Politique de confidentialité

Date d'entrée en vigueur : 4 septembre 2026

Dernière révision : 20 octobre 2026 — Le stockage clé-valeur de votre compte iCloud porte aussi, pour chaque installation, son identifiant tiré au hasard et une borne d'horloge technique du journal, abonné ou non ; la sauvegarde les porte aussi (§0, §4, §4.1, §4.3, §4.4, §11, §15).

0En résumé#

BrickBack n'a ni compte utilisateur, ni inscription, ni mot de passe, ni adresse e-mail demandée. Elle ne contient aucun outil de mesure d'audience, aucun traceur publicitaire, aucun kit de développement de profilage. Votre collection reste sur votre appareil. Le site getbrickback.app, lui, mesure sa fréquentation de façon agrégée et sans cookie (§2.1).

Huit choses, néanmoins, peuvent quitter votre appareil. Elles sont détaillées plus bas et il faut les avoir lues :

BrickBack ne vend aucune donnée, n'en loue aucune, et n'en tire aucun revenu publicitaire. Les liens vers les boutiques sont des liens rémunérés : une boutique peut nous verser une commission sur un achat fait par ce lien, sans qu'aucune donnée vous concernant ne lui soit transmise par l'application (§9).

1Qui est responsable du traitement#

L'éditeur de BrickBack est une personne physique.

2À quoi sert cette politique#

Elle décrit les données que BrickBack traite, celles qui quittent votre appareil, qui les reçoit, combien de temps elles sont conservées, et les droits dont vous disposez.

Elle s'applique à l'application iOS BrickBack, au relais technique qu'elle utilise, au serveur des prix et des alertes (§6.4) et au site getbrickback.app (§2.1). Elle ne s'applique pas aux sites tiers vers lesquels l'application peut vous rediriger (boutiques, catalogues) : une fois sur ces sites, ce sont leurs propres politiques qui s'appliquent (§9).

2.1Le site getbrickback.app — mesure d'audience#

Le site getbrickback.app mesure sa fréquentation avec Cloudflare Web Analytics, un service de Cloudflare, Inc. La mesure est agrégée : elle ne dépose aucun cookie, n'attribue aucun identifiant persistant, ne calcule aucune empreinte de votre navigateur, et ses données ne sont ni revendues ni utilisées à des fins publicitaires.

Les données mesurées sont la page visitée, la page ou le site de provenance, le pays, le type d'appareil et de navigateur, et les performances de chargement de la page. Les paramètres d'adresse, ce qui suit un « ? », ne sont pas enregistrés.

Base légale : notre intérêt légitime à connaître la fréquentation du site et à en mesurer les performances (art. 6.1.f du RGPD). Cloudflare conserve les mesures détaillées sept jours, puis sous forme agrégée ; les statistiques restent consultables six mois.

Cette mesure ne concerne que le site. L'application ne contient aucun outil de mesure d'audience (§14).

3Le principe : aucun compte, aucun profil#

BrickBack ne vous demande jamais de créer un compte. Il n'y a ni inscription, ni connexion, ni mot de passe, ni adresse e-mail collectée, ni connexion via un réseau social. Aucun écran, aucun service et aucun appel réseau d'authentification utilisateur n'existe dans l'application.

Conséquence directe : nous ne pouvons pas vous identifier nominativement. Nous ne savons pas qui vous êtes, et nous ne pouvons pas relier votre usage de l'application à votre identité civile. Cela ne veut pas dire qu'aucune donnée à caractère personnel n'est traitée — l'adresse IP décrite au §6 en est une au sens du RGPD. Cela veut dire que le traitement est pseudonyme, et que l'exercice de vos droits repose sur des modalités particulières décrites au §12.

Les alertes de prix ne changent pas cela. Si vous les activez, votre inscription sur notre serveur porte un identifiant tiré au hasard par l'application et le jeton de notification de l'appareil (§6.4) : ni nom, ni adresse e-mail, ni identifiant Apple.

La synchronisation iCloud ne change pas cela. Elle s'adresse au compte Apple déjà ouvert sur l'appareil : l'application ne vous demande jamais votre identifiant Apple, ne le lit pas et ne le conserve pas. Elle dépose la donnée dans un espace dont Apple garde la clé et nous laisse dehors (§4.2).

4Ce qui reste sur votre appareil#

L'essentiel de ce que vous produisez dans BrickBack ne quitte jamais l'iPhone.

⚠️ Ce qui ne figure pas dans ce tableau : le scan lui-même. L'application ne tient aucun historique de scans. Ni ligne en base, ni copie de la photo sur le disque : la pièce identifiée s'affiche, et vous la cochez pour un set, la mettez avec vos pièces en vrac ou n'en faites rien. Ce qui est écrit, c'est le geste que vous faites — une coche ou une mise en vrac, daté, dans le journal du §4.4 —, jamais une mémoire de vos lectures : ni photo, ni indice de confiance, ni trace d'un scan resté sans suite. Le journal ne distingue d'ailleurs pas un rangement fait depuis le scanner d'un rangement saisi à la main. Voir §11.

Ces données sont protégées par le chiffrement du système d'exploitation d'Apple, au niveau de protection par défaut des fichiers de l'application.

Désinstaller l'application efface de l'appareil l'intégralité de ces données, à une exception près : la copie de l'identifiant d'installation rangée dans le Trousseau, qu'iOS peut conserver après la désinstallation, et que la réinstallation suivante remplace (§4.4). Ces données ne sont copiées sur aucun serveur nous appartenant, à une exception près, que vous seul déclenchez : si vous activez les alertes de prix, les numéros des sets de votre liste de souhaits qui portent un prix, et ces prix, sont envoyés à notre serveur des prix et des alertes (§6.4).

