Politique de confidentialité

Par défaut, Compoz ne collecte rien et rien ne quitte votre appareil. Scoring, détection de scène, guides de composition : 100 % local.

Un seul opt-in facultatif, « Aider à améliorer Compoz », débloque trois traitements étroitement liés : (1) l'envoi de votre photo à Claude d'Anthropic pour le Coach IA, (2) le stockage chiffré d'une copie anonymisée pour entraîner notre propre modèle embarqué, (3) l'enregistrement d'une entrée de spot photo anonyme (lat/lng + type de scène, sans identifiant utilisateur) quand vous notez une photo 5 étoiles ou utilisez le Coach IA, qui alimente la carte communautaire des spots photo.

La carte des spots applique toujours la k-anonymité (minimum 5 photos par cluster) avant d'afficher un spot — vos lieux privés restent privés tant qu'au moins 5 photos différentes ne s'y sont pas accumulées.

Zéro tracking publicitaire, zéro revente de données, zéro analytics comportementales, zéro cookie de suivi.

Toutes les opérations core sont exécutées par des modèles ML embarqués (TensorFlow Lite + ML Kit). Votre photothèque, les scores de composition, votre historique et les paramètres de calibration personnels — tout est stocké uniquement sur votre téléphone (AsyncStorage + SQLite).

Si vous créez un compte, ces données peuvent être synchronisées vers notre base Supabase chiffrée (AES-256 au repos, TLS 1.3 en transit) pour un accès cross-device. Cette synchronisation est optionnelle et peut être désactivée.

Important : le scoring live de Compoz tourne 100 % sur ton téléphone — pas de réseau, pas de cloud, aucune photo ne quitte ton appareil. Le Coach IA est une **beta recherche optionnelle et temporaire** (d'où la limite à 50 analyses par mois), complètement distincte du scoring embarqué. Il existe pour nous aider à améliorer notre propre modèle de composition embarqué et a besoin de feedback expert pour le valider.

Quand vous appuyez sur Coach IA (Pro, opt-in requis) : (1) votre photo est redimensionnée à 768 px sur son plus grand côté et ré-encodée en JPEG (ce qui supprime automatiquement toutes les métadonnées EXIF, y compris la position GPS), (2) elle est analysée sur nos serveurs, qui transmettent l'image chiffrée en TLS à l'API Claude d'Anthropic (sous-traitant américain sous clauses contractuelles types) pour générer le commentaire, (3) Anthropic nous retourne le résultat SANS conserver la photo (DPA en place), (4) nous stockons une copie chiffrée AES-256-GCM de cette photo anonymisée sur notre bucket Supabase privé pour améliorer le modèle de composition embarqué (sans identifiant utilisateur, sans GPS, clé de chiffrement conservée uniquement sur notre serveur API).

**Que fait Anthropic avec l'image ?** Anthropic publie ses propres engagements concernant les données API de ses clients : ils **n'utilisent pas** les inputs API pour entraîner leurs modèles, et ne conservent les inputs que brièvement pour une revue trust-and-safety avant suppression automatique. Vous pouvez consulter directement la politique actuelle d'Anthropic sur https://www.anthropic.com/legal/privacy — nous nous appuyons sur leurs conditions publiées et un DPA signé, votre vérification indépendante là-bas est le dernier garde-fou.

**Le Coach IA est conçu pour disparaître.** Une fois que notre modèle embarqué aura suffisamment appris de la beta, sa précision sera intégrée directement dans le scoring live — qui tourne déjà 100 % sur votre téléphone. Le Coach IA n'existera plus, le toggle « Aider à améliorer Compoz » deviendra obsolète, et vous bénéficierez de cette précision sans que vos photos ne quittent plus jamais votre téléphone. C'est par design un pont côté serveur temporaire qui rend l'expérience embarquée permanente meilleure pour tout le monde.

Si l'opt-in est désactivé, le Coach IA est simplement indisponible (nous n'avons pas de base légale RGPD pour l'appel réseau). Tout le reste de Compoz continue de fonctionner normalement et 100 % hors ligne.

