Introduction
La présente politique de confidentialité a pour objet d'informer les utilisateurs de l'application et du site internet Kredy (ci-après « la Plateforme ») sur la manière dont leurs données personnelles sont collectées, traitées et protégées, conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.
En utilisant notre Plateforme, vous acceptez les pratiques décrites dans la présente politique. Si vous n'acceptez pas ces conditions, nous vous invitons à ne pas utiliser nos services.
Responsable du traitement
Le responsable du traitement des données personnelles est :
- KREDY — SAS KREDY COMPANY, au capital de 1000€, immatriculée au RCS de Paris sous le numéro 106 214 034, dont le siège social est situé 6 rue d'armaillé
- Contact : [email protected]
Données collectées
Nous collectons les catégories de données personnelles suivantes dans le cadre de l'utilisation de notre Plateforme :
Données d'identification
- Nom et prénom
- Adresse e-mail
- Numéro de téléphone
- Date de naissance
- Adresse postale (rue, ville, code postal, pays)
- Photographie de profil (facultatif)
Données relatives aux transactions
- Montants des prêts et emprunts
- Taux d'intérêt et conditions de remboursement
- Déclarations de versement et de remboursement faites par les parties, et confirmations associées
- Identifiants et contenu des contrats de prêt signés
Contacts
Lorsque vous nous y autorisez explicitement depuis l'application, nous accédons au carnet d'adresses de votre téléphone afin de vous permettre de retrouver vos proches sur la Plateforme et de leur adresser une demande de prêt ou une invitation. Sont alors enregistrés, pour les seuls contacts que vous synchronisez : le nom, l'adresse e-mail et le numéro de téléphone.
Cette autorisation est facultative : l'application reste pleinement utilisable sans elle, en saisissant manuellement les coordonnées d'un destinataire. Vous pouvez supprimer un contact synchronisé à tout moment depuis l'application, ou révoquer l'autorisation dans les réglages de votre téléphone.
Données de connexion, d'appareil et d'utilisation
- Adresse IP (notamment lors de la signature des contrats, où elle est conservée comme élément de preuve)
- Type de terminal, système d'exploitation et version de l'application
- Jetons de notification push et identifiant d'appareil (utilisé pour l'attestation d'intégrité de l'appareil)
- Données de journalisation (logs) et rapports d'erreur
- Événements d'utilisation de l'application (écrans consultés, actions effectuées) et, par échantillonnage, enregistrements de session — voir « Mesure d'audience »
Données d'abonnement
Lorsque vous souscrivez une offre payante, l'achat est réalisé et facturé par Apple (App Store) ou Google (Google Play). Nous ne recevons aucune donnée de carte bancaire : nous conservons uniquement l'identifiant de transaction et le reçu transmis par la boutique, afin de valider et de suivre votre abonnement.
Finalités du traitement
Vos données personnelles sont traitées pour les finalités suivantes :
- Gestion de votre compte — création, authentification et gestion de votre espace personnel.
- Fourniture des services — mise en relation entre proches, génération et signature des contrats, suivi des prêts et des remboursements déclarés, conservation de la preuve des contrats.
- Mise en relation — recherche de vos proches déjà inscrits et envoi d'invitations, lorsque vous synchronisez vos contacts.
- Gestion des abonnements — validation des achats réalisés via l'App Store ou Google Play et activation des fonctionnalités associées.
- Obligations légales — conformité avec les réglementations applicables, notamment le RGPD et la législation française sur les prêts entre particuliers.
- Sécurité — détection et prévention de la fraude et des abus, attestation de l'intégrité de l'appareil, protection de la Plateforme.
- Supervision technique — détection, diagnostic et correction des incidents et erreurs de l'application.
- Mesure d'audience et amélioration des services — analyse statistique de l'usage et enregistrements de session, sous réserve de votre consentement.
- Communication — envoi de notifications relatives à vos prêts, rappels de remboursement et informations de service.
Base légale du traitement
Le traitement de vos données repose sur les bases légales suivantes :
- Exécution du contrat (art. 6.1.b RGPD) — pour les traitements nécessaires à la fourniture de nos services.
- Obligation légale (art. 6.1.c RGPD) — pour le respect des obligations légales applicables (conservation des données de transaction, droit de la consommation).
- Intérêt légitime (art. 6.1.f RGPD) — pour la prévention de la fraude, la sécurité de la Plateforme et la supervision technique (détection et correction des erreurs).
