Politique de confidentialité

Dernière mise à jour : 7 octobre 2026

Chez Pewis, nous respectons votre vie privée. Cette politique explique quelles données nous collectons lorsque vous utilisez l'application Drop, pourquoi nous les collectons et comment vous pouvez exercer vos droits.

1. Qui est responsable du traitement ?

Le responsable du traitement est Pewis, société par actions simplifiée à associé unique au capital de 100 euros, dont le siège social est situé 58 rue de Monceau, 75008 Paris, France, immatriculée au RCS de Paris sous le numéro 105 823 132, éditrice de l'application Drop.
Pour toute question relative à la confidentialité, écrivez-nous à : [email protected]

Les informations légales complètes figurent sur la page mentions légales.

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement de l'application.

Catégorie	Données	Source
Compte	Prénom, nom, adresse e-mail, identifiant SSO (Google) ou adresse e-mail seule	Fournisseur d'identité au moment de la connexion
Session invitée	Un identifiant pseudonyme généré aléatoirement, et la date de dernière activité. Aucun nom, aucune adresse e-mail, aucun identifiant de compte tiers. Aucun identifiant publicitaire ni empreinte de l'appareil n'est utilisé.	Créée automatiquement à la première ouverture, si vous n'utilisez pas de compte
Inventaire	Noms, descriptions, catégories, fréquences d'usage, photos et statuts de vos possessions	Saisi par vous dans l'application
Décisions	Réponses aux revues (garder / vendre / donner) et historique des décisions	Actions réalisées dans l'application
Vide-grenier et messagerie	Annonces publiées dans le cadre d'un vide-grenier (visibles publiquement via un lien partageable), messages échangés avec un autre utilisateur pour discuter d'un objet, et, en cas de signalement d'une conversation, le motif choisi et le commentaire associé	Saisi par vous dans l'application
Techniques	Jetons d'authentification (jeton d'accès conservé en mémoire vive ; jeton de rafraîchissement conservé dans le stockage privé de l'application sur mobile, et dans le stockage local du navigateur sur le web), journaux d'erreurs pseudonymisés	Générés automatiquement
Mesure d'audience	Événements d'usage du produit (ouverture d'écran, ajout d'objet, décision prise) associés à un identifiant utilisateur pseudonymisé (UUID, sans e-mail). Catégorie et marque (identifiant commercial générique) de l'objet transmises pour analyse d'usage. Aucun contenu sensible n'est transmis : ni nom d'objet, ni photo, ni montant.	Générés automatiquement lors de votre utilisation de l'application
E-mails	Votre préférence de réception (activée par défaut pour un compte doté d'une adresse e-mail) et un journal des e-mails envoyés (type, date, statut), qui évite de vous écrire deux fois pour une même période d'inactivité. Aucun e-mail n'est envoyé aux sessions invitées, qui n'ont pas d'adresse.	Réglage de l'application et génération automatique

Nous ne collectons pas de données de localisation précise, ni d'informations financières ou bancaires. Les photos sont stockées sur nos serveurs sécurisés et ne sont jamais partagées avec des tiers.

3. Finalités et bases légales

Finalité	Base légale (RGPD)
Authentification et gestion du compte	Exécution du contrat (art. 6.1.b)
Affichage et gestion de votre inventaire	Exécution du contrat (art. 6.1.b)
Génération d'estimations de prix (via API eBay, requête limitée à un mot-clé produit, aucune donnée personnelle transmise)	Exécution du contrat (art. 6.1.b)
Publication d'annonces de vide-grenier et messagerie entre acheteur et vendeur	Exécution du contrat (art. 6.1.b)
Traitement des signalements de conversation (harcèlement, arnaque, contenu inapproprié)	Obligation légale (art. 6.1.c, LCEN) et intérêt légitime (art. 6.1.f, sécurité de la communauté d'utilisateurs)
Mesure d'audience et amélioration du parcours utilisateur (analyse de parcours, taux d'usage des fonctionnalités, détection de bugs)	Intérêt légitime (art. 6.1.f) : données pseudonymisées, opposition possible à tout moment
Envoi d'e-mails de relance lorsque vous n'avez pas ouvert Drop depuis 30 jours (un seul message par période d'inactivité), et d'enquêtes de satisfaction ponctuelles sur le service	Intérêt légitime (art. 6.1.f) : améliorer le service et vous rappeler vos objets. Opposition possible à tout moment et sans frais, d'un clic sur « Se désinscrire » dans l'e-mail ou dans Réglages, « Rappels par email »
Notifications push de rappel (uniquement si vous les activez)	Consentement (art. 6.1.a) : retrait possible à tout moment dans les réglages de l'application
Respect des obligations légales	Obligation légale (art. 6.1.c)

