Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est Mon Chez Toit SRL (nom commercial : Trinqo), numéro de TVA BE0885913767.

Point de contact RGPD : privacy@trinqo.app. Aucun Délégué à la protection des données (DPO) formel n'est désigné, Trinqo ne remplit pas les critères d'obligation de désignation prévus à l'article 37 du RGPD.

2. Données collectées

Nous collectons les données suivantes :

• Données de compte : adresse email, nom d'affichage (facultatif)
• Données de dégustation : nom, producteur, notes, photos, évaluations
• Données de paiement : traitées exclusivement par Stripe (nous ne stockons aucun numéro de carte)
• Données techniques : adresse IP, type de navigateur, pages visitées

3. Finalités du traitement

Vos données sont utilisées pour :

• Créer et gérer votre compte utilisateur
• Enregistrer et afficher vos dégustations
• Gérer votre abonnement et vos paiements
• Vous envoyer des emails transactionnels (confirmation de paiement, notifications). Trinqo n'envoie aucun email marketing ou newsletter sans votre consentement explicite préalable
• Partage en story (9:16) : vous pouvez partager une dégustation publique sous forme d'image 9:16 sur les réseaux sociaux. L'image est générée à la demande par notre API et servie via un CDN (cache 1 an, immutable). Elle ne peut être retirée qu'en repassant la dégustation en visibilité privée (l'URL redevient alors 404)
• Améliorer le fonctionnement du service

4. Base légale

Le traitement de vos données repose sur les bases juridiques suivantes :

• Exécution du contrat (Art. 6.1.b RGPD) : gestion du compte, enregistrement des dégustations, gestion des paiements, scan d'étiquettes et conseils du sommelier virtuel fondés sur les dégustations que vous avez enregistrées.
• Consentement (Art. 6.1.a RGPD) : création du compte et acceptation des conditions générales.
• Intérêt légitime (Art. 6.1.f RGPD) : analytique produit (PostHog), monitoring des coûts IA, photos de scan invité à des fins d'amélioration de la reconnaissance.
• Obligation légale (Art. 6.1.c RGPD) : conservation des données de facturation 7 ans (obligation comptable belge).

5. Sous-traitants

Vos données sont traitées par les sous-traitants suivants :

• Supabase (Union européenne, Irlande), Hébergement base de données et authentification
• Vercel (États-Unis), Hébergement de l'application
• Stripe (Irlande), Traitement des paiements
• Brevo (France), Envoi d'emails transactionnels
• Google (États-Unis), Analyse d'images et OCR via l'API Gemini, génération d'embeddings vectoriels pour la recherche de vins similaires (modèle gemini-embedding-001)
• OpenAI (États-Unis), Analyse d'images IA (OCR/reconnaissance d'étiquettes, fallback) via l'API gpt-5.4-mini
• Anthropic (États-Unis), Analyse d'images IA (OCR fallback) via l'API Claude
• Sentry (États-Unis), Monitoring et suivi d'erreurs applicatives
• Upstash (États-Unis), Rate limiting et protection anti-abus
• PostHog (UE, Francfort), Analytique produit respectueuse de la vie privée (sans cookies, données en mémoire uniquement)
• Open Food Facts (France), Enrichissement des données vin (code-barres EAN, image, pays d'origine, degré d'alcool)
• Tavily (États-Unis), Recherche web pour l'enrichissement RAG des descriptions de vins

6. Transferts hors UE

Certains sous-traitants traitent vos données en dehors de l'Union européenne. Conformément à l'arrêt CJUE C-311/18 Schrems II et à la décision d'adéquation Data Privacy Framework (DPF) du 10 juillet 2023 (Commission européenne, Art. 45 RGPD), les garanties suivantes encadrent ces transferts : la base primaire est la décision d'adéquation DPF lorsque le sous-traitant est certifié (vérifiable sur dataprivacyframework.gov) ; les Clauses Contractuelles Types (SCC, Art. 46 RGPD) s'appliquent en mesure subsidiaire. Des mesures techniques supplémentaires sont appliquées : TLS 1.3 en transit, chiffrement des données au repos, pseudonymisation lorsque techniquement possible. Liste détaillée :

