Politique de confidentialité | Coffee or Tea on Me

La présente Politique de confidentialité explique les informations que Coffee or Tea on Me Inc. (« Coffee or Tea on Me », « nous » ou « notre ») collecte lorsque tu utilises notre application mobile (le « Service »), comment nous utilisons ces informations, avec qui nous les partageons, et les droits dont tu disposes sur tes données. En utilisant le Service, tu acceptes la présente Politique de confidentialité. Si tu n'es pas d'accord, n'utilise pas le Service.

1. Ce que nous collectons

1.1 Données d'identité

Nom légal, extrait par reconnaissance optique de caractères (OCR) à partir de ta pièce d'identité officielle avec photo. Ton prénom est affiché sur ton profil et ne peut pas être masqué — tes correspondances voient avec qui elles discutent.
Date de naissance, extraite de ta pièce d'identité. Nous utilisons la date de naissance pour confirmer que tu as 18 ans ou plus et pour calculer « l'âge » affiché sur ton profil.
Image du document d'identité — le recto et (le cas échéant) le verso de ta pièce d'identité gouvernementale. Ces images sont téléversées vers notre pipeline de vérification et sont supprimées dès que ta vérification est complétée, et dans tous les cas dans les 7 jours suivant le téléversement — y compris les tentatives qui échouent ou que tu abandonnes en cours de route. Nous ne conservons que les champs textuels extraits par OCR et la signature faciale décrite ci-dessous. Nous ne gardons aucune copie de ta pièce d'identité.
Signature faciale (donnée biométrique) — une représentation numérique de ton visage (un « vecteur »), calculée par AWS Rekognition à partir du portrait figurant sur ta pièce d'identité et de ton scan facial en direct. Ce n'est pas une photo et on ne peut pas la reconvertir en photo. Nous l'utilisons pour (a) confirmer que la personne devant la caméra est bien celle figurant sur la pièce et (b) empêcher qu'un même être humain détienne plus d'un compte. Elle est stockée dans une collection de visages AWS Rekognition, avec une empreinte SHA-256 unidirectionnelle de son identifiant dans notre base de données, et elle est conservée tant que ton compte est vérifié. Si ton compte est supprimé ou banni, seule l'empreinte unidirectionnelle est conservée, à titre de signature antirobot anonymisée sans nom, e-mail ni photo; elle est purgée automatiquement sur une base glissante de trois ans, et tu peux la faire effacer plus tôt à tout moment depuis Réglages → Confidentialité → Demander la suppression des données faciales.
Scan facial en direct (vivacité) — la vérification AWS Rekognition Face Liveness transmet une courte vidéo de ton visage directement de ton appareil vers AWS afin de détecter les tentatives d'usurpation (photos fixes, masques, rejeux, hypertrucages). Nous ne recevons jamais cette vidéo, et AWS est configuré pour ne conserver aucune image de cette vérification. AWS retourne une seule image fixe de référence de ton visage, et nous conservons cette image dans un stockage privé à accès contrôlé aussi longtemps que ton compte demeure vérifié. Elle sert à une seule chose : chaque photo que tu téléverses par la suite y est comparée, afin que personne ne puisse mettre les photos d'une autre personne sur un profil vérifié. Elle est supprimée lorsque tu supprimes ton compte et lorsque tu utilises Réglages → Confidentialité → Demander la suppression des données faciales. Si nous te demandons plus tard de te revérifier (une brève vérification « regarde à gauche / à droite »), ce clip est supprimé dans les 7 jours — sauf si cette vérification échoue ou si ton compte est signalé pour examen de sécurité, auquel cas nous conservons le clip comme preuve de fraude et de sécurité aussi longtemps que nécessaire pour enquêter.

1.2 Données de profil

Photos que tu téléverses (jusqu'à 6). Chaque photo passe par notre pipeline de revue avant d'apparaître sur ton profil : modération AWS Rekognition pour la nudité / le contenu suggestif / la violence, comparaison faciale avec ta pièce d'identité vérifiée, vérifications EXIF et de cohérence des métadonnées, et une liste de blocage par hachage perceptuel des images déjà rejetées.
Bio, réponses aux prompts et centres d'intérêt que tu rédiges ou choisis.
Attributs de mode de vie que tu choisis de divulguer : tabac, alcool, enfants, désir d'enfants, animaux.
Caractéristiques : genre (masculin ou féminin, conforme à ta pièce), taille, ville.
Objectif relationnel : mariage, long terme, amitié, indécis, sans engagement.

