Politique de confidentialité

Responsable de traitement

Le responsable du traitement de vos données personnelles est :
UITGuard — SARL à associé unique
Siège social : 12 chemin de Longuemare, 78270 Cravent, France
RCS Versailles 979 263 225 — SIRET : 979 263 225 00018
Représentée par son gérant : Tardy Christophe
Email du point de contact protection des données : contact@monecrin.com

Vous pouvez également introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, 75007 Paris — www.cnil.fr

Données collectées

Dans le cadre du fonctionnement du service Mon Écrin, nous collectons les données suivantes :

Données d'identification : nom, adresse email
Données de connexion : adresse IP, type de navigateur, pages consultées, date et heure d'accès
Données liées aux appareils : identifiant de l'appareil, modèle, espace de stockage
Métadonnées des fichiers média : nom de fichier, taille, type, date de prise de vue, checksum (les fichiers eux-mêmes sont stockés sur la destination de stockage que vous avez choisie)
Cookies : cookies de session strictement nécessaires au fonctionnement

Métadonnées et géolocalisation

Lorsque vous sauvegardez des photos, les métadonnées EXIF intégrées aux fichiers (informations techniques, date de prise de vue, et le cas échéant données de géolocalisation) sont conservées avec le fichier original. Ces métadonnées sont chiffrées au repos (AES-256-GCM) au même titre que vos fichiers. Aucune extraction, analyse ou exploitation de ces métadonnées n'est réalisée par nos soins.

Utilisation des données et bases légales

Vos données sont utilisées pour les finalités décrites ci-dessous, chacune reposant sur une base légale conforme à l'article 6 du RGPD :

Bases légales des traitements de données personnelles
Données	Finalité	Base légale (art. 6 RGPD)
Identification (nom, email)	Gestion du compte et de l'abonnement	Exécution du contrat — art. 6.1.b
Contenu de vos fichiers (photos, vidéos, documents)	Sauvegarde, stockage et restitution de vos fichiers	Exécution du contrat — art. 6.1.b
Données de connexion (IP, navigateur)	Sécurité, prévention des abus	Intérêt légitime — art. 6.1.f
Données appareils et métadonnées fichiers	Synchronisation et fonctionnement du service	Exécution du contrat — art. 6.1.b
Données de paiement (via Stripe)	Gestion de l'abonnement et facturation	Exécution du contrat — art. 6.1.b
Cookies techniques de session	Authentification et fonctionnement	Exécution du contrat — art. 6.1.b
Diagnostics de l'application (si vous les acceptez)	Amélioration du service, résolution d'erreurs	Intérêt légitime — art. 6.1.f (opt-out disponible)
État de la sauvegarde de chaque appareil (rapport réduit, envoyé à chaque cycle)	Afficher l'état de vos sauvegardes, détecter un appareil qui ne sauvegarde plus et vous en prévenir	Exécution du contrat — art. 6.1.b
Mesure d'audience du site (empreinte quotidienne pseudonymisée, sans cookie)	Statistiques agrégées de fréquentation des pages publiques du site	Intérêt légitime — art. 6.1.f (opposition possible depuis le navigateur)

Diagnostics de l'application

L'application mobile peut collecter des données de diagnostic (rapports de synchronisation, métriques de performance, rapports d'erreur) afin d'améliorer la fiabilité du service et de résoudre les erreurs. Ces rapports sont rattachés à votre compte et à votre appareil, pour que nous puissions analyser les erreurs qui vous concernent et vous assister.

Vous pouvez désactiver cette collecte à tout moment depuis les paramètres de l'application mobile, section « Confidentialité » → « Diagnostics et rapports ». Ce réglage ne coupe pas le rapport réduit à l'état de la sauvegarde décrit ci-dessous, nécessaire au service.