• Supabase (Union européenne, Irlande), hébergement base de données, données traitées dans l'UE (RGPD Art. 46 non applicable)
• Vercel (États-Unis), hébergement application, Data Privacy Framework (DPF)
• Stripe (États-Unis), paiement, certifié Data Privacy Framework (DPF) ; SCC en mesure subsidiaire
• Brevo (France/UE), emails transactionnels, pas de transfert hors UE
• Google (États-Unis), analyse d'images/OCR via Gemini et embeddings vectoriels (gemini-embedding-001), Data Privacy Framework (DPF) si applicable ; SCC en mesure subsidiaire
• OpenAI (États-Unis), OCR/analyse d'images fallback via gpt-5.4-mini, transfert hors UE encadré par les Clauses Contractuelles Types (SCC, Art. 46 RGPD)
• Anthropic (États-Unis), analyse d'images/OCR fallback et génération de descriptions sommelier via Claude, Data Privacy Framework (DPF) si applicable ; SCC en mesure subsidiaire
• Sentry (États-Unis), monitoring, clauses contractuelles types (SCC)
• Upstash (États-Unis), rate limiting, clauses contractuelles types (SCC)
• PostHog (UE, Francfort), analytique produit, données traitées dans l'UE (RGPD Art. 46 non applicable)
• Open Food Facts (France), enrichissement données, base de données open source, pas de transfert hors UE
• Tavily (États-Unis), recherche web pour enrichissement RAG, Data Privacy Framework (DPF)

Liste détaillée des sous-traitants et garanties disponible sur demande auprès de privacy@trinqo.app.

7. Durée de conservation

• Données de profil et dégustations : durée du compte, supprimées immédiatement à la suppression du compte
• Collections et partages : durée du compte, supprimés immédiatement à la suppression du compte
• Invitations : supprimées 90 jours après leur création si non acceptées, ou 90 jours après leur acceptation
• Relations d'amitié : durée du compte, supprimées immédiatement à la suppression du compte
• Corrections de vins soumises : durée du compte, supprimées immédiatement à la suppression du compte
• Tickets support : 2 ans après clôture du ticket, puis anonymisées (conservation des données en cas de litige ou d'audit légal)
• Notifications push (abonnements) : supprimés 1 an après leur création. Vous êtes automatiquement réabonné lors de votre prochaine visite si vous avez accepté les notifications
• Sessions (table_sessions) : 24 heures après expiration de la session. Les sessions sauvegardées par l'utilisateur sont conservées tant que le compte est actif
• Photos d'étiquettes : durée du compte, supprimées immédiatement à la suppression du compte
• Données de paiement : conservées par Stripe selon leur politique (voir stripe.com/privacy)
• Logs techniques (Sentry) : 90 jours. Aucune donnée personnelle n'est envoyée (configuration sendDefaultPii: false, pas d'email, pas d'IP, pas d'identifiant utilisateur)
• Logs d'utilisation IA (ai_usage_logs) : 90 jours (purge automatique)
• Événements de facturation (billing_events) : conservés de façon anonyme pendant 7 ans après la suppression de votre compte (obligation comptable belge, Art. 6.1.c RGPD). Après suppression du compte, votre identifiant est remplacé par NULL (aucune donnée ne peut être reliée à vous)

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données personnelles
• Rectification : corriger vos données inexactes
• Suppression : demander l'effacement de vos données
• Portabilité (Art. 20) : vous pouvez exporter vos données personnelles dans un format structuré et lisible par machine depuis les paramètres de votre compte
• Opposition : vous opposer au traitement de vos données
• Limitation : demander la limitation du traitement

Pour exercer vos droits, contactez-nous à privacy@trinqo.app. Nous répondrons dans un délai de 30 jours.

