Politique de confidentialité

1. Qui nous sommes

Qrious Technologies Inc. est une Delaware C-Corporation dont le siège social est situé au 251 Little Falls Drive, Wilmington, DE 19808, USA. Nous exploitons l'application mobile QRIOUS, le site qrious.social et les services associés.

Pour toute demande relative à la confidentialité, contactez-nous à privacy@qrious.social.

2. Ce que couvre la présente politique

La présente politique s'applique à la fois à l'application mobile QRIOUS et au site qrious.social (collectivement, le « Service »). qrious.social est la vitrine publique de notre application : il suit les mêmes pratiques de confidentialité et constitue le point de référence pour les documents juridiques relatifs à l'application.

Elle s'applique à tous les utilisateurs du Service, quel que soit leur lieu de résidence, étant entendu que des droits supplémentaires peuvent s'appliquer selon votre juridiction (voir Vos droits ci-dessous).

3. Condition d'âge

QRIOUS est destiné aux utilisateurs âgés de 18 ans et plus. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 18 ans. Si nous apprenons qu'un utilisateur a moins de 18 ans, nous supprimerons sans délai son compte et les données associées. Si vous pensez qu'un mineur nous a transmis des données personnelles, contactez-nous à privacy@qrious.social.

4. Données que nous collectons

Informations de compte

Lorsque vous créez un compte, nous collectons votre adresse e-mail, votre numéro de téléphone, votre nom, votre date de naissance et votre genre. Ces informations sont nécessaires pour fournir le Service et vérifier votre éligibilité.

Contenu de profil

Vous choisissez ce que vous partagez dans votre profil. Cela inclut les photos, le texte biographique et les détails de persona que vous créez pour chacun des sept contextes de QRIOUS (Romance, Community, Career, Adventure, Learn, Create et Family). Chaque persona est configuré de manière indépendante par vous.

Données de localisation

Nous collectons des données de localisation pour alimenter le matching, la découverte et les recommandations de lieux. La localisation est collectée lorsque l'application est activement utilisée. Le suivi de localisation en arrière-plan n'est activé que si vous l'autorisez explicitement dans les paramètres de votre appareil. Vous pouvez révoquer les autorisations de localisation à tout moment.

Données de rencontre

QRIOUS utilise des confirmations par QR code (IRL Bridge) pour vérifier les rencontres en personne entre utilisateurs. Nous collectons les données de confirmation de rencontre (horodatages et utilisateurs participants) afin de calculer les niveaux de confiance et d'améliorer la qualité des matchs.

Informations relatives à l'appareil et techniques

Nous collectons automatiquement les identifiants d'appareil, la version du système d'exploitation, la version de l'application, l'adresse IP ainsi que les journaux de plantage et de diagnostic. Ces données nous aident à maintenir, à dépanner et à améliorer le Service.

Données d'usage

Nous collectons des informations sur la manière dont vous interagissez avec le Service : schémas d'utilisation des fonctionnalités, changements de contexte, interactions de matching et données de session. Ces données sont utilisées à des fins d'analyse et d'amélioration du produit.

Communications

Les messages que vous envoyez à d'autres utilisateurs via le Service sont conservés pour les transmettre et fournir un historique des messages. Les demandes d'assistance et les échanges avec notre équipe sont également conservés.

Informations de paiement

Si vous effectuez des achats via le Service, les transactions sont traitées par Apple, Google ou Stripe. Nous ne voyons jamais et ne conservons jamais votre numéro de carte bancaire, sa date d'expiration ou vos coordonnées de paiement complètes. Nous recevons de nos prestataires de paiement des informations de transaction limitées (confirmation du paiement, palier d'abonnement, date de renouvellement, plateforme d'achat).

