Confidentialité de l'app

Dernière mise à jour : août 2026.

Tes plantes restent sur ton iPhone, sauf si tu demandes le contraire : les Réglages te proposent de connecter ton jardin à notre serveur, pour le retrouver sur un autre téléphone ou le partager avec quelqu'un de ton foyer, et tant que tu ne l'as pas fait, rien de ton jardin ne part. Ton abonnement est géré par Apple comme tout achat sur l'App Store ; une recherche de jardineries part si tu ouvres Plans depuis le guide ; un fichier ne part que si tu l'envoies toi-même, au destinataire que tu choisis : les consignes pour qui garde tes plantes pendant un départ. Trois choses peuvent partir vers nous : ton jardin, si tu le connectes ; les rapports de panne, allumés au départ et refusables ; les mesures d'usage, éteintes au départ. Les deux dernières ne portent jamais un nom de plante ni une photo.

Ce que l'app garde, et où

Tes plantes, leurs soins, tes photos de journal et tes rappels sont stockés sur ton iPhone, et c'est là qu'ils restent tant que tu n'as pas connecté ton jardin. Aucun identifiant n'est partagé avec un autre éditeur.

• Tes plantes : le surnom que tu leur donnes, leur type, la taille du pot, l'exposition.
• Tes soins : ce que tu as fait et quand, pour calculer la suite.
• Tes photos : si tu en ajoutes, elles restent dans l'app, sur ton téléphone. Elles ne partent pas au serveur, même jardin connecté.
• Ton usage, seulement si tu l'allumes : des gestes horodatés (app ouverte, soin noté, plante ajoutée), sans aucun nom de plante ni photo. L'interrupteur est éteint au départ ; tant qu'il l'est, rien ne part, et l'app fonctionne exactement pareil.
• Les pannes : si l'app tombe ou se fige, un rapport nous dit où le programme s'est arrêté. Celui-là part par défaut, et tu peux l'éteindre dans les réglages. Aucun nom de plante, aucune photo, aucune image de ton écran.

Tes photos, précisément

Tu peux ajouter une photo de deux façons, et elles ne demandent pas la même chose.

Depuis ta galerie, tu passes par le sélecteur d'Apple. Ce sélecteur tourne en dehors de Plumule : l'app reçoit seulement l'image que tu choisis, et n'a jamais accès à ta photothèque. Aucune autorisation ne t'est demandée, parce qu'aucune n'est nécessaire.

Ta caméra, précisément

En prenant la photo sur le moment, c'est différent : là, iOS te demande ton autorisation, une fois, la première fois que tu appuies sur « Prendre une photo ». C'est la seule autorisation de ce genre que Plumule demande.

Ce qu'elle en fait tient en une ligne : l'image que tu viens de prendre est enregistrée dans le journal de ta plante, sur ton téléphone. Plumule n'ouvre pas la caméra toute seule, ne filme pas, ne garde rien d'autre que la photo, et cette photo ne part nulle part. Si tu refuses, le reste de l'app fonctionne exactement pareil : tu gardes la galerie.

Les liens qui te font sortir de l'app

Quatre boutons t'emmènent ailleurs, et mieux vaut savoir où avant d'appuyer.

• « Trouver une jardinerie », depuis le guide, ouvre Apple Plans sur une recherche de jardineries. Aucune plante, aucun identifiant, aucune position ne part de chez nous : Plans sait déjà où tu es, et s'en sert sous sa propre politique.
• « Ouvrir dans le navigateur », sous les textes légaux, ouvre plumule.pages.dev, notre propre site, hébergé chez Cloudflare Pages. La même adresse fixe pour tout le monde, sans paramètre. Cloudflare voit une visite, comme n'importe quel site.
• « Demander un remboursement », dans les réglages d'abonnement, ouvre reportaproblem.apple.com, la page d'Apple. C'est Apple qui a encaissé, donc c'est Apple qui rembourse. L'adresse part seule, sans identifiant ni donnée de plante, et nous ne voyons ni ton geste ni sa suite.
• « Voix et clavier, dans les Réglages iOS », sous le choix de langue, ouvre les Réglages d'iOS, sur ton téléphone. Rien ne part sur internet. La langue de Plumule, elle, se change dans l'app, juste au-dessus : c'est la voix de lecture et le clavier qui appartiennent au système, et qu'une app ne peut pas régler à ta place.