9. Cookies et analytique

Trinqo utilise uniquement des cookies strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire ou de traçage n'est utilisé. Aucun consentement n'est requis pour ces cookies conformément à la directive ePrivacy.

• Cookie de session Supabase : authentification de l'utilisateur connecté (cookie de session, strictement nécessaire, expire à la fermeture du navigateur)
• trinqo-locale : mémorisation de la langue choisie par l'utilisateur (cookie fonctionnel, strictement nécessaire, expire après 7 jours d'inactivité)

L'outil d'analytique PostHog est hébergé dans l'UE (Francfort) et configuré en mode cookieless natif (persistence: 'memory') : aucun cookie, aucun stockage local ni empreinte numérique n'est créé sur votre appareil. L'adresse IP n'est pas transmise à PostHog (ip: false). L'autocapture des clics est désactivée (autocapture: false). Aucun profil n'est créé pour les visiteurs anonymes (person_profiles: 'identified_only'). La base légale est l'intérêt légitime de Trinqo à améliorer son service (Art. 6.1.f RGPD), conformément à l'exemption analytics de la CNIL, aucun consentement n'est requis. Vous pouvez vous opposer à cette collecte depuis la page Paramètres de votre compte.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement HTTPS, authentification sécurisée, accès restreint aux données, politiques de sécurité au niveau de la base de données.

11. Réclamation

Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous pouvez introduire une réclamation auprès de l'Autorité de protection des données belge : www.autoriteprotectiondonnees.be

12. Open Food Facts

Lorsque vous utilisez la fonctionnalité de scan de code-barres, Trinqo interroge le service Open Food Facts pour enrichir la fiche produit.

• Données envoyées : code-barres EAN du produit
• Données reçues : nom du produit, marque, catégorie
• Base légale : intérêt légitime (améliorer la fiche produit)
• Conditions d'utilisation Open Food Facts : world.openfoodfacts.org/terms-of-use

13. Violation de données (Art. 33 RGPD)

En cas de violation de données à caractère personnel, Trinqo applique la procédure suivante :

• Détection : alertes Sentry en temps réel
• Notification à l'APD : dans les 72 heures suivant la détection, notification à l'Autorité de protection des données belge (www.autoriteprotectiondonnees.be)
• Information des personnes concernées : si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (Art. 34 RGPD)
• Contact : info@trinqo.app

14. Scan d'étiquette par intelligence artificielle

Lorsque vous utilisez la fonctionnalité de scan d'étiquette, Trinqo envoie la photo de l'étiquette à des services d'IA tiers pour en extraire automatiquement les informations du vin (nom, producteur, région, millésime, cépages).

• Données envoyées : photo de l'étiquette de vin
• Données reçues : informations extraites (nom du vin, producteur, région, millésime, cépages, degré d'alcool)
• Base légale : exécution du contrat (fonctionnalité principale du service)
• Conservation de la photo : le prestataire d'IA reçoit la photo en temps réel et ne la conserve PAS après traitement. Trinqo, en revanche, conserve la photo 7 jours au maximum à des fins de qualité (voir la section 20)
• Services IA utilisés : Google Gemini (principal), OpenAI gpt-5.4-mini (fallback), Anthropic Claude (fallback)
• Données personnelles dans la photo : la photo peut accidentellement contenir des éléments visuels (arrière-plan, reflets). Évitez d'inclure des éléments d'identification personnelle dans vos photos d'étiquette

15. Données d'utilisation IA

Trinqo collecte des données techniques liées à l'utilisation des fonctionnalités d'intelligence artificielle :

• Finalité : amélioration du service et monitoring des coûts opérationnels
• Base légale : intérêt légitime (Art. 6.1.f RGPD), optimisation et surveillance du service IA
• Données collectées : type de requête, modèle IA utilisé, nombre de tokens, durée de traitement
• Ce qui n'est PAS collecté : le contenu des conversations, les photos transmises, les données personnelles
• Durée de conservation : 90 jours, puis purge automatique

16. Mesure publicitaire Meta (supprimée)

Trinqo a cessé toute mesure publicitaire via la Meta Conversions API (CAPI). Plus aucune donnée (adresse IP, User-Agent, identifiants de cookie publicitaire Meta, événements de conversion) n'est transmise à Meta, et le cookie d'attribution trinqo_utm n'est plus déposé ni lu. Trinqo n'utilise aucun traceur ni aucune mesure publicitaire tiers.