5. Ce que nous ne collectons pas

Voici certaines choses que nous avons délibérément choisi de ne pas collecter ni stocker :

• Votre numéro de carte. Les paiements transitent par Apple, Google ou Stripe. Nous ne voyons jamais la carte elle-même, uniquement la confirmation qu'un achat a eu lieu.
• Vos contacts, votre calendrier ou l'intégralité de votre photothèque. Nous n'importons pas votre liste de contacts, ne lisons pas votre calendrier et n'analysons pas votre photothèque. Les seules photos qui nous parviennent sont celles que vous choisissez explicitement de téléverser dans votre profil.
• Données biométriques. Nous ne recevons jamais votre Face ID ni votre empreinte digitale. La biométrie de l'appareil reste sur votre appareil et déverrouille l'application en local ; elle ne nous est jamais transmise.
• Données de santé ou de fitness. Nous ne demandons ni ne lisons les données issues d'Apple Health, Google Fit, HealthKit ou de tout autre référentiel de santé présent sur votre appareil.
• Identifiants publicitaires ou de navigation inter-applications. Nous n'utilisons ni l'identifiant publicitaire iOS (IDFA) ni l'identifiant publicitaire Android pour le suivi inter-applications. Nous ne vendons ni ne partageons de données personnelles avec des réseaux publicitaires.
• Le contenu de vos messages à des fins publicitaires. Nous n'analysons pas le contenu de vos conversations pour cibler des publicités ou établir un profil d'intérêts à destination d'annonceurs.

6. Comment nous utilisons vos données

• Matching et découverte : Pour vous mettre en relation avec d'autres utilisateurs dans les contextes de QRIOUS, sur la base de vos personas, de vos préférences et de votre localisation.
• Calcul du niveau de confiance : Pour déterminer les niveaux de confiance à partir des rencontres en personne confirmées via IRL Bridge, et améliorer la qualité et la sécurité des connexions.
• Recommandations de lieux : Pour vous suggérer des lieux pertinents en fonction de votre localisation et de vos préférences.
• Sécurité et modération : Pour détecter et prévenir la fraude, les abus, le harcèlement et toute autre violation de nos conditions d'utilisation.
• Analyse et amélioration : Pour comprendre comment le Service est utilisé et améliorer les fonctionnalités, les performances et l'expérience utilisateur.
• Communications : Pour vous envoyer des notifications relatives au Service, répondre aux demandes d'assistance et vous transmettre les mises à jour du Service.
• Conformité légale : Pour nous conformer aux lois et règlements applicables, aux procédures juridiques ou aux demandes des autorités.

7. Base juridique du traitement (RGPD)

Pour les utilisateurs résidant dans l'Espace économique européen, au Royaume-Uni et dans toute autre juridiction exigeant une base juridique pour le traitement des données personnelles, nous nous appuyons sur les bases suivantes :

• Consentement (Art. 6 (1) a)) : Vous donnez votre consentement lors de la création de votre compte ainsi qu'en activant des fonctionnalités optionnelles telles que le suivi de localisation en arrière-plan ou des partages de données spécifiques.
• Exécution contractuelle (Art. 6 (1) b)) : Traitement nécessaire à la fourniture du Service que vous avez demandé : gestion de compte, matching, messagerie et recommandations de lieux.
• Intérêt légitime (Art. 6 (1) f)) : Traitement nécessaire à nos intérêts légitimes, notamment la sécurité de la plateforme, la prévention de la fraude, la détection des abus et l'analyse du service, lorsque ces intérêts ne sont pas supplantés par vos droits.
• Obligation légale (Art. 6 (1) c)) : Traitement nécessaire au respect des lois applicables, y compris les réponses aux demandes valides émanant des autorités policières ou réglementaires.

8. Services que nous utilisons

Voici qui d'autre touche à vos données. Chaque prestataire ci-dessous a une mission précise, ne reçoit que ce dont il a besoin et est lié par un contrat de sous-traitance qui interdit tout autre usage de vos données.

