Politique de confidentialité

1. Personnes couvertes par cette politique et notre rôle

Cette politique couvre trois groupes de personnes, et notre rôle diffère pour chacun :

Clients (vous). Les développeurs et les équipes qui créent un compte Nalya. Pour les informations de votre compte, nous agissons en tant que responsable du traitement — nous décidons comment et pourquoi elles sont traitées.

Les utilisateurs et auteurs d’avis de vos applications. Lorsque Nalya synchronise les avis de vos applications sur les magasins d’applications, vos enregistrements d’achats ou les événements du SDK, il traite des informations concernant les personnes qui utilisent vos applications — par exemple le nom d’affichage public d’un auteur d’avis et le texte de son avis, ou le pays d’un acheteur et un identifiant d’achat opaque. Pour ces données, nous agissons en tant que sous-traitant (prestataire de services) selon vos instructions ; vous restez le responsable du traitement et il vous incombe de disposer d’une base légale et d’une politique de confidentialité appropriée pour vos propres utilisateurs. Voir « Données des utilisateurs de votre application » ci-dessous.

Visiteurs. Les personnes qui consultent nos pages marketing sans se connecter. Nous ne chargeons pas de statistiques produit et ne déposons pas de cookies analytiques tant que vous ne les avez pas acceptés dans notre bandeau de cookies ; si vous refusez, ou avant que vous ne fassiez votre choix, nous ne collectons pratiquement rien sur vous. Voir « Cookies et statistiques » ci-dessous.

2. Informations que vous nous fournissez

Compte. Lorsque vous vous connectez avec Google, nous recevons votre nom, votre adresse e-mail et votre photo de profil afin de créer et de sécuriser votre compte. Nous ne demandons que les portées (scopes) de profil de base et d’e-mail — jamais l’accès à votre Gmail, votre Drive ou tout autre contenu Google.

Connexions que vous configurez. Pour remplir sa mission, Nalya stocke les identifiants et la configuration que vous fournissez : les identifiants de plateforme de magasin d’applications (par exemple une clé de compte de service Google Play), et éventuellement une clé API PostHog ou une connexion à un dépôt GitHub. Vous créez et délimitez vous-même chaque identifiant dans le service tiers, et vous pouvez révoquer ou déconnecter chacun d’eux à tout moment. Traitez-les comme des données sensibles : ils accordent à Nalya (et à quiconque les obtient) l’accès que vous avez configuré.

Clés API et clés d’ingestion. Si vous créez une clé MCP (pour contrôler Nalya depuis un assistant IA ou un autre client) ou une clé d’ingestion d’application (utilisée par le SDK Nalya), nous générons et stockons ces clés pour votre compte. Les clés MCP peuvent lire vos données et effectuer les mêmes actions que celles que vous pouvez effectuer dans la console ; gardez-les donc secrètes et révoquez toute clé que vous n’utilisez plus.

Contexte et contenu de l’application. Tout ce que vous saisissez dans la console — descriptions d’applications et notes de contexte, modifications de brouillons, décisions d’approbation, préférences de notification — est stocké afin que le service puisse en tenir compte.

Assistance. Si vous nous écrivez par e-mail, nous conservons la correspondance afin de pouvoir vous aider et d’améliorer le service.

3. Informations que nous traitons pour votre compte

À l’aide de l’accès que vous accordez, Nalya lit et stocke des données concernant vos applications afin de vous les présenter et d’agir en conséquence :

Avis et notes — les avis publics de vos applications sur les magasins d’applications, y compris le nom d’affichage de l’auteur de l’avis, la note en étoiles, le texte de l’avis, la langue, la version de l’application et le modèle d’appareil, ainsi que les réponses que vous rédigez et publiez.

Versions et fiches — vos canaux de publication, l’état du déploiement, les informations de version, les listes de testeurs et les textes de vos fiches de magasin.