Le fichier que tu peux envoyer toi-même

Un écran fabrique un fichier et te le remet, dans la feuille de partage d'iOS. Il ne part pas tout seul, et il ne nous revient pas : c'est toi qui appuies, et c'est le destinataire que tu choisis qui le reçoit, jamais nous.

• Les consignes pour qui garde tes plantes, quand tu prépares un départ : les espèces, les surnoms, la pièce, et le geste à faire. Ni photo, ni note personnelle, ni historique. Juste ce qu'il faut pour arroser.

Aucune des fonctions énumérées ci-dessus ne fait sortir tes photos de ton téléphone, et la synchronisation du jardin ne les emporte pas non plus.

Quand tu connectes ton jardin

Les Réglages proposent de connecter ton jardin à notre serveur. C'est le seul endroit d'où tes plantes sortent de ton téléphone, et rien ne s'y fait tout seul : tant que tu n'as pas connecté, ton jardin ne part pas. La rangée est réservée à l'abonnement.

Pour te connecter, tu donnes une adresse email et tu recopies un code à six chiffres qu'on t'y envoie. Il n'y a pas de mot de passe. L'adresse sert à retrouver ton jardin, jamais à te démarcher. En retour, ton téléphone garde une session valable quatre-vingt-dix jours, que tu peux révoquer.

Ce qui part ensuite, tant que tu restes connecté : tes plantes, leur journal de soins et tes reports, ligne par ligne. Pas tes photos : elles restent sur ton téléphone. Le serveur voit aussi l'adresse IP de ta connexion, comme tout serveur qui reçoit une requête.

Où ça va. Sur sync.plumule.fr, un serveur que nous exploitons nous-mêmes, hébergé dans l'Union européenne chez Hostinger. Ce n'est pas un service tiers à qui nous confierions ton jardin : c'est notre serveur, et nous en sommes seuls responsables.

Le foyer. Tu peux inviter quelqu'un à voir le même jardin que toi. L'invitation voyage sous forme d'un jeton, sans nom ni adresse : le serveur sait qu'un appareil rejoint un foyer, il ne sait pas qui. Les deux personnes voient les mêmes plantes et les mêmes soins, et l'app ne dit pas qui a fait quoi.

Pour arrêter. Te déconnecter dans les Réglages coupe l'envoi. Pour effacer ce qui est déjà sur le serveur, écris-nous : le chemin est décrit plus bas, dans la section sur tes droits.

Les mesures que tu peux nous envoyer

Cet envoi est éteint au départ, et rien ne part tant que tu ne l'as pas allumé. La question t'est posée une fois, au début, sur un écran qui ne fait que ça : deux boutons de même taille, « D'accord » et « Non merci », et aucun des deux n'est coché d'avance. Tu peux revenir dessus quand tu veux, dans les réglages, sous « Aider à améliorer Plumule ». Tant que l'interrupteur est éteint, rien ne part, et l'app fonctionne exactement pareil.

Allumé, Plumule nous envoie une liste fermée de gestes et leurs dates : l'app ouverte, une plante ajoutée, une réponse au contrôle de la terre, le guide ouvert, l'écran d'abonnement vu. Aucun nom de plante, aucune photo, aucun mot que tu as écrit. Deux choses s'ajoutent : un numéro tiré au sort sur ton téléphone, qui relie entre eux les gestes venus du même appareil sans dire qui tu es, et l'adresse IP de ta connexion, que voit tout serveur et qui n'est pas conservée (le réglage « jeter l'adresse IP » est activé).

Ces mesures arrivent chez PostHog Cloud, hébergé en Allemagne. Nous avons signé un contrat avec eux : ils n'ont pas le droit de s'en servir pour autre chose. Elles ne sont vendues à personne et ne sont jamais recoupées avec une autre app.

PostHog est une société américaine. Les mesures sont stockées en Europe, mais son contrat prévoit qu'il traite des données hors d'Europe, y compris aux États-Unis, pour faire tourner le service. Ce transfert est encadré par le cadre de protection des données UE–États-Unis et par les clauses contractuelles types de la Commission européenne, qui s'appliquent tous les deux.

Il y a deux interrupteurs de ce genre dans l'app, et ils ne se ressemblent pas. Celui-ci est éteint au départ : rien ne part tant que tu n'as pas dit oui. Celui des rapports de panne est allumé au départ, et tu peux l'éteindre quand tu veux. Ce n'est pas une négligence : les deux ne reposent pas sur la même règle, et la section suivante t'explique la seconde. Tu peux éteindre quand tu veux, l'envoi s'arrête tout de suite. Ce qui est déjà arrivé chez nous ne disparaît pas tout seul ; écris-nous et nous l'effaçons.