1.3 Données comportementales

Les notes que tu écris aux autres membres, et les marges — ce que tu écris dans les marges du passage quotidien partagé.
Les conversations qui s'ouvrent lorsqu'une personne te répond, avec leurs messages, pièces jointes et réactions.
L'horodatage de dernière activité, utilisé pour montrer aux personnes avec qui tu écris à quel point tu étais récemment présent, et pour retirer les membres inactifs des surfaces de lecture.
Les jetons de notification push, utilisés pour livrer les notifications de notes et de messages.

1.4 Données d'appareil

Adresse IP, utilisée à l'inscription et périodiquement par la suite pour déterminer ton pays et ta région. Nous ne conservons pas d'adresses IP rattachées à ton profil au-delà de ce que notre hébergeur conserve dans ses journaux opérationnels (généralement 30 jours).
Jetons iOS DeviceCheck et App Attest — attestations émises par Apple utilisées pour détecter les appareils émulés ou compromis lors de l'inscription. Ces jetons ne peuvent pas être rattachés à ton identifiant Apple par nos soins; nous ne recevons qu'une clé opaque.
Modèle d'appareil, version iOS, version de l'application et fuseau horaire, envoyés avec les requêtes API à des fins de compatibilité et de débogage.

Remarque sur la localisation : l'application n'accède pas à la localisation de ton appareil. La ville affichée sur ton profil est un texte que tu saisis toi-même lors de l'onboarding ; elle sert à estimer la distance entre toi et les correspondances potentielles. Nous ne demandons pas l'autorisation de localisation iOS et nous ne collectons pas de coordonnées GPS.

1.5 Analytique

Nous n'intégrons aucun SDK tiers d'analytique produit ou de rapport de plantage dans l'application. L'application n'envoie aucune télémétrie tierce. Comme nous ne réalisons aucun suivi inter-applications ou inter-sites, l'invite App Tracking Transparency d'iOS n'est pas requise et nous n'en affichons pas.
Nous n'utilisons pas le SDK Facebook, Google Analytics, AppsFlyer, PostHog, Sentry, ni aucun autre réseau publicitaire tiers. Nous n'affichons pas de publicités dans l'application.
Nous collectons en revanche des données d'analytique d'usage de première partie sur notre propre backend : ouverture/fermeture de l'application, durée de session, écrans consultés et leur durée d'affichage, parcours de navigation, et complétion de l'entonnoir d'inscription/vérification. Ces événements servent à améliorer l'application et à détecter les abus. Les événements bruts sont conservés jusqu'à 180 jours puis supprimés. Des agrégats anonymisés (sans identifiant d'utilisateur) peuvent être conservés indéfiniment à des fins d'analyse de tendances. Nous ne partageons pas ces événements avec des annonceurs, des courtiers en données ou des réseaux de marketing.
Notre backend conserve également des journaux de requêtes opérationnels (voir Section 4) à des fins de débogage et de prévention des abus ; ils sont de première partie et de courte durée.

2. Comment nous utilisons tes informations

Nous utilisons les informations décrites ci-dessus pour :

Fournir le Service — te présenter des correspondances potentielles correspondant à tes filtres, transmettre les messages, envoyer les notifications push, afficher ton profil.
Vérifier ton identité — confirmer que tu es un être humain réel, vivant, âgé de 18 ans ou plus, et que la pièce d'identité scannée correspond au visage observé.
Prévenir les abus — détecter les comptes en double, les pièces d'identité frauduleuses, les escroqueries et les comportements de harcèlement.
Exploiter et déboguer le Service — diagnostiquer les erreurs et pannes au moyen de journaux serveurs de première partie de courte durée.
Faire respecter nos conditions — enquêter sur les signalements, appliquer les actions de modération, répondre aux demandes légales.
Communiquer avec toi — statut de vérification, notifications de correspondance, alertes de sécurité, mises à jour de service occasionnelles. Nous n'envoyons pas d'e-mails marketing sans ton consentement explicite.

Nous ne vendons pas tes informations personnelles. Nous ne louons pas tes informations personnelles. Nous ne partageons pas tes informations personnelles avec des annonceurs, courtiers en données ou réseaux marketing.

