Politique de confidentialité
Privacy policy
En vigueur le 1er septembre 2026
Effective September 1, 2026
Cellier est une application de gestion de cave à vin. Cette politique décrit les renseignements que l’application recueille, ce qu’elle en fait, et ce que vous pouvez exiger. Elle est écrite pour être lue, pas pour être opposée.
Elle est rédigée au regard de la Loi 25 du Québec, du RGPD européen et des exigences de l’App Store d’Apple.
Qui est responsable
Patrick Brassard3525, rue Robert-Chevalier
Montréal (Québec) H1A 3N6
Canada
Personne responsable de la protection des renseignements personnels, au sens de la Loi 25 : Patrick Brassard — confidentialite@cellierapp.com
Ce que Cellier recueille
Votre adresse de courriel
Recueillie à la création du compte, pour vous identifier et vous permettre de retrouver votre cave sur un autre appareil. Elle n’est pas utilisée à des fins publicitaires et n’est jamais vendue.
Votre cave
Les bouteilles que vous enregistrez, leurs millésimes, leurs emplacements, leurs valeurs, vos lieux et vos contenants. Ces renseignements servent à synchroniser et afficher votre cave. À votre demande explicite, les détails d’une bouteille peuvent aussi servir à produire sa Fiche de Garde.
Les données traitées par l’intelligence artificielle
Quand vous demandez l’identification d’une bouteille, la photographie de son étiquette est transmise à l’API commerciale d’Anthropic pour y être lue. Cellier ne la conserve pas dans sa base et efface la copie temporaire de l’appareil après le traitement. Quand vous demandez une Fiche de Garde, Cellier transmet à la même API les détails utiles de la bouteille — notamment producteur, cuvée, millésime, appellation, région, pays et type de vin — et utilise sa fonction de recherche web afin de produire les informations demandées.
Selon les règles standard actuelles d’Anthropic, les entrées et sorties de l’API sont supprimées de ses systèmes dans les 30 jours, sauf nécessité liée à sa politique d’utilisation ou à la loi; elles ne servent pas à entraîner ses modèles sauf participation volontaire de l’éditeur.
Ce traitement ne s’effectue qu’avec votre consentement, demandé sur un écran distinct à la première ouverture. Vous pouvez le refuser, et le retirer à tout moment dans les Réglages. En cas de refus, Cellier demeure utilisable sans ses fonctions d’intelligence artificielle : vous saisissez et gérez vos bouteilles, vos lieux, vos emplacements et vos rappels manuellement.
Des mesures d’usage technique
Chaque appel à un agent inscrit sa consommation — nombre de jetons, durée, succès ou échec — afin de surveiller les coûts. Ces mesures sont rattachées à votre compte mais ne contiennent ni photographie, ni contenu de bouteille.
Vos signalements de résultats
Lorsque vous signalez volontairement un résultat produit par l’intelligence artificielle, Cellier conserve le motif choisi, votre commentaire facultatif et le résultat visé afin de pouvoir l’examiner. Le signalement est rattaché à votre compte et supprimé avec celui-ci.
Votre abonnement
Quand vous achetez ou restaurez Cellier Plus, Apple ou Google traite le paiement. Cellier ne reçoit aucun numéro de carte. RevenueCat reçoit l’identifiant interne de votre compte Cellier et l’historique nécessaire de l’achat (produit, boutique, état et échéance) afin de vérifier le reçu, activer vos droits sur vos appareils et produire les mesures agrégées de fonctionnement de l’abonnement. Aucun identifiant publicitaire ne lui est transmis par Cellier.
La preuve technique de suppression
Pendant que votre compte existe, chaque installation de Cellier crée une preuve opaque et aléatoire qui lui est propre. Le jeton brut demeure uniquement sur l’appareil; le serveur reçoit et conserve seulement son empreinte cryptographique SHA-256, avec les dates techniques nécessaires. Le serveur horodate aussi la confirmation d’enregistrement conservée sur l’appareil. Cette confirmation permet d’ouvrir votre cave locale hors ligne pendant au plus 90 jours; passé ce délai, une nouvelle confirmation en ligne est exigée.
Si une suppression est demandée, l’empreinte déjà enregistrée devient un reçu de reprise minimal. Le reçu et l’état de l’opération permettent de mener à terme, de façon idempotente, la suppression du compte d’authentification, des photographies et du dossier d’abonné RevenueCat, même si une réponse réseau se perd. Ils ne contiennent ni courriel, ni photographie, ni contenu de cave.
Ce que Cellier ne fait pas
- Aucun suivi publicitaire. Aucun traceur, aucun identifiant publicitaire, aucun réseau de publicité.
- Aucune vente ni location de vos renseignements.
- Aucun profilage ni décision automatisée produisant un effet juridique.
- Aucune localisation. Cellier ne demande pas votre position.
Où vos renseignements sont conservés
Vos données sont hébergées chez Supabase, dans la région
ca-central-1, au Canada.
