Politique de confidentialité

Le responsable du traitement est la partie qui exploite Animiyo, la plateforme disponible sous forme d'application web hébergée sur Google Cloud Run et d'application iOS native, toutes deux reposant sur le même backend Firebase dans le projet Google Cloud petdiary-10327. Le responsable décide des finalités et des moyens du traitement pour tout ce qui concerne les comptes des propriétaires d'animaux : inscription, authentification, profils des animaux, rappels, budget, promenades, documents téléversés et préférences d'interface.

Pour toute demande concernant les données personnelles, vous pouvez utiliser la page Contacts du site web, à l'adresse /contatti. Les demandes concernant l'exercice de vos droits suivent la procédure décrite dans /diritti-privacy, qui répertorie également les outils disponibles directement dans l'application pour exporter ou supprimer vos données sans attendre une réponse de notre part.

Aucun délégué à la protection des données n'a été désigné, car les conditions prévues à l'article 37 du règlement ne sont pas réunies : le traitement n'est pas effectué par une autorité ou un organisme public, il ne consiste pas en un suivi régulier et systématique des personnes concernées à grande échelle, et son activité de base ne consiste pas en un traitement à grande échelle de catégories particulières de données. L'évaluation est répétée chaque fois que le service est étendu et, si le résultat devait changer, la désignation sera publiée dans cette section.

Animiyo est une plateforme multi-locataire : les cliniques vétérinaires, les boutiques et les services travaillent dans des espaces séparés, avec leur propre personnel et leurs propres clients. C'est pourquoi le rôle d'Animiyo n'est pas toujours le même. Sur les données d'un compte propriétaire, Animiyo est le responsable du traitement et répond directement. Sur les données qu'une clinique ou une boutique saisit au sujet de ses propres clients via la plateforme, Animiyo est en revanche un sous-traitant : le responsable du traitement est le locataire et la relation est régie par l'accord publié dans /dpa.

La distinction n'est pas purement formelle. Lorsque Animiyo agit comme sous-traitant, il ne décide pas quelles données collecter ni combien de temps les conserver, mais suit les instructions documentées du locataire. Si vous souhaitez exercer un droit sur des données saisies par une clinique ou une boutique, la demande doit être adressée à cette partie ; si vous nous l'envoyez, nous fournissons l'assistance technique nécessaire et la transmettons au responsable du traitement compétent, en vous informant que nous l'avons fait.

La liste ci-dessous n'est pas une formule générique : elle indique les catégories réellement présentes dans le système, avec des exemples tirés des structures de données de l'application. La colonne Source indique d'où provient l'information, car cela change à la fois la base légale et la façon dont vous pouvez agir dessus.

Techniquement, les données résident dans les collections Firestore users, usernames, pets, petContacts, petShares, petSightings, petMemberships, petConditions, petActivity, petMemories, foundTags, vaccinations, medications, dewormingRecords, weightRecords, labResults, soapNotes, vetAppointments, appointmentTypes, hospitalized, consentForms, signedConsents, estimates, invoices, orders, subscriptions, rewards, reviews, resources, walks, routes, routeShares, groupWalks, conversations, budgetItems, budgetGoals, budgetConfigurations, tenants et auditLog. Les photographies, les documents téléversés et les signatures de consentement sont stockés sur Cloud Storage. Nous publions cette liste parce qu'elle permet de vérifier que ce qui est déclaré ici correspond à ce qui existe réellement dans le système.

Il s'agit de la section centrale du document. Les deux tableaux relient chaque finalité aux catégories de données utilisées, à la base légale, à la durée de conservation et aux destinataires. Le premier couvre les traitements nécessaires à la fourniture du service que vous avez demandé ; le second couvre les traitements fondés sur le consentement, sur l'intérêt légitime ou sur une obligation légale.