Trois copies peuvent néanmoins leur survivre, et aucune des trois ne relève de nous :

• La sauvegarde de votre appareil, si vous l'avez activée dans iOS. Elle emporte la base de l'application comme celle de n'importe quelle autre. Elle concerne tout le monde, abonné ou non, elle est réalisée par Apple, selon la politique d'Apple, et nous n'y avons aucun accès.
• Votre base iCloud privée, si vous êtes abonné à l'offre Pro : la synchronisation du §4.2 y a déposé vos sets, leur progression, vos pièces en vrac, le journal de vos gestes, votre liste de souhaits et l'organisation de votre collection. Désinstaller l'application ne l'efface pas ; le §4.2 dit comment le faire.
• Le stockage clé-valeur de votre compte iCloud, où vit la liste des numéros de sets déjà comptés par la limite de la version gratuite (§4.3). Il concerne tout le monde, abonné ou non, et c'est précisément son objet : la désinstallation ne doit pas remettre la limite à zéro. Il porte aussi, pour chaque installation, son identifiant et sa borne d'horloge (§4.3). Il ne contient que des numéros de set, des identifiants d'installation et leurs bornes.

⚠️ Ce sont trois mécanismes distincts, souvent confondus parce qu'ils portent le même nom commercial. Les §4.2 et §4.3 les séparent.

4.1« Sauvegarder mes données » — sauvegarde et portabilité#

Depuis Collection → ⚙ → Réglages → Importer et exporter → « Sauvegarder mes données », l'application crée une sauvegarde complète dans un fichier lisible (format JSON documenté). « Restaurer une sauvegarde » permet de la réimporter, notamment sur un autre appareil. Ces fonctions sont gratuites et ne demandent aucun compte ; la restauration respecte le décompte des sets de la version gratuite (§4.3). C'est le moyen concret d'exercer votre droit à la portabilité (§12.1). Cette sauvegarde manuelle s'ajoute à la sauvegarde de votre appareil, si vous l'avez activée dans iOS, que vous soyez abonné ou non (§4). La synchronisation iCloud Pro (§4.2) est un mécanisme distinct : elle ne remplace aucune de ces sauvegardes.

Le fichier porte vos sets avec leur contenu et votre progression, votre ancienne liste d'achat, vos pièces en vrac et vos sets démontés, votre liste de souhaits et l'organisation de votre collection (notes, état « Monté », étiquettes, marques « Acheté neuf » et « Importé »), le journal de vos gestes (ou, s'il a été condensé, le résumé qui le remplace et les gestes qui le suivent, §4.4) et la liste des pièces déjà comptées par la limite gratuite des pièces en vrac. Le journal y figure avec l'identifiant d'installation que porte chacun de vos gestes (§4.4). Le fichier porte aussi l'identifiant de cette installation, sa borne d'horloge, et les bornes des autres installations qu'elle connaît (§4.3). Il ne porte pas la liste des sets du §4.3, qui vit dans iCloud. Il est créé à votre demande, et vous seul décidez où il va. Les lignes d'une ancienne liste d'achat contenues dans une sauvegarde restent accessibles après restauration. « Pièces à acheter » se recalcule à partir des données restaurées ; elle n'est pas une liste à modifier directement.

4.2La synchronisation iCloud — offre Pro#

L'application peut faire suivre vos sets, leur progression, vos pièces en vrac, votre liste de souhaits et l'organisation de votre collection d'un de vos appareils à l'autre. Elle est réservée à l'offre Pro : sur un compte gratuit, la porte se referme avant qu'aucun objet iCloud ne soit créé, et aucune requête n'est formée. Le journal de vos gestes s'écrit sur l'appareil dans tous les cas (§4.4) ; c'est son envoi qui est réservé au Pro. En passant à l'offre Pro, vous faites donc partir le journal entier, depuis le premier geste qu'il contient.

Ce qui voyage, et rien d'autre :

Où cela va. Dans votre propre base iCloud privée — le conteneur iCloud.app.brickback.ios, sous votre compte Apple. C'est le point qui décide de tout le reste : une base privée n'est pas accessible à l'éditeur. Nous ne pouvons ni la lire, ni la copier, ni la parcourir, et nous n'avons aucun serveur qui la reçoive. Apple en assure le transport et le stockage, sous sa propre politique de confidentialité, et devient à ce titre destinataire (§13).

Quand elle a lieu. Au lancement de l'application, à la demande depuis l'écran Réglages, et lorsque le système constate de lui-même des changements. Il n'y a pas d'interrupteur dans l'application : la souscription à l'offre Pro suffit à l'ouvrir.

Si vous changez de compte iCloud sur l'appareil, l'application republie l'ensemble de votre journal, et son résumé s'il existe, dans la base privée du nouveau compte : c'est ce qui permet à ce compte de retrouver vos pièces en vrac et votre progression entières.

Un cas rare, dit d'avance. Si deux appareils abonnés ont chacun condensé leur journal (§4.4) sous des comptes iCloud différents, puis se retrouvent sur le même compte, leurs deux résumés ne peuvent pas être fusionnés sans risquer de compter deux fois une pièce. C'est alors celui d'iCloud qui l'emporte, et ce que seul l'appareil connaissait est perdu. L'application vous le dit, et vous propose d'exporter une sauvegarde (§4.1) avant d'appliquer quoi que ce soit.

Comment l'arrêter. Trois moyens, tous hors de l'application :

• Les réglages d'iOS, à la rubrique iCloud de votre compte Apple : vous pouvez y empêcher BrickBack d'utiliser iCloud et y supprimer les données qu'elle y a déposées. Ce contrôle appartient au système, et c'est le seul qui efface la copie distante.
• Vous déconnecter d'iCloud sur l'appareil : la synchronisation s'arrête immédiatement.
• Laisser expirer l'abonnement : au lancement suivant, la porte se referme et plus rien ne part.

Dans les trois cas, rien n'est effacé de votre appareil. La synchronisation ne supprime jamais localement ce qu'elle n'a pas vu disparaître du serveur.

