Trip'otes

Politique de confidentialité

Dernière mise à jour : 6 novembre 2026

Cette politique explique quelles données personnelles l'application Trip'otes collecte, pourquoi, avec qui elles sont partagées, et quels sont tes droits. Elle est conforme au Règlement Général sur la Protection des Données (RGPD).

1. Responsable du traitement

Le responsable du traitement de tes données est Odelin Opsomer, Particulier (personne physique), éditeur de l'application Trip'otes.

Pour toute question ou demande relative à tes données : odelin.opsomer@gmail.com.

2. Données que nous collectons

Données de compte et de profil

• Nom, prénom et adresse email fournis à l'inscription. Le mot de passe est géré et stocké de façon sécurisée (haché) par notre prestataire d'authentification — nous n'y avons jamais accès en clair.
• Si tu te connectes avec Google : nom, adresse email et photo de profil transmis par Google lors de la connexion.
• Si tu te connectes avec Apple (sur iPhone) : Apple nous transmet un jeton d'identité signé, qui contient un identifiant propre à l'application et ton adresse email — ou, si tu choisis de la masquer, une adresse relais fournie par Apple, qui fait suivre nos emails sans nous révéler ta vraie adresse. Ton prénom et ton nom ne sont transmis qu'à la toute première connexion, si tu acceptes de les partager ; ils servent alors à remplir ton profil. Nous ne recevons ni ton mot de passe Apple, ni aucune autre donnée de ton compte Apple.
• Photo de profil (avatar), timbre actif porté en badge et thème d'affichage choisi.

Tes potes et la recherche par numéro

• Numéro de mobile — facultatif. Si tu en enregistres un, il est conservé tel que tu l'as saisi : toi seul peux le relire dans l'application, et il n'est jamais montré aux autres. Une empreinte en est dérivée : une signature calculée avec une clé secrète connue du seul serveur, dont on ne peut pas remonter au numéro. C'est cette empreinte, et non le numéro, qui sert aux comparaisons.
• Tes potes : les personnes que tu as ajoutées à ton carnet, la façon dont tu les as trouvées (répertoire, voyage commun, lien, ajout manuel) et la date. Ce lien va dans un seul sens et personne n'est prévenu quand tu l'ajoutes ou le retires.
• Les contacts de ton carnet d'adresses ne sont pas collectés. Quand tu lances la recherche, ton téléphone calcule une empreinte pour chaque numéro et n'envoie que ces empreintes. Les noms, les emails, les photos et les notes de ton carnet ne quittent jamais l'appareil ; les empreintes reçues servent à la comparaison et ne sont pas conservées ; la comparaison n'enregistre rien pour les personnes qui n'ont pas de compte. Si tu invites l'une d'elles par SMS, seul son prénom est enregistré avec ton invitation, et il reste visible par les membres du voyage concerné jusqu'à ce que l'invitation soit annulée ou acceptée.
• Un compteur d'usage quotidien (nombre de recherches lancées et d'empreintes comparées) est conservé pour limiter les abus.

Si tu laisses l'option active, une personne qui possède déjà ton numéro peut te retrouver : elle voit alors ton prénom, l'initiale de ton nom et ta photo de profil, rien d'autre. C'est encore ce qu'elle voit si elle t'ajoute à son carnet : ton nom complet ne lui apparaît que si tu l'ajoutes au tien à ton tour, ou si vous partagez un voyage. Ton numéro ne lui est pas montré, et rien ne lui dit qui d'autre l'a. Tu peux désactiver l'option ou retirer ton numéro à tout moment, dans Profil › Mes informations.

Contenu que tu crées dans l'Application

• Voyages : nom, description, destination, pays, dates et image de couverture.
• Participants et invitations : liens entre membres, adresses email des personnes invitées, rôle et statut.
• Exclusions : quand un administrateur retire quelqu'un d'un voyage, nous gardons une trace de l'exclusion (le voyage, la personne exclue, l'administrateur qui l'a décidée et la date), pour que cette personne ne puisse pas revenir avec le code du voyage. Cette trace n'est lisible par personne dans l'application.
• Discussion : messages, réactions, ainsi que les photos et vidéos partagées (et leur date d'ajout).
• Albums, livres photo et vidéos souvenirs : titres, légendes, sélection de médias, musique associée, mots laissés par les membres, et statut de publication (privé ou publié par lien).
• Sondages : questions, options et tes votes.
• Séjour : éléments planifiés (logements, transports, activités, autres), dates, prix indicatifs, lieux, pièces jointes, votes pour/contre.
• Dépenses : descriptions, montants, catégories, qui a payé, répartition des parts, remboursements et éventuel plafond de budget personnel.