Le consentement peut toujours être retiré et le retrait n'affecte pas la licéité du traitement effectué auparavant. Vous pouvez retirer les autorisations de notification et de localisation depuis les réglages de votre appareil, désactiver les statistiques depuis le panneau décrit dans /cookie, et désactiver la page publique de tag pour animal perdu depuis la fiche de l'animal. Lorsque le traitement repose sur l'intérêt légitime, nous avons vérifié que notre intérêt à maintenir le service sûr et fonctionnel ne prévaut pas sur vos droits, car les données utilisées se limitent à des données techniques, la conservation est courte et aucune décision vous concernant n'en découle ; vous pouvez néanmoins vous y opposer en vertu de l'article 21 du règlement.

Les données de santé d'un animal ne sont pas des données de santé au sens de l'article 9 du règlement, car un animal n'est pas une personne physique et n'est donc pas une personne concernée. Cela ne les rend toutefois pas anonymes : une vaccination, un traitement ou une hospitalisation peuvent être rattachés au propriétaire identifié par le compte qui les a saisis, de sorte qu'elles restent des données personnelles du propriétaire et sont traitées comme telles.

La conséquence pratique est que la base légale du dossier de santé est l'exécution du contrat, et non le consentement explicite de l'article 9. Techniquement, cependant, nous appliquons à ces informations les mêmes garanties que celles utilisées pour les catégories particulières, car la sensibilité perçue et le préjudice potentiel en cas d'accès non autorisé sont comparables.

• Accès limité au propriétaire et aux parties que le propriétaire a explicitement autorisées.
• Règles de sécurité Firestore et Cloud Storage qui vérifient la propriété du document à chaque lecture et à chaque écriture.
• Séparation des données entre locataires, de sorte qu'une clinique ne voit que les animaux qui ont été partagés avec elle.
• Enregistrement des opérations importantes dans le journal d'audit de l'application.
• Chiffrement en transit avec TLS et au repos avec AES-256.

L'article 9 peut devenir pertinent indirectement dans un cas précis : lorsque vous saisissez volontairement des informations sur votre propre santé, par exemple en indiquant que l'animal est un chien-guide ou un animal d'assistance. Dans cette situation, les données concernent une personne physique et la base légale est le consentement explicite prévu à l'article 9 paragraphe 2 point a, que vous donnez en choisissant d'écrire cette information dans un champ de texte libre. Vous pouvez la retirer à tout moment en modifiant ou en supprimant le contenu, et nous vous encourageons à ne pas saisir de données sur votre santé lorsque cela n'est pas nécessaire aux soins de l'animal.

Les tracés de promenades sont la catégorie de données la plus sensible traitée par Animiyo en tant que responsable du traitement. Une suite d'itinéraires peut révéler bien plus qu'un parcours : les heures auxquelles vous sortez, vos habitudes quotidiennes, les lieux que vous fréquentez et, indirectement, votre adresse de domicile. C'est pourquoi nous les traitons comme une catégorie à haut risque et non comme un contenu ordinaire de l'application.

• La localisation précise n'est demandée qu'au démarrage d'une promenade et l'autorisation système reste révocable depuis les réglages de l'appareil.
• Les tracés sont privés par défaut : aucun autre utilisateur ne les voit tant que vous ne choisissez pas de les partager.
• Partager un itinéraire et rejoindre une promenade de groupe sont des actes volontaires et réversibles ; une fois le partage révoqué, le contenu n'est plus visible pour les autres.
• Les tracés ne servent jamais à la publicité, au profilage commercial ou à des déductions sur vos habitudes.
• La page publique de tag pour animal perdu n'affiche que les informations nécessaires pour retrouver l'animal et peut être désactivée à tout moment.
• La suppression d'un tracé est immédiate et ne nécessite aucune demande formelle.
• Chaque nouvelle fonctionnalité traitant la localisation est précédée d'une analyse d'impact relative à la protection des données.

Aucune donnée de localisation n'est communiquée à des tiers au-delà du partage que vous choisissez et du fournisseur d'infrastructure qui héberge la base de données. Les tuiles cartographiques affichées sous le tracé proviennent d'un service externe interrogé par votre navigateur, comme expliqué plus loin, et ce service reçoit la portion de carte demandée et l'adresse IP de la connexion, non le tracé complet ni votre identifiant Animiyo.

