Politique de Confidentialité

1. Responsable (Art. 4 RGPD)

MY YACHTWEEK SL
Paseo del Borne 14
07012 Palma de Mallorca
Îles Baléares, Espagne
E-mail : privacy@hellokiwi.app
Représenté par le Directeur : Pierre Schorb

2. Finalités

• Planification de voyages, listes de bagages, tâches, dépenses et gestion des destinations – d’abord entièrement en local sur ton appareil.
• Compte facultatif avec connexion via Apple, Google, un code par e-mail ou une clé d’accès (passkey), pour synchroniser tes voyages entre appareils et les partager avec d’autres personnes.
• Assistance IA facultative (assistant de liste de bagages, informations sur le pays et sur les vols).
• Informations sur les lieux, cartes, météo, vols et devises ainsi que des offres (notamment Google, Apple, OpenStreetMap, Open-Meteo, AeroDataBox, Wikipédia, Wikidata, Viator).
• Notifications et rappels pour les rendez-vous, tâches et voyages (en local sur l’appareil).
• Exploitation, sécurité et dépannage de nos serveurs (journaux du serveur) ainsi que – uniquement avec ton consentement – des statistiques d’utilisation (Matomo).

3. Compte et connexion (facultatif)

Tu peux utiliser HelloKiwi sans compte ; toutes les données restent alors sur ton appareil. Pour la synchronisation via le serveur HelloKiwi et le partage de voyages, tu te connectes dans les réglages. Il existe quatre façons de le faire ; il n’y a pas de mot de passe propre :

• Google : nous recevons de Google une preuve de connexion et enregistrons l’identifiant Google unique, ton adresse e-mail, ton nom d’affichage et – s’il existe – ta photo de profil.
• Apple : nous recevons d’Apple une preuve de connexion et enregistrons l’identifiant Apple unique ainsi que ton adresse e-mail et ton nom, si Apple les transmet. Si tu choisis « Masquer mon adresse e-mail », nous ne recevons qu’une adresse de relais d’Apple. Nous enregistrons en outre, de manière chiffrée, un jeton émis par Apple afin de pouvoir révoquer la connexion à ton identifiant Apple lorsque tu supprimes ton compte. Sur Android, la connexion avec Apple passe par une page web d’Apple ; le résultat de la connexion reste au maximum 10 minutes sur notre serveur, jusqu’à ce que l’app le récupère.
• Code par e-mail : nous t’envoyons un code à six chiffres à ton adresse e-mail. Nous enregistrons l’adresse ; le code n’est enregistré que sous forme d’empreinte, est valable 10 minutes et est supprimé au plus tard au bout d’un jour. Pour éviter les abus, le nombre de codes par adresse et par adresse IP est limité.
• Clé d’accès (passkey) : tu peux ajouter une clé d’accès à ton compte et te connecter par reconnaissance faciale, empreinte digitale ou code de l’appareil. Nous n’enregistrons que la clé publique, un identifiant de la clé, un compteur d’utilisation et le nom que tu lui donnes. Les données biométriques ne quittent jamais ton appareil.

S’y ajoutent des données techniques de session (horodatages, expiration ; jetons de connexion uniquement sous forme d’empreinte). Nous ne voyons jamais les mots de passe de tes comptes Apple ou Google. Des modes de connexion différents donnent des comptes séparés.

Tu peux te déconnecter à tout moment. Tu peux supprimer définitivement ton compte et toutes les données du serveur dans les réglages avec « Supprimer le compte et les données du serveur » (voir la section « Stockage et durée de conservation »).

4. Synchronisation via le serveur HelloKiwi

Lorsque tu te connectes, HelloKiwi synchronise tes données avec notre serveur afin que tu les aies sur plusieurs appareils et puisses les partager avec d’autres. Tout le contenu de tes voyages est synchronisé : titres, périodes, destinations, hébergements, vols, trains, croisières, activités, tâches, participants (noms, adresses e-mail et autres informations que tu saisis toi-même), dépenses, listes de bagages, notes, résultats de l’assistant de liste de bagages, lieux enregistrés, images de couverture et pièces jointes (photos, documents) ainsi que ton profil et tes réglages (p. ex. la langue).

Le serveur se trouve dans un centre de données de l’Union européenne (Espagne). La transmission est chiffrée (TLS), les pièces jointes sont stockées chiffrées sur le serveur et les sauvegardes sont chiffrées.

