Politique de confidentialité

Bienvenue sur Kaso. La présente Politique de confidentialité explique comment PJ Insights (faisant affaire sous le nom Kaso Intelligence), une entreprise individuelle immatriculée au Québec, Canada (« nous », « notre » ou « nos »), recueille, utilise et protège vos renseignements personnels lorsque vous utilisez le site Web de Kaso ainsi que les applications mobiles Kaso pour iOS et Android (collectivement, « l’Application »).

Nous nous engageons à protéger votre vie privée et à respecter la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) ainsi que la législation québécoise applicable en matière de protection des renseignements personnels.

En utilisant l’Application, vous consentez à la collecte, à l’utilisation et à la communication de vos renseignements personnels de la manière décrite dans la présente Politique de confidentialité. Si vous n’êtes pas d’accord avec nos pratiques, veuillez ne pas utiliser l’Application.

Données de compte :

• adresse courriel;
• nom d’affichage;
• mot de passe (haché de façon sécuritaire, jamais stocké en clair).

Données de profil :

• image d’avatar (facultative);
• numéro de téléphone (facultatif);
• préférences de fuseau horaire;
• préférences de notification.

Préférences alimentaires :

• renseignements sur les allergies (pour le filtrage de sécurité);
• filtres alimentaires liés au mode de vie (fonctionnalité Premium).

Données d’achats :

• contenu des paniers d’épicerie;
• articles enregistrés et favoris;
• historique des glissements et interactions avec les produits;
• préférences de magasins.

Données de paiement :

• sur le Web, le traitement des paiements est assuré par notre fournisseur de services de paiement tiers, Stripe;
• dans l’application iOS, les abonnements sont facturés à votre identifiant Apple par l’entremise de l’App Store (achat intégré);
• dans l’application Android, les abonnements sont facturés à votre compte Google par l’entremise de la facturation Google Play (achat intégré);
• sur les deux plateformes mobiles, l’état de l’abonnement est géré par RevenueCat;
• nous ne conservons que votre identifiant client et l’état de votre abonnement aux fins de la gestion de l’abonnement;
• nous ne stockons aucun numéro de carte de crédit ni renseignement bancaire.

Données d’utilisation :

• données analytiques d’utilisation de l’application;
• statistiques de suivi des économies;
• habitudes d’utilisation des fonctionnalités.

Données sur l’appareil :

• témoins de session pour l’authentification;
• identifiant de session invité (pour la migration du panier lors de la création d’un compte);
• code de parrainage (pour créditer la personne qui vous a invité, au plus 30 jours).

Données de notifications poussées (application mobile) :

• jeton de notification de l’appareil, plateforme de l’appareil (iOS ou Android) et identifiant de l’appareil — recueillis uniquement si vous activez les notifications de rappel;
• utilisés exclusivement pour livrer les rappels d’alerte de prix que vous configurez, par l’entremise du service de notifications poussées d’Expo, puis de l’infrastructure de notification d’Apple (APNs) ou de Google (FCM);
• supprimés lorsque vous désactivez les notifications poussées ou supprimez votre compte.

Photos de reçus (application mobile) :

• nous accédons uniquement à la photo que vous prenez avec l’appareil photo ou que vous sélectionnez dans votre photothèque en vue d’une numérisation — nous ne consultons jamais le reste de votre photothèque;
• cette image quitte votre appareil — elle est téléversée vers nos serveurs, puis transmise à notre fournisseur d’OCR tiers, OCR.space, qui en extrait le texte (ce traitement peut avoir lieu à l’extérieur du Canada);
• seul le texte extrait est ajouté à votre liste. L’image est traitée de façon transitoire et n’est utilisée à aucune autre fin — Kaso ne conserve jamais vos photos de reçus.

