Politique de confidentialité

Responsable du traitement

tap & type UG (haftungsbeschränkt), Pestalozzistr. 14, 14943 Luckenwalde, Allemagne, courriel : kontakt@waffenschrank.app (voir les mentions légales).

Personne responsable de la protection des renseignements personnels (Canada, y compris le Québec) : Stefan Ritschel, gérant de tap & type UG (haftungsbeschränkt), kontakt@waffenschrank.app.

Principe de base : vos données restent chez vous

Waffenschrank est une application conçue pour fonctionner en local : tous les contenus (armes, munitions, entraînement, documents, photos) sont enregistrés sur votre appareil, et dans l’application Web, dans la mémoire de votre navigateur, que celui-ci peut vider de lui-même dans certains cas (voir « Combien de temps nous conservons les données »). Ils n’arrivent sur un serveur que si vous configurez vous-même une sauvegarde, la synchronisation entre appareils, une vitrine ou une page de club; ce qui va où est décrit dans les sections ci-dessous. Il n’y a aucune obligation de créer un compte, aucun pistage, aucune publicité et aucun module d’analyse; nous n’analysons pas la façon dont vous utilisez l’application. Les chiffres agrégés qu’Apple et Google nous montrent sont décrits dans « Ce que nous recevons de l’App Store et de Google Play ». La reconnaissance de texte (OCR), le détourage de photos et l’analyse des cibles s’exécutent sur l’appareil — les photos ne le quittent donc pas. Seule l’application Web télécharge, lors de la première utilisation, le modèle de reconnaissance et le moteur de calcul de la reconnaissance de texte depuis notre propre serveur (web.waffenschrank.app), et non depuis un hébergeur tiers; l’image elle-même y est également analysée dans le navigateur et n’est pas téléversée. Si vous inscrivez, pour une acquisition ou une cession, le nom, l’adresse et la date de naissance de l’autre partie, il s’agit des données d’une autre personne : elles restent elles aussi sur votre appareil et ne vont jamais dans une vitrine; elles ne vont dans la sauvegarde iCloud, la sauvegarde Drive, la sauvegarde de compte et la synchronisation entre appareils que chiffrées. Si vous exportez vous-même un fichier de sauvegarde sans mot de passe (l’application vous en avertit), un PDF contenant ces données ou un fichier CSV du registre américain, le fichier n’est pas chiffré.

Le chronomètre de tir utilise le microphone exclusivement pour reconnaître les coups sous forme d’impulsions sonores. L’analyse s’effectue en temps réel sur l’appareil; l’audio n’est à aucun moment enregistré, sauvegardé ou transmis — seuls les instants reconnus (des valeurs numériques) sont enregistrés. L’accès au microphone n’est actif que pendant que le chronomètre fonctionne.

Le coach d’entraînement calcule entièrement en local, à partir de vos entrées, les conseils qu’il formule. Sur les appareils dotés d’une IA embarquée propre au système (Apple Intelligence ou Gemini Nano), il peut en plus faire rédiger un court résumé — cela aussi se produit exclusivement sur l’appareil. Ce résumé n’intègre que des indicateurs agrégés, jamais de données sur les armes, les lieux ou les personnes, et rien de tout cela ne quitte l’appareil ni n’est enregistré.

Conseils sur Pro : après certaines étapes – par exemple votre première sauvegarde, une échéance terminée ou votre dixième séance d’entraînement –, l’application affiche une seule fois, dans l’aperçu, une carte sur une fonction Pro adaptée. Elle décide seule, sur votre appareil et à partir de vos entrées, si et quand elle le fait; pour cela, elle y mémorise quels conseils elle a affichés et quand, ainsi que l’état qu’elle a trouvé au premier lancement de la version 3.5. Si la page Pro vous a proposé un essai gratuit, l’application mémorise en outre sa durée, son prix et sa devise avec l’heure, afin de le mentionner aussi sous « Plus » pendant sept jours au plus. Rien de tout cela ne quitte l’appareil; nous ne savons pas si ou quand vous voyez un conseil. Vous pouvez désactiver les conseils dans « Mon profil », sous « Conseils sur les fonctions Pro ». Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à faire connaître nos propres fonctions; l’interrupteur vaut aussi opposition de votre part au sens de l’art. 21, par. 2, du RGPD); pour l’enregistrement sur l’appareil, § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays (voir « Principe de base »).

Les données de contenu de l’application — la base de données (dossier « SQLite »), les photos (dossier « photos ») et les documents (dossier « documents ») — sont exclues de la sauvegarde d’appareil iOS. Elles ne sont donc pas sauvegardées automatiquement avec la sauvegarde de l’appareil ou d’iCloud. Sur Android, la sauvegarde système pour l’application est entièrement désactivée; là non plus, aucun contenu ne migre automatiquement vers une sauvegarde Google. Des résidus techniques (p. ex. les réglages de l’application dans la mémoire système et, sur iPhone et iPad jusqu’au prochain démarrage, le message d’erreur d’un plantage au démarrage, voir « Ce qui se passe au démarrage — même sans compte ») peuvent tout de même aboutir dans la sauvegarde de l’appareil; les données sur les armes, les munitions et l’entraînement n’en font pas partie. Une sauvegarde de vos contenus n’est créée que si vous la configurez vous-même : sauvegarde iCloud, sauvegarde Google Drive (Android), sauvegarde/synchronisation de compte ou exportation manuelle. Sans l’une de ces sauvegardes, les données sont perdues en cas de perte ou de panne de l’appareil.

Waffenschrank ne s’adresse pas aux enfants; les comptes, les vitrines et les pages de club sont destinés aux adultes de 18 ans et plus.

« Do Not Track » : nous ne recueillons pas de renseignements personnels sur vos activités en ligne au fil du temps ni d’un site ou service tiers à l’autre, et aucun tiers ne le fait par l’intermédiaire de notre application ou de notre site. Les signaux « Do Not Track » du navigateur et Global Privacy Control n’y changent donc rien – il n’y a aucun pistage à désactiver.

Stockage ou lecture sur votre appareil : lorsque cette déclaration invoque à cet égard le § 25, al. 2, n° 2, de la loi allemande TDDDG, il s’agit d’accès strictement nécessaires à la fourniture d’un service que vous avez expressément demandé; ces accès ne requièrent pas de consentement (art. 5, par. 3, deuxième phrase, de la directive 2002/58/CE). Hors d’Allemagne, c’est la disposition correspondante de votre pays qui s’applique : en Autriche, le § 165 Abs. 3 TKG 2021; en France, l’art. 82 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés); en Italie, l’art. 122 du Codice in materia di protezione dei dati personali; en Espagne, l’art. 22.2, troisième alinéa, de la LSSI; au Danemark, le § 4, al. 1, n° 2, de l’arrêté sur les cookies (cookiebekendtgørelsen, BEK n° 1148 du 9 décembre 2011); en Pologne, l’art. 399 de la loi sur les communications électroniques (Prawo komunikacji elektronicznej); en Tchéquie, le § 89 odst. 3 zákona č. 127/2005 Sb.; en Finlande, le § 205 de la loi sur les services de communications électroniques (917/2014); aux Pays-Bas, l’art. 11.7a lid 3 onder b Telecommunicatiewet; en Belgique, l’art. 10/2, al. 2, de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel; en Suède, 9 kap. 28 § andra stycket 2 lagen (2022:482) om elektronisk kommunikation; en Slovaquie, le § 109 ods. 8 zákona č. 452/2021 Z. z.; en Irlande, Reg. 5(5) S.I. No. 336/2011; au Luxembourg, l’art. 4, paragraphe 3, lettre e), de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques; en Estonie et en Lituanie, la disposition qui y transpose cette directive; en Norvège, le § 3-15, al. 2, point b, de l’ekomloven. En Hongrie, le § 155 alinéa 4 Eht. (2003. évi C. törvény az elektronikus hírközlésről) n’autorise le stockage et la lecture sur votre appareil que moyennant une information préalable et votre consentement; il ne reprend pas l’exception de la directive, bien qu’il transpose la directive. Nous l’interprétons comme la directive et ne demandons donc pas non plus en Hongrie votre consentement pour ces accès; selon sa seule lettre, ces accès aussi en exigeraient un.

Ce qui se passe au démarrage — même sans compte

L’application n’est pas totalement hors ligne. Sur iPhone, iPad et Android, elle interroge au démarrage notre propre service de diffusion (updates.waffenschrank.app, hébergé par notre prestataire Cloudflare, Inc. — sous-traitant, clauses contractuelles types de l’UE) pour savoir si une mise à jour du programme est disponible. Sont alors nécessairement transmis votre adresse IP, l’identifiant du projet et de la mise à jour, le canal de diffusion, la version du moteur d’exécution ainsi que la plateforme et la version du système d’exploitation. La bibliothèque de mise à jour ajoute d’office deux autres informations : un identifiant d’installation persistant, généré au premier démarrage et conservé sur l’appareil et, après un plantage, une seule fois le message d’erreur correspondant (jusqu’à 1024 caractères), qui est alors supprimé de l’appareil. À partir de la version 2.2.1, l’application remplace l’un et l’autre par des valeurs fixes, identiques sur tous les appareils, de sorte qu’aucune de ces deux informations ne quitte l’appareil; les versions antérieures à la 2.2.1 les transmettent encore. Notre service de mise à jour n’a besoin ni de l’une ni de l’autre, ne les analyse pas et ne les conserve pas. Les versions de l’application antérieures à la 1.3 adressent cette requête à Expo plutôt qu’à notre service de diffusion (650 Industries, Inc., États-Unis — le transfert repose sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis, au titre duquel Expo est certifiée) et transmettent aussi l’identifiant d’installation. Le contenu de votre collection n’y figure pas. Base juridique : art. 6, par. 1, point f), du RGPD (diffusion de correctifs); dans la mesure où l’application lit à cette fin sur votre appareil des informations nécessaires, comme l’identifiant de la mise à jour installée, § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays (voir « Principe de base »).

Quelques secondes après le démarrage, sur iPhone, iPad et Android, l’application interroge en outre kataloge.waffenschrank.app (également par l’intermédiaire de Cloudflare, Inc. — sous-traitant, clauses contractuelles types de l’UE) pour savoir s’il existe une version plus récente des catalogues d’armes, d’accessoires et de munitions, et la télécharge le cas échéant. Sont alors nécessairement transmis votre adresse IP et les renseignements que le système d’exploitation joint à toute requête (par exemple la version de l’application et du système); un identifiant de votre installation et le contenu de votre collection n’en font pas partie. Un code-barres scanné n’est comparé par l’application qu’avec la version présente sur l’appareil. Base juridique : art. 6, par. 1, point f), du RGPD (catalogues à jour sans nouvelle version de l’application).

