profil ou historique de navigation n'est créé côté serveur.
| Donnée | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Authentification (OTP / OAuth) | Exécution du contrat | Durée du compte | |
| Adresse e-mail précédente (lors d'un changement d'e-mail) | Envoi d'une notification de sécurité à votre ancienne adresse lorsque l'e-mail du compte est modifié, afin de vous alerter d'une éventuelle prise de contrôle. | Intérêt légitime (sécurité du compte) | Supprimée dès l'envoi de la notification ; 7 jours maximum en cas d'échec d'envoi |
| E-mail, date de consentement et article d'origine — liste de lancement (saisis depuis le blog, avant le lancement de l'application) | Vous envoyer une notification unique lorsque l'application sera disponible. Inscription en double opt-in : un e-mail de confirmation valide votre demande, et l'article d'origine est conservé à des fins de statistique interne. | Consentement (prospection) | Inscriptions non confirmées supprimées après 30 jours ; inscriptions confirmées supprimées au lancement + 12 mois, ou plus tôt en cas de désinscription. Lien de désinscription présent sur l'e-mail de lancement. |
| Pseudo | Identification communautaire | Exécution du contrat | Durée du compte |
| Géolocalisation précise (GPS) | Affichage de la carte et des magasins à proximité | Consentement | Non stockée côté serveur — traitée exclusivement sur l'appareil. La permission peut être révoquée à tout moment dans les réglages de l'appareil. |
| Ville approximative (fallback) | Affichage des prix locaux lorsque la géolocalisation précise est refusée. Granularité ~10–50 km, beaucoup moins sensible qu'une position GPS. | Consentement | Stockée sur nos serveurs jusqu'à la suppression du compte. Modifiable ou supprimable à tout moment depuis Réglages → Confidentialité → Ma ville. |
| Prix scannés | Deux finalités : (1) base de données collaborative de prix ; (2) production de statistiques de prix agrégées et anonymisées destinées à être fournies à des partenaires commerciaux. Aucune donnée permettant de vous identifier n'est transmise. | Intérêt légitime (art. 6-1-f) pour les deux finalités | Conservés tant que votre compte existe, ou jusqu'à votre opposition à la réutilisation commerciale (voir § 5). L'anonymisation effective intervient lors de la génération des statistiques agrégées. |
| Publications (posts) | Fil communautaire | Exécution du contrat | 30 jours (expiration automatique) |
| Analytiques d'usage | Amélioration du service | Consentement | 12 mois |
| Push token | Notifications (alertes prix, etc.) | Consentement | Durée du compte |
| Données de crash / erreurs | Stabilité et correction de bugs | Intérêt légitime | 90 jours |
| Journal des notifications envoyées (notification_log) | Diagnostic des envois push, lutte contre le spam | Intérêt légitime | 30 jours (purge automatique) |
| File d'attente notifications (notification_queue) | Envoi différé avec respect des heures calmes 22h-08h | Intérêt légitime | 30 jours après envoi (purge automatique) |
| Journal d'audit (audit_logs) | Traçabilité des opérations sensibles (suppression, ban, modération) | Intérêt légitime, obligation légale | 90 jours (purge automatique) |
| Journal des appels API (api_request_logs) | Anti-abus, détection d'attaques, sécurité applicative | Intérêt légitime (sécurité) | 90 jours (purge automatique) |
| Journal de modération (moderation_log) | Traçabilité des actions de modération communautaire | Intérêt légitime | 1 an |
| Observations de prix (price_observations) | Score de confiance des contributions, détection de fraude | Intérêt légitime |
Conservation tant qu'utile au scoring ; le user_id est détaché à la
suppression du compte
|
| Métadonnées produit envoyées à l'IA tierce (nom, marque, catégorie, image packaging) | Enrichissement automatique des fiches produit — classifications nutritionnelles, allergènes, scores santé, traductions de vocabulaire. Aucune donnée personnelle vous concernant n'est envoyée (uniquement les données publiques du produit). | Intérêt légitime (qualité de la base catalogue partagée) |
Audit conservé 90 jours dans la table enrichment_runs (modèle, tokens,
coût, output JSON, timestamp) ; aucune donnée utilisateur dans ces enregistrements.
|
| Signalements produit (product_feedback) |
Signaler une erreur sur les informations santé d'un produit (allergène manquant, tag
erroné, etc.). Déclenche un re-enrichment ou une revue humaine. Inclut également les
propositions de correction de nom
(champ proposed_name) saisies librement par l'utilisateur quand le
signalement est de type « nom incorrect ».