Certaines fonctionnalités existent précisément pour montrer quelque chose à d'autres personnes : retrouver un animal perdu, être reconnu pendant une promenade de groupe, laisser un avis à une clinique. Dans tous ces cas, la publication est un choix explicite de votre part, jamais un réglage par défaut. Le tableau résume ce qui devient visible, pour qui, et comment le défaire.

Gardez à l'esprit une limite technique qu'aucune plateforme ne peut surmonter : une fois qu'un contenu a été public, quiconque l'a vu a pu le copier, l'enregistrer ou l'indexer ailleurs. La révocation arrête la publication de notre côté et rend le contenu inaccessible via Animiyo, mais elle ne peut pas supprimer les copies déjà faites par d'autres. C'est pourquoi nous vous suggérons de ne publier sur le tag pour animal perdu que les informations réellement utiles pour retrouver l'animal.

Animiyo n'exploite aucun serveur qui lui soit propre : toute la plateforme repose sur des services managés Google Cloud et Firebase, qui agissent comme sous-traitants ultérieurs selon nos instructions documentées. Le tableau répertorie les services réellement utilisés, les données que chacun d'eux traite et la région où il opère.

La liste actuelle, ainsi que les éventuels remplacements et les délais de préavis dus aux locataires, est publiée dans /sub-responsabili. Outre les fournisseurs d'infrastructure, vos données peuvent parvenir à d'autres destinataires, toujours en conséquence d'un choix de votre part ou d'une obligation légale.

• Les locataires avec qui vous choisissez de partager un animal ou de prendre un rendez-vous, limités aux données nécessaires au service.
• Les autres utilisateurs avec qui vous partagez un animal, un itinéraire ou une promenade de groupe.
• Toute personne qui accède au contenu que vous rendez volontairement public, comme un avis ou la page de tag pour animal perdu.
• Les autorités compétentes, lorsque la divulgation est imposée par la loi ou par une injonction contraignante.

Animiyo ne vend pas de données personnelles, ne les communique pas à des réseaux publicitaires et ne les utilise pas pour entraîner des modèles d'intelligence artificielle, qu'ils soient les nôtres ou ceux de tiers. Il n'y a pas de cookies de profilage tiers ni d'accords d'échange de données à des fins marketing.

Les principales ressources de la plateforme, à savoir Cloud Run, Cloud Functions, Cloud Firestore et Cloud Storage, sont hébergées dans la région us-central1, située aux États-Unis. Cela signifie que vos données personnelles, y compris les données de santé de l'animal, les photographies, les documents téléversés et les tracés de promenades, sont stockées et traitées sur des serveurs situés aux États-Unis. Nous l'indiquons explicitement parce que c'est quelque chose que vous devez savoir avant de décider d'utiliser le service, et non une note technique secondaire.

• Google Ireland Limited comme partie contractante, avec les Google Cloud Data Processing Terms applicables au projet.
• Clauses contractuelles types adoptées par la Commission européenne par la décision d'exécution 2021/914.
• Certification de Google LLC au titre du Data Privacy Framework entre l'Union européenne et les États-Unis.
• Chiffrement des données en transit avec TLS et au repos avec AES-256.
• Une analyse d'impact du transfert documentée par le responsable du traitement, tenant compte des lois d'accès en vigueur dans le pays de destination.
• La politique publique de Google sur la manière dont elle traite les demandes d'accès des autorités publiques.

Aucune de ces garanties ne supprime entièrement le risque : la loi américaine sur la surveillance peut en principe autoriser des demandes d'accès par les autorités publiques, et sur ce point il serait malhonnête de promettre une protection absolue. Pour réduire le risque à la racine, une évaluation technique et économique est en cours pour migrer l'infrastructure vers une région européenne, dans la zone europe-west. Jusqu'à ce que cette décision soit prise et que la migration soit achevée, le transfert reste tel que décrit ici ; lorsque l'emplacement changera, cette section sera mise à jour et le changement sera annoncé dans l'application.