- Consentement (art. 6.1.a RGPD) — pour l'accès à votre carnet d'adresses, la mesure d'audience et les enregistrements de session, l'envoi de communications marketing et le dépôt de traceurs non essentiels. Ce consentement est révocable à tout moment.
Mesure d'audience et enregistrements de session
Afin de comprendre comment la Plateforme est utilisée et d'en améliorer l'ergonomie, nous recourons, avec votre consentement, à des outils de mesure d'audience et d'enregistrement de session :
- Amplitude (hébergement des données dans l'Union européenne) — mesure d'audience et enregistrement d'une fraction des sessions.
- Sentry (hébergement des données dans l'Union européenne) — rapports d'erreur et enregistrement des sessions ayant conduit à une erreur.
Ces enregistrements reconstituent votre navigation dans l'application (écrans, interactions). Ils ne sont pas utilisés à des fins publicitaires, ne sont jamais revendus, et sont conservés pour une durée limitée par nos prestataires. Vous pouvez refuser ou retirer votre consentement à tout moment depuis les réglages de l'application, sans que cela n'affecte l'accès aux services.
Destinataires des données
Vos données personnelles peuvent être communiquées aux destinataires suivants :
- Équipes internes — service client, équipe technique, service juridique.
- Prestataires techniques (sous-traitants) :
- Hébergement des serveurs et de la base de données, et stockage des fichiers (documents, contrats PDF, photos de profil) — infrastructure située en France, chez OVHcloud.
- Envoi des e-mails transactionnels et des SMS de vérification — OVHcloud.
- Acheminement des notifications push — Expo, ainsi qu'Apple (APNs) et Google (FCM) selon votre appareil.
- Vérification de l'intégrité de l'appareil — Apple (App Attest) et Google (Play Integrity).
- Mesure d'audience et enregistrements de session — Amplitude et Sentry (données hébergées dans l'UE).
- Boutiques d'applications — Apple et Google traitent, en qualité de responsables de traitement indépendants, les paiements liés aux abonnements souscrits depuis l'App Store ou Google Play.
- Autorités compétentes — sur demande légale ou réglementaire (TRACFIN, CNIL, autorités judiciaires).
Nous ne vendons jamais vos données personnelles à des tiers. Tout sous-traitant est contractuellement tenu de respecter la confidentialité et la sécurité de vos données.
Durée de conservation
Vos données personnelles sont conservées pour les durées suivantes :
- Données de compte — durée d'utilisation + 3 ans après clôture.
- Données de transactions et contrats signés — 5 ans après la fin de la relation contractuelle (délai de prescription et obligations comptables).
- Contacts synchronisés — jusqu'à leur suppression par vos soins, à la révocation de l'autorisation ou à la clôture de votre compte.
- Données de connexion — 1 an (obligation légale).
- Données de mesure d'audience et enregistrements de session — 13 mois maximum.
- Traceurs et cookies — 13 mois maximum.
Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
- Droit de rectification — corriger des données inexactes ou incomplètes.
- Droit à l'effacement — demander la suppression de vos données (sous réserve des obligations légales).
- Droit à la limitation — restreindre le traitement dans certains cas.
- Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition — vous opposer au traitement pour des motifs légitimes.
- Retrait du consentement — retirer votre consentement à tout moment.
L'application vous permet d'exercer directement plusieurs de ces droits : export de vos données, suppression de votre compte (anonymisation complète après un délai de grâce de 30 jours), et suppression de vos contacts synchronisés.
Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :
- Chiffrement des données en transit (TLS/SSL).
- Mots de passe hachés avec l'algorithme bcrypt (12 rounds de salage).
- Authentification par jetons JWT avec rotation automatique (access token de 15 minutes, refresh token révocable).
- Signature cryptographique HMAC-SHA256 de chaque requête pour prévenir la falsification.
- Attestation de l'intégrité de l'appareil avant l'accès aux services sensibles.
- Stockage sécurisé des données sensibles sur l'appareil via les coffres-forts natifs (iOS Keychain, Android Keystore).
- Protection contre les abus : limitation du nombre de requêtes, verrouillage de compte après tentatives échouées.
- Anonymisation complète des données personnelles lors de la suppression de compte (délai de grâce de 30 jours).
Modifications de la politique
Nous nous réservons le droit de modifier la présente politique à tout moment. Toute modification substantielle vous sera notifiée par e-mail ou via la Plateforme. La date de dernière mise à jour est indiquée en haut de ce document.
Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles mises à jour.
Contact
Pour toute question relative à la présente politique ou à la protection de vos données personnelles :
- Questions juridiques et données personnelles : [email protected]
- Contact général : [email protected]