Politique de confidentialité

Nous avons réécrit cette page pour qu’elle décrive ce que l’application fait aujourd’hui. Les principaux changements :

• Être trouvable (1er octobre 2026) : l’adresse e-mail de votre compte est désormais trouvable par les personnes qui l’ont déjà dans leurs contacts, sauf si vous désactivez l’interrupteur. Auparavant, c’était désactivé tant que vous ne l’activiez pas. Les membres déjà inscrits ont été prévenus par une notification et peuvent le désactiver en un geste.
• Numéro de téléphone et contacts : la version précédente disait que nous ne demandions jamais de numéro de téléphone. Ce n’était plus vrai. La recherche de contacts, facultative, est désormais décrite en entier.
• Localisation : le bouton « Autour de moi » et la ville facultative de votre profil sont désormais décrits, avec les services qui voient quoi. La position qui sert à nommer votre commune est désormais arrondie à environ 100 m avant de quitter votre appareil.
• Notifications : le jeton enregistré pour votre téléphone, et le service qui relaie les notifications, sont désormais décrits. Se déconnecter retire désormais le jeton de ce téléphone.
• IA et services extérieurs : chaque fournisseur est désormais nommé, avec ce qu’il reçoit. Les signalements et la modération ont leur propre section.
• Suppression et export : la page dit désormais ce qui se passe vraiment. La suppression du compte est immédiate et quelques éléments sont conservés. Supprimer une bibliothèque ou une pièce supprime désormais le fichier de sa photo, et l’export comprend désormais votre ville, vos appareils et les signalements que vous avez envoyés. Nous ne promettons plus non plus un e-mail à chaque modification de cette page : nous mettons à jour la page et sa date.
• 29 septembre : supprimer un foyer entier supprime désormais aussi les fichiers de ses photos.

Tomeling est le responsable de traitement pour tout ce qui est décrit ici. Écrivez à privacy@tomeling.app pour toute demande concernant vos données. Nous répondons sous un mois, comme le RGPD l’exige.

• Compte : votre adresse e-mail, ainsi que le pseudo et l’avatar que vous choisissez. Il n’existe aucun champ nom ou prénom. Si vous vous connectez avec Apple, nous ne demandons aucun nom à Apple.
• Profil, facultatif : une ville que vous saisissez vous-même (voir « Votre position et votre ville »).
• Collection : les livres, exemplaires, pièces, bibliothèques et étagères que vous créez, avec étiquettes, séries et dates d’acquisition.
• Photographies : les photos de bibliothèques et d’étagères que vous téléversez, la position de chaque tranche sur ces photos, et les couvertures que vous ajoutez à un livre qui n’en avait pas.
• Lecture : statut de lecture, notes, notes privées, séances de lecture, commentaires et leur visibilité, liste d’envies, prêts.
• Social : amitiés, membres que vous bloquez, clubs de lecture rejoints, messages écrits dans un club, signalements que vous faites.
• Fonctions facultatives : une empreinte de votre adresse e-mail (sauf si vous désactivez le fait d’être trouvable), une empreinte de votre numéro de téléphone si vous l’ajoutez, et un jeton de notification pour votre téléphone si vous acceptez les notifications.
• Sur ce site : l’adresse e-mail que vous laissez dans un formulaire (pour être prévenu de l’application iPhone, ou pour cosigner le manifeste avec un nom ou un pseudo et un rôle). Elle sert uniquement à vous écrire à ce sujet et n’est liée à aucun compte.
• Technique : nos hébergeurs conservent pendant une durée limitée des journaux de requêtes avec une adresse IP et un type de navigateur, pour la sécurité et la correction des pannes. Nous gardons aussi une trace des actions sensibles (un export, une suppression, une recherche de contacts), sans leur contenu.

Nous ne demandons ni date de naissance, ni adresse postale, ni moyen de paiement. Tomeling est gratuit : il n’y a aucune donnée bancaire à conserver.

• Pour fournir le service demandé (catalogue, capture, fonctions sociales, et les fonctions facultatives que vous activez) : exécution du contrat qui nous lie (art. 6.1.b). Chaque fonction facultative peut être désactivée à tout moment.
• Pour maintenir le service en état et sûr (journaux, limitation de débit, modération, lutte contre les abus) : notre intérêt légitime à un service qui tient debout (art. 6.1.f).
• Pour envoyer les e-mails demandés sur ce site : votre consentement (art. 6.1.a), que vous pouvez retirer à tout moment.
• Pour respecter une obligation légale lorsqu’il en existe une (art. 6.1.c).

