EGLANTINE – POLITIQUE DE CONFIDENTIALITÉ
Dernière mise à jour : 7 octobre 2026 – révision 9
1. Responsable du traitement
Le responsable du traitement et éditeur d'Eglantine est Antoine Legros, entrepreneur individuel inscrit au Registre national des entreprises sous le SIREN 790 463 079, domicilié professionnellement au 57 rue Saint-Sauveur, 27000 Évreux, France. Numéro de TVA intracommunautaire : FR 82 790463079. Téléphone professionnel : +33 6 35 34 21 48. Pour toute question ou pour exercer vos droits : privacy@eglantine.eu. L'infrastructure applicative principale est hébergée par Google Cloud France, 8 rue de Londres, 75009 Paris, France, principalement dans la région Google Cloud europe-west3 située à Francfort (Allemagne) ; contact hébergeur : cloud.google.com/contact. Les autres prestataires techniques sont détaillés à la section 9.
2. Données traitées
Eglantine traite : adresse e-mail et données d'authentification ; prénom, date de naissance, genre, biographie, profession, taille, situation familiale, pratique sportive, consommation d'alcool et de tabac ; ville, coordonnées de localisation et choix d'une localisation approximative ; selfie de vérification, photos de profil, vidéo de présentation et piste audio ; réponses et catégories du questionnaire, résumé de profil et scores de compatibilité ; genres recherchés, autres préférences de recherche, date et version du consentement associé ; likes, dislikes, matchs, blocages, messages et photos de chat ; abonnement choisi, boutique, statut, échéance, renouvellement et éventuel incident de paiement, sans numéro de carte bancaire ; réglages et jetons de notifications ; signalements, texte, pièce jointe éventuelle, preuves pertinentes et décision de modération ; journaux techniques nécessaires à la sécurité et au fonctionnement ; journal des actions d'administration et de sécurité.
3. Finalités et bases juridiques
L'exécution du service demandé fonde la création et la gestion du compte, l'affichage du profil, le questionnaire et le calcul de compatibilité, les recommandations, les interactions, la messagerie et les fonctionnalités Premium. L'intérêt légitime d'Eglantine à rendre les résultats du questionnaire plus clairs et plus utiles fonde le résumé relationnel automatique, complément activé par défaut mais non indispensable aux compatibilités. L'exécution du service fonde l'usage des préférences pour rechercher des profils ; parce que les genres recherchés sont susceptibles de révéler l'orientation sexuelle, leur traitement repose en outre sur le consentement explicite au sens de l'article 9, paragraphe 2, a), du RGPD. Le consentement explicite fonde également la comparaison faciale entre le selfie et les photos ; sa date et la version de l'information acceptée sont enregistrées. Les permissions du téléphone autorisent uniquement l'accès technique correspondant. L'intérêt légitime fonde aussi la sécurité, la prévention des abus et de la fraude, la modération, la protection des utilisateurs et l'amélioration technique proportionnée du service. Les obligations légales et la défense des droits peuvent justifier certaines conservations limitées.
4. Genres recherchés et consentement explicite
Les genres recherchés servent à sélectionner les profils proposés. Cette préférence peut révéler indirectement l'orientation sexuelle. Elle n'est enregistrée qu'après une action positive distincte et non précochée ; Eglantine conserve la date et la version de ce consentement explicite. Le consentement peut être retiré depuis l'écran des préférences. Ce retrait supprime les genres recherchés et les autres préférences associées, ainsi que la preuve de consentement, puis suspend le matching et les nouvelles suggestions jusqu'à ce que de nouvelles préférences soient renseignées avec un nouvel accord explicite. Il ne supprime pas le compte, les compatibilités déjà calculées ni les conversations existantes.
5. Selfie et comparaison des photos
Le selfie est obligatoire pour utiliser Eglantine mais n'est jamais affiché aux autres utilisateurs. Avant sa capture, l'utilisateur donne un accord explicite distinct des CGU. Un outil de reconnaissance faciale crée temporairement des représentations mathématiques du visage afin de vérifier si une photo de profil correspond au selfie. Eglantine conserve les images et le résultat de validation, mais ne conserve pas les gabarits faciaux générés pendant la comparaison. Les photos de profil sont également contrôlées pour détecter l'absence de visage, un flou important, certains filtres ou certaines retouches, puis soumises à Google Vision SafeSearch. Les photos envoyées dans le chat sont elles aussi contrôlées par SafeSearch avant leur enregistrement. Pour ces contrôles SafeSearch, l'image seule est transmise au point d'accès européen de Google Vision, sans identifiant de membre Eglantine. Une photo peut être refusée automatiquement. Ces contrôles peuvent produire des erreurs ; l'utilisateur peut contacter Eglantine pour demander un réexamen. L'accord biométrique peut être retiré en supprimant le compte ou en écrivant à privacy@eglantine.eu ; après confirmation de l'utilisateur, ce retrait est traité manuellement et entraîne la suppression du compte, la comparaison étant une condition essentielle du service de profils vérifiés.
