Politique de confidentialité

Version 1.3 — mise à jour le 26 août 2026

1. Responsable du traitement

EXOGROUPE, EURL située à 83170 Brignoles, France, RCS Draguignan 841 086 846, est responsable des traitements décrits ci-dessous. Pour toute question ou demande relative à vos données : hello@toplings.com.

2. Données qui restent sur votre ordinateur (Mac ou PC Windows)

Toplings existe en version macOS et en version Windows. Cette politique couvre les deux, ainsi que l’extension navigateur facultative décrite au § 2.1. Sauf mention contraire, tout ce qui suit vaut à l’identique sur les deux systèmes.

Le fonctionnement visuel de Toplings repose principalement sur des traitements locaux. Les données suivantes restent sur votre appareil et ne sont pas envoyées aux serveurs Toplings :

• les préférences, réglages, état d’onboarding et choix d’interface ;
• la géométrie, la position et l’ordre des fenêtres, utilisés en mémoire pour placer les créatures ;
• les événements de calendrier éventuellement consultés pour les rappels ;
• pour le mode Focus, le nom de l’application au premier plan et, lorsque ce mode est activé, le domaine de l’onglet actif du navigateur — obtenu par un chemin différent sur macOS et sur Windows, décrit juste après.

Toplings ne lit ni les titres ni le contenu de vos fenêtres. Le nom de l’application au premier plan vient du système — sur macOS le nom affiché de l’application, sur Windows le nom du fichier exécutable — et jamais du titre de la fenêtre. L’application n’utilise ni l’enregistrement d’écran, ni le microphone, ni les API d’accessibilité (l’API d’accessibilité de macOS, UI Automation sous Windows) pour son fonctionnement principal.

D’où vient le domaine de l’onglet, et ce n’est pas le même chemin sur les deux systèmes. Sur macOS, Toplings peut le lire lui-même, sans aucune extension : pendant qu’un navigateur pris en charge est au premier plan — Safari, Chrome, Edge, Brave, Arc, Vivaldi, Opera, mais pas Firefox —, l’application exécute environ toutes les une seconde et demie un petit script que vous avez installé vous-même depuis ses réglages, et qui demande au navigateur l’adresse de son onglet actif. macOS exige en outre votre autorisation d’Automatisation pour ce navigateur : sans elle, rien n’est lu et le mode Focus s’en tient au nom de l’application. Ce script renvoie l’adresse complète de l’onglet ; l’application en extrait le domaine sur-le-champ et jette l’adresse, qui n’est ni conservée, ni inscrite dans un journal, ni envoyée nulle part. Il ne tourne que pendant qu’un navigateur pris en charge est devant, et s’arrête à la mise en veille comme au verrouillage de la session.

Sur Windows, ce chemin n’existe pas : le domaine ne peut venir que de l’extension navigateur facultative (§ 2.1), et tant qu’elle n’est pas installée le mode Focus ne connaît que le nom de l’application au premier plan. Sur macOS, installer l’extension remplace le script : dès qu’elle transmet un domaine, la lecture par script est suspendue — et c’est la seule voie possible pour Firefox, qui n’expose pas l’adresse de son onglet aux scripts.

Où ces données sont rangées, et ce qu’une désinstallation laisse. Sur macOS, les préférences et les fichiers de l’application vivent dans les emplacements habituels du système, et le jeton d’appareil dans le Trousseau ; une désinstallation peut laisser des éléments dans le Trousseau ou dans Application Support. Sur Windows, les préférences et le jeton d’appareil chiffré par DPAPI — le mécanisme de chiffrement de Windows, qui lie le secret à votre session : un autre compte de la même machine ne peut pas le lire — sont rangés dans la clef de registre de l’application, et les fichiers (lettres, sprites, cache d’affichage) dans le dossier %LOCALAPPDATA%\Toplings ; une désinstallation peut les laisser en place. Dans les deux cas, pour un effacement complet, utilisez d’abord les commandes de suppression ou de réinitialisation de Toplings, ou supprimez ces données avec les outils du système.

2.1. L’extension navigateur « Toplings Focus »

Le mode Focus peut s’étendre au navigateur au moyen d’une extension facultative, que vous installez vous-même et qui fonctionne sur les navigateurs de la famille Chrome (Chrome, Edge, Brave, Arc, Vivaldi, Opera) et sur Firefox. Elle sert à une seule chose : dire à l’application Toplings installée sur la même machine sur quel site vous êtes, pour que vos créatures viennent vous rappeler à l’ordre dans la page. Elle est indispensable sur Windows, ainsi que pour Firefox ; sur les autres navigateurs de macOS elle est facultative, puisque l’application sait déjà lire le domaine elle-même (§ 2).