La synchronisation est volontaire. Elle prend fin lorsque tu te déconnectes ; tes données restent sur l’appareil (si tu le souhaites, tu peux les supprimer de l’appareil lors de la déconnexion). Les données déjà synchronisées restent sur le serveur jusqu’à leur suppression (voir « Conservation et durée de conservation »).

Sur iOS, pendant son travail, l’assistant de liste de bagages enregistre sur le voyage un identifiant d’appareil attribué par l’éditeur de l’app (identifierForVendor), afin que deux appareils ne créent pas la même liste en même temps. Il est synchronisé avec le voyage et donc également enregistré pour les membres du voyage ; il ne sert à rien d’autre.

Si tu saisis des noms, adresses e-mail ou d’autres données de personnes qui voyagent avec toi, assure-toi d’y être autorisé.

5. Anciennes données iCloud (iOS)

Les versions précédentes de l’app iOS synchronisaient tes données entre tes appareils via iCloud (Apple CloudKit) et proposaient le partage de voyages via iCloud. Ce n’est plus le cas : la synchronisation et le partage passent désormais par le serveur HelloKiwi (voir ci-dessus).

Pour que rien ne se perde, l’app reprend une seule fois, au premier démarrage de la nouvelle version, les données présentes dans ton stockage iCloud privé et les enregistre sur ton appareil. Ensuite, l’app ne lit ni n’écrit plus rien dans iCloud. Les partages reçus d’autres personnes via iCloud ne sont pas repris et ne sont plus affichés.

Nous n’avons pas accès à tes données iCloud. Elles restent dans ton stockage iCloud jusqu’à ce que tu les supprimes : dans les réglages iOS, sous ton nom → iCloud → Gérer le stockage → HelloKiwi.

6. Partager des voyages avec d’autres (partage HelloKiwi)

Tu peux partager un voyage avec d’autres utilisateurs de HelloKiwi. Pour cela, tu crées une invitation (« Inviter quelqu'un »), éventuellement avec le nom et l’adresse e-mail de la personne invitée, et tu lui envoies le code d’invitation, un lien ou un code QR. Une invitation est valable pour une personne et pendant 14 jours.

La personne invitée se connecte et envoie une demande. En tant que propriétaire du voyage, tu vois son nom et son adresse e-mail et tu décides si tu l’approuves. Elle n’obtient l’accès qu’après ton approbation.

Tous les membres d’un voyage partagé voient son contenu (y compris les pièces jointes) et peuvent le modifier, mais ne peuvent pas supprimer le voyage. Tous les membres voient les noms et adresses e-mail des autres membres. Le propriétaire peut retirer des membres à tout moment, et les membres peuvent quitter le voyage à tout moment (« Quitter le voyage »). Ce qu’un membre a déjà saisi reste dans le voyage.

Si le propriétaire supprime son compte, le voyage passe au membre impliqué depuis le plus longtemps ; s’il n’y en a pas, il est supprimé.

Ne transmets pas de données de tiers sans leur consentement. Vérifie le nom et l’adresse e-mail de la personne qui demande avant chaque approbation.

7. Bases juridiques

• Contrat (art. 6, § 1, point b RGPD) : mise à disposition de l’app, du compte, de la synchronisation et du partage.
• Intérêt légitime (art. 6, par. 1, point f du RGPD) : exploitation et sécurité des serveurs (journaux du serveur, limitation des requêtes, sauvegardes).
• Consentement (art. 6, par. 1, point a du RGPD) : autorisations facultatives (calendrier, notifications), fonction d’IA facultative et statistiques d’utilisation (pour l’enregistrement de l’identifiant sur ton appareil, également l’art. 25, par. 1 de la loi allemande TDDDG) ; révocable à tout moment.

8. Destinataires et services tiers

Nous ne transmettons des données que dans la mesure où cela est nécessaire pour fournir les fonctions :

