Politique de Confidentialité

Chez Karma Troc, la protection de votre vie privée est au cœur de notre contrat de confiance. Cette politique détaille comment nous traitons vos données conformément au Règlement Général sur la Protection des Données (RGPD).

1. Données collectées et Finalités

A. Données d'Identité et de Profil Public

Nous collectons votre adresse e-mail et votre nom/prénom via Firebase Authentication pour la création et la sécurisation de votre compte.

Connexion avec Google, Apple ou Facebook. Si vous choisissez de vous connecter avec l'un de ces comptes, le fournisseur choisi nous transmet votre adresse e-mail et votre nom (Apple peut vous proposer de masquer votre adresse, et Google ou Facebook peuvent joindre le lien de votre photo de profil, que l'application n'affiche pas). Nous ne recevons ni votre mot de passe, ni vos contacts, ni vos publications. De son côté, le fournisseur apprend que vous utilisez Karma Troc, et il traite cette information selon ses propres règles de confidentialité. Vous pouvez aussi créer un compte avec une simple adresse e-mail.

Votre commune. Vous choisissez votre commune dans la liste officielle des communes françaises, avec son code postal. Nos serveurs y rattachent son code officiel (code INSEE), ou vous demandent de la confirmer quand le nom et le code postal ne concordent pas. Votre commune sert à vous montrer le résumé du matin et la page « Ma commune » de votre commune (§ 1-I), à choisir qui reçoit les notifications d'une commune (§ 6) et à compter les membres de chaque commune : seul ce nombre est gardé, sur une fiche de la commune que seule l'équipe consulte. L'inscription d'un premier membre dans une commune peut en ouvrir le résumé ; personne n'apprend ainsi qui y habite. Le nom de votre commune figure sur votre profil, visible des membres connectés, et sur la vitrine avec votre accord (§ 4, « Vitrine publique »).

Votre profil contient également votre score de confiance (Trust Score), votre compteur d'échanges validés et votre statut (« Visiteur » ou « Citoyen »). Ces données de réputation sont publiques afin de personnaliser l'expérience de confiance et guider le voisinage. Vos soldes de Karma (principal et en attente) n'y figurent pas : les autres membres ne les voient pas.

Signalements du Phare — pseudonymat, et ses limites. Une alerte publiée sur Le Phare est signée « Un voisin » : ni votre pseudo, ni votre photo, ni un lien vers votre profil n'accompagnent le signalement, et les autres membres ne disposent d'aucun moyen de savoir que vous en êtes l'auteur. Karma Troc, en revanche, le sait. L'identifiant du compte auteur est conservé avec le signalement et reste accessible à l'éditeur et à ses administrateurs. Cette conservation est nécessaire au traitement des fausses alertes, des signalements malveillants et des réquisitions judiciaires : un dispositif d'alerte locale totalement anonyme serait une arme. Le pseudonymat vous protège donc de vos voisins, pas de l'éditeur.

B. Données de Localisation

Karma applique un principe strict de minimisation et d'anonymisation géographique pour préserver votre vie privée :

• Masquage GPS : Votre position exacte n'est jamais affichée publiquement ni partagée avec d'autres utilisateurs. Elle peut être conservée de façon privée et à accès restreint (par exemple pour calculer la distance lors d'un échange ou recentrer votre fil) ; la version visible des annonces et signalements est toujours anonymisée (zone approximative, voir ci-dessous).
• Distance en temps réel : Lors de la validation par Handshake, le système calcule à la volée la distance approximative entre les participants. Cette donnée brute est immédiatement effacée et n'est pas conservée en tant que position GPS.
• Anonymisation de la localisation (Annonces & Signalements) : La position des objets troqués et des alertes du Phare n'est jamais exposée précisément : elle est quantifiée sur une grille de voisinage — environ 66 m pour les annonces, environ 25 m pour les signalements du Phare — avant suppression irréversible des coordonnées d'origine. La position publiée est ainsi décalée de plusieurs mètres, dans la limite de la maille, ce qui empêche de remonter à une adresse précise. Deux éléments très proches peuvent néanmoins tomber de part et d'autre d'une limite de maille et rester distincts : le procédé borne la précision, il ne rend pas deux voisins indiscernables.
• Protection du Profil par Geohash : L'emplacement de votre profil pour les mises en relation de voisinage est limité à un code Geohash de 5 caractères, restreignant la précision à une échelle communale d'environ 4,9 km de rayon.
• Cercle de rue (libellé de quartier) : Si vous renseignez le nom de votre rue (« cercle de rue »), ce libellé sert de clé de regroupement local : il relie vos annonces, offres éclair et événements à votre voisinage pour que les voisins proches se retrouvent. À ce titre, ce libellé de rue peut être associé aux contenus que vous publiez et à votre profil, et donc visible des autres membres dans ce cadre. Il s'agit du nom de la rue uniquement (jamais votre numéro ni votre adresse exacte), il est facultatif et modifiable ou supprimable à tout moment depuis votre profil.
• Choix des encarts de partenaires locaux : pendant un écran d'attente, l'application choisit l'encart à montrer d'après la position qu'elle utilise déjà : celle de votre appareil, celle de l'annonce en cours ou de votre profil, ou à défaut le centre de votre commune ou un point fixe. Votre appareil demande les encarts de la case d'environ 5 km qui contient cette position et des cases voisines, puis garde ceux dont la zone de diffusion, fixée pour chaque partenaire, la contient. Ce tri se fait sur votre appareil : votre position exacte n'est ni envoyée ni enregistrée pour l'occasion, et n'est jamais transmise au partenaire. La case sert aussi à compter les écrans d'attente par secteur, sans lien avec votre compte (voir § 1-H). La carte du Phare et le résumé du matin, eux, n'utilisent pas votre position pour les commerces : le résumé montre les bons plans de sa commune, la carte ceux de la partie affichée.
• Commune proche de vous : pour vous proposer le résumé d'une commune voisine (« Près de … ») ou votre commune dans la liste (« Près de toi »), l'application compare elle-même sa position, arrondie, aux centres des communes. Pour « Près de … », elle demande à nos serveurs les résumés d'un bloc de neuf cases d'environ 5 km autour d'elle. Votre position exacte ne quitte pas votre appareil, et rien n'est enregistré.
• Commune d'une annonce : le nom de la commune d'une annonce est retrouvé à partir de son lieu, arrondi à environ 110 mètres, auprès du service public geo.api.gouv.fr ; sur iPhone, le nom de la rue et de la commune peut aussi être demandé aux services d'Apple (§ 4).