Ce qu’elle transmet. Uniquement le domaine de l’onglet actif — par exemple example.com, en minuscules et sans « www. ». Rien d’autre.

À qui, et par quel chemin. À l’application Toplings de votre propre ordinateur, par un canal strictement local : soit le mécanisme de messagerie native du navigateur, soit une connexion à 127.0.0.1, c’est-à-dire votre machine elle-même. Aucune donnée de l’extension ne part sur le réseau, et rien n’arrive aux serveurs Toplings. L’extension ne fonctionne que si l’application tourne avec le mode Focus activé ; sinon, le domaine n’est envoyé nulle part.

Ce qu’elle ne fait pas, et c’est la partie qui compte : elle ne lit pas l’URL complète, ni le titre des pages, ni leur contenu, ni les champs de formulaire, ni les mots de passe ; elle ne consulte pas votre historique de navigation ; elle ne conserve aucune donnée, ni dans le navigateur ni ailleurs — le domaine est transmis puis oublié ; elle ne contient aucune télémétrie, aucun traceur, aucune publicité ; elle ne communique avec aucun serveur, ni le nôtre ni celui d’un tiers.

Les permissions demandées à l’installation (accès aux onglets, accès aux sites, messagerie native) servent exactement à cela : lire le domaine de l’onglet actif et parler à l’application locale. Désinstaller l’extension suffit à faire cesser ce traitement ; désactiver le mode Focus dans l’application le suspend.

3. Données du service Amis

Si vous utilisez les fonctions Amis, nous traitons :

• un identifiant aléatoire, un jeton d’authentification, un code ami, votre pseudo et l’espèce ambassadrice choisie ;
• les demandes et relations d’amitié, listes de blocage, réactions et statuts de livraison ;
• les courtes lettres et, si cette option est activée, les images JPEG que vous choisissez d’envoyer, leur destinataire et leurs dates de création, livraison et expiration ;
• les signalements : catégorie, commentaire facultatif, copie du contenu signalé, verdict de modération et historique des décisions prises.

Ces données servent à créer votre profil, mettre en relation les amis choisis, acheminer les messages, appliquer les blocages, traiter les signalements, prévenir les abus et sécuriser le Service. Un signalement masque immédiatement la lettre sur votre appareil et peut entraîner le blocage de l’expéditeur. Leur traitement est nécessaire à l’exécution du Service demandé ; la prévention de la fraude, la modération et la sécurité reposent aussi sur notre intérêt légitime.

4. Compte facultatif et synchronisation

Vous pouvez utiliser un compte principal facultatif afin de synchroniser plusieurs appareils. Nous traitons alors votre adresse e-mail, les dates de connexion, les liaisons entre appareils et identifiants, ainsi que les données que vous choisissez de synchroniser :

• troupeau : espèces adoptées, noms choisis, état et dates d’ajout ou de suppression ;
• portefeuille : solde d’or et journal technique des crédits et débits nécessaires à sa cohérence.
• achats : produits et droits acquis, identifiants techniques de transaction, fournisseur, état de remboursement ou révocation et rapprochement du portefeuille.

L’adresse e-mail n’est pas requise pour les fonctions locales ni pour le profil Amis pseudonyme. Les codes de connexion à usage unique sont conservés sous forme hachée et expirent après environ dix minutes.

Compte sans adresse. Pour qu’un achat d’or ne dépende jamais d’une inscription, l’application crée automatiquement, à partir du seul identifiant aléatoire de votre appareil, un compte sans aucune donnée personnelle : ni adresse, ni nom, ni mot de passe. Il ne sert qu’à rendre votre solde d’or récupérable et à honorer un remboursement. Ajouter une adresse plus tard reste facultatif : elle est simplement posée sur ce même compte, ce qui permet de retrouver votre solde sur un autre appareil, Mac ou PC Windows. Réinitialiser Toplings ou dissocier l’appareil supprime ce compte, puisqu’il n’a alors plus aucun titulaire.

