BoxTales · Android

Politique de confidentialité

Dernière mise à jour : 20 octobre 2026

1. Qui est responsable de vos données ?

Charlotte Cachet, entrepreneur individuel (EI) exerçant sous le nom commercial Lucidblur, édite BoxTales et décide de l’usage des données décrites ici. Elle est la responsable du traitement.

Adresse professionnelle :
Contact pour toute question sur vos données : contact@lucidblur.fr

Cette politique couvre l’application BoxTales et sa présentation sur le site https://lucidblur.fr. Voir aussi les mentions légales et les conditions d’utilisation.

2. Votre inventaire reste sur votre appareil

Les espaces, rangements, emplacements, objets, quantités et notes que vous saisissez sont enregistrés dans une base de données locale, sur votre téléphone. Ils ne sont envoyés à aucun serveur : nous ne pouvons ni les lire, ni les modifier, ni les effacer à distance.

Ils restent sur votre appareil jusqu’à ce que vous les supprimiez. Désinstaller l’application ou effacer ses données les fait disparaître, sauf si une sauvegarde de votre téléphone ou un fichier exporté (§ 9) en garde une copie.

3. L’analyse des photos par intelligence artificielle

Analyser une photo est toujours facultatif. Toutes les fonctions de saisie manuelle marchent sans.

Quand vous lancez une analyse, la photo est envoyée à nos fonctions serveur Firebase, puis à l’API Gemini de Google, qui renvoie une liste d’objets proposée. BoxTales n’enregistre pas la photo sur un serveur et ne constitue aucune galerie.

Gemini est utilisé dans le cadre des services payants de Google. Selon ses conditions, Google n’utilise pas ces contenus pour améliorer ses produits, mais conserve les photos envoyées et les réponses pendant une durée limitée, qu’il ne précise pas, uniquement pour détecter les abus et respecter ses obligations légales. Ces données peuvent être stockées temporairement dans tout pays où Google dispose d’installations.

Pour qu’une coupure de réseau ne vous fasse pas perdre un scan, la liste d’objets proposée est gardée sur notre serveur 24 heures au plus, puis effacée automatiquement. Une trace technique de la demande, sans la liste d’objets, est gardée 30 jours pour éviter de débiter deux fois le même scan.

Aucune décision automatisée. L’IA propose, vous vérifiez, corrigez et validez. Rien n’est enregistré sans votre accord.

Photographiez des objets, pas des personnes, des documents d’identité ou des papiers confidentiels : ils n’apportent rien à l’analyse et seraient transmis avec le reste de la photo.

4. Identifiant technique, solde de scans et empreinte de l’appareil

BoxTales ne vous demande ni nom, ni adresse e-mail, ni mot de passe. Pour tenir votre solde de scans, l’application crée tout de même un identifiant technique grâce à l’authentification anonyme de Firebase. « Anonyme » est le nom de la fonction chez Google : au sens du droit, cet identifiant reste une donnée personnelle, puisqu’il rattache un solde et des demandes d’analyse à votre installation.

Sur Android, les scans de bienvenue ne sont offerts qu’une fois par téléphone. Pour le vérifier, l’application lit l’identifiant qu’Android attribue à BoxTales sur votre appareil (ANDROID_ID). Notre serveur ne le conserve pas : il en calcule une empreinte à l’aide d’une clé secrète, ne garde que cette empreinte et la compare à celles des téléphones déjà servis. Elle ne sert à rien d’autre, n’est partagée avec personne et ne permet pas de vous suivre dans d’autres applications. Si l’identifiant ne peut pas être lu, l’application fonctionne normalement, sans scans de bienvenue.

Pour traiter les demandes et bloquer les abus, les services de Google traitent aussi des données de connexion : adresse IP et attestation que la demande vient bien de l’application officielle (Firebase App Check).

5. Pourquoi, sur quelle base, et combien de temps

• Analyser vos photos et tenir votre solde de scans : photo, liste d’objets proposée, identifiant technique, solde. Base : l’exécution du service que vous demandez (art. 6.1.b du RGPD). Durée : liste d’objets 24 heures ; identifiant technique et solde 3 ans après votre dernière utilisation de l’application, puis effacés, scans restants compris.
• Éviter qu’un scan soit débité deux fois : trace technique de la demande, sans son contenu. Base : l’exécution du service. Durée : 30 jours.
• N’offrir les scans de bienvenue qu’une fois par téléphone : empreinte de l’appareil. Base : notre intérêt légitime à empêcher qu’une offre gratuite soit réclamée en boucle (art. 6.1.f). Durée : 3 ans après l’attribution des scans.
• Sécuriser le service : adresse IP, attestation App Check, journaux techniques. Base : notre intérêt légitime à protéger le service. Durée : 30 jours pour les journaux de nos fonctions serveur ; d’après Google, quelques semaines pour les adresses IP journalisées par l’authentification Firebase.
• Vous répondre si vous nous écrivez : votre adresse e-mail et votre message. Base : notre intérêt légitime à assurer l’assistance. Durée : 3 ans après notre dernier échange.

Fournir ces données n’est pas une obligation légale. Sans elles, l’analyse par IA ne peut pas fonctionner ; la saisie manuelle, si.

6. Qui reçoit vos données, et où

• Google (Firebase) : identifiant technique, solde, empreinte de l’appareil, exécution des analyses, protection des accès. Google agit comme sous-traitant, selon ses conditions de traitement des données.
• Google (API Gemini) : reconnaissance des objets sur la photo.
• Google Play : téléchargement de l’application et, quand ils seront ouverts, paiement des packs de scans, selon ses propres règles de confidentialité.
• SARL alwaysdata, 91 rue du Faubourg Saint-Honoré, 75008 Paris, France : hébergement du site.