C. Données liées aux Échanges et aux Transactions

Lorsque vous réalisez un échange via le Handshake, Karma Troc enregistre de manière immuable : la date et l'heure de l'échange, le montant de Karma engagé ou transféré, ainsi que la catégorie de l'échange (objet physique ou service).

Le système génère également un historique agrégé du nombre d'échanges et du volume de Karma circulant entre vous et chacun de vos partenaires. Cet historique, stocké de façon strictement symétrique, est invisible pour les tiers.

D. Données de Notation (Double Scellement)

Lorsque vous notez un partenaire ou que vous êtes noté, l'application enregistre les notes attribuées sur chacun des 5 critères comportementaux, la moyenne calculée, l'identifiant du troc et la date. Ces informations servent exclusivement à calculer votre Trust Score et à alimenter votre radar de profil. Les notes individuelles et l'historique brut des critères ne sont jamais publiés individuellement ni partagés.

E. Contenus et Médias (rédaction et relecture automatiques)

Lorsque vous utilisez nos outils d'IA pour créer ou enrichir une annonce, les images sont analysées par la rédaction automatique pour identifier l'objet, et vos textes peuvent être optimisés par la relecture automatique. Ces médias sont stockés sur Google Cloud Storage et ne sont utilisés que pour les besoins de l'annonce.

Ces traitements d'IA, ainsi que la modération automatisée de l'ensemble des contenus publiés (annonces, signalements du Phare, messages publics, avis), font appel à deux sous-traitants de Karma Troc :

• Google Gemini (Vertex AI), sur l'infrastructure Google Cloud, en région us-central1 (États-Unis) et, pour certains modèles, sur le point d'accès global de Vertex AI (cf. §4).
• Anthropic Claude, pour certaines tâches de modération et de rédaction assistée. Selon la configuration, l'appel est servi via Vertex AI (Google Cloud) ou directement par l'interface de programmation d'Anthropic. Le traitement a lieu hors de l'Union européenne.

Dans les deux cas, les contenus transmis servent uniquement à produire le résultat demandé (verdict de modération, suggestion de texte, description d'un objet) et ne sont pas utilisés pour entraîner ces modèles. Aucune décision produisant des effets juridiques significatifs n'est prise sur ce seul fondement automatisé : un contenu jugé douteux est mis en revue manuelle. Votre réputation communautaire (« Aura » / influence) est calculée automatiquement à des fins de gouvernance interne, sans aucun profilage commercial ni revente.

F. Données Vocales (assistant vocal)

L'assistant vocal traite vos commandes vocales via les services de reconnaissance vocale d'Apple ou de Google. Les fichiers audio sont traités de manière éphémère pour la transcription et ne sont pas conservés. Quand l'assistant vous répond à voix haute, le texte de sa réponse est envoyé au service de synthèse vocale de Google Cloud, qui renvoie le son : nos serveurs ne le gardent pas, et l'application web peut le garder en mémoire sur votre appareil jusqu'à votre déconnexion.

G. Liste d'attente (karmatroc.com)

Si vous laissez votre adresse sur karmatroc.com pour être prévenu·e de l'arrivée de Karma Troc près de chez vous, nous enregistrons votre adresse e-mail, la commune choisie et la date d'inscription, sur la base de votre consentement. Elles servent uniquement à vous prévenir quand Karma Troc s'ouvre dans votre commune, et à compter les inscrits par commune pour décider des prochaines ouvertures (seul ce total est affiché, jamais votre adresse). Une empreinte de votre adresse IP sert à limiter les inscriptions abusives (cinq par heure). Chaque e-mail que nous vous envoyons porte un lien de désinscription : un clic efface votre inscription, qui est conservée jusque-là. Vous pouvez aussi demander son effacement à l'adresse de contact ci-dessus.

H. Encarts de partenaires locaux : ce qui est compté

Pour rendre aux partenaires des chiffres exacts, sans qu'un même membre soit compté plusieurs fois ni qu'on puisse les gonfler, nous notons, pour chaque compte, quels encarts ont été affichés ou touchés chaque jour, quelles promotions des commerces (carte du Phare, résumé du matin) ont été affichées, touchées ou ont donné lieu à une demande d'itinéraire, ainsi que le nombre d'écrans d'attente vus dans la journée. Ces notes sont effacées automatiquement après 35 jours, ou dès la suppression de votre compte. Les écrans d'attente sont aussi comptés par jour et par secteur d'environ 5 km, sans lien avec votre compte. Le partenaire ne reçoit que des totaux, par jour et par type d'écran d'attente : affichages, clics, nombre de voisins différents sur 30 jours et part des écrans d'attente de sa zone où il est apparu ; et, pour ses promotions, par promotion et par emplacement : affichages, touchers et demandes d'itinéraire ; jamais votre identité ni vos données. Ce comptage repose sur notre intérêt légitime à rendre des chiffres fiables aux partenaires.