• Hébergeur (centres de données en Espagne et en Allemagne, UE) : exploitation de nos serveurs (sous-traitant).
• Google : connexion avec le compte Google, recherche de lieux, lieux à proximité et photos de lieux (Google Places : texte de recherche, coordonnées de la destination), liens de carte (Google Maps).
• OpenAI : assistant facultatif de liste de bagages, informations sur le pays et sur les vols (voir ci-dessous).
• Open-Meteo (Android) : prévisions météo pour les destinations (coordonnées, période).
• OpenStreetMap (Android) : tuiles de carte lors du choix d’un lieu et – via Nominatim – adresse correspondant à des coordonnées (extrait de carte, coordonnées).
• Wikipédia : courtes descriptions des destinations (ville, pays, éventuellement coordonnées).
• AeroDataBox (via RapidAPI) : informations de vol (numéro de vol, date, code d’aéroport).
• Viator : offres et activités pour les destinations (coordonnées, destination, période, devise) et leurs images.
• Wikimedia (Wikidata) : devises des destinations (codes de pays, langue).
• Esri (ArcGIS) (Android) : carte satellite lors du choix d’un lieu (tuiles de carte).
• Apple : connexion avec Apple ; sur iOS également la météo (WeatherKit : coordonnées de la destination), les cartes et la recherche de lieux (MapKit : texte de recherche, coordonnées), les services push, la vérification des mises à jour de l’app dans l’App Store et la reprise unique des anciennes données iCloud (voir « Anciennes données iCloud »).
• Microsoft (Microsoft 365, sous-traitant) : envoi des codes de connexion par e-mail (adresse e-mail, code). Les messages envoyés ne sont pas conservés dans notre boîte aux lettres.
• Frankfurter / Banque centrale européenne : taux de change pour les dépenses dans d’autres devises. Notre serveur récupère les taux ; aucune donnée te concernant n’est transmise.
• Autres membres de voyages partagés (voir « Partager des voyages avec d’autres »).

Les requêtes vers OpenAI, Google Places, Open-Meteo, OpenStreetMap, AeroDataBox et Viator passent par notre serveur relais (api.hellokiwi.app) : les fournisseurs reçoivent la requête, mais pas ton adresse IP. La connexion avec Google et Apple, les requêtes vers Wikipédia et Wikidata, les services Apple sur iOS ainsi que le chargement des tuiles de carte et des images Viator se font directement depuis ton appareil – ton adresse IP est alors visible pour le fournisseur. Si tu ouvres un lien de carte, Google Maps ou ton navigateur s’ouvre.

Fonctions IA (OpenAI) : pour l’assistant facultatif de liste de bagages, nous envoyons à OpenAI le titre du voyage, la période, le nombre de participants, les destinations (ville, code pays), les thèmes de voyage et moyens de transport choisis, les éléments déjà présents dans la liste de bagages ainsi que la langue de l’app. Pour les informations sur le pays, nous envoyons le pays et les coordonnées de la destination ; pour les informations sur les vols, la compagnie aérienne, le numéro de vol, les aéroports et la date du vol. Aucun nom de personne, adresse e-mail, adresse postale ou donnée de compte n’est transmis ; comme le titre du voyage est un texte libre, n’y saisis pas de données personnelles. Les contenus servent uniquement à créer les suggestions correspondantes ; les résultats sont enregistrés dans le voyage et visibles par ses membres. Selon le fournisseur, les contenus transmis ne sont pas utilisés pour entraîner des modèles, mais peuvent être conservés brièvement pour détecter les abus. Tu peux signaler un contenu IA à support@hellokiwi.app avec « Signaler le contenu ».

9. Journaux de serveur (fichiers journaux)

L’accès à nos serveurs génère des journaux techniques. Ils contiennent l’heure, le chemin demandé, le code de réponse et une adresse IP abrégée (en IPv4 sans le dernier octet) ; sur le serveur relais (api.hellokiwi.app) également l’identifiant de la version de l’app (user agent). Les journaux d’erreurs et de sécurité (erreurs du serveur, pare-feu, tentatives de connexion au serveur) peuvent contenir l’adresse IP complète. Tous les journaux sont supprimés au plus tard après 7 jours. L’hébergeur peut tenir ses propres journaux.

Les finalités sont l’exploitation, le dépannage et la défense contre les attaques (intérêt légitime). Pour limiter les requêtes, l’adresse IP est utilisée brièvement en mémoire. Ces textes juridiques sont fournis sans journal d’accès.

10. Conservation et durée de conservation

Nous ne conservons les données que le temps nécessaire à la finalité concernée.