• Supabase : base de données, authentification, stockage de fichiers. Stocke votre compte, vos données de profil, vos photos et le contenu de vos messages. Notre projet Supabase est hébergé sur AWS us-east-1 (Virginie du Nord, États-Unis).
• Firebase Cloud Messaging (Google) : notifications push. Achemine les notifications push vers votre appareil. Reçoit un jeton d'appareil, la charge utile de la notification et les métadonnées de planification. Exploité par Google sur l'infrastructure Google Cloud.
• PostHog : analyse produit. Enregistre des événements d'usage anonymisés pour nous aider à comprendre quelles fonctionnalités sont utilisées et où les utilisateurs se bloquent. Nous n'envoyons à PostHog ni le contenu de vos messages, ni vos photos, ni vos informations de profil.
• Sentry : rapports de plantage et d'erreur. Lorsque l'application plante ou rencontre une erreur inattendue, Sentry reçoit une trace d'appel, l'état de l'application et les informations sur l'appareil (version d'OS, modèle, version de l'application) pour nous aider à diagnostiquer le bug. Nous expurgeons les données personnelles (e-mails, contenu des messages, champs de profil) des rapports d'erreur avant envoi. Sentry est hébergé aux États-Unis.
• RevenueCat : gestion des abonnements. Gère l'état de votre abonnement Flash, Glow et Aura sur iOS, Android et le web. Reçoit un identifiant utilisateur anonymisé, votre palier d'abonnement, la date de renouvellement et la plateforme d'achat. Ne reçoit jamais votre numéro de carte bancaire ; celui-ci reste chez Apple, Google ou Stripe. RevenueCat est hébergé aux États-Unis.
• Apple App Store, Google Play, Stripe : traitement des paiements. Tous les achats transitent par l'un de ces trois prestataires. Ils gèrent le numéro de carte, l'adresse de facturation et les taxes. Nous ne recevons qu'une confirmation de réussite de l'achat, le palier acheté et la date de renouvellement.
• Nominatim (OpenStreetMap) : résolution de localisation. Convertit les coordonnées en noms de lieux lisibles. Ne reçoit qu'une requête anonymisée contenant les coordonnées.
• Google Places API : données sur les lieux. Utilisée pour afficher les bars, restaurants et autres lieux dans la fonctionnalité Places. Ne reçoit que la requête de localisation, ni votre compte ni votre identité.
• Klipy : bibliothèque de GIF. Fournit le sélecteur de GIF intégré au chat. Reçoit le terme de recherche que vous saisissez, mais ni votre compte ni le contexte de votre message.
• Brevo : e-mails transactionnels. Envoie des e-mails transactionnels (confirmation de compte, réinitialisation de mot de passe, avis importants). Reçoit votre adresse e-mail et le contenu du message. Opéré par Sendinblue SAS en France. Base légale : art. 6, par. 1, point b (exécution du contrat).
• Brevo : liste de diffusion marketing. Lorsque vous vous inscrivez sur qrious.social pour recevoir des actualités, nous ajoutons votre adresse à une liste Brevo avec un double opt-in. Base légale : art. 6, par. 1, point a (consentement). Vous pouvez vous désinscrire à tout moment depuis n'importe quel e-mail.
• AWS Amplify (Amazon Web Services) : hébergement du site. qrious.social est hébergé sur AWS Amplify dans la région ap-southeast-1 (Singapour). Ne reçoit que le strict nécessaire à la diffusion du site : URL de la requête, adresse IP, user-agent. Base légale : art. 6, par. 1, point f (intérêt légitime à livrer et sécuriser le site).
• Cloudflare : réseau de diffusion de contenu (CDN). Nous utilisons Cloudflare, Inc. (États-Unis) comme CDN devant notre hébergement Web pour la diffusion d’actifs statiques, le routage en périphérie et la protection contre les attaques DDoS. Cloudflare voit l’URL demandée, votre adresse IP et les en-têtes HTTP standard, mais n’a pas accès à votre compte ni au contenu de vos messages. Base juridique : art. 6, par. 1, point f, intérêt légitime à fournir et sécuriser le site.
• Changements de sous-traitants ultérieurs. Lorsque nous ajoutons, retirons ou remplaçons un sous-traitant traitant des données personnelles, nous mettons à jour cette liste. Lorsque la loi l'exige, nous prévenons les clients UE/UK avec un préavis raisonnable.