Signalements et blocages

• Signalement : quand tu signales un message, une photo, une vidéo ou un membre, nous enregistrons ton identifiant, la cible, le voyage concerné, le motif choisi, tes précisions éventuelles (2 000 caractères au plus) et une copie du contenu signalé, faite par nos serveurs au moment du signalement (auteur et texte du message, référence du fichier, ou nom de la personne). Cette copie reste lisible même si l'auteur supprime ensuite son contenu, pour que la preuve ne disparaisse pas avec lui.
• Blocage : quand tu bloques quelqu'un, nous enregistrons ton identifiant, celui de la personne bloquée et la date.

Données liées à l'agent de voyage IA

L'agent de voyage n'est pas proposé dans la version actuelle de l'application. S'il est activé, il traitera :

• Préférences de voyage du groupe (style d'envies, rythme, budget, notes libres).
• Messages échangés avec l'agent et suggestions générées.

Notifications et données techniques

• Notifications push sur iPhone et Android : si tu les autorises, le jeton technique de ton appareil, fourni par le service de notifications d'Expo, et son système (iOS ou Android).
• Notifications push sur le web : si tu les actives, l'identifiant technique de ton abonnement (adresse d'envoi fournie par ton navigateur, clés de chiffrement et description technique du navigateur).
• Prévention des abus : la vérification qui indique, sur l'écran d'accueil, si une adresse email a déjà un compte enregistre l'adresse IP de l'appareil qui la sollicite, avec un compteur de requêtes par tranche de 10 minutes. Cela limite les tentatives de deviner quels emails sont inscrits.
• Données de fonctionnement et de sécurité : journaux techniques, identifiants de session et informations strictement nécessaires au bon fonctionnement et à la sécurité du Service.

Site de présentation trip-otes.com

• Si tu t'inscris à la liste « Préviens-moi au lancement » du site trip-otes.com, nous enregistrons ton adresse email, la date d'inscription et une courte description technique de ton navigateur. Ces données servent uniquement à te prévenir du lancement.
• Le site mesure son audience avec Cloudflare Web Analytics, qui fonctionne sans cookie, et charge ses polices depuis Google Fonts : ton navigateur contacte alors les serveurs de Google.

3. Finalités et bases légales

• Fournir le Service (créer et gérer des voyages, discussion, médias, séjour, dépenses, albums) — base : exécution du contrat (les CGU).
• Créer et sécuriser ton compte, t'authentifier (email et mot de passe, Google ou Apple) — base : exécution du contrat et intérêt légitime (sécurité).
• Faire fonctionner l'agent de voyage IA, s'il est activé — base : exécution du contrat ; l'utilisation de l'agent relève de ton initiative.
• Envoyer les emails d'invitation à un voyage — base : intérêt légitime (fonctionnement collaboratif sollicité par un membre).
• Tenir ton carnet de potes, comparer ton carnet d'adresses lorsque tu le demandes et te permettre d'ajouter quelqu'un à un voyage — base : exécution du contrat ; la comparaison ne part que de ton geste.
• Te rendre trouvable par les personnes qui ont déjà ton numéro — base : ton consentement. Enregistrer un numéro et laisser l'option active est un choix libre ; le retirer n'enlève rien d'autre au Service.
• Envoyer des notifications push — base : ton consentement (activation volontaire, révocable à tout moment).
• Traiter les signalements, appliquer les blocages et empêcher le retour d'une personne exclue d'un voyage — base : intérêt légitime (protéger les utilisateurs et faire respecter les CGU).
• Débloquer des badges et statistiques de gamification — base : exécution du contrat et intérêt légitime (animation du Service).
• Améliorer et sécuriser le Service, prévenir les abus (dont le compteur par adresse IP de l'écran d'accueil) — base : intérêt légitime.
• Te prévenir du lancement, si tu t'es inscrit sur trip-otes.com — base : ton consentement.

4. Avec qui tes données sont partagées

Les autres membres de tes voyages

Par nature, le contenu d'un voyage est partagé : ton nom, ton avatar et les contenus que tu publies dans un voyage sont visibles par les autres membres actifs de ce voyage. Ton plafond de budget personnel reste privé.