Quand l'app plante

Si Plumule tombe ou se fige, un rapport nous est envoyé, et celui-là part par défaut. Pourquoi pas la même règle qu'au-dessus : les mesures d'usage servent à comprendre ce que les gens font de l'app, et ça se demande. Un rapport de panne sert à réparer ce qui est cassé chez toi, ce qui fait partie de faire fonctionner l'app. Tu peux l'éteindre quand tu veux, dans les réglages, sous « Rapports de panne ».

Ce rapport dit où le programme s'est arrêté, quel modèle d'iPhone tu as, quelle version d'iOS et quelle version de l'app. Il porte un numéro tiré au sort, différent de celui des mesures : les deux programmes tirent le leur chacun de son côté et ne se parlent pas. L'adresse IP n'est pas conservée : Sentry la jette à la réception, sur un réglage que nous avons posé dans notre compte chez eux.

Il ne contient aucune image de ton écran, aucun nom de plante, aucun libellé de bouton, aucune de tes photos. Ce n'est pas une promesse de bonne conduite : tout ce qui, chez Sentry, sert à collecter ces choses est coupé dans le programme.

Ces rapports arrivent chez Sentry, et sont stockés à Francfort. Là aussi, nous avons signé un contrat : ils n'ont pas le droit de s'en servir pour autre chose. Nous ne te demandons pas ton accord pour ceux-là : réparer ce qui casse est un motif que la loi reconnaît sans consentement. C'est pour ça que ce réglage est allumé au départ, et refusable à tout moment.

Sentry est une société américaine, et son contrat ne garantit pas que tout reste en Europe. Les rapports, eux, sont bien à Francfort, mais des données techniques de notre compte peuvent être stockées aux États-Unis, quelle que soit la région choisie. Ce transfert est encadré par le cadre de protection des données UE–États-Unis, et par les clauses contractuelles types si ce cadre venait à tomber.

L'abonnement

Quand tu t'abonnes, le paiement passe entièrement par Apple, qui vérifie ton achat et gère son renouvellement. Aucun autre service n'intervient. Apple voit qu'un abonnement existe. Jamais tes plantes, jamais tes photos.. L'information qui sort ne concerne que l'abonnement.

Ton abonnement se reconduit tout seul à la fin de chaque période, tant que tu ne l'annules pas : c'est la règle de tous les abonnements de l'App Store. Tu annules quand tu veux depuis tes réglages Apple. Sur l'annuel, Plumule te pose un rappel la veille de chaque reconduction, tant que l'app est ouverte de temps en temps et que tu lui as autorisé les notifications. Ne compte pas dessus seul : Apple t'écrit aussi avant chaque reconduction, et c'est cet avis-là qui fait foi.

Quand Plumule t'envoie ailleurs

Le guide « un souci ? » sait s'arrêter : certains problèmes demandent l'œil d'un professionnel. Dans ce cas il te propose un bouton qui ouvre Apple Plans sur une recherche de jardineries.

Ce qui sort de Plumule à ce moment-là tient en un mot : le terme de recherche, « jardinerie ». Ni tes plantes, ni qui tu es. Ta position, Plumule ne la voit même pas : c'est Plans qui la connaît déjà, et qui s'en sert selon sa propre politique, pas la nôtre. Ce geste ne part jamais tout seul : il faut appuyer sur le bouton.

Ce que l'app ne fait jamais

Aucun traceur, aucun mouchard. La publicité n'entre jamais. Tes données ne se vendent pas et ne se partagent pas. Santé, position, contacts : rien de tout ça n'est collecté.

Le « privacy label » de l'App Store

Sur la fiche App Store, tu verras déclarées : l'information d'achat liée à ton abonnement (obligatoire pour tout achat intégré), l'usage du produit (les gestes de la liste fermée décrite plus haut), les rapports de plantage (gels d'écran compris), et, si tu connectes ton jardin, les contenus que tu crées et ton adresse email. L'usage du produit n'existe que si tu as allumé son interrupteur ; les rapports de plantage partent par défaut et s'éteignent dans les réglages ; le jardin ne part que si tu le connectes.

Aucune n'est cochée « suivi » : rien de ce que Plumule collecte ne sert à te suivre d'un service à l'autre, et aucun identifiant n'est partagé avec un autre éditeur. L'adresse email de connexion, elle, est liée à ton identité — c'est ce qui permet de retrouver ton jardin.