9. Où vos données sont hébergées

Qrious Technologies Inc. est établie aux États-Unis, mais le Service fonctionne sur une infrastructure répartie dans plusieurs régions. Nos principaux centres de données se trouvent dans l'Union européenne (Francfort) et dans la région Asie-Pacifique (Singapour), certains prestataires opérant aux États-Unis.

Pour les personnes situées dans l'Espace économique européen, au Royaume-Uni et en Suisse, nous nous assurons que les transferts internationaux de données personnelles sont effectués conformément au droit applicable, avec des garanties appropriées : clauses contractuelles types de la Commission européenne (SCC), International Data Transfer Addendum britannique (IDTA) et, pour les transferts vers les États-Unis, recours à des prestataires certifiés au titre du Data Privacy Framework (DPF) UE–États-Unis ainsi qu'à ses extensions UK et Suisse, lorsque disponibles. Des mesures techniques et organisationnelles complémentaires sont appliquées si nécessaire.

10. Vos droits

EEE, Royaume-Uni et Suisse (RGPD et UK GDPR)

Selon votre juridiction, vous disposez des droits suivants concernant vos données personnelles :

• Accès : Demander une copie des données personnelles que nous détenons à votre sujet.
• Rectification : Demander la correction de données personnelles inexactes ou incomplètes.
• Effacement : Demander la suppression de vos données personnelles, sous réserve des obligations légales de conservation.
• Portabilité : Demander vos données dans un format structuré, couramment utilisé et lisible par machine.
• Retrait du consentement : Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment sans que cela affecte la licéité du traitement antérieur.
• Opposition au traitement : Vous opposer aux traitements fondés sur l'intérêt légitime, y compris le profilage.
• Limitation du traitement : Demander que nous limitions le traitement de vos données dans certaines circonstances.
• Décisions automatisées : Ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire (art. 22 RGPD). Voir la section 11 pour son application à QRIOUS.
• Réclamation : Déposer une réclamation auprès de votre autorité locale de protection des données. Les utilisateurs au Royaume-Uni peuvent contacter l'Information Commissioner's Office (ICO) sur ico.org.uk.

Californie (CCPA / CPRA)

Si vous résidez en Californie, le California Consumer Privacy Act vous confère des droits supplémentaires :

• Catégories collectées : Identifiants, informations de compte, géolocalisation, activité Internet et déductions tirées des éléments ci-dessus.
• Sources : Directement auprès de vous, automatiquement depuis votre appareil et auprès des prestataires de services listés ci-dessus.
• Finalités : Exploiter le Service, communiquer avec vous, protéger contre la fraude et les abus, et respecter la loi.
• Destinataires : Uniquement les prestataires listés à la section 8. Nous ne vendons ni ne partageons de données personnelles à des fins de publicité comportementale inter-contextes.
• Vos droits : Droit d'accès, droit de suppression, droit de rectification, droit de refuser la vente ou le partage (nous ne vendons pas), droit à la non-discrimination lors de l'exercice de ces droits.
• Informations personnelles sensibles (Cal. Civ. Code §1798.121) : Nous traitons la géolocalisation précise et des inférences sur vos préférences dans le contexte Romance. Vous avez le droit de limiter notre utilisation de ces informations sensibles à ce qui est nécessaire pour fournir le Service. Écrivez à privacy@qrious.social avec l'objet « Limit SPI » pour exercer ce droit.
• Rétrospective sur 12 mois (§1798.130(a)(5)) : Les catégories de données personnelles ci-dessus reflètent ce que nous avons collecté, utilisé et divulgué à des fins commerciales au cours des douze mois précédant la date d’effet de la présente politique. Nous n’avons ni vendu ni partagé de données personnelles à des fins de publicité comportementale intercontextuelle durant cette période.
• Global Privacy Control (GPC) : Nous traitons un signal Global Privacy Control émis par votre navigateur comme une demande valable de refus de toute vente ou partage de données personnelles à des fins de publicité comportementale intercontextuelle, conformément aux orientations de l’Attorney General de Californie. Nous ne vendons ni ne partageons actuellement, mais le signal est enregistré pour votre session.