17. Profil gustatif affiché sur votre page Sommelier

Jusqu'au 31 août 2026, Trinqo calculait un profil gustatif conservé dans votre compte (user_taste_profile) et l'utilisait pour personnaliser les réponses du sommelier virtuel. Ce traitement a été arrêté : plus aucun profil n'est calculé pour alimenter une recommandation, et le sommelier virtuel ne reçoit plus aucun profil déduit de votre comportement.

• Ce qui subsiste : votre page Profil sommelier affiche sept axes de goût (tannins, acidité, sucre, corps, boisé, minéralité, diversité) déduits de vos propres dégustations. Ils sont recalculés à chaque affichage de la page, ne sont jamais conservés, et ne sont visibles que de vous.
• Aucune décision automatisée : cet affichage ne déclenche rien. Il ne conditionne ni votre tarif, ni votre accès au service, ni aucune recommandation. Il n'entre donc pas dans le champ de l'Art. 22 RGPD, qui vise les décisions automatisées produisant des effets juridiques ou vous affectant de manière significative.
• Données utilisées : les notes de dégustation, appellations et commentaires que vous avez vous-même enregistrés. Aucune autre source.
• Profils calculés avant le 31 août 2026 : ils ne sont plus ni lus ni mis à jour. Ils restent supprimés immédiatement à la suppression de votre compte, et vous pouvez en demander l'accès, la copie ou l'effacement auprès de privacy@trinqo.app.
• Droit d'opposition (Art. 21 RGPD) : vous pouvez demander à tout moment que cet affichage cesse, en écrivant à privacy@trinqo.app.

18. Photos temporaires de scan sans compte (bucket try-photos-temp)

Lorsqu'un visiteur non inscrit utilise la fonctionnalité d'essai du scan d'étiquette (parcours /try), la photo capturée est déposée temporairement dans un espace de stockage dédié hébergé par Supabase (Irlande, Union européenne) afin de permettre la génération d'une image de partage au format story 9:16 (Instagram/Facebook) via notre service de rendu (Satori).

• Finalité : permettre la génération à la volée d'une image 9:16 de type story partageable sur les réseaux sociaux, sans création de compte
• Base légale : intérêt légitime (Art. 6.1.f RGPD), proposer l'essai produit et le partage viral sans obliger l'utilisateur à créer un compte
• Données stockées : photo d'étiquette de vin prise par le visiteur. Aucune donnée d'identification directe (email, nom) n'est associée à la photo
• Destinataire : Supabase (stockage interne) et le navigateur de l'utilisateur qui a demandé la génération. Aucune transmission publique
• Hébergement : Supabase, région UE, Irlande (aucun transfert hors UE)
• Durée de conservation : 1 heure maximum. La suppression est automatique via une tâche planifiée (pg_cron) qui vide le bucket après expiration
• Vos droits : compte tenu de la durée ultra-courte et de l'absence d'identifiant, l'exercice individuel des droits n'est pas applicable en pratique. En cas de demande, contactez privacy@trinqo.app

19. Chat IA sommelier sans compte (askGuestSommelier)

Le parcours d'essai /try propose un mini-chat avec le sommelier virtuel, accessible sans création de compte. Les questions du visiteur et les métadonnées du vin scanné sont transmises à l'API Google Gemini pour produire la réponse.

