Politique de confidentialité (application)

1. Responsable du traitement

Le responsable du traitement des données est Mes Chasses (entrepreneur individuel), 4 rue des Grandes Vignes, 44190 Clisson, SIRET 88977838700031. Contact : contact@meschasses.com. Aucun délégué à la protection des données (DPO) n’est désigné ; les demandes relatives à vos données sont traitées à cette adresse.

Répartition des rôles. Pour les données qu’une structure de chasse (ACCA, société, association, domaine, chasse privée) enregistre sur ses propres membres et participants (identité, coordonnées, permis, assurance, prélèvements, positions), la structure est responsable de traitement et Mes Chasses agit comme sous-traitant au sens de l’article 28 du RGPD, pour son compte et selon ses instructions. Pour les données de gestion de sa propre clientèle (compte du souscripteur, facturation), Mes Chasses est responsable de traitement.

2. Données que nous collectons

3. Finalités et bases légales

• Fournir le service (gestion des chasses, événements, cartes, carnet) : exécution du contrat.
• Localisation en temps réel et sécurité : consentement (voir §4).
• Scan et vérification du permis de chasse : consentement (donnée sensible).
• Accès aux contacts pour constituer votre carnet : consentement.
• Notifications push : consentement.
• Mesurer l’efficacité de nos annonces et les présenter sur les réseaux sociaux (Facebook, Instagram) : consentement (voir §12).
• Vous envoyer vos postes de chasse par SMS : exécution du contrat (le message part quand l’organisateur valide les postes de la chasse).
• Vous envoyer vos postes de chasse par WhatsApp : consentement (voir §6).
• Paiements (participations, abonnements) : exécution du contrat / obligation légale comptable.
• Sécurité, prévention de la fraude, statistiques d’usage et correction des pannes : intérêt légitime.

4. Données de localisation (géolocalisation), y compris en arrière-plan

L’application collecte votre position GPS précise dans deux cas d’usage uniquement, et seulement pendant ces sessions :

1. Chasse en direct : lorsque vous rejoignez une chasse en direct, votre position est collectée et partagée en temps réel avec les autres participants de cette chasse, à des fins de sécurité (localisation en cas d’urgence, alerte de sortie de zone ou d’entrée en zone protégée) et de coordination.
2. Recherche au sang : lorsque vous conduisez une recherche au sang, votre position est enregistrée pour tracer votre progression afin de retrouver un animal blessé.

Collecte en arrière-plan. Pour ces deux fonctionnalités, la position est collectée y compris lorsque l’application est en arrière-plan, fermée ou l’écran verrouillé (par exemple téléphone en poche pendant la battue). Cette collecte s’effectue via un service de premier plan signalé par une notification persistante, et uniquement pendant une session active de chasse en direct ou de recherche au sang.

Consentement. Aucune donnée de localisation n’est collectée sans votre consentement explicite : un écran d’information vous est présenté avant toute demande de permission, et l’activation du suivi requiert votre acceptation. Vous pouvez refuser (mode observateur) ou révoquer l’autorisation à tout moment dans les réglages de votre appareil ; le suivi s’arrête automatiquement à la fin de la chasse en direct ou à la clôture de la recherche au sang.

Nous ne vendons pas vos données de localisation, ne les utilisons pas à des fins publicitaires, et ne les partageons avec aucun tiers en dehors des participants de la même chasse.

5. Données sensibles

Le permis de chasse, l’attestation d’assurance (et leurs scans) ainsi que l’IBAN de trésorerie de domaine sont des données sensibles, collectées avec votre consentement, chiffrées, et accessibles uniquement aux personnes habilitées. Le scan du permis est lu automatiquement pour pré-remplir les informations ; l’image n’est pas utilisée à d’autres fins.

5 bis. Votre permis de chasse : qui le voit, pourquoi, combien de temps

Vous pouvez enregistrer votre permis de chasse, votre validation et votre assurance dans Mes Chasses. Hors lien de partage (voir plus bas), ces informations ne sont lisibles que par :

• vous-même ;
• le bureau d’un territoire dont vous êtes membre actif (administrateur, propriétaire, gestionnaires), pour tenir le registre des membres et vérifier la conformité avant les chasses. L’accès couvre l’ensemble de votre permis, y compris votre date de naissance, votre adresse et vos documents. Il s’arrête dès que vous n’êtes plus membre du territoire ;
• l’organisation d’une chasse à laquelle vous êtes invité et que vous avez confirmée, ou à laquelle vous êtes pointé présent (organisateur de la chasse, propriétaire et gestionnaires du territoire), pour vérifier votre permis, votre validation et votre assurance avant la battue. L’accès dure jusqu’à la fin du lendemain de la chasse, heure de Paris. Passé ce délai, l’organisation voit seulement si vous étiez en règle le jour de la chasse (oui ou non) ;
• l’équipe Mes Chasses, uniquement pour résoudre un problème de support.