4. Partage des données

Nous ne vendons jamais vos données. Nous pouvons les partager uniquement avec :

Fournisseur d'identité (SSO) : Google LLC, si vous choisissez de vous connecter avec un compte Google. Sa politique de confidentialité s'applique à l'étape d'authentification. En mode invité, aucun fournisseur d'identité n'intervient.
Hébergeurs et infrastructures : Amazon Web Services EMEA SARL (Luxembourg) héberge l'API, la base de données et les photos, dans la région Europe (Paris), sur le territoire français. Le site vitrine drop-now.app est hébergé par Cloudflare, Inc. Les données ne quittent pas l'Union européenne sans garanties appropriées.
Sous-traitants techniques (hébergés dans l'Union européenne) :
- Sentry (Functional Software Inc., serveurs UE) : surveillance des erreurs techniques et journaux de plantage, identifiant utilisateur pseudonymisé.
- PostHog (PostHog Inc., serveurs UE à Francfort) : mesure d'audience produit, identifiant utilisateur pseudonymisé, sans contenu d'objet ni e-mail.
- Resend (Resend Inc.) : envoi des e-mails de Drop (relances d'inactivité, enquêtes de satisfaction, et notification interne à Pewis en cas de signalement d'une conversation).
Vide-grenier public : si vous publiez une annonce de vide-grenier, son contenu (nom, description, photo, prix de l'objet) devient accessible à toute personne disposant du lien partagé, sans nécessiter de compte Drop. Ne publiez pas d'objet dont la description contiendrait des informations personnelles que vous ne souhaitez pas rendre publiques.
Notifications push (Firebase Cloud Messaging, Google LLC) : si vous activez les notifications, un identifiant technique propre à votre appareil (jeton de notification) est transmis à Google pour l'acheminement des notifications. Ce jeton ne contient ni votre nom ni votre e-mail. Google LLC est certifié au titre du EU-US Data Privacy Framework, qui encadre ce transfert hors Union européenne. Désactiver les notifications dans les réglages de l'application met fin à cet envoi.
Obligations légales : si la loi l'exige (décision judiciaire, réquisition légale).

5. Durée de conservation

Données de compte et d'inventaire : conservées pendant toute la durée d'utilisation du service, puis supprimées dans les 30 jours suivant la suppression du compte.
Sessions invitées : supprimées automatiquement, sans démarche de votre part, au bout de 7 jours si la session ne contient aucun objet, et au bout de 90 jours sans activité dans les autres cas. La suppression est définitive et emporte, dans nos systèmes, les objets, les photos et l'identifiant pseudonyme de la session. Les événements de mesure d'audience portant cet identifiant suivent leur propre durée, indiquée plus bas dans cette liste. Si vous créez un compte ou rejoignez un compte existant avant ces échéances, les données conservées suivent la durée applicable aux comptes.
Annonces de vide-grenier et messages : conservés pendant toute la durée d'utilisation du service, puis supprimés dans les 30 jours suivant la suppression du compte. Une conversation archivée par un participant reste conservée : l'archivage est une préférence d'affichage, pas une suppression.
Signalements de conversation : conservés 12 mois à compter du signalement à des fins de modération, puis supprimés.
Journaux techniques (Sentry) : 30 jours maximum, puis suppression automatique.
Événements de mesure d'audience (PostHog) : 12 mois maximum, puis suppression automatique.
Jeton de notification push (Firebase) : conservé tant que les notifications sont activées ; supprimé à la désactivation ou à la suppression du compte.
Préférence d'e-mail et journal des e-mails envoyés : conservés pendant toute la durée d'utilisation du service, puis supprimés dans les 30 jours suivant la suppression du compte.
Données liées aux obligations légales : durée imposée par la réglementation applicable.

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées :

Communications chiffrées via HTTPS/TLS
Jeton d'accès stocké exclusivement en mémoire vive (protection XSS)
Jeton de rafraîchissement conservé dans le stockage privé de l'application sur mobile, inaccessible aux autres applications ; dans le stockage local du navigateur sur le web, cloisonné au domaine de Drop
Accès aux serveurs restreint et journalisé

7. Vos droits (RGPD)

Si vous résidez dans l'Espace économique européen, vous disposez des droits suivants :

Accès : obtenir une copie de vos données personnelles
Rectification : corriger des données inexactes
Effacement : demander la suppression de vos données (« droit à l'oubli »)
Portabilité : recevoir vos données dans un format structuré
Opposition / Limitation : s'opposer à certains traitements ou en demander la limitation
Retrait du consentement : si le traitement est fondé sur le consentement

E-mails : vous pouvez vous opposer à tout moment à la réception des e-mails de Drop, d'un clic sur « Se désinscrire » dans n'importe lequel d'entre eux, ou dans Réglages, « Rappels par email ». Aucun e-mail ne vous est envoyé ensuite.

