Politique de confidentialité
Dernière mise à jour:
Cette politique décrit les données personnelles traitées par ce site et par le service hébergé Releo Cloud. Une instance de Releo que vous hébergez vous-même ne transmet rien à l’Éditeur : son exploitant en est le seul responsable.
1. Qui est responsable
- Responsable de traitement : WYATT GROUP (voir les mentions légales), pour la gestion des comptes, la facturation, la sécurité du Service et ce site.
- Sous-traitant : pour les données que votre organisation confie au Service (membres invités, builds, testeurs, appareils), l’Éditeur agit pour le compte de votre organisation, selon l’accord de sous-traitance.
2. Données traitées
| Données | Origine | Détail |
|---|---|---|
| Compte | vous | Nom, adresse email, mot de passe haché (jamais conservé en clair), langue préférée, rôle dans l’organisation. Avec l’authentification unique (SSO), l’identifiant fourni par votre fournisseur d’identité. |
| Sessions | votre navigateur | Cookie de session, adresse IP et navigateur (user agent) de chaque session. |
| Identifiants des stores et outils | vous | Clés API App Store Connect (.p8, Key ID, Issuer ID), certificats de distribution, clés JSON de comptes de service Google Play, jetons Git en lecture seule, clés de fournisseur LLM, keystores Android. Chiffrés au repos (AES-256-GCM) et jamais renvoyés par l’API. |
| Builds | vous, votre CI | Binaires .ipa / .aab, numéros de version et de build, commit, notes de version, historique des envois et des promotions, auteur de l’envoi. |
| Testeurs iOS | vos testeurs | UDID, nom, modèle et version d’iOS de l’iPhone enregistré sur une page publique, pour créer un profil ad hoc. |
| Journal d’audit | le Service | Action, auteur, date et adresse IP (connexions, modifications, téléchargements). |
| Facturation | vous, Stripe | Organisation, offre, nombre de sièges, statut de l’abonnement. Les données de carte sont traitées par Stripe et ne transitent pas par nos serveurs. |
| Emails | le Service | Adresse et contenu des emails transactionnels (confirmation, réinitialisation du mot de passe, invitations). |
| Site | votre navigateur | Journaux techniques du serveur web (adresse IP, page demandée, date), à des fins de sécurité. |
3. Finalités et bases légales
- Fournir le Service (comptes, envoi et promotion des builds, pages publiques, notes de version) : exécution du contrat.
- Facturer les abonnements et tenir la comptabilité : exécution du contrat et obligation légale.
- Sécuriser le Service (sessions, journal d’audit, limitation des tentatives, journaux du serveur) : intérêt légitime.
- Envoyer les emails transactionnels : exécution du contrat.
Aucune donnée n’est utilisée à des fins publicitaires, revendue, ni utilisée pour entraîner un modèle.
4. Destinataires et sous-traitants
Les données sont accessibles à l’Éditeur et, selon leurs rôles, aux membres de votre organisation. Sous-traitants de l’Éditeur :
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| OVH SAS | Hébergement de l'application, de sa base de données et des builds envoyées | France |
| Stripe Payments Europe, Ltd. | Paiement des abonnements et facturation | Ireland (transfers to the United States under the EU-US Data Privacy Framework) |
| Resend, Inc. | Emails transactionnels (confirmation, réinitialisation du mot de passe, invitations) | United States |
Sur instruction de votre organisation, le Service transmet aussi des données à des services que vous choisissez et configurez avec vos propres comptes :
- Apple (App Store Connect, TestFlight) et Google (Google Play) : binaires, notes de version, appareils de test ;
- votre fournisseur Git (GitHub, GitLab…) : lecture des commits ;
- votre fournisseur LLM (tout fournisseur compatible OpenAI, par exemple OpenRouter) : messages des commits et notes de version, pour rédiger ou traduire les notes. Rien n’est envoyé à un LLM si votre organisation n’en configure pas.
Ces services agissent selon leurs propres conditions, acceptées par votre organisation.
5. Transferts hors de l’Union européenne
Les données du Service sont hébergées dans le pays indiqué pour l’hébergeur dans le tableau ci-dessus. Un transfert hors de l’UE (Stripe, ou un fournisseur que vous choisissez) s’appuie sur une décision d’adéquation, comme le EU-US Data Privacy Framework, ou sur les clauses contractuelles types de la Commission européenne.
6. Durées de conservation
- Compte et contenus : tant que le compte existe. Après la suppression du compte ou de l’organisation, effacement sous 30 jours, puis disparition des sauvegardes au fil de leur rotation (14 jours).
- Binaires : seuls les plus récents de chaque app et de chaque plateforme sont gardés ; les anciens sont supprimés automatiquement. Les métadonnées des builds restent tant que l’app existe.
- Sessions : jusqu’à la déconnexion ou leur expiration (30 jours).
- Journal d’audit : tant que l’organisation existe (l’historique affiché dépend de l’offre).
- Factures : 10 ans (obligation comptable).
- Journaux du serveur web : 12 mois au plus.
7. Sécurité
Connexions chiffrées (HTTPS), mots de passe hachés, secrets chiffrés au repos en AES-256-GCM, fichiers d’identifiants temporaires lisibles par le seul processus qui appelle les stores et supprimés aussitôt, rôles par organisation et par app, clés d’API à portée limitée, journal d’audit, sauvegardes régulières de la base.
8. Cookies et stockage local
- Ce site ne dépose aucun cookie et ne contient aucun traceur ni outil de mesure d’audience. Si vous choisissez un thème dans la documentation, ce choix est enregistré dans le stockage local de votre navigateur.
- L’application Releo Cloud dépose un seul cookie, le cookie de session, strictement nécessaire à la connexion. Elle garde dans le stockage local votre langue, votre thème et vos préférences d’affichage.
Ces éléments sont exemptés de consentement : il n’y a donc pas de bandeau cookies.
9. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données. Écrivez à contact@releo.app. Pour les données qu’une organisation a confiées au Service (par exemple en tant que membre invité ou testeur), adressez-vous d’abord à cette organisation ; l’Éditeur l’aidera à répondre.
Vous pouvez introduire une réclamation auprès de la CNIL.
10. Modifications
Cette politique peut évoluer avec le Service. Une modification importante est annoncée par email aux titulaires de compte.