Politique de confidentialité

Dernière mise à jour : 15/10/2026

Cette politique de confidentialité décrit la manière dont Pokdex collecte, utilise et protège vos données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

1. Responsable du traitement

Adresse : 30 Rue Léon Dupontreué, 80000 Amiens, France
Email : contact@pokdex.com

2. Données collectées

Lors de votre utilisation du Service, nous collectons et traitons les catégories de données suivantes :

Données fournies à l'inscription

Adresse email
Nom d'utilisateur (username)
Mot de passe (stocké de manière chiffrée et irréversible — hash bcrypt)

Données fournies via Google (en cas d'inscription via Google OAuth)

Adresse email associée à votre compte Google
Nom et photo de profil publics
Identifiant Google unique

Données fournies via Apple (en cas de connexion avec Apple)

Identifiant Apple unique
Adresse email associée à votre compte Apple, ou adresse de relais si vous choisissez de la masquer : les emails que nous vous envoyons passent alors par le service de relais d'Apple, qui les transmet à votre adresse réelle
Un jeton technique, qui nous permet de retirer l'accès de Pokdex à votre compte Apple quand vous supprimez votre compte

Nous ne demandons pas votre nom à Apple.

Données générées par votre utilisation du Service

Cartes et produits scellés ajoutés à votre collection
Prix d'achat, dates d'acquisition, quantités, états (si renseignés)
Date de création de votre compte, date de votre dernière activité
Plan d'abonnement (FREE ou PRO)

Données techniques

Adresse IP (uniquement pour la sécurité du Service et la prévention d'abus)
Type de navigateur et appareil (à des fins de compatibilité)

Données des notifications de l'application mobile (uniquement si vous les avez autorisées, et jusqu'à ce que vous les coupiez ou que vous vous déconnectiez de l'application, voir § 6)

Jeton de notification de votre appareil, qui permet de lui adresser des notifications
Système de votre appareil (iOS ou Android) et version de l'application
Historique des notifications envoyées : contenu, date d'envoi et accusé de réception

Données de mesure publicitaire (uniquement avec votre consentement, voir § 8)

Identifiant du clic sur l'annonce ChatGPT (mémorisé 30 jours sur votre appareil, puis cookie __oppref)
Identifiant aléatoire de navigateur (cookie __obref)
Adresse des pages consultées, sans leurs paramètres
En cas d'abonnement PRO : plan, montant et identifiant technique du paiement

Nous ne collectons pas

De données bancaires en direct (en cas d'abonnement PRO, les paiements sont traités par notre prestataire Stripe, qui collecte directement les informations bancaires sans qu'elles transitent par Pokdex)
De données de localisation précise
De données de comportement publicitaire (profilage, publicité ciblée)

3. Finalités du traitement et bases légales

Vos données sont traitées pour les finalités suivantes :

Finalité	Base légale (RGPD art. 6)
Création et gestion de votre compte utilisateur	Exécution du contrat
Fourniture du Service de gestion de collection	Exécution du contrat
Envoi d’emails transactionnels (confirmation inscription, réinitialisation mot de passe, magic link)	Exécution du contrat
Gestion de l’abonnement PRO	Exécution du contrat
Envoi des notifications de l’application mobile	Consentement (art. 6.1.a du RGPD) : l’autorisation que vous donnez sur votre téléphone, retirable à tout moment, dans l’application ou dans les réglages de votre téléphone
Mesure de l’efficacité des annonces ChatGPT : attribution d’une visite, puis d’un éventuel abonnement PRO, à l’annonce qui vous a amené (cookies et transmission à OpenAI décrits aux § 4 et § 8)	Consentement (art. 6.1.a du RGPD et art. 82 de la loi Informatique et Libertés), retirable à tout moment, sans effet sur le Service
Sécurité du Service et prévention de la fraude	Intérêt légitime
Respect d’obligations légales (conservation comptable, demandes d’autorités)	Obligation légale