Tes droits

Le RGPD te donne plusieurs droits sur tes données. Ce que nous détenons dépend d'une seule chose : as-tu connecté ton jardin. Jardin non connecté, tout est sur ton téléphone et nous n'avons rien de ton jardin à te montrer ni à effacer. Jardin connecté, nous détenons ton adresse email, tes plantes, leur journal de soins et tes reports, sur sync.plumule.fr — pas tes photos — et chaque droit ci-dessous s'exerce alors chez nous, par un message à l'adresse écrite plus bas.

• Accès : tu vois déjà tout ce que Plumule sait de tes plantes, dans l'app, écran par écran. Jardin connecté, ce que nous détenons est exactement ce que l'app t'affiche, plus ton adresse email et les dates de tes connexions ; demande-le et nous te l'envoyons.
• Rectification : chaque champ se modifie directement dans l'app, le surnom d'une plante, sa note, sa pièce, la date d'un soin. Rien à nous demander.
• Effacement : supprimer une plante, une photo, ou désinstaller l'app efface tout de ton côté, immédiatement. Jardin connecté, ce qui est sur le serveur ne part pas avec la désinstallation : écris-nous et nous effaçons ton jardin et ton adresse. Même chose pour l'email que tu as pu laisser sur la liste d'attente, effacé dès réception.
• Portabilité : ce droit vise les données qu'un service détient sur toi. Jardin connecté, tu peux nous demander une copie de ce que le serveur porte, dans un format qui se relit ailleurs ; non connecté, nous n'en détenons aucune et il n'y a rien à te transmettre. Dans les deux cas tu n'as pas à attendre notre réponse : les Réglages te font une copie de ton jardin : tes plantes, leur journal, tes reports et tes photos, y compris celles que tu as retirées de ta liste. Elle s'ouvre dans un navigateur, sans Plumule, et elle se remet dans Plumule. Elle ne contient pas tes réglages, ton abonnement, tes réponses sur la mesure et les rapports de panne, ni les rappels déjà posés. Le fichier reste sur ton téléphone : c'est toi qui décides s'il part quelque part, et nous ne le voyons jamais.
• Opposition : tu peux t'opposer à un traitement fondé sur notre intérêt légitime, par exemple l'ouverture d'Apple Plans depuis le guide, ou les rapports de panne, qui s'éteignent dans les réglages. La synchronisation de ton jardin, elle, ne relève pas de ce droit : elle exécute un service que tu as demandé, et se déconnecter l'arrête.
• Limitation : tu peux demander de geler un traitement plutôt que de l'effacer tout de suite, le temps de trancher un désaccord.
• Retrait du consentement, à tout moment : l'envoi des mesures est éteint par défaut. Éteindre arrête l'envoi tout de suite et jette ce qui attendait de partir ; ce qui est déjà arrivé chez nous s'efface sur simple demande.
• Réclamation auprès d'une autorité : si notre réponse ne te convient pas, tu peux saisir la CNIL, l'autorité française sur ce sujet, en ligne sur cnil.fr ou par courrier : CNIL, Service des plaintes, 3 Place de Fontenoy, 75007 Paris.

Combien de temps on garde quoi. La première durée est tenue par le code de l'app, les autres par un prestataire : ton jardin sur ton téléphone, tant que l'app reste installée ; ton jardin sur le serveur, si tu l'as connecté, tant que tu restes connecté, et te déconnecter n'efface pas ce qui est déjà là ; ton adresse email de connexion, tant que ton jardin est chez nous ; les mesures d'usage, un an chez PostHog, puis une archive lente dont personne ne nous promet la suppression ; les rapports de plantage, qui partent par défaut, trente jours ; l'email de la liste d'attente, douze mois au maximum, ou avant sur simple demande.

Pour exercer un de ces droits : un message à plumuleapp@gmail.com suffit. Écris depuis l'adresse avec laquelle tu t'es connecté : c'est ce qui nous permet de savoir que le jardin est bien le tien. Si le message vient d'ailleurs, nous te demanderons de confirmer depuis celle-là.

Qui est responsable de tes données. Plumule est édité par une personne, joignable à l'adresse ci-dessus. Cette adresse est le chemin ; si elle devait changer, la nouvelle serait écrite ici et dans l'app avant que l'ancienne cesse de répondre.

Et le site ?

Le site où tu as pu laisser ton email est un service séparé de l'app. Sa politique (email conservé chez Notion, mesure d'audience sans cookie) est décrite sur la page confidentialité du site.