|
Intérêt légitime (qualité de la base catalogue) | Conservé jusqu'à la résolution du signalement ; user_id anonymisé à la suppression du compte. Le statut de modération (accepté/rejeté) n'est pas accessible à l'utilisateur (article 15 — exclusion justifiée par la lutte contre les contributions abusives). |
| Substitutions de produits déclarées en fin de session (paire from→to, raison, magasin, prix snapshot, horodatage) | Amélioration interne du catalogue et de la suggestion de produits. Données strictement internes — non revendues à des tiers. | Intérêt légitime (art. 6-1-f) | Jusqu'à suppression du compte ; au-delà, anonymisation (suppression de l'identifiant et de la référence à la session) et conservation en agrégat statistique interne. |
3. Sous-traitants
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage | Francfort, Allemagne (UE) |
| Resend (Plus Five Five, Inc.) | Envoi des e-mails transactionnels et de sécurité (codes de connexion, export de données, alerte de changement d'adresse e-mail), ainsi que des e-mails liés à la liste de lancement (confirmation d'inscription en double opt-in et e-mail d'annonce du lancement) | États-Unis (SCCs) |
| Google Perspective API | Modération automatique du contenu | États-Unis (SCCs) |
| Open Food Facts | Données produits (code-barres) | France (UE) |
| PostHog | Analytiques d'usage | EU Cloud |
| Expo / EAS | Distribution de l'application, notifications push | États-Unis (transit chiffré) |
| Sentry (Functional Software Inc.) | Suivi des erreurs et stabilité de l'application | États-Unis (SCCs) |
| MapTiler / OpenFreeMap | Tuiles cartographiques (affichage de la carte) | Europe (Suisse, Allemagne) |
| Photon (Komoot GmbH) | Géocodage : recherche de magasins (adresses) et recherche de ville utilisée comme localisation de repli quand la géolocalisation précise n'est pas accordée. Seul le terme tapé par l'utilisateur (et, le cas échéant, ses coordonnées approximatives pour le tri par proximité) est transmis ; aucun identifiant de compte n'est envoyé. | Allemagne (UE) |
| Overpass (OpenStreetMap) | Données magasins ouvertes, requêtes par zone géographique | Allemagne (UE) — données ouvertes ODbL |
| Apple Push Notification service (APNs) | Acheminement des notifications push vers iOS | États-Unis (DPA via Apple Developer Agreement) |
| Google Firebase Cloud Messaging (FCM) | Acheminement des notifications push vers Android | États-Unis (SCCs via Google Cloud DPA) |
| Anthropic, PBC | Enrichissement automatique des fiches produit via modèles d'IA (Claude). Reçoit uniquement les données publiques du produit (nom, marque, catégorie, image packaging) — jamais de données personnelles utilisateur. Sortie limitée à un vocabulaire fermé contrôlé côté serveur (silent-drop des valeurs hors liste). | États-Unis (SCCs via DPA Anthropic) |
| Discord, Inc. | Canal interne ops monitoring (alertes techniques sur le pipeline d'enrichissement, digest quotidien de produits à vérifier). Ne reçoit jamais de données utilisateur ; uniquement des métadonnées produit (id, nom, raison du signal). | États-Unis (SCCs via Discord Data Processing Agreement) |
4. Transferts hors UE
Certaines données peuvent être transférées vers les États-Unis auprès de :
- Resend (envoi des e-mails transactionnels, de sécurité et de prospection — liste de lancement) — encadré par des SCCs ;
- Google (Perspective API) — encadré par les Clauses Contractuelles Types (SCCs) de la Commission européenne ;
- Expo / EAS — données en transit chiffrées, encadrées par des SCCs ;
- Sentry (suivi des erreurs) — identifiant pseudonymisé uniquement, aucune donnée nominative transmise, encadré par des SCCs ;
- Anthropic, PBC (enrichissement IA des fiches produit) — uniquement des données publiques produit (nom, marque, image packaging), jamais d'identifiant utilisateur. Encadré par des SCCs via le Data Processing Agreement Anthropic ;
- Discord, Inc. (canal ops monitoring interne) — uniquement des métadonnées produit pour le triage des erreurs. Encadré par des SCCs via le Discord DPA.
5. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès — obtenir une copie de vos données personnelles ;
- Droit de rectification — corriger des données inexactes ;
- Droit à l'effacement — demander la suppression de vos données ;
- Droit à la portabilité — recevoir vos données dans un format structuré ;
- Droit d'opposition — vous opposer à certains traitements ;
- Droit à la limitation — restreindre le traitement de vos données.
Droit d'opposition à la réutilisation commerciale : vos relevés de prix peuvent être agrégés et anonymisés en vue d'être fournis à des partenaires commerciaux, sur la base de notre intérêt légitime (voir la ligne « Prix scannés » du tableau du § 2). Vous pouvez vous opposer à cette réutilisation à tout moment, sans aucune conséquence sur votre utilisation de l'Application, en écrivant à [email protected]. Nous y donnons suite dans un délai d'un mois (art. 12-3 RGPD).
Pour exercer vos droits, contactez-nous à [email protected]. Nous répondrons dans un délai de 30 jours.
En cas de réclamation, vous pouvez saisir la CNIL (Commission nationale de l'informatique et des libertés) : www.cnil.fr.
6. Cookies
Lotmio est une application mobile. Elle n'utilise aucun cookie et ne déploie aucun traceur web.