⚠️ À ne pas confondre avec la sauvegarde iCloud de votre appareil. Ce sont deux mécanismes distincts, et seul le nom leur est commun. La sauvegarde d'appareil est un réglage d'iOS ; elle concerne tout le monde, abonné ou non, elle emporte la base de l'application comme celle de n'importe quelle autre, et nous n'y avons aucun accès (fin du §4). La synchronisation décrite ici est propre à BrickBack, réservée à l'offre Pro, et ne porte que ce que le tableau ci-dessus énumère.

Votre sauvegarde de référence reste l'export du §4.1.

4.3Le compteur de la version gratuite et la borne du journal — abonné ou non#

La version gratuite suit deux sets au total, et ils se comptent une fois pour toutes : retirer un set de votre collection ne libère pas sa place. Pour que cette limite ne reparte pas de zéro à la première réinstallation, l'application garde la liste des numéros de set déjà comptés dans le stockage clé-valeur de votre compte iCloud.

Ce que le compteur y écrit, et rien d'autre : une liste de numéros de set — 10276-1, 75192-1 — bornée à 5 000 entrées. Ni votre progression, ni le contenu de vos sets, ni vos pièces à acheter, ni votre ancienne liste d'achat, ni aucune photo, ni la moindre donnée qui vous identifie.

La borne du journal. Le même stockage porte une seconde entrée. Pour chaque installation de BrickBack sur votre compte, elle associe deux valeurs :

• son identifiant d'installation, tiré au hasard (§4.4) ;
• une borne d'horloge technique : un nombre tiré de l'horloge du journal. Il correspond à l'heure, à la milliseconde, du dernier geste que cette installation connaissait avant sa mise à jour. Il vaut zéro sur une installation neuve.

Elle sert à une seule chose : savoir, d'un appareil à l'autre du même compte, quels gestes du journal précèdent la mise à jour de l'application. Un geste d'avant n'est ainsi jamais lu comme une pioche dans vos pièces en vrac. Elle ne contient ni geste, ni pièce, ni set, ni photo, ni nom d'appareil.

Elle est écrite abonné ou non. L'application la publie au lancement, au retour au premier plan, et quand iCloud signale un changement. Elle n'écrit que si le stockage ne porte pas déjà les mêmes valeurs. Une borne ne remonte jamais. L'application n'en retire aucune entrée : l'identifiant d'une installation désinstallée, réinstallée ou restaurée y reste, avec sa borne.

⚠️ Ce n'est pas la synchronisation du §4.2. Les deux mécanismes portent le nom d'iCloud et n'ont rien d'autre en commun :

Où cela va. Dans votre propre espace iCloud, sous votre compte Apple. Comme au §4.2, nous n'y avons aucun accès : nous ne pouvons ni le lire, ni le copier, ni le parcourir, et aucun serveur nous appartenant ne le reçoit. Apple en assure le transport et le stockage, sous sa propre politique de confidentialité, et devient à ce titre destinataire (§13).

Si vous n'avez pas de compte iCloud, ou si vous l'avez désactivé, l'application fonctionne à l'identique : le compteur et la borne restent alors sur l'appareil seul, et rien ne part.

Comment l'effacer. Depuis les réglages d'iOS, à la rubrique iCloud de votre compte Apple, en supprimant les données que BrickBack y a déposées — le même contrôle qu'au §4.2. Ce contrôle appartient au système, et c'est le seul qui efface la copie distante.

Les pièces en vrac ont leur propre limite gratuite (§4.4), et sa liste ne passe pas par ce stockage : elle reste sur l'appareil.

4.4Vos pièces en vrac et le journal de vos gestes#

Vos pièces en vrac. Les pièces que vous mettez dans « Mes pièces en vrac » sont enregistrées dans la base locale, et rien d'autre : pour chaque pièce et chaque couleur, la quantité. Ni photo, ni emplacement, ni position. Les sets que vos pièces pourraient former se calculent sur votre appareil, à partir du catalogue local : aucune requête ne part pour les obtenir.

Le journal de vos gestes. Pour que deux appareils comptent toujours les mêmes pièces, chaque geste qui touche vos pièces en vrac ou la progression d'un set est écrit dans un journal, une fois pour toutes : mettre en vrac, corriger une pièce ou une couleur, retirer, tout retirer, piocher dans vos pièces en vrac, cocher ou décocher, démonter un set, le remettre à zéro, le supprimer — avec ou sans transférer ses pièces en vrac —, annuler. Un geste du journal contient exactement :

• un identifiant tiré au hasard ;
• sa date et son heure, à la milliseconde, et un compteur qui les départage ;
• sa nature (ranger, prendre, démonter…) ;
• s'il vise un set : son numéro, et la date à laquelle vous avez commencé à le suivre ;
• pour une annulation, l'identifiant du geste annulé ; pour un démontage, son mode (pièces en vrac, ou gardées dans sa boîte) ; pour une mise en vrac, la marque « compté par la limite gratuite » ;
• pour chaque pièce touchée : son numéro, sa couleur, la quantité, et si elle concerne vos pièces en vrac ou un set ;
• l'identifiant d'installation qui l'a écrit, et son numéro d'ordre dans cette installation.

Rien d'autre : ni photo, ni position, ni nom d'appareil, ni compte. Sur l'appareil seulement, l'application note en plus quand elle a reçu chaque geste, et d'où il vient (fait sur cet appareil, reçu d'iCloud, importé d'une sauvegarde). La première ouverture de la version qui introduit le journal y reporte votre progression et vos dates de complétion existantes, sans identifiant d'installation.

⚠️ Le journal ne se réécrit pas. Retirer toutes vos pièces en vrac, retirer un set ou annuler une coche ajoute un geste ; les gestes précédents restent. C'est ce qui garantit qu'une pièce n'est jamais comptée deux fois d'un appareil à l'autre, et c'est aussi ce qu'il faut savoir : la liste datée de vos gestes reste sur l'appareil après que les pièces ont quitté l'écran, et dans votre base iCloud privée si vous êtes abonné à l'offre Pro.