Vous pouvez aussi donner votre permis à quelqu’un qui n’a pas Mes Chasses, un organisateur par exemple. C’est vous qui décidez, depuis l’application : vous créez un lien valable 7 jours, 30 jours ou jusqu’à la fin de la saison de chasse (30 juin). Toute personne qui a ce lien, sans compte ni application, voit : votre nom ; votre numéro de permis, son pays, son type, sa date de délivrance et l’autorité qui l’a délivré, avec, pour un permis étranger, ses dates de validité et sa saison ; votre validation de la saison (numéro, type, dates, départements du petit gibier et du grand gibier) ; votre assurance (assureur, numéro, échéance) ; et si votre permis est en règle ou non. Elle ne voit jamais votre date de naissance, votre adresse, votre IDGU ni vos documents. Les informations sont lues en direct : elles montrent l’état actuel de votre permis. Un seul lien est actif à la fois, et en créer un nouveau coupe l’ancien. Vous pouvez le désactiver quand vous voulez. Il cesse aussi de fonctionner si vous supprimez votre permis ou si vous demandez la suppression de votre compte. Chaque ouverture du lien est enregistrée.

Personne d’autre n’y a accès. Ajouter quelqu’un dans son carnet de contacts, même relié à votre compte, ne donne pas accès à votre permis. Les documents partagés avec les participants d’une chasse n’affichent jamais votre numéro de permis, de validation ou d’assurance. La feuille de présence est réservée à l’organisation de la chasse et aux participants confirmés ou présents, et ses numéros de permis disparaissent après le lendemain de la chasse, sauf pour les membres du territoire.

Chaque consultation de votre permis par un tiers est enregistrée : le compte de la personne (s’il y en a un), la date, la finalité (vérification des permis d’une chasse, documents de la chasse, feuille de présence, fiches des membres d’un territoire, ouverture de votre lien de partage), et la chasse ou le territoire concerné. Vous consultez ce journal dans votre compte (sur le web, onglet Permis ; dans l’application, Compte, Permis, Qui voit mon permis). Il affiche le territoire et, quand il y en a une, la chasse datée (la chasse seule si elle n’a pas de territoire, « Lien partagé » pour votre lien), mais pas le nom des personnes. Il compte une ligne par chasse (ou par territoire, pour les fiches des membres), par finalité et par jour. Les consultations de la feuille de présence n’y apparaissent pas, mais elles restent enregistrées. L’export de vos données contient tout le journal, feuille de présence comprise, avec la personne qui a consulté quand elle a un compte. Le journal est conservé 12 mois, puis effacé. Il est supprimé avec votre compte. Un permis saisi par un organisateur sur la fiche d’une personne qui n’a pas de compte n’est pas journalisé : il reste dans le carnet de cet organisateur, qui est alors responsable de ces données.

Base légale : exécution de votre adhésion au territoire pour le bureau, intérêt légitime de sécurité de la chasse pour l’organisation d’une chasse (vérifier qu’un chasseur est titulaire d’un permis validé et assuré), intérêt légitime pour le support, et votre choix pour le lien de partage, que vous pouvez désactiver à tout moment. Vous pouvez à tout moment supprimer votre permis de l’application, demander l’accès à vos données ou vous opposer à un traitement en écrivant à contact@meschasses.com.

6. Messages SMS et WhatsApp

Quand l’organisateur d’une chasse valide les postes, Mes Chasses envoie à chaque chasseur placé un email et, si le chasseur a un numéro de portable, un SMS ou un message WhatsApp. Le message reprend le titre et la date de la chasse, les postes du chasseur et un lien personnel vers sa page « Mon poste ». Il ne contient ni numéro de permis ni donnée de paiement.

D’où vient votre numéro. De votre profil, ou de la fiche créée par la structure de chasse qui vous invite. Dans ce second cas, la structure est responsable de traitement et Mes Chasses agit pour son compte (voir §1). Seuls les portables français et belges sont acceptés.