Sur iPhone, iPad et Android, le système de traitement des achats ne se manifeste au démarrage que si un achat a déjà été commencé, un code utilisé ou un déblocage Pro reconnu via la boutique sur cet appareil, ou — à partir de la version 2.2.1 — si un achat Pro de votre compte figure dans la boutique de votre appareil (l’application le vérifie sur place, sans rien envoyer elle-même). Il vérifie alors si Pro est toujours valable — en règle générale au plus toutes les douze heures, plus souvent tant qu’un achat n’est pas finalisé ou après l’expiration d’un abonnement (voir « Achats »). Si vous n’avez jamais rien acheté, il ne se manifeste que lorsque vous ouvrez la page Pro. L’application n’établit d’autres connexions que lorsque vous configurez ou déclenchez vous-même la fonction concernée : compte, sauvegarde, vitrine, formulaire de contact et remplissage à partir de liens marchands. Certaines d’entre elles se poursuivent ensuite d’elles-mêmes — la sauvegarde automatique, le rafraîchissement mensuel d’une vitrine et, lorsque Pro prend fin ou revient, la mise en pause des vitrines supplémentaires ou leur nouvel envoi au serveur.

Ceci vaut pour l’application à partir de la version 2.2. Les versions antérieures contactent le service d’achats (RevenueCat) à chaque démarrage pour vérifier le statut Pro.

Autorisations de l’appareil

L’application ne demande une autorisation que lorsque vous utilisez la fonction correspondante : appareil photo et photothèque (photos d’armes, de documents et de pièces justificatives, lecture de codes-barres et de texte), microphone (chronomètre de tir), NFC (lecture des puces sur les coffres et les mallettes), Face ID ou empreinte digitale (verrouillage de l’application et accès à la clé de récupération), notifications (rappels) et, sur iPhone et iPad, le calendrier (uniquement pour ajouter des événements, lorsque vous ajoutez plusieurs échéances à la fois; l’application ne peut pas lire votre calendrier). Ce qui en résulte reste sur l’appareil. Ce que vous ajoutez à votre calendrier s’y trouve ensuite – et, si votre calendrier se synchronise avec un service en ligne, également auprès de ce service.

Reconnaissance de texte, codes-barres et coach sur Android (Google ML Kit)

Sur Android, la reconnaissance de texte, la lecture des codes-barres, le détourage des photos et la numérisation de documents sont assurés par des bibliothèques de Google (ML Kit); le résumé du coach d’entraînement est rédigé par Gemini Nano au moyen du service système AICore. L’image, le texte reconnu, le contenu du code-barres et les données fournies au coach sont traités sur l’appareil. De lui-même, ML Kit enverrait, dès la première utilisation de l’une de ces fonctions, des données de diagnostic et d’utilisation à Google LLC (États-Unis) (firebaselogging.googleapis.com) : un identifiant permanent de l’installation, le nom du paquet et la version de la bibliothèque, le réglage de langue, le modèle et le fabricant de l’appareil, la version d’Android, le pays, le réseau mobile, le type de réseau et le fuseau horaire. Nous avons désactivé cette voie de transmission dans l’application : les événements ne sont ni enregistrés ni envoyés. Le détourage des photos et la numérisation de documents s’exécutent dans les services Google Play de votre appareil, un composant système de Google; ce qu’ils transmettent eux-mêmes à Google relève des conditions de Google et échappe à cette désactivation. ML Kit n’est pas inclus sur iPhone et iPad.

Rappels, widgets et raccourcis

Les rappels — délais, entretien, entraînements, compétitions et rendez-vous personnels, fin d’une période d’essai de Pro et reconduction d’un abonnement annuel ou trimestriel Pro — sont planifiés et affichés par l’appareil lui-même (notifications locales). Il n’existe pas de service de notifications poussées (push); aucun serveur ne sait de quoi l’application vous avertit. Le courriel envoyé avant la reconduction d’un abonnement annuel ou trimestriel passe par un canal distinct (voir « Rappel avant la reconduction »).

Pour les widgets, les activités en direct, les raccourcis et Siri, l’application dépose sur iPhone et iPad les renseignements nécessaires dans une zone partagée de l’appareil (groupe d’applications) : le nombre de vos armes, de vos types de munition bientôt épuisés et de vos entraînements des douze derniers mois; la marque, le modèle et le calibre de chaque arme; le nom, le calibre et le stock de chaque type de munition ainsi que le stock par calibre; l’intitulé, la date et le type de vos échéances en cours, avec l’arme à laquelle elles se rapportent; l’indicateur de besoin, la langue de l’application et des identifiants internes qui lui permettent de retrouver ces entrées. Les numéros de série, les lieux de conservation et les numéros de vos autorisations n’en font pas partie. Si vous cochez une échéance dans le widget sur iPhone ou iPad, cette demande reste dans le groupe d’applications jusqu’à ce que l’application l’exécute à sa prochaine ouverture. Pour le widget des échéances sur Android, l’application enregistre l’intitulé et la date de vos échéances en cours dans son propre stockage. Si le verrouillage de l’application est actif, elle n’y enregistre que des compteurs neutres, sans nom. L’application n’envoie rien depuis ces zones, et elles sont exclues de la sauvegarde de l’appareil. Si vous partagez une photo ou un PDF avec Waffenschrank depuis une autre application sur iPhone ou iPad, l’extension de partage dépose aussi le fichier à cet endroit, jusqu’à la prochaine ouverture de l’application; celle-ci le reprend alors dans son propre espace de stockage. Jusque-là, il est exclu de la sauvegarde de l’appareil dans le groupe d’applications, à condition que vous ayez déjà ouvert l’application une fois depuis l’installation. L’extension n’affiche rien de votre collection. Les widgets de l’écran d’accueil affichent leur contenu sans demander le verrouillage de l’application; sur l’écran verrouillé et en mode En veille, iOS le masque tant que l’appareil est verrouillé. Une activité en direct y affiche l’intitulé, le chronomètre et les compteurs de votre journée d’entraînement. Si vous utilisez des fonctions d’Apple qui affichent des widgets ou des activités en direct sur d’autres appareils (par exemple Mac, Apple Watch ou CarPlay), Apple y transfère l’affichage. Si vous créez un raccourci avec une arme, un type de munition ou une échéance, l’app Raccourcis enregistre son nom dans le raccourci et le synchronise via iCloud si la synchronisation iCloud des raccourcis est activée. Siri n’indique échéances et stocks que lorsque l’appareil est déverrouillé. Ce que vous dites à Siri est traité par Apple sous sa propre responsabilité, selon ses informations sur la confidentialité; l’application formule ses réponses sur l’appareil et les transmet à Siri pour qu’il les restitue. La transmission éventuelle de contenus à Apple par Siri dépend de votre appareil et de vos réglages Siri.

Recherche Spotlight (facultatif, iOS seulement)

Si vous activez la recherche système sous Plus → Sécurité, iOS mémorise le fabricant, le modèle et le calibre de vos armes pour la recherche Spotlight de l’appareil — même sans ouvrir l’application et en dehors du verrouillage de l’application. Ce réglage est désactivé par défaut. Si vous le désactivez à nouveau ou si vous activez le verrouillage de l’application, l’index système est vidé et n’est plus alimenté. Base juridique : art. 6, par. 1, point a), du RGPD (consentement par l’activation).

Sauvegarde iCloud (facultative, sans compte)

Si vous activez la sauvegarde iCloud, l’application dépose des fichiers de sauvegarde chiffrés dans le conteneur iCloud Drive de votre identifiant Apple (dossier « Waffenschrank »). Sont sauvegardées la base de données ainsi que vos photos et les documents téléversés; les fichiers sont alors chiffrés individuellement à côté de la sauvegarde. Le chiffrement (AES-256-GCM) s’effectue sur l’appareil; la clé est une valeur aléatoire, conservée exclusivement dans votre trousseau iCloud et synchronisée entre vos appareils. Apple, en tant que fournisseur de votre compte iCloud, est responsable de la conservation; nous ne recevons aucune donnée à ce titre et n’avons aucun accès aux fichiers ni à la clé. Dans ce dossier, l’application fait le ménage dans les anciennes sauvegardes selon la même règle que pour celles du compte (voir « Compte facultatif, sauvegarde infonuagique et synchronisation »). Si vous reconfigurez la sauvegarde iCloud, l’application supprime, à votre demande, toutes les sauvegardes et tous les fichiers de ce dossier et crée une nouvelle clé; les données de votre appareil restent inchangées. Base juridique : art. 6, par. 1, point a), du RGPD (consentement par l’activation). Sur iPhone et iPad, l’application vérifie en outre au premier lancement si ce dossier contient déjà une sauvegarde liée à votre identifiant Apple – par exemple après une réinstallation –, même si vous n’avez pas encore activé la sauvegarde iCloud sur cet appareil; iOS synchronise pour cela le dossier avec iCloud comme d’habitude et télécharge déjà sur l’appareil les fichiers de sauvegarde chiffrés, afin que la restauration n’ait pas à attendre par la suite. Si elle en trouve, elle vous indique pour chacune la date et la taille et – si la clé se trouve déjà sur l’appareil – le nombre d’entrées. Ce nombre figure chiffré dans le nom du fichier; pour le lire, l’application n’utilise la clé que pour cette indication et n’ouvre pas la sauvegarde à cette fin. La dernière sauvegarde complète est proposée, pas nécessairement la plus récente. Une sauvegarde n’est déchiffrée et restaurée qu’après votre confirmation, et nous ne recevons aucune donnée à ce titre. Base juridique de cette vérification : art. 6, par. 1, point f), du RGPD (vous permettre de récupérer votre sauvegarde après une réinstallation), et pour l’accès à votre appareil, § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays (voir « Principe de base »).

Sauvegarde Google Drive sur Android (facultative, sans compte)

Si vous activez la sauvegarde sur Android, l’application dépose des fichiers de sauvegarde chiffrés dans le dossier privé de l’application (« appDataFolder ») de votre Google Drive. Ce dossier est réservé à l’application; ni les autres applications ni l’interface de Drive n’y accèdent. Sont sauvegardées la base de données ainsi que vos photos et les documents téléversés; les fichiers sont alors chiffrés individuellement à côté de la sauvegarde. Le chiffrement (AES-256-GCM) s’effectue sur l’appareil; la clé est une valeur aléatoire conservée via Google Block Store — chiffrée de bout en bout et donc illisible pour Google, à condition que votre appareil dispose d’un verrouillage d’écran. Si l’appareil ne signale pas de chiffrement de bout en bout, la clé reste exclusivement locale; seul votre code de récupération permet alors de retrouver la sauvegarde. Google, en tant que fournisseur de votre compte Google, est responsable de la conservation; nous ne recevons aucune donnée à ce titre et n’avons aucun accès aux fichiers ni à la clé. L’accès se limite à l’autorisation « drive.appdata »; l’application ne peut pas accéder au reste du contenu de votre Drive. Dans ce dossier, l’application fait le ménage dans les anciennes sauvegardes selon la même règle que pour celles du compte (voir « Compte facultatif, sauvegarde infonuagique et synchronisation »). Si vous reconfigurez la sauvegarde, l’application supprime, à votre demande, toutes les sauvegardes et tous les fichiers de ce dossier et crée une nouvelle clé; les données de votre appareil restent inchangées. Base juridique : art. 6, par. 1, point a), du RGPD (consentement par l’activation).

