Politique de confidentialité

Dernière mise à jour : 21 août 2026

1. Qui est responsable de vos données ?

Le responsable du traitement de vos données personnelles est :

Natscale SAS
306 route de l'Usine – 74140 SCIEZ
SIRET : 94147149200012
Contact : pierre.aliaga@roomates.app

2. Quelles données collectons-nous ?

2.1 Données que vous nous fournissez directement

Lors de votre inscription et de l'utilisation de l'application, nous collectons :

• Numéro de téléphone — utilisé pour créer et authentifier votre compte via SMS
• Nom d'utilisateur — visible par les autres membres des rooms que vous rejoignez
• Photo de profil — visible publiquement dans l'application. Si vous utilisez la fonctionnalité de génération d'avatar, la photo que vous soumettez (selfie) est également traitée à cette fin — voir section 2.3 ci-dessous.
• Messages et contenus — tout ce que vous publiez dans les rooms

2.2 Données collectées automatiquement

Lors de votre utilisation de l'application, nous pouvons collecter :

• Données de connexion — date, heure et fréquence de connexion
• Données d'utilisation — rooms rejointes, interactions, durée de session
• Données techniques — type d'appareil, système d'exploitation, identifiant publicitaire
• Données d'analyse d'usage (événements) — écrans consultés, parcours d'inscription, rooms, notifications, partages et métriques de performance. Ces données sont envoyées sous forme d'événements à PostHog (hébergement Union européenne, eu.i.posthog.com).

2.3 Génération d'avatar et entraînement de nos modèles d'IA

Lorsque vous utilisez la fonctionnalité de génération d'avatar, la photo que vous soumettez (selfie) est transmise à un prestataire d'IA tiers (voir section 4) afin de générer votre avatar stylisé.

Nous pouvons également utiliser votre selfie et l'avatar généré pour entraîner et améliorer nos propres modèles internes de génération d'avatar, notamment afin de réduire notre dépendance à des prestataires tiers. Cet entraînement vise uniquement à reproduire un style graphique et ne sert jamais à identifier une personne ou à constituer une base de reconnaissance faciale.

Vous pouvez vous opposer à cet usage spécifique à tout moment, sans que cela affecte votre capacité à générer un avatar (voir section 6 « Vos droits »). Les photos et avatars utilisés à cette fin sont conservés le temps nécessaire à l'entraînement et à sa validation, puis supprimés ou anonymisés — voir la durée de conservation en section 3.

3. Combien de temps conservons-nous vos données ?

• Données de compte (numéro, pseudo, photo) : conservées pendant toute la durée d'activité du compte, puis supprimées dans un délai de 30 jours suivant la suppression du compte
• Messages publiés dans les rooms : supprimés dans un délai de 30 jours après la suppression du compte ou à l'expiration naturelle de la room
• Données de connexion et logs techniques : conservés 12 mois à compter de leur collecte, conformément aux obligations légales applicables aux hébergeurs
• Données liées à un signalement : conservées le temps nécessaire au traitement et, le cas échéant, aux procédures légales associées
• Événements d'analyse PostHog : conservés selon la configuration PostHog et les besoins d'amélioration du produit.
• Photos utilisées pour l'entraînement de nos modèles d'IA (voir section 2.3) : conservées le temps nécessaire à l'entraînement du modèle et à la validation de sa qualité, puis supprimées ou anonymisées.

4. Avec qui partageons-nous vos données ?

Nous ne vendons jamais vos données personnelles. Nous pouvons les partager uniquement dans les cas suivants :

Sous-traitants techniques :

• Supabase Pte. Ltd. (Singapour) — hébergement de la base de données et authentification SMS. Les données peuvent être traitées hors de l'UE, dans le cadre de Clauses Contractuelles Types conformes à l'article 46 du RGPD.
• Google LLC (API Gemini) — génération de l'avatar stylisé à partir de la photo de profil que vous soumettez. Votre photo est transmise à Google dans le cadre du traitement de votre demande, conformément aux conditions d'utilisation de l'API Gemini de Google.
• Perplexity AI — fourniture des actualités affichées dans les rooms. Seules des requêtes thématiques anonymisées sont transmises, sans données personnelles identifiantes.
• PostHog, Inc. — analyse d'usage sur l'application mobile (production). Données traitées sur l'infrastructure PostHog UE. Finalité : mesure d'audience, amélioration du produit et diagnostic d'expérience utilisateur. Aucune revente de données personnelles.

Autres cas :

• Sur réquisition judiciaire ou demande d'une autorité légalement habilitée
• En cas de cession ou fusion de Natscale SAS, après information préalable des utilisateurs

5. Vos données sont-elles transférées hors de l'Union européenne ?

Oui, dans le cadre de notre hébergement par Supabase Pte. Ltd., dont le siège est situé à Singapour. Ce transfert est encadré par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne, garantissant un niveau de protection équivalent à celui applicable au sein de l'UE.

Nous vous recommandons de vérifier que votre projet Supabase est configuré sur la région eu-west-3 (Paris) afin de minimiser les flux de données hors UE.

6. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie des données que nous détenons sur vous
• Droit de rectification — corriger des données inexactes ou incomplètes
• Droit à l'effacement — demander la suppression de vos données (« droit à l'oubli »)
• Droit à la limitation — suspendre un traitement dans certains cas
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible
• Droit d'opposition — vous opposer à un traitement fondé sur l'intérêt légitime

Pour exercer vos droits, contactez-nous à : pierre.aliaga@roomates.app

Ces traitements d'analyse sont fondés sur l'intérêt légitime de Natscale SAS à améliorer et sécuriser le service. Vous pouvez vous y opposer en nous contactant à l'adresse ci-dessous.

L'utilisation de vos photos pour entraîner nos modèles internes de génération d'avatar (section 2.3) est également fondée sur l'intérêt légitime de Natscale SAS à améliorer son produit et à réduire sa dépendance à des prestataires tiers. Vous pouvez vous y opposer spécifiquement à tout moment en nous contactant à l'adresse ci-dessous, sans affecter votre capacité à utiliser la fonctionnalité de génération d'avatar elle-même.

Nous nous engageons à répondre dans un délai d'1 mois à compter de la réception de votre demande, conformément à l'article 12 du RGPD.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr

7. Mineurs

L'application est réservée aux personnes âgées d'au moins 18 ans.

Nous ne collectons pas sciemment de données relatives à des personnes de moins de 18 ans. Si nous en avions connaissance, le compte concerné serait immédiatement supprimé.

8. Sécurité des données

Natscale SAS met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation, notamment :

• Chiffrement des données en transit (HTTPS/TLS)
• Chiffrement des données au repos (AES-256) assuré par Supabase
• Accès aux données restreint aux seules personnes habilitées
• Authentification par code SMS à usage unique

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à en informer la CNIL dans les 72 heures, conformément à l'article 33 du RGPD, et à vous en notifier si nécessaire.

9. Modifications de la politique de confidentialité

Natscale SAS se réserve le droit de modifier la présente politique à tout moment, notamment pour se conformer à d'éventuelles évolutions légales ou réglementaires. Toute modification significative sera notifiée dans l'application. La date de dernière mise à jour est indiquée en tête de document.