Politique de confidentialité

1. Qui traite vos données

Pokeback est édité par GABEM SAS, société par actions simplifiée au capital de 500 €, dont le siège est situé 11 avenue Ernest Lairolle, 06100 Nice, France, immatriculée au registre du commerce et des sociétés de Nice sous le numéro 105 578 355 (« nous »). Nous sommes responsable du traitement des données décrites ici. Pour toute question sur vos données : privacy@pokeback.app.

Pokeback est un outil de gestion pour les collectionneurs et revendeurs de cartes à collectionner : collection, achats et coûts, ventes, échanges, annonces, marges et suivi fiscal indicatif. Pokeback n’est pas une place de marché : nous n’achetons ni ne vendons rien pour vous et nous n’intervenons dans aucune transaction.

Cette politique couvre l’app iOS Pokeback (iPhone et iPad, avec ses widgets, son extension de partage et son App Clip), l’app web Pokeback et ce site.

2. Données que nous traitons

Nous ne demandons ni pièce d’identité, ni numéro fiscal, ni IBAN, ni identifiants de plateformes tierces (Vinted, Cardmarket, eBay, Leboncoin…). Nous ne connaissons jamais le mot de passe d’un service tiers.

3. Ce qui reste sur votre appareil

• Scan des cartes : le texte de la carte est lu sur votre appareil par la reconnaissance de texte d’Apple, qui calcule aussi une empreinte numérique de l’image. Pour reconnaître la carte, l’app envoie à notre serveur ce texte et cette empreinte. Avec une connexion, elle envoie aussi le recadrage de la carte (une image réduite d’environ 40 Ko) : notre serveur en calcule une empreinte, la compare aux illustrations du catalogue et ne garde pas l’image. Hors ligne, la reconnaissance se fait entièrement sur l’appareil. La photo n’est conservée sur notre serveur que si vous l’enregistrez comme photo de votre exemplaire.
• Améliorer la reconnaissance (réglage du scanner, activé par défaut, compte connecté) : quand vous validez une carte scannée, l’app envoie l’empreinte numérique de votre photo (environ 1 Ko, qui ne contient pas l’image) avec la carte choisie ; moyennée entre utilisateurs, elle sert à reconnaître cette carte pour tous. Si le scan n’était pas sûr de cette carte, l’app envoie aussi, une seule fois, son recadrage : notre serveur en calcule une empreinte, la garde avec la carte choisie et efface l’image aussitôt. Cette empreinte sert à reconnaître la carte pour vous, puis pour tous quand un deuxième utilisateur l’a validée, ou tout de suite pour une carte dont le catalogue n’a aucune image (elle est alors proposée, jamais ajoutée sans votre geste). Nous gardons l’empreinte, jamais la photo. Ces empreintes sont conservées tant que le compte existe ; couper le réglage, dans le menu du scanner, efface ce que vous avez envoyé, et la suppression du compte aussi.
• « Dis-le » (dictée) : la voix est transcrite par la reconnaissance vocale d’Apple, sur l’appareil quand il le permet, sinon par le service d’Apple. L’enregistrement n’est pas gardé. Seule la phrase transcrite est envoyée à notre serveur, qui la comprend avec ses propres règles et vous propose une action que vous validez. Quand ces règles ne suffisent pas, la phrase seule peut être confiée à un modèle d’intelligence artificielle (section 5).
• Captures d’écran et photos : si vous activez la détection des ventes dans vos captures d’écran, l’app lit vos captures sur l’appareil et n’envoie que les champs utiles (article, prix, date). Les photos d’un Drop sont rangées dans un album de votre photothèque, sans rien envoyer.
• Presse-papiers : il n’est lu que lorsque vous touchez « Coller ».
• Réseau local : en mode salon, vos propres téléphones échangent directement ce qui est vendu, sans passer par nos serveurs.
• Spotlight, widgets, raccourcis et activités en direct : l’app indexe votre collection dans la recherche de l’iPhone (protection maximale de l’appareil, effacée à la déconnexion) et partage avec ses widgets, par un espace propre à l’app, les chiffres qu’ils affichent. Ces données ne quittent pas l’appareil.
• Face ID ou Touch ID : le verrouillage de l’app est géré par iOS ; nous ne recevons aucune donnée biométrique.