Données de localisation :

• l’Application demande l’autorisation d’accès à la localisation précise, tant sur iOS que sur Android, et ne lit la position de votre appareil qu’au moment où vous lui demandez de trouver des épiceries près de chez vous — jamais selon un horaire, ni en arrière-plan (l’application Android ne demande aucune autorisation de localisation en arrière-plan);
• sur Android, vous pouvez accorder la localisation approximative plutôt que la localisation précise; l’Application fonctionne quand même, avec des distances de magasins moins exactes;
• les coordonnées servent à classer les magasins à proximité et demeurent sur votre appareil. Seuls votre région et, si vous l’enregistrez, votre code postal de résidence sont conservés sur nos serveurs;
• vous pouvez ignorer complètement la localisation et saisir un code postal, ou désactiver l’autorisation en tout temps dans les réglages de votre appareil.

Données analytiques de l’application mobile :

• événements d’analyse d’utilisation (par PostHog) pour comprendre l’utilisation des fonctionnalités et améliorer l’Application;
• aucun suivi entre applications ni collecte d’identifiant publicitaire — ni l’IDFA d’Apple sur iOS, ni l’identifiant publicitaire de Google (AAID) sur Android.

Nous utilisons vos renseignements personnels pour :

• fournir le service : activer les fonctionnalités de base de l’application, dont la comparaison de prix, les listes d’épicerie et le filtrage alimentaire;
• personnaliser les recommandations : utiliser des scores d’affinité de produits pour vous suggérer des aubaines pertinentes selon votre historique d’achats;
• traiter les paiements : gérer la facturation des abonnements Premium par l’entremise de notre fournisseur de services de paiement;
• envoyer des notifications : livrer des alertes d’aubaines, des notifications poussées de rappel d’alerte de prix sur votre appareil et des mises à jour de l’application (lorsque vous avez activé les notifications);
• améliorer le service : analyser les habitudes d’utilisation afin d’améliorer les fonctionnalités et de corriger les problèmes;
• produire des analyses : générer des aperçus d’économies et des statistiques d’achats (fonctionnalité Premium);
• offrir du soutien à la clientèle : répondre à vos demandes et vous fournir de l’aide.

Nous pouvons communiquer vos renseignements aux destinataires suivants :

• fournisseurs de services de paiement : Stripe (abonnements Web), Apple (achats intégrés de l’App Store sur iOS) et Google LLC (achats intégrés par la facturation Google Play sur Android), pour la facturation des abonnements (voir leurs politiques de confidentialité);
• gestion des abonnements : RevenueCat, pour gérer l’état des abonnements intégrés sur iOS et Android;
• livraison des notifications poussées : le service de notifications poussées d’Expo et, par son entremise, Apple (APNs) ou Google (FCM), pour livrer les notifications de rappel que vous activez;
• livraison des courriels : Resend, qui reçoit votre adresse courriel et le contenu des courriels que nous vous envoyons — reçus d’abonnement, avis de facturation et d’essai, rappels de liste que vous configurez, ainsi qu’un courriel de bienvenue unique à la création de votre compte. Vous pouvez interrompre les rappels et le courriel de bienvenue en tout temps au moyen du lien de désabonnement qu’ils contiennent; les avis de facturation sont contractuels et vous sont toujours transmis;
• traitement des reçus : OCR.space, qui reçoit la photo du reçu elle-même afin d’en extraire le texte (traitement transitoire; les images ne sont pas conservées par Kaso);
• fournisseur d’analyse : PostHog, pour l’analyse de l’utilisation du produit;
• mesure d’audience : Vercel Web Analytics, pour des statistiques agrégées de pages vues. Ce service n’utilise aucun témoin et n’est chargé qu’après votre acceptation des données analytiques — avant votre choix, ou si vous refusez, il n’est pas chargé du tout;
• Supabase : base de données et authentification des utilisateurs, pour le stockage sécurisé des données et la connexion;
• Vercel : hébergement et diffusion de l’application;
• traitement des tâches en arrière-plan : Inngest, qui exécute nos travaux planifiés et mis en file d’attente — événements d’abonnement, avis de facturation, envoi des rappels et courriel de bienvenue. À cette fin, il reçoit et conserve dans l’historique des tâches votre identifiant de compte, les détails des événements d’abonnement, votre adresse courriel ainsi que le contenu du courriel envoyé (y compris son lien de désabonnement);
• limitation du débit et prévention des abus : Upstash, qui conserve brièvement votre adresse IP ou votre identifiant de compte sous forme de compteur afin de bloquer l’utilisation abusive de fonctionnalités comme la numérisation de reçus, la rétroaction et la connexion;
• exigences légales : lorsque la loi, une ordonnance d’un tribunal ou une autorité gouvernementale l’exige.

