Dernière mise à jour : 1er septembre 2026
Responsable du traitement : l’éditeur de Lootiza, identifié avec ses coordonnées légales dans les mentions légales. Contact dédié : support@lootiza.com.
Finalités, données et bases légales
Lootiza traite l’adresse e-mail, le pseudo affiché, l’identifiant de compte, les sessions de connexion et les données nécessaires à l’authentification afin de créer, sécuriser et administrer le compte. Ces traitements sont nécessaires à l’exécution du service demandé par l’utilisateur.
Les collectors suivis, sources surveillées, URLs ajoutées manuellement, mots-clés, seuils de prix, préférences d’alertes, langue, marché, intérêts Import et historiques fonctionnels associés sont traités afin de fournir les fonctions de recherche, suivi et alerte demandées. La base légale est l’exécution du service.
Les identifiants techniques de notification, notamment le token Expo Push et la plateforme de l’appareil, sont traités lorsque l’utilisateur active les notifications afin de délivrer les alertes demandées.
Des mesures techniques de sécurité, de limitation d’abus, de sauvegarde et de reprise après incident sont mises en œuvre sur la base de l’intérêt légitime de Lootiza à protéger le service, les comptes et les données. L’adresse IP peut être utilisée temporairement en mémoire pour limiter certaines tentatives d’authentification abusives ; elle n’est pas conservée dans la base utilisateur ni dans les journaux applicatifs de Lootiza.
Lorsque la loi impose une conservation ou une communication de certaines informations, le traitement correspondant repose sur le respect d’une obligation légale.
Données obligatoires et facultatives
Pour créer un compte Lootiza, l’adresse e-mail, le mot de passe et le pseudo affiché sont obligatoires. Sans ces informations, le compte ne peut pas être créé et les fonctions nécessitant une authentification ne peuvent pas être fournies.
Le suivi de collectors, les URLs ajoutées manuellement, les mots-clés, seuils de prix, intérêts Import et autres préférences fonctionnelles sont facultatifs : ne pas les renseigner empêche uniquement l’utilisation de la fonction correspondante. Les notifications push sont également facultatives et peuvent être refusées ou désactivées dans les réglages de l’appareil ; dans ce cas, les notifications push ne sont pas reçues.
Récupération de compte et e-mails transactionnels
Lorsqu’un utilisateur demande la réinitialisation de son mot de passe, Lootiza utilise Brevo pour l’envoi du message transactionnel. Brevo reçoit les informations nécessaires à l’envoi, notamment l’adresse e-mail du compte et le contenu du message. Le jeton de récupération est à usage unique, expire après 30 minutes et n’est conservé dans la base Lootiza que sous forme hachée.
Notifications push
Lootiza utilise Expo / Expo Push Service pour acheminer les notifications demandées. Le token push associé à l’installation et le contenu nécessaire à la notification sont transmis à Expo, qui remet ensuite la notification au service push de la plateforme, notamment Apple sur iOS. Lootiza n’envoie pas l’adresse e-mail du compte dans le contenu de ses notifications push.
Hébergement et sauvegardes
Le backend, la base de production et les sauvegardes techniques gérées par Lootiza sont hébergés chez OVHcloud en France. Les sauvegardes SQLite créées par Lootiza sont vérifiées avant conservation et restent dans l’environnement OVH de production pendant la bêta.
La rotation applicative conserve ces sauvegardes jusqu’à 14 jours. L’ancien envoi vers un Google Drive personnel n’est pas utilisé dans la configuration bêta finale. Un stockage hors site distinct ne sera réactivé que lorsqu’un support professionnel adapté aura été choisi et documenté.
Durées de conservation
- Données du compte et données fonctionnelles liées au suivi : pendant la durée d’utilisation du compte, puis suppression de la base active lors de la suppression du compte, sauf obligation légale contraire.
- Jeton de réinitialisation de mot de passe : 30 minutes.