I. Le résumé du matin et « Ma commune »

Chaque matin, nos serveurs écrivent pour chaque commune ouverte un résumé, lisible par les membres connectés. Il réunit deux sortes d'informations :

• Ce que les voisins ont déjà publié dans la commune (annonces, demandes, prêts, événements, trajets, bonnes nouvelles) : le titre, parfois une photo, et le pseudo de son auteur, que le résumé affiche pour une demande, un prêt ou une bonne nouvelle, tels qu'ils paraissent déjà dans l'application. Une alerte du Phare y paraît sans le nom de son auteur, comme dans l'application, où elle est signée « Un voisin ». Le résumé peut aussi rapprocher un fait du jour (une vigilance, la déchèterie fermée…) d'une annonce de la commune, citée par son seul titre. Un contenu retiré ou refusé disparaît du résumé du jour.
• Des informations publiques (météo, vigilance, eau, air, risques, horaires de La Poste, rappels de produits, nouvelles associations, nouveaux commerces, jours fériés et vacances…), dont la source, la licence et la date sont indiquées sous chaque rubrique et dans la page « Sources des données ». Pour les obtenir, nos serveurs interrogent ces sources avec le seul code, centre ou contour de la commune : aucune donnée vous concernant ne leur est transmise.

« Ma commune », affichée sous le résumé, rassemble les informations pratiques de la commune (mairie, urgences, pharmacies, défibrillateurs, élus, risques, gares…), tirées de sources publiques, que l'équipe peut corriger ou masquer. Le nombre d'ouvertures du résumé est compté par jour et par commune, sans lien avec votre compte. Les documents de chaque jour sont effacés après 90 jours ; le résumé d'une commune est remplacé à chaque nouvelle publication.

J. Personnes qui ne sont pas membres

« Ma commune » et le résumé nomment aussi des personnes et des commerces qui n'utilisent pas forcément Karma Troc :

• Les élus : le maire et les adjoints de la commune, avec leur fonction et la date de début de leur fonction, tels que les publie le ministère de l'Intérieur dans le Répertoire national des élus (Licence Ouverte). Nous n'en reprenons ni la date de naissance, ni le sexe, ni la profession.
• Les pharmacies : leur raison sociale, leur adresse et leur téléphone, tels que les publie le fichier national des établissements sanitaires et sociaux (FINESS) ; la raison sociale d'une officine peut porter le nom de son pharmacien.
• Les nouveaux commerces : la dénomination, l'enseigne ou le nom commercial, l'activité et la date de création des établissements ouverts depuis moins de 90 jours dans la commune par des sociétés commerciales, tels que les publie l'INSEE dans le répertoire Sirene (Licence Ouverte) ; une société plus ancienne qui y ouvre un établissement, ou qui y déménage, y paraît donc aussi. Seuls y paraissent des établissements de sociétés dont l'INSEE diffuse toutes les informations ; jamais une entreprise individuelle, ni le nom d'un dirigeant, ni une adresse. La dénomination, l'enseigne ou le nom commercial peuvent porter le nom d'une personne.
• Les acteurs du village (commerces, camions de passage, cantines, déchèteries, services de collecte) : ce qu'ils ont dit à l'équipe (horaires, fermetures, tournée, menus, jours de collecte), saisi par elle en leur nom avec la date de leur confirmation, et cité sous leur nom de commerce. Nous n'y inscrivons ni nom de personne, ni téléphone, ni adresse électronique ; passé son délai de validité, une déclaration n'est plus affichée.

L'espace des acteurs. Un commerce, un camion de passage ou une mairie peut aussi tenir lui-même ses horaires, ses fermetures, ses passages ou ses menus depuis un compte Karma Troc. Pour une mairie ou une école privée, un code qui ne sert qu'une fois est envoyé à l'adresse électronique que publie l'annuaire officiel (Service-Public pour une mairie, annuaire de l'Éducation nationale pour une école) ou, quand elle ne reçoit pas de courrier, à la même adresse sur le domaine du site officiel, après vérification par l'équipe ; jamais à une adresse saisie dans l'application ; ce message nomme le pseudo du compte qui l'a demandé. Pour un commerce ou un camion, le numéro SIRET donné est vérifié dans le répertoire Sirene de l'INSEE (établissement en activité, activité de proximité, et sa commune pour un commerce), puis l'équipe accepte la demande. Pour ce compte, nous gardons : les fiches qui lui sont confiées ; la façon dont il a été vérifié et sa date (l'adresse à laquelle le code est parti, ou le numéro SIRET et ce que Sirene en dit : activité, commune, enseigne et dénominations, catégorie juridique, dates de création et de mise à jour, jamais le nom d'une personne) ; la version des conditions qu'il a acceptées et sa date ; ses demandes ; et, pour éviter les abus, le nombre de ses demandes et de ses enregistrements du jour et de ses essais de code de l'heure (20 enregistrements par jour, 10 essais de code par heure au plus). Ce qu'il enregistre est signé d'un identifiant tiré au hasard, jamais de son nom ni de son pseudo, et paraît sous le nom du commerce, avec sa date et la mention « déclaré par l'établissement ». Le lien entre son compte et cet identifiant est effacé quand l'équipe lui retire ce rôle ; ce lien et ses demandes le sont avec son compte ; ses fiches, elles, restent au nom du commerce. L'équipe peut corriger ce qu'il a écrit, revenir à une version précédente, et suspendre ou retirer son espace.

Ces informations sont publiées pour l'intérêt légitime des habitants à connaître la vie pratique de leur commune. Toute personne concernée peut en demander la correction ou le retrait à dpo@karmatroc.com : l'équipe corrige ou masque la ligne, et sa correction l'emporte sur la source.

K. Fonctions annoncées, pas encore ouvertes

Les fonctions ci-dessous ne sont pas encore ouvertes à tous. Ce qui suit s'applique dès que l'une d'elles l'est :

• Le résumé d'une commune où vous passez : si vous demandez le résumé d'une commune où ne vit encore aucun membre, nos serveurs reçoivent le seul code de cette commune avec votre demande. Ils fabriquent ce résumé pour la journée, sans notification, et ne gardent pas le lien entre vous et cette commune ; seul le nombre de vos demandes est compté, pour éviter les abus.
• Les prochains passages à un arrêt : quand vous demandez les prochains passages d'un arrêt de bus, de tram ou de car, nos serveurs reçoivent l'identifiant de cet arrêt avec votre demande, sans le garder ; seul le nombre de vos demandes de l'heure est compté, pour éviter les abus, et ce compteur est effacé avec votre compte. L'arrêt que vous choisissez reste enregistré sur votre appareil.