5. Toplings sur-mesure : les photos que vous envoyez

Cette fonction facultative fabrique une créature à partir de photographies d’un animal. Elle est la seule du Service où des images que vous choisissez d’envoyer sont transmises à des prestataires d’intelligence artificielle. Nous traitons alors :

• une à trois photographies JPEG, envoyées volontairement pour cette fabrication et pour rien d’autre ;
• le nom et le timbre de voix que vous choisissez, ainsi que le type d’animal indiqué ;
• l’état de la commande, son mode de règlement et sa référence de paiement ;
• un journal technique de fabrication : transitions d’état, appels aux modèles et leur coût, verdicts de modération et de contrôle qualité. Ce journal ne contient aucune photographie ni aucun texte que vous avez saisi — uniquement des motifs rédigés par nous.

Les métadonnées EXIF sont retirées, et deux fois plutôt qu’une. L’application reconstruit chaque photographie à partir de ses seuls pixels avant de l’envoyer : la position GPS, l’horodatage, le modèle d’appareil et toute autre métadonnée EXIF ne quittent donc jamais votre machine. Avant tout appel à un prestataire, l’image est de nouveau ré-encodée sans aucune métadonnée, après redressement de son orientation.

Deux prestataires interviennent, avec la non-conservation exigée (voir aussi l’article 8) : OpenRouter et le fournisseur du modèle choisi pour la modération des images, l’analyse du pelage et de la morphologie et les contrôles de qualité ; OpenAI pour la génération des images du sprite. Dans les deux cas, les appels sont émis avec refus de collecte et exigence de non-conservation des données (Zero Data Retention) : vos photographies ne servent à l’entraînement d’aucun modèle.

Les personnes qui figurent sur vos photographies. Une photographie d’animal montre souvent la main ou le visage de son maître : ces images sont acceptées. Avant de les envoyer, l’application affiche ce qu’il advient d’elles et vous demande de cocher une case : vous déclarez alors avoir l’accord de toute personne qui y figure. Ce consentement est recueilli et horodaté par notre serveur au moment de la commande, et il conditionne son envoi : sans lui, aucune photographie ne part chez un prestataire. Il constitue votre base légale de transmission au titre de l’article 6.1.a du RGPD ; les images sont supprimées dans les délais de l’article 9.

Ce qui est refusé, et ce qui en reste. Une photographie ne représentant pas un animal réel, ou dont le contenu est illicite (sexuel, violent, haineux), est refusée automatiquement avant tout paiement. La commande refusée et ses images sont effacées sous 48 heures.

Le traitement est nécessaire à l’exécution du service que vous avez commandé ; la modération, la prévention des abus et la lutte contre la fraude reposent sur notre intérêt légitime. Les durées de conservation figurent à l’article 9, et la suppression de votre compte efface l’ensemble (article 11).

6. Données techniques

Le serveur peut traiter temporairement l’adresse IP, l’heure, la route appelée, le résultat de l’authentification et des informations techniques minimales afin de répondre aux requêtes, limiter les envois abusifs d’e-mails, diagnostiquer les erreurs et protéger le Service. Nous ne réalisons pas de profilage publicitaire et ne vendons pas vos données.

7. Bases légales et finalités

• Exécution du contrat : fournir les fonctions Amis, compte, synchronisation, livraison des lettres et portefeuille.
• Intérêt légitime : sécuriser et modérer le Service, prévenir les abus, traiter les signalements, corriger les erreurs et défendre nos droits, après mise en balance avec vos intérêts.
• Obligation légale : conserver, communiquer ou supprimer certaines données lorsque la loi l’impose.
• Consentement : la déclaration que vous cochez avant d’envoyer les photographies d’un Topling sur-mesure (article 5) et l’inscription à la liste d’attente du site, close depuis le 26 août 2026 (§ 13.1). Il peut être retiré à tout moment, sans affecter la licéité de ce qui a été fait avant.

8. Destinataires et prestataires

L’accès est limité aux personnes habilitées d’EXOGROUPE et aux prestataires nécessaires :

• OVHcloud / OVH SAS, pour l’hébergement de l’infrastructure et des données du Service ;
• Brevo, uniquement pour l’envoi des e-mails de connexion lorsque le compte facultatif est utilisé ;
• Apple, pour la distribution et les achats intégrés de la version Mac App Store ;
• Stripe, pour le paiement de la version vendue directement, sans transmission de vos données de carte à Toplings ;
• OpenRouter et le fournisseur du modèle choisi, uniquement lorsque la modération par IA est activée : le texte et les JPEG privés sont envoyés pour obtenir un verdict structuré, avec refus de collecte, exigence Zero Data Retention et paramètres stricts. Le même prestataire analyse les photographies d’un Topling sur-mesure (article 5) et contrôle la qualité du résultat ;
• OpenAI, uniquement pour la fabrication d’un Topling sur-mesure : les photographies débarrassées de leurs métadonnées sont envoyées à son service de génération d’images afin de produire le sprite commandé, avec non-conservation demandée et sans utilisation à des fins d’entraînement.

