Politique de confidentialité

Version 2.1.2 — Applicable au 20 mai 2026 Dernière mise à jour : 20 mai 2026

---

L'essentiel en 30 secondes

• Cardonaut SAS (France) traite vos données pour gérer votre compte, vos commandes et l'expérience dans l'application mobile Cardonaut.
• Vos paiements passent par Stripe (Irlande / États-Unis, certifié EU-US Data Privacy Framework).
• Vos scans IA de cartes sont traités par Google Gemini (États-Unis, DPF) ou Anthropic Claude (États-Unis, Clauses Contractuelles Types). Vos prompts ne sont pas utilisés pour entraîner ces IA.
• Vous pouvez à tout moment accéder, rectifier ou supprimer vos données depuis l'application ou par e-mail à [email protected].
• L'application Cardonaut est réservée aux personnes ayant atteint 15 ans ou ayant le consentement de leurs parents (cf. CGV).
• Vos droits complets (RGPD) sont détaillés au § 11.

---

Préambule

La société CARDONAUT SAS (« Cardonaut », « nous ») accorde une importance fondamentale à la protection des données personnelles de ses utilisateurs (« vous »).

La présente Politique de confidentialité (la « Politique ») vous informe, conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »), de l'identité du responsable de traitement, des finalités et bases légales des traitements, des destinataires, des durées de conservation, des transferts éventuels hors UE, et de vos droits.

Elle s'applique à l'application mobile Cardonaut (iOS et Android), à l'assistant Cardo IA, au pipeline de scan IA des cartes, au service de vente de produits TCG intégré (« Boutique Cardonaut ») et à toutes les fonctionnalités associées.

---

Sommaire

1. Identité du responsable du traitement
2. Données personnelles collectées
3. Sources de collecte
4. Finalités, bases légales et durées de conservation
5. Décisions automatisées et profilage
6. Mineurs
7. Destinataires des données et sous-traitants
8. Transferts hors Union européenne
9. App Tracking Transparency (iOS) et SDK mobiles
10. Sécurité des données
11. Vos droits
12. Comment exercer vos droits
13. Réclamation auprès d'une autorité de contrôle
14. Modifications de la Politique
15. Contact

---

1. Identité du responsable du traitement

Cardonaut SAS agit en qualité de responsable du traitement au sens de l'article 4, 7° du RGPD pour l'ensemble des traitements décrits dans la présente Politique.

Cardonaut n'est pas, à ce jour, légalement tenue de désigner un Délégué à la protection des données (DPO) au sens de l'article 37 du RGPD. Toute question relative à la protection de vos données peut être adressée directement à [email protected].

---

2. Données personnelles collectées

Selon les fonctionnalités que vous utilisez, Cardonaut collecte les catégories de données suivantes :

2.1. Données d'identification et de contact

• Adresse e-mail (obligatoire — utilisée pour la connexion par OTP)
• Pseudo (choisi par vous, public dans l'app)
• Civilité, prénom, nom (uniquement pour les commandes physiques)
• Téléphone mobile (uniquement pour les commandes — livraison Mondial Relay)
• Adresse postale (uniquement pour les commandes physiques)

2.2. Données techniques

• Identifiants techniques de l'appareil (identifiant unique généré localement par l'application, modèle, système d'exploitation)
• Adresse IP (loguée pour la sécurité, anonymisée après 30 j)
• Version de l'app, langue préférée
• Token Firebase Cloud Messaging (uniquement si vous activez les notifications)

2.3. Données d'usage et de gameplay

• Cartes scannées et collectionnées
• Composition de votre collection et de vos rangements
• Historique de scans (image + métadonnées de reconnaissance)
• Conversations avec l'assistant Cardo IA
• Quêtes, événements, gains de Fragments d'Éther
• Préférences d'utilisation (favoris, filtres)

2.4. Données de transaction (Boutique Cardonaut)

• Historique de commandes (produits, prix, dates, statuts)
• Données de paiement traitées par Stripe (Cardonaut ne stocke pas votre numéro de carte)
• Numéro de suivi Mondial Relay
• Avis client (si vous en laissez)