L. Votre dernière ouverture de l'application

Nous notons la date de votre dernière ouverture de l'application, au plus une fois par heure. Elle sert à compter les membres actifs chaque jour et à observer le Karma qui dort : pour chaque compte, un compteur des nuits sans ouverture et le dernier solde vu sont tenus à part. Cette observation ne change rien à votre solde ; une règle qui y toucherait ferait l'objet d'une nouvelle version des conditions. Ces données ne sont pas montrées aux autres membres et sont effacées avec votre compte.

M. Groupes de discussion

• Ce qui est enregistré : les groupes dont vous êtes membre (nom, type, liste des membres, date d'arrivée de chacun, référent), les messages et les photos que vous y envoyez, vos signalements, et votre choix de couper le son d'un groupe. Les photos sont réduites et débarrassées de leurs métadonnées (dont la position) avant l'envoi.
• Pourquoi : vous fournir la discussion de groupe (exécution du contrat), et traiter les signalements (obligation de l'hébergeur).
• Qui y accède : les membres du groupe (les messages postérieurs à leur arrivée, jamais vos coordonnées) ; Karma Troc, sur signalement ou réquisition ; chaque consultation d'un message depuis notre console d'administration est journalisée.
• Combien de temps : tant que le groupe existe ; un message retiré, un an ; un groupe fermé (dernier départ ou suppression par le référent), trente jours. À la suppression de votre compte, vos messages de groupe sont remplacés par « Message supprimé » et vos photos effacées.
• Notifications : un message prévient les autres membres (au plus une notification au début d'une rafale, puis un résumé dix minutes plus tard) ; vous pouvez couper le son d'un groupe. Aucun e-mail n'est envoyé pour un message de groupe.
• Votre export de données contient les messages de groupe que vous avez écrits, y compris dans les groupes que vous avez quittés.

N. Studio des commerces

• Pour qui : un compte que l'équipe de Karma Troc a lié à un commerce partenaire, à la demande de ce commerce et selon ses conditions, pour publier ses promotions.
• Ce qui est enregistré : le lien entre ce compte et le commerce ; pour chaque promotion publiée, le compte qui l'a publiée et le résultat de la vérification automatique ; la photo d'étiquette ou de prospectus que vous envoyez (réduite par l'application avant l'envoi), lue par une IA (Google Gemini, Vertex AI) pour proposer les champs que vous vérifiez, et rangée avec la promotion seulement si vous la choisissez comme visuel. Les promotions appartiennent au commerce.
• Pourquoi : exécuter le contrat du commerce, et permettre la modération (obligation de l'hébergeur).
• Qui y accède : les comptes liés au commerce voient ses promotions et leurs totaux ; Karma Troc voit le lien et l'auteur de chaque promotion. Les autres membres voient la promotion au nom du commerce, jamais votre pseudo.
• Combien de temps : le lien, tant que le commerce ou l'équipe ne l'a pas retiré, ou jusqu'à la suppression de votre compte ; à celle-ci, le lien part, et les promotions du commerce restent sans plus vous nommer. Votre export de données contient ce lien et la liste de vos promotions.

O. Les talents du village et les demandes entre voisins

• Pour qui : les membres qui ont coché, dans leur profil, « Me montrer dans les talents du village et me prévenir quand un voisin cherche ce que je sais faire ». La case est décochée tant que vous ne la cochez pas ; c'est un accord à part, que vous retirez à tout moment en la décochant. Un ancien réglage « Voisins à proximité » ne vaut pas accord.
• Ce qui est enregistré : votre choix, sa date et la version des conditions en vigueur ; une fiche tenue par nos serveurs seuls, qu'aucun membre ne lit directement : votre pseudo, votre photo, votre commune, ceux de vos talents qui ont été admis et le domaine de chacun, une zone d'environ 1 km tirée de la position de votre compte (jamais la position elle-même), et une représentation numérique du texte de ces talents (un « vecteur »), qui sert à les comparer par le sens. Les talents refusés sont notés sur votre profil, pour vous les dire, avec la raison. Votre présentation et vos besoins ne sont pas utilisés.
• Le traitement automatique : chaque talent est relu par une IA (Google Gemini, Vertex AI, § 1-E) avant d'être montré ; un talent refusé (par exemple une promesse de soigner) ne l'est pas. La même IA range chaque talent dans un des domaines des services et calcule son vecteur. Une recherche « De quoi as-tu besoin ? » est comparée elle aussi, par le sens, aux talents et aux services des environs : son texte est envoyé à l'IA pour cette comparaison, il n'est pas enregistré.
• Qui voit quoi : un membre qui cherche dans un rayon de 20 km au plus voit votre pseudo, votre photo, vos talents admis et une distance arrondie au kilomètre (« à moins de 2 km », « à 3 km »), jamais votre adresse ni votre position ; il peut vous écrire et signaler un talent. Un membre que vous avez bloqué, ou qui vous a bloqué, ne vous voit pas. Karma Troc voit la fiche et les signalements, et peut masquer un volontaire (tous ses talents, et les demandes qu'il recevrait) : vous en êtes informé par e-mail, avec le motif, et ce masquage est noté dans le journal de l'équipe avec son motif.
• Les demandes entre voisins : quand un membre publie une demande dans Services & Temps et qu'elle est validée par la modération, nos serveurs la comparent aux talents des volontaires à 5 km au plus ; les cinq qui y correspondent le mieux peuvent en être prévenus (§ 6). L'auteur de la demande voit combien de voisins ont été prévenus, jamais lesquels. Nous gardons l'état de cet envoi, sans le nom des voisins prévenus, et, pour chaque volontaire, le nombre d'alertes reçues dans la journée.
• Pourquoi : votre accord (la case cochée) ; pour la modération, l'obligation de l'hébergeur ; pour les compteurs (30 recherches et 60 consultations de l'annuaire par heure au plus, 10 changements de la case par heure, 10 rangements par jour de vos talents par l'IA), éviter les abus et borner les coûts.
• Combien de temps : tant que la case est cochée. La décocher vous retire à l'instant des talents du village et des alertes, et efface votre fiche et son vecteur ; ils sont aussi effacés avec votre compte. Un masquage décidé par l'équipe est gardé jusqu'à la suppression de votre compte, pour qu'il ne se lève pas en décochant puis en recochant la case. Les compteurs sont effacés avec votre compte. Votre export de données contient votre fiche des talents.
• Fonctions retirées : « Voisins à proximité » et les recherches entre voisins, que les versions précédentes de cette politique annonçaient (§ 1-K), sont retirés : plus aucune recherche n'est analysée pour en déduire un besoin ou un talent, et l'application iPhone ne se sert plus de votre position quand elle est fermée. Les recherches déjà analysées, les besoins publiés et les empreintes de profil qui servaient à ces rapprochements sont effacés.

