Politique de confidentialité.

Swapik ne vend aucune donnée, n'affiche aucune publicité et n'embarque aucun traceur publicitaire. Nous utilisons ce qu'il faut pour faire fonctionner votre classeur, vos échanges et votre messagerie, et rien d'autre.

Le responsable du traitement est l'éditeur de Swapik, SWAPAWS (21 rue du Bourg Tibourg, 75004 Paris), présenté dans les mentions légales. Pour toute question sur vos données, une seule adresse : contact@swapaws.app.

Votre profil est public : identifiant, nom affiché, avatar, bannière, présentation, région, note moyenne et nombre d'échanges. Les cartes que vous proposez à l'échange ou à la vente, votre wishlist et, sauf si vous la masquez dans les paramètres, votre collection (cartes du classeur comme hors classeur) sont visibles des autres membres. Un membre que vous bloquez ne les voit plus.

Vos photos sont rangées dans un espace de stockage dont les adresses ne se devinent pas, mais une photo reste consultable par toute personne qui en possède le lien. N'y mettez rien de personnel. Vos messages ne sont lisibles que par les deux participants de la conversation et, en cas de signalement, par la modération.

• Fournir le service (exécution du contrat, RGPD art. 6.1.b) : compte, profil, collection, photos, messagerie, échanges, avis, export de vos données.
• Protéger les membres et le service (intérêt légitime, art. 6.1.f) : prévention des abus et de la fraude, limites d'envoi, blocages, traitement des signalements, modération, journaux techniques.
• Améliorer le service (intérêt légitime) : ordre du fil, diagnostic des erreurs, retours bêta. Vous pouvez vous y opposer (voir « Vos droits »).
• Rattacher un compte à la personne qui vous a invité (intérêt légitime, art. 6.1.f) : lien d'invitation et parrainage. Sans ce rapprochement, le code de l'ami peut toujours être saisi à la main.
• Améliorer la reconnaissance des cartes (intérêt légitime, art. 6.1.f) : entraîner notre propre modèle avec vos photos de scan. Vous pouvez vous y opposer en un geste, dans les paramètres (voir la section suivante).
• Vous notifier et accéder à l'appareil photo (consentement, art. 6.1.a) : donné par l'autorisation de votre téléphone ou de votre navigateur, et retirable à tout moment dans ses réglages ou dans les paramètres de Swapik.
• Respecter la loi (obligation légale, art. 6.1.c) : répondre aux demandes des autorités et conserver ce que la loi impose.

Les photos de classeur que vous scannez servent d'abord à reconnaître vos cartes. Elles servent aussi à améliorer notre modèle de reconnaissance : chaque carte que vous validez ou corrigez lui apprend à mieux lire les suivantes, pour tous les membres.

• Chez nous, et nulle part ailleurs : le modèle est le nôtre et tourne sur nos serveurs. Aucune photo n'est envoyée à un service d'intelligence artificielle tiers, ni vendue, ni partagée.
• Seulement les scans : ni les photos de vos exemplaires, ni votre avatar, ni les images envoyées dans une conversation, qui restent privées.
• Base légale : notre intérêt légitime à améliorer le service (RGPD art. 6.1.f), qui ne vaut qu'avec votre droit de vous y opposer.
• Si vous supprimez votre compte : les photos de scan encore présentes sont conservées sous une forme anonymisée — une copie sous un nom tiré au hasard, sans lien avec votre compte, sans vos identifiants et sans les métadonnées de l'appareil (données EXIF, dont la position). Seule y reste, pour une carte que vous aviez validée, la référence de cette carte. Toutes vos autres photos sont supprimées.
• Durée : aussi longtemps que ces images sont utiles pour améliorer le modèle. Une fois anonymisées, elles ne peuvent plus être rattachées à vous et ne sont plus des données personnelles au sens du RGPD.

Pour vous y opposer, sans avoir à vous justifier : Profil › Paramètres › Confidentialité › désactivez « Améliorer la reconnaissance des cartes avec mes scans », ou écrivez-nous à contact@swapaws.app. Vos scans ne servent alors plus à l'entraînement à partir de ce moment, et ne sont pas conservés si vous supprimez votre compte.

Vos données ne sont ni vendues, ni louées, ni cédées. Seuls les prestataires qui font tourner Swapik les reçoivent, pour notre compte et sur nos instructions :

• Supabase

  Base de données, comptes, stockage des photos et fonctions serveur. Serveurs à Francfort (Allemagne).

• Hetzner Online

  Hébergement du site et de l'analyse des scans. Serveurs en Allemagne.

• Sentry (Functional Software)

  Rapports d'erreurs et relectures de session masquées. Données hébergées dans sa région européenne (Allemagne).

• Resend

  Envoi des e-mails liés à votre compte (code de confirmation, réinitialisation du mot de passe) : il reçoit votre adresse e-mail et le contenu de ces messages. Envoi depuis sa région européenne (Irlande).

• Apple et Google, pour les notifications

  Apple Push Notification service (iPhone), Firebase Cloud Messaging (Android) et le service de notification de votre navigateur acheminent les notifications, y compris l'aperçu d'un nouveau message.

• Apple et Google, pour la connexion

  Seulement si vous choisissez « Continuer avec Apple » ou « Continuer avec Google ».

• Google Fonts

  Les polices de caractères sont chargées depuis les serveurs de Google, qui reçoivent votre adresse IP.

• Serveurs d'images

  Les illustrations de cartes et les logos d'extensions sont chargés depuis Cloudflare (images.swapaws.app), TCGdex (assets.tcgdex.net) et Pokémon TCG API (images.pokemontcg.io), qui reçoivent votre adresse IP.