4. Destinataires de vos données

Vos données ne sont jamais vendues à des tiers. Elles peuvent être communiquées aux destinataires suivants, exclusivement dans le cadre de l'exécution du Service :

Destinataire	Rôle	Données concernées
Vercel (États-Unis)	Hébergement du site	Données de navigation, adresse IP
Railway (États-Unis)	Hébergement de l’API et de la base de données	Ensemble des données de votre compte
Stripe (États-Unis / Irlande)	Paiement et gestion des abonnements PRO	E-mail, identifiant client, données de facturation
Mailgun (société américaine ; messages et journaux hébergés dans l’Union européenne, voir § 5)	Envoi des e-mails transactionnels	E-mail, contenu des messages envoyés
Brevo (Union européenne)	Journaux des e-mails envoyés avant notre passage à Mailgun, et envoi en secours si nous devons revenir temporairement à Brevo, jusqu’à la fermeture de notre compte Brevo	E-mail, contenu des messages envoyés
Sentry (États-Unis)	Supervision technique et journaux d’erreur	Données techniques, identifiant de compte le cas échéant
Cloudflare (États-Unis)	Hébergement des visuels de cartes	Aucune donnée de compte
Umami (États-Unis)	Mesure d’audience sans cookie ni identifiant	Pages consultées, aucune donnée permettant de vous reconnaître
OpenAI (États-Unis)	Mesure des conversions des annonces ChatGPT, uniquement si vous arrivez d’une annonce ET que vous l’acceptez	Identifiant du clic publicitaire, identifiant de navigateur, adresse IP et adresses des pages consultées (sans leurs paramètres) ; en cas d’abonnement, plan, montant et identifiant technique du paiement ; jamais votre e-mail, votre pseudo ni votre identifiant de compte
Google (États-Unis)	Connexion « Continuer avec Google », si vous l’utilisez	E-mail et nom du compte Google
Apple (États-Unis)	Connexion « Continuer avec Apple » : le script de connexion d’Apple est chargé dès l’affichage de la page de connexion, que vous l’utilisiez ou non ; relais des e-mails si vous avez masqué votre adresse	Adresse IP et informations techniques de navigation, dès l’affichage de la page de connexion ; si vous vous connectez avec Apple, en plus : identifiant Apple et adresse e-mail (réelle ou masquée) ; à la suppression de votre compte, la demande de retrait de l’accès de Pokdex
Expo (États-Unis)	Distribution des mises à jour de l’application mobile, et acheminement de ses notifications, qu’Expo transmet au service de notification d’Apple ou de Google, selon votre appareil	Si vous avez autorisé les notifications, et jusqu’à ce que vous les coupiez ou que vous vous déconnectiez de l’application (voir § 6) : jeton de notification de votre appareil et contenu des notifications qui vous sont envoyées ; aucune autre donnée de compte

Chacun de ces sous-traitants est engagé par contrat à respecter les obligations du RGPD et à protéger vos données. Mailgun agit en outre comme responsable de traitement indépendant pour certaines opérations liées à l'acheminement des e-mails : prévenir le spam et la fraude, sécuriser et maintenir son réseau, gérer son activité et respecter ses obligations légales. À ce titre, sur la base de son intérêt légitime, il conserve 30 jours une empreinte irréversible de votre adresse et les événements d'envoi, pour juger de la validité des adresses. Ces traitements relèvent de la politique de confidentialité de Mailgun (https://www.mailgun.com/legal/privacy-policy/), et vos droits s'exercent pour eux auprès de son délégué à la protection des données, dpo@sinch.com. Nous pouvons également être tenus de communiquer vos données à une autorité administrative ou judiciaire lorsque la loi nous y oblige.