Données analytiques agrégées :

Nous pouvons communiquer ou concéder sous licence des statistiques agrégées à des tiers, y compris des partenaires de l’industrie de l’alimentation. Ces données sont agrégées et dépersonnalisées avant de quitter Kaso, de sorte qu’elles ne permettent pas raisonnablement de vous identifier, seules ou combinées à d’autres renseignements. Nous ne vendons jamais de renseignements qui vous identifient. Elles comprennent :

• les tendances de popularité des produits et les préférences;
• les statistiques de volumes d’achats par catégorie de produits;
• la densité des préférences de magasins et les tendances régionales;
• les habitudes d’achat saisonnières.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos renseignements personnels :

• sécurité au niveau des lignes (RLS) : des politiques de base de données garantissent que chaque utilisateur ne peut accéder qu’à ses propres données;
• hachage des mots de passe : hachage cryptographique conforme aux normes de l’industrie pour le stockage des mots de passe;
• chiffrement HTTPS : toutes les données transmises entre votre appareil et nos serveurs sont chiffrées;
• conformité à la norme PCI DSS : le traitement des paiements est assuré par des fournisseurs conformes à la norme PCI DSS (Stripe, Apple, Google);
• contrôles d’accès : accès aux données personnelles limité selon le principe du besoin de connaître.

Bien que nous nous efforcions de protéger vos renseignements personnels, aucune méthode de transmission par Internet ou de stockage électronique n’est sûre à 100 %. Nous ne pouvons garantir une sécurité absolue.

Nous utilisons les types de témoins (cookies) et de technologies similaires suivants :

• témoins de session essentiels : requis pour l’authentification et les fonctionnalités de base de l’application;
• identifiant de session invité : témoin temporaire permettant la migration du panier lorsque vous créez un compte;
• code de parrainage : si vous ouvrez un lien d’invitation, le code qu’il contient est conservé au plus 30 jours afin de créditer la personne qui vous a invité lorsque vous créez un compte. Il ne contient que ce code, est lu une seule fois puis supprimé, et ne sert pas à suivre votre activité.

Application mobile : Les applications iOS et Android utilisent la trousse d’analyse PostHog pour recueillir des événements d’utilisation. Elles n’utilisent ni trousse publicitaire de tiers, ni suivi entre applications, ni l’identifiant publicitaire d’Apple (IDFA), ni l’identifiant publicitaire de Google (AAID).

Ce que nous n’utilisons PAS :

• témoins publicitaires de tiers;
• technologies de suivi intersites;
• pixels de suivi des médias sociaux.

Nous conservons vos renseignements personnels comme suit :

• données de compte : conservées tant que votre compte est actif;
• historique d’achats : conservé aux fins des fonctionnalités d’analyse et de personnalisation;
• données d’invité : les listes créées sans compte sont supprimées automatiquement 7 jours après leur création — ou plus tôt, si vous créez un compte et que nous les y transférons;
• registres de paiement : conservés dans la mesure requise à des fins légales et fiscales;
• jetons de notification : conservés jusqu’à ce que vous désactiviez les notifications poussées ou supprimiez votre compte;
• photos de reçus : non conservées par Kaso — transmises à OCR.space pour l’extraction du texte, puis supprimées; seul le texte extrait est conservé, dans la liste où vous l’avez ajouté.

Vous pouvez demander la suppression de vos données personnelles en tout temps en communiquant avec nous. À la suppression de votre compte, nous supprimerons vos renseignements personnels, sauf lorsque leur conservation est requise par la loi.

En vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), vous disposez des droits suivants :

• accès : demander une copie des renseignements personnels que nous détenons à votre sujet;
• rectification : demander la correction de renseignements inexacts ou incomplets;
• suppression : demander la suppression de vos renseignements personnels;
• retrait du consentement : retirer votre consentement à certaines activités de traitement des données;
• portabilité des données : demander vos données dans un format portable;
• plainte : déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada.

Comment exercer vos droits : Communiquez avec nous à support@kaso.ca en précisant votre demande. Nous répondrons dans un délai de 30 jours.

Si vous résidez au Québec, vous disposez de droits additionnels en vertu de la législation québécoise sur la protection des renseignements personnels :

Loi sur la protection du consommateur du Québec :

• droit à une information transparente sur la collecte et l’utilisation des données;
• protection contre les clauses contractuelles abusives.

Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) :

• droit à la portabilité des données dans un format technologique couramment utilisé;
• droit d’être informé des décisions automatisées;
• droit à la désindexation des renseignements personnels des fonctions de recherche;
• exigences de consentement renforcées pour les renseignements sensibles.

L’Application ne s’adresse pas aux enfants de moins de 13 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès d’enfants de moins de 13 ans.

Si vous êtes un parent ou un tuteur et croyez que votre enfant nous a fourni des renseignements personnels, veuillez communiquer avec nous à support@kaso.ca. Nous prendrons rapidement des mesures pour supprimer ces renseignements.

Conservés au Canada. Votre compte, vos listes d’épicerie, vos articles enregistrés, vos préférences et les autres renseignements liés à votre compte Kaso sont conservés dans notre base de données, hébergée dans la région de Montréal, au Canada. Les compteurs temporaires de limitation du débit décrits à la section 4 — qui retiennent brièvement votre adresse IP — sont eux aussi conservés au Canada, dans cette même région.

Traités en partie aux États-Unis. Le fonctionnement de l’Application suppose un traitement à l’extérieur du Canada. Nos serveurs applicatifs se trouvent aux États-Unis : vos données de requête y transitent pendant qu’une page ou une action est traitée, et notre fournisseur d’analyse (PostHog) reçoit ses données aux États-Unis. Resend, qui livre nos courriels, conserve aux États-Unis les métadonnées et les journaux des courriels, et Inngest, qui exécute nos tâches en arrière-plan, les y traite également.

Les données de paiement sont traitées par Stripe, un fournisseur de services de paiement conforme à la norme PCI DSS. Pour en savoir plus sur les pratiques de Stripe en matière de données, veuillez consulter la politique de confidentialité de Stripe.

La facturation des abonnements iOS est traitée par Apple et celle des abonnements Android par Google (facturation Google Play); sur les deux plateformes, l’état des abonnements est géré par RevenueCat (voir la politique de confidentialité de RevenueCat). Les photos de reçus que vous numérisez sont traitées par OCR.space (voir la politique de confidentialité d’OCR.space); ce traitement peut avoir lieu à l’extérieur du Canada.

En utilisant l’Application, vous consentez au transfert de vos renseignements vers ces territoires, dont les lois sur la protection des données peuvent différer de celles de votre territoire.

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre afin de refléter l’évolution de nos pratiques ou des lois applicables.

Avis de modification : En cas de changement important, nous vous en aviserons par l’Application ou par courriel avant l’entrée en vigueur des changements. La date de « Dernière mise à jour » figurant en haut de la présente politique indique la date de sa dernière révision.

Votre utilisation continue de l’Application après l’entrée en vigueur de changements vaut acceptation de la Politique de confidentialité mise à jour.

Si vous avez des questions au sujet de la présente Politique de confidentialité ou si vous souhaitez exercer vos droits en matière de vie privée, veuillez communiquer avec nous :

Pour en savoir plus sur vos droits en matière de vie privée, vous pouvez également communiquer avec le Commissariat à la protection de la vie privée du Canada ou la Commission d’accès à l’information du Québec.