4. Pourquoi et sur quelle base

Nous ne vendons pas vos données, nous ne faisons pas de publicité ciblée, nous ne vous suivons pas d’une app ou d’un site à l’autre et nous n’utilisons pas vos données pour entraîner des modèles d’intelligence artificielle.

Les estimations fiscales (cotisations, seuils, compteurs DAC7) sont indicatives : Pokeback ne fait aucune déclaration à votre place et ne transmet rien à l’administration.

Ce site

Ce site ne dépose aucun cookie, n’utilise aucun traceur ni outil de mesure d’audience et ne charge aucune ressource d’un tiers : les polices de caractères sont servies avec le site. Il ne contient aucun formulaire et ne recueille aucune donnée. Ses pages statiques sont servies par Cloudflare, Inc. (section 7), qui, comme tout hébergeur web, enregistre des journaux techniques (adresse IP, date, page demandée, navigateur) pour en assurer la sécurité ; ils sont conservés pendant une durée limitée puis supprimés. Les données du service ne passent jamais par ce site : elles restent sur notre serveur dédié chez Hetzner Online GmbH.

5. Scouts, eBay et autres services

Scouts. Si vous les activez, les scouts consultent la page publique de vendeur que vous nous désignez (par exemple votre profil Vinted) pour repérer vos ventes et vos annonces. Ils ne se connectent jamais à votre compte, ne vous demandent aucun identifiant et n’agissent jamais dans votre compte. Nous ne gardons que vos propres annonces, jamais l’identité des acheteurs ni des personnes qui les ajoutent en favori. La consultation est réalisée pour nous par Apify (section 7). Une vente repérée vous est proposée et n’est enregistrée qu’avec votre confirmation. Vous pouvez retirer une page suivie à tout moment.

eBay. Si vous connectez votre compte eBay (offre Vendeur+), vous autorisez Pokeback par la procédure officielle d’eBay à lire vos commandes payées et vos réglages de vente, et à publier ou retirer les annonces que vous lancez depuis le Drop. Vos jetons eBay sont chiffrés. Vous pouvez déconnecter eBay à tout moment.

Rédaction d’annonces. Quand vous demandez une proposition de texte d’annonce, nous envoyons à Anthropic les seules caractéristiques de l’article (nom, extension, numéro, rareté, état, gradation, langue, plateforme), sans votre nom, votre adresse e-mail ni aucun identifiant. Rien n’est envoyé sans votre demande.

« Dis-le ». Quand nos règles ne comprennent pas assez bien une phrase que vous dites ou tapez dans « Dis-le » (un prix en toutes lettres, un surnom de carte, une faute de frappe), nous envoyons cette phrase seule à un petit modèle d’intelligence artificielle, par l’intermédiaire d’OpenRouter, qui la transmet au fournisseur qui fait tourner le modèle (Nebius). Rien d’autre ne part : ni votre nom, ni votre adresse e-mail, ni aucun identifiant, ni votre collection. Nous demandons à OpenRouter de n’utiliser que des fournisseurs qui ne conservent pas les phrases et ne s’en servent pas pour entraîner des modèles ; OpenRouter indique ne pas entraîner de modèle sur les requêtes. Le modèle ne fait que préparer l’action : rien n’est enregistré sans votre validation. Évitez d’y dicter des informations sur d’autres personnes au-delà d’un prénom.

Suivi des colis. Les numéros de suivi que vous saisissez sont transmis au transporteur concerné (La Poste, Mondial Relay, DHL, UPS) pour suivre la livraison.

Assistants que vous connectez. Vous pouvez créer des jetons d’accès pour brancher votre propre assistant (connecteur MCP). Un jeton de lecture ne lit que les portées choisies et ne peut rien modifier. Un jeton d’assistant (offre Vendeur+) peut préparer des actions, qui ne s’exécutent qu’avec votre accord. Chaque jeton cesse de fonctionner dès que vous le révoquez ou qu’il expire. Les données lues par votre assistant sont ensuite traitées par son éditeur selon sa propre politique.

Pages publiques que vous créez. Une vitrine publique ou un lien de récapitulatif n’existe que si vous le créez ; il montre ce que vous choisissez d’y mettre (vous pouvez masquer les montants d’un récapitulatif) et vous pouvez le retirer à tout moment.