Données de monétisation — lorsque vous l’activez, les enregistrements d’achats et d’abonnements provenant du magasin d’applications connecté : identifiants de produits, identifiants de commandes, jetons d’achat, le pays ou la région de l’acheteur, les montants estimés et la devise, ainsi que les événements du cycle de vie des abonnements (renouvellements, annulations, remboursements). Ces enregistrements n’identifient les acheteurs que par des identifiants opaques fournis par la plateforme ou par votre application — Nalya ne reçoit ni les noms, ni les adresses e-mail, ni les données de carte de paiement des acheteurs.

Données de qualité et d’analyse — les statistiques de plantages, d’ANR et de « vitals » provenant des API de rapport de la plateforme connectée (telles que les API de rapport de Play) et, si vous connectez votre propre projet PostHog, les événements produit in-app que nous y recherchons pour attribuer et expliquer les achats dans vos vues de revenus.

Nous utilisons ces données uniquement pour fournir les fonctionnalités que vous activez, pour votre compte. Nous ne les utilisons pas pour établir des profils de vos utilisateurs, à des fins publicitaires, ni à aucune fin sans rapport avec l’exploitation de Nalya pour vous.

4. Données des utilisateurs de votre application (le SDK Nalya)

Si vous ajoutez le SDK Nalya à votre application, celle-ci envoie des événements à Nalya via la clé d’ingestion de votre application. À ce jour, le SDK ne signale que les événements d’achat : l’identifiant du produit, le type d’achat et le jeton d’achat, que nos serveurs vérifient auprès du magasin d’applications. Le SDK ne collecte ni noms, ni adresses e-mail, ni identifiants publicitaires, ni localisation précise, ni empreintes d’appareils. Les futures versions du SDK pourront prendre en charge des types d’événements supplémentaires (comme les statistiques d’utilisation des fonctionnalités ou les expositions aux expérimentations) ; si vous adoptez ces fonctionnalités, les événements que votre application choisit d’envoyer seront traités selon les mêmes conditions — en tant que sous-traitant pour votre compte, uniquement pour vous fournir le service.

Vos responsabilités. Comme il s’agit des données de vos utilisateurs, il vous incombe de divulguer votre utilisation du SDK dans votre propre politique de confidentialité et dans les déclarations de données requises par chaque plateforme (comme le formulaire « Data safety » de Google Play ou les informations « App Privacy » d’Apple), et de disposer d’une base légale pour nous envoyer ces événements. Si l’un de vos utilisateurs vous demande de supprimer ses données, contactez-nous à support@nalya.io et nous supprimerons les enregistrements correspondants que nous détenons pour vous. Lorsque nous agissons en tant que sous-traitant pour votre compte, un avenant relatif au traitement des données (Data Processing Addendum, DPA) est mis à la disposition des clients professionnels sur demande à support@nalya.io.

5. Comment nous utilisons les informations

Nous utilisons les informations décrites ci-dessus pour : exploiter la console et vous présenter vos avis, vos versions et vos indicateurs ; rédiger des réponses aux avis, des notes de version et des textes de fiches ; générer des suggestions (par exemple des expérimentations ou des modifications de monétisation) ; exécuter les actions que vous approuvez ou pour lesquelles vous avez activé l’automatisation (comme publier une réponse ou promouvoir une version) ; vous envoyer les notifications et les synthèses auxquelles vous avez souscrit ; sécuriser le service, prévenir les abus et corriger les problèmes ; et respecter nos obligations légales.

Chaque capacité démarre en mode supervisé, dans lequel vous approuvez chaque action ; l’automatisation est activable capacité par capacité, sur votre décision, et chaque action — manuelle ou automatisée — est enregistrée dans votre journal d’activité.