Nos fonctions serveur tournent dans la région Google Cloud de Paris (europe-west9) et la base qui tient les soldes aussi. Mais l’authentification Firebase s’exécute, d’après Google, uniquement depuis les États-Unis, et Gemini peut traiter les photos dans d’autres pays. Ces transferts hors de l’Espace économique européen reposent sur l’adhésion de Google au cadre de protection des données UE–États-Unis (Data Privacy Framework) et sur les clauses contractuelles types de la Commission européenne prévues par ses conditions.

Nous ne vendons ni ne louons aucune donnée, à personne.

7. Sécurité

• Toutes les communications avec nos serveurs sont chiffrées (HTTPS).
• Seule l’application officielle peut appeler nos fonctions serveur : chaque demande est vérifiée par Firebase App Check.
• L’application ne peut pas modifier un solde : seul notre serveur le fait. Les empreintes d’appareil ne sont lisibles par aucune application.
• L’identifiant Android n’est jamais conservé tel quel, seulement son empreinte, calculée avec une clé gardée dans le coffre de secrets de Google Cloud.
• Nos journaux ne contiennent ni photo, ni liste d’objets, ni contenu de vos rangements.

En cas de violation de données présentant un risque pour vous, nous préviendrons l’autorité compétente et, quand la loi l’exige, les personnes concernées.

8. Publicité, statistiques, achats

BoxTales ne contient aucun module publicitaire, aucun outil de mesure d’audience et aucun outil de rapport de plantage. Si l’un d’eux est ajouté, cette politique sera mise à jour avant la version de l’application qui l’embarque.

Les achats de packs de scans ne sont pas encore ouverts. Avant leur ouverture, cette politique précisera les données traitées par Google Play et par RevenueCat, le service qui nous confirmera les achats.

9. Sauvegarde et export

L’écran « Mes données » permet d’exporter votre inventaire dans un fichier, sans photos, puis de le restaurer. Ce fichier reste sous votre contrôle : si vous le confiez à un service de stockage en ligne ou à une messagerie, ce service le traite selon ses propres règles.

10. Autorisations de l’appareil et site web

L’appareil photo sert à photographier un rangement ou à lire une étiquette QR ; la sélection de fichiers, à importer une image ou à restaurer une sauvegarde. Chaque autorisation se gère dans les réglages du téléphone. La refuser bloque seulement la fonction concernée.

Le site ne dépose aucun cookie et ne contient ni mesure d’audience ni publicité. Son hébergeur traite les données de connexion nécessaires à son fonctionnement et à sa sécurité (adresse IP, date, pages demandées), pendant 30 jours.

11. Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, leur portabilité ou la limitation de leur traitement, et vous opposer aux traitements fondés sur notre intérêt légitime. Écrivez à contact@lucidblur.fr. Nous répondons dans un délai d’un mois.

Comme BoxTales ne sait pas qui vous êtes, nous ne pouvons retrouver vos données serveur qu’avec l’identifiant technique affiché dans l’application, écran « Mes données ». Joignez-le à votre demande. Nous ne vous demanderons aucun justificatif d’identité.

Deux précisions, pour que vous sachiez à quoi vous attendre :

• Effacer votre identifiant technique efface aussi votre solde : les scans restants, offerts ou achetés, sont perdus.
• L’empreinte de l’appareil n’a d’utilité que si elle survit à une réinstallation. Nous pouvons donc la conserver malgré une demande d’effacement, jusqu’au terme prévu au § 5. Elle ne révèle rien d’autre sur vous.

Vos inventaires ne sont que sur votre téléphone : vous les gérez dans l’application, et les supprimer ou désinstaller l’application suffit à les effacer.

Vous pouvez adresser une réclamation à la CNIL (cnil.fr) ou à l’autorité de protection des données de votre pays (§ 13).

12. Âge minimum

BoxTales est réservée aux personnes de 18 ans et plus : les conditions du service d’IA qui analyse les photos l’imposent. L’application ne s’adresse pas aux enfants et nous ne collectons pas sciemment leurs données.

13. Selon votre pays

Cette politique suit le règlement général sur la protection des données (RGPD), qui s’applique dans l’Union européenne, en Islande, au Liechtenstein et en Norvège. Ailleurs, ces précisions s’ajoutent.

• Royaume-Uni : vos droits sont ceux du UK GDPR. Autorité : Information Commissioner’s Office (ico.org.uk).
• Suisse : vos données peuvent être transférées aux États-Unis (§ 6). Autorité : Préposé fédéral à la protection des données et à la transparence (edoeb.admin.ch).
• Canada : vos renseignements personnels sont traités aux États-Unis et en Europe (§ 6). Autorité : Commissariat à la protection de la vie privée du Canada (priv.gc.ca).
• Québec : la responsable de la protection des renseignements personnels est Charlotte Cachet, éditrice de BoxTales, joignable à contact@lucidblur.fr. Autorité : Commission d’accès à l’information (cai.gouv.qc.ca).
• Australie et Nouvelle-Zélande : vos données sont traitées hors de votre pays, dans les conditions du § 6. Autorités : Office of the Australian Information Commissioner (oaic.gov.au) et Office of the Privacy Commissioner (privacy.org.nz).
• Monaco : autorité : Autorité de protection des données personnelles (apdp.mc).
• États-Unis : nous ne vendons ni ne partageons vos données personnelles au sens des lois des États, et ne faisons aucune publicité ciblée. Le site et l’application ne suivent pas votre activité sur d’autres sites ou applications ; ils ne réagissent donc pas différemment aux signaux « Do Not Track ».

14. Évolution de cette politique

La date de la dernière mise à jour figure en tête de page. Si un changement demande votre accord, l’application vous le demandera avant de l’appliquer.