Confidentialité

Cette notice explique ce que Lutra fait de tes données : lesquelles, pourquoi, combien de temps, qui les voit, et comment exercer tes droits. Elle complète la politique de confidentialité de Kamyko, le studio de l'éditeur, qui fait fonctionner le service de compte commun de ses apps (appelé ici « le Hub ») : ton compte, la synchro des groupes et les abonnements. Cette politique est publiée sur kamyko.fr/legal/confidentialite. La présente notice répond aux articles 13 et 14 du RGPD.

En bref

• Lutra sert à partager des dépenses. Ce que tu écris dans un groupe est vu par tous ses membres, présents et futurs.
• Tes groupes sont stockés en clair sur les serveurs du Hub, dans l'Union européenne. Il n'y a pas de chiffrement de bout en bout.
• Les photos de tickets sont ré-encodées sur ton téléphone avant l'envoi : ni lieu, ni date de prise de vue, ni autre métadonnée ne partent.
• La lecture des tickets et des QR codes se fait sur ton téléphone. La bibliothèque de Google qui la fait envoie toutefois à Google des données techniques (voir la partie 3.4).
• Pas de publicité, pas de traceur publicitaire, pas de mesure d'audience dans l'app, pas de revente de données.
• Tu peux exporter tes données, supprimer les données de Lutra ou supprimer ton compte, depuis l'écran « Compte ».

1. Qui est responsable de tes données ?

Le responsable de traitement est l'éditeur de Lutra. Son identité, son adresse et l'adresse de contact pour tes données figurent dans les mentions légales. Aucun délégué à la protection des données n'est désigné : la taille de l'activité ne l'impose pas ; l'éditeur tient un registre des traitements (article 30 du RGPD). Le même éditeur exploite Lutra et le Hub.

2. Ce que fait Lutra, ce que fait le Hub

Le Hub ne lit pas le contenu de tes groupes : il range des opérations que l'app écrit, sans les interpréter. Ses traitements sont décrits en détail dans sa politique ; les numéros entre parenthèses (« Hub §2.16 ») y renvoient.

3. Les données, une par une

3.1 Ton compte

• Données : ton adresse e-mail ; ou ton identité Apple ou Google si tu choisis ces connexions ; ton nom de profil ; les codes de connexion envoyés par e-mail ; tes sessions (date, appareil, adresse IP tronquée, plateforme).
• Pourquoi : te connecter et retrouver tes groupes sur chacun de tes appareils.
• Base légale : exécution du contrat (les conditions d'utilisation) ; intérêt légitime à sécuriser les comptes.
• Durée : tant que ton compte existe. Une session expire 30 jours après son ouverture (Hub §2.1, §2.2).
• Qui les voit : ton nom de profil est visible des membres de tes groupes, de tes amis et de toute personne qui a ton code ami. Ton e-mail n'est jamais montré aux autres membres.

Le Hub reçoit aussi quelques événements techniques de l'app, sans ton consentement car ils sont nécessaires : demande d'export, demande de suppression, étapes d'un achat, échec d'une connexion Apple, version incompatible. Ils portent un identifiant d'installation aléatoire, la plateforme, la version de l'app et un identifiant de session. Base légale : intérêt légitime. Durée : 90 jours (Hub §2.6). Lutra n'envoie aucun événement d'usage : c'est pourquoi l'app ne te demande aucun consentement à la mesure d'audience.

3.2 Tes groupes

• Données : le nom, l'emoji ou la photo du groupe, ses dates et sa devise ; les participants (prénom, profil adulte, enfant ou bébé, foyer, dates de présence, poids de répartition) ; les dépenses et les revenus (titre, note, montant, devise, taux, date, catégorie, qui a payé, qui partage, articles d'un ticket) ; les remboursements ; les règles et les répartitions enregistrées ; qui a écrit quoi et quand.
• Pourquoi : tenir les comptes à plusieurs, sur tous vos appareils, même hors ligne.
• Base légale : exécution du contrat. Après ton départ, tes écritures restent dans le groupe : c'est l'intérêt légitime des autres membres à garder l'historique commun (Hub §2.16). Tu peux t'y opposer en écrivant à l'adresse de la partie 1.
• Durée : tant que le groupe existe. Un groupe supprimé par son admin reste restaurable 30 jours, puis il est effacé. Un groupe sans membre actif est effacé sous 24 heures. Un groupe sans aucune activité depuis 24 mois est annoncé par e-mail, puis supprimé 90 jours plus tard, sauf si quelqu'un l'ouvre (Hub §2.16).
• Qui les voit : tous les membres du groupe, présents et futurs. Un nouveau membre voit tout l'historique, y compris ce qu'ont écrit les membres partis. Les membres voient aussi qui offre Lutra+ au groupe et jusqu'à quand.