État de la sauvegarde de vos appareils

À chaque cycle de sauvegarde, l'application Android transmet toujours, y compris si vous avez refusé les diagnostics, un rapport réduit à l'état de la sauvegarde : l'identifiant technique de l'appareil, son modèle, la version de son système et celle de l'application ; le type de cycle, ce qui l'a déclenché et son résultat ; des compteurs de fichiers (total, restant à envoyer et leur volume, en cours d'envoi, sauvegardés, libérés de l'appareil, en erreur, exclus, refusés) ; le nombre de photos prises avec l'appareil photo au cours des 15 derniers jours que l'application ne voit pas, par exemple parce que leur dossier n'est pas sauvegardé (un seul nombre, sans nom, chemin ni contenu, afin de vous signaler des photos qui ne seraient pas protégées) ; le cas échéant, la raison technique pour laquelle la sauvegarde n'a pas eu lieu (par exemple session expirée ou sauvegarde non encore configurée) ou pour laquelle son périmètre est réduit (accès aux vidéos ou aux documents refusé). Ce rapport ne contient ni nom, ni chemin, ni contenu de fichier, ni texte libre. Il sert à afficher l'état de vos sauvegardes sur le site et dans les applications, et à repérer un appareil qui ne sauvegarde plus pour vous en prévenir.

Mesure d'audience du site

Pour connaître la fréquentation des pages publiques du site (accueil, aide, blog, pages légales…), chaque page affichée envoie une requête de mesure sans cookie : aucun cookie n'est déposé ni lu, et rien n'est enregistré sur votre appareil. La mesure d'audience n'enregistre jamais votre adresse IP ni le type de votre navigateur. Ils servent uniquement à calculer, par hachage cryptographique sous une clé secrète tirée au hasard chaque jour, deux valeurs pseudonymisées, conservées dans une mémoire temporaire et jamais dans notre base de données : un identifiant pseudonymisé de votre adresse et une empreinte de visiteur. L'identifiant d'adresse sert à un compteur de pages vues effacé au bout d'une heure au plus ; avec l'empreinte, il sert aussi à ne compter qu'une fois un même visiteur dans la journée, et tous deux sont alors effacés au plus tard une heure après la fin de la journée. La clé du jour est détruite au bout de 48 heures au plus : tant qu'elle existe, ces valeurs sont des données pseudonymisées ; ensuite, elles ne sont plus réversibles. Des copies techniques de cette mémoire temporaire peuvent subsister quelques minutes de plus. Seules des statistiques agrégées sont enregistrées en base : nombre de visiteurs et de pages vues par jour, par page et par provenance (moteur de recherche, réseau social, site référent, lien direct, campagne). Elles ne permettent pas de vous identifier et ne servent à aucun profilage. Les robots déclarés ne sont pas comptés, et l'espace client n'est pas concerné. Votre adresse IP figure par ailleurs, comme pour toute requête, dans les journaux techniques de sécurité décrits plus haut (données de connexion), avec leur propre durée de conservation.

Vous pouvez vous y opposer en activant dans votre navigateur le signal « Global Privacy Control » ou « Ne pas me pister » (Do Not Track) : aucune requête de mesure n'est alors envoyée.

Connexion avec un compte Google ou Apple

Vous pouvez créer votre compte ou vous connecter avec un compte Google ou Apple.

Avec Google, nous recevons l'identifiant de votre compte Google, votre adresse e-mail, votre nom et l'adresse de votre photo de profil, mis à jour à chaque connexion. Votre photo est affichée depuis les serveurs de Google : quand elle apparaît sur une page du site, votre navigateur la demande à Google.
Avec Apple, nous recevons un identifiant propre à Mon Écrin et votre adresse e-mail — le cas échéant une adresse masquée créée par Apple, qui vous transfère nos messages — et, à la toute première connexion seulement, votre nom.

Nous n'avons accès ni à votre mot de passe Google ou Apple, ni à vos autres données chez eux, et nous ne leur transmettons ni vos fichiers ni le contenu de votre Écrin.