2.5. Données d'audit (sécurité, conformité RGPD)

• Logs d'authentification (connexions OTP, échecs, IP hashée)
• Logs de mutations sur votre compte (modifications profil, commandes, suppressions)
• Logs serveur applicatifs (durée de vie courte, anonymisés)

---

3. Sources de collecte

Cardonaut collecte vos données personnelles :

• Directement auprès de vous : à la création de compte, à chaque connexion, à chaque scan de carte, à chaque commande, à chaque conversation avec Cardo IA, lors des préférences d'utilisation.
• Automatiquement : lors de votre utilisation de l'app (analytics opt-in, télémétrie technique, logs serveur).
• Indirectement :
  • Auprès de Stripe : statut de paiement, ID transaction (pas le numéro de carte).
  • Auprès de Mondial Relay : statut de livraison, numéro de suivi.
  • Auprès des App Store / Play Store : reçus d'achat in-app pour les Fragments d'Éther.

---

4. Finalités, bases légales et durées de conservation

Conformément à l'article 13.1.c et 13.2.a du RGPD, le tableau suivant détaille chaque finalité avec sa base légale et sa durée de conservation :

Principe d'opt-in pour les traitements sensibles : les analytics (Firebase) et les notifications marketing sont désactivés par défaut. Vous devez activer explicitement chaque finalité depuis les paramètres de l'application (« Paramètres » > « Confidentialité »).

4.1 Données de commande conservées après suppression du compte

Conformément à l'article L.123-22 du Code de commerce (obligation comptable de 10 ans), certaines données de commande sont conservées même après la suppression de votre compte, mais pseudonymisées :

• Pseudonymisation : votre identifiant utilisateur est remplacé par un sentinel anonyme (__deleted__).
• Effacement immédiat : nom complet, ligne d'adresse précise (rue + complément), code postal, numéro de téléphone, e-mail associés à la commande.
• Conservation (obligation comptable) : montant total, devise, liste des articles, taxes, statut, date de paiement, date de création, pays et ville (pour statistiques régionales agrégées uniquement).

Ces données pseudonymisées ne peuvent plus être reliées à votre identité après suppression du compte.

---

5. Décisions automatisées et profilage

Cardonaut utilise plusieurs traitements automatisés. Conformément à l'article 22 du RGPD :

5.1 Pipeline de scan IA des cartes

Lorsque vous scannez une carte, des modèles d'apprentissage automatique analysent l'image pour identifier la carte :

• TensorFlow Lite côté appareil (détection des contours)
• Google Gemini Flash 2.5 ou Anthropic Claude Sonnet côté serveur (OCR + reconnaissance)

Aucune décision juridique n'est prise sur la base de ces analyses ; la confirmation finale revient à vous-même (vous validez ou corrigez la carte proposée). Vous pouvez à tout moment refuser de scanner une carte.

5.2 Assistant conversationnel Cardo IA

Cardo IA utilise le modèle Claude Sonnet d'Anthropic. Le transfert de vos prompts vers les États-Unis est encadré par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914).

Important — Vos prompts ne sont pas utilisés pour entraîner les IA. Anthropic s'engage contractuellement à ne pas réutiliser les prompts de ses clients API pour l'entraînement de ses modèles (voir Anthropic Trust Center). Les conversations sont conservées pendant 24 mois côté Cardonaut puis supprimées (sauf si vous demandez une suppression anticipée).

5.3 Détection comportementale anti-abus

Pour protéger le service, des indicateurs automatisés détectent des comportements anormaux (taux de scan inhabituel, ajouts massifs de cartes, etc.). Ces indicateurs peuvent déclencher une vérification humaine ; ils ne déclenchent jamais directement une suspension de compte.

5.4 Vos droits face à ces traitements

Vous pouvez à tout moment :

• Demander une intervention humaine sur toute décision automatisée
• Exprimer votre point de vue ou contester la décision
• Demander la suppression de l'historique IA associé à votre compte

Pour exercer ces droits : [email protected]

---

6. Mineurs

L'application Cardonaut est réservée aux personnes ayant atteint l'âge de 15 ans (cf. nos Conditions générales d'utilisation). En créant un compte, vous déclarez avoir au moins 15 ans, ou avoir obtenu le consentement de l'un des titulaires de l'autorité parentale.