Le Hub ne garde jamais l'identifiant de ton compte dans le journal d'un groupe : il y met une clé de membre propre à ce groupe. Seul le Hub connaît le lien entre cette clé et ton compte. Il efface ce lien un an après ton départ, à la suppression des données de Lutra et à la suppression de ton compte (Hub §2.16).

Les personnes sans compte. Tu peux ajouter au groupe des personnes qui n'utilisent pas Lutra, y compris des enfants. Lutra ne peut pas les prévenir elle-même : dis-leur que tu tiens les comptes dans Lutra. N'écris que le prénom utile. Elles ont les mêmes droits que toi (partie 8) : elles peuvent écrire à l'adresse de la partie 1. Base légale : l'intérêt légitime des membres à tenir des comptes justes.

3.3 Les photos de tickets

• Données : les photos que tu joins à une dépense, ou comme icône d'un groupe.
• Avant l'envoi, Lutra refait la photo sur ton téléphone : un JPEG neuf de 400 Kio au plus, sans aucune métadonnée (ni EXIF, ni GPS, ni date de prise de vue, ni modèle d'appareil).
• Pourquoi : garder le justificatif d'une dépense pour tout le groupe.
• Base légale : exécution du contrat. La photo est facultative.
• Durée : tant que le groupe existe. Une photo retirée est effacée 30 jours après, sauf si tu la rétablis. Une photo dont l'envoi n'a pas abouti est effacée sous 24 heures (Hub §2.16).
• Qui les voit : les membres du groupe. Pour afficher une photo, le Hub donne à l'app un lien temporaire valable 1 heure. Ce lien reste valable jusqu'à la fin de cette heure, même si la personne quitte le groupe entre-temps.
• Où : sur le stockage de fichiers du Hub, dans l'Union européenne. Une copie reste sur ton téléphone tant que le groupe y est.

Lutra demande l'accès à l'appareil photo et aux photos seulement quand tu touches le bouton photo. Elle lit la seule photo que tu choisis.

3.4 La lecture des tickets et des QR codes

• Le ticket : Lutra lit le texte d'un ticket (scan, Lutra+) avec ML Kit, une bibliothèque de Google. La lecture se fait sur ton téléphone : la photo et le texte ne sont pas envoyés à Google. Sur Android, le modèle de lecture est téléchargé par les services Google Play.
• Le QR code d'un ami : Lutra lit le QR code avec la caméra, sans garder d'image. Sur Android, la lecture passe aussi par ML Kit ; sur iPhone, par le système d'Apple.
• Ce que Google reçoit quand même : ML Kit envoie à Google des données techniques, chiffrées en transit, « pour le diagnostic et l'analyse d'usage » : le modèle et le système du téléphone, le nom et la version de l'app, un identifiant par installation, des temps de réponse, la configuration et la taille des images traitées, des types d'événements et des codes d'erreur. Google déclare ne pas transmettre ces données à des tiers. Lutra ne peut pas désactiver cet envoi. Source : la page « ML Kit data disclosure » de Google.
• Base légale : intérêt légitime à proposer la lecture des tickets et des QR codes. Lutra n'affiche pas d'écran de consentement pour cet envoi : c'est la bibliothèque qui le fait, et Lutra ne peut pas le désactiver.
• Rôle de Google : ce sont les conditions de Google pour ML Kit qui s'appliquent à cette télémétrie (page « ML Kit data disclosure »). Lutra ne qualifie pas le rôle de Google à leur place.
• Comment l'éviter : ne pas utiliser le scan des tickets, et taper le code ami au lieu de scanner le QR code.