Import par e-mail. Le transfert de vos e-mails de vente vers Pokeback n’est pas proposé aujourd’hui. S’il l’est un jour, cette politique sera mise à jour avant.

6. Données de tiers que vous saisissez

Si vous saisissez le pseudonyme d’un acheteur ou d’un vendeur, ou, au comptoir, l’identité d’une personne qui vous vend des cartes (livre de police), vous traitez ces données pour tenir votre propre activité et vos obligations : ne saisissez que ce qui est nécessaire. Au livre de police, la pièce d’identité est lue sur votre appareil, sa photo n’est pas envoyée, et les champs d’identité sont chiffrés et lisibles par vous seul.

7. Qui y a accès

• Vous, et les personnes que vous invitez dans votre organisation, selon le rôle que vous leur donnez : lecteur (consulte vos données de gestion, par exemple votre comptable) ou éditeur (consulte et modifie). Une organisation ouvre votre espace à vos membres, jamais l’espace d’un membre au propriétaire. Vous pouvez changer un rôle ou retirer un membre à tout moment ; un membre peut partir à tout moment.
• Notre équipe, uniquement pour le support que vous demandez, la sécurité, ou le traitement des signalements « carte introuvable ».
• Nos sous-traitants, liés par contrat (RGPD, art. 28) :

Les plateformes que vous connectez (eBay) et les transporteurs qui suivent vos colis traitent ensuite ces données pour leur propre compte, selon leurs propres politiques.

8. Combien de temps

Le livre des recettes et le registre des achats que Pokeback vous aide à tenir sont vos documents : si vous êtes micro-entrepreneur, vous devez en conserver une copie. Exportez-les avant de supprimer votre compte.

9. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité (RGPD, art. 15 à 22), et du droit de définir des directives sur le sort de vos données après votre décès.

• Accès et portabilité : dans l’app, Compte puis « Exporter mes données » : un fichier JSON ouvert avec votre profil, votre collection, vos coûts, ventes, échanges et les références de vos photos. Sur le web, la page Compte donne un export complet en JSON avec un fichier CSV par type de données.
• Rectification : directement dans l’app ou sur le web.
• Effacement : dans l’app, Compte puis « Supprimer mon compte » ; la suppression est immédiate. Sur le web, vous pouvez aussi la différer de 7, 14 ou 30 jours et l’annuler pendant ce délai. Marche à suivre complète : Supprimer son compte. La suppression efface votre compte, toutes vos données et vos fichiers, votre organisation (vos membres perdent l’accès, leurs propres données restent intactes), vos jetons et votre journal. Nous ne gardons qu’une trace anonyme (dates et volumes, sans identifiant ni e-mail). Supprimer le compte n’arrête pas un abonnement souscrit sur l’App Store : résiliez-le dans les réglages de votre identifiant Apple.
• Opposition : dans l’app, réglages « Statistiques d’usage » (Compte, section Données, Confidentialité) et « Partager mes prix de vente ». Les notifications se coupent dans les réglages de l’iPhone.

Pour toute demande : privacy@pokeback.app. Nous répondons dans un délai d’un mois. Vous pouvez aussi saisir la CNIL (www.cnil.fr).

10. Sécurité

• Données hébergées sur un serveur dédié chez Hetzner Online GmbH, en Allemagne (Union européenne) ; échanges chiffrés (TLS).
• Cloisonnement par utilisateur appliqué par la base de données elle-même (sécurité au niveau des lignes), testé automatiquement : un utilisateur ne peut ni lire ni modifier les données d’un autre, y compris par un appel direct à l’API.
• Fichiers dans des espaces privés, accessibles à leur seul propriétaire et aux membres de son organisation.
• Secrets (jetons d’accès, liens d’invitation) stockés sous forme d’empreinte ; jetons eBay et identités du livre de police chiffrés.
• Sauvegardes chiffrées ; limitation de débit par utilisateur et par action.
• Verrouillage de l’app par Face ID ou Touch ID, en option.

11. Mineurs

Pokeback s’adresse aux personnes de 15 ans et plus. La souscription d’un abonnement suppose la capacité de contracter ou l’accord d’un représentant légal.

12. Modifications

Nous vous informons dans l’app de toute modification importante de cette politique avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.