- Sauvegardes applicatives gérées par Lootiza : jusqu’à 14 jours.
- Données techniques temporaires de limitation d’abus : uniquement pendant la fenêtre nécessaire au contrôle de sécurité, sans archivage persistant dans la base utilisateur.
- Correspondances adressées au support : pendant la durée nécessaire au traitement et au suivi de la demande, et plus longtemps uniquement lorsque cela est nécessaire à la défense de droits ou au respect d’une obligation légale.
Suppression du compte
Un utilisateur connecté peut supprimer définitivement son compte depuis son profil dans l’application après confirmation. La suppression retire les données actives associées au compte, notamment sessions, appareils de notification, produits suivis, surveillances, historiques et alertes personnelles. Le catalogue partagé Lootiza, qui n’est pas propre à un utilisateur, n’est pas supprimé.
Une copie des données supprimées peut subsister temporairement dans des sauvegardes antérieures à la suppression. Ces sauvegardes ne servent pas à recréer individuellement un compte supprimé et expirent au plus tard selon la durée de sauvegarde indiquée ci-dessus.
Prestataires et destinataires
Les données peuvent être traitées, strictement pour les finalités nécessaires au service, par OVHcloud (hébergement de production et sauvegardes), Brevo (e-mails transactionnels) et Expo / Expo Push Service ainsi que le service push de la plateforme concernée (notifications). Lootiza ne vend pas les données personnelles, ne les utilise pas pour de la publicité ciblée et n’intègre actuellement aucun SDK publicitaire ou analytics tiers.
Le Web Discovery externe continu est désactivé pendant la bêta et aucun credential fournisseur n’est configuré dans le service de production. Lorsqu’il est désactivé, aucune requête de découverte ni donnée utilisateur n’est envoyée à un fournisseur de recherche externe.
Transferts hors Espace économique européen
La base de production et les sauvegardes gérées par Lootiza sont hébergées chez OVHcloud en France. Brevo indique que ses serveurs de stockage sont situés dans l’Union européenne. En revanche, l’acheminement des notifications via Expo peut impliquer un traitement aux États-Unis par Expo et ses sous-traitants, notamment Apple ou Google selon la plateforme. Expo indique agir comme sous-traitant pour les données d’utilisateur final traitées dans ses services et encadrer les transferts applicables notamment au moyen des clauses contractuelles types de la Commission européenne et du Data Privacy Framework.
Droits
Dans les conditions prévues par le RGPD, l’utilisateur peut demander l’accès à ses données, leur rectification, leur effacement, la limitation de certains traitements, s’opposer aux traitements fondés sur l’intérêt légitime et demander la portabilité lorsque celle-ci est applicable. Il peut exercer ses droits à support@lootiza.com. Une demande peut nécessiter une vérification raisonnable de l’identité du demandeur.
En France, l’utilisateur peut également introduire une réclamation auprès de la CNIL.
Cookies et publicité
Les pages publiques Lootiza ne mettent actuellement en œuvre aucun dispositif publicitaire ou de suivi marketing propre à Lootiza. Si cette pratique change, cette politique sera mise à jour avant activation.
Contact
Pour toute question relative à la confidentialité ou à vos données : support@lootiza.com.
Last updated: September 1, 2026
Data controller: Lootiza’s publisher, whose legal identity and contact details are provided in the Legal Notice. Dedicated contact: support@lootiza.com.
Purposes, data and legal bases
Lootiza processes the email address, display name, account identifier, sign-in sessions and authentication data in order to create, secure and administer the user account. These operations are necessary to perform the service requested by the user.
Tracked collectors, monitored sources, manually added URLs, keywords, price thresholds, alert preferences, language, market, Import interests and related functional history are processed to provide the requested search, tracking and alert features. The legal basis is performance of the service.
Technical notification identifiers, including the Expo Push token and device platform, are processed when the user enables notifications in order to deliver requested alerts.