Le résumé, et les gestes qui partent. Sur un compte Pro dont la synchronisation fonctionne, quand le journal compte au moins 5 000 gestes vieux de plus de trente jours, l'application les condense — au plus une fois par jour — en un résumé : l'état de vos pièces en vrac, de votre progression et de vos sets à cette date. Une fois que votre base iCloud privée détient ce résumé, les gestes qu'il couvre sont retirés de l'appareil, et les pages d'iCloud qui ne contenaient plus que de tels gestes sont supprimées. Un compte gratuit ne condense jamais : son journal reste entier sur l'appareil.

L'identifiant d'installation. C'est un nombre tiré au hasard au premier lancement de la version qui introduit le journal. Il ne dérive ni de votre appareil, ni de votre compte, ni de vous : il sert seulement à nommer les pages du journal, à numéroter vos gestes, et à rattacher sa borne d'horloge à son installation (§4.3). Il est rangé à trois endroits — le Trousseau de l'appareil, réservé à cet appareil et jamais synchronisé ; un fichier que l'application exclut des sauvegardes ; la base locale. Dès que ces trois copies ne concordent plus — réinstallation, restauration d'une sauvegarde, nouvel appareil —, un nouvel identifiant est tiré, et l'ancien n'écrit plus aucun geste. Il accompagne chacun de vos gestes là où le journal va : dans votre base iCloud privée si vous êtes abonné, et dans le fichier d'export du §4.1. Abonné ou non, il est aussi écrit dans le stockage clé-valeur de votre compte iCloud, avec sa borne (§4.3). L'ancien identifiant y reste après son remplacement. Il ne part vers aucun autre destinataire, et en particulier pas vers notre relais (§6.2).

La limite gratuite des pièces en vrac. La version gratuite garde 30 pièces différentes, comptées une fois pour toutes, comme les sets du §4.3. La liste des pièces déjà comptées — numéro de pièce, couleur, date où elle a été comptée — vit dans la base locale seulement : elle ne part pas dans le stockage clé-valeur d'iCloud. Elle figure dans l'export du §4.1. Un rangement fait en version gratuite porte la marque « compté » ; si vous passez ensuite à l'offre Pro, cette marque voyage avec lui, et la liste se reconstitue ainsi sur un autre appareil.

Démonter, remettre à zéro, supprimer. Ces trois gestes n'écrivent rien d'autre qu'une entrée du journal — avec les pièces transférées en vrac s'il y en a — et l'état que l'application en déduit : set démonté, date de complétion effacée, set retiré.

5Les photos de scan — à lire attentivement#

5.1Il n'y a aucune reconnaissance sur l'appareil#

Toute identification de pièce se fait en ligne. L'application ne contient aucun modèle d'intelligence artificielle embarqué : aucun fichier de modèle n'est livré, et aucune bibliothèque de reconnaissance locale n'est utilisée. Sans connexion Internet, le scan ne fonctionne pas.

Toute formulation contraire — une identification qui se ferait sur votre appareil, une intelligence artificielle qui serait contenue dans l'application, « rien ne quitte votre téléphone » — serait fausse. Aucune n'a sa place dans ce document, ni dans aucune de nos pages publiques.

5.2Où va la photo#

Quand vous photographiez une pièce, l'image est compressée au format JPEG puis envoyée directement, depuis votre appareil, à l'API du service Brickognize (api.brickognize.com). Elle ne transite pas par notre relais technique.

Ce qui est transmis : l'image elle-même. Aucun identifiant de compte, aucun identifiant d'appareil et aucun nom de fichier personnel ne l'accompagne ; le fichier est envoyé sous un nom générique. L'adresse IP de votre appareil est, par nature, visible du destinataire.

⚠️ Une photo contient plus que son sujet. Si l'arrière-plan de votre prise de vue laisse voir un intérieur, un visage, un document ou un écran, cela part avec l'image. Cadrez la pièce.

5.3Ce que Brickognize se réserve le droit de faire de votre photo#

C'est le point que cette politique a le devoir de vous dire en clair.

Les conditions d'utilisation publiées par Brickognize — https://brickognize.com/terms-of-service/, lues le 26 août 2026 — prévoient que tout contenu transmis au service lui confère une licence mondiale, non exclusive, gratuite, cessible, sous-licenciable, irrévocable et perpétuelle d'utiliser, stocker, reproduire, modifier, distribuer, publier, transformer en œuvres dérivées, entraîner des modèles d'apprentissage automatique, ou exploiter de toute autre manière ce contenu.

En français simple, et sans l'adoucir :

• Votre photo peut être conservée sans limite de durée par ce tiers.
• Elle peut servir à entraîner ses modèles.
• Cette licence est irrévocable : une fois la photo envoyée, ni vous ni nous ne pouvons en obtenir le retrait de plein droit auprès de ce fournisseur.
• Nous n'avons aucun contrat avec ce fournisseur, aucun accord de sous-traitance, aucun engagement de niveau de service et aucun pouvoir d'instruction sur lui. Le service est gratuit, fourni « en l'état ». Ses conditions désignent le droit polonais.

Autrement dit, pour cette fonction précise, Brickognize n'agit pas comme notre sous-traitant : il traite votre photo pour ses propres finalités, en tant que responsable distinct. Nous ne pouvons pas vous promettre que votre photo reste chez vous, et nous ne vous le promettons pas.

5.4Ce que nous en tirons, et ce que vous pouvez faire#

De Brickognize, nous recevons le résultat de l'identification — numéro de pièce candidat, nom de la pièce, teintes proposées, indice de confiance — et l'adresse d'une image de référence. Nous ne recevons pas votre photo en retour, nous ne la stockons sur aucun serveur, et nous ne l'utilisons pour aucun entraînement.

⚠️ Cette adresse d'image fait partir une seconde requête, vers un hôte de plus. Pour vous montrer la pièce que la lecture a reconnue, l'application va chercher cette image sur le stockage d'images du fournisseur — storage.googleapis.com, opéré par Google. C'est une destination distincte de l'API de reconnaissance, elle voit l'adresse IP de votre appareil, et la référence de la pièce et sa teinte sont écrites dans l'adresse demandée : ce que vous venez de scanner s'y lit. Aucune image de vous n'y est envoyée — cette requête ne fait que demander une photo de catalogue. Le détail est au §7.