Nous ne vendons pas de données personnelles, nous ne diffusons pas de publicité, nous ne vous suivons pas d’une application ou d’un site à l’autre, et nous ne vous profilons pas au bénéfice de qui que ce soit.

Les deux sont facultatifs. Être trouvable par l’adresse e-mail de votre compte est activé sauf si vous le désactivez ; votre numéro de téléphone et la recherche dans vos contacts restent désactivés tant que vous ne les choisissez pas. Ils servent une seule fonction : permettre aux personnes qui vous connaissent de vous retrouver sur Tomeling, et à vous de les retrouver.

Être trouvable

L’adresse e-mail de votre compte est trouvable par les personnes qui l’ont déjà dans leurs contacts, sauf si vous désactivez « Me rendre trouvable par mes contacts » — à l’inscription, à tout moment dans les réglages, ou sur l’écran « Tes préférences ». Vous pouvez aussi saisir votre propre numéro de téléphone. Il est envoyé à notre serveur par une connexion chiffrée, transformé là en empreinte (un hachage calculé avec une clé secrète que seul le serveur détient), puis oublié. Seule l’empreinte est enregistrée avec votre compte, jamais le numéro. Désactiver l’interrupteur supprime les empreintes, et nous ne le réactivons jamais à votre place. Nous ne vous appelons jamais et ne vous envoyons jamais de SMS.

Retrouver des amis dans vos contacts (application iPhone)

Seulement quand vous le demandez, et seulement avec l’autorisation d’iOS. L’application lit les adresses e-mail, les numéros de téléphone et les noms de votre carnet d’adresses, et rien d’autre : ni photos, ni autres informations. Sur votre téléphone, chaque adresse et chaque numéro est transformé en empreinte (SHA-256) avant tout envoi ; les noms ne sont jamais envoyés. Notre serveur compare ces empreintes à celles des membres qui sont trouvables, et répond par leur profil public (pseudo, prénom et nom s’ils en ont indiqué, avatar) et, pour chacun, par celles de vos empreintes qui correspondent. Votre téléphone s’en sert pour afficher le nom que vous donnez à cette personne dans vos contacts. Nous ne voyons jamais ce nom ni votre carnet d’adresses.

Les empreintes de vos contacts ne sont ni enregistrées ni journalisées. Nous gardons deux nombres par recherche (combien d’empreintes comparées, combien de correspondances) pour détecter les abus. Vos contacts ne sont jamais contactés. Sur votre téléphone, et seulement là, l’application garde le nom que vous donnez à chaque membre retrouvé dans vos contacts, pour pouvoir l’afficher ailleurs dans l’application ; il est effacé quand vous vous déconnectez et ne nous est jamais envoyé. Une empreinte n’est pas l’anonymat : quelqu’un qui détiendrait à la fois notre base et la clé du serveur pourrait tester des suppositions. C’est pourquoi la clé est rangée dans un coffre chiffré séparé, et pourquoi les membres qui ont désactivé le fait d’être trouvables n’ont aucune empreinte.

« Autour de moi »

Certains écrans proposent un bouton « Autour de moi », pour afficher les librairies et les événements proches. Votre appareil demande l’autorisation la première fois que vous le touchez, jamais avant. L’application lit alors votre position une fois, pendant que vous l’utilisez : jamais en arrière-plan, jamais en continu. L’application iPhone demande une position approximative (environ 100 m).

La position sert à une seule requête : trier les librairies et les événements par distance. Elle n’est pas enregistrée dans votre compte et n’est pas conservée avec votre identité.

Dans l’application web, le même geste fait deux choses de plus. Pour nommer votre commune, votre position est arrondie à environ 100 m puis envoyée au service d’adresses de l’État (API Adresse) ou, hors de France, au service Nominatim d’OpenStreetMap. Et un compteur anonyme augmente pour la zone d’environ 10 km autour de vous (France et Suisse seulement) : aucun compte, aucune heure, seulement la date. Il nous dit où chercher des événements autour du livre. L’application iPhone ne fait ni l’un ni l’autre.

Vous pouvez aussi saisir un lieu. Le texte part vers API Adresse, OpenStreetMap Nominatim ou Google Places pour trouver l’endroit. Notre serveur garde 24 heures un cache commun des noms de lieux saisis et de leurs réponses, sans lien avec vous. Le lieu choisi est mémorisé sur votre appareil uniquement.

Votre ville

Votre profil comporte un champ « Ville » facultatif. Vous le saisissez vous-même, jusqu’à 120 caractères, et vous seul le voyez. Les suggestions pendant la saisie viennent de Google Places, qui reçoit les lettres tapées, jamais votre position. Dans l’application web, le bouton « utiliser ma position » à côté envoie une position arrondie à environ 100 m à OpenStreetMap Nominatim, seulement pour proposer un nom. Vous pouvez modifier ou effacer ce champ à tout moment.

