Politique de confidentialité.

En bref

VitFait est conçu pour collecter le strict nécessaire : votre compte, vos listes, et ce qu’il faut pour faire fonctionner la capture par IA. Pas de publicité, pas de traqueurs tiers, pas de revente de données, pas de profilage. L’audio de la capture vocale n’est jamais conservé.

Responsable du traitement

Maxime Boinet, éditeur de VitFait (voir les mentions légales). Contact : maximeboinetdev@gmail.com.

Données collectées

• Compte : adresse email, mot de passe (stocké uniquement sous forme hachée par notre prestataire d’authentification — nous n’y avons jamais accès en clair), langue et préférences (son, thème).
• Contenu : vos listes et les éléments que vous y capturez, avec quelques métadonnées (date, capture au clavier ou à la voix).
• Capture vocale : l’audio est transcrit puis immédiatement supprimé — il n’est jamais stocké. Seul le texte transcrit est conservé, comme un élément normal.
• Journal technique anti-abus : chaque capture génère une entrée minimale (longueur du texte, type d’action, score de confiance) — jamais le contenu lui-même.
• Compteurs d’usage : nombre d’actions IA du mois, pour appliquer la limite du plan gratuit.
• Google Calendar (optionnel) : si vous connectez votre agenda, des jetons d’accès — voir la section dédiée ci-dessous.

Pourquoi (finalités et bases légales)

• Fournir le service (exécution du contrat) : compte, listes, capture, transcription, agenda.
• Sécurité et anti-abus (intérêt légitime) : limitation de débit, quotas, journaux techniques minimaux.
• Emails de compte (exécution du contrat) : confirmation d’inscription, réinitialisation de mot de passe. Aucun email marketing.

Où vont vos données (sous-traitants)

VitFait s’appuie sur des prestataires techniques, chacun pour une tâche précise :

• Supabase — base de données et authentification. Données hébergées dans l’Union européenne.
• Vercel — hébergement de l’application (États-Unis).
• Anthropic — classement IA : le texte de votre capture est envoyé à l’API Claude pour être rangé dans la bonne liste. Il n’est pas utilisé pour entraîner leurs modèles.
• OpenAI — transcription vocale : l’audio est envoyé à l’API de transcription puis supprimé. Il n’est pas utilisé pour entraîner leurs modèles.
• Google — uniquement si vous vous connectez avec Google ou connectez votre agenda (section dédiée ci-dessous).
• Resend — envoi des emails de compte.
• Upstash — limitation de débit : identifiant technique de votre compte et compteurs éphémères.

Les transferts hors de l’Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification EU-US Data Privacy Framework des prestataires concernés.

Google Calendar et données Google

Si vous connectez votre agenda, VitFait demande uniquement l’autorisation de créer des événements (scope calendar.events). Concrètement :

• VitFait ne lit pas votre agenda et ne crée un événement qu’après votre confirmation explicite sur la carte proposée.
• Les jetons d’accès fournis par Google sont stockés de façon sécurisée côté serveur, ne sont jamais exposés à votre navigateur, et sont supprimés avec votre compte. Vous pouvez révoquer l’accès à tout moment depuis les paramètres de votre compte Google.
• L’utilisation des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences de Limited Use : aucune donnée Google n’est transférée à des tiers, utilisée à des fins publicitaires, ni utilisée pour entraîner des modèles d’IA.

Cookies et stockage local

VitFait n’utilise que des cookies strictement nécessaires : les cookies de session (rester connecté) et un cookie de langue (vitfait-locale, 12 mois). Votre préférence de thème est gardée dans le stockage local du navigateur. Aucun cookie publicitaire ni de mesure d’audience tierce — c’est pourquoi il n’y a pas de bannière cookies.

Durées de conservation

• Données de compte et contenu : tant que votre compte existe.
• Audio de la capture vocale : jamais conservé.
• Journaux techniques et compteurs : supprimés avec le compte.
• Suppression du compte : sur demande à maximeboinetdev@gmail.com — traitée sous 30 jours, elle efface l’ensemble de vos données (compte, listes, journaux, jetons).

Sécurité

Chiffrement en transit (HTTPS), cloisonnement par utilisateur au niveau de la base de données (Row Level Security), clés d’API uniquement côté serveur, mots de passe hachés. Aucun système n’est infaillible, mais la surface est réduite au minimum : pas de données superflues, pas de scripts tiers.

Vos droits (RGPD)

Vous disposez des droits d’accès, de rectification, d’effacement, de portabilité, de limitation et d’opposition. Pour les exercer : maximeboinetdev@gmail.com. Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr).

Mineurs

VitFait n’est pas destiné aux enfants de moins de 15 ans sans l’accord d’un titulaire de l’autorité parentale (âge du consentement numérique en France).

Évolutions

Si cette politique change de manière substantielle, la date en haut de page est mise à jour et les changements sont résumés ici. La version en ligne fait foi.