Ce que vous pouvez faire, concrètement :

• Ne pas scanner : toutes les autres fonctions de l'application (suivi de sets, listes de pièces manquantes, recherche au catalogue) fonctionnent sans envoyer aucune image.
• Cadrer serré, sur fond neutre.
• Consulter les conditions du fournisseur — https://brickognize.com/terms-of-service/ — avant votre premier scan.
• Refuser l'envoi au moment où l'application vous le demande, ou revenir sur votre accord plus tard dans les réglages (§5.5).

5.5Base légale#

L'envoi de l'image est nécessaire à l'exécution de la fonction que vous demandez (art. 6.1.b du RGPD). La réutilisation par le fournisseur à ses propres fins — notamment l'entraînement de modèles — dépasse cette exécution.

C'est pourquoi l'application vous le demande avant, et pas après. Avant votre toute première photo, un écran vous expose qui reçoit l'image, pourquoi, et ce que ce tiers se réserve d'en faire. Aucune image ne part tant que vous n'avez pas donné votre accord. Le refus est un chemin normal : le suivi de sets, la saisie manuelle, la liste des pièces manquantes et le catalogue continuent de fonctionner. Vous pouvez revenir sur votre accord à tout moment dans les réglages de l'application, avec effet immédiat ; si le texte de cette information change, il vous est présenté à nouveau.

6Le relais technique#

6.1Pourquoi un relais existe#

Le catalogue de briques que l'application consulte est constitué en amont, signé, puis publié sur un relais que nous exploitons, hébergé sur l'infrastructure Cloudflare Workers, auquel l'application s'adresse pour le télécharger. Aucune clé d'accès à une base de données tierce n'est ainsi placée dans l'application.

Ce relais est un serveur exploité pour le compte de BrickBack. Il ne sert que le catalogue : les prix et les alertes passent par un serveur distinct, décrit au §6.4.

6.2Ce que le relais reçoit#

Le relais du catalogue ne reçoit aucun identifiant d'appareil. Une version précédente de l'application en fabriquait un — un nombre aléatoire conservé d'un lancement à l'autre — et le joignait à chaque requête. Le relais ne l'a jamais lu, et il ne servait donc à rien. Il a été supprimé : l'application n'en fabrique plus, et celui qui aurait été conservé sur votre appareil est effacé au premier démarrage de la version qui porte ce changement.

Ce que l'adresse IP sert à faire. Uniquement à compter les requêtes, afin d'empêcher qu'un seul appelant épuise un service dont la capacité est partagée par tous. Les plafonds en vigueur sont de 120 requêtes par minute pour le contrôle de disponibilité, 60 pour le manifeste du catalogue et 10 pour le téléchargement du catalogue. Ce comptage n'alimente aucun profil, aucune statistique d'usage et aucune mesure d'audience.

Base légale : intérêt légitime (art. 6.1.f), à savoir la sécurité et la disponibilité du service. Cet intérêt est proportionné : l'adresse n'est jamais recoupée avec une identité, ne sert qu'à un compteur, et le compteur lui-même n'est pas conservé au-delà de sa fenêtre.

Ce que le relais ne reçoit pas. Vos sets, leur progression, vos pièces à acheter, votre ancienne liste d'achat et vos photos de pièces ne transitent jamais par lui. Le catalogue est téléchargé en entier, puis consulté sur votre appareil : le relais ne voit donc pas ce que vous y cherchez.

6.3Journalisation#

Le code du relais ne tient aucun journal de navigation : une requête servie normalement n'y laisse aucune trace. Les journaux de la plateforme d'hébergement, eux, existent et relèvent de son paramétrage.

L'hébergeur du relais est Cloudflare, Inc., 101 Townsend Street, San Francisco, Californie 94107, États-Unis — téléphone +1 888 993 5273. Le relais s'exécute sur son service Workers ; le catalogue servi est stocké sur son service R2 et les compteurs de débit sur son service Durable Objects.

Ce que le code du relais écrit. Une seule ligne, et uniquement lorsqu'une requête est refusée : elle porte le code de statut, le motif du refus et le nom de la route appelée. Votre adresse IP n'y figure pas — cette omission est délibérée. Une requête servie normalement n'écrit aucune ligne.

Ce que le relais fait de votre adresse IP. Il la lit pour répartir les requêtes en compteurs de débit, à raison d'un compteur par adresse et par route. Ce compteur ne retient qu'un nombre de requêtes et l'heure de début de la fenêtre en cours ; il est effacé automatiquement à la fin de chaque fenêtre d'une minute. Aucun historique n'en est tiré, et l'adresse n'est recoupée avec rien.

Les journaux de la plateforme d'hébergement ne dépendent pas de ce code mais du paramétrage de Cloudflare. Le relais est exploité sur l'offre gratuite de ce fournisseur, qui plafonne leur conservation à 3 jours. La plateforme peut y consigner d'elle-même les métadonnées d'une requête — horodatage, route appelée, code de réponse, adresse IP — sans que la configuration versionnée du relais le demande. Y ont accès Cloudflare et le titulaire du compte, c'est-à-dire l'éditeur.

6.4Le serveur des prix et des alertes#

Ce qu'il fait. Un second serveur, distinct du relais du catalogue, sert la comparaison des prix et les alertes de prix de l'offre Pro, en France et en Allemagne seulement. Il est exploité pour le compte de BrickBack sur l'infrastructure de Cloudflare (Workers, avec une base de données D1 et un stockage R2). Chaque nuit, il relève les prix des sets neufs chez les boutiques comparées ; chaque jour, il publie un fichier des sets moins chers en ce moment par pays ; si vous avez activé les alertes, il compare chaque matin ces prix à vos prix souhaités et demande à Apple de vous envoyer une notification.