Certaines informations affichées dans l'application proviennent de bases de données publiques interrogées directement par votre navigateur, en lecture seule. Nous n'envoyons pas à ces services votre identifiant, votre adresse e-mail ou les données de vos animaux, mais le fournisseur reçoit tout de même l'adresse IP de votre connexion et les informations de requête habituelles : cela suffit pour que le traitement nécessite une divulgation.

Comme tous ces fournisseurs n'indiquent pas où se trouvent les serveurs qui répondent aux requêtes, nous traitons ces appels comme des transferts possibles hors de l'Union européenne et nous veillons à ce que vous en soyez informé. Les tuiles cartographiques en particulier révèlent au fournisseur la zone que vous consultez, et donc indirectement la zone de la promenade. Le responsable du traitement prévoit de déplacer ces appels côté serveur, afin que le backend Animiyo interroge les sources externes et que votre adresse IP ne parvienne plus à des fournisseurs tiers.

Nous conservons chaque catégorie de données aussi longtemps que la finalité pour laquelle elles ont été collectées l'exige, puis nous les supprimons. Le tableau réunit toutes les durées que nous appliquons, avec le critère qui les justifie.

La suppression des systèmes en production est immédiate lorsque vous la demandez depuis l'application et en tout cas achevée dans les trente jours. Les copies de sauvegarde et les répliques gérées par Google Cloud sont remplacées par les cycles ultérieurs et ne sont jamais utilisées pour restaurer des données supprimées sur demande. Une fois les durées expirées, les données sont effacées ou anonymisées de façon irréversible, c'est-à-dire dépouillées de tout lien avec votre compte.

Les mesures énumérées ici sont celles réellement mises en œuvre dans la plateforme, et non un catalogue de bonnes intentions. Elles ont été choisies au regard des risques concrets du service : accès aux données d'un animal par une personne n'y ayant aucun titre, confusion entre les données de différents locataires, abus automatisé des interfaces, perte de données.

• Firebase Authentication avec vérification de l'adresse e-mail.
• Contrôle d'accès par rôle et par locataire au moyen des custom claims du jeton.
• Règles de sécurité Firestore et Cloud Storage écrites par collection et par rôle, vérifiant la propriété du document à chaque lecture et à chaque écriture.
• Séparation des données entre différents locataires, sans chemins de lecture croisée.
• Firebase App Check avec reCAPTCHA Enterprise, pour rejeter les requêtes qui ne proviennent pas d'une application légitime.
• Journal d'audit de l'application dans la collection auditLog.
• Chiffrement des données en transit avec TLS et au repos avec AES-256.
• Politique de sécurité du contenu en mode d'application sur les pages web.
• Sauvegardes et réplication gérées par Google Cloud.
• Principe du moindre privilège pour les comptes d'administration.

Nous ne revendiquons pas de certifications que nous n'avons pas obtenues et nous ne promettons pas une sécurité absolue, qu'aucun système connecté à un réseau ne peut offrir. Les mesures décrites ci-dessus sont revues à chaque version qui touche à l'authentification, aux règles d'accès ou à la structure des données. En cas de violation de données à caractère personnel présentant un risque pour vos droits et libertés, la notification à l'autorité de contrôle et, lorsque le risque est élevé, la communication aux personnes concernées interviennent dans les délais fixés par les articles 33 et 34 du règlement.

Le règlement vous accorde les droits décrits aux articles 15 à 22, que vous pouvez exercer à tout moment et gratuitement. Le tableau les résume tels qu'ils s'appliquent à Animiyo ; la procédure opérationnelle, avec les délais de réponse et les vérifications d'identité, est décrite dans /diritti-privacy.

• Export dans l'application : vous générez une archive JSON contenant le profil utilisateur, les animaux et leurs sous-collections, les contacts des animaux, la configuration du budget, les entrées de dépenses et les objectifs.
• Suppression du compte dans l'application : elle retire le profil utilisateur, les animaux et sous-collections, les contacts, les partages, le tag pour animal perdu, les observations, les entrées de budget et les objectifs.
• Demandes que les outils dans l'application ne couvrent pas : la procédure est décrite dans /diritti-privacy, avec transmission au locataire lorsque le responsable du traitement est une clinique ou une boutique.