Compte facultatif, sauvegarde infonuagique et synchronisation

Un compte est facultatif. Vous pouvez vous connecter avec une adresse courriel et un mot de passe, avec un code à usage unique envoyé par courriel, avec « Se connecter avec Apple » ou avec votre compte Google. Avec « Se connecter avec Apple », Apple nous transmet un identifiant et votre adresse courriel (ou, si vous la masquez, une adresse de relais privée d’Apple); l’application ne demande pas votre nom. Pour pouvoir révoquer ce lien chez Apple lors de la suppression de votre compte, comme Apple l’exige, le serveur conserve un jeton de révocation émis par Apple; il est utilisé puis supprimé à la suppression du compte. Avec Google, nous recevons un identifiant et votre adresse courriel; Google transmet aussi votre nom et votre photo de profil, que notre serveur écarte lors de l’enregistrement. Le fournisseur concerné est responsable du processus de connexion qui lui est propre.

Envoi des courriels liés au compte : les courriels concernant votre compte – confirmation de l’inscription, codes de connexion et de confirmation, confirmation d’une nouvelle adresse courriel et avis de sécurité, par exemple après un changement de mot de passe – sont générés par le service de connexion de Supabase et envoyés par l’intermédiaire du service d’envoi Resend (Plus Five Five, Inc., États-Unis — sous-traitant). Resend reçoit à cette fin votre adresse courriel et le message lui-même, avec le code ou le lien, et consigne la date d’envoi ainsi que l’acceptation ou le refus du message par le serveur de messagerie destinataire. Les messages sont expédiés depuis la région UE d’Irlande (eu-west-1); selon Resend, les messages et les journaux de remise sont toutefois stockés aux États-Unis. Ce transfert repose sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis, au titre duquel Resend est certifiée; notre contrat avec Resend contient en outre les clauses contractuelles types de l’UE. Selon ses propres indications, Resend supprime les messages et les journaux de remise après 30 jours; ils subsistent jusqu’à sept jours de plus dans les sauvegardes de Resend. Nous n’avons pas activé le suivi de l’ouverture des messages ni des clics sur les liens qu’ils contiennent. Si votre boîte de réception rejette définitivement un message ou si vous le signalez comme indésirable, Resend inscrit votre adresse sur la liste de suppression de notre compte d’envoi afin qu’aucun autre message n’y soit envoyé; elle y reste jusqu’à ce que nous la retirions – à tout moment, sur simple demande de votre part. Conformément à son contrat avec nous, Resend utilise également, sous sa propre responsabilité, des données sur l’utilisation de son service, comme l’expéditeur, le destinataire et les journaux de remise, afin de détecter les abus et d’exploiter son service; la politique de confidentialité de Resend s’applique à ce traitement. Base juridique : art. 6, par. 1, point b), du RGPD (fourniture du compte); pour la liste de suppression, art. 6, par. 1, point f), du RGPD (notre intérêt à remettre de manière fiable les courriels liés au compte).

Double authentification (facultative) : si vous l’activez, le service de connexion de Supabase conserve, pour chaque authentificateur, la clé secrète dont sont issus les codes (elle est nécessaire pour les vérifier), le nom que vous lui donnez, la date de sa configuration et de sa dernière utilisation ainsi que, pour chaque vérification de code, l’heure et l’adresse IP — au plus jusqu’à ce que vous retiriez l’authentificateur ou supprimiez votre compte. De vos codes de récupération, nous ne conservons pas le code lui-même, mais seulement une empreinte (hachage) et la date de son utilisation; ils sont supprimés lorsque vous en générez de nouveaux ou supprimez votre compte, et ne sont plus valides dès que vous désactivez la double authentification. Nous consignons, par compte, les tentatives d’utilisation — réussies comme échouées — pour la protection contre les abus et les supprimons après un peu plus d’une journée. Base juridique : art. 6, par. 1, point b), du RGPD (fourniture du compte).

Les sauvegardes infonuagiques et la synchronisation entre appareils sont chiffrées de bout en bout (AES-256-GCM; dérivation de la clé à partir de votre mot de passe de protection sur l’appareil, PBKDF2 à 600 000 itérations). Nous ne pouvons pas déchiffrer ces contenus (zéro connaissance, « zero-knowledge »). Cela vaut tant que votre mot de passe de protection est robuste et différent du mot de passe de votre compte, car le mot de passe du compte est transmis au serveur à chaque connexion, le mot de passe de protection jamais.

En clair, le serveur ne voit que l’enveloppe : votre adresse courriel et la langue des courriels liés à votre compte (elle suit celle de l’application), l’heure et la taille des fichiers de sauvegarde, le nombre et la taille des fichiers chiffrés de photos et de documents et — pour la synchronisation — 64 compartiments chiffrés entre lesquels l’application répartit vos entrées selon une clé que seuls vos appareils connaissent : leur taille, arrondie vers le haut par grands paliers, la fréquence et l’ordre de leurs modifications, et les sessions connectées à votre compte qui prennent en charge cette forme de synchronisation. On peut en déduire approximativement la taille globale de votre inventaire et le moment où vous synchronisez, mais pas les sections qu’il comprend, le nombre d’entrées ni ce qu’elles contiennent. Tant qu’un appareil ou un navigateur connecté à votre compte utilise encore une version de l’application antérieure à la 2.3, l’application synchronise en plus sous l’ancienne forme : le serveur voit alors, pour chaque enregistrement, à quelle table et à quel identifiant de ligne il appartient, quand il a été modifié et envoyé pour la dernière fois, ainsi que l’identifiant de l’appareil dont il provient — et donc combien d’entrées vous tenez dans quelle section. Dès que tous les appareils connectés utilisent la version 2.3 ou une version ultérieure, l’application supprime ces données du serveur; si un appareil doté d’une version plus ancienne se reconnecte, elle les recrée. Les entrées supprimées subsistent sous forme de marque de suppression chiffrée, de même que les fichiers chiffrés des photos supprimées — les deux jusqu’à ce que vous supprimiez le compte ou réinitialisiez les données infonuagiques. S’y ajoute ce que le service de connexion de Supabase consigne lui-même : la date de votre dernière connexion; pour chaque appareil connecté, l’adresse IP et l’identifiant du navigateur ou de l’application, tant que la session y dure — elle prend fin lorsque vous vous déconnectez ou supprimez le compte, mais au plus tard 30 jours après la connexion ou après 14 jours sans utilisation (vous vous reconnectez alors), et le service de connexion en supprime l’entrée comme prévu un jour plus tard; un journal des connexions avec les adresses IP, que nous supprimons après 30 jours; et les journaux d’accès de la plateforme avec l’heure, l’adresse IP, l’adresse URL consultée, l’identifiant du navigateur ou de l’application, une somme de contrôle de la clé de connexion envoyée avec la requête, la localisation approximative que le service réseau placé en amont de Supabase (Cloudflare) déduit de l’adresse IP (pays, ville, parfois code postal, opérateur réseau), des caractéristiques techniques de la connexion chiffrée et l’appréciation de Cloudflare indiquant si la requête est automatisée, que Supabase supprime après 90 jours au maximum. Pour se prémunir contre les abus, le serveur compte en plus, pour certaines fonctions, les appels par adresse IP ou par compte; seule une somme de contrôle en est conservée, que nous supprimons au plus tard deux heures après le premier appel.

Si une autorité ou un tribunal nous demande des données, nous ne pouvons communiquer que ce qui se trouve chez nous : données de compte, d’achat et d’enveloppe, vitrines publiées, publications sur des pages de club et rétroactions. Nous ne pouvons pas déchiffrer les contenus chiffrés de bout en bout de la synchronisation et de la sauvegarde infonuagique — pas même sur ordonnance —, et ce qui se trouve uniquement sur votre appareil, dans votre iCloud ou dans votre Google Drive, nous ne l’avons pas. Nous ne vendons pas de données personnelles et ne les transmettons pas à des fins publicitaires.

Si vous activez la sauvegarde automatique, votre mot de passe de protection est conservé dans le trousseau protégé de votre appareil (Keychain ou Keystore), afin qu’elle puisse s’exécuter sans confirmation; il ne quitte pas l’appareil. L’application fait elle-même le ménage dans les anciennes sauvegardes infonuagiques après chaque sauvegarde réussie : elle conserve les sept plus récentes, la plus récente de chacun des sept derniers jours ayant donné lieu à une sauvegarde et la plus récente de chacune de quatre autres semaines, plus anciennes. Si une nouvelle sauvegarde contient moins d’un cinquième des enregistrements de la dernière sauvegarde complète, l’application conserve en plus cette sauvegarde complète — quel que soit celui de vos appareils dont elle provient — jusqu’à ce qu’une sauvegarde en contienne de nouveau au moins un cinquième; ainsi, une version complète subsiste après un effacement accidentel, après une réinstallation et sur un nouvel appareil. Pour cela, chaque sauvegarde porte dans son nom de fichier le nombre de ses enregistrements, chiffré avec la clé de la sauvegarde; le serveur ne voit pas ce nombre. Pour les sauvegardes de versions plus anciennes de l’application, qui n’ont pas cette indication, l’application compare la taille des fichiers. Elle ne supprime pas d’elle-même les sauvegardes dont l’horodatage se situe dans le futur, par exemple à la suite d’un mauvais réglage de l’horloge de l’appareil. Hébergement : Supabase (Supabase Pte. Ltd., Singapour — sous-traitant, clauses contractuelles types de l’UE); l’enregistrement se fait dans la région UE de Francfort (eu-central-1). Selon Supabase, Supabase, Inc. (États-Unis) peut également accéder aux données en tant que sous-traitant ultérieur, pour l’assistance et l’exploitation; là aussi, les clauses contractuelles types de l’UE s’appliquent. Les fonctions serveur de Supabase (Edge Functions) appelées par l’application à partir de la version 2.8, par notre site Web et par notre base de données s’exécutent elles aussi à Francfort; avec les versions antérieures de l’application, elles s’exécutent dans le centre de données le plus proche de votre appareil, qui peut se trouver hors de l’UE; là aussi, les clauses contractuelles types de l’UE s’appliquent. Base juridique : art. 6, par. 1, point b), du RGPD (exécution du contrat). Sans compte, nous ne créons rien de tout cela.

Si vous créez un compte, publiez une vitrine, créez un club ou le rejoignez, ou acceptez les conditions d’utilisation dans l’application, nous enregistrons, à titre de preuve, la version des conditions d’utilisation que vous avez acceptée et la date – avec l’identifiant de votre compte ou de votre vitrine. Cette preuve est supprimée avec le compte ou la vitrine. Base juridique : art. 6, par. 1, point b), du RGPD (contrat) et point f) (preuve de la conclusion du contrat).