Ce qui part de l'appareil pour les prix et les alertes, et ce qui n'en part jamais :

Le relevé des prix ne porte aucune donnée d'utilisateur. Le serveur interroge l'interface d'Affilizz avec la liste des sets comparés et le pays, rien d'autre ; il garde 35 jours d'historique des prix relevés, pour établir le prix le plus bas des 30 derniers jours.

Ce que le serveur garde d'une inscription. L'identifiant d'inscription ; l'empreinte du secret (le secret lui-même n'est jamais conservé) ; le dernier numéro de révision ; le jeton de notification et son environnement ; le pays ; l'échéance de l'offre Pro et son renouvellement automatique ; les dates de création, de dernière confirmation et de dernière notification ; et, pour chaque set en alerte active, son numéro, votre prix souhaité, sa devise et son état (passé sous votre prix souhaité depuis telle date, prévenu tel jour).

Combien de temps (le détail figure au §11) :

• Désactiver les alertes efface l'inscription et tous ses sets en alerte active. Il en va de même quand l'offre Pro prend fin, quand le pays de l'appareil n'est plus servi, et quand Apple signale que le jeton n'est plus valable. L'application demande l'effacement au serveur sur-le-champ ; hors connexion, ou si le serveur ne répond pas, la demande reste sur l'appareil et repart au retour du réseau ou à la prochaine ouverture de l'application. Une demande qui ne peut plus partir (l'application supprimée entre-temps, par exemple) n'empêche pas l'effacement : l'inscription disparaît au terme des 60 jours sans reconfirmation.
• L'application reconfirme l'inscription chaque semaine. Une inscription qui n'a pas été reconfirmée depuis 60 jours est effacée ; une notification envoyée ne prolonge rien.
• Les envois s'arrêtent 3 jours après l'échéance de l'offre Pro connue du serveur. Quand l'application a indiqué que votre abonnement se renouvelle automatiquement, un renouvellement pouvant avoir lieu sans que vous ouvriez l'application, les envois continuent jusqu'à 31 jours après cette échéance, plus les mêmes 3 jours — toujours dans la limite des 60 jours sans reconfirmation.
• Après un effacement, le serveur garde seulement l'identifiant effacé et sa date, 60 jours, pour refuser qu'il soit réutilisé.

Preuves des comparaisons. Pour pouvoir justifier chaque prix et chaque comparaison qu'il a publiés, le serveur archive les offres relevées, avec le motif de celles qui ont été écartées, et les fichiers publiés. Cette archive ne contient aucune donnée personnelle ; elle est gardée 6 ans.

Journaux. Le code du serveur écrit une ligne par requête refusée et par étape de son travail quotidien, sans adresse IP, sans jeton, sans numéro de set, sans identifiant d'inscription et sans clé. Il lit votre adresse IP pour limiter le nombre de requêtes par minute, dans un compteur tenu en mémoire et jamais écrit. Les journaux de la plateforme d'hébergement relèvent du paramétrage de Cloudflare, comme au §6.3.

Base légale.

• Les alertes de prix reposent sur votre consentement (art. 6.1.a du RGPD), donné sur l'écran qui les active, puis par l'autorisation des notifications d'iOS. Vous le retirez à tout moment en désactivant les alertes, ce qui efface votre inscription ; refuser ou retirer l'autorisation des notifications a le même effet.
• La comparaison des prix et les fichiers du jour relèvent de l'exécution du service que vous demandez en ouvrant le tableau d'un set (art. 6.1.b).
• La limitation du nombre de requêtes et l'archive des preuves relèvent de notre intérêt légitime (art. 6.1.f) : la disponibilité du service, et la justification des prix et des comparaisons publiés.

7Le catalogue de briques et les visuels#

BrickBack a besoin de données de référence : noms de sets, listes de pièces, couleurs, visuels. Ce paragraphe énumère tous les hôtes que l'application contacte pour les obtenir.

Ces requêtes décrivent ce que vous cherchez, pas qui vous êtes. Aucune n'emporte d'identifiant de compte.

Base légale : exécution du service demandé (art. 6.1.b).

8Abonnements#

Si vous souscrivez un abonnement, deux tiers interviennent.

Apple encaisse le paiement via l'App Store et gère le renouvellement, la résiliation et les remboursements. Aucun moyen de paiement, aucun numéro de carte et aucune coordonnée bancaire ne transite par BrickBack ni ne nous est communiqué. Nous ne recevons d'Apple que des données agrégées et anonymes de ventes.

RevenueCat est le prestataire qui vérifie la validité de votre achat et détermine si l'accès aux fonctions payantes doit être ouvert. Il traite pour notre compte un identifiant d'utilisateur anonyme, la plateforme, et l'historique technique des transactions (produit acheté, dates de début et de renouvellement, statut). Il agit en qualité de sous-traitant au sens du RGPD.

Le dernier statut d'abonnement connu est mis en cache localement sur votre appareil pour que l'application reste utilisable hors connexion.

Base légale : exécution du contrat d'abonnement (art. 6.1.b).

9Liens vers des sites marchands#

BrickBack peut vous proposer d'ouvrir une page extérieure pour vous procurer une pièce ou un set — boutique du fabricant, place de marché, catalogue spécialisé, boutique en ligne —, ou pour consulter les instructions de montage d'un set chez le fabricant.

Deux sortes de liens coexistent.

• Les liens par pièce et les instructions de montage sont des adresses nues vers le site du fabricant, sans paramètre de suivi et sans identifiant de partenaire : aucune commission ne nous est reversée.
• Les offres de sets neufs — le tableau des boutiques d'un set et les sets moins chers en ce moment, réservés à l'offre Pro en France et en Allemagne — sont des liens rémunérés. Ils passent par redirect.affilizz.com, l'adresse de redirection d'Affilizz, le réseau d'affiliation qui fournit ces offres, avant d'atteindre la boutique. Affilizz enregistre le passage par le lien, et une boutique peut nous verser une commission sur un achat fait par ce lien. La commission ne change ni l'ordre des offres — le tableau d'un set les trie par prix, les sets moins chers en ce moment par l'écart relatif que relève leur comparaison, le plus grand d'abord —, ni le prix que vous payez. L'application ouvre le lien tel qu'Affilizz l'a rendu, après en avoir contrôlé l'hôte : elle n'y ajoute aucun paramètre, aucun identifiant de vous ni de votre appareil.