Pour afficher le bouton « Se connecter avec Apple », les pages de connexion et d'inscription du site chargent un script fourni par Apple (appleid.cdn-apple.com, appleid.apple.com) ; lorsque vous choisissez « Continuer avec Google », votre navigateur est redirigé vers Google, sans script de Google sur nos pages. Google et Apple agissent alors en responsables de traitement indépendants, selon leurs propres politiques de confidentialité.

Si vous retirez à Mon Écrin l'accès à votre compte Apple, votre compte Mon Écrin et vos fichiers sont conservés ; vous pouvez y revenir par « Mot de passe oublié », avec l'adresse e-mail du compte.

Organisation de vos souvenirs par lieu (« Vos voyages »)

Si vous l'activez, la fonctionnalité « Vos voyages » regroupe automatiquement vos photos par lieu afin de reconstituer vos voyages et de vous faire revivre vos souvenirs par destination. Cette fonctionnalité est entièrement optionnelle : elle repose sur votre consentement explicite (base légale : article 6.1.a du RGPD) et reste désactivée par défaut. Elle s'appuie uniquement sur les coordonnées de géolocalisation éventuellement présentes dans vos photos. Pour préserver votre vie privée, aucune position géographique n'est lisible sur nos serveurs : les lieux sont indexés sous une forme chiffrée et anonymisée (empreinte cryptographique propre à votre compte), de sorte que nous ne pouvons jamais savoir où vos photos ont été prises. Vos données restent hébergées exclusivement en France et l'adresse de votre domicile n'est jamais enregistrée : elle est au contraire automatiquement écartée du regroupement.

Vous pouvez désactiver cette fonctionnalité à tout moment. Son retrait est sans effet sur vos photos et entraîne la suppression automatique des données de localisation qui avaient été constituées pour organiser vos voyages.

Vos voyages et les données de localisation associées sont conservés tant que la fonctionnalité reste activée, puis effacés de nos systèmes actifs lorsque vous la désactivez. Pour des raisons de sécurité, une copie chiffrée peut subsister dans nos sauvegardes pendant une durée maximale de 30 jours, avant d'être définitivement effacée lors de leur renouvellement.

Reconnaissance des visages dans vos photos (« Personnes »)

La fonctionnalité « Personnes » regroupe automatiquement les visages détectés dans vos photos afin de vous permettre de retrouver vos souvenirs par personne. Ce traitement repose sur une donnée biométrique (l'empreinte faciale) et relève à ce titre d'une catégorie particulière de données (article 9 du RGPD) : il ne s'exécute que si vous avez donné votre consentement explicite et dédié (base légale : article 9.2.a du RGPD), distinct de tout autre consentement, et reste désactivé par défaut. L'intégralité du calcul — détection des visages, calcul des empreintes, regroupement par personne — s'exécute exclusivement sur votre appareil : ni vos photos, ni les visages détectés, ni les empreintes calculées ne sont jamais transmis à nos serveurs ni à un tiers. Chaque appareil constitue un silo indépendant : vos empreintes ne sont jamais comparées à celles d'un autre utilisateur ni à une base externe. Aucune identité d'état civil n'est associée automatiquement à une personne détectée ; vous seul pouvez, si vous le souhaitez, lui attribuer un prénom purement local. Cette fonctionnalité ne sert jamais à authentifier ou déverrouiller quoi que ce soit.

Vous pouvez retirer votre consentement aussi simplement que vous l'avez donné, à tout moment, depuis les paramètres de l'application mobile. Ce retrait entraîne la suppression immédiate et complète des empreintes biométriques et des regroupements de personnes stockés sur votre appareil ; il en va de même en cas de désinstallation de l'application.

Les empreintes biométriques et les regroupements par personne sont conservés uniquement sur votre appareil, tant que la fonctionnalité reste activée. Ils sont automatiquement supprimés au retrait de votre consentement, à la désinstallation de l'application, ainsi que — de façon ciblée — lorsque la photo source correspondante est elle-même supprimée. Ces données ne transitent jamais par nos serveurs et ne font l'objet d'aucune conservation de notre part.