Microsoft, pendant l’installation sur Windows — et ce n’est pas un prestataire. La version Windows a besoin du composant Microsoft Edge WebView2 pour afficher son interface. Si votre PC ne l’a pas déjà, l’installeur de Toplings exécute le programme d’installation officiel de Microsoft qu’il embarque, et celui-ci télécharge le composant directement depuis les serveurs de Microsoft : votre adresse IP est alors visible par Microsoft, comme lors de n’importe quel téléchargement. Cet échange a lieu entre votre machine et Microsoft ; EXOGROUPE n’en reçoit rien et n’y a pas accès, et Microsoft agit ici pour son propre compte, selon sa propre politique de confidentialité. Rien n’est téléchargé si le composant est déjà présent. Une fois installé, il est entretenu et mis à jour par Microsoft comme les autres composants de Windows, indépendamment de Toplings.

Les prestataires n’agissent que selon nos instructions pour les données dont EXOGROUPE est responsable. Lorsqu’un prestataire traite des données hors de l’Espace économique européen, nous utilisons un mécanisme de transfert reconnu par le RGPD, tel qu’une décision d’adéquation ou les clauses contractuelles types, avec les garanties complémentaires appropriées.

9. Durées de conservation

• données locales : jusqu’à leur suppression depuis l’application ou depuis le système ; certaines peuvent subsister après une désinstallation — sur macOS dans le Trousseau ou Application Support, sur Windows dans la clef de registre de l’application ou le dossier %LOCALAPPDATA%\Toplings (§ 2) ;
• domaine de l’onglet actif, qu’il vienne du script macOS ou de l’extension navigateur : rien n’est conservé — il est utilisé par l’application locale puis oublié, et l’adresse complète dont il est extrait sur macOS est jetée immédiatement (§ 2 et § 2.1) ;
• profil Amis pseudonyme, relations et blocages : jusqu’à la réinitialisation du profil ou la suppression du Service, sous réserve des données strictement nécessaires à la sécurité ;
• réactions : jusqu’à leur livraison, expiration ou suppression technique ;
• lettres et images non supprimées : au maximum 30 jours ;
• photographies d’une commande de Topling sur-mesure : 30 jours après la livraison ou l’échec de la commande, 48 heures en cas de refus de modération, 7 jours pour une commande restée en brouillon et jamais payée ;
• créature fabriquée (images du sprite) : conservée tant que le droit acquis reste actif, afin que vous puissiez la réinstaller ou la retrouver sur un autre appareil ; effacée avec le compte ou lorsque le droit est révoqué à la suite d’un remboursement ;
• journal technique d’une commande sur-mesure : conservé avec la commande, sans contenu utilisateur ;
• signalements en attente : jusqu’à leur traitement ; copie du signalement, actions et verdicts de modération : 90 jours après traitement, sauf nécessité légale ou de sécurité plus longue ;
• codes de connexion : environ 10 minutes ;
• compte lié et synchronisation : jusqu’à la suppression du compte ou après une période d’inactivité annoncée à l’utilisateur ;
• journaux de sécurité : durée courte et proportionnée à l’incident ou au besoin de protection ;
• inscription à la liste d’attente du site (formulaire retiré le 26 août 2026, adresses reçues avant cette date encore détenues) : jusqu’à l’envoi de l’annonce pour laquelle vous vous êtes inscrit, puis retrait de la liste — et à tout moment sur simple demande par courriel ; ces retraits sont manuels, il n’existe ni lien de désinscription ni effacement automatique (§ 13.1) ;
• preuves de consentement, transactions et obligations comptables : pendant les durées légales applicables.

Les sauvegardes sont écrasées selon leur cycle normal. Des données peuvent être conservées plus longtemps lorsqu’elles sont nécessaires à l’établissement, l’exercice ou la défense d’un droit en justice.

10. Vos droits

Selon le RGPD et la loi applicable, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition pour motif légitime et, lorsque les conditions sont réunies, la portabilité de vos données. Vous pouvez retirer un consentement sans affecter la licéité antérieure et définir des directives françaises relatives au sort de vos données après votre décès.

Écrivez à hello@toplings.com. Nous pouvons demander les informations raisonnablement nécessaires pour vérifier votre identité et répondons en principe sous un mois. Vous pouvez déposer une réclamation auprès de la CNIL ou de l’autorité de contrôle de votre lieu de résidence.