3. Avec qui nous partageons des informations

Nous partageons des informations avec un petit nombre de prestataires strictement pour exploiter le Service :

Supabase Inc. — hébergement de la base de données Postgres, authentification, stockage de fichiers et canaux en temps réel. Notre projet Supabase est hébergé dans la région canadienne (AWS ca-central-1, Montréal); tes images de pièce d'identité, l'image de référence de vivacité et l'empreinte de la signature faciale y sont stockées.
Amazon Web Services, Inc. (AWS) — Rekognition pour la vivacité faciale, la comparaison et l'indexation des visages; Textract pour la reconnaissance de texte sur les pièces d'identité; S3 et Lambda pour les pipelines de traitement; Bedrock pour la classification de modération (jamais pour générer du contenu destiné aux utilisateurs). Rekognition et Textract traitent tes données faciales et d'identité dans la région AWS us-east-1 (États-Unis), où réside également la collection de visages Rekognition. Toutes les ressources AWS sont isolées dans l'espace de noms du compte Coffee or Tea on Me et accessibles uniquement via des rôles IAM restreints.
Resend, Inc. — distribution d'e-mails transactionnels (e-mails de vérification, alertes de sécurité, réponses du support). Resend n'est pas autorisé à utiliser ton e-mail à des fins marketing.
Apple Inc. — hébergement App Store, achats intégrés (StoreKit 2), notifications push (APNS), DeviceCheck et App Attest. Le traitement de ces données par Apple est régi par la Politique de confidentialité d'Apple.

Nous n'utilisons pas de prestataire tiers d'analytique ou de rapport de plantage ; aucun SDK de ce type n'est intégré à l'application.

Nous pouvons également partager des informations lorsque la loi l'exige, en réponse à une procédure légale valide (assignation, ordonnance du tribunal, mandat de perquisition), pour protéger les droits ou la sécurité des utilisateurs ou du public, ou dans le cadre d'une transaction d'entreprise (fusion, acquisition, cession d'actifs) — dans ce dernier cas, tes informations continueront d'être régies par une politique de confidentialité au moins aussi protectrice que celle-ci.

Nous ne transférons pas d'informations personnelles à des réseaux publicitaires, courtiers en données ou tiers à des fins de publicité ou de marketing.

4. Conservation

Images de pièces d'identité : supprimées dès que la vérification est complétée, et dans tous les cas dans les 7 jours suivant le téléversement — y compris les tentatives échouées et abandonnées, balayées par une tâche nocturne.
Image de référence de vivacité (l'unique image fixe retournée par AWS lors du scan facial en direct) : conservée tant que ton compte est vérifié, puis supprimée lorsque tu supprimes ton compte ou demandes la suppression de tes données faciales. La vidéo de vivacité elle-même n'est jamais stockée — ni par nous, ni par AWS.
Clips vidéo de revérification (la vérification « regarde à gauche / à droite ») : supprimés dans les 7 jours lorsque la vérification réussit et que le compte est en règle. Les clips issus de vérifications échouées ou de comptes signalés sont conservés comme preuve de fraude et de sécurité.
Résultats OCR (nom, date de naissance, champs du document) : conservés tant que ton compte existe.
Signature faciale : conservée tant que ton compte est vérifié. Lorsque tu supprimes ton compte, ou que tu utilises Réglages → Confidentialité → Demander la suppression des données faciales, le vecteur est retiré immédiatement de notre index de vérification. Pour empêcher les utilisateurs bannis et les comptes supprimés de se réinscrire aussitôt, une signature antirobot anonymisée (une empreinte unidirectionnelle, sans nom, e-mail ni photo) peut être conservée après la suppression; elle est purgée automatiquement sur une base glissante de trois ans, et tu peux en demander l'effacement à tout moment depuis Réglages → Confidentialité. L'effacement est réel : une fois la signature disparue, tu n'es pas exclu de façon permanente et tu peux te vérifier de nouveau plus tard.
Données de profil, photos, notes, marges, conversations : conservés tant que ton compte existe. À la suppression du compte, ces données sont effacées définitivement de notre base de données sous 30 jours, sauf lorsque leur conservation est requise pour des motifs légaux, de sécurité ou de prévention de la fraude (voir Section 7).
Journaux opérationnels (adresses IP, horodatage des requêtes, traces d'erreurs) : conservés jusqu'à 30 jours par nos hébergeurs, puis rotés. Nous ne conservons aucun magasin distinct d'événements d'analytique tiers.
Signalements de contenu inacceptable ou d'utilisateurs abusifs : conservés indéfiniment afin de reconnaître les récidivistes et de respecter notre engagement de revue en 24 heures.