• Finalité : permettre au visiteur d'essayer la fonctionnalité sommelier avant inscription
• Base légale : intérêt légitime (Art. 6.1.f RGPD), démonstration produit sans collecte préalable de données de compte
• Données transmises à Google Gemini : nom du vin, producteur, appellation, millésime si disponible, et le texte de la question du visiteur. Aucune donnée personnelle du visiteur (prénom, email, identifiant) n'est envoyée, le champ « name » présent dans le prompt correspond au nom du vin, pas à celui de l'utilisateur
• Destinataire : Google Ireland Ltd. (Irlande), avec traitement possible par Google LLC (États-Unis) encadré par les clauses contractuelles types (SCC)
• Rate-limiting : pour prévenir les abus, une limite par adresse IP est appliquée en mémoire éphémère (Upstash, non journalisée au-delà de la fenêtre de comptage)
• Conservation : aucune conservation côté Trinqo des questions ou des réponses du chat. Côté Google Gemini, voir la politique Gemini API (ai.google.dev/gemini-api/terms)
• Vos droits : pour exercer vos droits ou demander des informations complémentaires, contactez privacy@trinqo.app

20. Conservation des photos de scan et consultation qualité

Que le scan d'étiquette soit fait avec un compte ou en mode invité (parcours /try), la photo capturée peut être conservée pendant 7 jours à des fins d'amélioration de la qualité de reconnaissance, et la fiche produite par l'IA peut être relue par l'équipe Trinqo pendant cette période.

• Quoi : photo d'étiquette de vin prise lors d'un scan, avec ou sans compte, et la fiche produite par l'IA à partir de cette photo
• Pourquoi : amélioration de la qualité de reconnaissance (OCR, base de vins, prix estimés). Les photos permettent d'identifier et de corriger les cas d'échec ou d'identification incorrecte
• Durée de conservation : 7 jours maximum, suppression automatique à l'issue. Cas exceptionnel : conservation jusqu'à 30 jours pour analyse qualité documentée
• Base légale : intérêt légitime (Art. 6.1.f RGPD), amélioration de la précision d'un service d'identification, conformément au principe de minimisation (Art. 5.1.c RGPD)
• Données associées : la fiche telle qu'elle vous a été rendue, c'est-à-dire le nom du vin, le producteur, le millésime, l'appellation, la région, la couleur, les cépages, le degré, les accords, la fenêtre de garde, la fourchette de prix, le score de confiance et la description sommelier. S'y ajoutent la ville GeoIP (jamais l'adresse IP complète) et, pour un scan avec compte, l'adresse e-mail associée
• Accès : équipe Trinqo uniquement, via des URLs signées à durée limitée. Bucket privé, aucun accès public. Chaque ouverture d'une fiche par un administrateur est journalisée, avec la date et le scan concerné
• Pas d'entraînement de modèle : les photos ne sont pas utilisées pour entraîner ou affiner un modèle d'IA sans votre consentement explicite
• Vos droits : vous pouvez demander la suppression de votre photo à privacy@trinqo.app. Précisez la date et l'heure approximative du scan

21. Capture PostHog des tentatives d'inscription

Lors de la soumission du formulaire d'inscription, un identifiant anonyme et des propriétés non personnelles sont envoyés à PostHog (outil d'analyse produit) avant que le compte ne soit créé côté serveur. Cette capture intervient intentionnellement avant l'appel serveur afin de permettre la détection et la relance des inscriptions perdues en cas d'incident technique (fail silencieux, erreur serveur non remontée à l'utilisateur).