Cookies et technologies similaires

Mon Écrin utilise exclusivement des cookies techniques nécessaires au fonctionnement du service (gestion de session, authentification). Aucun cookie publicitaire, de tracking ou d'analyse comportementale n'est utilisé.

Vous pouvez configurer votre navigateur pour refuser les cookies, mais cela pourrait affecter le fonctionnement du service.

Sous-traitants et destinataires des données

Nous ne vendons jamais vos données personnelles. Conformément à l'article 28 du RGPD, nous faisons appel aux sous-traitants suivants pour la fourniture du service :

Liste des sous-traitants et destinataires des données
Sous-traitant	Finalité	Localisation
OVHcloud (Object Storage S3)	Hébergement des fichiers chiffrés	France : stockage principal à Gravelines, copie de sauvegarde dans un second centre de données à Strasbourg
OVHcloud (serveurs et base de données)	Hébergement des serveurs du service et de la base de données	France : Roubaix, Strasbourg et Gravelines
Stripe Payments Europe Ltd.	Traitement des paiements par carte bancaire (canal web)	Union européenne (Irlande) — données carte non transmises à UITGuard
Google Play Billing (Google Ireland Ltd.)	Traitement des paiements et abonnements pour les utilisateurs de l'application Android	Union européenne (Irlande), avec transferts possibles hors UE encadrés par les clauses contractuelles types de la Commission européenne
Google Ireland Ltd. (Google Workspace, API Gmail)	Envoi des e-mails de service (validation, notifications, factures, alertes sécurité)	Union européenne (Irlande), avec transferts possibles hors UE encadrés par les clauses contractuelles types de la Commission européenne
OVHcloud (SMS)	Envoi par SMS des codes de vérification à usage unique (numéro de téléphone et code)	France

Pour la lutte contre la fraude et le respect de leurs propres obligations réglementaires, Stripe et Google agissent en tant que responsables de traitement indépendants.

Vos données peuvent par ailleurs être communiquées sur réquisition aux autorités administratives ou judiciaires compétentes, dans les conditions prévues par la loi.

Ces sous-traitants traitent vos données dans le cadre de leurs conditions de traitement des données.

Transferts de données hors Union européenne

Vos fichiers personnels (photos, vidéos, documents) et leurs métadonnées sont stockés exclusivement en France, sur l'infrastructure OVHcloud. Aucun transfert de ces données n'a lieu hors de l'Union européenne.

Certaines données techniques (identifiants de transaction, validation des paiements in-app via Google Play Billing) peuvent transiter par des infrastructures Google situées hors UE. Ces transferts sont encadrés par les clauses contractuelles types approuvées par la Commission européenne (décision (UE) 2021/914 du 4 juin 2021), garantissant un niveau de protection équivalent à celui exigé par le RGPD.

Application mobile Android — permissions et données

L'application Android demande certaines permissions Android nécessaires à la sauvegarde automatique. Chaque permission est demandée avec une explication contextuelle et peut être refusée. Le refus de certaines permissions empêche le service de fonctionner.

Accès aux photos et vidéos (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO) : indispensable pour lire les fichiers à sauvegarder. Aucun fichier n'est envoyé sans votre consentement initial via l'écran d'onboarding.
Accès aux fichiers (documents) (MANAGE_EXTERNAL_STORAGE sur Android ≤ 12, Storage Access Framework sur Android 13+) : nécessaire pour la sauvegarde des dossiers Documents et Téléchargements lorsque vous l'activez.
Notifications (POST_NOTIFICATIONS) : afficher l'avancement des sauvegardes et alerter en cas d'erreur. Optionnel.
Service en arrière-plan (FOREGROUND_SERVICE, WAKE_LOCK, REQUEST_IGNORE_BATTERY_OPTIMIZATIONS) : permettre à la sauvegarde de fonctionner même écran éteint.

L'application ne contient aucun SDK publicitaire ni aucun traceur, et n'utilise pas Google Analytics ni d'équivalent. Ses flux réseau sortants vont vers nos serveurs et notre stockage hébergés en France, et vers Google uniquement pour la connexion avec un compte Google et le paiement via Google Play.