Les photographies d’étiquettes et les détails de bouteille décrits ci-dessus sont traités par Anthropic hors Québec, au moyen de son infrastructure et de ses sous-traitants internationaux; Anthropic indique que les données de ses services commerciaux sont stockées aux États-Unis. Cette communication est limitée à la fonction demandée et soumise à votre consentement préalable.
L’état de votre abonnement transite par RevenueCat, sous-traitant de gestion des achats intégrés. Apple ou Google conserve par ailleurs les renseignements de transaction selon les règles du compte de boutique utilisé pour l’achat.
Combien de temps
Vos renseignements sont conservés tant que votre compte existe.
La suppression de votre compte retire immédiatement de la base active vos bouteilles, lieux, contenants, mesures d’usage, signalements et le compte lui-même. Le dossier d’abonné associé chez RevenueCat est supprimé avant le compte, et le cache Cellier de l’appareil est aussi effacé. Des copies techniques peuvent subsister temporairement dans les sauvegardes chiffrées ou journaux de sécurité des fournisseurs, selon leurs cycles de rotation et les obligations légales applicables. Elles ne sont plus accessibles dans Cellier. Les mesures de coût strictement agrégées, sans identifiant de compte ni contenu de bouteille, ne permettent pas de vous identifier. L’opération est irréversible.
Le reçu et l’état de l’opération sont conservés aussi longtemps qu’il le faut pour terminer toutes les étapes de suppression. Une fois l’opération terminée, l’identifiant interne du compte est retiré du reçu. Le registre d’opération qui contient encore cet identifiant est supprimé après 7 jours; ce bref délai ferme les demandes concurrentes déjà en cours.
Un reçu terminé mais pas encore acquitté par l’appareil est conservé sans date d’expiration afin qu’un appareil demeuré hors ligne puisse constater la suppression. Après avoir effacé le cache Cellier et fermé la session locale, l’appareil acquitte le reçu. Seuls l’empreinte SHA-256 non rattachée au compte et les renseignements techniques du reçu accompli sont alors conservés pendant 730 jours, afin qu’une réponse perdue puisse être répétée sans danger, puis ils sont supprimés.
Une preuve préenregistrée qui n’est liée à aucune opération n’est considérée orpheline que si le compte d’authentification correspondant n’existe plus. Elle est alors supprimée après 30 jours. La preuve d’un compte encore actif n’expire pas sur le serveur.
La suppression du compte Cellier ne résilie pas automatiquement un abonnement facturé par Apple ou Google. Le lien de gestion affiché avant la suppression permet de désactiver son renouvellement dans la boutique.
Si l’application n’est plus accessible, consultez la page Suppression de compte pour transmettre une demande depuis l’adresse de courriel du compte.
Vos droits
Vous pouvez, à tout moment :
- Consulter les renseignements vous concernant — ils sont affichés dans l’application ;
- Les rectifier, en modifiant vos bouteilles ;
- Les faire effacer, en supprimant votre compte ;
- Retirer votre consentement aux fonctions d’intelligence artificielle ;
- Obtenir leur communication dans un format structuré ;
- Porter plainte auprès de la Commission d’accès à l’information du Québec.
Pour exercer un droit qui ne se règle pas dans l’application, écrivez à l’adresse indiquée plus haut. Réponse sous 30 jours, conformément à la Loi 25.
Sécurité
Vos données sont cloisonnées par compte au niveau de la base elle-même — row level security — et non par le code de l’application. Un compte ne peut pas lire les bouteilles d’un autre, quand bien même l’application le demanderait.
Les appels aux agents d’intelligence artificielle passent par des fonctions serveur à jeton vérifié. Les clés d’interface ne quittent jamais nos serveurs.
Les enfants
Cellier porte sur des boissons alcoolisées et ne s’adresse pas aux mineurs. L’application n’est pas destinée aux personnes de moins de 18 ans et ne recueille pas sciemment leurs renseignements.
Modifications
Toute modification substantielle sera annoncée dans l’application avant son entrée en vigueur. La date figurant en tête indique la version applicable.
Cellier is a wine cellar management app. This policy describes what the app collects, what it does with it, and what you may require. It is written to be read, not to be invoked against you.
It is drafted with regard to Quebec’s Law 25, the European GDPR, and Apple’s App Store requirements.
Who is responsible
Patrick Brassard3525, rue Robert-Chevalier
Montréal, Quebec H1A 3N6
Canada
Privacy officer under Law 25: Patrick Brassard — confidentialite@cellierapp.com
What Cellier collects
Your email address
Collected when you create your account, to identify you and let you find your cellar on another device. It is not used for advertising and is never sold.
Your cellar
The bottles you record, their vintages, slots and values, along with your places and containers. This information is used to synchronize and display your cellar. At your explicit request, a bottle’s details may also be used to produce its Cellaring Note.