6. Vidéo de présentation
La vidéo avec son est enregistrée directement dans l'application. Eglantine vérifie automatiquement sa durée, ses caractéristiques techniques, la présence suffisamment fréquente d'un visage humain et l'absence de certaines catégories de contenu explicite. La vidéo n'est pas comparée au selfie et aucun gabarit biométrique n'en est extrait. Pour le contrôle de contenu, cinq images extraites de la vidéo sont transmises à Google Cloud Vision par une opération synchrone utilisant le point d'accès européen ; ni la vidéo complète ni sa piste audio ne lui sont envoyées et ces images ne sont accompagnées d'aucun identifiant de membre Eglantine. Google indique traiter ces images en mémoire sans les conserver sur disque ni les utiliser pour entraîner ses modèles. La vidéo validée reste visible sur le profil selon les règles d'accès de l'application.
7. Questionnaire, compatibilité et intelligence artificielle
Les réponses servent au calcul de sept catégories et du score de compatibilité entre profils. Elles peuvent aussi produire un résumé relationnel automatique : ce résumé est un complément utile au questionnaire, activé par défaut, mais les compatibilités et le reste du service fonctionnent sans lui. Un autre membre autorisé à consulter le profil peut déclencher sa première génération par OpenAI ; il est ensuite visible par les autres membres autorisés. Seuls les 35 résultats numériques, les sept catégories et les libellés fixes des questions nécessaires à leur interprétation sont transmis. Aucun prénom, e-mail, identifiant de membre, message, média ou localisation n'est inclus. L'appel utilise l'API mondiale d'OpenAI avec l'instruction store:false, qui empêche de conserver la réponse comme état récupérable de l'API. OpenAI indique ne pas utiliser par défaut les données de son API pour entraîner ses modèles. Ses journaux de sécurité peuvent néanmoins contenir l'entrée et la sortie pendant trente jours au maximum, sauf obligation légale ou besoin de sécurité exceptionnel. Eglantine conserve le résumé jusqu'à la modification du questionnaire, l'opposition au traitement ou la suppression du compte. Il n'entraîne aucune sanction ni décision juridique. Le membre peut le désactiver à tout moment dans Mon profil ou Réglages : le résumé existant est alors supprimé, toute nouvelle transmission à OpenAI est bloquée et les compatibilités restent actives. Une demande peut aussi être adressée à privacy@eglantine.eu.
8. Localisation et permissions mobiles
La localisation au premier plan sert à calculer la proximité ; Eglantine ne constitue pas d'historique continu des déplacements. La caméra sert au selfie et à la vidéo, le microphone uniquement au son de la vidéo, la photothèque au choix de photos, et les notifications aux alertes autorisées. Les permissions du téléphone sont demandées au moment utile et peuvent être retirées dans les réglages du système ; une permission technique ne vaut pas, à elle seule, consentement à une autre finalité. Les diagnostics facultatifs de l’application mobile reposent sur un choix distinct, désactivé par défaut et modifiable dans Réglages sur chaque téléphone. Après accord, Sentry reçoit uniquement des rapports d’erreurs JavaScript filtrés (type d’erreur, pile technique, version de l’application), conservés 30 jours dans l’organisation hébergée en région UE. Aucun profil, message, photo, position ou identifiant persistant d’appareil n’est joint ; l’adresse IP nécessaire au transport n’est pas ajoutée au rapport. Les suivis de performance, sessions, replays et diagnostics natifs sont désactivés dans ce parcours. Le retrait bloque les nouveaux envois sans empêcher l’usage de l’application ; les rapports déjà transmis suivent leur durée de conservation. Les journaux serveur strictement nécessaires à la sécurité restent distincts de cette option.
9. Destinataires et prestataires
Les données sont accessibles aux seules personnes autorisées d'Eglantine et, dans la stricte mesure nécessaire, aux prestataires effectivement activés pour le flux concerné : Google Cloud pour l'API, les traitements privés et Vision SafeSearch ; Neon pour la base PostgreSQL ; Cloudflare R2 pour les médias, preuves de modération, exports, sauvegardes et journal d'effacement chiffré ; Upstash pour Redis ; Sentry pour des erreurs et mesures techniques filtrées ; Brevo ou OVHcloud pour les e-mails lorsque le transport correspondant est actif ; Expo, Apple et Google pour la distribution et les notifications selon la plateforme ; Apple et Google Play pour les achats, et RevenueCat uniquement après activation de la gestion des abonnements ; OpenAI pour le seul résumé du questionnaire. Certains prestataires ou sous-traitants ultérieurs peuvent traiter des données en dehors de l'Espace économique européen. Selon le pays et le service, ces transferts reposent sur une décision d'adéquation de la Commission européenne ou sur les clauses contractuelles types assorties des garanties complémentaires nécessaires. Une copie ou les informations essentielles de la garantie applicable peuvent être demandées à privacy@eglantine.eu. Les conditions publiées par OpenAI pour les clients de l'Espace économique européen désignent OpenAI Ireland Ltd. et prévoient des clauses contractuelles types lorsque des transferts internationaux sont nécessaires ; l'applicabilité au compte Eglantine est suivie dans le registre fournisseurs. Les assistants internes destinés aux coûts, à la technique, au support/modération et à la communication restent séparés, limités à leur finalité et soumis à validation humaine pour toute action ayant un effet. L'assistant technique et les assistants financier et marketing n'accèdent pas aux données personnelles des membres. Tout traitement génératif d'un ticket support reste désactivé tant que ses garanties ne sont pas validées. Eglantine ne reçoit ni ne conserve les coordonnées bancaires gérées par la boutique. Eglantine ne vend pas les données et ne les utilise pas pour de la publicité ciblée.