6. Traitement par IA

Pour rédiger des réponses, des notes de version et des textes de fiches et pour générer des suggestions, le contenu pertinent est envoyé à notre fournisseur d’IA, Anthropic, afin de produire un résultat. Selon la fonctionnalité, ce contenu peut inclure : le texte d’un avis et le nom d’affichage public de son auteur ; votre fiche de magasin existante et vos signaux ASO ; le contexte que vous avez rédigé au sujet de votre application ; votre catalogue de produits et vos prix affichés (pour les suggestions de monétisation) ; ainsi que des données d’événements in-app anonymisées (par exemple la séquence d’écrans et d’actions d’un acheteur, utilisée pour résumer un parcours). Ce contenu n’est utilisé que pour produire un résultat pour vous ; en vertu de notre accord avec Anthropic, il n’est pas utilisé pour entraîner leurs modèles. Nous n’envoyons pas aux fournisseurs d’IA vos identifiants stockés, les équivalents de mots de passe de votre compte, ni l’identité de vos acheteurs ou leurs enregistrements individuels de transactions d’achat vérifié (identifiants de commandes, montants, jetons).

Les brouillons générés par l’IA sont des suggestions. Vous les examinez et les approuvez avant leur publication, sauf si vous avez explicitement activé l’automatisation pour cette capacité.

Aucune décision entièrement automatisée. Nalya ne prend pas de décisions produisant des effets juridiques ou vous affectant de manière comparable, à votre égard ou à l’égard des utilisateurs de vos applications, par des moyens entièrement automatisés. Les capacités sont supervisées par défaut ; toute automatisation que vous activez agit selon vos instructions, se limite aux actions que vous avez activées, est enregistrée dans votre journal d’activité, et peut être mise en pause ou désactivée à tout moment.

7. Prestataires de services (sous-traitants)

Nous nous appuyons sur un petit nombre de prestataires pour faire fonctionner Nalya, chacun ne traitant les données que pour nous fournir son service :

Supabase — base de données et authentification. Vercel — hébergement de l’application. Google — connexion et, si vous connectez un compte Play, les API Play Developer et de rapport que vous autorisez. Anthropic — rédaction par IA, comme décrit ci-dessus. PostHog — nos propres statistiques produit (voir « Cookies et statistiques »), qui traitent les événements d’utilisation et, une fois votre consentement donné, peuvent inclure l’adresse e-mail et l’identifiant de votre compte. Resend — e-mails transactionnels (par exemple une notification lorsque vous supprimez une application).

Deux de ces services, vous les connectez sous vos propres comptes et selon leurs propres conditions : si vous connectez votre propre projet PostHog, nous l’utilisons pour rechercher l’activité in-app des acheteurs afin d’attribuer et d’expliquer les achats dans vos vues de revenus. Si vous connectez un dépôt GitHub, nous ne stockons actuellement que le nom du dépôt que vous saisissez — Nalya n’accède pas encore à GitHub, ne lit pas votre code et n’y écrit pas. Nous n’utilisons pas de processeur de paiement, car Nalya ne facture pas actuellement le service. Nous mettrons cette liste à jour si nos prestataires changent ; les changements importants sont annoncés comme indiqué à la section « Modifications de cette politique ».

8. Comment nous partageons les informations

Nous ne partageons des informations personnelles que : avec les prestataires de services ci-dessus ; avec les plateformes tierces que vous connectez, sur votre instruction (par exemple, la publication de votre réponse approuvée sur le magasin d’applications) ; si la loi, une procédure judiciaire ou la protection des droits, de la sécurité ou de la sûreté de Nalya, de nos utilisateurs ou du public l’exige ; et dans le cadre d’une fusion, d’une acquisition ou d’une cession d’actifs, auquel cas la présente politique continuera de s’appliquer à vos données et nous vous informerons de tout changement de propriétaire. Nous ne vendons pas d’informations personnelles et nous ne les partageons pas à des fins de publicité comportementale intercontexte.

9. Données utilisateur Google (Limited Use)

L’utilisation et le transfert par Nalya des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences « Limited Use ». Nous ne demandons que les portées de connexion Google et l’accès à l’API Play Developer nécessaires aux fonctionnalités que vous activez, nous utilisons ces données uniquement pour fournir et améliorer ces fonctionnalités pour vous, nous ne les transférons pas à des tiers sauf dans la mesure nécessaire pour fournir le service, pour respecter la loi ou avec votre consentement, et nous ne les utilisons jamais à des fins publicitaires ni ne les vendons. L’accès humain à ces données est limité à ce qui est nécessaire à la sécurité, à la conformité ou à l’assistance que vous demandez.

