Politique de confidentialité

En vigueur à compter du 11 septembre 2026 — Version Pré-release 3C-1 — Dernière mise à jour du texte : 9 novembre 2026

QuiPrendQuoi est un service privé qui aide les membres d'une famille à inventorier des objets, à dire lesquels ils souhaitent et à convenir ensemble de qui les garde. Cette page explique, en langage simple, quelles données personnelles le service traite, pourquoi, combien de temps, qui y a accès et comment vous pouvez faire valoir vos droits.

L'essentiel

  • Les données servent uniquement à faire fonctionner le service. Elles ne sont ni vendues, ni louées, ni utilisées pour de la publicité ou du profilage.
  • Aucun traceur, aucune mesure d'audience, aucun script, police ou image venant d'un site tiers : tout est servi depuis le site lui-même.
  • Les montants des remboursements entre membres sont chiffrés et n'apparaissent jamais dans les e-mails, les journaux ni les exports.
  • Les photos sont débarrassées de leurs métadonnées (dont la position GPS) et ne sont visibles que des membres de la famille concernée.
  • Pour toute demande (accès, correction, effacement…), écrivez à qpq@jp-sartoris.online : réponse sous un mois au plus.

1. Responsable du traitement

Le responsable du traitement des données du compte, de la sécurité et du fonctionnement de la plateforme est son éditeur :

  • Responsable du traitement : Jean-Paul Sartoris
  • Adresse postale : non publiée (l'éditeur, personne physique, a communiqué son identité à l'hébergeur, loi du 21 juin 2004, art. 6, III, 2°). Pour toute demande, écrivez à l'adresse e-mail indiquée ci-dessous.
  • Contact pour les données personnelles : qpq@jp-sartoris.online
  • Délégué à la protection des données : Aucun (désignation non obligatoire) : les demandes relatives aux données personnelles, y compris l'exercice des droits RGPD, s'adressent à l'adresse e-mail ci-dessus.

Les membres d'une famille qui ajoutent des objets, des descriptions ou des photos restent maîtres de ce qu'ils déposent : ils veillent à n'y mettre que ce qui concerne les objets de la famille (voir le paragraphe sur les personnes sur les photos, plus bas).

2. Personnes concernées

  • Les utilisateurs : adultes ayant reçu une invitation, ou dont le compte a été créé par l'administrateur de la plateforme. Il n'y a pas d'inscription libre.
  • Les membres d'une famille (dont les chefs de famille et chefs de maison) : leur nom, leur rôle et leurs réponses sont visibles des autres membres de la même famille.
  • Les personnes invitées : leur adresse e-mail est traitée pour envoyer l'invitation, même si elles ne créent jamais de compte.
  • Les personnes pouvant apparaître sur une photo ou dans un texte (proches, voisins, personnes citées dans la description d'un objet) : elles ne sont pas utilisatrices, mais ont les mêmes droits (voir le paragraphe 9).

3. Données traitées, finalités, bases légales, durées et destinataires

Seules les données nécessaires au service sont collectées. Les durées ci-dessous sont celles que l'application applique réellement ; une purge automatique s'exécute chaque nuit.