2. Sécurité et Prévention Avancée des Fraudes (Phase 3)

Dans le cadre de l'intérêt légitime de sécurité et de protection communautaire, Karma Troc intègre des algorithmes d'analyse automatisés en tâche de fond pour repérer et bloquer les comportements malveillants :

• Horodatages des échanges : Les dates et heures des scans Handshake sont analysées pour identifier des patterns atypiques, comme des cadences de validation anormalement régulières ou standardisées (comportement de bots).
• Historique et variance des évaluations : Les notes sont comparées aux moyennes globales pour écarter automatiquement du calcul de réputation les évaluations aberrantes (tentatives de lynchage ou de sur-évaluation coordonnée).
• Suivi de la masse monétaire : L'écart entre la valeur comptable proposée et le Karma finalement transféré après application du multiplicateur (la friction n'est pas détruite, elle est recyclée vers le Trésor du quartier) est tracé pour identifier les fuites de valeur économiques ou l'injection de faux services.
• Fréquence par rôles : Le volume d'échanges par tranche de 24h est surveillé pour faire appliquer les hard-limits de vélocité des nouveaux comptes.

Protection anti-bot (reCAPTCHA Enterprise & App Check) : Pour empêcher l'usage automatisé et frauduleux de l'application (création de faux comptes, spam, attaques par script), nous utilisons Google reCAPTCHA Enterprise et Firebase App Check. Ces services, fournis par Google, analysent des signaux techniques (interactions, en-têtes de requête, adresse IP) afin de distinguer un humain d'un robot ; à ce titre, certaines de ces informations sont transmises à Google. Cette mesure repose sur notre intérêt légitime à garantir la sécurité du service. De même, les polices de caractères (Google Fonts) sont chargées depuis les serveurs de Google, ce qui transmet votre adresse IP à Google.

Essais répétés. Pour qu'on ne devine pas le code d'invitation d'un groupe, nous comptons vos essais de code (10 par heure au plus) ; ce compteur est effacé avec votre compte. Le nombre d'alertes du Phare que vous diffusez est lui aussi compté sur 24 heures : au-delà d'une cadence, l'alerte est publiée sans notification et l'équipe de modération est prévenue.

3. Fondements Juridiques du traitement

Le traitement de vos données repose sur :

• L'exécution du contrat : Pour matérialiser les handshakes, transférer le Karma de manière intègre et vous fournir le service d'entraide, dont le résumé du matin de votre commune et ses notifications ; et l'espace des acteurs, pour qui le demande (§ 1-J).
• Votre consentement : Spécifiquement pour la localisation géodésique (y compris pour choisir l'encart d'un partenaire local d'après la position de votre appareil, § 1-B), l'usage du micro, la mesure d'audience et l'inscription à la liste d'attente.
• L'intérêt légitime : Pour la sécurité de la plateforme, la protection des membres et la lutte algorithmique contre la fraude et la création monétaire artificielle ; pour choisir l'encart d'un partenaire local quand la position de votre appareil n'est pas utilisée, et pour compter les encarts (§ 1-B et § 1-H) ; pour corriger les pannes de l'application (§ 4, rapports de plantage et journaux d'erreurs) ; pour publier les informations pratiques de votre commune (§ 1-J) ; pour garder la preuve de votre acceptation des conditions (§ 5).
• L'obligation légale : Pour la conservation des données de connexion et, après la suppression d'un compte, de l'adresse e-mail et du pseudo (loi pour la confiance dans l'économie numérique et décret n° 2021-1362), ainsi que pour la preuve comptable des achats.

4. Destinataires des données

Vos données applicatives et vos identifiants sont hébergés de manière sécurisée sur les serveurs de Google Firebase / Google Cloud Platform. La base de données principale est localisée en Europe ; en revanche, les fichiers image et vidéo que vous déposez (photo de profil, photos d'annonces, scans) sont stockés dans la région Google us-central1, aux États-Unis, sous clauses contractuelles types de la Commission européenne. Certains traitements techniques — Cloud Functions et fonctions d'intelligence artificielle Vertex AI / Gemini et Anthropic Claude (modération, taxonomie, assistant vocal, recherche) — s'exécutent dans la région Google us-central1 (États-Unis) et, pour certains modèles, en région global, encadrés par les clauses contractuelles types de la Commission européenne. Aucune donnée de profil, de transaction ou de notation n'est jamais revendue, louée, transmise à des régies publicitaires ou partagée avec des tiers à des fins commerciales.