• GitHub

  Seulement si vous envoyez un retour bêta : il devient un ticket dans notre outil de suivi, privé.

Les autres membres voient ce que vous publiez (voir « Ce que voient les autres »). Les autorités peuvent obtenir des données sur demande légale.

Nos données sont hébergées dans l'Union européenne. Certains prestataires sont toutefois des sociétés américaines (Supabase, Google, Apple, Cloudflare, GitHub, Sentry, Resend) : des données peuvent donc être transférées ou rendues accessibles hors de l'UE, notamment aux États-Unis. Ces transferts sont encadrés par les garanties prévues par le RGPD : le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y adhère, ou les clauses contractuelles types de la Commission européenne.

• Compte, profil, collection, préférences : tant que votre compte existe. Un compte inutilisé pendant 3 ans est supprimé, après un e-mail de prévenance.
• Photos de scan : effacées dès que vous rangez ou annulez le lot. Si vous supprimez votre compte avant, celles qui restent sont conservées anonymisées pour améliorer la reconnaissance, sauf si vous vous y êtes opposé (voir ci-dessus).
• Autres photos (exemplaires, images de conversation) : jusqu'à ce que vous les retiriez ou supprimiez votre compte. À la suppression du compte, elles sont effacées du stockage, au plus tard sous 30 jours, sauvegardes comprises.
• Conversations, propositions, validations et avis : effacés quand l'un des deux membres concernés supprime son compte.
• Jetons de notification : jusqu'à ce qu'ils deviennent invalides (notifications coupées, application désinstallée) ou la suppression du compte.
• Activité dans le fil : détachée de votre compte à sa suppression, et conservée ensuite sous forme anonyme, à des fins statistiques.
• Signalements : ceux que vous envoyez sont effacés avec votre compte ; ceux qui vous visent sont gardés le temps de leur traitement, puis 1 an au plus.
• Rapports d'erreurs et relectures de session : 90 jours. Ce délai peut être prolongé le temps de résoudre un incident en cours d'analyse : les rapports concernés sont alors exportés, puis supprimés une fois l'incident clos. Journaux techniques : quelques jours, avec effacement automatique.
• Retours bêta : jusqu'à leur traitement, puis supprimés sur simple demande.

Exception : les éléments nécessaires à une enquête sur un contenu manifestement illicite peuvent être conservés plus longtemps, le temps exigé par la loi, pour être remis aux autorités. Une photo que vous avez choisi de partager comme photo d'un produit du catalogue y reste après votre départ, sans lien avec votre compte, sauf si vous nous demandez de la retirer.

Swapik n'utilise aucun cookie publicitaire ni traceur. Pour compter ses visites (pages vues, pays, type d'appareil), le site utilise Cloudflare Web Analytics, qui ne dépose aucun cookie, ne lit rien sur votre appareil et ne vous suit pas d'un site à l'autre ; il ne requiert donc pas votre consentement. L'application garde sur votre appareil uniquement ce qui lui est nécessaire : votre session de connexion, votre choix « Se souvenir de moi », votre thème et vos préférences d'affichage, votre wishlist et vos brouillons hors ligne, un identifiant de session temporaire pour garder l'ordre du fil stable, et l'état de la relecture de session de Sentry. Ce stockage est dispensé de consentement ; vous pouvez l'effacer à tout moment depuis les réglages de votre navigateur, ce qui vous déconnecte.

Vous pouvez à tout moment :

• accéder à vos données et en obtenir une copie ;
• les rectifier, directement dans votre profil et vos paramètres ;
• les effacer en supprimant votre compte : Profil › Paramètres › Compte › « Supprimer mon compte ». La suppression est immédiate et définitive ;
• les emporter (portabilité) : Profil › Paramètres › Mes données › « Exporter en CSV » pour votre collection et votre wishlist ; le reste sur demande ;
• vous opposer à un traitement fondé sur l'intérêt légitime, ou en demander la limitation ; pour l'amélioration de la reconnaissance, un interrupteur suffit : Profil › Paramètres › Confidentialité ;
• retirer votre consentement, en coupant les notifications ou l'accès à l'appareil photo, sans effet sur ce qui a été fait avant ;
• définir des directives sur le sort de vos données après votre décès.

Écrivez-nous à contact@swapaws.app depuis l'adresse de votre compte. Nous répondons dans un délai d'un mois. Si vous n'avez plus accès à votre compte, nous le supprimons pour vous.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, sur cnil.fr (Commission nationale de l'informatique et des libertés).

L'inscription est réservée aux personnes de 15 ans révolus, âge à partir duquel la loi française permet de consentir seul au traitement de ses données. En dessous, elle n'est possible qu'avec l'accord du titulaire de l'autorité parentale, qui peut exercer les droits ci-dessus pour le compte de l'enfant. Nos mesures contre les abus visant les mineurs sont décrites dans nos normes de sécurité des enfants.

Les échanges avec Swapik sont chiffrés (HTTPS). Les mots de passe ne sont jamais stockés en clair : ils sont hachés par le service d'authentification. Dans la base de données, des règles d'accès ligne par ligne réservent chaque donnée privée à son propriétaire, et seuls les participants d'une conversation peuvent la lire.

Cette politique suit l'application : si nous ajoutons une donnée, un usage ou un prestataire, nous la mettons à jour et changeons la date ci-dessous. Un changement important vous est signalé dans l'application.

Accès, copie, correction, effacement : une seule adresse.