HND GROUP SASU
POLITIQUE DE CONFIDENTIALITÉ
Application mobile & Site web homedrinx.com
Version 1.2 — Juin 2026 — HND Group SASU
La présente Politique de Confidentialité décrit la manière dont HND Group (ci-après « nous », « notre », « la Société ») collecte, utilise, stocke et protège les données à caractère personnel des utilisateurs (ci-après « vous », « l'utilisateur ») de l'application mobile HomeDrinx et du site homedrinx.com.
Nous nous engageons à traiter vos données conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679), à la loi Informatique et Libertés n°78-17 du 6 janvier 1978 modifiée, et à toute réglementation applicable en matière de protection des données.
⚠️ Points à finaliser avant lancement V1 : durée de conservation exacte, nécessité d'un DPO à grande échelle. RevenueCat à intégrer lors de l'activation du Premium.
IDENTITÉ DU RESPONSABLE DU TRAITEMENT
ℹ️ Délégué à la Protection des Données (DPO) : non désigné à ce stade. La nomination d'un DPO devient obligatoire si le traitement des données atteint une grande échelle. À réévaluer lors du passage à 10 000+ utilisateurs actifs.
DONNÉES COLLECTÉES
▸ 2.1 Liste d'attente — site homedrinx.com
- Adresse email fournie volontairement via le formulaire d'inscription à la liste d'attente
- Source d'inscription (valeur fixe : « website »)
- Date d'inscription
ℹ️ Ces données sont collectées sur la base de votre consentement (Art. 6.1.a RGPD). Vous n'avez pas à être utilisateur de l'application pour figurer sur la liste. Vous pouvez vous désinscrire à tout moment via le lien présent dans chaque email ou en contactant admin@homedrinx.com.
▸ 2.2 Données de compte
- Adresse email (si inscription par email)
- Mot de passe (stocké sous forme hachée — jamais en clair)
- Identifiant anonyme unique (UUID Supabase) pour les sessions sans compte
- Date de naissance (collectée pour vérification de majorité et filtrage des contenus alcoolisés — conformément à la loi Évin)
- Date de création du compte et date de dernière connexion
▸ 2.3 Données de profil et préférences
- Pilier favori sélectionné lors de l'onboarding (Sport & Performance, Cocktails & Mocktails, Café & Matcha)
- Préférence de filtrage « Sans alcool » (no_alcohol toggle)
- Ingrédients déclarés dans My Drinx (bar personnel)
- Matériel de préparation possédé (shaker, blender, etc.)
- Recettes ajoutées aux favoris
- Historique des recettes consultées et préparées
- Notes et évaluations attribuées aux recettes
- Profil alimentaire de l'utilisateur : allergènes déclarés (données utilisées pour le filtrage des recettes incompatibles — fonctionnalité à venir)
▸ 2.4 Données d'usage et analytique
- Événements comportementaux collectés via PostHog : recettes vues, filtre appliqué, recette démarrée / terminée / abandonnée, ingrédient ajouté ou supprimé, navigation entre piliers, etc.
- Adresse IP (collectée par PostHog, serveurs localisés dans l'Union Européenne — eu.i.posthog.com)
- Type d'appareil, système d'exploitation, version de l'application
- Identifiant analytique anonymisé (distinct ID PostHog)
▸ 2.5 Données techniques
- Tokens de session Supabase (stockés en AsyncStorage sur l'appareil — chiffrés)
- Logs d'erreur techniques éventuels (sans données personnelles identifiantes)
- Données de crash anonymisées
✅ Nous ne collectons pas : numéro de téléphone, données de géolocalisation, données biométriques, données de paiement (gérées directement par Apple / Google / RevenueCat sans transit par nos serveurs).