Pour exercer ces droits, contactez-nous à [email protected]. Nous répondrons dans un délai d'un mois. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle (en France : la CNIL).

En mode invité, une session ne comporte ni nom ni adresse e-mail : nous n'avons aucun moyen de rattacher une demande reçue par e-mail à une session précise. Le droit à l'effacement s'exerce donc directement depuis l'appareil concerné, dans Réglages, par « Effacer mes données », qui supprime immédiatement et définitivement la session et tout son contenu. À défaut, la suppression automatique décrite à l'article 5 s'applique. Pour les autres droits, écrivez-nous depuis l'appareil concerné en conservant la session ouverte, afin que nous puissions vous indiquer comment l'identifier.

8. Enfants

L'application Drop est destinée aux personnes de 16 ans et plus. Nous ne collectons pas sciemment de données relatives à des enfants de moins de 16 ans. Si vous pensez qu'un mineur a créé un compte, contactez-nous pour en demander la suppression.

9. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des changements dans nos pratiques ou la réglementation. La date de « Dernière mise à jour » en haut de page sera modifiée en conséquence. Pour les changements substantiels, nous vous en informerons dans l'application ou par e-mail avant leur entrée en vigueur.

10. Nous contacter

Pour toute question relative à la présente politique ou à l'exercice de vos droits :
E-mail : [email protected]

Privacy Policy

Last updated: October 7, 2026

At Pewis, we respect your privacy. This policy explains what data we collect when you use the Drop app, why we collect it, and how you can exercise your rights.

1. Who is the Data Controller?

The data controller is Pewis, a simplified joint-stock company with a sole shareholder and share capital of EUR 100, whose registered office is at 58 rue de Monceau, 75008 Paris, France, registered with the Paris Trade and Companies Register under number 105 823 132, publisher of the Drop app.
For any privacy-related questions, write to us at: [email protected]

Full legal information is available on our legal notice page.

2. Data Collected

We only collect data necessary for the app to function.

Category	Data	Source
Account	First name, last name, email address, SSO identifier (Google) or email address alone	Identity provider at sign-in
Guest session	A randomly generated pseudonymous identifier, and the date of last activity. No name, no email address, no third-party account identifier. No advertising identifier and no device fingerprint is used.	Created automatically on first launch, if you do not use an account
Inventory	Names, descriptions, categories, usage frequencies, photos and statuses of your belongings	Entered by you in the app
Decisions	Review responses (keep / sell / donate) and decision history	Actions performed in the app
Garage sale and messaging	Listings published as part of a garage sale (publicly visible via a shareable link), messages exchanged with another user to discuss an item, and, if a conversation is reported, the selected reason and accompanying comment	Entered by you in the app
Technical	Authentication tokens (access token kept in memory; refresh token kept in the app's private storage on mobile, and in the browser's local storage on the web), pseudonymized error logs	Automatically generated
Product analytics	Product usage events (screen opens, item additions, decisions made) tied to a pseudonymized user identifier (UUID, no email). Item category and brand (generic commercial identifier) are transmitted for usage analysis. No sensitive content is transmitted: no item name, no photo, no monetary amount.	Automatically generated while using the app
Emails	Your delivery preference (on by default for an account with an email address) and a log of the emails sent (type, date, status), which prevents writing to you twice for the same period of inactivity. No email is sent to guest sessions, which have no address.	App setting and automatic generation

We do not collect precise location data, financial information, or banking details. Photos are stored on our secure servers and are never shared with third parties.

3. Purposes and Legal Bases

Purpose	Legal basis (GDPR)
Authentication and account management	Contract performance (Art. 6.1.b)
Displaying and managing your inventory	Contract performance (Art. 6.1.b)
Generating price estimates (via eBay API, request limited to a product keyword, no personal data transmitted)	Contract performance (Art. 6.1.b)
Publishing garage sale listings and messaging between buyer and seller	Contract performance (Art. 6.1.b)
Handling conversation reports (harassment, scam, inappropriate content)	Legal obligation (Art. 6.1.c, French LCEN) and legitimate interest (Art. 6.1.f, community safety)
Product analytics and user journey improvement (funnel analysis, feature usage rates, bug detection)	Legitimate interest (Art. 6.1.f): pseudonymized data, objection possible at any time
Sending reminder emails when you have not opened Drop for 30 days (one message per period of inactivity), and occasional satisfaction surveys about the service	Legitimate interest (Art. 6.1.f): improving the service and reminding you of your belongings. You may object at any time, free of charge, with one click on "Unsubscribe" in the email or in Settings, "Email reminders"
Reminder push notifications (only if you enable them)	Consent (Art. 6.1.a): can be withdrawn at any time in the app settings
Compliance with legal obligations	Legal obligation (Art. 6.1.c)