5. Tes droits

Sous réserve du droit applicable, tu as le droit de :

Accéder aux informations que nous détenons à ton sujet. Écris à support@coffeeorteaonme.com depuis l'adresse associée à ton compte.
Corriger des informations inexactes. La plupart des champs de profil peuvent être modifiés directement dans l'application ; pour les corrections de nom légal (qui nécessitent une nouvelle vérification avec une pièce d'identité mise à jour), écris au support.
Supprimer ton compte en trois touchers depuis Profil → Réglages → Supprimer le compte. La suppression côté serveur se complète en 30 jours et supprime aussi ton vecteur facial et l'image de référence de vivacité conservée. Si tu veux effacer tes données faciales sans supprimer ton compte (par exemple pour retirer ton consentement à la conservation biométrique), utilise Réglages → Confidentialité → Demander la suppression des données faciales — l'opération est immédiate et révoque ton statut d'humain vérifié jusqu'à ce que tu te vérifies de nouveau.
Porter tes données — demander un export de ton profil, de tes photos et de ton historique de conversations dans un format lisible par machine (JSON pour les données structurées, médias originaux pour les photos).
T'opposer à certains traitements, restreindre certains traitements et retirer ton consentement au traitement biométrique à tout moment. Retirer ton consentement au traitement biométrique équivaut à supprimer ton compte, car la vérification biométrique est une condition d'utilisation du Service.
Déposer une réclamation auprès d'une autorité de contrôle — par exemple, la Commission nationale de l'informatique et des libertés (CNIL) en France, ou ton autorité locale de protection des données dans l'Espace économique européen.

Nous répondrons aux demandes valides sous 30 jours, et dans des délais plus courts lorsque le droit applicable l'exige.

6. Enfants

Coffee or Tea on Me s'adresse aux adultes de 18 ans et plus. Nous ne collectons pas sciemment d'informations auprès de personnes de moins de 18 ans. Si nous apprenons avoir collecté des informations auprès d'une personne de moins de 18 ans, nous les supprimerons immédiatement. Si tu penses qu'un enfant utilise le Service, contacte support@coffeeorteaonme.com.

7. Conservation pour motifs légaux et de sécurité

Nonobstant les délais de suppression de la Section 4, nous pouvons conserver des données limitées si cela est nécessaire pour :

Empêcher la réinscription d'un utilisateur banni — plus précisément, la signature faciale anonymisée d'un utilisateur exclu demeure dans notre index de déduplication jusqu'à ce qu'elle soit effacée sur demande ou purgée par le calendrier de conservation glissant de trois ans.
Enquêter sur, prévenir ou répondre à la fraude, l'abus, le harcèlement ou les activités illégales.
Faire respecter notre CLUF et protéger les droits et la sécurité des utilisateurs et du public.
Protéger contre la réinscription d'un utilisateur banni — précisément, le vecteur facial d'un utilisateur résilié reste dans notre index de déduplication à moins qu'une demande de suppression réussie ne soit faite.

8. Transferts internationaux

Coffee or Tea on Me opère depuis le Canada et utilise une infrastructure cloud aux États-Unis et au Canada. En utilisant le Service, tu comprends que tes informations seront transférées et traitées dans ces juridictions. Nous nous appuyons sur des clauses contractuelles types, les certifications de conformité côté prestataire (SOC 2, ISO 27001) et les garanties applicables de transfert transfrontalier.

9. Sécurité

Nous protégeons tes informations avec des garanties conformes aux normes du secteur : TLS 1.2+ en transit, AES-256 au repos pour les images de pièces d'identité et les vecteurs faciaux, rôles IAM à portée limitée, sécurité au niveau ligne dans notre base de données, et accès en moindre privilège pour notre petite équipe. Aucun système n'est parfaitement sécurisé ; si nous découvrons un incident de sécurité affectant tes données, nous t'en informerons et préviendrons les autorités compétentes rapidement, conformément au droit applicable.

10. Modifications de la présente Politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. Les changements substantiels seront communiqués dans l'application et par e-mail au moins 14 jours avant leur entrée en vigueur. La version en vigueur est toujours disponible dans Réglages → Mentions légales → Politique de confidentialité.

11. Contact

Questions sur la confidentialité, demandes de données ou réclamations : support@coffeeorteaonme.com.

Coffee or Tea on Me Inc. Montréal, Québec, Canada