Cette restriction tient compte de l'article 8 du RGPD et de l'article 45 de la Loi Informatique et Libertés, qui imposent un consentement parental conjoint pour traiter les données personnelles d'un mineur de moins de 15 ans en France lorsque ce traitement repose sur le consentement (par exemple : analytics, notifications marketing).

Si vous êtes parent ou tuteur et constatez qu'un mineur de moins de 15 ans utilise l'application sans votre accord, écrivez-nous à [email protected] : nous procéderons à la suppression du compte et de l'ensemble des données associées dans un délai maximal de 30 jours, conformément à l'article 17 du RGPD.

---

7. Destinataires des données et sous-traitants

Cardonaut s'appuie sur un nombre limité de sous-traitants techniques pour fournir les Services. Chacun est lié par un contrat de sous-traitance conforme à l'article 28 du RGPD.

7.1 Catégories de destinataires

7.2 Liste à jour

La liste détaillée et actualisée des sous-traitants (avec rôle précis, données traitées, lien vers leur politique) est publiée sur la page dédiée :

👉 https://cardonaut.com/legal/subprocessors

Cardonaut s'engage à informer ses utilisateurs préalablement à toute modification substantielle de cette liste (ajout d'un nouveau sous-traitant, changement de pays d'établissement).

---

8. Transferts hors Union européenne

Certains de nos sous-traitants sont établis ou traitent des données hors de l'Union européenne (principalement aux États-Unis). Ces transferts sont encadrés par les mécanismes suivants :

8.1 EU-US Data Privacy Framework (DPF)

Le Data Privacy Framework EU-US est un mécanisme reconnu par la décision d'adéquation de la Commission européenne du 10 juillet 2023. Les sous-traitants suivants sont certifiés DPF :

• Stripe Inc. (certification)
• Google LLC (incluant Firebase Analytics, FCM, Play Store, Gemini API)
• Apple Inc.

Vous pouvez vérifier la certification active de chacun sur dataprivacyframework.gov.

8.2 Clauses Contractuelles Types (CCT)

Pour les sous-traitants américains non certifiés DPF, Cardonaut a signé les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution 2021/914 du 4 juin 2021), conformément à l'article 46.2.c du RGPD :

• Anthropic (Cardo IA)
• RevenueCat Inc. (legacy)

Les copies de ces clauses peuvent vous être communiquées sur demande à [email protected].

8.3 Évaluation post-Schrems II

Conformément à la jurisprudence Schrems II (CJUE, C-311/18 du 16 juillet 2020), Cardonaut a réalisé une évaluation des risques pour chaque transfert vers un pays tiers et a mis en œuvre des mesures supplémentaires lorsque nécessaire (chiffrement en transit et au repos, pseudonymisation des identifiants).

---

9. App Tracking Transparency (iOS) et SDK mobiles

9.1 Pourquoi ce paragraphe ?

Cardonaut n'a pas de site web public (l'ancien cardonaut.shop étant fermé). Aucun cookie n'est utilisé. En revanche, l'application mobile intègre des SDK techniques qui peuvent collecter des identifiants pseudonymes.

9.2 SDK actifs dans l'application

9.3 App Tracking Transparency (iOS 14.5+)

Sur iOS 14.5 et supérieur, Cardonaut respecte le cadre App Tracking Transparency d'Apple :

• À la première utilisation des fonctionnalités d'analytics, une demande de permission Apple s'affiche.
• Vous pouvez refuser ou autoriser le suivi.
• En cas de refus, Cardonaut n'utilise aucun identifiant publicitaire (IDFA) et désactive Firebase Analytics. Toutes les fonctionnalités essentielles de l'app restent disponibles.
• Vous pouvez modifier votre choix à tout moment depuis : iOS Réglages > Cardonaut > Suivi.

9.4 Distinction first-party vs cross-app

Cardonaut n'effectue pas de suivi cross-app : aucune donnée n'est partagée à des fins publicitaires avec des réseaux tiers (Meta, TikTok, etc.). Les analytics Firebase restent first-party, exclusivement utilisés pour améliorer les Services Cardonaut.