Données Finalité Base légale (RGPD) Durée de conservation Qui y a accès
Compte : prénom, nom, nom affiché, adresse e-mail, couleur d'avatar (initiales), préférences (thème, notifications), date de dernière connexion. En base, le mot de passe n'est jamais conservé : seule son empreinte (Argon2id) l'est. Seule exception : le mot de passe provisoire d'un compte créé ou réinitialisé en ligne de commande par l'éditeur est déposé dans un fichier du serveur (hors espace public), effacé dès que vous avez choisi le vôtre et au plus tard 7 jours après. Créer le compte, vous authentifier, vous écrire (invitations, sécurité), vous afficher aux autres membres Exécution du service demandé (art. 6.1.b) Tant que le compte existe. À la suppression : nom, prénom, adresse et secrets de connexion sont effacés ; le compte devient « Ancien membre » (voir le paragraphe 11). Vous ; nom affiché et rôle : membres de vos familles ; adresse e-mail : vous, l'administrateur et l'éditeur seulement
Double authentification (facultative, obligatoire pour l'administrateur) : secret TOTP chiffré, codes de secours sous forme d'empreintes Renforcer la sécurité de la connexion Intérêt légitime de sécurité (art. 6.1.f) Jusqu'à désactivation ou suppression du compte Vous seul (le secret est chiffré)
Appartenance aux familles : famille, rôle (membre, chef de famille, chef de maison), dates d'arrivée et de départ, personne qui a invité Donner l'accès aux bonnes maisons et appliquer les droits de gestion Exécution du service (art. 6.1.b) Durée de l'appartenance ; après un départ, seule la mention « parti » et sa date sont conservées Membres de la famille ; administrateur (supervision)
Invitations : adresse e-mail de la personne invitée (invitation nominative) ou lien partageable, durée de validité, nombre d'utilisations Faire entrer une personne dans une famille Exécution du service (art. 6.1.b) ; intérêt légitime de la famille qui invite (art. 6.1.f) Validité de 1 à 30 jours selon l'invitation, puis suppression 30 jours après l'expiration Chefs de la famille ; administrateur
Objets et structure : titre, description, quantité, état, pièce, catégorie, page, champs personnalisés ; historique des modifications (qui a changé quoi, quand) Inventorier les objets et permettre le travail collaboratif, le retour à une version antérieure Exécution du service (art. 6.1.b) Durée de vie de la maison. Un objet supprimé reste 30 jours dans la corbeille, puis est détruit définitivement. Membres de la famille ; pas l'administrateur en supervision (voir le paragraphe 6)
Choix et attributions : vos réponses (coup de cœur, intéressé si personne n'en veut, pas intéressé), demandes de garde, renoncements, objets gardés, récupération, objets pris en charge pour être vendus, donnés ou recyclés (lien d'annonce et prix facultatifs) Organiser la répartition des objets d'un commun accord Exécution du service (art. 6.1.b) Durée de vie de la maison. Si vous quittez la famille, vos réponses sur les objets encore à décider sont effacées ; celles qui ont servi à attribuer un objet restent, sous votre nom ou sous « Ancien membre ». Membres de la famille
Réseaux de vente que vous déclarez (nom du site, lien de votre page) Indiquer où vous vendez un objet Exécution du service (art. 6.1.b), sur votre initiative Jusqu'à ce que vous les retiriez de votre profil Membres de vos familles
Achats communs et remboursements : acheteurs, parts, prix, sommes annoncées, accords, messages joints Enregistrer l'accord entre les personnes concernées Exécution du service (art. 6.1.b) Durée de vie de la maison. Un membre qui part n'est plus acheteur ; ses accords ouverts sont annulés, ceux déjà confirmés restent. Chiffrés en base. Montants visibles des seules personnes concernées ; la « somme annoncée » est aussi lisible des personnes qui hésitent à garder l'objet. Jamais l'administrateur.
Photos d'objets et photo de couverture d'une maison (quatre tailles, couleur dominante, empreinte du fichier pour repérer les doublons) Identifier visuellement les objets Exécution du service (art. 6.1.b) Tant que l'objet est dans la maison ; photo supprimée : 30 jours dans la corbeille. Photo envoyée mais jamais rattachée : supprimée après 24 heures. Fichier en cours de traitement : supprimé de la zone d'attente après 24 heures. Membres de la famille ; pas l'administrateur en supervision