10. Cookies et statistiques

Cookies fonctionnels (toujours actifs, strictement nécessaires). Un cookie de session d’authentification pour que vous restiez connecté, de petits cookies de préférences (comme votre dernière application consultée et votre vue Réel/Test), et un cookie qui se contente d’enregistrer votre choix relatif aux statistiques ci-dessous. Votre préférence de thème est stockée localement dans votre navigateur, elle ne nous est pas transmise.

Statistiques produit (uniquement si vous les acceptez). Pour comprendre comment Nalya est utilisé et l’améliorer, nous exploitons nos propres statistiques first-party PostHog. Une fois activées, elles enregistrent les pages consultées, les clics et interactions, les événements d’erreur, ainsi qu’un profil d’utilisation anonyme ou (une fois que vous êtes connecté) identifié incluant l’adresse e-mail et l’identifiant de votre compte, et elles peuvent capturer des relectures de session de votre utilisation de la console. Ces statistiques sont désactivées par défaut sur chaque page, y compris nos pages marketing : elles ne se chargent et ne déposent leurs cookies qu’après votre acceptation dans notre bandeau de cookies, et vous pouvez refuser à tout moment. Nous n’utilisons pas de cookies publicitaires, ne vendons pas vos données et ne pratiquons pas de publicité comportementale intercontexte. Comme les statistiques restent désactivées tant que vous n’y consentez pas, un signal « Do Not Track » ne change rien — nous ne collectons déjà rien tant que vous n’avez pas accepté.

11. Conservation et suppression

Nous conservons vos données tant que votre compte est actif et dans la mesure nécessaire pour fournir le service. Concrètement : la suppression d’une application dans la console prend effet immédiatement et supprime ses identifiants de connexion stockés ainsi que les données associées à l’application (avis, achats, suggestions, activité) ; la révocation d’une clé MCP ou d’ingestion la désactive immédiatement. Pour supprimer l’intégralité de votre compte, contactez-nous à support@nalya.io et nous procéderons à la suppression dans un délai de 30 jours. La correspondance d’assistance et de contact est conservée jusqu’à 24 mois, et les données que la loi nous impose de conserver (comme celles nécessaires à des fins fiscales, comptables ou de litige) ne sont conservées que le temps requis, puis supprimées. Les copies résiduelles dans les sauvegardes chiffrées sont purgées dans un délai de 30 jours selon les calendriers standard de rotation des sauvegardes de nos prestataires ; si vous avez accepté les statistiques, les événements de statistiques produit ne sont pas conservés plus longtemps que nécessaire aux fins ci-dessus et sont supprimés lorsque vous supprimez votre compte.

La suppression de vos données de Nalya ne révoque pas l’accès que vous avez accordé à la source. Vous devez également retirer l’autorisation du compte de service Google Play accordée à Nalya et déconnecter directement auprès de ces fournisseurs tout autre service (comme votre propre PostHog) ; après la suppression d’une application, nous vous envoyons par e-mail une liste de vérification indiquant précisément ce qu’il faut révoquer.

12. Sécurité

Nous prenons des mesures techniques et organisationnelles raisonnables pour protéger vos informations : les données sont chiffrées en transit (TLS) et chiffrées au repos par nos fournisseurs d’infrastructure ; les données de chaque compte sont isolées par des contrôles d’accès au niveau des lignes limités à ce compte ; les identifiants que vous stockez ne sont accessibles qu’aux systèmes qui en ont besoin pour agir selon vos instructions ; et l’accès administratif est limité. Aucune méthode de transmission ou de stockage n’est totalement sûre, nous ne pouvons donc pas garantir une sécurité absolue — si nous apprenons qu’une violation affecte vos données personnelles, nous vous en informerons sans retard injustifié et conformément à la loi. Faites également votre part : protégez votre compte Google avec une authentification forte et traitez vos clés Nalya comme des secrets.

