Politique de confidentialité

Dernière mise à jour : 19 juillet 2026

Chez Pewis, nous respectons votre vie privée. Cette politique explique quelles données nous collectons lorsque vous utilisez l'application Drop, pourquoi nous les collectons et comment vous pouvez exercer vos droits.

1. Qui est responsable du traitement ?

Le responsable du traitement est Pewis, société par actions simplifiée à associé unique au capital de 100 euros, dont le siège social est situé 58 rue de Monceau, 75008 Paris, France, immatriculée au RCS de Paris sous le numéro 105 823 132, éditrice de l'application Drop.
Pour toute question relative à la confidentialité, écrivez-nous à : pewis.app@gmail.com

Les informations légales complètes figurent sur la page mentions légales.

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement de l'application.

Catégorie	Données	Source
Compte	Prénom, nom, adresse e-mail, identifiant SSO (Google ou Facebook)	Fournisseur d'identité au moment de la connexion
Inventaire	Noms, descriptions, catégories, fréquences d'usage, photos et statuts de vos possessions	Saisi par vous dans l'application
Décisions	Réponses aux revues (garder / vendre / donner) et historique des décisions	Actions réalisées dans l'application
Vide-grenier et messagerie	Annonces publiées dans le cadre d'un vide-grenier (visibles publiquement via un lien partageable), messages échangés avec un autre utilisateur pour discuter d'un objet, et, en cas de signalement d'une conversation, le motif choisi et le commentaire associé	Saisi par vous dans l'application
Techniques	Jetons d'authentification (access token en mémoire, refresh token en cookie HttpOnly), journaux d'erreurs pseudonymisés	Générés automatiquement
Mesure d'audience	Événements d'usage du produit (ouverture d'écran, ajout d'objet, décision prise) associés à un identifiant utilisateur pseudonymisé (UUID, sans e-mail). Catégorie et marque (identifiant commercial générique) de l'objet transmises pour analyse d'usage. Aucun contenu sensible n'est transmis : ni nom d'objet, ni photo, ni montant.	Générés automatiquement lors de votre utilisation de l'application

Nous ne collectons pas de données de localisation précise, ni d'informations financières ou bancaires. Les photos sont stockées sur nos serveurs sécurisés et ne sont jamais partagées avec des tiers.

3. Finalités et bases légales

Finalité	Base légale (RGPD)
Authentification et gestion du compte	Exécution du contrat (art. 6.1.b)
Affichage et gestion de votre inventaire	Exécution du contrat (art. 6.1.b)
Génération d'estimations de prix (via API eBay, requête limitée à un mot-clé produit, aucune donnée personnelle transmise)	Exécution du contrat (art. 6.1.b)
Publication d'annonces de vide-grenier et messagerie entre acheteur et vendeur	Exécution du contrat (art. 6.1.b)
Traitement des signalements de conversation (harcèlement, arnaque, contenu inapproprié)	Obligation légale (art. 6.1.c, LCEN) et intérêt légitime (art. 6.1.f, sécurité de la communauté d'utilisateurs)
Mesure d'audience et amélioration du parcours utilisateur (analyse de parcours, taux d'usage des fonctionnalités, détection de bugs)	Intérêt légitime (art. 6.1.f) : données pseudonymisées, opposition possible à tout moment
Respect des obligations légales	Obligation légale (art. 6.1.c)

4. Partage des données

Nous ne vendons jamais vos données. Nous pouvons les partager uniquement avec :

Fournisseurs d'identité (SSO) : Google LLC et Meta Platforms Ireland Ltd., utilisés pour la connexion. Leurs politiques de confidentialité s'appliquent à l'étape d'authentification.
Hébergeurs et infrastructures : Amazon Web Services EMEA SARL (Luxembourg) héberge l'API, la base de données et les photos, dans la région Europe (Paris), sur le territoire français. Le site vitrine drop-now.app est hébergé par Cloudflare, Inc. Les données ne quittent pas l'Union européenne sans garanties appropriées.
Sous-traitants techniques (hébergés dans l'Union européenne) :
- Sentry (Functional Software Inc., serveurs UE) : surveillance des erreurs techniques et journaux de plantage, identifiant utilisateur pseudonymisé.
- PostHog (PostHog Inc., serveurs UE à Francfort) : mesure d'audience produit, identifiant utilisateur pseudonymisé, sans contenu d'objet ni e-mail.
- Resend (Resend Inc.) : envoi des e-mails transactionnels (dont la notification interne à Pewis en cas de signalement d'une conversation).
Vide-grenier public : si vous publiez une annonce de vide-grenier, son contenu (nom, description, photo, prix de l'objet) devient accessible à toute personne disposant du lien partagé, sans nécessiter de compte Drop. Ne publiez pas d'objet dont la description contiendrait des informations personnelles que vous ne souhaitez pas rendre publiques.
Notifications push (Firebase Cloud Messaging, Google LLC) : si vous activez les notifications, un identifiant technique propre à votre appareil (jeton de notification) est transmis à Google pour l'acheminement des notifications. Ce jeton ne contient ni votre nom ni votre e-mail. Google LLC est certifié au titre du EU-US Data Privacy Framework, qui encadre ce transfert hors Union européenne. Désactiver les notifications dans les réglages de l'application met fin à cet envoi.
Obligations légales : si la loi l'exige (décision judiciaire, réquisition légale).