Vitrines (partage volontaire)

Si vous publiez activement une vitrine, seules les données que vous avez choisies (y compris des photos réduites des objets sélectionnés) deviennent accessibles au public à une adresse impossible à deviner. Les numéros de série, les lieux d’entreposage, les stocks, les prix et les données de permis sont techniquement exclus en tant que champs de données. Ce qu’une photo montre, l’application ne le vérifie pas : veillez vous-même à ce qu’aucun numéro de série ni rien de votre domicile n’y soit reconnaissable; l’application retire avant l’envoi les données de localisation intégrées. Une vitrine fonctionne aussi sans compte; depuis la version 3.5, lorsque vous en publiez une ou la rafraîchissez, l’application fait attester que la requête provient de l’application authentique (voir « Vérification de l’application pour les vitrines et le formulaire de contact »).

Nous comptons combien de fois une vitrine a été consultée et vous affichons ce compteur; nous n’analysons pas les consultations individuelles. La page de la vitrine est diffusée par notre prestataire d’hébergement Cloudflare, Inc. (sous-traitant, clauses contractuelles types de l’UE), qui traite à cette occasion les données de connexion des visiteurs techniquement nécessaires. Le navigateur du visiteur récupère le contenu directement sur notre serveur chez Supabase; il en résulte les mêmes journaux d’accès et le même comptage contre les abus que ceux décrits à la section « Compte facultatif, sauvegarde infonuagique et synchronisation ». Pour qu’une vitrine publiée n’expire pas sans que vous le remarquiez, l’application la rafraîchit elle-même, au démarrage, au plus une fois par mois. Si vous êtes connecté lorsque vous publiez une vitrine ou lors d’un tel rafraîchissement, nous l’associons à votre compte afin qu’elle soit supprimée avec lui. Vous pouvez mettre chaque vitrine hors ligne à tout moment; le lien devient alors invalide de façon permanente. Si Pro prend fin, les vitrines supplémentaires que vous avez publiées à partir de la version 2.5 sont mises en pause : leur adresse n’indique alors plus que leur mise en pause, et nous supprimons leur contenu du serveur au plus tard le lendemain. Pour que cela s’applique aussi si vous n’ouvrez plus l’application, celle-ci transmet une échéance lors de la publication et de chaque rafraîchissement d’une telle vitrine : la fin de la période Pro qu’elle connaît, plus 45 jours, arrondie au jour entier supérieur. Pour les vitrines qui ne sont pas mises en pause selon les conditions d’utilisation des vitrines, ainsi qu’en cas d’achat unique, aucune échéance ne s’applique. Nous enregistrons l’échéance avec la vitrine — pour une vitrine sans compte, uniquement avec son adresse, et non avec un compte. Une fois l’échéance passée, nous mettons la vitrine en pause; si elle est associée à votre compte et que votre compte dispose de Pro chez nous, elle reste en ligne. Avec Pro, l’application republie le contenu à la même adresse. L’application ne rafraîchit pas une vitrine en pause. Nous supprimons l’échéance avec la vitrine. Base juridique : art. 6, par. 1, point a), du RGPD (consentement); pour l’échéance et la vérification du statut Pro de votre compte, art. 6, par. 1, point b), du RGPD (étendue de Pro selon nos conditions d’utilisation); à l’égard des visiteurs, art. 6, par. 1, point f), du RGPD (diffusion de la page et protection contre les abus).

Pages de club

Si vous créez une page de club ou en rejoignez une, nous enregistrons à cette fin le nom du club, le code d’adhésion, les identifiants de compte des personnes concernées et les publications que vous y mettez explicitement (par exemple des résultats de compétition). Le tout est conservé chez notre hébergeur Supabase (voir « Compte facultatif, sauvegarde infonuagique et synchronisation »). Ces données ne sont pas chiffrées de bout en bout — l’administrateur du club doit pouvoir les lire et les approuver. Ce qu’il approuve, il le publie sous forme de page publique que toute personne disposant du lien peut ouvrir : le nom du club et les réussites sans noms, mais avec la discipline, le niveau, l’année, le classement, le nombre de participants et le résultat — dans un petit club, on peut éventuellement en déduire de qui il s’agit. Lorsque l’administrateur publie ou met à jour cette page, l’application fait attester, sur iPhone, iPad et Android depuis la version 3.5, que la requête provient de l’application authentique (voir « Vérification de l’application pour les vitrines et le formulaire de contact »). Si vous retirez une publication ou supprimez votre compte, le serveur la retire aussitôt de la page publique. Vous pouvez mettre fin à votre adhésion à tout moment. Base juridique : art. 6, par. 1, point a), du RGPD (consentement).

Achats (Waffenschrank Pro)

Les achats passent par l’App Store (Apple) ou Google Play; le traitement des achats est assuré par RevenueCat (RevenueCat Inc., États-Unis — clauses contractuelles types de l’UE). Le SDK RevenueCat ne démarre que lorsque vous ouvrez la page Pro ou — si un achat a déjà été commencé, un code utilisé ou Pro reconnu via la boutique sur cet appareil — au démarrage et à la connexion, pour vérifier si Pro est toujours valable; une fois actif, il peut se manifester à nouveau chaque fois que vous revenez dans l’application, jusqu’à sa fermeture. À partir de la version 2.2.1, lorsque l’application démarre sur un iPhone, un iPad ou un appareil Android où elle ne connaît encore aucun achat, elle consulte d’abord l’App Store ou Google Play sur votre appareil pour savoir si votre compte Apple ou Google a acheté Pro — par exemple en cas d’achat antérieur à la version 2.2, après une réinstallation ou, sur iPhone et iPad, par le Partage familial. À partir de la version 2.3, elle les consulte également chaque fois qu’elle vérifie si Pro est valable et ne connaît pas déjà Pro par un achat effectué sur cet appareil, ainsi que lorsque vous touchez « Restaurer les achats ». L’application vérifie seulement si les achats enregistrés pour cette application comprennent un achat Pro, et n’envoie elle-même rien à cette fin — ni à nous ni à RevenueCat; ce sont Apple ou Google, et non nous, qui déterminent si la boutique synchronise alors son historique d’achats avec leurs services. Lorsque vous touchez « Restaurer les achats », que RevenueCat ne répond pas et qu’aucun paiement unique n’est visible sur votre appareil, l’application demande en outre expressément à l’App Store, sur iPhone et iPad, de synchroniser vos achats avec Apple; Apple peut alors vous demander votre compte Apple. Si l’application ne trouve aucun achat Pro, rien d’autre ne se passe. Si elle en trouve un sur un appareil où elle ne connaît encore aucun achat, le SDK RevenueCat démarre comme décrit ci-dessus. Pour un abonnement, Pro n’est valable qu’après la réponse du SDK. À partir de la version 2.3, l’application reconnaît le paiement unique dès son inscription dans la boutique — sans RevenueCat et sans nos serveurs, afin qu’il soit valable même si ceux-ci sont injoignables ou n’existent plus; cela ne prend fin que si l’achat ne figure plus dans la boutique elle-même, par exemple après un remboursement. Lorsque le SDK RevenueCat est actif, un identifiant d’achat, votre adresse IP et des données techniques de l’appareil sont transmis à RevenueCat. L’application enregistre sur l’appareil le dernier statut d’achat connu et l’information indiquant si le paiement unique figure dans la boutique, afin que Pro s’applique même sans vérification. Sans compte, cet identifiant est un identifiant aléatoire pseudonyme : il n’a aucun lien avec votre nom ou votre adresse courriel, mais, avec votre adresse IP et les données de l’appareil, les requêtes d’un même appareil peuvent être reliées entre elles. Si vous êtes connecté, il est associé à l’identifiant de votre compte, afin que Pro s’applique sur tous vos appareils. Apple et Google signalent en outre directement à RevenueCat les achats, les reconductions, les résiliations et les remboursements, même lorsque l’application n’est pas ouverte; si l’achat est rattaché à votre compte, RevenueCat en informe notre serveur. Notre serveur n’utilise les événements relatifs à un achat sans compte que pour une adresse de rappel enregistrée (voir « Rappel avant la reconduction ») et, à votre demande, pour la résiliation d’un abonnement Google Play (voir ci-dessous); le journal ne consigne alors que la date et l’heure ainsi que le type de l’événement, sans identifiant. À cette fin, notre serveur (Supabase, voir plus haut) consigne pour votre compte si Pro est valable et jusqu’à quand, ainsi que l’origine de l’activation (par exemple un achat dans la boutique ou un code promotionnel utilisé), avec l’identifiant de l’achat correspondant ou, le cas échéant, le code promotionnel que vous avez utilisé et la date de son utilisation; l’application interroge le serveur à ce sujet lorsque vous êtes connecté. Si vous avez un abonnement Google Play et passez à l’achat unique, vous pouvez choisir avant l’achat que nous le résiliions ensuite à votre place : l’application transmet cette demande, avec l’heure, à RevenueCat — où elle reste rattachée à votre dossier client jusqu’à ce que vous la retiriez avant l’achat ou que ce dossier soit supprimé — et la mémorise sur l’appareil; une fois l’achat unique reçu, notre serveur résilie l’abonnement directement auprès de Google Play (Google est lui-même responsable de Google Play) : il consulte pour cela chez RevenueCat le numéro de commande de l’abonnement, récupère cette commande auprès de Google pour en extraire le jeton d’achat et vérifie l’état de l’abonnement; rien de tout cela n’est enregistré. L’abonnement ne se renouvelle alors plus, et vous conservez la période payée. Nous ne recevons jamais de données de paiement. Base juridique : art. 6, par. 1, point b), du RGPD (exécution de l’achat, fourniture de Pro et mesures précontractuelles prises à votre demande); pour la consultation de la boutique, dans la mesure où vous n’avez pas acheté Pro, art. 6, par. 1, point f), du RGPD (notre intérêt légitime à reconnaître les achats sans transmettre à RevenueCat de données de personnes n’ayant pas acheté Pro); pour la consultation de la boutique de votre appareil et l’enregistrement du statut d’achat sur l’appareil, § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays (voir « Principe de base »).

Places de club : un club peut mettre des places Pro à la disposition de ses membres sur ce site Web et les leur remettre par lien d’invitation. Pour utiliser une place, vous vous connectez au site Web avec votre compte et choisissez un nom d’affichage. Nous enregistrons à quel compte la place est attribuée, le nom d’affichage ainsi que le moment où vous avez utilisé la place et celui où vous avez donné votre consentement; du lien d’invitation, uniquement une somme de contrôle. De tout cela, l’administrateur du club ne voit que votre nom d’affichage et la date d’utilisation — jamais votre adresse courriel, ni votre collection, ni vos armes, ni la façon dont vous utilisez l’application. Il peut vous retirer la place, et vous pouvez la rendre vous-même à tout moment; nous supprimons alors immédiatement l’attribution, et seule subsiste dans votre compte la mention indiquant que l’accès Pro obtenu par la place de club a pris fin. Si la période de validité prend fin sans renouvellement, nous supprimons l’attribution 30 jours plus tard. Concernant le club, nous enregistrons son nom, le nombre de places, la période de validité, l’identifiant de l’achat et l’identifiant de compte de l’administrateur. Base juridique : art. 6, par. 1, point b), du RGPD; le fait que le club voie votre nom d’affichage et la date d’utilisation repose sur le consentement que vous donnez en utilisant la place (art. 6, par. 1, point a), du RGPD), et que vous révoquez en rendant la place.