Les albums publiés

Un album est privé quand il est créé : seuls les membres du voyage le voient. Il ne devient visible par lien que si son créateur ou un administrateur du voyage le publie, d'un geste explicite. Toute personne disposant du lien voit alors son titre, sa légende, les photos et vidéos choisies, le nom, la destination et les dates du voyage, le prénom de son créateur et les mots laissés, avec le prénom de leurs auteurs. Le créateur ou un administrateur peut le dépublier à tout moment : le lien cesse alors de fonctionner. Les albums créés avant cette règle, qui étaient publiés dès leur création, le restent tant qu'ils ne sont pas dépubliés.

Les signalements et les blocages

Un signalement est transmis par email à l'éditeur, qui assure la modération, via notre prestataire d'envoi (Resend). Cet email contient le motif, tes précisions, la copie du contenu signalé, le nom du voyage, ton nom et ton adresse email et, si un membre est visé, son nom et son adresse email : c'est ce qui permet de traiter le signalement et de te recontacter au besoin. La personne signalée n'est jamais informée de l'identité de qui l'a signalée ; dans l'application, toi seul peux relire tes signalements.

Un blocage est privé : la personne bloquée n'en est pas prévenue et ne peut pas consulter ta liste de blocages. Il masque dans les deux sens les messages, photos, vidéos, sondages, votes, réactions et mots d'album, et coupe les notifications entre vous. Il empêche aussi cette personne de t'inviter et de rejoindre, avec son code, un voyage dont tu es membre. Les données de groupe (séjour, dépenses, courses, checklist) restent visibles de tous les membres, car les comptes de chacun en dépendent. Tu peux débloquer quelqu'un à tout moment dans Profil › Comptes bloqués.

Nos sous-traitants et prestataires

• Supabase (Supabase, Inc.) — hébergement de la base de données, authentification, stockage des fichiers (photos, vidéos, avatars, couvertures, pièces jointes) et fonctions serveur. Données hébergées dans l'Union européenne.
• Anthropic (Anthropic, PBC, États-Unis) — fournit le modèle d'IA Claude de l'agent de voyage, uniquement lorsque l'agent est activé ; il ne l'est pas dans la version actuelle. Voir la section 6.
• Google (Google Ireland Limited) — connexion via Google (si tu l'utilises) ; recherche de lieux via Google Places pour l'agent de voyage, lorsqu'il est activé, et pour l'aperçu des lieux enregistrés dans le séjour ; acheminement des notifications push vers les appareils Android (Firebase Cloud Messaging).
• Apple (Apple Inc.) — connexion avec Apple (si tu l'utilises, sur iPhone) et acheminement des notifications push vers les iPhone (Apple Push Notification service).
• Expo (650 Industries, Inc., États-Unis) — service d'envoi des notifications push de l'application iPhone et Android : il reçoit le jeton de ton appareil et le texte de la notification (par exemple le prénom de l'auteur, le nom du voyage et le début d'un message, 80 caractères au plus), puis les relaie à Apple ou à Google.
• Service push de ton navigateur (selon le navigateur : Google, Mozilla, Apple ou Microsoft, par exemple) — acheminement des notifications web. Leur contenu lui parvient chiffré : il ne peut pas le lire.
• Vercel (Vercel Inc., États-Unis) — hébergement de la version web de l'Application.
• Cloudflare (Cloudflare, Inc., États-Unis) — hébergement du site de présentation trip-otes.com, stockage des adresses de la liste « Préviens-moi au lancement » et mesure d'audience sans cookie de ce site.
• Resend (Plus Five Five, Inc.) — envoi des emails transactionnels (invitations à un voyage, emails liés au compte comme la réinitialisation du mot de passe) et des signalements adressés à la modération.
• OpenStreetMap (Fondation OpenStreetMap, Royaume-Uni) — recherche d'adresses (service Nominatim) : le texte que tu tapes dans un champ d'adresse lui est envoyé directement depuis ton appareil.

Nous ne vendons pas tes données personnelles et ne les utilisons pas à des fins de publicité ciblée. Si tu suis un lien partenaire (affiliation), le site partenaire applique sa propre politique de confidentialité et peut déposer ses propres traceurs.