Notifications et activité : événements de la cloche (réponses attendues, attributions, rappels), date de dernière lecture, préférences de récapitulatif Vous signaler ce qui attend une réponse Exécution du service (art. 6.1.b) Durée de vie du compte et de la maison Vous seul
E-mails envoyés : invitation, vérification d'adresse, réinitialisation et changement de mot de passe, alerte de sécurité (après 10 échecs de connexion), lien de téléchargement d'un export, relances déclenchées à la main par un membre ou un chef de maison, récapitulatif quotidien ou hebdomadaire (facultatif, désactivable) Faire fonctionner le service et protéger votre compte Exécution du service (art. 6.1.b) ; intérêt légitime de sécurité (art. 6.1.f) Le contenu des e-mails n'est pas conservé par l'application. Trace d'envoi dans les journaux techniques, avec adresse masquée. Message qui n'a pas pu partir (messagerie indisponible ou non configurée) : copie complète (adresse du destinataire et contenu, liens compris) déposée dans un dossier du serveur, que l'application ne vide pas elle-même ; l'éditeur la supprime lors de l'exploitation du serveur. File d'envoi : tâches terminées supprimées après 7 jours. Service d'envoi d'e-mails (voir le paragraphe 6)
Journal d'audit : action effectuée (connexion, échec, changement de rôle, invitation, suppression, attribution, export, consultation par l'administrateur…), auteur, cible, adresse IP, navigateur (agent utilisateur), date. Jamais de montant ni de mot de passe. Détecter les intrusions, enquêter sur un incident, rendre compte des actions sensibles Intérêt légitime de sécurité (art. 6.1.f) 12 mois, puis suppression automatique Administrateur de la plateforme
Limitation des tentatives de connexion : compteur d'échecs rattaché à une adresse e-mail ou à une adresse IP Bloquer les attaques par essais répétés Intérêt légitime de sécurité (art. 6.1.f) Supprimé dès une connexion réussie, sinon 7 jours après le dernier échec Administrateur de la plateforme
Sessions et jetons : identifiant de session, jetons à usage unique (lien de réinitialisation, de vérification d'adresse, de bienvenue) et jeton « rester connecté », conservés sous forme d'empreinte avec l'adresse IP et le navigateur de leur création Vous garder connecté et sécuriser les liens envoyés par e-mail Exécution du service (art. 6.1.b) ; intérêt légitime de sécurité (art. 6.1.f) Session : 2 heures d'inactivité, 12 heures au plus. « Rester connecté » : 30 jours. Liens par e-mail : de 1 heure à 7 jours selon leur nature. Jeton expiré : supprimé 7 jours plus tard. Administrateur de la plateforme (révocation)
Exports et imports : fichier ZIP (inventaire et photos) préparé à la demande d'un chef de maison ; fichier CSV déposé pour un import Vous remettre une copie des données de la maison ; reprendre un inventaire existant Exécution du service (art. 6.1.b) Export ZIP : lien valable 24 heures, fichier supprimé au plus tard sous 2 jours. Fichier d'import : supprimé au plus tard 7 jours après son dépôt. Le chef de maison demandeur, connecté
Journaux techniques du serveur (erreurs, tâches, purges ; adresses e-mail masquées ; quelques messages de diagnostic de connexion portent l'adresse IP). Sans mot de passe, jeton ni montant. Exploitation, dépannage et sécurité Intérêt légitime (art. 6.1.f) Un fichier par jour sur le serveur ; aucune purge automatique n'existe à ce jour : l'éditeur les efface lors de l'exploitation du serveur Éditeur ; hébergeur (infrastructure)
Sauvegardes : copie automatique, chaque nuit, de la base de données et des photos, rangée sur le même hébergement. Pouvoir restaurer le service après un incident Intérêt légitime (art. 6.1.f) 30 jours glissants. Une donnée ou une photo supprimée, ou une donnée anonymisée, peut donc rester dans une sauvegarde jusqu'à 30 jours, sans être réutilisée. Éditeur ; hébergeur (infrastructure)