11. Suppression et réinitialisation

Un compte lié peut être supprimé depuis l’onglet Compte ou sur demande par e-mail. La suppression du compte efface les données de synchronisation associées, sous réserve des obligations légales et sauvegardes temporaires. Le profil Amis pseudonyme repose sur un identifiant distinct : utilisez aussi la commande de réinitialisation/suppression du profil Amis si vous souhaitez effacer ces relations. Désinstaller l’application ne garantit pas l’effacement des données locales décrites au § 2 — Trousseau et Application Support sur macOS, clef de registre et %LOCALAPPDATA%\Toplings sur Windows — et ne constitue pas à elle seule une demande de suppression des données serveur.

12. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque : jetons aléatoires, codes éphémères hachés, contrôle d’accès, chiffrement des communications, limitation des requêtes et sauvegardes. Le contenu des lettres et les secrets d’authentification ne sont pas inscrits dans les journaux de production. Aucun système n’est totalement infaillible ; signalez toute suspicion à hello@toplings.com.

13. Site web et stockage local

Le site toplings.com ne dépose pas de cookies publicitaires ou analytiques. Il utilise uniquement le stockage local du navigateur pour mémoriser la langue choisie. Cette donnée reste dans votre navigateur et peut être supprimée depuis ses réglages. Aucun bandeau cookies n’est affiché car aucun traceur soumis au consentement n’est utilisé.

13.1. La liste d’attente

Ce formulaire a été retiré du site le 26 août 2026, et aucune adresse n’est plus collectée. Cette section reste parce que nous détenons encore les adresses reçues avant cette date : tant qu’elles existent, elles doivent être décrites ici. Le site proposait un formulaire pour être prévenu d’une disponibilité à venir — la version Windows notamment ; il était entièrement facultatif.

Ce qui a été enregistré. Trois choses, et rien d’autre : l’adresse e-mail que vous aviez saisie, la provenance de l’inscription (un mot technique indiquant quel formulaire a été utilisé, par exemple « windows-waitlist ») et la date de l’inscription. Ni nom, ni adresse IP, ni identifiant de navigateur, ni contenu de page. Une adresse déjà inscrite n’était pas enregistrée deux fois.

L’adresse IP n’a jamais été conservée avec l’inscription. Elle servait uniquement, en mémoire vive et pendant une heure, à limiter le nombre de soumissions provenant d’une même connexion : c’était la protection anti-abus du formulaire, et elle n’a jamais été écrite en base ni rattachée à votre adresse.

À quoi elle sert. À vous écrire une fois, pour l’annonce que vous avez demandée. Elle ne sert à aucune autre prospection, n’est ni vendue ni transmise à un tiers à des fins commerciales, et n’alimente aucun profilage. Deux prestataires seulement y ont accès, les mêmes qu’à l’article 8 : OVHcloud, chez qui la liste est hébergée, et Brevo, le jour où l’annonce partira, puisque c’est lui qui expédie nos e-mails — comme pour les e-mails de connexion. Personne d’autre.

Base légale. Votre consentement (article 6.1.a du RGPD) : soumettre le formulaire était l’acte qui le donnait. Ce formulaire ne comportait qu’un champ e-mail et un bouton : l’information sur ce que devient votre adresse est celle de la présente section, et il n’y en avait pas d’autre ailleurs. Vous pouvez retirer ce consentement à tout moment et sans motif, en demandant votre retrait de la liste.

Combien de temps, et comment se faire retirer. L’adresse reste enregistrée tant que l’annonce pour laquelle vous vous êtes inscrit n’a pas été envoyée ; elle est ensuite retirée de la liste. Vous pouvez en demander le retrait à tout moment, avant comme après, en écrivant à hello@toplings.com depuis l’adresse inscrite ou en la citant : nous la retirons sans condition et sans que vous ayez à vous justifier, dans le délai de l’article 10. Disons-le tel que c’est : ces retraits sont faits à la main par l’éditeur. Il n’existe pas de lien de désinscription, et aucun mécanisme automatique n’efface la liste — c’est un courriel qui déclenche la suppression, et rien d’autre. Les droits de l’article 10 s’appliquent à cette donnée comme aux autres.

14. Modifications

Nous mettrons cette politique à jour si les données ou prestataires utilisés évoluent. Une modification importante sera signalée de manière visible dans l’application ou sur le site. La version et la date figurent en tête du document.