Vitrine publique. Les annonces publiées, à l'exception des alertes du Phare, sont aussi visibles sans compte sur la vitrine market.karmatroc.com et peuvent être indexées par les moteurs de recherche : titre, description, photos, catégorie, commune, pseudo de l'auteur et lien vers son profil public. Pour un covoiturage, seules les villes de départ et d'arrivée et le jour du trajet y figurent, jamais les adresses ni l'heure. Une annonce retirée disparaît de la vitrine ; un moteur de recherche peut en garder une copie quelque temps. Votre page de profil public y est aussi lisible sans compte, à partir du lien de vos annonces. Sans votre accord (« Ma page sur le web », dans votre profil sur le web), elle n'affiche que votre pseudo et vos annonces publiées, et n'est pas proposée aux moteurs de recherche ; avec votre accord, elle affiche aussi votre photo, votre présentation, votre commune, votre grade et votre badge « vérifié », et peut être référencée.

Nous utilisons Google Analytics 4 (mesure d'audience ; sur le web, identifiant G-S1L3P73KL9) pour comprendre l'usage de l'application sur le web et sur iPhone ; l'application Android n'en contient pas. Cette mesure n'est activée qu'après votre consentement — sur le web, par le bandeau affiché à la première visite ; sur iPhone, par l'interrupteur « Mesure d'audience » des paramètres, désactivé tant que vous ne l'activez pas — et peut être refusée sans conséquence sur l'usage du service ; seules les versions de l'application iPhone jusqu'à la 0.991 (7), qui n'ont pas cet interrupteur, mesurent l'audience sans attendre votre accord, tant qu'elles ne sont pas mises à jour. Sous-traitants techniques : Google (Firebase, Vertex AI), Anthropic (Claude — modération et rédaction assistée), Stripe et RevenueCat (paiements), Resend (envoi des e-mails : vérification, messages liés à votre compte et à vos échanges, confirmations d'achat, décisions de modération, messages de la liste d'attente, et messages de l'équipe aux habitants d'une commune, comme le sondage de départ).

Rapports de plantage (iPhone). Quand l'application iPhone plante ou rencontre certaines erreurs, elle envoie un rapport à Firebase Crashlytics (Google, traitement aux États-Unis, sous clauses contractuelles types) : la nature de l'erreur et l'état technique de l'application à cet instant (fonction en cause, modèle de l'appareil, versions d'iOS et de l'application) et un identifiant d'installation. Les versions de l'application jusqu'à la 0.991 (7) y joignent aussi l'identifiant de votre compte, tant qu'elles ne sont pas mises à jour. Ces rapports servent uniquement à corriger les pannes, sur la base de notre intérêt légitime à faire fonctionner le service ; Google les garde 90 jours avant de commencer à les effacer, y compris après la suppression de votre compte. Ni l'application web ni l'application Android n'en envoient.

Journaux d'erreurs. Quand l'application rencontre une erreur pendant que vous êtes connecté, elle l'inscrit dans notre journal d'erreurs : le message de l'erreur, la page ouverte et le type de navigateur ou d'appareil, sans y joindre l'identifiant de votre compte (la page ou le message peuvent toutefois contenir un identifiant, y compris celui de votre compte). Les erreurs relevées par nos serveurs, et leurs journaux techniques, peuvent contenir l'identifiant de votre compte. Les uns et les autres ne servent qu'à corriger les pannes, et sont effacés après 30 jours.

Services de cartographie appelés directement par votre appareil. Sur le web et sur Android, pour afficher une carte, retrouver le nom d'une rue, lister les commerces autour de vous ou calculer un trajet, votre appareil contacte lui-même des services extérieurs. Ces services reçoivent alors votre adresse IP et la zone concernée — nous ne pouvons pas l'éviter, c'est votre appareil qui parle, pas nos serveurs. Nous limitons ce que nous pouvons limiter : la position transmise est toujours quantifiée (arrondie à environ 110 mètres, ou 11 mètres pour la seule détection de votre rue, où une erreur plus grande désignerait la voie d'à côté) — jamais votre position exacte. Sont concernés :

• OpenStreetMap / Nominatim (OpenStreetMap Foundation) — nom de rue et recherche d'adresse ;
• Overpass API (serveurs communautaires OpenStreetMap) — commerces, pharmacies, gares et services autour d'un point ;
• Project OSRM — tracé d'un itinéraire de covoiturage, entre le départ et l'arrivée que vous avez saisis ;
• CARTO — fonds de carte (les « tuiles » qui composent la carte affichée) ;
• data.economie.gouv.fr (Ministère de l'Économie) — prix des carburants près de vous (aussi sur iPhone) ;
• geo.api.gouv.fr (service public français) — retrouver une commune à partir d'un code postal ou d'une position arrondie (aussi sur iPhone) ; nos serveurs l'interrogent eux aussi, avec une position arrondie, pour une annonce publiée sans commune (alertes du Phare comprises) et pour une bonne nouvelle ;
• IGN – Géoplateforme (Institut national de l'information géographique et forestière, service public) — suggestions d'adresses pendant la saisie, autour d'une zone arrondie, et images aériennes de la carte ;
• Gravatar (Automattic) — image d'avatar par défaut sur l'écran de profil.

Ces services ne reçoivent ni votre identité, ni votre pseudonyme, ni le contenu de vos échanges. Ils ne sont pas nos sous-traitants : ce sont des services publics ou communautaires que votre appareil interroge, et ils appliquent leurs propres règles de confidentialité.

Sur iPhone, les services de cartes d'Apple. L'application iPhone n'appelle ni OpenStreetMap, ni CARTO, ni l'IGN : ses cartes, la recherche d'adresses et de lieux, le nom d'une rue ou d'une commune et les itinéraires passent par les services de cartographie d'Apple, que votre iPhone interroge lui-même. Apple reçoit alors la position ou la zone concernée, qui peut être votre position exacte, et la traite selon ses propres règles de confidentialité. Si vous ouvrez le lieu d'une annonce dans une application de cartes (Plans, Google Maps ou Waze), la position de l'annonce y part floutée.