Il n'y a ni prise de décision automatisée produisant des effets sur vous, ni profilage. L'application ne « tranche » jamais à la place des membres.

4. Photographies

  • Suppression des métadonnées : chaque photo est convertie par le serveur ; les informations EXIF, GPS, ICC et XMP du fichier d'origine ne sont pas reprises. Aucune position ni modèle d'appareil n'est conservé.
  • Accès restreint : les fichiers sont rangés hors de l'espace public du serveur et ne sont servis qu'aux membres connectés de la famille concernée. Ils ne sont pas indexés par les moteurs de recherche.
  • Personnes sur les photos : le service sert à photographier des objets. Évitez les clichés où figurent des personnes, des pièces d'identité, des courriers ou des documents bancaires. Si vous figurez sur une photo ou êtes cité dans un texte et ne le souhaitez pas, écrivez à qpq@jp-sartoris.online ou demandez à un chef de maison de la retirer : l'image est supprimée (corbeille de 30 jours, puis destruction définitive ; sur demande motivée, l'éditeur peut la supprimer sans attendre).

5. Chiffrement et confidentialité des montants

  • Les prix, parts, sommes annoncées, montants d'accords de remboursement et messages joints sont chiffrés dans la base de données (chiffrement authentifié, clé propre à l'installation). Le secret de la double authentification l'est aussi.
  • Ces montants n'apparaissent ni dans les e-mails, ni dans le journal d'audit, ni dans l'historique, ni dans les journaux techniques, ni dans les exports CSV et ZIP, ni dans la supervision de l'administrateur.
  • Le prix éventuel d'un objet vendu ou donné est chiffré lui aussi, mais il est visible des membres de la maison, car la personne qui s'en occupe le donne de son plein gré.
  • La clé de chiffrement est conservée dans la configuration du serveur ; une sauvegarde de la base sans cette clé ne permet pas de lire ces montants.

6. Destinataires, sous-traitants et transferts hors Union européenne

  • Les membres de vos familles voient ce qui est partagé dans leur famille (voir le tableau). Une famille ne voit jamais les autres familles, y compris celles dont vous êtes membre.
  • L'administrateur de la plateforme assure la maintenance et la sécurité. Il gère les comptes (création, désactivation, suppression, révocation des sessions) et consulte le journal d'audit. Il peut consulter une maison en lecture seule pour dépanner : il y voit les objets (titre, quantité, catégorie, page, pièce, statut, gardiens) mais ni les choix, ni les photos, ni les montants, et ne peut rien modifier. Chaque consultation est inscrite dans les réglages de la maison, visible des chefs de maison. Il ne peut pas se connecter à votre place.
  • Hébergeur et service d'e-mails (sous-traitant) : HOSTINGER INTERNATIONAL LIMITED héberge le site, la base de données, les photos et les copies de la base (voir le tableau), et achemine les e-mails du service. Il traite les données pour le compte de l'éditeur, sur ses instructions, et n'en a aucun usage propre. Les photos ne sont sauvegardées que si l'éditeur copie lui-même le dossier de données, sans engagement de fréquence. Localisation des serveurs : Union Européenne (France / Lituanie / Chypre).
  • Autorités : vos données ne sont communiquées à une autorité que sur réquisition légale.
  • Aucun autre destinataire : ni régie publicitaire, ni réseau social, ni courtier en données, ni outil d'analyse.

Transferts hors Union européenne : l'éditeur n'en effectue aucun. Les données sont hébergées dans l'Union européenne et aucun service tiers établi hors de l'Union ne reçoit de données personnelles via l'application. Si cela devait changer, le transfert serait encadré par les garanties prévues au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types) et cette politique serait mise à jour au préalable.

Les liens que les membres saisissent eux-mêmes (par exemple l'annonce d'un objet en vente) mènent vers des sites tiers, qui ont leur propre politique de confidentialité.

7. Cookies, stockage dans le navigateur et traceurs

L'application ne dépose aucun cookie publicitaire, de mesure d'audience ou de profilage, et ne contient aucun pixel de suivi, y compris dans les e-mails. La politique de sécurité du site interdit le chargement de scripts, de polices ou d'images venant d'ailleurs : les polices (Poppins) sont hébergées sur le site lui-même.

Élément Rôle Durée
Cookie qpq_session Maintenir la session connectée ; la session contient aussi le jeton qui protège les formulaires contre la falsification de requête (CSRF). Attributs HttpOnly, Secure, SameSite=Lax. Fermeture du navigateur ; au plus 12 heures côté serveur
Cookie qpq_remember Option « Rester connecté », seulement si vous la cochez. Contient un jeton aléatoire dont seule l'empreinte est conservée sur le serveur. 30 jours, renouvelés à l'usage ; supprimé à la déconnexion
Cookie qpq_vue Mémoriser votre choix d'affichage des objets (liste ou grille) sur cet appareil. Ne contient aucune donnée personnelle. 12 mois
Stockage de session du navigateur (sessionStorage) Revenir à la même position dans une liste après avoir ouvert une fiche. S'efface à la fermeture de l'onglet. Durée de l'onglet
Service worker et cache de l'application installable Garder en mémoire les ressources de l'application (feuilles de style, scripts, icônes, polices) et, pour l'utiliser sans réseau, une copie des maisons que vous ouvrez (pages, fiches, photos) ainsi que vos actions faites hors connexion jusqu'à leur envoi. Cette copie reste sur votre appareil, sans y être chiffrée, et n'est lisible que par l'application. Les pages et les photos gardées sont effacées à la déconnexion et lorsqu'un autre compte se connecte sur l'appareil, retirées pour une maison que vous n'ouvrez plus depuis 30 jours, et effacées si l'appareil reste 45 jours sans contact avec le serveur ; une session simplement expirée ne les efface pas. Vos actions pas encore envoyées (textes et photos ajoutées) sont effacées à votre déconnexion. Sinon, elles restent sur l'appareil jusqu'à leur envoi, même si un autre compte l'utilise entre-temps : elles ne lui sont pas montrées, il voit seulement leur nombre, et elles partent quand vous vous reconnectez. Passé 45 jours, elles sont retirées dès qu'un autre compte utilise l'appareil. Déconnectez-vous d'un appareil prêté ou partagé. Renouvelé à chaque nouvelle version