5. Transferts de données hors Union Européenne

Une partie de nos sous-traitants (Vercel, Railway, Stripe, Sentry, Cloudflare, Umami, Google, Apple, OpenAI, Expo et Mailgun) sont établis aux États-Unis. Les transferts de données vers ces prestataires sont encadrés par :

L'adhésion de ces prestataires au Data Privacy Framework UE — États-Unis (cadre de transfert validé par la Commission européenne le 10 juillet 2023), ou
La signature de Clauses Contractuelles Types (CCT) validées par la Commission européenne, garantissant un niveau de protection équivalent à celui du RGPD.

6. Durée de conservation

Type de données	Durée
Données de compte (e-mail, pseudo, mot de passe, collection, favoris, alertes, Pokédex, notifications)	Tant que votre compte est actif. À la suppression du compte, ces données sont effacées immédiatement et définitivement, sans délai de conservation.
Copie de votre collection dans l’application mobile (sur votre téléphone)	Jusqu’à la fin de votre session dans l’application sur ce téléphone. Elle est effacée à la déconnexion, quand un autre compte s’y connecte et à la suppression du compte depuis l’application ; si la session prend fin ailleurs, dès que l’application l’apprend, en général à sa prochaine ouverture avec une connexion à Internet. Elle est remplacée à chaque changement de votre collection.
Enregistrement de compte anonymisé (identifiant technique, date de suppression, préférences d’affichage)	Conservé après la suppression, sans aucune donnée permettant de vous identifier. Votre adresse e-mail est remplacée par un identifiant neutre et redevient réutilisable : vous pouvez recréer un compte avec la même adresse.
Écritures de parrainage et de commission (si vous avez utilisé ou émis un lien d’invitation)	10 ans, avec les données de facturation auxquelles elles se rattachent. Elles ne comportent ni votre e-mail, ni votre pseudo.
Notifications de l’application mobile (jeton de notification de vos appareils, historique des notifications envoyées)	L’historique des notifications envoyées est effacé au bout de 90 jours. Le jeton d’un appareil est conservé tant que votre compte est actif ; s’il cesse de fonctionner, si vous coupez les notifications depuis l’application ou si vous vous déconnectez de celle-ci, il est désactivé et ne sert plus à aucun envoi. Si vous coupez les notifications dans les réglages de votre téléphone, il est désactivé dès que notre serveur en est informé, c’est-à-dire la prochaine fois que vous ouvrez l’application en étant connecté. L’un et l’autre sont effacés immédiatement à la suppression de votre compte.
Logs techniques (adresses IP, journaux d’erreur)	Selon les politiques de rétention de nos hébergeurs et de notre outil de supervision, 12 mois maximum
Emails transactionnels (journaux Mailgun)	Journaux d’envoi : 1 à 2 jours selon les pages de Mailgun, qui ne s’engage sur aucune durée maximale ; le contenu des messages n’est pas conservé. La liste des adresses auxquelles Mailgun n’écrit plus (envoi refusé définitivement, désinscription, signalement comme indésirable) est conservée tant que notre compte Mailgun existe, même après la suppression de votre compte. Ces données sont effacées dans les 90 jours qui suivent la fermeture de notre compte Mailgun. Mailgun conserve en outre, pour son propre compte, une empreinte irréversible des adresses pendant 30 jours (voir § 4).
Emails transactionnels envoyés par Brevo, avant notre passage à Mailgun ou en secours (journaux Brevo)	Journaux et aperçus des e-mails : conservés sans limite de durée, réglage par défaut de Brevo ; la liste des adresses auxquelles Brevo n’écrit plus (envoi refusé définitivement, désinscription, signalement comme indésirable) est conservée de même. Les uns et les autres le restent jusqu’à la fermeture de notre compte Brevo, dont nous demanderons alors l’effacement.
Données de facturation (identifiant client Stripe, factures, historique des paiements)	10 ans (obligation comptable légale française)
Cookies de mesure publicitaire d’OpenAI (uniquement si vous les avez acceptés, et déposés seulement sur la page de confirmation d’un abonnement, § 8)	__oppref : 30 jours ; __obref : 12 mois ; __oaiq_consent : 30 jours. Les trois sont effacés dès le retrait de votre consentement. Les événements transmis à OpenAI sont conservés selon sa propre politique de confidentialité.
Votre réponse au bandeau de mesure publicitaire, et l’identifiant du clic (stockage local du navigateur)	Un refus est conservé sans limite ; un accord expire de lui-même six mois après avoir été donné, et vous est alors redemandé ; l’identifiant du clic est conservé 30 jours, ou jusqu’au retrait.