Connexion avec un compte extérieur. Si vous vous connectez avec Google, Apple ou Facebook (voir § 1-A), le fournisseur concerné — Google, Apple ou Meta Platforms Ireland Limited pour Facebook — sait que vous utilisez Karma Troc. Il agit alors pour son propre compte, selon ses propres règles de confidentialité ; il ne reçoit de nous aucune donnée sur vos échanges.

Sur iPhone, le kit de connexion de Facebook. L'application iPhone ne charge le kit de connexion fourni par Meta qu'au moment où vous choisissez de vous connecter avec Facebook. Il contacte alors Meta, qui reçoit votre adresse IP et la version d'iOS, pour sa propre configuration, et peut, selon des réglages que Meta tient de son côté, lui transmettre des informations techniques sur votre iPhone (modèle, version d'iOS, langue, fuseau horaire), jusqu'à ce que vous fermiez l'application ; il ne transmet ni l'identifiant publicitaire de votre iPhone, ni vos échanges. Les versions 0.991 de l'application iPhone le chargent dès leur lancement, pour tous leurs utilisateurs, tant qu'elles ne sont pas mises à jour.

Outre l'hébergeur, des sous-traitants strictement nécessaires interviennent pour des finalités précises : Stripe et RevenueCat (traitement des paiements et achats in-app — seules les données de paiement nécessaires leur sont transmises ; Karma Troc ne stocke jamais vos coordonnées bancaires), Resend (envoi des e-mails : vérification, messages liés à votre compte et à vos échanges, confirmations d'achat, décisions de modération, messages de la liste d'attente, et messages de l'équipe aux habitants d'une commune, comme le sondage de départ), Google Gemini / Vertex AI et Anthropic (Claude) (analyse et modération de contenu, cf. §1.E). Chacun agit sur instruction de Karma Troc, dans le cadre d'un accord de sous-traitance conforme au RGPD.

5. Durée de conservation

Les données d'échange, de solde et de notation sont conservées pendant toute la durée de vie active du compte pour maintenir la stabilité du graphe de confiance local. Vous pouvez à tout moment supprimer votre compte et vos données identifiables depuis l'application (voir « Vos droits » ci-dessous) : la suppression est immédiate et définitive (aucune période de récupération — pensez à exporter vos données avant). Vos données de connexion (adresse IP, horodatage, type d'application) sont enregistrées à la connexion et à la publication d'une annonce, et conservées douze mois avant effacement automatique. Elles répondent à l'obligation faite aux hébergeurs de pouvoir identifier l'auteur d'un contenu sur demande d'une autorité judiciaire ; elles ne servent à aucune autre fin. Elles ne sont accessibles qu'à l'éditeur — pas même à vous depuis l'application — et vous pouvez les obtenir via « Exporter mes données ». Elles survivent à la suppression du compte jusqu'au terme des douze mois : une obligation de conservation ne s'éteint pas avec le compte. Vos messages suivent une règle distincte, décrite dans les CGU : ils sont conservés tant qu'au moins un des deux participants les conserve, et ne sont effacés définitivement que lorsque les deux les ont supprimés. Vous ne pouvez pas effacer un message chez la personne à qui vous l'avez adressé — cette conservation est ce qui permet à un membre d'étayer un signalement ou une plainte, et à Karma Troc de répondre à une réquisition judiciaire. Si vous supprimez votre compte, vos messages sont anonymisés et non détruits, afin de ne pas amputer la conversation de votre interlocuteur. Les comptes restés inactifs de façon prolongée et ininterrompue (au-delà de 2 ans) peuvent être anonymisés ou supprimés.

Messages de groupe : tant que le groupe existe ; message retiré : un an ; groupe fermé : trente jours (voir § 1-M).

Après la suppression de votre compte : votre adresse e-mail est conservée pendant cinq ans et votre pseudo pendant un an, dans un espace fermé qu'aucun membre ni aucun écran de l'application ne peut lire, uniquement pour permettre de répondre à la réquisition d'une autorité judiciaire visant un contenu que vous auriez publié (obligation des hébergeurs, décret n° 2021-1362 du 20 octobre 2021, articles 2 et 3). Ils sont ensuite effacés automatiquement. Tout le reste de votre compte est effacé immédiatement, sous réserve des données de connexion et des messages anonymisés décrits ci-dessus, de la preuve comptable d'un achat (§ 7), des rapports de plantage de l'application iPhone et des journaux d'erreurs (§ 4), qui disparaissent d'eux-mêmes dans les délais indiqués.

Vos acceptations des conditions : chaque fois que vous acceptez une nouvelle version des conditions d'utilisation, nous gardons cette version et la date de votre acceptation, relevée par nos serveurs, tant que votre compte existe ; elles sont effacées avec lui.

Sauvegardes et historique des annonces : une copie de sauvegarde de la base de l'application est faite chaque jour, pour pouvoir la restaurer après un incident ; chaque copie est conservée 35 jours, puis détruite ; notre hébergeur garde encore une copie détruite 7 jours, pour la récupérer en cas d'effacement par erreur, soit 42 jours au plus. L'historique des versions des annonces, qui sert à calculer les statistiques du service, est conservé tant que l'annonce existe ; celui d'une annonce supprimée est effacé au plus tard 35 jours après sa suppression. Une donnée effacée de l'application peut donc subsister dans ces copies jusqu'au terme de ces délais ; elles ne servent qu'à restaurer le service après un incident et à suivre son activité.

6. Notifications

Votre appareil. Pour vous envoyer des notifications, nous enregistrons avec votre compte le jeton que Google (Firebase Cloud Messaging) attribue à chaque appareil où vous les avez autorisées, et le type d'appareil. Un jeton n'appartient qu'à un compte : s'il passe à un autre compte, il est retiré du vôtre ; un jeton devenu invalide est effacé ; tous le sont avec votre compte. Une copie de chaque notification reste dans votre centre de notifications, effacée après 15 jours.