L’application iPhone ne demande jamais au lancement. Elle propose les notifications quand elles sont utiles (après une série de scans ISBN) ou depuis vos réglages. C’est seulement alors qu’iOS vous pose la question.

Si vous acceptez, nous enregistrons un jeton pour ce téléphone : le jeton émis par Expo, la plateforme, un identifiant d’installation créé par l’application (pas un identifiant matériel), votre langue, la version de l’application et sa dernière connexion. Vous seul pouvez le lire. Il sert à une seule chose : livrer les notifications Tomeling sur ce téléphone.

Expo, le service qui relaie les notifications vers Apple, voit le jeton et le texte de chaque notification, par exemple le nombre de livres qui attendent votre vérification. Les rappels de prêt sont programmés sur le téléphone lui-même et n’en sortent jamais.

Pour arrêter, désactivez les notifications dans les réglages d’iOS. Un jeton qui ne fonctionne plus est désactivé automatiquement. Se déconnecter retire le jeton de ce téléphone, et « Se déconnecter partout » retire ceux de tous vos appareils ; vous reconnecter enregistre à nouveau le téléphone. Supprimer votre compte supprime vos jetons.

La photo de votre bibliothèque est la photo de votre logement. Ces fichiers vivent dans un stockage privé : aucun dossier public, aucune adresse devinable, et chaque affichage passe par un lien signé de courte durée émis pour vous. Les autres membres de votre foyer voient les photos des bibliothèques du foyer, c’est l’objet même d’un foyer. Personne d’autre. Les couvertures que vous ajoutez sont aussi stockées en privé, mais peuvent apparaître sur la carte de partage d’un livre.

Quand vous supprimez votre compte, nous supprimons votre avatar, vos exports passés et les photos de tout foyer dont vous étiez le dernier membre. Les photos d’un foyer qui compte encore d’autres membres restent à ce foyer. Supprimer une bibliothèque ou une pièce, ou remplacer ou retirer sa photo, supprime aussi le fichier de la photo du stockage. La photo d’un scan est conservée aussi longtemps que le scan, pour qu’il puisse être relu. Supprimer un foyer entier depuis ses réglages supprime aussi les fichiers de ses photos, juste après le foyer lui-même ; les photos des autres foyers dont vous êtes membre ne sont pas touchées.

Nous utilisons des modèles d’IA comme sous-traitants : ils agissent sur nos instructions, dans le cadre d’un accord de traitement des données, et nous leur demandons de ne pas s’entraîner sur ce que nous envoyons. Aucun ne reçoit votre adresse e-mail, votre nom ou votre position. Voici ce que chacun reçoit.

• Photos de bibliothèques, vers Anthropic : pour lire les tranches, nous envoyons la photo entière, et les langues habituelles des livres de votre foyer. Un scan peut être relancé sur la même photo, par vous ou par notre support.
• Votre portrait de lecteur, vers Anthropic : seulement quand vous le demandez, trois fois par mois au plus. Nous envoyons des statistiques sur votre collection (nombre de livres par genre, langue ou décennie), jamais de titres, d’auteurs ou de notes.
• Fiches livre, vers Anthropic : pour compléter un résumé, une couverture ou un détail manquant, et pour écrire une courte citation, nous envoyons des informations publiques sur le livre (titre, auteurs, ISBN, résumé de l’éditeur). Cela peut arriver quand quelqu’un ouvre une fiche. Rien sur le lecteur n’est envoyé.
• Traductions, vers Anthropic : les résumés, citations et biographies d’auteurs sont traduits dans votre langue. Ce que vous écrivez (commentaires, notes, messages de club) n’est jamais envoyé en traduction.
• Images d’actualité, vers OpenAI : les illustrations de nos articles d’actualité sont générées à partir d’une description d’actualités publiques. Aucune donnée de membre n’est envoyée.

Pour identifier un livre, nous interrogeons Google Books, Open Library, la BnF et Wikidata avec un ISBN, un titre ou un auteur. Dans l’application iPhone, une recherche par titre part directement de votre téléphone vers Google Books et Open Library, qui voient alors l’adresse IP de votre téléphone et les mots saisis.

Vous pouvez signaler un commentaire, un club, un message de club ou un membre. Nous enregistrons qui a signalé, le motif, les précisions éventuelles (jusqu’à 2 000 caractères) et la décision prise. Nos modérateurs voient le signalement et son auteur. Le membre signalé n’apprend pas qui l’a signalé.