5. Transferts hors de l'Union européenne

Certains prestataires (notamment Google, Apple, Expo, Vercel, Cloudflare, Resend et, lorsque l'agent est activé, Anthropic) sont situés ou peuvent traiter des données en dehors de l'Union européenne, principalement aux États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens du RGPD (clauses contractuelles types de la Commission européenne et/ou décisions d'adéquation).

6. Détail du traitement par l'agent de voyage IA

L'agent de voyage n'est pas proposé dans la version actuelle de l'application : tant qu'il ne l'est pas, aucune donnée de tes voyages n'est envoyée à Anthropic. S'il est activé, tu en seras informé, et le traitement sera celui décrit ci-dessous.

Lorsque tu utilises l'agent de voyage, certaines données du voyage sont transmises à l'API d'Anthropic pour générer une réponse :

• le nom et la destination du voyage, ses dates, le nombre de participants ;
• les préférences de voyage du groupe (envies, rythme, budget, notes) ;
• un résumé des éléments déjà prévus au séjour ;
• les messages que tu écris à l'agent.

Nous évitons d'envoyer à l'agent des données qui ne lui sont pas utiles : les adresses email des membres et le plafond de budget personnel ne lui sont pas transmis. Évite d'écrire des informations sensibles dans la conversation avec l'agent.

Anthropic n'utilise pas les données transmises via son API pour entraîner ses modèles. Ces données peuvent toutefois être conservées par Anthropic pendant une durée limitée (de l'ordre de 30 jours) à des fins de sécurité et de prévention des abus, conformément à sa propre politique.

Les recherches de lieux effectuées par l'agent sont transmises à Google Places afin d'obtenir des informations réelles (noms, notes, adresses).

7. Durée de conservation

• Tes données de compte et tes contenus sont conservés tant que ton compte est actif.
• Ton numéro de mobile et son empreinte sont conservés jusqu'au retrait du numéro ou à la suppression de ton compte — dans les deux cas, l'effacement est immédiat et vaut pour les carnets déjà comparés. Les liens de potes disparaissent dans les deux sens à la suppression d'un compte.
• Les jetons et abonnements de notification sont conservés tant que les notifications sont actives sur l'appareil. Ils sont supprimés quand tu les désactives, quand tu te déconnectes de cet appareil, quand le service de notifications les déclare périmés, et à la suppression de ton compte.
• Quand tu quittes un voyage, ton accès s'arrête. Si tu y as payé une dépense, reçu une part ou un remboursement, ta participation est conservée, sans accès, pour que ton solde reste juste pour les autres membres ; sinon, elle est supprimée. Les contenus que tu y as publiés restent dans le voyage.
• La trace d'une exclusion est conservée tant que le voyage existe. Elle disparaît si un administrateur invite de nouveau la personne, et avec le voyage s'il est supprimé.
• Les signalements sont conservés le temps de leur traitement, puis aussi longtemps que nécessaire pour prévenir une récidive ou répondre à la demande d'une autorité. Ils ne sont pas effacés quand le contenu signalé est supprimé. Un blocage est conservé jusqu'à ce que tu débloques la personne.
• Certaines données techniques (journaux) sont conservées pour une durée limitée à des fins de sécurité. Les compteurs d'usage de la recherche par numéro sont tenus par jour. Le compteur par adresse IP de l'écran d'accueil porte sur des tranches de 10 minutes ; celles de plus d'une heure sont effacées automatiquement au fil des requêtes suivantes. Les aperçus de liens sont mis en cache pendant environ 7 jours.
• L'adresse email de la liste « Préviens-moi au lancement » est conservée jusqu'à l'annonce du lancement, ou jusqu'à ce que tu demandes son retrait si tu le fais avant.

Quand tu supprimes ton compte

La suppression depuis l'application est immédiate. Voici ce qu'elle fait :