---

10. Sécurité des données

Cardonaut met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, l'altération, l'accès non autorisé ou la divulgation, conformément à l'article 32 du RGPD :

• Chiffrement : toutes les communications client/serveur en HTTPS/TLS 1.3 ; données sensibles chiffrées au repos
• Authentification : OTP à usage unique par email + tokens JWT signés
• Audit logs : toutes les mutations sensibles sont tracées dans un journal d'audit conservé 30 jours
• Hashage : emails hashés (SHA-256) pour les logs d'audit
• Hébergement : serveurs Hetzner en Allemagne (UE) — environnement isolé
• Backups : sauvegardes quotidiennes chiffrées
• Accès restreint : seuls les administrateurs autorisés accèdent aux données de production, via authentification renforcée basée sur le standard OpenID Connect
• Pseudonymisation : les identifiants sont systématiquement pseudonymisés dans les contextes analytiques

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, Cardonaut s'engage à notifier la CNIL dans les 72 heures (art. 33 RGPD) et à vous informer sans retard si la violation est susceptible d'engendrer un risque élevé pour vos droits (art. 34 RGPD).

---

11. Vos droits

Conformément aux articles 15 à 22 et 77 du RGPD, si vous résidez dans l'Union européenne, l'EEE ou le Royaume-Uni, vous disposez des droits suivants :

Pour les utilisateurs résidant hors UE/EEE/Royaume-Uni, les droits applicables sont ceux prévus par votre législation locale ; Cardonaut s'engage à traiter votre demande de bonne foi.

---

12. Comment exercer vos droits

12.1 Depuis l'application

Vous pouvez :

• Modifier votre profil : Paramètres > Mon compte
• Modifier vos consentements (analytics, push, ATT) : Paramètres > Confidentialité
• Télécharger vos données : Paramètres > Confidentialité > Exporter mes données (format JSON)
• Supprimer votre compte : Paramètres > Mon compte > Supprimer mon compte

12.2 Par e-mail

Pour toute autre demande (limitation, opposition, portabilité avancée, contestation d'une décision automatisée), écrivez à :

📧 [email protected]

Précisez l'objet de votre demande et joignez si possible une preuve d'identité (par ex. capture de votre profil app). Cardonaut s'engage à vous répondre dans un délai maximal de un (1) mois à compter de la réception (art. 12.3 RGPD), prorogeable de deux mois en cas de demande complexe (vous serez informé du délai prorogé sous un mois).

12.3 Gratuité

L'exercice de vos droits est gratuit. Cardonaut peut toutefois refuser ou facturer les demandes manifestement infondées ou excessives, notamment en cas de répétition (art. 12.5 RGPD).

---

13. Réclamation auprès d'une autorité de contrôle

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente.

En France

Commission Nationale de l'Informatique et des Libertés (CNIL) 3 place de Fontenoy TSA 80715 75334 Paris CEDEX 07 Téléphone : 01 53 73 22 22 Site : www.cnil.fr Plainte en ligne : cnil.fr/fr/plaintes

Autres pays UE

Vous pouvez saisir l'autorité de contrôle de votre pays de résidence. La liste complète est disponible sur le site du Comité européen de la protection des données : edpb.europa.eu.

---

14. Modifications de la Politique

Cardonaut peut être amenée à modifier la présente Politique pour tenir compte d'évolutions légales, techniques ou commerciales.

En cas de modification substantielle (ajout d'une nouvelle finalité, nouveau sous-traitant majeur, changement de durée de conservation), vous serez informé :

• Par notification dans l'application au moins 30 jours avant l'entrée en vigueur
• Par e-mail si vous avez activé les notifications par e-mail

Vous pourrez à tout moment retirer votre consentement aux nouveaux traitements ou supprimer votre compte.

Les versions antérieures de la Politique sont conservées et disponibles sur demande à [email protected], notamment pour permettre la consultation de la version qui s'appliquait au moment de la création de votre compte.

---

15. Contact

Pour toute question relative à la présente Politique ou au traitement de vos données personnelles :

📧 E-mail : [email protected] 📮 Adresse postale : CARDONAUT SAS — 61 Avenue de Toulouse, 31750 Escalquens, France

---

Documents associés :

• Conditions générales de vente et d'utilisation
• Politique de remboursement
• Politique d'expédition
• Mentions légales
• Liste des sous-traitants