• Sur ton appareil : les voyages, photos, notes et réglages se trouvent dans la base de données de l’app sur ton appareil et sont supprimés lors de la désinstallation. Lors de la déconnexion, tu peux les faire supprimer de l’appareil ; en cas de changement de compte, l’app te le demande.
• Sur le serveur HelloKiwi : tant que ton compte existe. Si tu supprimes un voyage, son contenu et ses pièces jointes sont supprimés immédiatement ; un marqueur de suppression vide reste 90 jours afin que tes autres appareils appliquent aussi la suppression. Si tu supprimes des entrées individuelles, les pièces jointes sont supprimées immédiatement et le reste du contenu au plus tard après 90 jours.
• Supprimer le compte : avec « Supprimer le compte et les données du serveur », ton compte, ton profil, tes données de connexion, tes voyages sans autres membres avec leur contenu et leurs pièces jointes ainsi que tes invitations sont définitivement supprimés du serveur ; nous révoquons auprès d’Apple une éventuelle connexion à ton identifiant Apple. Les voyages comptant d’autres membres passent au membre qui y participe depuis le plus longtemps ; ce que tu y as saisi reste disponible pour les autres. Si d’autres t’ont ajouté comme participant à leurs voyages, ces informations y restent. Sans l’app, tu peux demander la suppression via legal.hellokiwi.app/account-deletion.
• Sauvegardes : le serveur est sauvegardé chaque jour de manière chiffrée (14 jours sur le serveur, une autre copie chiffrée jusqu’à 60 jours). Des données supprimées peuvent donc rester jusqu’à 60 jours dans les sauvegardes, puis sont entièrement effacées.
• Invitations : valables 14 jours, elles restent enregistrées avec le voyage jusqu’à la suppression du voyage ou du compte.
• Journaux de serveur : 7 jours.
• Statistiques d’utilisation : données brutes 13 mois au maximum, puis suppression automatique.
• Codes de connexion par e-mail : 1 jour au maximum (y compris l’adresse IP utilisée pour la limitation) ; résultats de la connexion avec Apple sur Android 10 minutes au maximum.
• Sauvegardes du système d’exploitation (p. ex. iCloud sur iOS) relèvent des règles des fournisseurs. L’app Android ne participe pas à la sauvegarde automatique de Google.

11. Vos Droits

• Accès, rectification, suppression, limitation
• Portabilité des données
• Opposition
• Retrait du consentement
• Plainte auprès d’une autorité de contrôle (AEPD, Espagne)

www.aepd.es

Comment exercer tes droits : dans les réglages de l’app, tu peux télécharger tes données avec « Exporter mes données » (sur Android sous forme de ZIP avec un aperçu lisible, un fichier JSON lisible par machine et toutes les pièces jointes ; sur iOS sous forme de fichier JSON lisible par machine) et supprimer ton compte avec « Supprimer le compte et les données du serveur ». Tu peux aussi écrire à privacy@hellokiwi.app – même si l’app n’est plus installée.

12. Pays tiers

Nos serveurs sont situés dans l’UE (Espagne, Allemagne). Certains services tiers peuvent traiter des données en dehors de l’UE, notamment aux États-Unis (p. ex. OpenAI, Google, Microsoft, Wikimedia, Esri). De tels transferts n’ont lieu que sur la base de garanties reconnues, par exemple une décision d’adéquation de la Commission européenne (cadre de protection des données UE-États-Unis) ou les clauses contractuelles types de l’UE.

13. Sécurité

• Transmission chiffrée (TLS) entre l’app et les serveurs.
• Les pièces jointes sont stockées chiffrées sur le serveur (AES-256) ; les sauvegardes sont chiffrées avec une clé qui ne se trouve pas sur le serveur.
• Les jetons de connexion ne sont stockés sur le serveur que sous forme de somme de contrôle ; l’accès aux voyages n’est possible que pour les membres et est vérifié à chaque requête.
• Serveurs durcis (pare-feu, accès uniquement par clé, limitation de débit, mises à jour de sécurité automatiques) ; accès réservé à l’exploitant.
• Personne ne peut promettre une sécurité absolue : protège ton appareil (verrouillage de l’écran) et ne donne les invitations qu’à des personnes que tu connais.

14. Statistiques d’utilisation (Matomo)

Si tu l’acceptes, nous utilisons le logiciel open source Matomo pour enregistrer comment l’app est utilisée, afin de l’améliorer de manière ciblée. L’app te le demande lors de son deuxième démarrage avec deux boutons équivalents (« Non merci » et « Volontiers ») ; rien n’est présélectionné. Sans ton consentement, rien n’est enregistré. Ta décision vaut pour l’appareil concerné et n’est pas synchronisée avec ton compte.

Matomo fonctionne exclusivement sur notre propre serveur (track.hellokiwi.app) dans un centre de données de l’UE. Il n’y a ni transmission à des tiers ni transfert vers des pays tiers.