• Supprimé : ton identité de connexion (email, mot de passe haché, lien avec ton compte Google ou Apple, sessions), ta photo de profil, ton numéro de mobile et son empreinte, tes potes (dans les deux sens), tes compteurs d'usage, tes notifications et tes préférences de notification, tes jetons et abonnements push, tes timbres, tes votes (sondages et séjour), tes réactions, et les invitations par email encore en attente adressées à ton adresse.
• Effacé : le texte des messages que tu avais écrits à l'agent de voyage, remplacé par « (message supprimé) ».
• Supprimés avec tout leur contenu : les voyages dont tu étais le dernier membre actif.
• Anonymisé : ton profil devient « Membre supprimé » (prénom, nom et email remplacés). Les messages, photos, vidéos, albums, sondages, éléments du séjour et dépenses que tu as publiés dans un voyage partagé restent visibles des autres membres sous cette mention. Dans les voyages où tu as une dépense, une part ou un remboursement, ta participation est conservée, sans accès, pour ne pas fausser les comptes des autres. Si tu étais le seul administrateur d'un voyage, le membre actif le plus ancien le devient.
• Conservés : les signalements déposés par toi ou à ton sujet, pour la durée indiquée ci-dessus.

Si tu nous écris pour demander la suppression, nous la traitons dans un délai d'un mois au plus. Des copies peuvent subsister pendant une durée limitée dans les sauvegardes techniques de notre hébergeur, avant d'être écrasées, sauf obligation légale de conservation. Le détail figure aussi sur app.trip-otes.com/suppression-compte.html.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), mots de passe hachés, cloisonnement des données par voyage au niveau de la base de données (règles d'accès « Row Level Security »), et accès aux clés sensibles réservé au serveur. Aucun système n'étant infaillible, nous ne pouvons toutefois garantir une sécurité absolue.

9. Tes droits

Conformément au RGPD, tu disposes des droits suivants :

• droit d'accès à tes données et d'obtention d'une copie ;
• droit de rectification des données inexactes ;
• droit à l'effacement (« droit à l'oubli ») ;
• droit à la limitation et droit d'opposition au traitement ;
• droit à la portabilité de tes données ;
• droit de retirer ton consentement à tout moment (par ex. pour les notifications), sans effet rétroactif.

Tu peux supprimer ton compte directement depuis l'application, dans Profil › « Supprimer mon compte ». Pour exercer tes autres droits, écris-nous à odelin.opsomer@gmail.com : nous pourrons te demander de justifier ton identité et nous répondons dans un délai d'un mois.

Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés, www.cnil.fr).

10. Mineurs

Le Service n'est pas destiné aux personnes de moins de 15 ans. Si nous apprenons qu'un compte a été créé par une personne plus jeune sans le consentement requis, nous le supprimerons.

11. Stockage local et traceurs

Pour fonctionner, l'Application conserve sur ton appareil des informations techniques nécessaires (par exemple ta session de connexion). Nous n'utilisons pas de cookies publicitaires ni de traceurs à des fins de publicité ou de profilage. La mesure d'audience du site trip-otes.com fonctionne sans cookie. Les sites partenaires vers lesquels pointent d'éventuels liens d'affiliation peuvent, eux, utiliser leurs propres traceurs.

12. Modification de la politique

Cette politique peut évoluer. En cas de changement important, tu en seras informé par un moyen approprié. La date de dernière mise à jour figure en haut de cette page.

13. Contact

Pour toute question relative à cette politique ou à tes données personnelles : odelin.opsomer@gmail.com.

Trip'otes

Privacy Policy

Last updated: November 6, 2026

This policy explains what personal data the Trip'otes app collects, why, with whom it is shared, and what your rights are. It complies with the General Data Protection Regulation (GDPR).

1. Data controller

The controller of your data is Odelin Opsomer (an individual / natural person), publisher of the Trip'otes app.

For any question or request regarding your data: odelin.opsomer@gmail.com.

2. Data we collect

Account and profile data

• First name, last name and email address provided at registration. The password is managed and stored securely (hashed) by our authentication provider — we never have access to it in plain text.
• If you sign in with Google: name, email address and profile photo provided by Google at sign-in.
• If you sign in with Apple (on iPhone): Apple sends us a signed identity token, which contains an identifier specific to the app and your email address — or, if you choose to hide it, a relay address provided by Apple, which forwards our emails without revealing your real address to us. Your first and last name are only sent at the very first sign-in, if you agree to share them; they are then used to fill in your profile. We receive neither your Apple password nor any other data from your Apple account.
• Profile photo (avatar), active stamp worn as a badge and chosen display theme.