Data processed by artificial intelligence
When you ask for a bottle to be identified, the photograph of its label is sent to an Anthropic commercial API to be read. Cellier does not store it in its database and deletes the device’s temporary copy after processing. When you request a Cellaring Note, Cellier sends the same API the useful bottle details — including producer, cuvée, vintage, appellation, region, country and wine type — and uses its web-search feature to produce the requested information.
Under Anthropic’s current standard terms, API inputs and outputs are deleted from its systems within 30 days, except where required for usage-policy enforcement or by law; they are not used for model training unless the publisher voluntarily opts in.
This processing takes place only with your consent, requested on a separate screen the first time you open the app. You may decline, and withdraw your consent at any time in Settings. If you decline, Cellier remains usable without its artificial-intelligence features: you manually enter and manage your bottles, places, slots and reminders.
Technical usage measurements
Each call to an agent records its consumption — token count, duration, success or failure — so that costs can be monitored. These measurements are linked to your account but contain no photograph and no bottle content.
Your result reports
When you voluntarily report an artificial-intelligence result, Cellier stores the selected reason, your optional comment and the reported result so it can be reviewed. The report is linked to your account and deleted with it.
Your subscription
When you purchase or restore Cellier Plus, Apple or Google processes the payment. Cellier receives no card number. RevenueCat receives your internal Cellier account identifier and the necessary purchase history (product, store, status and expiry) to verify the receipt, enable your rights across devices, and produce aggregate subscription operation metrics. Cellier sends it no advertising identifier.
Technical deletion proof
While your account exists, each Cellier installation creates its own random, opaque proof. The raw token remains only on the device; the server receives and stores only its SHA-256 cryptographic hash and the necessary technical dates. The server also timestamps the registration confirmation kept on the device. That confirmation allows the local cellar to be opened offline for no more than 90 days; after that, a new online confirmation is required.
If deletion is requested, the previously registered hash becomes a minimal recovery receipt. The receipt and operation state allow deletion of the authentication account, photographs and RevenueCat subscriber record to be completed idempotently even if a network response is lost. They contain no email address, photograph, or cellar content.
What Cellier does not do
- No advertising tracking. No trackers, no advertising identifier, no ad network.
- No sale or rental of your information.
- No profiling and no automated decision producing legal effects.
- No location. Cellier does not ask for your position.
Where your information is kept
Your data is hosted with Supabase, in the ca-central-1
region, in Canada.
The label photographs and bottle details described above are processed by Anthropic outside Quebec through its international infrastructure and subprocessors; Anthropic states that commercial-services data is stored in the United States. This communication is limited to the requested feature and subject to your prior consent.
Your subscription status transits through RevenueCat, a processor for in-app purchase management. Apple or Google also retains transaction information under the rules of the store account used for the purchase.
For how long
Your information is kept as long as your account exists.
Deleting your account immediately removes your bottles, places, containers, usage measurements, reports and the account itself from the active database. The associated RevenueCat subscriber record is deleted before the account, and the Cellier cache is also erased from the device. Technical copies may remain temporarily in providers’ encrypted backups or security logs according to their rotation schedules and applicable legal obligations. They are no longer accessible in Cellier. Strictly aggregated cost metrics, with no account identifier or bottle content, cannot identify you. The operation is irreversible.
The receipt and operation state are retained for as long as needed to complete every deletion step. Once the operation is complete, the internal account identifier is removed from the receipt. The operation record that still contains that identifier is deleted after 7 days; this brief period closes requests that were already in flight.
A completed receipt that the device has not yet acknowledged is retained without an expiry date so a device that remained offline can learn of the deletion. After erasing the Cellier cache and signing out locally, the device acknowledges the receipt. Only the account-unlinked SHA-256 hash and the completed receipt’s technical information are then retained for 730 days so that a lost response can be retried safely, after which they are deleted.
A preregistered proof that is not linked to any operation is treated as orphaned only if the corresponding authentication account no longer exists. It is then deleted after 30 days. A proof belonging to an active account does not expire on the server.
Deleting your Cellier account does not automatically cancel a subscription billed by Apple or Google. The management link shown before deletion lets you turn off renewal in the store.
If the app is no longer accessible, visit the Account deletion page to send a request from the account email address.
Your rights
At any time you may:
- Access the information concerning you — it is displayed in the app;
- Correct it, by editing your bottles;
- Have it erased, by deleting your account;
- Withdraw your consent to artificial-intelligence features;
- Obtain it in a structured format;
- File a complaint with the Commission d’accès à l’information du Québec.
To exercise a right that cannot be settled within the app, write to the address above. Reply within 30 days, as required by Law 25.
Security
Your data is partitioned by account at the database level itself — row level security — and not by the app’s code. One account cannot read another’s bottles, even if the app were to ask.
Calls to the artificial intelligence agents go through server functions with verified tokens. Interface keys never leave our servers.
Children
Cellier concerns alcoholic beverages and is not intended for minors. The app is not directed at people under 18 and does not knowingly collect their information.
Changes
Any substantial change will be announced in the app before it takes effect. The date at the top indicates the applicable version.