Vous pouvez supprimer votre compte à tout moment depuis vos réglages, sur le site ou dans l'application mobile ; l'effacement est alors immédiat. Si vous n'avez plus accès à votre compte, écrivez-nous. Le détail figure sur la page dédiée.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie des données que nous détenons sur vous
Droit de rectification : corriger des données inexactes ou incomplètes
Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données — voir la procédure
Droit à la limitation du traitement
Droit d'opposition au traitement
Droit à la portabilité : récupérer vos données dans un format structuré
Droit de retirer votre consentement à tout moment, pour les traitements basés sur le consentement
Droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés, https://www.cnil.fr)

Pour exercer vos droits, contactez-nous à contact@pokdex.com en précisant votre demande et en justifiant de votre identité. Nous nous engageons à vous répondre dans un délai maximum d'un mois, conformément au RGPD.

8. Cookies

Sans votre consentement, Pokdex n'utilise que des cookies strictement nécessaires au fonctionnement du Service :

Cookie d'authentification : permet de vous maintenir connecté à votre compte entre les pages et entre deux visites. Il est déposé en mode httpOnly, donc inaccessible au JavaScript de la page.

Nous utilisons également le stockage local de votre navigateur pour conserver votre session affichée, vos préférences d'interface (thème, tri, onglet courant) et votre réponse au bandeau de mesure publicitaire décrit ci-dessous. Ces informations restent sur votre appareil et ne sont transmises à aucun tiers. Le masquage des montants est aussi enregistré sur votre compte, pour vous suivre d'un appareil à l'autre. Après une déconnexion, votre adresse e-mail, votre pseudo et la méthode de connexion que vous avez utilisée en dernier restent enregistrés sur votre appareil, pour vous proposer « Continuer en tant que… » ; aucun mot de passe n'y est conservé. « Utiliser un autre compte » les efface, tout comme la suppression de votre compte depuis cet appareil ; un compte qui n'existe plus est aussi oublié dès que vous le choisissez. Pendant le parcours de bienvenue, ce navigateur, ou l'application sur votre téléphone, retient aussi l'identifiant de votre compte et une date, pour ne pas vous le remontrer, jusqu'à deux jours ; rien d'autre n'est gardé, et la suppression de votre compte depuis cet appareil l'efface.

Dans l'application mobile, une copie de votre collection est aussi gardée sur votre téléphone : vos cartes et vos produits scellés, avec leurs prix et tout ce que vous y avez saisi (notamment prix et date d'achat, provenance, notes, frais de gradation et valeur estimée), ainsi que l'identifiant de votre compte. Elle sert à ne pas retélécharger toute votre collection à chaque ouverture : l'application demande seulement à nos serveurs si elle a changé. Elle n'est transmise à personne et n'est pas incluse dans les sauvegardes du téléphone. Elle est effacée quand vous vous déconnectez de l'application, quand un autre compte s'y connecte et quand vous supprimez votre compte depuis l'application. Si votre session prend fin ailleurs (suppression du compte ou changement de mot de passe depuis le site, déconnexion de tous vos appareils), elle est effacée dès que l'application l'apprend, en général la prochaine fois que vous l'ouvrez avec une connexion à Internet. Le système de votre téléphone peut aussi garder dans son cache réseau une copie de réponses récentes de nos serveurs : ce cache est géré par le système et l'application ne peut pas l'effacer elle-même. Nous lui demandons de ne garder aucune réponse liée à votre compte ; celles qu'il a pu garder avant cette demande, comme votre profil (adresse e-mail comprise) et votre tableau de bord (vos cartes en hausse ou en baisse, vos derniers ajouts), peuvent y rester jusqu'à ce que le système les remplace ou les efface.