10. Visibilité et communications
Les informations du profil, photos et vidéo sont visibles par les utilisateurs autorisés à consulter ce profil. Pour assurer leur affichage rapide, les versions validées des photos, miniatures et vidéos de profil sont distribuées par un CDN au moyen d'adresses longues que l'application ne publie dans aucun annuaire ; toute personne à qui une telle adresse est communiquée peut techniquement l'ouvrir. Le selfie, les sources en attente, les photos de chat, les preuves de modération et les exports restent dans un stockage privé. Les profils ayant envoyé un like restent masqués aux non-abonnés Premium dans l'écran des Likes, mais peuvent apparaître normalement dans le Feed selon les règles de suggestion. Les messages sont visibles par les membres de la conversation. Le personnel habilité d'Eglantine n'accède à leur contenu que lorsque cela est nécessaire à la sécurité, à une demande de l'utilisateur, à un signalement ou à une obligation légale.
11. Durées de conservation
Les données ordinaires sont conservées pendant la vie du compte. Les codes de connexion expirent après 15 minutes ; l'objectif de purge d'une inscription jamais validée, y compris sa ligne technique et son adresse e-mail, est de 72 heures. L'objectif de purge d'une photo rejetée est de 24 heures au plus et celui d'une ancienne vidéo remplacée intervient après une transition technique de 10 minutes. Une conversation supprimée est retirée pour les deux participants et ses médias sont placés dans le flux de suppression. Le résumé disparaît à la modification du questionnaire, à l'opposition ou à la suppression du compte ; après modification, il n'est recréé que si le profil est consulté et que le résumé reste activé. La copie temporaire d'un export conservée côté serveur est chiffrée, privée et a un objectif de suppression de 24 heures. Les demandes de support ordinaires et les réponses associées sont conservées pendant leur traitement puis au plus vingt-quatre mois après le dernier contact ; une conservation plus longue n'intervient que pour un litige réellement identifié et documenté. Les demandes d'exercice de droits et la preuve de leur traitement sont conservées pendant 24 mois après leur clôture ; une pièce d'identité éventuellement demandée pour vérifier une demande est supprimée dès la vérification terminée, sauf contestation exceptionnelle documentée. Les tâches automatisées réessaient les échecs transitoires ; les retards ou échecs terminaux doivent être détectés par les contrôles d'exploitation et faire l'objet d'une alerte ou d'une reprise manuelle.
La suppression depuis les réglages rend immédiatement le compte inaccessible, révoque ses sessions, désactive ses notifications et ses matchs, puis déclenche une tâche durable et rejouable. Celle-ci vise à effacer les informations de profil, le selfie, les photos, la vidéo, le questionnaire et son résumé, les préférences, abonnements, likes, matchs, messages, notifications, exports temporaires et médias stockés ; l'adresse e-mail est remplacée par une valeur technique non utilisable. Le client de facturation externe est également visé lorsqu'il existe et que ce connecteur est actif. La seule exception concerne un dossier de signalement déjà constitué et encore nécessaire : il reste isolé avec ses seules preuves utiles jusqu'à son échéance maximale de douze mois. Lors d'un bannissement définitif, les données ordinaires suivent le même processus, mais l'adresse e-mail peut être conservée pendant douze mois uniquement pour empêcher la création d'un nouveau compte. À l'échéance, l'objectif est de supprimer ou d'anonymiser les éléments restants, avec reprise et contrôle en cas d'échec. Dans les environnements où le dispositif de sauvegarde est activé, les sauvegardes applicatives sont chiffrées. La règle d'exploitation prévue est de supprimer automatiquement les sauvegardes âgées de plus de 90 jours, uniquement sous les préfixes canoniques « backups/neon/production/ » et « backups/neon/preproduction/ ». Les objets placés hors de ces préfixes, étrangers au jeu de sauvegardes ou dont le nom est mal formé ne sont jamais ciblés par cette purge automatique. Cette règle devient active dans chaque environnement seulement après le déploiement et la recette du mécanisme correspondant. Un journal d'effacement chiffré et pseudonymisé, conservé dans le stockage privé R2, permet de rejouer les demandes après une restauration. Lorsqu'il est déployé, il est verrouillé et conservé au moins 120 jours ; une entrée n'est éligible à la purge automatique qu'à partir de 130 jours. Les actions d'administration sans lien avec un dossier de signalement ont un objectif de conservation de vingt-quatre mois ; les traces rattachées à un dossier suivent l'échéance de ce dossier.