Comptes famille et partage entre membres

Les offres famille permettent à l'administrateur du compte d'inviter jusqu'à 10 membres à partager l'espace de stockage souscrit. Dans ce cadre :

Chaque membre dispose de son propre compte, de ses propres fichiers et de son propre historique : les photos d'un membre ne sont jamais visibles par les autres membres, sauf via un album partagé explicitement créé.
L'administrateur du compte famille a connaissance de l'identité (prénom, nom, email) des membres invités ainsi que de leur consommation de stockage agrégée (en Go), mais n'a pas accès au contenu de leurs fichiers.
Le rôle « protégé » (mineurs ou personnes dépendantes) permet à l'administrateur de gérer l'abonnement sans accès au contenu personnel du protégé.
Lorsqu'un membre quitte le groupe famille, ses données restent dans son propre compte individuel. Aucune copie n'est conservée par l'administrateur.

Mineurs

Le service n'est pas destiné aux mineurs de moins de 15 ans. Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, le consentement d'un mineur de moins de 15 ans doit être donné conjointement par le mineur et par le titulaire de l'autorité parentale.

Dans le cadre des offres famille, l'administrateur du compte (titulaire de l'autorité parentale) peut inviter un mineur via le rôle « protégé », ce qui vaut consentement parental au sens de l'article 8 du RGPD pour la création et la gestion du compte du mineur.

Si vous constatez qu'un mineur de moins de 15 ans dispose d'un compte sans le consentement conjoint requis, contactez-nous à contact@monecrin.com afin que nous procédions à la suppression du compte sans délai.

Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

Chiffrement des communications (HTTPS)
Vérification d'intégrité des fichiers (checksum SHA-256)
Contrôles d'accès stricts
Mots de passe stockés de manière sécurisée (hashage)

Durée de conservation

Données de compte (identification, préférences) : tant que votre abonnement court. À la fin de l'abonnement, votre compte est désactivé puis supprimé selon les délais indiqués ci-dessous pour vos fichiers. Aucune prospection commerciale ne vous est adressée sans votre consentement préalable (art. L34-5 du Code des postes et des communications électroniques).
Fichiers (photos, vidéos, documents) et métadonnées : tant que le compte est actif. En cas de résiliation, une archive ZIP de vos fichiers est mise à votre disposition pendant 2 mois (pour une résiliation à votre initiative, après au moins 3 mois d'abonnement payé) ; votre compte est ensuite désactivé, puis purgé définitivement 30 jours plus tard. En cas de suppression de compte, aucun export n'est envoyé : téléchargez vos fichiers avant votre demande. Votre compte est désactivé dès le traitement de la demande, puis purgé définitivement, copies de sauvegarde comprises, dans les 30 jours. Les fichiers présents sur votre téléphone ne sont pas affectés par ces purges serveur.
Corbeille (fichiers supprimés) : 1 an (365 jours par défaut, paramétrable par l'administrateur du service), après quoi les fichiers sont purgés définitivement et irrécupérables. Un e-mail d'avertissement est envoyé 30 jours avant la purge.
Données de connexion (IP, user-agent, journaux d'accès) : 3 mois au plus.
Liens de téléchargement ZIP (export RGPD) : 72 heures, puis suppression automatique du lien et du fichier ZIP temporaire.
Données de facturation (factures, transactions) : 10 ans à compter de l'émission de la facture, obligation comptable et fiscale (art. L123-22 du Code de commerce). Les données sont anonymisées en cas de suppression de compte (le nom de l'utilisateur est remplacé par un identifiant interne).
Consentements (accords, retraits, version acceptée) : pendant toute la durée d'utilisation du service, puis 5 ans après la cessation, à titre probatoire en cas de réclamation.
Diagnostics et rapports de synchronisation : 90 jours, rattachés à votre compte.
Mesure d'audience du site : identifiant pseudonymisé de l'adresse et empreinte de visiteur effacés au plus tard une heure après la fin de la journée (le compteur de pages vues par adresse, au bout d'une heure au plus) ; clé de calcul détruite sous 48 heures, après quoi ces valeurs ne sont plus réversibles. Le tout est conservé en mémoire temporaire, jamais en base de données (copies techniques de quelques minutes au plus). Les statistiques agrégées, qui ne contiennent ni adresse IP ni empreinte, sont conservées pour suivre l'évolution de la fréquentation.
Notifications de violation de données : 5 ans à compter de la notification, à titre probatoire.