SMS. Sans choix de votre part, vous recevez vos postes par SMS. Il part de l’expéditeur « MesChasses » et ne permet pas de répondre. Pour ne plus en recevoir, choisissez « Email seul » dans votre profil. Sans compte, écrivez à contact@meschasses.com.

WhatsApp. Vous ne recevez de message WhatsApp que si vous l’avez choisi et avez accepté d’en recevoir. Nous conservons la date, l’endroit où vous avez donné cet accord et la version du texte que vous avez accepté. Répondez STOP à un message pour arrêter, ou changez de canal dans votre profil : la preuve de votre accord est alors effacée.

Qui envoie le message. Brevo envoie les SMS. Twilio envoie les messages WhatsApp, et les SMS quand Brevo ne peut pas le faire. WhatsApp est un service de Meta. Les transferts hors de l’Union européenne sont décrits au §7.

7. Partage et sous-traitants

Nous ne vendons aucune donnée. Nous faisons appel à des sous-traitants techniques, chacun encadré contractuellement (RGPD) :

• Cloudflare : hébergement de l’application et du site, et stockage de fichiers (Cloudflare R2 : photos, documents), en France.
• Supabase : base de données et authentification, région France (Union européenne).
• Stripe : traitement des paiements (nous ne stockons jamais vos numéros de carte).
• Firebase Cloud Messaging (Google) / Apple Push Notification service : notifications push.
• Brevo (France) : emails transactionnels et envoi des SMS.
• Twilio (États-Unis) : envoi des messages WhatsApp et, en secours, des SMS.
• Meta Platforms (WhatsApp) : acheminement des messages WhatsApp.
• Meta Platforms Ireland Ltd (annonces) : seulement avec votre accord, mesure de l’efficacité de nos annonces et diffusion sur Facebook et Instagram (voir §12). Votre consentement fonde ce traitement.
• Prestataire de lecture automatique de documents (États-Unis) : lecture du scan du permis de chasse et de l’attestation d’assurance, et aide à la rédaction des réponses du support.
• Libredesk, hébergé par nos soins chez Google Cloud : support client (chat, emails) et centre d’aide. Pour préparer une réponse, nous pouvons nous aider d’un outil d’aide à la rédaction qui reçoit le contenu de la conversation ; une personne de l’équipe relit et envoie chaque réponse.
• Sentry : journalisation des erreurs.
• PostHog : statistiques d’usage (voir §12).

Les données principales (base de données, fichiers) sont hébergées en France. Certains prestataires tiers (par exemple : paiement, notifications, reconnaissance de texte du permis, journalisation d’erreurs, mesure d’audience) peuvent toutefois traiter certaines données hors de l’Union européenne ; ces transferts sont alors encadrés par des garanties appropriées (clauses contractuelles types). Les messages WhatsApp, et les SMS envoyés en secours par Twilio, quittent l’Union européenne : votre numéro et le texte du message sont alors traités aux États-Unis. Ces transferts reposent sur les clauses contractuelles types ou, quand le prestataire y adhère, sur le cadre de protection des données entre l’Union européenne et les États-Unis. Les données transmises à Meta pour les annonces sont traitées aux États-Unis par Meta Platforms, Inc., dans le cadre de protection des données entre l’Union européenne et les États-Unis. Un SMS circule aussi en clair sur le réseau des opérateurs de téléphonie.

8. Durées de conservation

Vos données sont conservées le temps de votre utilisation du service :