FINALITÉS DU TRAITEMENT ET BASES LÉGALES
| Finalité | Base légale (RGPD Art. 6) | Détail |
|---|---|---|
| Inscription et gestion de la liste d'attente | Consentement (Art. 6.1.a) | Envoi d'emails d'information sur les nouvelles places bêta et les nouveautés — désinscription possible à tout moment |
| Authentification et sécurité du compte | Exécution du contrat (Art. 6.1.b) | Création et gestion du compte utilisateur |
| Personnalisation des recommandations | Exécution du contrat (Art. 6.1.b) | Filtrage recettes selon My Drinx, préférences pilier |
| Vérification de l'âge (majorité) | Obligation légale (Art. 6.1.c) | Loi Évin — filtrage contenus alcoolisés pour mineurs |
| Amélioration du service (analytics) | Intérêt légitime (Art. 6.1.f) | Analyse comportementale anonymisée via PostHog EU |
| Respect obligations loi Évin | Obligation légale (Art. 6.1.c) | Affichage messages sanitaires alcool obligatoires |
| Gestion des abonnements Premium | Exécution du contrat (Art. 6.1.b) | Via RevenueCat + Apple/Google (V1 — pas en bêta) |
| Communication avec l'utilisateur | Intérêt légitime (Art. 6.1.f) | Notifications de mise à jour, nouveautés (opt-in) |
DESTINATAIRES DES DONNÉES
Vos données peuvent être partagées avec les sous-traitants suivants, strictement nécessaires au fonctionnement de l'application :
| Prestataire | Rôle | Localisation | Garanties |
|---|---|---|---|
| Supabase Inc. | BDD, authentification, stockage | UE — Frankfurt (AWS eu-central-1) | DPA RGPD — Clauses contractuelles types |
| PostHog Inc. | Analytique comportementale | UE — eu.i.posthog.com | Serveur EU — opt-out disponible |
| Vercel Inc. | Hébergement site homedrinx.com + analytics d'audience (Vercel Analytics) | USA — Vercel CDN | Clauses contractuelles types UE-USA — DPA Vercel |
| Resend Inc. | Envoi d'emails transactionnels (confirmation d'inscription liste d'attente, email de désinscription) | USA — Resend Inc. | Clauses contractuelles types UE-USA — DPA Resend |
| Expo / EAS (Expo Go) | Distribution app, mises à jour OTA | USA — Expo Inc. | Clauses contractuelles types UE-USA |
| Apple App Store | Distribution iOS | USA — Apple Inc. | Standard Contractual Clauses |
| Google Play Store | Distribution Android | USA — Google LLC | Standard Contractual Clauses |
| RevenueCat Inc. | Paiements in-app (V1 — pas bêta) | USA — RevenueCat | À intégrer lors activation Premium |
✅ HND Group ne vend pas vos données personnelles à des tiers. Aucune donnée n'est transmise à des fins publicitaires externes.
TRANSFERTS DE DONNÉES HORS UNION EUROPÉENNE
Certains de nos prestataires (Vercel, Expo/EAS, Apple, Google, RevenueCat) sont établis aux États-Unis. Ces transferts sont encadrés par les mécanismes suivants :
- Clauses contractuelles types (CCT) adoptées par la Commission européenne — décision 2021/914
- Mécanisme EU-U.S. Data Privacy Framework pour les prestataires américains certifiés
- Évaluation de l'impact des transferts (TIA) disponible sur demande à admin@homedrinx.com
✅ Les données analytics PostHog sont intégralement traitées sur serveurs EU (eu.i.posthog.com) — aucun transfert hors UE pour cette composante.
DURÉE DE CONSERVATION DES DONNÉES
| Catégorie de données | Durée de conservation | Justification |
|---|---|---|
| Email liste d'attente (waitlist) | Jusqu'à désinscription ou lancement V1 + 6 mois | Consentement révocable à tout moment — purge automatique post-lancement |
| Compte actif (email, profil, préférences) | Durée de vie du compte | Nécessaire à l'exécution du service |
| Compte inactif (aucune connexion) | 12 mois après dernière activité, puis suppression | À définir précisément avec juriste avant V1 |
| Historique recettes et notes | Durée de vie du compte | Fonctionnalité core de l'app |
| My Drinx (ingrédients, favoris) | Durée de vie du compte | Données de préférence utilisateur |
| Données analytiques PostHog | 12 mois glissants (paramètre PostHog) | Amélioration continue du service |
| Logs d'erreur techniques | 90 jours | Débogage et stabilité |
| Données après suppression de compte | 30 jours (purge complète) | Délai de grâce en cas de suppression accidentelle |
| Données comptables / facturation | 10 ans (obligation légale) | Code de commerce — pièces comptables |
VOS DROITS (RGPD)
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
▸ 7.1 Droit d'accès (Art. 15 RGPD)
Vous avez le droit d'obtenir la confirmation que nous traitons vos données et d'en recevoir une copie.
▸ 7.2 Droit de rectification (Art. 16 RGPD)
Vous pouvez corriger vos données inexactes ou incomplètes directement depuis les paramètres de l'application ou en nous contactant.
▸ 7.3 Droit à l'effacement — « droit à l'oubli » (Art. 17 RGPD)
Vous pouvez demander la suppression de votre compte et de l'ensemble de vos données personnelles. La suppression est effective dans un délai de 30 jours.
▸ 7.4 Droit à la portabilité (Art. 20 RGPD)
Vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON), et les transférer à un autre service.
▸ 7.5 Droit d'opposition (Art. 21 RGPD)
Vous pouvez vous opposer au traitement de vos données fondé sur notre intérêt légitime (notamment les analytics PostHog).
▸ 7.6 Droit de retrait du consentement
Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment sans que cela remette en cause la licéité des traitements antérieurs.
▸ 7.7 Droit à la limitation du traitement (Art. 18 RGPD)
Dans certains cas, vous pouvez demander la suspension temporaire du traitement de vos données.