Ceci vaut pour l’application à partir de la version 2.2. Les versions antérieures contactent le service d’achats (RevenueCat) à chaque démarrage pour vérifier le statut Pro.

Rappel avant la reconduction

Si vous avez souscrit Pro sous forme d’abonnement annuel ou trimestriel via l’App Store ou Google Play et qu’il est lié à votre compte Waffenschrank, nous vous envoyons environ cinq semaines avant chaque reconduction un courriel (pour un achat en dollars américains, également trois semaines avant, car le droit de plusieurs États américains impose des dates différentes) indiquant la date, le prix (s’il est déjà connu), le délai et la manière de résilier. Si la période d’essai gratuite d’un abonnement annuel que vous avez souscrit en dollars américains est encore en cours, nous vous envoyons à la place, trois à quatre jours avant sa fin, un courriel indiquant la date, le prix applicable ensuite et la manière de résilier, car plusieurs États américains exigent un avis avant la fin d’une période d’essai; dans les autres devises, seule l’application vous rappelle la fin de la période d’essai. Vous ne recevez aucun de ces courriels pour un abonnement mensuel, si vous en bénéficiez via le partage familial, tant que la boutique tente à nouveau un prélèvement qui a échoué, ni si vous avez déjà résilié l’abonnement. À cette fin, notre serveur (Supabase, voir plus haut) enregistre en outre pour votre compte l’abonnement que vous avez acheté et la boutique par laquelle vous l’avez acheté, le montant et la devise payés pour la période en cours et s’il s’agissait d’un prix de lancement ou d’un prix spécial; RevenueCat nous transmet ces informations à chaque achat et à chaque reconduction. Peu avant l’envoi, le serveur vérifie auprès de RevenueCat que votre abonnement sera bien reconduit. Le courriel est envoyé via Resend, comme décrit sous « Envoi des courriels liés au compte » – avec les mêmes indications sur le lieu de stockage, la durée de conservation et la liste de suppression. Il ne contient rien de votre inventaire, et nous ne mesurons pas si vous l’ouvrez. Pour que vous ne le receviez pas deux fois, nous notons pour quelle reconduction ou pour quelle fin de période d’essai nous l’avons envoyé – sans votre adresse courriel ni le contenu du message; pour le lien de désabonnement, nous ne conservons qu’une somme de contrôle, afin que le lien figurant dans un courriel antérieur reste valable. Nous supprimons les informations d’achat dès que l’abonnement annuel ou trimestriel lié à votre compte prend fin (au plus tard deux jours après) ou que vous vous désabonnez du rappel, la note d’envoi et les sommes de contrôle 13 mois après la reconduction ou l’envoi, et le tout au plus tard avec votre compte. Vous pouvez vous désabonner au moyen de l’option « Se désabonner » de votre messagerie, en répondant à l’un de ces courriels ou en écrivant à kontakt@waffenschrank.app; nous n’en envoyons alors plus et nous en prenons note jusqu’à la suppression de votre compte. Cela ne change rien aux autres courriels liés à votre compte. Sans compte, l’application vous envoie un rappel par notification (pour un achat en dollars américains, également trois semaines avant) si vous l’avez autorisée à envoyer des notifications; si vous ne recevez ni notification ni courriel, elle affiche un rappel sur l’écran « Aperçu » dès 45 jours avant la reconduction. Dans les deux cas, tout se fait sur votre appareil, sans que l’application nous transmette quoi que ce soit; sans compte, vous ne recevez pas de courriel, sauf si vous indiquez une adresse à cet effet (paragraphe suivant). Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à vous informer à temps avant un prélèvement et à respecter ainsi les obligations que le droit de la consommation de certains pays – par exemple la France, l’Italie, l’Espagne, la Belgique (à partir de mai 2027), la Suède, plusieurs États américains et des provinces canadiennes – impose au fournisseur).

Rappel par courriel sans compte : si vous avez souscrit un tel abonnement annuel ou trimestriel sans compte Waffenschrank, vous pouvez, de manière facultative, indiquer dans l’application, sous Pro, une adresse électronique utilisée uniquement pour ces rappels – avant chaque reconduction et, pour un abonnement annuel acheté en dollars américains, avant la fin de la période d’essai. Notre serveur (Supabase, voir plus haut) envoie alors d’abord, via Resend – comme décrit sous « Envoi des courriels liés au compte » –, un courriel contenant un lien de confirmation; ce n’est qu’après votre confirmation dans les 48 heures que nous vous envoyons les rappels décrits plus haut, sinon nous supprimons l’adresse au bout de 48 heures. Nous enregistrons à cet effet l’adresse, la langue de l’application, l’identifiant aléatoire sous lequel RevenueCat gère votre achat sans compte, une somme de contrôle d’une clé aléatoire qui permet à votre application seule de consulter et de supprimer l’inscription, la devise dans laquelle vous avez acheté l’abonnement annuel sur cet appareil (si l’application la connaît), les données d’achat et les mentions d’envoi comme ci-dessus, ainsi que des sommes de contrôle des liens figurant dans nos courriels. Lors de l’inscription et avant chaque envoi, le serveur demande à RevenueCat, au moyen de cet identifiant, si vous avez un abonnement annuel ou trimestriel App Store ou Google Play. Pour prévenir les abus, nous comptons les tentatives par identifiant, par adresse et par adresse IP – uniquement sous forme de somme de contrôle, que nous supprimons au plus tard au bout de deux heures. Nous n’utilisons l’adresse à aucune autre fin – ni publicité ni newsletter – et ne la relions à aucun compte. Vous pouvez la retirer à tout moment dans l’application, au moyen du lien figurant dans chacun de ces courriels, avec l’option « Se désabonner » de votre messagerie, en répondant à l’un de ces courriels ou en écrivant à kontakt@waffenschrank.app; nous supprimons alors immédiatement l’adresse et toutes les données qui s’y rapportent. Si votre abonnement annuel ou trimestriel prend fin, nous supprimons tout au plus tard deux jours après; si vous vous connectez à un compte dans l’application, celle-ci retire l’adresse, car le rappel est alors envoyé à l’adresse de votre compte. Base juridique : art. 6, par. 1, point a), du RGPD (votre consentement, que vous donnez en indiquant l’adresse, le lien de confirmation servant à confirmer que celle-ci est bien la vôtre; vous pouvez le retirer à tout moment pour l’avenir en retirant l’adresse); pour le comptage destiné à prévenir les abus, art. 6, par. 1, point f), du RGPD (notre intérêt légitime à n’envoyer aucun courriel non sollicité).

Rapports de plantage (avec consentement seulement)

L’application n’envoie de rapports de plantage qu’avec votre consentement; le réglage par défaut est désactivé. Au plus tôt trois jours après le premier lancement, elle vous demande une fois si elle peut envoyer des rapports de plantage; les deux réponses se valent, et elle ne repose pas la question ensuite. La trace de vos réponses à cette question et à celles ci-dessous (les dix dernières, chacune avec l’heure, la voie et la version de la question) est conservée par l’application sur l’appareil afin qu’elle s’y conforme; elle ne quitte pas l’appareil. Votre choix vaut pour l’appareil sur lequel vous le faites : les sauvegardes ne l’emportent pas, et si vous en restaurez une, le choix reste sur cet appareil tel qu’il est. Sur un nouvel appareil, les rapports de plantage sont d’abord désactivés, et la question posée une seule fois n’y arrive qu’au plus tôt trois jours après le premier lancement sur cet appareil. Vous pouvez modifier votre choix à tout moment sous Plus → Sécurité. Si vous n’avez pas consenti, elle vous demande, après un plantage, si elle peut envoyer le rapport sur ce plantage précis (voir ci-dessous). Le prestataire est Sentry (Functional Software, Inc., États-Unis — sous-traitant; le transfert repose sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis, au titre duquel Sentry est certifiée; en outre, notre contrat avec Sentry comprend les clauses contractuelles types de l’UE); les rapports arrivent au point d’entrée européen situé en Allemagne. Dans les versions antérieures à la 2.5, sur iPhone et iPad, tant que les rapports sont activés, la bibliothèque Sentry fait en outre résoudre le nom sentry.io au démarrage et lors des changements de réseau, par le service de noms (DNS) qu’utilise votre appareil, afin de savoir si un réseau est disponible. La requête ne contient aucun rapport ni aucun contenu de l’application, mais celui qui y répond (le plus souvent votre fournisseur d’accès à Internet ou de Wi-Fi) peut voir que ce nom est demandé depuis votre adresse IP, et à quel moment. À partir de la version 2.5, la bibliothèque détecte le réseau sans cette requête. Seules les versions antérieures à la 2.2.1 transmettent une information même sans ce consentement : si l’application a planté lors de sa dernière utilisation, la requête de mise à jour envoyée au démarrage suivant contient le message d’erreur correspondant (voir « Ce qui se passe au démarrage — même sans compte »).

Un rapport contient le message d’erreur avec l’endroit du programme où il est survenu, la version de l’application, le modèle de l’appareil, la version du système d’exploitation, la langue et le fuseau horaire, ainsi qu’une trace fortement réduite des dernières étapes : uniquement des changements d’écran avec des identifiants masqués, et des requêtes réseau avec une adresse tronquée. Les titres d’écran, les saisies, les sorties de console et votre identifiant de compte sont expressément filtrés; le contenu de votre collection ne se retrouve donc pas dans un rapport. Fait exception le texte du message d’erreur lui-même : il est transmis en entier, car on ne peut pas localiser une erreur sans son message — dans certains cas, une valeur issue de vos données peut s’y trouver. À partir de la version 2.2.1, un rapport ne contient plus d’identifiant d’appareil : l’identifiant que la bibliothèque Sentry ajoute d’office — sur Android, un identifiant aléatoire et persistant de votre installation; sur iPhone et iPad, une somme de contrôle calculée à partir de l’identifiant d’appareil propre à cette application et du modèle de l’appareil — est retiré par l’application avant l’envoi, y compris pour les plantages des parties natives du programme. Les versions antérieures à la 2.2.1 le transmettent encore; leurs rapports sont pseudonymes et peuvent donc être reliés entre eux, mais pas à votre compte. Même sans identifiant d’appareil, un rapport n’est pas anonyme : pour des raisons techniques, le prestataire le reçoit avec votre adresse IP, et le message d’erreur peut contenir une valeur issue de vos données. Un rapport envoyé individuellement (voir ci-dessous) contient les mêmes informations, sans la trace des dernières étapes.