Si l'opt-in parapluie « Aider à améliorer Compoz » est activé, noter une photo 5 étoiles — ou lancer le Coach IA sur une photo — enregistre aussi une entrée de spot anonyme qui aide à construire la carte communautaire des spots photo. La carte hot-spot Pro (visible dans l'app) affiche ensuite les lieux populaires autour de vous : le belvédère du panneau Hollywood, le Pont Alexandre III, l'Opéra de Sydney, un point de vue précis dans votre ville. Les utilisateurs Free contribuent à la carte, les utilisateurs Pro peuvent la parcourir.

La ligne stockée sur notre serveur contient exactement : la latitude/longitude au moment de la prise de vue, le type de scène détecté (paysage, portrait, architecture…), et le timestamp de création. C'est tout. Pas d'identifiant utilisateur, pas de photo, pas de thumbnail, pas de note, pas de scores de règles, pas d'info device. La table elle-même n'a aucun lien vers votre compte.

Pourquoi stocker des coordonnées précises ? Parce qu'une carte hot-spot utile doit cibler avec précision le vrai point de vue (une terrasse spécifique, un pont spécifique) — stocker des cellules grossières de 1 km transformerait la carte en heatmap de quartier sans intérêt. La protection de la vie privée ne vient pas d'une faible précision en base mais de la k-anonymité au moment de la query.

**Concrètement : vos spots privés restent privés.** L'endpoint API `/spots/hot` n'expose JAMAIS un cluster avec moins de 5 photos indépendantes. Si une cellule geohash (~19 m × 19 m) contient 1 à 4 photos seulement, elle est automatiquement fusionnée dans sa cellule parente (~150 m), puis dans une cellule encore plus grossière (~1,2 km) jusqu'à atteindre le seuil k=5. Si le rollup ne trouve toujours pas 5 photos même au niveau le plus grossier, le cluster est entièrement retiré de la réponse. Une photo prise dans la maison de campagne isolée de votre grand-mère est invisible sur la carte tant qu'au moins 5 personnes différentes n'ont pas elles aussi photographié ce quartier exact. Une photo du panneau Hollywood est exposée à la précision de 19 m parce que des centaines d'autres photos y existent déjà.

Vous pouvez retirer votre consentement à tout moment en désactivant le toggle « Aider à améliorer Compoz » dans les Réglages. Le client mobile cesse d'appeler l'endpoint d'enregistrement de spot, et le serveur re-vérifie le consentement à chaque requête. Les lignes anonymes déjà en base peuvent être conservées pour la R&D comme permis par l'art. 17.3.d du RGPD — elles ne sont pas liées à vous et ne peuvent pas être supprimées individuellement par utilisateur.

Les trois traitements ci-dessus (transfert transitoire vers le Coach IA + photo d'entraînement chiffrée + enregistrement de spot anonyme) partagent le même objectif légitime : améliorer Compoz pour tout le monde. Ils partagent la même promesse d'anonymisation : pas d'identifiant utilisateur, pas de métadonnées personnelles, pas de tracking.

Le EDPB (Comité européen de la protection des données) accepte un consentement unique pour des finalités étroitement liées quand l'utilisateur est correctement informé via une notice en deux couches : un résumé convivial dans l'app + un lien « En savoir plus » vers cette page de détail. C'est précisément ce que nous faisons.

Vous pouvez retirer votre consentement à tout moment en désactivant le toggle dans les Réglages. L'effet est immédiat : la prochaine action lira la nouvelle valeur et les trois traitements s'arrêtent instantanément. Les lignes déjà anonymisées (sans identifiant) peuvent être conservées pour notre recherche, comme permis par l'art. 17.3.d du RGPD.

Compoz fait appel à un nombre limité de sous-traitants, chacun strictement pour la finalité indiquée :

Si vous résidez dans l'Espace économique européen, vous disposez des droits suivants :

Pour toute question, demande d'exercice de droits ou plainte concernant vos données personnelles : privacy@getcompoz.app. Nous répondons sous 30 jours maximum.

Nous pouvons mettre à jour cette politique. Tout changement matériel sera notifié dans l'application et la date de dernière mise à jour en haut de cette page sera actualisée. Les changements substantiels affectant vos droits nécessiteront votre reconfirmation explicite.