5. Durée de conservation

Données de compte et d'inventaire : conservées pendant toute la durée d'utilisation du service, puis supprimées dans les 30 jours suivant la suppression du compte.
Annonces de vide-grenier et messages : conservés pendant toute la durée d'utilisation du service, puis supprimés dans les 30 jours suivant la suppression du compte. Une conversation archivée par un participant reste conservée : l'archivage est une préférence d'affichage, pas une suppression.
Signalements de conversation : conservés 12 mois à compter du signalement à des fins de modération, puis supprimés.
Journaux techniques (Sentry) : 30 jours maximum, puis suppression automatique.
Événements de mesure d'audience (PostHog) : 12 mois maximum, puis suppression automatique.
Jeton de notification push (Firebase) : conservé tant que les notifications sont activées ; supprimé à la désactivation ou à la suppression du compte.
Données liées aux obligations légales : durée imposée par la réglementation applicable.

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées :

Communications chiffrées via HTTPS/TLS
Jeton d'accès stocké exclusivement en mémoire vive (protection XSS)
Jeton de rafraîchissement en cookie HttpOnly (protection contre les accès JavaScript)
Accès aux serveurs restreint et journalisé

7. Vos droits (RGPD)

Si vous résidez dans l'Espace économique européen, vous disposez des droits suivants :

Accès : obtenir une copie de vos données personnelles
Rectification : corriger des données inexactes
Effacement : demander la suppression de vos données (« droit à l'oubli »)
Portabilité : recevoir vos données dans un format structuré
Opposition / Limitation : s'opposer à certains traitements ou en demander la limitation
Retrait du consentement : si le traitement est fondé sur le consentement

Pour exercer ces droits, contactez-nous à pewis.app@gmail.com. Nous répondrons dans un délai d'un mois. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle (en France : la CNIL).

8. Enfants

L'application Drop est destinée aux personnes de 16 ans et plus. Nous ne collectons pas sciemment de données relatives à des enfants de moins de 16 ans. Si vous pensez qu'un mineur a créé un compte, contactez-nous pour en demander la suppression.

9. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des changements dans nos pratiques ou la réglementation. La date de « Dernière mise à jour » en haut de page sera modifiée en conséquence. Pour les changements substantiels, nous vous en informerons dans l'application ou par e-mail avant leur entrée en vigueur.

10. Nous contacter

Pour toute question relative à la présente politique ou à l'exercice de vos droits :
E-mail : pewis.app@gmail.com

Privacy Policy

Last updated: July 19, 2026

At Pewis, we respect your privacy. This policy explains what data we collect when you use the Drop app, why we collect it, and how you can exercise your rights.

1. Who is the Data Controller?

The data controller is Pewis, a simplified joint-stock company with a sole shareholder and share capital of EUR 100, whose registered office is at 58 rue de Monceau, 75008 Paris, France, registered with the Paris Trade and Companies Register under number 105 823 132, publisher of the Drop app.
For any privacy-related questions, write to us at: pewis.app@gmail.com

Full legal information is available on our legal notice page.

2. Data Collected

We only collect data necessary for the app to function.

Category	Data	Source
Account	First name, last name, email address, SSO identifier (Google or Facebook)	Identity provider at sign-in
Inventory	Names, descriptions, categories, usage frequencies, photos and statuses of your belongings	Entered by you in the app
Decisions	Review responses (keep / sell / donate) and decision history	Actions performed in the app
Garage sale and messaging	Listings published as part of a garage sale (publicly visible via a shareable link), messages exchanged with another user to discuss an item, and, if a conversation is reported, the selected reason and accompanying comment	Entered by you in the app
Technical	Authentication tokens (access token in memory, refresh token in HttpOnly cookie), pseudonymized error logs	Automatically generated
Product analytics	Product usage events (screen opens, item additions, decisions made) tied to a pseudonymized user identifier (UUID, no email). Item category and brand (generic commercial identifier) are transmitted for usage analysis. No sensitive content is transmitted: no item name, no photo, no monetary amount.	Automatically generated while using the app

We do not collect precise location data, financial information, or banking details. Photos are stored on our secure servers and are never shared with third parties.