Le résumé du matin. Les matins où votre commune a des nouvelles, ses membres reçoivent une notification qui ne porte que le nom de la commune et le nombre de nouvelles, jamais le contenu d'un voisin, ni aucune promotion de commerce. Vous pouvez la couper dans les réglages des notifications.

Vigilance orange ou rouge (quand cette fonction est ouverte) : désactivée tant que vous ne l'activez pas. Activée, elle vous prévient d'une vigilance de Météo-France pour le département de votre commune, au plus une fois par jour de vigilance et par niveau (celle du lendemain peut arriver la veille), jamais entre 22 h et 7 h.

Un voisin cherche ce que je sais faire (quand cette fonction est ouverte, si vous êtes dans les talents du village, § 1-O) : une notification vous prévient d'une demande d'un voisin à 5 km au plus qui correspond à un de vos talents ; elle porte le titre de la demande et une distance arrondie, jamais le nom de son auteur. Au plus deux par jour, jamais entre 22 h et 7 h (elles partent le matin). Vous pouvez la couper dans les réglages des notifications sans quitter les talents du village.

Les premiers jours. 3 jours après votre inscription, une notification vous explique ce que rapportent des jours de connexion consécutifs ; à partir de 7 jours, un rappel unique vous donne votre code de parrainage, par notification ou, si vous n'en recevez pas, par e-mail ; et si vous ne vous êtes pas connecté·e depuis 14 jours, une notification unique vous invite à revenir.

Les autres notifications vous préviennent de ce qui vous concerne : un message, une proposition ou la suite d'un troc, une alerte du Phare près de chez vous, une offre éclair publiée par un voisin de votre code postal, un événement où vous avez dit « Je viens »… Vous pouvez toutes les couper en refusant les notifications, sur votre appareil ou dans l'application, et la plupart d'entre elles une à une dans les réglages des notifications ; les e-mails, par « Alertes Email ».

Le rappel de bac reste sur votre appareil : le jour et l'heure choisis ne sont envoyés nulle part ; sur iPhone, le rappel est une notification programmée par l'appareil lui-même.

Rappel de notation. Si vous n'avez pas noté un échange dans les 48 heures suivant sa finalisation, une tâche planifiée génère une notification de rappel unique. À ce moment, une évaluation déjà déposée par l'autre participant devient visible (voir les CGU, § 5). Ce mécanisme est entièrement automatisé, ne fait l'objet d'aucun profilage commercial et le ticket d'attente (pending_ratings) est immédiatement et définitivement détruit dès soumission des notes.

7. Vos Droits (RGPD) & Exportation

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de vos données personnelles.

Retirer votre consentement : lorsqu'un traitement repose sur votre consentement — la localisation, le micro, la mesure d'audience, la liste d'attente — vous pouvez le retirer à tout moment et aussi facilement que vous l'avez donné : depuis les réglages de votre téléphone pour la position et le micro ; pour Google Analytics, par l'interrupteur « Mesure d'audience » de la rubrique « Sécurité & Confidentialité » (dans votre profil sur le web, dans les paramètres sur iPhone) ou, avant de vous connecter sur le web, par le lien « Gérer les cookies », qui rouvre le bandeau ; par le lien de désinscription de chaque e-mail pour la liste d'attente. Le retrait vaut pour l'avenir et ne remet pas en cause ce qui a été traité licitement avant lui.

Vous pouvez à tout moment demander une copie des données stockées vous concernant ou initier l'effacement de vos informations en utilisant les fonctions de transparence directes intégrées dans votre application :

• Outil "Exporter mes données" : vous envoie par e-mail une archive de vos données (profil, annonces, échanges, messages, notifications, appareils, acceptations des conditions, et les autres données de votre compte décrites dans cette politique), depuis les paramètres de l'application. N'en sont écartées que les informations qui révéleraient d'autres personnes : qui a consulté votre profil, les notes de troc que d'autres membres vous ont données, un litige ou un dossier d'investigation automatique (§ 2), qui peuvent nommer d'autres membres, et l'identité du modérateur qui a pris une mesure ; le jeton de vos appareils n'y figure qu'abrégé.
• Droit à l'effacement : Le déclenchement de la suppression depuis l'onglet "Réglages" efface vos données personnelles (profil, annonces, médias, identité dans les salons) immédiatement et de façon irréversible, sans période de récupération. Exportez vos données au préalable si besoin. Seules les données strictement nécessaires à une obligation légale (ex. preuve comptable d'un achat, données de connexion pendant douze mois, adresse e-mail pendant cinq ans et pseudo pendant un an — voir § 5) sont conservées le temps imposé par la loi, puis détruites. Disparaissent aussi d'eux-mêmes, dans les délais indiqués au § 4, les rapports de plantage de l'application iPhone (90 jours) et les journaux d'erreurs (30 jours).

Pour toute demande manuelle ou exercice de vos droits civiques numériques, vous pouvez contacter directement l'Éditeur à l'adresse dédiée : dpo@karmatroc.com.

Réclamation auprès de la CNIL : si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés, autorité de contrôle française : www.cnil.fr/fr/plaintes — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Nous écrire d'abord n'est pas un préalable obligatoire : vous pouvez saisir la CNIL directement.

8. Sécurité technique

Nous utilisons des protocoles de chiffrement SSL/TLS pour tous les transferts de données et appliquons des règles de sécurité Firestore strictes (Security Rules) : aucune écriture n'est possible sans être connecté et autorisé, et la lecture est réservée aux membres connectés, à l'exception des annonces et des pages de profil présentées sur la vitrine publique (voir « Vitrine publique »), que nos serveurs publient eux-mêmes.

9. Modifications

Nous nous réservons le droit d'adapter cette politique au fil des évolutions de notre protocole. Toute mise à jour majeure fera l'objet d'une notification dédiée au sein de l'application.