Politique de confidentialité
Dernière mise à jour : 23 septembre 2026
Cette politique s'applique au site plasticapp.io, à l'application mobile CityBin, à la console de supervision CityBin (citybin.plasticapp.io) et à la plateforme associative (asso.plasticapp.io).
1. Qui traite vos données
PLASTICAPP, société par actions simplifiée au capital de 30 000 euros, immatriculée au registre du commerce et des sociétés d'Ajaccio sous le numéro 914 974 191, dont le siège social est situé 2 rue Lorenzo Vero, 20000 Ajaccio, représentée par M. Jacques BATTINI, Président.
Référent RGPD : M. Jacques BATTINI, référent RGPD (art. 37 RGPD non applicable : désignation volontaire d'un référent). Courriel : rgpd@plasticapp.io. Téléphone : 06 62 24 50 94.
Lorsque CityBin est déployé pour le compte d'une collectivité, cette collectivité est responsable des traitements réalisés pour son service ; PLASTICAPP agit alors en qualité de sous-traitant, sur ses instructions. Pour ce site et pour les demandes de contact qui lui sont adressées, PLASTICAPP est responsable de traitement.
2. Ce site (plasticapp.io)
Ce site ne dépose aucun cookie et n'utilise aucun outil de mesure d'audience ni de suivi. Ses polices de caractères sont servies depuis le site lui-même.
La langue que vous choisissez est enregistrée dans le stockage local de votre navigateur (clé « plasticapp_lang ») ; elle n'est pas transmise.
L'hébergeur du site, Vercel Inc., enregistre des journaux d'accès techniques (notamment l'adresse IP, la date et la page demandée), nécessaires à la sécurité et au fonctionnement du service.
Si vous nous écrivez (contact@plasticapp.io, ou le formulaire de la page Communes, qui ouvre votre messagerie), nous traitons votre nom, votre organisation, votre adresse électronique et le contenu de votre message pour vous répondre. Ces données sont conservées trois ans après le dernier contact.
3. Application CityBin, console et plateforme associative
| Traitement | Finalité | Données | Base légale | Conservation |
|---|---|---|---|---|
| Comptes usagers | Authentification, personnalisation | Courriel, pseudonyme, collectivité, consentements horodatés ; identifiant de l'usager, jeton d'appareil pour les notifications ; points, niveau, série, association | Consentement (art. 6.1.a) et contrat (art. 6.1.b) | Jusqu'à suppression du compte par l'usager : compte, profil, signalements et médias, événements d'usage, contributions de terrain sous l'identifiant de l'usager effacés ; anonymisation des identifiants résiduels (carte, classements, journaux, preuve de consentement) |
| Signalements | Traitement des demandes des usagers | Description, photo, géolocalisation, identifiant | Mission d'intérêt public (art. 6.1.e) | 12 mois après clôture du signalement, puis anonymisation ; la collectivité responsable peut fixer une autre durée |
| Carte des équipements de tri | Référentiel public des bacs et points de collecte, enrichi par les usagers | Position et type de l'équipement, identifiant du contributeur | Mission d'intérêt public (art. 6.1.e) | Durée du service pour l'équipement ; identifiant du contributeur anonymisé à la suppression du compte |
| Journaux techniques (exécution, stabilité) | Diagnostic et supervision | Identifiant technique de l'usager, horodatage, événement ; rapports de stabilité (plantages, journaux, erreurs) transmis à Firebase Crashlytics | Intérêt légitime (art. 6.1.f) | 30 jours (journaux d'exécution) ; 90 jours (stabilité applicative), expiration automatique |
| Calendrier et consignes localisés | Service personnalisé | Adresse saisie, position résolue, commune de rattachement | Mission d'intérêt public | Voir le paragraphe « Adresse saisie » ci-dessous |
| Statistiques d'usage | Pilotage du service | Événements d'usage horodatés (44 types), chacun portant l'identifiant de l'usager, dans la base de la solution ; le pilotage s'appuie sur leurs agrégats | Intérêt légitime | 3 ans |
Adresse saisie pour le calendrier et les consignes
Adresse saisie : elle sert uniquement à déterminer les consignes applicables ; elle n'est enregistrée sur aucun serveur du titulaire ; elle est transmise à la Base Adresse Nationale, sans identifiant, pour être localisée ; elle peut être conservée dans la mémoire locale de l'appareil de l'usager (cache local des consignes), où elle n'est plus utilisée au-delà de trente jours ; position résolue : conservée dans ce même cache, où elle n'est plus utilisée au-delà de trente jours ; ce cache est indexé par une case de grille d'environ 1 km et non par la position elle-même ; commune de rattachement : durée du compte.
Mesure d'audience de l'application
Les versions iOS 1.7.0 et antérieures et Android 1.8.0 et antérieures transmettent des mesures d'usage à Firebase Analytics ; les versions Android 1.8.3 et suivantes et iOS 2.3 et suivantes n'en transmettent plus.