Pour exercer l'un de ces droits, écrivez à privacy@qrious.social. Nous répondrons dans un délai de 30 jours.

11. Données particulières et décisions automatisées

Données particulières (Art. 9 RGPD)

QRIOUS comprend un contexte Romance. Votre décision de partager du contenu dans ce contexte peut, par inférence, révéler votre orientation sexuelle, donnée considérée comme catégorie particulière au sens de l'art. 9 du RGPD. Nous ne traitons ces données que sur la base de votre consentement explicite (art. 9, par. 2, point a). Ce consentement est recueilli via une étape dédiée dans l'application lorsque vous activez la persona Romance pour la première fois : l'écran explique ce qui est inféré, pourquoi nous le demandons, et que vous pouvez retirer votre consentement à tout moment en désactivant la persona ou en supprimant votre compte. Sans ce consentement, le contexte Romance ne s'active pas.

Prise de décision automatisée (Art. 22 RGPD)

Nous ne prenons pas de décisions exclusivement automatisées produisant des effets juridiques ou des effets significatifs similaires. Deux systèmes utilisent des algorithmes en appui à la décision : (a) le score Trust Tier, calculé à partir des rencontres confirmées via IRL Bridge et de quelques signaux comportementaux, et (b) le classement des matches, qui propose des connexions au sein d'un contexte. Les deux peuvent être réexaminés par un humain sur demande. Toute action de modération (avertissement, suspension, bannissement) est revue par un humain avant de devenir définitive. Vous pouvez demander à tout moment un réexamen humain d'une décision vous concernant à privacy@qrious.social.

12. Durées de conservation

• Comptes actifs : Nous conservons vos données aussi longtemps que votre compte est actif et que cela est nécessaire à la fourniture du Service.
• Comptes supprimés : Lorsque vous supprimez votre compte, nous supprimons vos données de profil, vos personas et vos matchs dans un délai de 30 jours. Certaines données peuvent être conservées plus longtemps lorsque la loi l'exige ou pour des motifs légitimes de sécurité (par exemple, les enregistrements liés aux signalements d'abus).
• Messages : Les messages sont supprimés lorsque les deux participants ont supprimé leur compte. Si un seul participant supprime son compte, l'utilisateur restant conserve l'accès à la conversation.
• Données anonymisées : Les données agrégées et anonymisées qui ne permettent pas de vous identifier peuvent être conservées indéfiniment à des fins d'analyse et d'amélioration du produit.

13. Sécurité des données

Nous mettons en œuvre des mesures de sécurité conformes aux standards du secteur afin de protéger vos données personnelles contre tout accès non autorisé, toute altération, divulgation ou destruction :

• Chiffrement des données en transit (TLS) et au repos.
• Contrôles d'accès et authentification pour les systèmes internes.
• Évaluations de sécurité et surveillance régulières.
• Procédures de réponse aux incidents en cas de violation potentielle de données.

Aucune méthode de transmission par Internet ou de stockage électronique n'est sûre à 100 %. Nous ne pouvons garantir une sécurité absolue, mais nous nous engageons à traiter sans délai tout incident éventuel.

Violations de données personnelles : lorsque nous sommes tenus de notifier une autorité de contrôle au titre de l’art. 33 du RGPD, nous le faisons sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance. Lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, nous vous informons également sans retard injustifié au titre de l’art. 34, en décrivant la nature de la violation, ses conséquences probables, les mesures prises et un point de contact pour de plus amples informations. Des notifications équivalentes sont effectuées en vertu du RGPD britannique, du PDPA thaïlandais et de la section 1798.82 du Cal. Civ. Code lorsque ces lois sont applicables.