Your crew and search by number

• Mobile number — optional. If you save one, it is kept exactly as you typed it: only you can read it back in the app, and it is never shown to anyone else. A fingerprint is derived from it: a signature computed with a secret key known only to the server, from which the number cannot be recovered. It is that fingerprint, not the number, that is used for matching.
• Your crew: the people you have added to your crew, how you found them (address book, shared trip, link, added by hand) and the date. The link goes one way only, and nobody is told when you add or remove it.
• The contacts in your address book are not collected. When you start the search, your phone computes a fingerprint for each number and sends only those fingerprints. The names, emails, photos and notes in your address book never leave the device; the fingerprints we receive are used for the comparison and are not kept; the comparison records nothing for people who do not have an account. If you invite one of them by text message, only their first name is recorded with your invitation, and it stays visible to the members of that trip until the invitation is cancelled or accepted.
• A daily usage counter (how many searches you started and how many fingerprints were compared) is kept to limit abuse.

If you leave the option on, someone who already has your number can find you: they then see your first name, the initial of your last name and your profile picture, and nothing else. That is still all they see if they add you to their crew: your full name only appears to them once you add them to yours in return, or once you share a trip. Your number is not shown to them, and nothing tells them who else has it. You can turn the option off or remove your number at any time, in Profile › My information.

Content you create in the App

• Trips: name, description, destination, country, dates and cover image.
• Participants and invitations: links between members, email addresses of invited people, role and status.
• Removals: when an admin removes someone from a trip, we keep a record of the removal (the trip, the removed person, the admin who decided it and the date), so that this person cannot come back with the trip code. Nobody can read this record in the app.
• Chat: messages, reactions, as well as shared photos and videos (and the date they were added).
• Albums, photo books and memory videos: titles, captions, media selection, associated music, words left by members, and publication status (private or published by link).
• Polls: questions, options and your votes.
• Plan: planned items (accommodation, transport, activities, other), dates, indicative prices, places, attachments, for/against votes.
• Expenses: descriptions, amounts, categories, who paid, share split, reimbursements and any personal budget cap.

Reports and blocks

• Report: when you report a message, a photo, a video or a member, we record your identifier, the target, the trip concerned, the reason you chose, any details you add (2,000 characters at most) and a copy of the reported content, made by our servers at the time of the report (author and text of the message, file reference, or the person's name). This copy remains readable even if the author later deletes their content, so the evidence does not disappear with it.
• Block: when you block someone, we record your identifier, the blocked person's identifier and the date.

Data related to the AI travel agent

The travel agent is not offered in the current version of the app. If it is enabled, it will process:

• The group's travel preferences (style of interests, pace, budget, free-form notes).
• Messages exchanged with the agent and generated suggestions.

Notifications and technical data

• Push notifications on iPhone and Android: if you allow them, your device's technical token, provided by Expo's notification service, and its operating system (iOS or Android).
• Push notifications on the web: if you enable them, the technical identifier of your subscription (delivery address provided by your browser, encryption keys and technical description of the browser).
• Abuse prevention: the check that tells the welcome screen whether an email address already has an account records the IP address of the device calling it, with a request counter per 10-minute window. This limits attempts to guess which emails are registered.
• Operational and security data: technical logs, session identifiers and information strictly necessary for the proper operation and security of the Service.

The trip-otes.com presentation website

• If you sign up for the "Let me know at launch" list on trip-otes.com, we record your email address, the sign-up date and a short technical description of your browser. This data is used only to tell you about the launch.
• The website measures its audience with Cloudflare Web Analytics, which works without cookies, and loads its fonts from Google Fonts: your browser then contacts Google's servers.

3. Purposes and legal bases

• Provide the Service (create and manage trips, chat, media, plan, expenses, albums) — basis: performance of the contract (the Terms).
• Create and secure your account, authenticate you (email and password, Google or Apple) — basis: performance of the contract and legitimate interest (security).
• Operate the AI travel agent, if it is enabled — basis: performance of the contract; using the agent is at your initiative.
• Send trip invitation emails — basis: legitimate interest (collaborative operation requested by a member).
• Keep your crew, compare your address book when you ask for it and let you add someone to a trip — basis: performance of the contract; the comparison only ever starts from your own action.
• Make you findable by people who already have your number — basis: your consent. Saving a number and leaving the option on is a free choice; turning it off takes nothing else away from the Service.
• Send push notifications — basis: your consent (voluntary activation, revocable at any time).
• Handle reports, enforce blocks and prevent someone removed from a trip from coming back — basis: legitimate interest (protecting users and enforcing the Terms).
• Unlock badges and gamification statistics — basis: performance of the contract and legitimate interest (Service engagement).
• Improve and secure the Service, prevent abuse (including the per-IP counter of the welcome screen) — basis: legitimate interest.
• Tell you about the launch, if you signed up on trip-otes.com — basis: your consent.