Base juridique : art. 6, par. 1, point a), du RGPD; révocable à tout moment. La révocation prend effet immédiatement : l’application met fin à la capture des plantages au même instant, sans redémarrage. De toute façon, elle ne capture ni les blocages ni les sessions terminées par le système — seulement les véritables plantages : les erreurs après lesquelles l’application est fermée ou affiche son écran d’erreur à la place de l’écran habituel. Est aussi considérée comme un plantage une erreur après laquelle l’application n’est plus utilisable — par exemple lorsque la base de données ne peut pas être ouverte au démarrage ou ne peut pas être convertie après une mise à jour. L’application envoie alors au plus un rapport par mise à jour et par erreur; le message d’erreur y est remplacé par un identifiant d’erreur, et ce rapport ne contient aucun contenu de votre collection. Sans votre consentement, voici ce qui s’applique : lorsque l’application affiche son écran d’erreur, elle vous y demande si elle peut envoyer un rapport sur cette erreur; si vous refusez, elle ne conserve rien. Si elle plante, elle conserve un rapport sur votre appareil — pour une erreur dans la partie JavaScript, le message d’erreur (jusqu’à 1024 caractères), l’endroit du programme, l’heure, la version de l’application et du système et le type d’appareil; pour un plantage dans les parties natives du programme, un résumé tiré du journal de plantage que iOS ou Android tient de toute façon (type de plantage, pile d’appels sous forme d’adresses mémoire, heure, version de l’application et du système, type d’appareil). Il n’existe qu’un seul rapport de ce type, le plus récent; il se trouve dans le dossier de données de l’application, est exclu de la sauvegarde de l’appareil et ne quitte pas l’appareil de lui-même. Lorsque vous rouvrez l’application, elle demande si elle peut l’envoyer; seul ce rapport est envoyé, et la base juridique est alors votre consentement (art. 6, par. 1, point a), du RGPD). Après l’envoi ou le refus, l’application le supprime, au plus tard après 30 jours. Si vous refusez deux fois de suite, elle ne demande plus rien et ne conserve plus rien; vous pouvez aussi désactiver cette question vous-même sous Plus → Sécurité. Pour la conservation sur l’appareil et la lecture du journal de plantage : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à vous laisser choisir, après un plantage, d’envoyer ou non le rapport) et § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays (voir « Principe de base »).

Ce que nous recevons de l’App Store et de Google Play

Apple et Google nous fournissent des statistiques agrégées (par exemple sur les installations, les achats et les appareils actifs, ventilées aussi selon que la personne est arrivée par un lien partagé vers l'application ou par un lien sur notre site Web), les journaux de plantage des appareils dont les propriétaires ont accepté de les partager avec les développeurs, pour les versions de test, les commentaires des testeurs avec leur adresse de contact, ainsi que les évaluations publiques avec le nom choisi pour les publier, auxquelles nous pouvons répondre. Apple et Google collectent ces données sous leur propre responsabilité; nous les utilisons pour corriger des erreurs, répondre aux questions et voir par quels moyens l'application est découverte. Nous ne les associons pas à votre compte. Base juridique : art. 6, par. 1, point f), du RGPD (correction des erreurs, réponses aux commentaires et mesure d'audience agrégée).

Information sur l’âge provenant de l’App Store et de Google Play

Certains États américains exigent des applications distribuées par une boutique d’applications qu’elles demandent l’information sur l’âge fournie par la boutique et qu’elles en tiennent compte. À partir de la version 2.5, l’application demande donc à l’App Store d’Apple (« Declared Age Range »), sur iPhone et iPad (à partir d’iOS 26.2), et à Google Play (« Play Age Signals »), sur Android, la tranche d’âge que la boutique associe à votre compte Apple ou Google — au premier démarrage, puis au plus une fois tous les douze mois et chaque fois que vous créez un compte. Sur iPhone et iPad, elle ne fait cette demande que si le système indique que de telles règles s’appliquent à votre compte Apple; sur Android, seulement si vous avez choisi les États-Unis comme pays dans l’application. L’application ne reçoit jamais votre date de naissance et se borne à déterminer si, selon la boutique, vous avez moins de 18 ans ou au moins 18 ans. Si la boutique indique que vous avez moins de 18 ans, l’application bloque la création d’un compte, la publication d’une vitrine, la création d’une page de club, l’adhésion à un club, la soumission de réussites et l’achat de Pro; si un nouveau compte est alors créé lors d’une connexion avec Apple ou Google, l’application le supprime aussitôt. Si cela échoue, par exemple faute de connexion, notre serveur supprime un tel compte lors d’un traitement quotidien, au plus tôt trois jours après sa création, en général dans un délai d’un jour supplémentaire, et de la même manière que « Supprimer le compte ». Il faut pour cela que vous ne vous y soyez plus connecté après les dix premières minutes et qu’il ne contienne ni contenu ni achat; si l’une de ces conditions n’est pas remplie avec certitude, le compte est conservé, et nous le supprimons si vous nous en faites la demande à l’adresse kontakt@waffenschrank.app. Vous pouvez toujours vous connecter à un compte existant; l’application reste utilisable sur votre appareil, et aucune de vos données n’est supprimée. Le résultat n’est conservé qu’en mémoire vive, jusqu’à la fermeture de l’application : il n’est ni enregistré ni envoyé, ni à nous ni à des tiers, pas même avec les rapports de plantage. Seules la date et l’heure de la dernière demande sont enregistrées sur l’appareil, afin que l’application ne demande pas plus souvent que permis; elles sont supprimées avec l’application. La manière dont Apple et Google déterminent votre âge, et la question de savoir s’ils vous demandent votre consentement à cette fin, relèvent de leur propre responsabilité. Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à ne donner accès au compte, à la vitrine, à la page de club et à Pro qu’aux adultes et à respecter les lois en vigueur là où l’application est proposée); pour la demande adressée à la boutique de votre appareil et l’enregistrement de la date et de l’heure, § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays (voir « Principe de base »).

Contact et signalement de problème

Si vous utilisez le formulaire de contact, nous traitons votre message, la catégorie choisie, facultativement votre adresse courriel (pour d’éventuelles questions) et — si vous laissez la case cochée — des renseignements techniques : version de l’application, identifiant de mise à jour, canal de diffusion, plateforme et version du système d’exploitation. Les messages sont conservés chez notre hébergeur Supabase (voir « Compte facultatif, sauvegarde infonuagique et synchronisation »); depuis la version 3.5, lors de l’envoi, l’application fait attester que le message provient de l’application authentique, et rien de cela n’est conservé avec lui (voir « Vérification de l’application pour les vitrines et le formulaire de contact »). Si vous êtes connecté, l’identifiant de votre compte est également enregistré, afin que nous puissions associer votre demande. Pour que nous puissions lire rapidement un message et vous répondre directement, notre serveur l’envoie par le service d’envoi Resend (voir « Envoi des courriels liés au compte ») sous forme de courriel à notre boîte kontakt@waffenschrank.app – avec la catégorie, le message et l’heure, la plateforme si vous joignez les renseignements techniques, et votre adresse courriel comme adresse de réponse si vous en indiquez une. Les autres renseignements techniques et l’identifiant de votre compte ne sont pas transmis. Resend supprime ce courriel après 30 jours (jusqu’à sept jours plus tard dans ses sauvegardes); dans notre boîte, il en va de même que sous « Quand vous nous écrivez ». Si vous indiquez une adresse courriel, l’application demande à notre serveur (Supabase), avant même l’envoi – peu après que vous avez saisi l’adresse ou ouvert un brouillon qui en contient une, donc même si vous n’envoyez jamais le message –, si son domaine (seulement la partie après le @) peut recevoir des courriels, afin de pouvoir vous signaler une faute de frappe; comme lors de toute requête, le serveur reçoit alors votre adresse IP, consulte le domaine dans le système de noms de domaine (DNS) et n’enregistre ni ne journalise le domaine. Base juridique : art. 6, par. 1, point f), du RGPD (traitement de votre demande), et pour les utilisateurs connectés, également l’art. 6, par. 1, point b), du RGPD. Nous supprimons les rétroactions au plus tard douze mois après leur réception, ou dès la suppression de votre compte si elle intervient avant.

Vérification de l’application pour les vitrines et le formulaire de contact

Les vitrines et le formulaire de contact fonctionnent sans compte et attirent donc les abus, par exemple des images d’autrui ou illicites sous notre adresse, ou des messages envoyés en masse à notre boîte. Depuis la version 3.5, l’application fait donc attester, sur iPhone, iPad et Android, qu’une telle requête provient d’une application Waffenschrank non modifiée sur un appareil authentique : lorsque vous publiez une vitrine ou que l’application la rafraîchit, lorsque, en tant qu’administrateur, vous publiez ou mettez à jour une page de club, et lorsque vous envoyez le formulaire de contact. Pour cela, l’application obtient de notre serveur (Supabase, voir « Compte facultatif, sauvegarde infonuagique et synchronisation ») une valeur aléatoire, valable cinq minutes et utilisable une seule fois; les mêmes journaux d’accès sont alors générés, et le nombre de valeurs aléatoires de ce type qu’une adresse IP peut obtenir est limité par le serveur au moyen du même comptage anti-abus, l’un et l’autre comme décrit dans « Compte facultatif, sauvegarde infonuagique et synchronisation ». L’attestation ne comprend, outre cette valeur, que des sommes de contrôle – pour une vitrine ou une page de club, celle de son adresse; pour le formulaire de contact, celle de votre message –, jamais le contenu lui-même. Sur iPhone et iPad, l’application utilise pour cela App Attest d’Apple : la première fois, l’appareil génère dans sa puce de sécurité une clé qui ne le quitte pas et la fait attester une fois par Apple; Apple compte alors, selon ses propres indications, combien de clés de ce type ont été attestées pour l’application sur votre appareil. Ensuite, l’appareil signe lui-même chaque requête, sans interroger Apple. L’application dépose l’identifiant de la clé dans le trousseau de cet appareil, sans synchronisation iCloud; il peut y rester même après la suppression de l’application, mais n’a alors plus aucune utilité. Notre serveur enregistre l’identifiant et la partie publique de la clé avec un compteur et le jour de la dernière utilisation – sans lien avec votre compte, votre adresse IP, votre vitrine ou votre message – et les supprime 90 jours après la dernière utilisation. Sur Android, l’application demande l’attestation à Google Play sur votre appareil (Play Integrity). Pour cela, Google Play vérifie, selon les indications de Google, votre appareil, l’application et son statut de licence auprès de Google Play, et renvoie une réponse chiffrée; ce que Google Play traite à cette occasion relève de la responsabilité de Google (Google Ireland Limited) selon ses conditions. Notre serveur fait déchiffrer la réponse par Google LLC (États-Unis – le transfert repose sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis, au titre duquel Google est certifiée) et n’en retient que ceci : si elle correspond à cette requête, si Google Play reconnaît l’application et si l’appareil réussit la vérification; rien de cela n’est conservé. L’application reçoit le résultat de la vérification sous la forme d’un laissez-passer à usage unique, valable dix minutes; elle l’envoie avec la vitrine ou le message, et le serveur le supprime lorsqu’il est utilisé. On compte seulement combien de vérifications par semaine, par voie et par plateforme étaient valides, invalides ou sans attestation, et pour quelle raison, sans identifiant; nous conservons ces chiffres 13 mois. Si une attestation valide fait défaut – par exemple dans l’application Web, dans les versions de l’application antérieures à la 3.5, sur des appareils sans cette fonction ou sans services Google Play –, le serveur peut rejeter la vitrine ou le message, ou les limiter plus strictement; vous pouvez toujours nous joindre par courriel à kontakt@waffenschrank.app. Pour l’instant, il se borne à compter et ne rejette rien. Si la vérification est désactivée sur notre serveur, l’application n’interroge ni Apple ni Google. Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à protéger les vitrines et la boîte de réception contre les abus); pour la création et l’utilisation de la clé, le dépôt de son identifiant et l’interrogation de Google Play, § 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays, voir « Principe de base ».