3. Purposes and Legal Bases

Purpose	Legal basis (GDPR)
Authentication and account management	Contract performance (Art. 6.1.b)
Displaying and managing your inventory	Contract performance (Art. 6.1.b)
Generating price estimates (via eBay API, request limited to a product keyword, no personal data transmitted)	Contract performance (Art. 6.1.b)
Publishing garage sale listings and messaging between buyer and seller	Contract performance (Art. 6.1.b)
Handling conversation reports (harassment, scam, inappropriate content)	Legal obligation (Art. 6.1.c, French LCEN) and legitimate interest (Art. 6.1.f, community safety)
Product analytics and user journey improvement (funnel analysis, feature usage rates, bug detection)	Legitimate interest (Art. 6.1.f): pseudonymized data, objection possible at any time
Compliance with legal obligations	Legal obligation (Art. 6.1.c)

4. Data Sharing

We never sell your data. We may share it only with:

Identity providers (SSO): Google LLC and Meta Platforms Ireland Ltd., used for sign-in. Their privacy policies apply at the authentication step.
Hosting and infrastructure: Amazon Web Services EMEA SARL (Luxembourg) hosts the API, database and photos, in the Europe (Paris) region, on French territory. The drop-now.app marketing website is hosted by Cloudflare, Inc. Data does not leave the European Union without appropriate safeguards.
Technical sub-processors (hosted in the European Union):
- Sentry (Functional Software Inc., EU servers): technical error monitoring and crash logs, pseudonymized user identifier.
- PostHog (PostHog Inc., EU servers in Frankfurt): product analytics, pseudonymized user identifier, no item content or email.
- Resend (Resend Inc.): sends transactional emails (including the internal notification to Pewis when a conversation is reported).
Public garage sale listings: if you publish a garage sale listing, its content (item name, description, photo, price) becomes accessible to anyone with the shared link, without needing a Drop account. Do not publish an item whose description contains personal information you do not want made public.
Push notifications (Firebase Cloud Messaging, Google LLC): if you enable notifications, a device-specific technical identifier (notification token) is sent to Google to deliver notifications. This token contains neither your name nor your email. Google LLC is certified under the EU-US Data Privacy Framework, which governs this transfer outside the European Union. Disabling notifications in the app settings stops this transfer.
Legal obligations: if required by law (court order, legal requisition).

5. Data Retention

Account and inventory data: retained for the duration of service use, then deleted within 30 days of account deletion.
Garage sale listings and messages: retained for the duration of service use, then deleted within 30 days of account deletion. A conversation archived by a participant remains stored: archiving is a display preference, not a deletion.
Conversation reports: retained for 12 months from the report date for moderation purposes, then deleted.
Technical logs (Sentry): 30 days maximum, then automatic deletion.
Product analytics events (PostHog): 12 months maximum, then automatic deletion.
Push notification token (Firebase): retained while notifications are enabled; deleted when disabled or upon account deletion.
Data related to legal obligations: duration imposed by applicable regulation.

6. Security

We implement appropriate technical and organizational measures:

Encrypted communications via HTTPS/TLS
Access token stored exclusively in memory (XSS protection)
Refresh token in HttpOnly cookie (protection against JavaScript access)
Restricted and logged server access

7. Your Rights (GDPR)

If you reside in the European Economic Area, you have the following rights:

Access: obtain a copy of your personal data
Rectification: correct inaccurate data
Erasure: request deletion of your data ("right to be forgotten")
Portability: receive your data in a structured format
Objection / Restriction: object to certain processing or request its restriction
Withdrawal of consent: if processing is based on consent

To exercise these rights, contact us at pewis.app@gmail.com. We will respond within one month. You also have the right to lodge a complaint with a supervisory authority (in France: the CNIL).

8. Children

The Drop app is intended for people aged 16 and over. We do not knowingly collect data relating to children under 16. If you believe a minor has created an account, contact us to request its deletion.

9. Changes to This Policy

We may update this policy to reflect changes in our practices or regulations. The "Last updated" date at the top of the page will be updated accordingly. For substantial changes, we will notify you in the app or by email before they take effect.

10. Contact Us

For any questions about this policy or to exercise your rights:
Email: pewis.app@gmail.com