Modalités d'exercice de vos droits :
- Par email : admin@homedrinx.com — nous vous répondrons dans un délai maximum de 30 jours calendaires (Art. 12 RGPD)
- Par courrier : HND Group — 180 rue John Kennedy, 59240 Dunkerque, France
- Droit de réclamation : CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr
ℹ️ Un écran dédié 'Paramètres → Vie privée' sera intégré dans l'application avant le lancement V1 pour permettre l'exercice de vos droits directement depuis l'app.
SÉCURITÉ DES DONNÉES
HND Group met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :
▸ 8.1 Mesures techniques
- Chiffrement en transit : HTTPS / TLS 1.3 sur toutes les communications
- Chiffrement au repos : les données sont hébergées sur Supabase (infrastructure AWS eu-central-1) avec chiffrement AES-256 au repos géré par le prestataire
- Row Level Security (RLS) Supabase : chaque utilisateur ne peut accéder qu'à ses propres données — isolation stricte au niveau base de données
- Tokens d'authentification JWT : stockés de façon sécurisée en AsyncStorage avec expiration automatique
- Hachage des mots de passe : algorithme bcrypt — jamais stockés en clair
- Authentification sécurisée via Supabase Auth. L'authentification multi-facteur (MFA) n'est pas activée en version bêta — activation prévue en V1
▸ 8.2 Mesures organisationnelles
- Accès aux données restreint au personnel strictement nécessaire (principe du moindre privilège)
- Sous-traitants soumis à des Accords de Traitement des Données (DPA) conformes au RGPD
- Pas de revente ni de partage commercial des données utilisateurs
- Politique de notification en cas de violation de données : notification CNIL dans les 72h (Art. 33 RGPD), notification utilisateurs si risque élevé
PROTECTION DES MINEURS
🔴 L'application HomeDrinx propose des contenus incluant des recettes de boissons alcoolisées. Des mesures spécifiques sont prises pour protéger les utilisateurs mineurs.
- L'âge minimum pour créer un compte HomeDrinx est fixé à 18 ans — conformément à la loi Évin et aux recommandations sectorielles de l'ARPP
- L'application collecte la date de naissance lors de l'inscription pour vérifier la majorité de l'utilisateur
- Toute tentative d'inscription d'une personne de moins de 18 ans est refusée
- Une page d'entrée avec vérification d'âge (age gate) est mise en place avant tout accès au service
Ces mesures sont mises en place en conformité avec la loi Évin (loi n°91-32 du 10 janvier 1991) et les recommandations de l'ARPP en matière de publicité pour les boissons alcoolisées.
✅ La fixation de l'âge minimum à 18 ans pour l'ensemble du service offre une protection maximale et s'aligne avec les exigences de classification des stores (Apple App Store, Google Play Store) pour les applications liées à l'alcool.
COOKIES ET TRACEURS
▸ 10.1 Application mobile
L'application HomeDrinx est une application mobile native — elle n'utilise pas de cookies web au sens traditionnel.
- Identifiants analytiques PostHog (distinct ID) : stockés localement sur l'appareil, utilisés pour l'analyse comportementale anonymisée
- Opt-out analytics : pour désactiver la collecte analytique, contactez-nous à admin@homedrinx.com. Un paramètre dédié sera disponible dans l'application à partir du lancement V1
- Tokens de session : nécessaires au fonctionnement — non désactivables
▸ 10.2 Site web homedrinx.com
- Cookies analytiques PostHog : soumis à consentement explicite via bandeau RGPD
- Aucun cookie publicitaire ou de tracking tiers
- Durée de vie des cookies analytiques : 12 mois maximum
MODIFICATIONS DE LA POLITIQUE DE CONFIDENTIALITÉ
Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour nous conformer à de nouvelles exigences légales ou réglementaires ou pour refléter des changements dans nos pratiques.
- La date de dernière mise à jour est indiquée en haut du document
- En cas de modification majeure (nouvelle finalité de traitement, nouveau destinataire, changement de base légale), vous serez notifié par : notification push dans l'application, email si vous avez fourni votre adresse, bandeau d'information au prochain lancement de l'application
- En l'absence d'opposition dans un délai de 30 jours suivant la notification, vous serez réputé avoir accepté les modifications
- Si vous refusez les modifications, vous disposez du droit de supprimer votre compte
CONTACT ET RÉCLAMATIONS
Pour exercer vos droits ou pour toute question relative à vos données personnelles, contactez-nous à admin@homedrinx.com. Nous nous engageons à répondre dans un délai maximum de 30 jours calendaires.
Politique de Confidentialité — HomeDrinx — HND Group SASU (SIREN 102 763 729)
Version 1.1 — Avril 2026 — Dernière mise à jour : Juin 2026