Technical security, abuse prevention, backup and disaster-recovery measures are operated on Lootiza’s legitimate interest in protecting the service, accounts and data. An IP address may be used temporarily in memory to limit abusive authentication attempts; it is not stored in the user database or Lootiza application logs.
Where the law requires certain information to be retained or disclosed, the corresponding processing is based on compliance with a legal obligation.
Required and optional data
An email address, password and display name are required to create a Lootiza account. Without this information, an account cannot be created and authenticated features cannot be provided.
Tracked collectors, manually added URLs, keywords, price thresholds, Import interests and other functional preferences are optional: not providing them only prevents use of the corresponding feature. Push notifications are also optional and may be refused or disabled in device settings; in that case, push notifications are not received.
Account recovery and transactional emails
When a user requests a password reset, Lootiza uses Brevo to deliver the transactional email. Brevo receives the information necessary for delivery, including the account email address and message content. The recovery token is single-use, expires after 30 minutes and is stored in the Lootiza database only in hashed form.
Push notifications
Lootiza uses Expo / Expo Push Service to route requested notifications. The installation push token and the notification payload are sent to Expo, which then hands the notification to the platform push service, including Apple on iOS. Lootiza does not include the account email address in its push notification payload.
Hosting and backups
The production backend, database and Lootiza-managed technical backups are hosted by OVHcloud in France. SQLite backups created by Lootiza are integrity-checked before retention and remain within the OVH production environment during the beta.
The application backup rotation retains these copies for up to 14 days. The former upload to a personal Google Drive account is not used in the final beta configuration. A separate offsite backup destination will only be enabled after a suitable professional service has been selected and documented.
Retention
- Account data and tracking-related functional data: while the account is in use, then removed from the active database when the account is deleted, unless a legal obligation requires otherwise.
- Password-reset token: 30 minutes.
- Lootiza-managed application backups: up to 14 days.
- Temporary anti-abuse technical data: only for the security-control window, without persistent archival in the user database.
- Support correspondence: for as long as necessary to handle and follow up the request, and longer only where required for legal compliance or the establishment, exercise or defence of legal claims.
Account deletion
A signed-in user can permanently delete their account from Profile after confirmation. Deletion removes active account data, including sessions, notification devices, tracked products, monitoring entries, history and personal alerts. The shared Lootiza catalogue, which is not specific to an individual user, is not deleted.
Deleted data may temporarily remain in backups created before deletion. Those backups are not used to recreate an individually deleted account and expire no later than the backup period described above.
Processors and recipients
Data may be processed, strictly for the purposes required to operate the service, by OVHcloud (production hosting and backups), Brevo (transactional email), Expo / Expo Push Service and the relevant platform push service (notifications). Lootiza does not sell personal data, does not use it for targeted advertising and currently integrates no third-party advertising or analytics SDK.
Continuous external Web Discovery is disabled during the beta and no provider credential is configured in the production service. While disabled, no discovery request or user data is sent to an external search provider.
Transfers outside the European Economic Area
The production database and Lootiza-managed backups are hosted by OVHcloud in France. Brevo states that its data-storage servers are located within the European Union. Push delivery through Expo may, however, involve processing in the United States by Expo and its subprocessors, including Apple or Google depending on the platform. Expo states that it acts as a processor for end-user data handled through its services and covers applicable transfers using mechanisms including the European Commission Standard Contractual Clauses and the Data Privacy Framework.
Your rights
Subject to GDPR conditions, users may request access, rectification, erasure, restriction of certain processing, object to processing based on legitimate interests and request portability where applicable. Requests can be sent to support@lootiza.com. A reasonable identity check may be required.
Users may also lodge a complaint with the French data-protection authority, the CNIL.
Cookies and advertising
Lootiza’s public pages currently use no Lootiza-operated advertising or marketing tracking mechanism. If this changes, this policy will be updated before activation.
Contact
For privacy or data questions: support@lootiza.com.