Ces cookies sont exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés, car ils sont strictement nécessaires à la fourniture du Service.

Notre mesure d'audience (Umami) fonctionne sans cookie et sans identifiant : elle compte les pages consultées et ne permet pas de vous reconnaître d'une visite à l'autre. Pokdex n'utilise aucun traceur tiers à des fins de profilage ou de publicité ciblée ; la seule mesure publicitaire, décrite ci-dessous, n'existe qu'avec votre consentement et se limite à attribuer une visite ou un abonnement à une annonce.

Les e-mails que nous envoyons par Mailgun ne contiennent ni pixel de suivi ni lien traçant : nous n'en mesurons ni l'ouverture ni les clics. Si nous devons revenir temporairement à Brevo, celui-ci réécrit les liens de nos e-mails pour en compter les clics.

Cookies de mesure publicitaire (uniquement avec votre consentement)

Si vous arrivez sur Pokdex depuis une annonce diffusée dans ChatGPT, un bandeau vous demande si vous acceptez la mesure publicitaire d'OpenAI. Rien n'est déposé tant que vous n'avez pas accepté, et refuser ou ignorer le bandeau ne change rien à votre usage du Service. Si vous acceptez, Pokdex mémorise l'identifiant du clic sur votre appareil (30 jours), et le script de mesure d'OpenAI est chargé uniquement sur la page de confirmation d'un abonnement PRO, où il dépose trois cookies :

__oppref (30 jours) : l'identifiant du clic sur l'annonce, qui permet de lui attribuer votre visite ;
__obref (12 mois) : un identifiant de navigateur ;
__oaiq_consent (30 jours) : la mémoire de votre choix, accord ou refus.

Ces cookies servent à une seule chose : mesurer qu'une annonce a conduit à un abonnement PRO. Dans ce cas nous transmettons à OpenAI le plan souscrit, son montant et l'identifiant technique du paiement, jamais votre e-mail, votre pseudo ni votre identifiant de compte. Le script d'OpenAI comporte une fonction de rapprochement automatique (« automatic advanced matching ») qui lit les formulaires de la page où il tourne pour en tirer une empreinte de l'e-mail : c'est pourquoi il n'est jamais chargé sur une page de Pokdex qui porte un formulaire, et ne peut donc lire aucune donnée que vous saisissez. Votre accord expire de lui-même au bout de six mois. Vous pouvez le retirer à tout moment ci-dessous, ou depuis « Mes données » dans vos réglages : les trois cookies et l'identifiant du clic sont alors effacés, et seul votre refus est conservé sur votre appareil. Vous pouvez aussi effacer ces cookies depuis les réglages de votre navigateur.

Aucun choix enregistré sur ce navigateur : rien n’est déposé.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger vos données :

Chiffrement des communications (HTTPS / TLS)
Mots de passe stockés sous forme de hash bcrypt (irréversibles)
Sauvegardes régulières de la base de données
Accès aux données restreint au strict nécessaire
Surveillance des tentatives d'accès non autorisé

Aucun système n'étant infaillible à 100 %, nous nous engageons à vous informer en cas de violation de données vous concernant, conformément à l'article 34 du RGPD.

10. Mise à jour de la politique

Cette politique de confidentialité peut être amenée à évoluer. La date de dernière mise à jour est indiquée en haut de la page. Toute modification substantielle des traitements fondés sur le contrat ou l'intérêt légitime vous sera notifiée par e-mail avant son entrée en vigueur ; un traitement soumis à votre consentement vous est présenté au moment où ce consentement vous est demandé.

11. Contact

Pour toute question relative à cette politique de confidentialité ou au traitement de vos données : contact@pokdex.com