4. Data Sharing

We never sell your data. We may share it only with:

Identity provider (SSO): Google LLC, if you choose to sign in with a Google account. Its privacy policy applies at the authentication step. In guest mode, no identity provider is involved.
Hosting and infrastructure: Amazon Web Services EMEA SARL (Luxembourg) hosts the API, database and photos, in the Europe (Paris) region, on French territory. The drop-now.app marketing website is hosted by Cloudflare, Inc. Data does not leave the European Union without appropriate safeguards.
Technical sub-processors (hosted in the European Union):
- Sentry (Functional Software Inc., EU servers): technical error monitoring and crash logs, pseudonymized user identifier.
- PostHog (PostHog Inc., EU servers in Frankfurt): product analytics, pseudonymized user identifier, no item content or email.
- Resend (Resend Inc.): sends Drop's emails (inactivity reminders, satisfaction surveys, and the internal notification to Pewis when a conversation is reported).
Public garage sale listings: if you publish a garage sale listing, its content (item name, description, photo, price) becomes accessible to anyone with the shared link, without needing a Drop account. Do not publish an item whose description contains personal information you do not want made public.
Push notifications (Firebase Cloud Messaging, Google LLC): if you enable notifications, a device-specific technical identifier (notification token) is sent to Google to deliver notifications. This token contains neither your name nor your email. Google LLC is certified under the EU-US Data Privacy Framework, which governs this transfer outside the European Union. Disabling notifications in the app settings stops this transfer.
Legal obligations: if required by law (court order, legal requisition).

5. Data Retention

Account and inventory data: retained for the duration of service use, then deleted within 30 days of account deletion.
Guest sessions: deleted automatically, with no action required from you, after 7 days if the session holds no belongings, and after 90 days without activity otherwise. Deletion is permanent and covers, in our systems, the belongings, the photos and the session's pseudonymous identifier. Audience measurement events carrying that identifier follow their own retention period, set out further down this list. If you create an account or join an existing one before those deadlines, the data kept follows the retention period applying to accounts.
Garage sale listings and messages: retained for the duration of service use, then deleted within 30 days of account deletion. A conversation archived by a participant remains stored: archiving is a display preference, not a deletion.
Conversation reports: retained for 12 months from the report date for moderation purposes, then deleted.
Technical logs (Sentry): 30 days maximum, then automatic deletion.
Product analytics events (PostHog): 12 months maximum, then automatic deletion.
Push notification token (Firebase): retained while notifications are enabled; deleted when disabled or upon account deletion.
Email preference and log of emails sent: retained for the duration of service use, then deleted within 30 days of account deletion.
Data related to legal obligations: duration imposed by applicable regulation.

6. Security

We implement appropriate technical and organizational measures:

Encrypted communications via HTTPS/TLS
Access token stored exclusively in memory (XSS protection)
Refresh token kept in the app's private storage on mobile, inaccessible to other apps; in the browser's local storage on the web, scoped to Drop's own domain
Restricted and logged server access

7. Your Rights (GDPR)

If you reside in the European Economic Area, you have the following rights:

Access: obtain a copy of your personal data
Rectification: correct inaccurate data
Erasure: request deletion of your data ("right to be forgotten")
Portability: receive your data in a structured format
Objection / Restriction: object to certain processing or request its restriction
Withdrawal of consent: if processing is based on consent

Emails: you may object at any time to receiving Drop's emails, with one click on "Unsubscribe" in any of them, or in Settings, "Email reminders". No email is sent to you afterwards.

To exercise these rights, contact us at [email protected]. We will respond within one month. You also have the right to lodge a complaint with a supervisory authority (in France: the CNIL).

In guest mode, a session carries neither a name nor an email address: we have no way of matching a request received by email to a specific session. The right to erasure is therefore exercised directly from the device concerned, in Settings, via "Erase my data", which immediately and permanently deletes the session and everything it holds. Failing that, the automatic deletion described in section 5 applies. For the other rights, write to us from the device concerned while keeping the session open, so that we can tell you how to identify it.

8. Children

The Drop app is intended for people aged 16 and over. We do not knowingly collect data relating to children under 16. If you believe a minor has created an account, contact us to request its deletion.

9. Changes to This Policy

We may update this policy to reflect changes in our practices or regulations. The "Last updated" date at the top of the page will be updated accordingly. For substantial changes, we will notify you in the app or by email before they take effect.

10. Contact Us

For any questions about this policy or to exercise your rights:
Email: [email protected]