14. Cookies et stockage local (site uniquement)

Cette section s’applique au site qrious.social. L’application mobile QRIOUS n’utilise pas de cookies. Lors de votre première visite, une bannière de consentement apparaît avec trois boutons (Tout accepter, Tout refuser, Personnaliser). Votre choix est conservé uniquement dans votre navigateur et peut être modifié à tout moment via « Gérer les cookies » dans le pied de page.

Ce qui s’exécute actuellement sur qrious.social :

Les quatre éléments ci-dessus sont strictement nécessaires au fonctionnement du site. Aucun cookie d’analyse ou de marketing n’est défini actuellement. Tout fournisseur ajouté ne se chargera qu’après votre consentement.

Catégories de consentement affichées dans la bannière :

• Strictement nécessaires : Indispensables au fonctionnement du site (les quatre ci-dessus). Ces cookies ne peuvent pas être désactivés.
• Analyse, désactivés par défaut : Nous permettraient de comprendre quelles pages se chargent et lesquelles échouent. Aucun fournisseur d’analyse n’est installé aujourd’hui.
• Marketing, désactivés par défaut : Nous permettraient de mesurer l’effet des campagnes. Aucun script marketing ne s’exécute aujourd’hui.
• Pas de cookies publicitaires, pas de suivi inter-sites. Nous n’utilisons pas de cookies publicitaires tiers et n’autorisons pas le suivi comportemental inter-sites. Ce point est indépendant des choix ci-dessus.

Lorsque la loi l’exige (EEE, Royaume-Uni), nous sollicitons votre consentement avant de déposer des cookies non essentiels et nous ne présumons pas le consentement par la simple poursuite de la navigation. Vous pouvez retirer votre consentement à tout moment via « Gérer les cookies » dans le pied de page.

15. Représentant UE (art. 27 RGPD)

Étant établis hors de l'Union européenne tout en proposant le Service à des personnes situées dans l'UE, nous avons désigné un représentant au sens de l'art. 27 du RGPD. Les personnes concernées dans l'UE et les autorités de contrôle peuvent s'adresser à notre représentant pour toute question relative au traitement des données personnelles.

Représentant : Pablo Daniel Oba

Adresse : Berlin, Allemagne

E-mail : dpo@qrious.social

16. Contact

Pour toute question, préoccupation ou demande relative à la présente politique de confidentialité ou à nos pratiques de données, contactez-nous à :

Demandes relatives à la confidentialité : privacy@qrious.social

Adresse postale : Qrious Technologies Inc., 251 Little Falls Drive, Wilmington, DE 19808, USA

17. Thaïlande (PDPA)

Si vous accédez au Service depuis la Thaïlande, la Personal Data Protection Act B.E. 2562 (2019) s’applique en plus des droits énumérés ci-dessus. Une version en thaï de la présente politique suivra ; dans l’intervalle, cette section résume les droits et les bases applicables aux utilisateurs en Thaïlande.

• Bases juridiques (sec. 24 et 26). Nous traitons les données personnelles sur la base de votre consentement, d’une nécessité contractuelle, de notre intérêt légitime ou d’une autre base reconnue par le PDPA.
• Vos droits. Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou l’opposition au traitement, la portabilité des données et le retrait du consentement. Vous pouvez introduire une réclamation auprès du Personal Data Protection Committee (PDPC) de Thaïlande.
• Transferts internationaux (sec. 28). Nous transférons des données personnelles à des prestataires situés aux États-Unis, à Singapour et dans l’Union européenne. Ces transferts s’appuient sur l’adéquation, votre consentement, la nécessité contractuelle ou des garanties appropriées au sens de la section 28 du PDPA.
• Données sensibles (sec. 26). Les informations qui peuvent être déduites de votre persona Romance concernant votre orientation sexuelle ne sont traitées que sur la base de votre consentement explicite.

Contact vie privée : privacy@qrious.social