• Données de compte et d’activité : tant que votre compte est actif.
• Après suppression du compte : les données sont masquées immédiatement, puis supprimées ou anonymisées sous 30 jours, sauf obligation légale contraire.
• Données comptables et de facturation : 10 ans (article L123-22 du Code de commerce).
• Données de paiement (via Stripe) : selon les obligations bancaires applicables.
• Positions GPS : conservées le temps nécessaire à l’historique de la chasse concernée.
• Journal des consultations de votre permis par un tiers : 12 mois, puis suppression automatique ; supprimé avec votre compte.
• Lien de partage de votre permis : il fonctionne jusqu’à la date que vous avez choisie (7 jours, 30 jours ou fin de saison), sauf si vous le désactivez avant. Il est supprimé dès que vous le désactivez, que vous supprimez votre permis ou que vous demandez la suppression de votre compte.
• Journaux techniques internes (journal des actions sensibles, suivi des emails et des notifications) : 12 mois glissants, puis suppression automatique.
• Messages SMS et WhatsApp envoyés (numéro, texte, état de remise) : 12 mois après l’envoi, puis suppression automatique.
• Choix de canal et accord WhatsApp : tant que votre numéro est enregistré chez nous. Retirer votre accord efface la preuve, et la suppression de votre compte efface ces données.
• Accord pour les annonces : la date de votre accord est conservée tant que votre compte existe. Les identifiants _fbp et _fbc et le type de navigateur sont effacés quand vous retirez votre accord, et au plus tard 6 mois après l’accord. La suppression de votre compte efface le tout, dans les 30 jours comme le reste du compte. Ces données figurent dans l’export de vos données.

9. Vos droits (RGPD)

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Pour les exercer : contact@meschasses.com. Nous répondons dans un délai de 30 jours calendaires. Vous pouvez aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).

La suppression de votre compte (et des données associées) est possible directement depuis l’application (Profil) ou sur demande.

10. Sécurité

Les données sont chiffrées en transit (HTTPS) et au repos, l’accès est restreint par des règles d’autorisation par rôle, et les documents sensibles sont stockés de manière privée.

11. Mineurs

L’application s’adresse à des personnes titulaires d’un permis de chasse ; elle n’est pas destinée aux mineurs de moins de 15 ans.

12. Cookies et traceurs

L’application mesure son utilisation (PostHog : pages vues, parcours, enregistrement des sessions avec les saisies masquées) pour repérer ce qui bloque et l’améliorer. Cette mesure est active par défaut. Sur la version web, vous pouvez la couper à tout moment depuis votre compte (réglage « Mesure d’audience ») : ensuite, plus rien n’est mesuré et votre refus est conservé 6 mois. Dans l’application mobile, elle ne se désactive pas. Ces traceurs de mesure d’audience ne collectent aucun identifiant publicitaire. L’application mobile n’en utilise aucun, et n’envoie rien à Meta.

Sur la version web, votre choix est retenu par le cookie mc_consent, partagé avec le site vitrine (domaine .meschasses.com) : un choix fait sur l’un vaut aussi sur l’autre. Sauf refus de votre part, un cookie nommé mc_acq mémorise la source de votre arrivée (campagne, site référent, page d’entrée) pour comprendre comment vous avez découvert Mes Chasses. Il est conservé 90 jours et n’est jamais partagé avec un tiers. Le site vitrine dispose de sa propre politique de confidentialité.

Annonces. Sur la version web, seulement si vous l’acceptez, nous mesurons l’efficacité de nos annonces et pouvons vous les présenter sur les réseaux sociaux (Facebook, Instagram), avec Meta Platforms Ireland Ltd. Rien n’est chargé ni envoyé tant que vous n’avez pas accepté. Un bandeau vous le demande sur les pages de connexion et d’inscription. Votre choix est retenu 6 mois par le cookie mc_ads_consent, partagé avec le site vitrine.

Avec votre accord, Meta dépose dans votre navigateur les cookies _fbp (il identifie votre navigateur) et _fbc (il retient l’annonce sur laquelle vous avez cliqué, si vous en venez d’une). Ils sont conservés 90 jours. Sur ces pages, votre navigateur transmet aussi directement à Meta la page consultée, votre adresse IP et votre type de navigateur. À votre inscription puis à votre abonnement, nos serveurs envoient à Meta votre adresse email et votre identifiant de compte sous forme chiffrée irréversible (hachage), le montant de l’abonnement, vos identifiants _fbp et _fbc et votre type de navigateur. Nous gardons ces identifiants 6 mois au plus, et jamais votre adresse IP.

Vous pouvez retirer votre accord à tout moment dans Mon compte, Profil, Vie privée (réglage « Partage avec nos partenaires »). Les envois s’arrêtent et nos copies de ces identifiants sont effacées. Ce que Meta a déjà reçu relève de sa politique de confidentialité.

13. Assistants IA connectés (ChatGPT, Claude, Gemini)

Vous pouvez connecter un assistant IA (ChatGPT d’OpenAI, Claude d’Anthropic, Gemini de Google ou un autre client compatible) à votre compte Mes Chasses. La connexion se fait par le protocole OAuth 2.1 : l’assistant vous redirige vers une page de Mes Chasses qui vous demande d’autoriser l’accès, et vous pouvez refuser. Aucune donnée n’est transmise tant que vous n’avez pas accepté.