Ce que cela implique pour vos données :

• Le lien s'ouvre dans le navigateur du système, hors de l'application. Nous ne voyons ni la page atteinte, ni ce que vous y faites.
• Pour un lien rémunéré, Affilizz et la boutique peuvent déposer leurs propres traceurs dans votre navigateur, de leur propre fait et selon leurs propres politiques : c'est ce qui permet d'attribuer un achat au lien. Nous ne recevons aucune information nominative sur votre achat ; un réseau d'affiliation ne nous communique, au mieux, que des montants de commission.
• Dès que vous quittez l'application, ce sont les conditions et la politique de confidentialité d'Affilizz et du marchand qui s'appliquent, pas les nôtres.

Avant de toucher un lien, l'affichage du tableau d'un set demande les offres à Affilizz : le §6.4 dit exactement ce qui part alors, et ce qui ne part jamais.

10Autorisations demandées par l'application#

⚠️ Ce sont les deux seules autorisations que l'application demande.

BrickBack ne demande pas l'accès à votre photothèque, à votre position, à vos contacts, à votre microphone, à votre calendrier, à vos données de santé, ni au suivi publicitaire entre applications.

11Durées de conservation#

Il n'y a pas de durée à annoncer pour vos scans, parce qu'il n'en reste rien d'autre que ce que vous en avez fait : une pièce cochée pour un set, ou mise avec vos pièces en vrac. L'application écrivait autrefois deux choses à chaque lecture : une ligne en base — numéro de pièce, couleur, indice de confiance, date — conservée 90 jours, et une copie de la photo dans son répertoire temporaire, conservée 7 jours. Ni l'une ni l'autre n'était jamais relue : aucun écran ne les affichait, les sets qui attendent une pièce se calculent depuis votre inventaire et votre progression, et l'export de vos données ne les restituait pas.

Elles ne sont donc plus écrites du tout. C'est le principe de minimisation (art. 5.1.c du RGPD) pris au mot : une donnée qui ne sert à rien ne se conserve pas mieux, elle ne se collecte pas. Les installations existantes perdent leurs anciennes lignes à la mise à jour, sans intervention de votre part.

Ce que l'application garde de votre scan, si vous cochez la pièce ou la mettez avec vos pièces en vrac, est ce geste : la progression du set ou la quantité en vrac, et l'entrée datée du journal (§4.4) — rien de la lecture elle-même. C'est à vous, sur votre appareil, dans les conditions du §4.4.

12Vos droits#

Le RGPD vous accorde des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que le droit de retirer votre consentement.

La manière de les exercer dépend de qui détient la donnée. Voici la vérité, sans raccourci :

12.1Sur les données qui sont sur votre appareil#

Elles sont entièrement sous votre contrôle, sans avoir à nous solliciter :

• Accès : vos sets, votre progression, vos pièces en vrac et « Pièces à acheter » sont affichés dans l'application. Les anciennes lignes restent consultables dans « Ancienne liste d'achat », en bas de « À acheter », tant qu'il en reste. Le détail du journal figure dans la sauvegarde (§4.1).
• Rectification : modifiez directement la progression de vos sets et les quantités de vos pièces en vrac. « Pièces à acheter » se recalcule à partir de ces données ; ses quantités ne se modifient pas directement. Les lignes de « Ancienne liste d'achat » sont en lecture seule : vous pouvez les consulter, les partager et les supprimer après confirmation. Une correction de progression ou de quantité en vrac s'ajoute au journal comme un geste de plus (§4.4).
• Effacement : supprimez un élément dans l'application, ou désinstallez-la pour tout effacer de l'appareil d'un coup. ⚠️ Supprimer un set ou retirer toutes vos pièces en vrac les retire de l'écran, mais n'efface pas les gestes déjà écrits au journal (§4.4) : seule la désinstallation les efface de l'appareil. ⚠️ Si vous êtes abonné à l'offre Pro, une copie de vos sets, de leur progression et du journal de vos gestes subsiste dans votre base iCloud privée : elle se supprime depuis les réglages d'iOS, à la rubrique iCloud de votre compte Apple (§4.2). Nous ne pouvons pas le faire à votre place — nous n'y avons pas accès.
• Portabilité : Collection → ⚙ → Réglages → Importer et exporter → « Sauvegarder mes données » crée un fichier JSON complet et documenté, réimportable par « Restaurer une sauvegarde » (§4.1). La fonction est gratuite et ne demande aucun compte.

La sauvegarde complète est distincte du fichier d'une liste destiné à un tableur ou à un site de vente de pièces. L'export tableur/Rebrickable de « Pièces à acheter » et de « Ancienne liste d'achat » est gratuit ; les exports BrickLink/Brick Owl et l'export en fichier de la collection, des souhaits et des pièces en vrac restent Pro. Ces fichiers ne constituent pas une sauvegarde complète et BrickBack ne commande rien à votre place.

12.2Sur les données traitées par le relais et les prestataires#

Écrivez-nous à l'adresse du §1. Nous répondons dans un délai d'un mois.

Votre inscription aux alertes de prix ne demande pas de nous écrire : la désactiver depuis l'application l'efface de notre serveur, avec tous ses sets en alerte active (§6.4). L'application affiche les sets en alerte active et l'état de chacun, ce qui vaut accès ; modifier un prix dans votre liste de souhaits le rectifie au prochain envoi.

⚠️ Limite à connaître : nous ne pouvons pas vous identifier (§3). Pour traiter une demande portant sur une adresse IP, il vous faudrait nous la communiquer, ce qui suppose de le lire dans l'application. Si nous ne sommes pas en mesure de vous identifier, nous vous le dirons, comme l'article 11 du RGPD nous y autorise. La façon la plus simple et la plus immédiate de « réinitialiser » cet identifiant est de désinstaller puis réinstaller l'application.