7. Âge minimum
Conformément à l'article 8 du RGPD, l'utilisation de l'Application est réservée aux personnes âgées de 15 ans ou plus. Aucune collecte de données n'est effectuée sciemment auprès de mineurs de moins de 15 ans.
8. Suppression du compte
La suppression de votre compte s'effectue en deux phases :
- Suppression douce (soft delete) — votre compte est immédiatement désactivé et vos données personnelles ne sont plus visibles. Vous disposez d'un délai de 30 jours pour demander la réactivation.
- Suppression définitive (hard delete à J+30) — passé ce délai, toutes vos données personnelles sont définitivement supprimées. Les prix contribués restent dans la base sous forme anonymisée (conformément à la licence ODbL).
9. Article 18 RGPD — Droit à la limitation du traitement
Vous pouvez demander la limitation du traitement de vos données personnelles dans les cas prévus par l'article 18 du RGPD (notamment : contestation de l'exactitude des données, opposition au traitement, traitement illicite mais sans souhaiter la suppression). La limitation suspend l'utilisation de vos données sans les effacer.
Pour exercer ce droit, contactez notre point de contact pour la protection des données à l'adresse [email protected] en précisant votre demande et l'identifiant de votre compte (email d'inscription). Nous accusons réception sous 72h et appliquons la limitation sous 30 jours maximum.
10. Vérification de l'âge
Conformément à l'article 8 du RGPD et à l'article 7-1 de la loi française Informatique et Libertés, l'utilisation de Lotmio est réservée aux personnes âgées de 15 ans ou plus. À l'inscription, l'utilisateur accepte les Conditions générales d'utilisation qui incluent une déclaration explicite d'avoir au moins 15 ans (case à cocher dans le parcours d'onboarding).
Si nous constatons qu'un compte a été créé par un mineur de moins de 15 ans, le compte est immédiatement suspendu et les données personnelles supprimées dans les meilleurs délais. Tout signalement peut être adressé à [email protected].
11. Procédure en cas de violation de données
Conformément aux articles 33 et 34 du RGPD, en cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés :
- Nous notifions la CNIL dans les 72 heures suivant la prise de connaissance de la violation, avec description de la nature, des catégories et du nombre de personnes concernées, ainsi que des mesures prises ou envisagées.
- Si la violation présente un risque élevé, nous vous informons individuellement dans les meilleurs délais via l'adresse email associée à votre compte, avec recommandations sur les mesures à prendre pour limiter les conséquences éventuelles.
- Toute personne ayant connaissance d'une vulnérabilité ou d'un incident peut nous contacter à [email protected].
12. Enrichissement automatique des fiches produit (IA tierce)
Lotmio utilise des modèles d'intelligence artificielle fournis par Anthropic, PBC (modèles Claude) pour compléter automatiquement les informations affichées sur les fiches produit : Nutri-Score, Eco-Score, groupe NOVA, allergènes, certifications (bio, halal, casher, équitable), traductions du vocabulaire produit (français → allemand, italien, anglais).
Conformément à l'article 13 du RGPD (information sur les sous-processeurs et les destinataires) :
- Données envoyées à l'IA — uniquement les données publiques du produit (nom, marque, catégorie OFF, image packaging quand disponible). Aucune donnée personnelle vous concernant (votre identifiant, email, géolocalisation, historique de scans, etc.) n'est transmise à Anthropic.
- Cadre contractuel — Data Processing Agreement (DPA) signé avec Anthropic, transferts encadrés par les Clauses Contractuelles Types (SCCs) de la Commission européenne.
- Vocabulaire fermé — la sortie de l'IA est strictement contrainte à un ensemble de valeurs prédéfinies par Lotmio. Toute valeur hors liste est silencieusement rejetée par notre serveur (pas d'écriture en base).
-
Audit — chaque appel à l'IA est journalisé (modèle, tokens, coût, sortie
JSON, durée) dans la table interne
enrichment_runs, conservée 90 jours pour permettre le diagnostic. Ces enregistrements ne contiennent aucune donnée utilisateur. - Limites des données enrichies — les informations Nutri-Score, Eco-Score, allergènes, certifications sont fournies à titre indicatif et peuvent comporter des erreurs. En cas d'allergie ou de régime spécifique, vérifiez toujours l'emballage du produit. Vous pouvez signaler une erreur depuis la fiche produit (bouton "Signaler une erreur").
- Droit d'opposition — vous pouvez vous opposer à ce que les fiches produit que vous consultez soient enrichies par IA en nous contactant à [email protected]. Cette opposition n'a pas d'effet sur les enrichissements déjà effectués (les données sont publiques produit, sans rattachement à votre compte) mais sera prise en compte pour vos contributions ultérieures.
Cette politique de transparence sur l'IA évolue avec le pipeline. La version actuelle repose sur Claude Haiku 4.5 et Claude Sonnet 4.6. Tout changement de modèle ou de sous-processeur entraîne une mise à jour de la présente section.
13. Modifications
Nous nous réservons le droit de modifier la présente politique. En cas de modification substantielle, une notification sera envoyée via l'Application. La version en vigueur est toujours disponible à cette adresse.