4. Who your data is shared with

The other members of your trips

By nature, a trip's content is shared: your name, your avatar and the content you post in a trip are visible to the other active members of that trip. Your personal budget cap remains private.

Published albums

An album is private when it is created: only the trip's members can see it. It only becomes viewable by link if its creator or a trip admin publishes it, through an explicit action. Anyone with the link then sees its title, caption, the chosen photos and videos, the trip's name, destination and dates, the creator's first name and the words left, with their authors' first names. The creator or an admin can unpublish it at any time: the link then stops working. Albums created before this rule, which were published as soon as they were created, stay published until they are unpublished.

Reports and blocks

A report is sent by email to the publisher, who handles moderation, via our email provider (Resend). This email contains the reason, your details, the copy of the reported content, the trip's name, your name and email address and, if a member is targeted, their name and email address: this is what makes it possible to handle the report and get back to you if needed. The reported person is never told who reported them; in the app, only you can read your reports.

A block is private: the blocked person is not notified and cannot see your list of blocks. It hides messages, photos, videos, polls, votes, reactions and album words in both directions, and stops notifications between you. It also prevents that person from inviting you and from joining a trip you are a member of with the trip code. Group data (plan, expenses, shopping, checklist) stays visible to all members, because everyone's balances depend on it. You can unblock someone at any time in Profile › Blocked accounts.

Our processors and providers

• Supabase (Supabase, Inc.) — database hosting, authentication, file storage (photos, videos, avatars, covers, attachments) and server functions. Data hosted in the European Union.
• Anthropic (Anthropic, PBC, United States) — provides the Claude AI model of the travel agent, only when the agent is enabled; it is not in the current version. See section 6.
• Google (Google Ireland Limited) — sign-in with Google (if you use it); place search via Google Places for the travel agent, when it is enabled, and for previews of places saved in the plan; delivery of push notifications to Android devices (Firebase Cloud Messaging).
• Apple (Apple Inc.) — Sign in with Apple (if you use it, on iPhone) and delivery of push notifications to iPhones (Apple Push Notification service).
• Expo (650 Industries, Inc., United States) — push notification service of the iPhone and Android app: it receives your device's token and the text of the notification (for example the author's first name, the trip's name and the beginning of a message, 80 characters at most), then relays them to Apple or Google.
• Your browser's push service (depending on the browser: Google, Mozilla, Apple or Microsoft, for example) — delivery of web notifications. Their content reaches it encrypted: it cannot read it.
• Vercel (Vercel Inc., United States) — hosting of the web version of the App.
• Cloudflare (Cloudflare, Inc., United States) — hosting of the trip-otes.com presentation website, storage of the addresses on the "Let me know at launch" list and cookieless audience measurement of that website.
• Resend (Plus Five Five, Inc.) — sending transactional emails (trip invitations, account-related emails such as password reset) and the reports sent to moderation.
• OpenStreetMap (OpenStreetMap Foundation, United Kingdom) — address search (Nominatim service): the text you type in an address field is sent to it directly from your device.

We do not sell your personal data and do not use it for targeted advertising. If you follow a partner (affiliate) link, the partner site applies its own privacy policy and may set its own trackers.

5. Transfers outside the European Union

Some providers (notably Google, Apple, Expo, Vercel, Cloudflare, Resend and, when the agent is enabled, Anthropic) are located or may process data outside the European Union, mainly in the United States. These transfers are governed by appropriate safeguards within the meaning of the GDPR (European Commission standard contractual clauses and/or adequacy decisions).

6. Details of processing by the AI travel agent

The travel agent is not offered in the current version of the app: as long as it is not, no data from your trips is sent to Anthropic. If it is enabled, you will be informed, and the processing will be as described below.

When you use the travel agent, certain trip data is transmitted to Anthropic's API to generate a response:

• the name and destination of the trip, its dates, the number of participants;
• the group's travel preferences (interests, pace, budget, notes);
• a summary of the items already planned;
• the messages you write to the agent.

We avoid sending the agent data it does not need: members’ email addresses and the personal budget cap are not transmitted to it. Avoid writing sensitive information in the conversation with the agent.