Vous pouvez aussi bloquer un membre : il ne voit plus votre profil ni vos données personnelles. Si vous supprimez votre compte, les signalements que vous avez faits sont conservés pour la modération, sans plus être liés à vous.

• Les membres de votre foyer voient la collection du foyer, ses photographies, ses emplacements et ses prêts, jamais votre statut de lecture, vos notes, vos notes privées, vos séances de lecture ou vos commentaires privés.
• Vos amis voient ce que vous avez choisi de rendre visible aux amis, et la collection qu’un ami est autorisé à parcourir.
• Les autres membres voient votre pseudo et votre avatar. Les messages d’un club sont vus par ses membres, ou par tous les membres pour un club public.
• Toute personne détenant un lien de partage voit uniquement la fiche du livre : titre, auteurs, éditeur, résumé, couverture. Jamais un emplacement, jamais le propriétaire, jamais les données de lecture de qui que ce soit. Un lien de partage peut être révoqué à tout moment et cesse aussitôt de fonctionner.
• Nos sous-traitants agissent uniquement sur nos instructions : Supabase (base de données, connexion et fichiers, dans l’UE), Vercel (hébergement de ce site et de l’application web), Resend (e-mails de connexion et d’invitation), Expo (mises à jour de l’application et relais des notifications), Anthropic et OpenAI (IA, voir plus haut), Google (Books et Places, voir plus haut) et Sentry (rapports d’erreur de nos serveurs, région UE).
• Les services publics que nous interrogeons (Open Library, la BnF, Wikidata, API Adresse, OpenStreetMap Nominatim) ne reçoivent que la requête décrite plus haut.

Notre base de données et nos fichiers sont hébergés dans l’Union européenne. Lorsqu’un sous-traitant opère hors de l’UE, le transfert est encadré par les clauses contractuelles types de la Commission européenne.

Nous conservons vos données tant que votre compte existe. La suppression du compte est immédiate : votre profil, votre collection, vos données de lecture, vos messages de club, vos jetons de notification et vos empreintes de contact sont effacés aussitôt. Ce qui reste : les exemplaires partagés dans un foyer qui compte encore d’autres membres restent à ce foyer ; vos signalements restent, sans plus être liés à vous ; et une trace de sécurité de la suppression, qui contient une empreinte de votre compte et quelques totaux, pas votre adresse e-mail. Vos fichiers d’export restent dans un stockage privé jusqu’à votre export suivant ou la suppression de votre compte.

Le RGPD vous donne des droits d’accès, de rectification, d’effacement, de limitation et de portabilité, ainsi qu’un droit d’opposition lorsque le traitement repose sur l’intérêt légitime. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment sans effet sur le passé. Vous pouvez aussi saisir l’autorité de protection des données de votre pays (en France, la CNIL).

Deux de ces droits sont des boutons dans les réglages de votre compte, sur le web et sur iPhone. Export : un fichier ZIP de fichiers CSV (profil avec votre ville, foyers, catalogue, lecture, prêts, clubs et messages, amis, scans, imports, partages, vos appareils et les signalements que vous avez envoyés), par un lien privé valable 15 minutes, trois fois par jour au plus. Chaque appareil y figure par son identifiant d’installation, sa plateforme, sa langue, la version de l’application et ses dates, sans le jeton de notification lui-même, qui est une clé pour joindre votre téléphone et non une information sur vous. Un signalement ne désigne ce que vous avez signalé que par son identifiant. Suppression : immédiate dès que vous confirmez.

Ce site ne dépose aucun cookie et ne charge aucun traceur. Pour compter ses lecteurs, nos propres serveurs notent la page, la langue, le pays et le site d’origine. Les visiteurs uniques du jour sont comptés avec une empreinte de l’adresse IP et du navigateur mêlée à un secret, effacée au bout d’environ 48 heures. L’adresse IP elle-même n’est jamais enregistrée.

L’application web ne dépose que des cookies strictement nécessaires : votre session, votre langue, l’adresse à laquelle un code de connexion vient d’être envoyé (pendant une heure), et une note indiquant que vous avez passé l’écran d’accueil. Aucun n’est partagé. Certaines préférences restent sur votre appareil uniquement, comme les recherches récentes ou un lieu saisi.

Il n’y a aujourd’hui aucune mesure d’usage dans l’application web ni dans l’application iPhone, et l’application iPhone ne contient aucun outil publicitaire ni de suivi. Si nous en ajoutons une, elle sera annoncée ici avant d’être activée.

Lorsque cette politique change, nous mettons à jour cette page et sa date en haut de page, et disons ici ce qui a changé.