3.5 Tes coordonnées de paiement

• Données : ton IBAN et son titulaire, ton identifiant Wero (téléphone ou e-mail), Lydia et PayPal.me. Tout est facultatif.
• Où : tu les saisis une fois ; elles restent sur ton téléphone. Tu choisis ensuite groupe par groupe où les montrer : Lutra publie alors une « carte de membre » dans ce groupe, sur le Hub.
• Pourquoi : que les autres membres puissent te rembourser.
• Base légale : exécution du contrat, à ta demande.
• Qui les voit : les membres des groupes où tu les montres. Après ton départ, ta carte reste visible des seuls membres présents à ce moment, pour qu'ils puissent te rembourser ; un membre qui arrive ensuite ne la voit pas.
• Durée : jusqu'à ce que tu la retires. Après ton départ, elle est effacée dès que ton solde dans le groupe est à zéro, et au plus tard un an après ton départ ; elle l'est aussi à la suppression du groupe, à la suppression des données de Lutra et à la suppression de ton compte (Hub §2.16).
• La carte est stockée en clair sur le Hub, comme le reste du groupe.

3.6 Les invitations

• Données : un lien d'invitation (heylutra.com/j#…) ; son aperçu, que tu choisis : nom du groupe, emoji, ton prénom, dates, nombre de membres ; pour une invitation personnelle, un repère du participant invité (8 caractères, partie 10).
• Pourquoi : faire rejoindre le groupe.
• Base légale : exécution du contrat.
• Qui les voit : toute personne qui a le lien voit l'aperçu, même sans compte. Elle ne voit ni les membres, ni les montants. Le lien passe par l'app de messagerie que tu choisis pour l'envoyer.
• Durée : un lien vaut 30 jours et 50 utilisations, et tu peux le révoquer. Le Hub l'efface 90 jours après son échéance ou sa révocation (Hub §2.16). Sur ton téléphone, une invitation en attente de connexion est oubliée au bout de 24 heures.

3.7 Les amis et le code ami

• Données : ton code ami et ta clé d'ami, propres à Lutra ; ta liste d'amis ; les demandes envoyées et reçues ; les personnes que tu bloques ; les invitations directes à un groupe.
• Pourquoi : ajouter un ami une fois, puis l'inviter dans un groupe sans lien à envoyer.
• Base légale : exécution du contrat ; intérêt légitime pour les limites anti-abus et pour garder un blocage qu'on a posé contre toi.
• Qui les voit : tes amis voient ton nom de profil. Toute personne qui connaît ton code voit ton nom de profil quand elle le saisit ; tu peux changer de code à tout moment. Un refus ou un blocage n'est jamais annoncé à l'autre personne. Il n'y a ni recherche par e-mail ou par téléphone, ni accès à tes contacts.
• Durée : le Hub applique les durées suivantes : une demande d'ami en attente est gardée 30 jours, puis effacée 7 jours après ; une demande refusée, 90 jours ; une amitié ou un blocage, jusqu'à son retrait ou jusqu'à l'effacement de tes données ; une invitation directe à un groupe, comme un lien d'invitation (effacée 90 jours après son échéance) ; les compteurs anti-abus, 2 jours
• À l'effacement des données de Lutra, tes amis, tes demandes et les blocages que tu as posés sont effacés. Les blocages posés contre toi restent : ils protègent la personne qui les a posés.

Le QR code de ton code ami est dessiné sur ton téléphone. Le code est aussi gardé dans le stockage sécurisé du téléphone (trousseau sur iPhone, Keystore sur Android) pour s'afficher hors ligne.

3.8 Lutra+

• Données : ton abonnement (formule, dates, statut, essai), l'historique de tes achats.
• Comment : par un paiement sur le site du Hub, via Stripe (Hub §2.3). Lutra ne voit jamais ta carte bancaire. Lutra+ ne se vend pas encore dans les boutiques d'applications. Quand l'achat y sera ouvert, il passera par la boutique de ton téléphone (App Store ou Google Play) et par le prestataire RevenueCat (États-Unis), qui recevra l'identifiant de ton compte.
• Base légale : exécution du contrat ; obligation légale pour les factures.
• Durée : tant que ton compte existe ; les factures 10 ans (Hub §2.3).
• Qui les voit : si tu offres Lutra+ à un groupe, ses membres voient que c'est toi, et jusqu'à quand.