Si vous estimez que le traitement enfreint le règlement, vous pouvez introduire une réclamation auprès de l'autorité de contrôle italienne, le Garante per la protezione dei dati personali, piazza Venezia 11, 00187 Roma, ou auprès de l'autorité de contrôle du pays où vous résidez ou travaillez habituellement. Une réclamation est indépendante de tout autre recours et ne nécessite pas que vous nous ayez contactés au préalable, bien qu'une demande directe soit souvent le moyen le plus rapide de résoudre le problème.

Le service est réservé aux personnes âgées d'au moins dix-huit ans, comme le prévoient les conditions d'utilisation publiées dans /termini, et nous ne traitons pas sciemment de données d'enfants de moins de seize ans. Nous ne collectons pas la date de naissance de l'utilisateur, de sorte que nous ne pouvons pas vérifier l'âge automatiquement : la garantie repose sur la limite d'âge indiquée dans les conditions d'utilisation et sur les signalements que nous recevons.

Si nous apprenons qu'un compte a été créé par un mineur, nous suspendons l'accès et supprimons les données connexes aussi rapidement que possible, sauf si la conservation est imposée par une obligation légale. Si vous êtes parent ou tuteur et pensez qu'un mineur a ouvert un compte, signalez-le depuis la page Contacts à l'adresse /contatti, en indiquant le nom d'utilisateur ou l'adresse e-mail concernés : nous vérifions le signalement et vous confirmons le résultat. Il en va de même si un mineur apparaît sur une photographie ou dans un document téléversé par un autre utilisateur.

Animiyo ne prend pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière similairement significative au sens de l'article 22 du règlement. Nous n'attribuons pas de score aux utilisateurs, nous ne construisons pas de profils à des fins publicitaires et nous ne laissons pas un calcul automatique déterminer l'accès au service ou ses conditions commerciales.

De la même manière, les rappels, les alertes d'échéance de vaccination et les estimations de budget sont des calculs déterministes fondés sur les données que vous avez saisies, et non du profilage. Si une date est proche, vous recevez une alerte ; si une dépense dépasse le seuil que vous avez fixé, vous la voyez dans le récapitulatif. Aucun de ces comportements automatiques ne tire de conclusions sur vos caractéristiques personnelles et aucun n'est communiqué à des tiers.

Les contrôles antifraude App Check opèrent sur la requête technique unique et non sur le profil de l'utilisateur : lorsqu'un contrôle n'est pas franchi, c'est cette requête qui est rejetée, non le compte. Si vous estimez qu'un blocage est erroné, vous pouvez le signaler depuis la page /contatti et l'examen est réalisé par une personne.

La présente politique est identifiée par un numéro de version et par une date d'entrée en vigueur, tous deux indiqués en tête du document. La version actuelle est la 1.0, en vigueur à compter du 2 août 2026. Chaque fois que le document change, la version et la date changent avec lui.

Lorsqu'un changement est substantiel, par exemple l'introduction d'une nouvelle finalité, un changement de base légale, l'ajout d'un sous-traitant ultérieur ou le déplacement des données vers une autre région, nous publions un avis dans l'application avant que le changement ne prenne effet ; lorsque le changement nécessite votre consentement, nous vous le redemandons et le service continue de fonctionner même si vous ne le donnez pas. Les corrections rédactionnelles et les clarifications qui ne modifient pas le traitement sont publiées sans avis, mais elles mettent tout de même à jour la date de révision.

Les versions précédentes restent tracées dans le système de gestion de versions du code source, qui constitue l'historique de référence du document : chaque changement est lié à une date et à la raison qui l'a motivé. Si vous avez besoin du texte en vigueur à un moment passé, vous pouvez le demander depuis la page /contatti.