Quand vous nous écrivez

Si vous nous écrivez à kontakt@waffenschrank.app, nous traitons votre adresse courriel, votre nom si vous l’indiquez et le contenu de votre message afin de vous répondre (art. 6, par. 1, point f), du RGPD; s’il s’agit d’un contrat avec nous, point b)). Notre boîte de courriel est exploitée par Microsoft (Microsoft Ireland Operations Limited, sous-traitant; les transferts vers Microsoft Corporation aux États-Unis reposent sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis; en outre, notre contrat avec Microsoft comprend les clauses contractuelles types de l’UE). Nous supprimons les courriels dès que votre demande est traitée, au plus tard douze mois après leur réception – sauf si le droit commercial ou fiscal exige une conservation plus longue (jusqu’à six ou dix ans).

Signalements au titre du règlement sur les services numériques (règlement (UE) 2022/2065, DSA) : si vous nous signalez un contenu d’une vitrine ou d’une page de club, nous traitons les renseignements de votre signalement – dont votre nom et votre adresse courriel – pour l’examiner et vous communiquer notre décision (art. 6, par. 1, point c), du RGPD, en liaison avec l’art. 16 du DSA). La personne qui a publié le contenu n’apprend pas votre nom de notre part, sauf si la loi nous y oblige. Nous supprimons le nom et l’adresse courriel d’un signalement six mois après notre décision; la décision elle-même – quel contenu, quand, pourquoi – est conservée jusqu’à la fin de la troisième année qui suit, afin de pouvoir en justifier (art. 6, par. 1, point f), du RGPD).

Remplissage à partir de liens marchands

Si vous insérez un lien marchand et que vous faites remplir les renseignements à partir de celui-ci, votre appareil accède directement lui-même à cette page tierce — sans détour par nous. Le commerçant apprend alors, comme pour toute visite de page, votre adresse IP et la page que vous consultez; nous n’avons aucune influence sur son traitement des données, et nous ne recevons rien à ce sujet. Base juridique : art. 6, par. 1, point a), du RGPD (consentement par le déclenchement).

Combien de temps nous conservons les données

Ce qui se trouve sur votre appareil y reste jusqu’à ce que vous le supprimiez — nous n’y avons aucun accès et ne pouvons ni le consulter ni le retirer. Avant une mise à jour qui restructure la base de données et avant la restauration d’une sauvegarde, l’application crée sur l’appareil une copie de votre base de données, afin de pouvoir revenir en arrière en cas d’échec; cette copie est exclue de la sauvegarde de l’appareil. Ce que vous supprimez individuellement y figure encore jusqu’à la suppression de la copie : l’application supprime la copie faite avant une restauration au bout de sept jours et, parmi les copies faites avant les mises à jour, conserve les deux plus récentes. Dans l’application Web, cela ne vaut qu’avec une réserve : tant que le navigateur n’a pas accordé de stockage persistant, il peut effacer les données de lui-même en cas de manque de place ou après une assez longue inutilisation — Safari, par exemple, lorsque la page n’a pas été ouverte pendant sept jours. L’application Web demande au navigateur un stockage persistant et vous indique s’il l’a accordé; cela ne remplace pas des sauvegardes régulières. Pour pouvoir démarrer sans connexion, l’application Web dépose ses propres fichiers de programme (code, polices, images) dans le stockage de votre navigateur au moyen d’un service worker; ils ne contiennent aucun élément de votre collection ni aucune information vous concernant, et une nouvelle version supprime les anciens (§ 25, al. 2, n° 2, de la loi allemande TDDDG ou la disposition correspondante de votre pays, voir « Principe de base »). Ce qui appartient à un compte reste tant que ce compte existe : si vous le supprimez, les fichiers de sauvegarde, les données de synchronisation, vos vitrines (celles qui appartiennent à votre compte ou qui ont été publiées sur l’appareil depuis lequel vous le supprimez), vos publications sur des pages de club et les rétroactions que vous nous avez envoyées disparaissent dans la même opération. Du même coup, nous supprimons votre dossier client chez RevenueCat; les reçus et les factures restent là où ils ont été émis (Apple ou Google) aussi longtemps que le droit fiscal l’exige. Si la suppression chez RevenueCat échoue exceptionnellement, l’historique des achats y reste sous l’identifiant de votre compte jusqu’à ce que vous nous demandiez de le faire supprimer (kontakt@waffenschrank.app). Ce que nous supprimons dans la base de données ne disparaît des sauvegardes de notre hébergeur qu’à leur expiration : Supabase sauvegarde la base de données chaque jour et, avec notre forfait actuel, conserve chaque sauvegarde pendant sept jours. D’ici là, elle contient encore ce qui se trouvait dans la base de données avant la suppression — par exemple votre adresse courriel, les données de synchronisation chiffrées, les vitrines, les publications de club et les rétroactions; les fichiers de sauvegarde, de photos et de documents n’en font pas partie. Il en va de même pour tout ce que vous supprimez individuellement. Nous ne recourons à ces sauvegardes que pour rétablir le service après une panne grave.

S’y ajoutent des délais fixes. L’application fait elle-même le ménage dans les anciennes sauvegardes infonuagiques selon la règle mentionnée plus haut. Une vitrine publiée est automatiquement supprimée douze mois après son dernier rafraîchissement; tant que vous utilisez l’application, elle rafraîchit une vitrine active au plus une fois par mois, et une vitrine en pause jamais. Lorsque l’échéance d’une vitrine supplémentaire est dépassée (voir « Vitrines »), nous supprimons son contenu du serveur lors du traitement quotidien suivant. Un compte créé avec Apple ou Google depuis le 14 octobre 2026, auquel personne ne s’est plus connecté après les dix premières minutes, qui ne contient ni contenu ni achat et pour lequel aucune acceptation des conditions d’utilisation n’est enregistrée, est supprimé par nos soins au plus tôt trois jours après sa création (conditions d’utilisation, article 4, paragraphe 1, lettre b). Les sommes de contrôle du comptage contre les abus sont supprimées au plus tard deux heures après le premier appel; elles sont calculées avec une clé générée à nouveau chaque jour, que nous supprimons après un jour, de sorte qu’on ne peut plus ensuite en retrouver ni l’adresse IP ni le compte. Au titre de la vérification de l’application pour les vitrines et le formulaire de contact, nous supprimons les clés des iPhone et iPad 90 jours après leur dernière utilisation, les valeurs aléatoires et les laissez-passer à usage unique dès qu’ils sont utilisés, au plus tard 30 minutes après leur émission, et les totaux hebdomadaires sans identifiant après 13 mois. De la vérification des achats subsiste, pendant 30 jours, un journal du moment et du type d’événement, avec l’identifiant du compte — sans prix, sans adresse courriel. Nous supprimons les rétroactions au plus tard douze mois après leur réception, ou dès la suppression de votre compte si elle intervient avant. Notre prestataire Sentry supprime les rapports de plantage selon le délai de conservation qui y est configuré, au plus tard 90 jours après la réception du rapport. Les serveurs qui diffusent notre site Web et l’application Web (Cloudflare, Inc. — sous-traitant, clauses contractuelles types de l’UE) traitent nécessairement, pour les diffuser, les données de connexion de chaque requête, dont l’adresse IP, l’identifiant du navigateur et une localisation approximative. Nous n’y faisons tenir aucun journal des requêtes individuelles; seuls les passages vers une boutique sont comptés, sans adresse IP (voir « Ce site Web »). Seuls y sont conservés, au plus, les messages d’erreur de nos programmes serveur, pendant sept jours au maximum; ces programmes n’y inscrivent pas de données de connexion. Si une règle de protection de Cloudflare rejette une requête comme une attaque, Cloudflare peut l’enregistrer comme événement de sécurité, avec l’adresse IP, pour la durée que Cloudflare prévoit à cet effet. Base juridique : art. 6, par. 1, point f), du RGPD (exploitation, sécurité et dépannage). Le service de mise à jour et la requête de catalogues de l’application ne tiennent aucun journal de ce type.

Ce site Web

Lorsque vous ouvrez waffenschrank.app, notre hébergeur Cloudflare, Inc., États-Unis (sous-traitant, clauses contractuelles types de l’UE) traite les données de connexion techniquement nécessaires (adresse IP, heure, ressource demandée) afin de livrer et de protéger le site; la livraison passe par le réseau mondial de Cloudflare, et non par un serveur situé à un endroit fixe. Pour que le site puisse afficher les prix dans la monnaie de votre pays et proposer la bonne langue, Cloudflare lui indique le pays depuis lequel vous le consultez et les langues de votre navigateur; nous ne conservons ni l’un ni l’autre. Base juridique : art. 6, par. 1, point f), du RGPD. Nous ne déposons nous-mêmes aucun témoin (cookie) et n’intégrons ni polices, ni scripts, ni images provenant de serveurs tiers. La boutique que le site vous suggère – par les boutons de téléchargement ou par le code QR affiché sur un ordinateur (waffenschrank.app/app) – dépend uniquement du type d’appareil que votre navigateur transmet de toute façon (par exemple Android ou iPhone). Pour les boutons de téléchargement en haut de nombreuses pages et pour les codes QR, nous comptons en outre combien de fois quelqu’un se rend dans une boutique : nous enregistrons uniquement la page ou le type de page d’où est parti le clic, sa version linguistique ou nationale, si le passage s’est fait par un bouton de téléchargement ou par un code QR, la boutique visée, le moment et si la requête semblait provenir d’un programme automatique comme un moteur de recherche – aucune adresse IP, aucun identifiant d’appareil ou de navigateur, aucun témoin (cookie), rien qui permette de remonter jusqu’à vous. Le décompte est conservé chez Cloudflare et supprimé au bout de trois mois; il n’est communiqué à personne et nous montre quelles pages mènent les lecteurs à l’application. La base juridique est ici aussi l’art. 6, par. 1, point f), du RGPD; rien n’est enregistré sur votre appareil à cette fin. Les liens vers l’App Store et Google Play portent en outre un identifiant de la page ou du type de page d’où ils partent (par exemple « web-start »), le même pour tous les visiteurs; Apple et Google nous montrent ainsi, dans leurs statistiques agrégées, par quelles pages on découvre l’application. Ce qu’Apple et Google traitent lorsque vous ouvrez leur page de boutique relève de leur propre responsabilité. Deux choses au plus restent dans votre navigateur : votre choix de langue, pour que la suggestion de langue ne réapparaisse pas, et – seulement si vous y choisissez « Auf diesem Gerät merken » (mémoriser sur cet appareil) – ce que vous saisissez dans l’aide au formulaire WBK (carte allemande de détention d’armes); sans ce choix, ces données ne sont conservées que jusqu’à la fermeture de l’onglet. L’aide efface les données mémorisées à la prochaine ouverture si votre dernière saisie date de plus de 30 jours. Ni l’une ni l’autre ne quitte votre navigateur; vous les effacez en supprimant les données du site.