12.3Sur les photos transmises à Brickognize#

Il faut vous adresser directement à ce fournisseur, dont les coordonnées figurent dans ses conditions d'utilisation. Nous n'avons aucun pouvoir d'instruction sur lui (§5.3), et nous ne pouvons donc pas relayer utilement une demande d'effacement. C'est une limite réelle, et c'est la raison pour laquelle le §5 existe : pour que vous décidiez en connaissance de cause avant d'envoyer une image.

12.4Réclamation#

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir l'autorité de contrôle. En France, la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr. Si vous résidez dans un autre État de l'Union, l'autorité compétente est celle de votre pays de résidence.

13Transferts hors de l'Union européenne#

14Ce que BrickBack ne fait pas#

L'application ne contient aucun outil de mesure d'audience, aucun kit de développement publicitaire, aucun traceur de comportement, aucun outil de remontée d'incidents tiers, et ne demande pas l'autorisation de suivi publicitaire entre applications. Les liens rémunérés du §9 n'y font pas exception : l'application n'y ajoute aucun identifiant de vous ni de votre appareil.

Nous ne vendons, ne louons et n'échangeons aucune donnée. Nous ne constituons aucun profil publicitaire. Nous ne procédons à aucune décision automatisée produisant des effets juridiques à votre égard.

Enfants. BrickBack ne comporte aucune fonction sociale, aucune messagerie, aucun contenu publié par les utilisateurs, et ne collecte aucune donnée d'identité. Elle ne s'adresse pas spécifiquement aux enfants et ne cherche pas à les identifier. Un parent qui laisse un enfant scanner des pièces doit avoir lu le §5.

15Manifeste de confidentialité Apple#

L'application contient le manifeste de confidentialité PrivacyInfo.xcprivacy qu'Apple exige. Il déclare exactement ce que fixe le présent paragraphe.

Interfaces à motif requis à déclarer :

Types de données à déclarer comme collectés :

Pourquoi « lié » pour l'inscription aux alertes. Apple tient pour liée une donnée rattachée à un identifiant de l'appareil, même tiré au hasard : les sets en alerte active et leurs prix souhaités sont gardés avec le jeton de notification et l'identifiant d'inscription. Rien de cela ne sert au suivi au sens d'Apple : aucune de ces données n'est rapprochée de données d'autres entreprises, ni transmise à un courtier en données.

La synchronisation iCloud du §4.2 n'ajoute rien à cette liste, et la raison compte. Une donnée déposée dans la base privée du compte iCloud de l'utilisateur n'est pas « collectée » au sens d'Apple : l'éditeur n'y a aucun accès, ne peut pas la lire, et elle reste sous le compte de l'utilisateur. Apple traite ce cas comme du stockage pour le compte de l'utilisateur, non comme une collecte par le développeur. ⚠️ Cela ne vaut que tant que la base reste privée : si un enregistrement passait un jour en base publique ou partagée, la réponse changerait du tout au tout et ce paragraphe deviendrait faux.

Les trois valeurs que la synchronisation écrit dans les réglages locaux — état du moteur, date de la dernière réussite, date de la dernière condensation du journal — relèvent de la déclaration CA92.1 déjà faite ci-dessus.

Le journal du §4.4 n'ajoute rien non plus. Ses pages et son résumé partent dans la même base privée que les sets et la progression : le raisonnement ci-dessus s'applique, y compris à l'identifiant d'installation qui accompagne chaque geste — un nombre tiré au hasard, lisible du seul compte iCloud de l'utilisateur et des fichiers qu'il exporte lui-même. Le Trousseau, où une copie de cet identifiant est rangée, ne figure pas sur la liste des interfaces à motif requis.

Le compteur et la borne du §4.3 n'ajoutent rien non plus. Ils emploient NSUbiquitousKeyValueStore, qui ne figure pas sur la liste des interfaces à motif requis d'Apple : rien à déclarer de ce côté. Et ce qu'ils écrivent — des numéros de set, des identifiants d'installation tirés au hasard et leurs bornes d'horloge — part dans l'espace iCloud du compte de l'utilisateur, sous son compte Apple, hors d'atteinte de l'éditeur. Le raisonnement du paragraphe précédent s'applique mot pour mot, et le formulaire « App Privacy » reste inchangé.

À ne pas déclarer : aucune donnée de contact, aucune donnée de localisation, aucun identifiant publicitaire, aucune donnée d'usage à des fins d'analyse. Le relevé des prix fait par notre serveur ne porte aucune donnée d'utilisateur, et les fichiers du jour ne reçoivent que le pays. Rien n'est utilisé à des fins de suivi au sens d'Apple, donc NSPrivacyTracking doit valoir false et NSPrivacyTrackingDomains rester vide.

Formulaire « App Privacy » d'App Store Connect : les mêmes cinq types doivent y être déclarés, avec la même réponse pour chacun : l'identifiant de l'appareil et le contenu de l'utilisateur (les sets en alerte active et leurs prix souhaités) dans « Données liées à vous », les trois autres non liées, et aucun dans « Données utilisées pour vous suivre ».

16Modifications de cette politique#

Toute modification substantielle sera signalée dans l'application et publiée à l'adresse où cette politique est hébergée, avec une nouvelle date d'entrée en vigueur. La version applicable est celle en vigueur au moment de votre utilisation.

17Marque#

LEGO® is a trademark of the LEGO Group of companies which does not sponsor, authorize or endorse this app.

BrickBack est développée de façon indépendante et n'est affiliée ni au groupe LEGO®, ni à Rebrickable, ni à Brickset, ni à Brickognize, ni à aucune place de marché. Les briques de construction compatibles avec les briques LEGO®, leurs noms et leurs numéros de référence sont cités à titre strictement descriptif. L'application n'utilise ni le logo, ni la typographie, ni les visuels officiels du groupe LEGO®.