Ces éléments sont strictement nécessaires au service, ou correspondent à un réglage que vous avez demandé : ils ne requièrent pas de consentement préalable, d'où l'absence de bandeau de cookies. Vous pouvez les supprimer à tout moment depuis les réglages de votre navigateur ; vous devrez alors vous reconnecter. Votre thème (clair, sombre, automatique) est enregistré sur votre compte, pas dans le navigateur.

8. Sécurité

  • Connexion chiffrée (HTTPS / TLS) et en-têtes de sécurité (politique de contenu, HSTS, interdiction d'intégrer le site dans un cadre externe).
  • Mots de passe conservés en base uniquement sous forme d'empreinte Argon2id (voir le tableau pour le mot de passe provisoire) ; jetons de lien et de connexion conservés sous forme d'empreinte.
  • Double authentification (code à usage unique) proposée à tous et obligatoire pour l'administrateur, qui doit en outre se ré-authentifier après 30 minutes d'inactivité.
  • Limitation des tentatives de connexion : temporisation de 30 secondes après 5 échecs, puis de 2 minutes après 7, puis blocage de 15 minutes après 10 échecs en 15 minutes (seuils plus larges pour une même adresse IP, souvent partagée par un foyer) ; alerte par e-mail au titulaire du compte au 10e échec.
  • Cloisonnement strict par famille : chaque requête vérifie vos droits sur la famille et la maison concernées.
  • Chiffrement des montants et du secret de double authentification (voir le paragraphe 5) ; fichiers de données hors de l'espace public du serveur ; sauvegarde quotidienne.
  • Fichiers téléversés contrôlés, convertis et rangés sous un nom généré par l'application ; liens d'export réservés au chef de maison qui les a demandés.

Aucune mesure ne garantit un risque nul. Choisissez un mot de passe long et unique, activez la double authentification et déconnectez-vous d'un appareil partagé.

9. Vos droits

Vous disposez des droits suivants sur les données qui vous concernent. Le tableau indique comment les exercer concrètement.

Droit Comment l'exercer
Accès (art. 15) Vos informations sont visibles dans « Profil », vos réponses dans « Mes choix » et vos objets dans « Mes maisons ». Pour obtenir une copie complète, y compris les traces de sécurité (adresses IP, journal d'audit), écrivez à qpq@jp-sartoris.online.
Rectification (art. 16) Vous modifiez vous-même vos prénom, nom, nom affiché et adresse e-mail dans « Profil » (un changement d'adresse est confirmé par un lien envoyé à la nouvelle adresse). Les fiches d'objets se corrigent depuis la fiche.
Effacement (art. 17) Quitter une famille : bouton « Quitter la famille » sur la page de la famille. Supprimer votre compte : écrivez à qpq@jp-sartoris.online depuis l'adresse du compte ; l'administrateur le supprime (voir le paragraphe 11).
Limitation (art. 18) et opposition (art. 21) Écrivez à qpq@jp-sartoris.online en précisant le traitement en cause. Pour les e-mails de récapitulatif, désactivez-les dans « Profil › Notifications » ou par le lien de désinscription présent dans chaque message. Pour l'opposition aux traitements fondés sur l'intérêt légitime, vous devez exposer votre situation particulière.
Portabilité (art. 20) Un chef de maison obtient l'inventaire de la maison au format CSV (lisible par un tableur) et un export complet en ZIP (CSV et photos) depuis « Exports et import ». Ces exports reprennent les objets, les photos et les réponses de la maison, jamais les montants. Pour recevoir uniquement les données de votre compte dans un format structuré, écrivez à qpq@jp-sartoris.online.
Retrait du consentement Le service ne repose pas sur votre consentement, sauf pour les réglages que vous choisissez vous-même (récapitulatif par e-mail, double authentification, réseaux de vente) : vous les retirez à tout moment depuis votre profil.
Directives après décès Vous pouvez définir des directives relatives au sort de vos données après votre décès (loi Informatique et Libertés, art. 85) en écrivant à qpq@jp-sartoris.online.