Reconnaissance visuelle
La reconnaissance des bacs et points d'apport photographiés s'effectue sur l'appareil : les images ne sont pas transmises pour cette reconnaissance.
Assistant conversationnel
Un assistant conversationnel est à mettre en service ; il ne recevra que le contenu de la question, sans donnée identifiante, avec une journalisation anonymisée.
Comptes des agents des communes et intercommunalités (console)
Leur effacement à la fin des habilitations est réalisé par PLASTICAPP sur demande de la collectivité responsable.
Plateforme associative
Nom de l'association, courriel de contact, détails des événements (lieux, dates) et données des participants renseignées pour l'organisation ; conservation pendant la durée du compte de l'association.
4. Destinataires et sous-traitants
- La collectivité concernée : les signalements sont transmis à ses services. Les associations organisatrices : inscriptions à leurs événements.
- Base Adresse Nationale (adresse saisie, sans identifiant) et Open Food Facts (code-barres scanné, sans identifiant d'usager), en France.
- Google LLC, société de droit américain, pour Firebase Crashlytics, Firebase Analytics (versions citées ci-dessus), Firebase Cloud Messaging et Firebase Authentication (courriel, mot de passe haché, jeton et identifiant ; connexion Google au choix de l'usager).
Nous ne vendons pas vos données.
| Sous-traitant | Objet |
|---|---|
| Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande) | Hébergement applicatif et base de données (Firebase / Firestore), authentification, stockage, notifications, mesure de stabilité |
| Google Ireland Limited, Google Maps Platform | Cartographie (coordonnées de points d'intérêt, sans donnée personnelle) |
| Mapbox Inc. (San Francisco, Californie, États-Unis) | Cartographie de la console de supervision (coordonnées de signalements) |
| Vercel Inc. (San Francisco, Californie, États-Unis) | Hébergement des interfaces web et exécution des fonctions applicatives (journaux d'accès) |
| Mistral AI (Paris, France) | Modèle de langage de la couche conversationnelle, traitement dans l'Union européenne ; aucune donnée à caractère personnel transmise au modèle |
| Cloudinary Ltd. | Stockage et diffusion des photographies de bacs, de signalements, de produits et de caractérisations |
| Resend (Plus Five Five, Inc.) | Envoi de courriels transactionnels (adresse électronique, nom) |
| Auditeur indépendant du dispositif d'intelligence artificielle | Organisme établi dans l'Union européenne, en cours de sélection |
5. Où sont les données, transferts hors de l'Union européenne
Traitements mesurés dans l'Union européenne : bases de données Firestore en europe-west9 (Paris) et eur3 (multi-région Union européenne), fonctions serveur en europe-west1 ; Open Food Facts et Base Adresse Nationale : France, sans identifiant d'usager.
Certains traitements ont lieu hors de l'Union européenne :
- Google LLC : Firebase Crashlytics, Firebase Analytics, Firebase Cloud Messaging et Firebase Authentication, sans engagement de région ; garantie : certification de Google au cadre de protection des données UE–États-Unis et clauses contractuelles types de la Commission européenne. Le calcul des classements s'exécute en région us-central1 (États-Unis) et lit les profils publics et les bacs, les données au repos demeurant en europe-west9 et eur3.
- Google Maps (position ou zone consultée, clé d'accès).
- Cloudinary et Resend, sociétés de droit américain (photographies ; courriels transactionnels) : transferts encadrés par les clauses contractuelles types.
- Vercel Inc. (journaux d'accès des interfaces web ; fonctions applicatives épinglées en région cdg1, Paris) : transferts résiduels encadrés par les clauses contractuelles types.
- Mapbox Inc. (coordonnées de signalements, console de supervision).
6. Sécurité
Chiffrement en transit et au repos, isolation des données par collectivité assurée au niveau du contrôle applicatif et des règles de sécurité de la base de données, trois environnements séparés.
7. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement et d'opposition, d'un droit à la limitation du traitement, d'un droit à la portabilité de vos données et du droit de ne pas faire l'objet d'une décision individuelle automatisée. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès.
Pour les exercer : rgpd@plasticapp.io. Lorsque vos données sont traitées pour le compte d'une collectivité, PLASTICAPP transmet votre demande dès réception à cette collectivité, responsable du traitement.
Utilisateurs de l'ancienne application PlasticApp (jeu, 2022-2024) : cette application n'est plus distribuée sur les magasins d'applications. Vous pouvez demander l'effacement du compte que vous y aviez créé en écrivant à rgpd@plasticapp.io ; la suppression est effectuée manuellement et confirmée par retour de courriel.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
8. Modification de cette politique
Cette politique peut évoluer, notamment lors de la publication de nouvelles versions de l'application ; la date de mise à jour figure en tête de page.