LegalLégal

Privacy policyPolitique de confidentialité

To recognise a plant, Flora needs a photo and an account. Here is exactly where each piece of data goes — and everything that never leaves your phone.

Pour reconnaître une plante, Flora a besoin d’une photo et d’un compte. Voici exactement où va chaque donnée — et tout ce qui ne quitte jamais ton téléphone.

Last updated: September 27, 2026Dernière mise à jour : 27 septembre 2026

In short

You need an Arritos account to run an analysis. It keeps your email address, your name if known and an identifier, and it is shared by every Arritos app. You can leave Flora alone, or delete your account, in the app or on this page.
Your photos are kept neither by Arritos nor by the services that analyse them. They leave resized and without location, only to produce your result.
Your history stays on your phone: your last 30 results, photos included.
Aristote’s voice is generated on your phone, and “Hey Arri” is recognised there. Flora never records your voice.
No advertising, no selling of data. Audience measurement (Google Analytics) and crash reports (Firebase Crashlytics) help us improve the app (section “Advertising, audience measurement and crashes”).

1. Who is responsible

Arritos Flora and these pages are published by Arritos Technology, an independent studio based in Paris, France, which is the controller of your data. For anything about your data: support@arritos.com.

2. Your Arritos account

Flora asks for an Arritos account before the first analysis. It is the same account as for the other Arritos apps (Temple, Playlist…): one account, on all your devices.

Signing in — with Apple, with Google, or with an email and a password. An email account must confirm its address through a link; your password is never visible to Arritos. With Apple, you can hide your address: we then receive a relay address provided by Apple.
What the account keeps — your email address, your name (the one given by Apple or Google, if any), a unique account identifier, your sign-in method, whether your address is confirmed, and the dates of creation and last sign-in. For security and against abuse, the sign-in service also records your IP address and technical information about the device and the app (type, version) when you sign in.
Your Flora profile — the date of your first sign-in to Flora and of your last visit, your platform (Android or iOS), your sign-in method, your language, the app version, and the record of your newsletter subscription (date, app of origin, version of the sentence shown at that moment).
Where — the account and the profile are handled by Firebase (Google): Firebase Authentication and the Cloud Firestore database of the project shared by the Arritos apps. Address-confirmation and new-password emails are sent by Firebase, in the app’s language.
The other Arritos apps may store their own data in the same account (a GoldenOr balance, for example): their privacy policies describe it. Flora reads only one of them, your Arritos Playlist SilverOr balance (see “Keeper” below); it only erases this data if you delete your Arritos account (see Your rights).
Keeper — Flora is given for life, for as long as Flora is offered, to accounts that have accumulated 100,000 SilverOr in Arritos Playlist (see the terms). To know it, Flora reads your account’s SilverOr balance (the silverBalance field, written by Playlist; Flora never changes it). At the threshold, it sets a “Keeper” marker and its date in your Flora profile (gardien, gardienDepuis). So that the access stays yours, the relay keeps a one-way fingerprint of your account (neither your identifier nor your balance) marked “Keeper”: it is kept with no time limit, even after your account is deleted (a new account has another fingerprint). The relay also checks this threshold on its side, by reading your SilverOr balance with your sign-in proof: when the account is not a Keeper, it only notes this check and its date under the same fingerprint, so as not to read the balance again on every request, and erases it at the latest eight days later.

3. When you scan a plant

Recognising a plant from a photo needs large models that do not fit on a phone. Here is the exact path of your photo.

Your consent first — before your first request, a screen names Pl@ntNet and Gemma 4 (run by Cloudflare) and says what is sent. Nothing leaves without your consent, stored on your phone with its date and tied to your Arritos account. You can withdraw it at any time in Settings → Info → “What leaves your phone”: you will be asked again before your next photo or question.
On your phone, first — the photo is resized (1,024 pixels for identification; 1,536 pixels and four enlarged areas for diagnosis and care) and saved again without any metadata: no GPS position, no device model, no date.
The Arritos relay — it then travels, encrypted, to our relay, a small program hosted by Cloudflare (Cloudflare Workers). The relay checks that you are signed in, applies the daily limits (section 4) and forwards your request. It keeps neither your photo nor any text, and writes none of them to a log.
Identification (all three scans) — the relay sends the photo to Pl@ntNet, the botanical project born in French research, which returns the likely species and a confidence score. Pl@ntNet receives the photo alone, from Arritos: neither your account nor your IP address. According to its terms, the photo is only kept in volatile memory during the identification; Pl@ntNet records the date and time of the request in Arritos’ account.
Diagnosis and Care — the photo is also analysed by Gemma 4, an open model published by Google and run by Cloudflare (Workers AI): Google receives nothing. Along with the photo go the identified species, the list of treatments authorised for that plant and the date (for the season). Cloudflare states that it does not train models on this data.
Aristote’s story, “The essentials” and your questions — here, no photo: text only, to Gemma 4, through the same relay. The plant’s name, its family, the identification confidence and the summary of the result; for a question, your question (typed or dictated) and the previous exchanges of the same conversation. Nothing is kept. Only the “Essentials” sheets — general text about a species, never linked to you — are cached by species, language and month, to answer everyone faster; they are erased at the start of the next month.
Wikipedia and reference photos — the name of the species (never your photo) is used to fetch its summary from Wikipedia, and Specimen’s reference photos come from Pl@ntNet’s servers. Both are called directly by your phone: like any website, they see your IP address. Finally, Specimen’s “Similar plants” and “Recommendation” buttons open, only if you tap them, a Google search for the plant’s name in your browser.
If you report a result — the “Report this result” link (or the flag on one of Aristote’s answers) sends us the text of that result and your comment if you write one, with the language, the app version and your phone’s system: never your photo, your email or your account. It goes through our arritos.com server, which stores it and emails it to us; it is used only to fix Flora.