Quelles données l’assistant reçoit

L’assistant agit en votre nom et reçoit les mêmes informations que vous voyez dans l’application, avec des restrictions supplémentaires. Chaque réponse est construite champ par champ (liste blanche) : seules les données ci-dessous sortent.

• Votre profil : prénom, nom, langue et adresse email (en clair, c’est la vôtre).
• Vos territoires : nom, rôle (propriétaire, gestionnaire, membre, actionnaire), formule d’abonnement et, pour les propriétaires et gestionnaires, compteurs d’utilisation (chasses du mois, membres).
• Vos chasses à venir : titre, date, heure, statut (brouillon, publiée, annulée), territoire.
• Réponses aux invitations : prénom, nom, statut de réponse (confirmé, en attente, refusé), choix de repas, nom de l’hôte pour les invités.
• Conformité des permis : prénom, nom et statut réduit à “conforme”, “bientôt expiré” ou “problème”. Après le lendemain de la chasse, seul le résultat (conforme ou non) est donné, sans statut détaillé ni date.
• Coordonnées masquées : les emails de tiers sont masqués (première lettre et domaine : “j***@domaine.tld”) et les téléphones aussi (deux derniers chiffres seulement : “.. .. .. .. 78”).

L’assistant ne reçoit jamais de numéro de permis, de numéro de validation, de numéro d’assurance, d’adresse postale, de date de naissance, de document (scan du permis, attestation d’assurance), de photo ni de donnée de localisation GPS.

Ce que l’assistant peut faire

L’assistant peut consulter vos territoires et vos chasses, créer un brouillon de chasse, ajouter des personnes à une chasse ou à un territoire et consulter les réponses et la conformité des permis.

Toute action qui envoie un message (publier une chasse, envoyer des invitations, relancer des réponses ou des permis) suit une confirmation en deux temps : l’assistant vous montre d’abord un récapitulatif (destinataires, contenu), puis ne l’exécute qu’après votre accord explicite. Le récapitulatif est signé et valable 15 minutes ; il ne peut être utilisé qu’une seule fois.

Transit par le fournisseur de l’assistant

Les données transmises à l’assistant transitent par les serveurs de son fournisseur (OpenAI, Anthropic, Google ou un autre). Mes Chasses ne contrôle pas ce que le fournisseur fait de ces données une fois reçues. Chaque fournisseur applique sa propre politique de confidentialité : consultez celle d’OpenAI, d’Anthropic ou de Google selon l’assistant que vous utilisez.

Ce que Mes Chasses enregistre

• Autorisation OAuth : la connexion entre votre compte et l’assistant (identifiant du client, date d’autorisation). Elle est conservée tant que vous ne la révoquez pas.
• Télémétrie d’usage (si elle est active) : pour chaque appel d’outil, le nom de l’outil, l’identifiant du client (quelle IA), le succès ou le code d’erreur et la durée. Votre identifiant de compte est utilisé comme clé de regroupement. Aucun argument d’outil, aucune donnée nominative et aucun contenu de réponse ne sont enregistrés. Cette télémétrie passe par PostHog (région Union européenne) et peut être désactivée de notre côté (elle l’est par défaut tant que la clé PostHog n’est pas configurée).
• Jetons de confirmation : un jeton à usage unique est créé pour chaque action à confirmer. Il est purgé automatiquement sous un jour.

Base légale

L’accès de l’assistant repose sur votre consentement (autorisation OAuth). Vous choisissez de connecter l’assistant, et vous pouvez retirer cet accès à tout moment.

Révocation et effets

Vous pouvez révoquer l’accès d’un assistant à tout moment dans l’application : Mon compte, Profil, section “Assistants IA connectés”. La révocation prend effet immédiatement : l’assistant ne peut plus accéder à votre compte et les appels suivants sont refusés. Les données déjà transmises à l’assistant restent soumises à la politique de son fournisseur.

Contact

Pour toute question sur le traitement de vos données par les assistants IA : contact@meschasses.com.

14. Modifications

Nous pouvons mettre à jour cette politique ; toute modification substantielle vous sera signalée dans l’application.

15. Contact

Pour toute question relative à vos données : contact@meschasses.com.