13. Transferts internationaux de données

Nalya et ses prestataires de services (dont Supabase, Vercel, Google, Anthropic, PostHog et Resend) peuvent traiter et stocker des données aux États-Unis et dans d’autres pays, dont les lois sur la protection des données peuvent différer de celles de votre lieu de résidence. Lorsque des données personnelles sont transférées à l’international, nous nous appuyons sur les garanties offertes par nos prestataires, telles que les clauses contractuelles types et des mécanismes équivalents, et nous exigeons de nos prestataires qu’ils protègent les données conformément à la présente politique.

14. Vos droits et vos choix

Pour tous. Vous pouvez accéder à vos données personnelles, les corriger, les exporter ou les supprimer à tout moment en écrivant à support@nalya.io. Vous contrôlez les autorisations dont dispose Nalya et pouvez les révoquer à la source (par exemple dans Google Play ou PostHog) ou en déconnectant l’intégration dans la console. Vous pouvez vous désinscrire des e-mails et des notifications non essentiels dans vos paramètres. Nous n’exercerons jamais de discrimination à votre encontre pour avoir exercé un droit relatif à la vie privée.

Espace économique européen, Royaume-Uni et Suisse. Nous traitons vos données sur les bases légales suivantes : l’exécution de notre contrat avec vous (l’exploitation du service auquel vous vous êtes inscrit), nos intérêts légitimes (sécuriser et améliorer le service, prévenir les abus), votre consentement lorsque nous le demandons, et nos obligations légales. Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, du droit de retirer votre consentement à tout moment, ainsi que du droit d’introduire une réclamation auprès de votre autorité de contrôle locale.

Californie et autres États des États-Unis. Vous avez le droit de savoir quelles informations personnelles nous collectons, utilisons et divulguons (la présente politique), d’y accéder, de les corriger et de les supprimer, et de vous opposer à leur vente ou à leur partage — ce qui ne nous concerne pas, car nous ne vendons ni ne partageons d’informations personnelles au sens où ces termes sont définis dans le CCPA/CPRA. Nous n’utilisons ni ne divulguons d’informations personnelles sensibles à des fins nécessitant un droit de limitation. Vous pouvez exercer ces droits, y compris par l’intermédiaire d’un agent autorisé, en écrivant à support@nalya.io ; nous vérifierons les demandes à l’aide de l’adresse e-mail de votre compte.

Si vous êtes un utilisateur de l’application de l’un de nos clients (par exemple, vous avez laissé un avis ou effectué un achat dans une application qui utilise Nalya), le développeur de cette application est le responsable du traitement de vos données. Veuillez lui adresser vos demandes ; si vous nous contactez directement, nous transmettrons votre demande au développeur concerné et l’aiderons à y donner suite.

15. Enfants

Nalya est un outil professionnel destiné aux développeurs d’applications et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment d’informations personnelles auprès de personnes de moins de 16 ans, et vous ne pouvez pas créer de compte si vous avez moins de 16 ans (ou moins que l’âge du consentement numérique applicable dans votre lieu de résidence). Si vous pensez qu’un enfant nous a fourni des informations, contactez-nous à support@nalya.io et nous les supprimerons.

16. Modifications de cette politique

Nous pouvons mettre à jour cette politique à mesure que le produit évolue. Nous réviserons la date de « dernière mise à jour » ci-dessus et, pour les changements importants, nous vous donnerons un préavis raisonnable dans la console ou par e-mail avant que le changement ne prenne effet. Si vous continuez à utiliser Nalya après l’entrée en vigueur d’un changement, la politique mise à jour s’applique ; si vous n’êtes pas d’accord avec un changement, vous pouvez supprimer votre compte.

17. Contact

Nalya LLC, une société à responsabilité limitée du Delaware, est responsable des traitements décrits dans la présente politique. Des questions, des préoccupations ou des demandes concernant cette politique ou vos données ? Écrivez-nous à support@nalya.io et nous vous répondrons dès que possible, et dans tout délai imposé par la loi applicable. Vous pouvez également nous joindre par courrier à l’adresse Nalya LLC · 611 South DuPont Highway, Suite 102, Dover, DE 19901, USA.