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Droit d'accès (art. 15) : obtenir confirmation que vos données sont traitées, et en recevoir une copie. Accessible directement depuis votre tableau de bord et l'application mobile, section « Vie privée ».
Droit de rectification (art. 16) : corriger les données inexactes ou incomplètes (modifiable depuis votre profil).
Droit à l'effacement / droit à l'oubli (art. 17) : demander la suppression de votre compte et de toutes vos données via le bouton « Supprimer mon compte » dans les paramètres. Aucun export n'est envoyé : téléchargez vos fichiers avant votre demande (export ZIP depuis votre tableau de bord). Votre compte est désactivé dès le traitement de la demande, puis purgé définitivement, copies de sauvegarde comprises, dans les 30 jours ; cette purge est irréversible (vos fichiers présents sur votre téléphone ne sont pas affectés).
Droit à la limitation (art. 18) : restreindre le traitement de vos données (suspension de la sauvegarde automatique, désactivation des diagnostics).
Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine. L'export ZIP complet (photos, vidéos, documents) est disponible depuis votre tableau de bord, une fois par mois.
Droit d'opposition (art. 21) : vous opposer au traitement de vos données fondé sur l'intérêt légitime (diagnostics de l'application).
Droit de retirer votre consentement (art. 7) : pour les traitements fondés sur le consentement, vous pouvez le retirer à tout moment, sans que cela affecte la licéité du traitement fondé sur le consentement effectué avant ce retrait.
Droit de définir des directives post-mortem : conformément à l'article 85 de la loi Informatique et Libertés, vous pouvez nous communiquer vos directives relatives à la conservation, l'effacement et la communication de vos données après votre décès.

Comment exercer vos droits ?

Directement depuis l'application mobile ou votre tableau de bord (sections « Profil » et « Vie privée »), pour la majorité des droits ;
Par e-mail à contact@monecrin.com ;
Par courrier postal à : UITGuard, 12 chemin de Longuemare, 78270 Cravent, France.

Nous nous engageons à répondre à votre demande dans un délai d'un mois à compter de sa réception, conformément à l'article 12 du RGPD. Ce délai peut être prolongé de deux mois si la demande est complexe ou nombreuse, auquel cas nous vous en informerons.

Une preuve d'identité peut vous être demandée en cas de doute raisonnable sur votre identité (article 12.6 du RGPD).

Réclamation auprès de la CNIL — si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés : 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07 — www.cnil.fr/fr/plaintes.

Décision automatisée et profilage

Conformément à l'article 22 du RGPD, nous vous informons qu'aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative n'est prise de manière exclusivement automatisée sur la base de vos données.

Aucun profilage commercial, comportemental ou publicitaire n'est réalisé. La génération de miniatures (vignettes) à partir de vos fichiers est un traitement technique automatisé strictement nécessaire à l'affichage de la galerie : il ne constitue ni un profilage ni une décision automatisée au sens de l'article 22.

Notification en cas de violation de données

Conformément aux articles 33 et 34 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à :

Notifier la CNIL dans un délai de 72 heures suivant la prise de connaissance de la violation ;
Vous informer dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés.

La notification comprendra la nature de la violation, les conséquences probables, les mesures prises ou envisagées pour y remédier, et les recommandations pour atténuer les effets négatifs éventuels.

Nous contacter

Pour toute question relative à cette politique de confidentialité :
Email : contact@monecrin.com
Adresse : 12 chemin de Longuemare, 78270 Cravent, France