Ce qui est enregistré :

• les écrans et fonctions utilisés (p. ex. « voyage créé », « liste de bagages exportée ») et quand (date, heure, heure locale) ;
• version de l’app, plateforme (iOS/Android), langue de l’app, mode de connexion (p. ex. Apple, Google, sans connexion), modèle de l’appareil, version du système d’exploitation, résolution d’écran et langue de l’appareil ;
• un identifiant aléatoire que l’app crée et enregistre sur ton appareil lorsque tu donnes ton consentement, ainsi que la date et le nombre des visites précédentes. Cela sert uniquement à reconnaître une utilisation récurrente ; l’identifiant n’est pas lié à ton compte ;
• ton adresse IP : elle sert à déterminer ton pays ; elle n’est enregistrée que sous forme raccourcie (les deux derniers octets sont supprimés).

Ce qui n’est pas enregistré : aucun contenu tel que titres de voyages, noms, adresses e-mail, lieux, montants, notes ou éléments de listes de bagages, aucun identifiant de compte et aucun identifiant publicitaire. Il n’y a pas de suivi entre applications ou plateformes.

Base juridique : ton consentement (art. 6, par. 1, point a du RGPD ; pour l’enregistrement de l’identifiant sur ton appareil, art. 25, par. 1 de la loi allemande TDDDG).

Retrait : tu peux retirer ton consentement à tout moment dans les réglages, sous « Confidentialité → Statistiques d’utilisation ». L’app cesse alors d’envoyer des données, et l’identifiant ainsi que les données non encore envoyées sont supprimés de ton appareil.

Durée de conservation : les données brutes sont supprimées automatiquement au bout de 13 mois. Les statistiques agrégées sans lien avec des utilisateurs individuels peuvent être conservées plus longtemps.

Les anciennes versions iOS (jusqu’à 1.4.x) envoient une analyse d’utilisation anonyme sans identifiant enregistré. Ces données sont conservées séparément et également supprimées au bout de 13 mois.

15. Obligation de fournir des données

Pour utiliser l’app localement, tu n’as aucune donnée à nous fournir. Le compte, la synchronisation et le partage nécessitent une connexion (Apple, Google, code par e-mail ou clé d’accès) ; sans elle, ces fonctions ne sont pas disponibles. Les statistiques d’utilisation sont facultatives. Certaines fonctions nécessitent en outre des informations ou autorisations précises (p. ex. rappels sans autorisation de notification, informations de vol sans numéro de vol).

16. Accès à l’appareil

L’app peut demander les autorisations suivantes – uniquement lorsque tu utilises la fonction ; tu peux les révoquer à tout moment dans les réglages du système :

• Calendrier : ajouter et vérifier des événements de voyage et de rendez-vous (en local ; uniquement avec ton consentement).
• Notifications et – sur Android – alarmes exactes et démarrage après le redémarrage de l’appareil : afficher de manière fiable les rappels de voyages, tâches et rendez-vous (en local).
• Caméra / photos / fichiers : prendre ou choisir des images et des documents (via le sélecteur du système ; seuls les fichiers que tu choisis sont utilisés). Si tu es connecté, les pièces jointes et images de couverture sont synchronisées avec le voyage (voir « Synchronisation ») ; sur iOS, la caméra lit aussi les codes QR des invitations.
• Contacts : lorsque tu ajoutes des participants, tu peux choisir un contact via le sélecteur du système. L’app reçoit uniquement le contact choisi et reprend son nom et son adresse e-mail comme participant ; elle n’a pas accès à ton carnet d’adresses.
• Lecteur de code QR (Android) : scanner des codes d’invitation. Le scan est effectué par le scanner Google des services Google Play sur ton appareil ; l’app ne reçoit que le code lu, aucune image de la caméra.
• Internet : pour la synchronisation, le partage et les services en ligne.

17. Pas de suivi (publicité et profils)

L’app n’utilise aucun SDK de suivi publicitaire, aucun profilage publicitaire, aucun réseau publicitaire et aucun suivi entre applications ou sites web.

Les statistiques d’utilisation (section « Statistiques d’utilisation (Matomo) ») ne fonctionnent qu’avec ton consentement sur notre propre serveur et ne sont pas combinées avec des données d’autres fournisseurs.

18. Modifications

Des ajustements sont effectués lorsque les services ou la législation évoluent. Voir l’en-tête pour la dernière mise à jour.

Contact

privacy@hellokiwi.app

Version 2.3 • ID du document : HK-PRIV-2026-10-01-FR