Sur les pages des places de club (waffenschrank.app/verein), vous vous connectez avec votre compte. Pour cela, votre navigateur communique directement avec notre serveur chez Supabase (le même que pour le compte, voir plus haut); si vous vous connectez avec Google, la page vous amène chez Google et vous ramène. La connexion, un lien d’invitation tant qu’il n’est pas utilisé et, pour la connexion Google, une valeur de contrôle à usage unique ne sont conservés que dans le stockage de session de votre navigateur et disparaissent dès que vous fermez l’onglet; là non plus, nous ne déposons aucun témoin.

Notre compte sur les réseaux sociaux

Waffenschrank a un compte sur Instagram (instagram.com/waffenschrank.app). Ni le site ni l’application n’intègrent quoi que ce soit d’Instagram – aucun bouton, aucune publication intégrée, aucun pixel de suivi. Nos liens vers Instagram sont de simples liens : c’est seulement lorsque vous en suivez un, ou que vous ouvrez vous-même Instagram, que son exploitant traite vos données, selon ses propres conditions – y compris à ses propres fins, comme la publicité, et même si vous n’y avez pas de compte. Ce traitement est déterminé par l’exploitant; les cas où nous pouvons en partager la responsabilité sont décrits dans le paragraphe consacré à Instagram.

Ce que nous traitons nous-mêmes sur ce réseau : ce que vous nous écrivez (commentaires, mentions, messages privés), le fait que vous nous suiviez ou réagissiez à nos publications, votre nom de profil et ce que votre profil affiche publiquement, dans la mesure où nous le voyons. Nous nous en servons pour vous répondre et pour gérer notre compte. La base juridique est notre intérêt légitime à informer sur Waffenschrank et à rester en contact avec les personnes intéressées et les utilisateurs (art. 6, par. 1, point f), du RGPD); si votre message concerne un contrat avec nous, par exemple un achat, l’art. 6, par. 1, point b), du RGPD. Nous ne relions ces données à votre compte Waffenschrank que si vous nous le demandez. Nous supprimons les conversations de notre côté au plus tard douze mois après le dernier message, dans la mesure où le réseau le permet; ce que vous avez écrit, vous pouvez en général le supprimer vous-même sur le réseau, qui conserve les données selon ses propres délais.

Instagram : pour les utilisateurs dans l’UE, l’exploitant est Meta Platforms Ireland Limited (Dublin, Irlande). Meta établit des statistiques (« Insights ») sur notre compte – par exemple combien de personnes voient le compte et nos publications et interagissent avec eux, ventilées selon des caractéristiques comme la tranche d’âge, le genre ou le lieu. Nous n’en voyons que des chiffres agrégés, pas des personnes individuelles. Pour ces statistiques, nous pouvons être responsables conjoints du traitement avec Meta (art. 26 du RGPD; CJUE, arrêt du 5 juin 2018, C-210/16). Meta a publié à cet effet un accord (facebook.com/legal/terms/page_controller_addendum), selon lequel Meta assume la responsabilité principale, y compris pour l’information prévue à l’art. 13 du RGPD et pour le traitement de vos droits. L’accord est conçu pour les pages Facebook; son libellé laisse ouverte la question de savoir s’il couvre aussi les comptes Instagram. Par prudence, nous partons donc d’une responsabilité conjointe. Notre base juridique pour les statistiques est notre intérêt légitime à comprendre la portée de notre compte et à l’améliorer (art. 6, par. 1, point f), du RGPD). Vous pouvez exercer vos droits auprès de Meta et auprès de nous; Meta est la mieux placée pour y donner suite, car elle seule détient les données des visiteurs à partir desquelles les statistiques sont établies – nous transmettons à Meta les demandes qui nous sont adressées. Meta transfère aussi des données à Meta Platforms, Inc. aux États-Unis, certifiée au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework); la décision d’adéquation de la Commission européenne s’y applique (art. 45 du RGPD). Comment Meta traite les données : privacycenter.instagram.com/policy.

Pour les personnes en Suisse

Si vous habitez en Suisse, la loi fédérale sur la protection des données (LPD) s’applique aussi à vous. Des données personnelles sont communiquées par nous ou nos prestataires vers les États suivants (art. 19, al. 4, LPD) : l’Allemagne, l’Irlande et d’autres États de l’UE ou de l’EEE, qui offrent une protection adéquate selon l’annexe 1 de l’ordonnance sur la protection des données (OPDo); les États-Unis; Singapour; et, par le réseau mondial de Cloudflare, d’autres États.

Aux États-Unis, la protection n’est adéquate selon l’annexe 1 OPDo que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. D’après la liste publique (vérifiée le 5 octobre 2026), ce sont Cloudflare, Inc., Functional Software, Inc. (Sentry), Google LLC, Microsoft Corporation ainsi que, pour notre profil sur Instagram, Meta Platforms, Inc. Plus Five Five, Inc. (Resend) n’est certifiée que selon le cadre de protection des données UE-États-Unis, RevenueCat, Inc. pas du tout. Pour ces deux entreprises, pour Supabase Pte. Ltd. à Singapour et Supabase, Inc. aux États-Unis (vos données sont stockées à Francfort, mais un accès depuis Singapour et les États-Unis est possible) et pour les États hors de l’annexe 1 dans le réseau de Cloudflare, la communication repose, conformément à l’art. 16, al. 2, let. d, LPD, sur les clauses contractuelles types de la Commission européenne, avec les adaptations pour la Suisse reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT).

Pour l’App Store et iCloud, Apple Distribution International Ltd. (Irlande) est responsable envers les utilisateurs en Suisse; pour Google Play, la connexion avec Google et Google Drive, c’est Google Ireland Limited. Ce que ces fournisseurs transfèrent eux-mêmes vers d’autres États relève de leurs propres conditions. Vous exercez vos droits en vertu de la LPD auprès de nous (kontakt@waffenschrank.app); vous pouvez aussi vous adresser au PFPDT.

Vos droits

Vous avez le droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité des données ainsi qu’un droit d’opposition (art. 15 à 21 du RGPD), et un droit de réclamation auprès d’une autorité de contrôle de la protection des données, notamment dans l’État membre de l’UE ou de l’EEE où vous résidez ou travaillez (art. 77 du RGPD); l’autorité compétente pour nous est la Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (déléguée du Land de Brandebourg à la protection des données et au droit d’accès aux dossiers). Vous pouvez supprimer les données de compte dans l’application; les données locales se suppriment en retirant l’application ou via les fonctions d’exportation/suppression. Les sauvegardes dans iCloud ou Google Drive, elles, sont conservées : supprimez-les au préalable dans l’application, sous « Sauvegarde infonuagique », ou plus tard dans les réglages de stockage de votre compte Apple ou Google (pour Google Drive, dans un navigateur, sous Paramètres → Gérer les applications, où vous pouvez supprimer les données d’application masquées de Waffenschrank). La marche à suivre pour supprimer votre compte — dans l’application ou sans elle — est décrite à la page Supprimer votre compte.

Là où nous nous fondons sur votre consentement – recherche Spotlight, sauvegarde iCloud et Drive, vitrines, pages de club, places de club, remplissage à partir de liens marchands et rapports de plantage –, vous pouvez le révoquer à tout moment avec effet pour l’avenir (art. 7, par. 3, du RGPD) : en désactivant la fonction, en mettant la vitrine hors ligne, en quittant la page de club ou en rendant votre place de club. Ce qui a été traité licitement jusque-là n’en est pas affecté. Vous révoquez votre consentement au rappel sans compte en retirant l’adresse (voir « Rappel avant la reconduction »).

Droit d’opposition (art. 21 du RGPD) : là où nous traitons des données sur la base d’intérêts légitimes (art. 6, par. 1, point f), du RGPD) – pour la vérification des mises à jour, la vérification des catalogues, la consultation de la boutique de votre appareil pour savoir si vous avez acheté Pro, la vérification, au premier lancement, de la présence d’une sauvegarde iCloud, la demande de l’information sur l’âge à la boutique, la vérification de l’application pour les vitrines et le formulaire de contact, les conseils sur les fonctions Pro, la conservation d’un plantage sur votre appareil, jusqu’à ce que vous décidiez d’envoyer ou non le rapport, la diffusion de notre site Web et le comptage des passages vers une boutique, la diffusion des vitrines à leurs visiteurs, ce que nous recevons au sujet de l’application de l’App Store et de Google Play, les messages envoyés via le formulaire de contact ou par courriel, la liste de suppression des courriels liés au compte, le rappel avant la reconduction de votre abonnement annuel ou trimestriel, la protection de l’adresse de rappel contre les abus, la conservation de nos décisions sur les signalements au titre du règlement sur les services numériques et la preuve de votre acceptation des conditions d’utilisation –, vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière; un message informel à kontakt@waffenschrank.app suffit. Nous cessons alors de traiter les données, à moins que nous ne puissions démontrer des motifs légitimes impérieux prévalant sur vos intérêts, ou que le traitement serve à la constatation, à l’exercice ou à la défense de droits en justice. L’application ne permet pas de désactiver la vérification des mises à jour et des catalogues, cette consultation de la boutique, la demande de l’information sur l’âge ni la vérification de l’application; on ne peut les éviter qu’en cessant d’utiliser l’application – la vérification de l’application aussi en ne publiant ni vitrine ni page de club, en mettant hors ligne vos vitrines publiées (sinon l’application les rafraîchit elle-même) et en nous écrivant par courriel plutôt que par le formulaire de contact. Vous pouvez en outre, à tout moment et sans avoir à vous justifier, vous désabonner du rappel avant la reconduction (voir « Rappel avant la reconduction »). Vous pouvez en outre vous opposer à tout moment et sans avoir à vous justifier aux conseils sur les fonctions Pro (art. 21, par. 2, du RGPD), le plus simplement en les désactivant dans « Mon profil », sous « Conseils sur les fonctions Pro ». La conservation d’un plantage se désactive sous Plus → Sécurité avec « Demander après plantage ».

Sort des données après le décès : vous pouvez nous indiquer par courriel à kontakt@waffenschrank.app ce qu’il doit advenir, après votre décès, des données que nous détenons (compte, vitrines, pages de club) et désigner une personne à qui nous les communiquerons ou qui pourra en demander l’effacement. À défaut de directives, vos héritiers peuvent en demander l’effacement; il nous faut alors une preuve du décès et de leur qualité d’héritier. Nous ne pouvons communiquer à personne le contenu de votre sauvegarde infonuagique sous une forme lisible : il est chiffré de bout en bout. Pour les utilisateurs en France, il s’agit de l’information prévue à l’article 85 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Cette déclaration décrit le traitement réel des données effectué par l’application. Pour toute question : kontakt@waffenschrank.app