Anthropic does not use data transmitted via its API to train its models. This data may however be retained by Anthropic for a limited period (around 30 days) for security and abuse-prevention purposes, in accordance with its own policy.

Place searches performed by the agent are sent to Google Places to obtain real information (names, ratings, addresses).

7. Retention period

• Your account data and content are kept as long as your account is active.
• Your mobile number and its fingerprint are kept until you remove the number or delete your account — in both cases the erasure is immediate, and it applies to address books already compared. Crew links are removed in both directions when an account is deleted.
• Notification tokens and subscriptions are kept as long as notifications are on for the device. They are deleted when you turn them off, when you sign out on that device, when the notification service reports them as expired, and when you delete your account.
• When you leave a trip, your access ends. If you paid an expense, received a share or a reimbursement in it, your participation is kept, without access, so that your balance stays correct for the other members; otherwise it is deleted. The content you posted there stays in the trip.
• The record of a removal is kept as long as the trip exists. It disappears if an admin invites the person again, and with the trip if the trip is deleted.
• Reports are kept while they are handled, then for as long as necessary to prevent repeat abuse or to answer a request from an authority. They are not erased when the reported content is deleted. A block is kept until you unblock the person.
• Some technical data (logs) is kept for a limited time for security purposes. The usage counters for search by number are kept per day. The per-IP counter of the welcome screen works in 10-minute windows; windows older than one hour are erased automatically as further requests come in. Link previews are cached for about 7 days.
• The email address on the "Let me know at launch" list is kept until the launch is announced, or until you ask for its removal if you do so earlier.

When you delete your account

Deleting your account from the app is immediate. Here is what it does:

• Deleted: your sign-in identity (email, hashed password, link with your Google or Apple account, sessions), your profile photo, your mobile number and its fingerprint, your crew (in both directions), your usage counters, your notifications and notification preferences, your push tokens and subscriptions, your stamps, your votes (polls and plan), your reactions, and the email invitations still pending that were addressed to your email address.
• Erased: the text of the messages you had written to the travel agent, replaced with "(message supprimé)" ("message deleted").
• Deleted with all their content: the trips in which you were the last active member.
• Anonymized: your profile becomes "Membre supprimé" ("Deleted member"; first name, last name and email replaced). The messages, photos, videos, albums, polls, plan items and expenses you posted in a shared trip remain visible to the other members under this label. In the trips where you have an expense, a share or a reimbursement, your participation is kept, without access, so as not to distort the others' balances. If you were the only admin of a trip, the longest-standing active member becomes admin.
• Kept: the reports filed by you or about you, for the period indicated above.

If you write to us to request deletion, we process it within one month at most. Copies may remain for a limited time in our hosting provider's technical backups before being overwritten, unless there is a legal obligation to retain them. The details are also available at app.trip-otes.com/suppression-compte.html.

8. Security

We implement appropriate technical and organizational measures: encryption of exchanges (HTTPS), hashed passwords, data partitioning per trip at the database level ("Row Level Security" access rules), and access to sensitive keys reserved for the server. As no system is infallible, we cannot however guarantee absolute security.

9. Your rights

In accordance with the GDPR, you have the following rights:

• right of access to your data and to obtain a copy;
• right to rectification of inaccurate data;
• right to erasure ("right to be forgotten");
• right to restriction and right to object to processing;
• right to data portability;
• right to withdraw your consent at any time (e.g. for notifications), without retroactive effect.

You can delete your account directly from the app, in Profile › "Delete my account". To exercise your other rights, write to us at odelin.opsomer@gmail.com: we may ask you to verify your identity, and we respond within one month.

If you believe your rights are not being respected, you can lodge a complaint with the CNIL (the French data protection authority, www.cnil.fr).

10. Minors

The Service is not intended for people under 15. If we learn that an account has been created by a younger person without the required consent, we will delete it.

11. Local storage and trackers

To function, the App stores necessary technical information on your device (for example your login session). We do not use advertising cookies or trackers for advertising or profiling purposes. The audience measurement of the trip-otes.com website works without cookies. The partner sites that any affiliate links point to may, however, use their own trackers.

12. Changes to the policy

This policy may change. In the event of a significant change, you will be informed by appropriate means. The date of the last update appears at the top of this page.

13. Contact

For any question regarding this policy or your personal data: odelin.opsomer@gmail.com.