• Quoi : identifiant anonyme dérivé d'un hash SHA-256 des 16 premiers caractères de l'email (non réversible), propriétés booléennes has_email et marketing_opt_in
• Ce qui n'est PAS envoyé : l'adresse email en clair, le mot de passe, le prénom, le nom, aucune donnée permettant l'identification directe
• Pourquoi : détection des inscriptions perdues lors d'incidents techniques (fail serveur silencieux) et relance commerciale ciblée en cas d'incident avéré
• Durée de conservation : 7 ans (durée par défaut PostHog), supprimable sur demande à privacy@trinqo.app
• Base légale : intérêt légitime (Art. 6.1.f RGPD), amélioration de la fiabilité du service et réduction de la perte d'utilisateurs due à des défaillances techniques
• Données associées : hash email (16 hex chars, non réversible), marketing_opt_in (booléen), has_email (booléen), horodatage
• Vos droits : vous pouvez demander la suppression de cet enregistrement à privacy@trinqo.app en précisant la date approximative de votre tentative d'inscription

22. Utilisation de l'intelligence artificielle (AI Act 2024/1689)

Trinqo utilise des modèles d'intelligence artificielle pour délivrer son service. Conformément au Règlement européen 2024/1689 (AI Act) :

• Systèmes IA utilisés : Google Gemini Vision (reconnaissance d'étiquettes et OCR principal), Anthropic Claude (génération de descriptions sommelier, recommandations et OCR fallback). Trinqo est qualifié comme déployeur d'un système IA à risque limité, soumis aux obligations de transparence (Art. 50 AI Act).
• Transparence (Art. 13 et 50 AI Act) : les descriptions sommelier générées par IA sont identifiées comme telles dans l'interface (icône d'information sous chaque description, modale d'accueil au premier scan). Vous êtes informé avant chaque interaction avec un système IA détectable.
• Correction manuelle : vous pouvez à tout moment corriger ou compléter manuellement les informations générées par IA (nom du vin, producteur, millésime, cépages, notes de dégustation).
• Instructions fournisseurs (Art. 26 AI Act) : Trinqo conserve et respecte les instructions d'usage fournies par les fournisseurs de modèles (Anthropic, Google) et n'utilise pas ces modèles en dehors de leurs conditions d'utilisation applicables.
• Absence de décision automatisée à effet juridique : aucune décision automatisée au sens de l'Art. 22 RGPD produisant des effets juridiques ou vous affectant significativement de façon similaire n'est prise sur la seule base des systèmes IA, sans possibilité d'intervention humaine.

23. Données relatives à la consommation d'alcool - mesures de précaution

Les données de dégustation collectées par Trinqo (notes, commentaires, fréquence, cépages, régions) sont collectées à des fins d'organisation et de personnalisation du service oenologique, et non à des fins de santé. Toutefois, conformément aux orientations de l'EDPB (Guidelines 03/2020 sur le traitement des données de santé), ces données peuvent, dans certains contextes, permettre d'inférer des informations relatives à l'état de santé d'une personne. Trinqo applique par précaution les mesures suivantes :

• Absence d'inférence santé : aucun algorithme de détection d'addiction, aucun score de consommation problématique, aucune analyse à des fins de santé publique ou de profilage médical.
• Absence de partage à des fins de profilage santé : les données de dégustation ne sont jamais partagées avec des assureurs, des employeurs, des organismes de santé ou des tiers commerciaux à des fins de profilage relatif à la santé.
• Suppression effective : toutes les données de dégustation sont supprimées dans un délai de 30 jours suivant la demande de suppression du compte (ou immédiatement pour les suppressions via le tableau de bord).
• Agrégation anonyme : les données statistiques issues de l'activité de dégustation sont agrégées et anonymisées avant toute utilisation analytique interne.
• Mention légale Évin : conformément à la loi française L.3323-2, toute communication publique de Trinqo intègre la mention légale : l'abus d'alcool est dangereux pour la santé, à consommer avec modération.

24. Analyse d'impact relative à la protection des données (AIPD, Art. 35 RGPD)

Une analyse d'impact relative à la protection des données (AIPD) a été réalisée conformément à l'Art. 35 RGPD, compte tenu des traitements à risque élevé identifiés dans la présente politique (scan d'étiquettes par IA, transferts vers des sous-traitants hors UE). Cette AIPD est tenue à jour et disponible sur demande motivée auprès de privacy@trinqo.app.