3.9 Les taux de change

• Quand une dépense est dans une autre devise que celle du groupe, Lutra demande le taux du jour au service public Frankfurter (api.frankfurter.dev), qui publie les taux de référence de la Banque centrale européenne.
• Ce qui part : ton adresse IP, les deux devises, l'heure de la demande et l'agent HTTP de l'app. Ni le montant, ni la date de la dépense, ni ton compte.
• Pourquoi : proposer le bon taux sans le taper.
• Base légale : intérêt légitime.
• Durée : Lutra garde le taux sur ton téléphone 24 heures. Frankfurter : service public, sans compte ni identifiant ; Lutra n'a pas de contrat avec lui et la durée de ses journaux relève de ses propres conditions.
• Tu peux toujours taper le taux à la main.

3.10 Les rappels

• Les rappels (« On te doit 42,00 € dans « Coloc » ») sont programmés sur ton téléphone. Rien n'est envoyé : Lutra n'utilise pas de notifications push.
• Ils sont facultatifs et ne s'allument qu'à ta demande. Ils s'arrêtent quand tu te déconnectes.
• Selon les réglages de ton téléphone, leur texte (un montant, un nom de groupe) peut s'afficher sur l'écran verrouillé.

3.11 Les exports et les statistiques

• Les statistiques, le récap et les exports CSV ou PDF d'un groupe sont calculés sur ton téléphone.
• Un export part seulement là où tu l'envoies, par la feuille de partage du système. Il contient les données des autres membres : ne le diffuse pas sans leur accord.

3.12 Sur ton téléphone

Lutra garde sur ton téléphone une copie de tes groupes, les photos, tes coordonnées de paiement, tes réglages (apparence, teintes, rappels) et ta session de connexion. Le code ami et les invitations en attente sont dans le stockage sécurisé du système (trousseau sur iPhone, Keystore sur Android).

• Effacement : te déconnecter efface cette copie. Elle est aussi effacée quand un autre compte se connecte sur le téléphone, avant toute synchro. Les écritures pas encore envoyées sont alors perdues, et l'app te le dit.
• Erreurs : en cas de plantage, l'erreur est notée sur le téléphone seulement. Lutra n'envoie aucun rapport d'erreur.
• La copie locale n'est pas chiffrée par Lutra elle-même : elle compte sur la protection de l'espace privé de l'app par le système de ton téléphone.

4. Les bases légales en un tableau

5. Qui reçoit tes données

• Les membres de tes groupes, tes amis et les personnes qui ont un lien d'invitation ou ton code, dans les limites des parties 3.2 à 3.7.
• L'éditeur, pour faire fonctionner le service.
• Les prestataires :

La liste complète des prestataires du Hub t'est envoyée sur simple demande (Hub §1).

6. Combien de temps

7. Sécurité

• Les échanges avec le Hub, Frankfurter et Google passent en HTTPS.
• Les photos sont ré-encodées sans métadonnées avant l'envoi. Les liens de lecture des photos expirent au bout de 1 heure.
• Les invitations et le code ami sont gardés dans le stockage sécurisé du système.
• Les données des groupes sont stockées en clair sur le Hub, sans chiffrement de bout en bout. Le Hub ne lit pas leur contenu. Ses sauvegardes sont chiffrées (Hub §2.14, §5).
• Sauvegardes Android : la sauvegarde Google et le transfert vers un nouveau téléphone emportent la copie locale des groupes, y compris tes coordonnées de paiement. Ils n'emportent ni ta session, ni le trousseau, ni les photos, ni tes réglages : un téléphone restauré doit se reconnecter. Si un autre compte s'y connecte, la copie est effacée.
• Sauvegardes iPhone : aujourd'hui, la sauvegarde iCloud, celle de ton ordinateur et le transfert vers un nouvel iPhone peuvent emporter la copie locale des groupes, les photos, le trousseau de Lutra et ta session de connexion. Une sauvegarde chiffrée les protège ; protège aussi ton compte iCloud. Lutra ne les exclut pas encore de ces sauvegardes.
• En cas de fuite de données à risque, l'éditeur prévient la CNIL sous 72 heures et, si le risque est élevé, te prévient aussi (Hub §5).