Nous répondons dans un délai d'un mois (prolongeable de deux mois pour une demande complexe, avec information préalable). L'éditeur peut demander une confirmation d'identité raisonnable, par exemple en écrivant depuis l'adresse du compte. L'exercice des droits est gratuit.

10. Quitter une famille

Vous pouvez quitter une famille à tout moment depuis sa page, sauf si vous êtes le dernier chef d'une de ses maisons (désignez d'abord un autre chef). Vous perdez alors l'accès à la famille, vos rôles de chef sont retirés, vous n'êtes plus acheteur des objets achetés à plusieurs, vos demandes de garde et vos renoncements en attente sont réglés, et vos réponses sur les objets encore à décider sont effacées. Les objets que vous gardez vous restent attribués avec les réponses qui ont mené à l'attribution. Les autres familles dont vous êtes membre ne sont pas concernées. Le texte de l'historique d'un objet peut continuer à citer votre nom (par exemple « a renoncé en faveur de… »).

11. Suppression de votre compte

La suppression est effectuée par l'administrateur à votre demande (voir le paragraphe 9). Elle est immédiate dès traitement de la demande : votre prénom, votre nom, votre adresse e-mail, votre mot de passe, vos secrets de double authentification et vos jetons sont effacés, vos sessions et appartenances aux familles prennent fin et vos rôles de chef sont retirés. Pour préserver la cohérence de l'inventaire familial, ce qui reste est rattaché à un compte désactivé affiché comme « Ancien membre » : les objets que vous avez créés, vos réponses ayant servi à une attribution et l'historique. Ces éléments ne permettent plus de vous identifier, hormis les éventuelles mentions de votre nom dans le texte de l'historique. Les lignes du journal d'audit et les copies de la base disparaissent aux échéances indiquées dans le tableau (12 mois et 30 jours).

12. Mineurs

Le service est destiné à des personnes majeures. L'application n'effectue aucun contrôle d'âge : l'accès repose sur une invitation émise par un adulte de la famille, qui en est responsable. Si le compte d'un mineur a été créé sans l'accord de ses représentants légaux, ceux-ci peuvent demander sa suppression en écrivant à qpq@jp-sartoris.online. Les droits décrits au paragraphe 9 s'exercent de la même façon pour les personnes qui figurent sur une photo ou dans un texte sans avoir de compte.

13. Violation de données

En cas de violation de données personnelles (accès non autorisé, perte, divulgation), l'éditeur isole l'incident, en analyse l'étendue à l'aide du journal d'audit, révoque au besoin les sessions et les liens concernés, et en informe la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes. Si ce risque est élevé, les personnes concernées sont informées directement, par e-mail, de la nature de l'incident, de ses conséquences probables et des mesures prises ou recommandées.

14. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle française :

  • Commission nationale de l'informatique et des libertés (CNIL)
  • Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
  • Téléphone : 01 53 73 22 22
  • Site web : www.cnil.fr (réclamation en ligne)

15. Modification de cette politique

Cette politique peut évoluer, par exemple lorsqu'une fonction est ajoutée ou qu'une durée change. La date de dernière mise à jour figure en tête de page. En cas de changement important (nouvelle finalité, nouveau destinataire, nouveau sous-traitant), les utilisateurs en sont informés par e-mail ou par un message dans l'application avant qu'il ne s'applique.

Voir aussi les mentions légales et les conditions d'utilisation.