8. Tes droits

Tu as le droit d'accéder à tes données, de les faire corriger, de les faire effacer, d'en limiter l'usage, de t'opposer à un traitement fondé sur l'intérêt légitime, de les emporter (portabilité), et de donner des directives pour après ton décès.

• Corriger : modifie tes dépenses, tes coordonnées et ton nom de profil dans l'app.
• Accéder et emporter : « Compte › Exporter mes données » prépare une archive (JSON) de ton compte et de tes groupes, disponible 7 jours. Elle ne contient pas les photos. L'export CSV d'un groupe donne aussi ses dépenses dans un tableur.
• Effacer :
  • « Supprimer les données de Lutra » : tu quittes tous tes groupes ; tes coordonnées, tes amis et tes blocages dans Lutra sont effacés ; ce que tu as écrit reste pour les autres, sans lien avec ton compte.
  • « Supprimer mon compte » : effectif 30 jours après ta demande, annulable jusque-là. Même effet pour Lutra.
  • Tu peux aussi supprimer ton compte depuis le web : kamyko.fr/account/delete?app=lutra.
  • Les sauvegardes du Hub peuvent garder ces données jusqu'à 12 mois. Les copies déjà reçues par les téléphones des autres membres ne peuvent pas être effacées par le service.
• Pour le reste (opposition, limitation, une personne sans compte, une question) : écris à l'adresse de la partie 1. Réponse sous un mois, prolongeable de deux mois si la demande est complexe.
• Réclamation : tu peux saisir la CNIL (www.cnil.fr).

9. Mineurs

Lutra ne s'adresse pas aux enfants. Un mineur ne crée un compte qu'avec l'accord de son représentant légal. Sous 15 ans, le consentement est donné à la fois par le mineur et par le titulaire de l'autorité parentale (article 45 de la loi Informatique et Libertés ; Hub §7). Un parent peut ajouter son enfant comme participant sans compte (partie 3.2) : n'indique que son prénom. Si tu penses qu'un mineur nous a transmis des données sans accord, écris-nous.

10. Le site heylutra.com

Le site sert les pages d'invitation (/j) et de code ami (/a), la page d'accueil et les pages légales.

• Hébergeur : Cloudflare Pages (Cloudflare, Inc., États-Unis). Cloudflare reçoit, comme tout hébergeur, ton adresse IP, ton navigateur et l'adresse de la page demandée, et les garde selon sa propre politique. Ton navigateur peut aussi envoyer à Cloudflare des rapports d'erreur réseau.
• Le jeton d'invitation et le code ami sont après le # de l'adresse. Un navigateur n'envoie jamais cette partie au serveur : la page la lit sur ton téléphone pour préparer le bouton « Ouvrir dans Lutra », et n'appelle aucun serveur.
• Le lien personnel porte en plus ?p= et 8 caractères qui désignent le participant invité. Cette partie est envoyée à Cloudflare quand la page s'ouvre dans le navigateur. Elle ne contient ni nom, ni jeton.
• Pas de cookie, pas de mesure d'audience, pas de publicité, pas de script tiers. Les polices sont servies par le site lui-même : aucune requête ne part vers Google.
• Les pages d'invitation ne sont pas indexées par les moteurs de recherche.

11. Ce que Lutra ne fait pas

Pas de publicité. Pas de traceur publicitaire ni d'identifiant publicitaire. Pas de suivi d'une app à l'autre. Pas de mesure d'audience dans l'app. Pas de revente de données. Pas d'accès à tes contacts ni à ta position. Pas de décision automatisée qui te concerne.

12. Modifications

Cette notice peut changer avec Lutra, ses prestataires ou la loi. Chaque version est datée sur cette page. En cas de changement important (nouvelle donnée, nouveau destinataire, durée plus longue), tu en es prévenu dans l'app ou par e-mail.

Version 2026-10, en vigueur à sa publication. Les conditions d'utilisation de Lutra et la politique du Hub (kamyko.fr/legal/confidentialite) complètent cette notice.

Retour à l’accueil · Mentions légales