Flora is made for plants: please don’t photograph people or documents, and don’t put personal information in your questions.

4. Daily limits and technical identifiers

Analyses have a cost: to keep them available for everyone, the relay counts each day’s requests.

Installation identifier — on first launch, Flora draws a random identifier, kept on your phone and sent to the relay with each request. It is neither your phone’s identifier nor your account; clearing the app’s data creates a new one.
Proof of sign-in — each request carries a token from your Arritos account, checked by the relay and then forgotten.
Counters — the relay counts the day’s analyses per account, per installation and per IP address. It never stores these identifiers in clear, only one-way fingerprints (the IP address fingerprint changes every day). Counters are erased after three days at most.

5. What stays on your phone

Your history — your last 30 results (Disease, Care, Specimen), with the photo you took (resized, without metadata), its thumbnail and the text Aristote read, so you can reopen them offline. They are stored in the app’s folder, which your phone’s backup (iCloud, Google backup) includes if you have turned it on. To erase them: Settings → Account → “Clear history”; it is also offered when you leave Flora or delete your account, and uninstalling the app erases them.
Raw camera captures are erased as soon as they have been read.
Your settings — language, automatic reading, sounds, Hey Arri settings, installation identifier.
Aristote’s voice — a synthetic voice (Supertonic 3), downloaded once and then generated entirely on the device (see Aristote’s voice package; credits and licence in the app: Settings → About): no text is ever sent anywhere to be spoken. As a fallback, if that voice cannot start, Flora uses your phone’s own speech synthesis.
Hand-off between Arritos apps (Android) — if you have installed another Arritos app designed to remember your scans, Flora can hand it the name of the species you scanned, its family and the identification confidence, directly on your phone, without any network transfer. Only our own apps, signed with the same key, can receive it.

6. Aristote’s voice package

Aristote’s voice is no longer built into the app: the first time it opens (and again whenever the voice is updated), Flora downloads a 145 MB (7-file) package once from our server, arritos.com (Contabo GmbH, Munich), then keeps it on your phone.

What our server sees — as with any web download, its technical logs (nginx) record your device’s IP address and the request’s “user-agent” header (app type and version): never your account, your email or any other Flora data.
Purpose and legal basis — these logs are only used to run and secure the server (load balancing, abuse detection, incidents); we process them on the basis of our legitimate interest in running a reliable service, and to perform the service (sending you the package you asked for), never to track you.
Retention — these logs are kept for 32 days at most (daily rotation: the current log plus 31 archives) before being erased automatically.
After this download — nothing else is sent for the voice: the text to be read never leaves your phone, and the speech is synthesised entirely on the device.
Licence — this voice (Supertonic 3, Supertone Inc.) is released under the open OpenRAIL-M licence, with use restrictions that bind you just as they bind us: see the terms, the full text in the app (Settings → About → voice licence), or at this address.

7. Your voice

The microphone only opens if you tap the microphone of “Ask” to dictate a question, if you tap the home screen microphone to give a command, or if you turn on Hey Arri (off by default). Permission is only requested at that moment; refusing it leaves you the keyboard.
“Hey Arri” is recognised on your phone, by a small model built into the app: nothing is sent. Arri only listens while Flora is open on screen, never in the background; your phone’s microphone indicator reminds you.
The command given with the home screen microphone or after “Hey Arri”, and a dictated question, are turned into text by your phone’s speech recognition: Apple’s on iPhone and iPad, Google’s on Android, under their own terms (depending on the device and its settings, it may go through their servers). Flora only receives the text. A command is understood on the phone; a dictated question is then sent as text, like a typed one (section 3).
Flora never records your voice and never sends any sound to Arritos.

8. Emails: welcome and newsletter

Welcome email — the first time you sign in to Flora, the app sends our server (arritos.com) your email address, your name if known (the account’s), your language and the app’s name, to send you a welcome email, only once: the server keeps a record of that email so as not to repeat it, with an approximate location (country, city) derived from the request’s IP address.
Arritos newsletter — as the sign-in window says, your address is subscribed to the Arritos newsletter (news from our apps, Flora included). Every email has a one-click unsubscribe link; you can also write to us. We do this on the basis of our legitimate interest in keeping Arritos members informed; you can object at any time, free of charge.
These emails are sent from our arritos.com server (see Who processes your data).

9. Permissions

Camera — to photograph a plant, only while a scan screen is open.
Microphone (and, on iPhone and iPad, speech recognition) — only for dictation, the home screen microphone and Hey Arri, requested on first use.
Internet — for the account, the analyses and the stories.

Flora does not ask for your location, your contacts or access to your photo library. If you share a result, it goes to the app you choose, and only then.

10. Purchases and subscription

Purchases go through Apple’s App Store or Google Play: Arritos never sees your card. To know whether your subscription is active on all your devices, our provider RevenueCat receives your Arritos account identifier and the purchase information (product, dates, status, store receipt). It stays at RevenueCat even after your Arritos account is deleted, for your purchase history and our accounting obligations. So as not to ask RevenueCat on every request, the relay also keeps, under a one-way fingerprint of your account, the end date of your access and the date of the last check; they are erased at the latest eight days after both dates.

11. Advertising, audience measurement and crashes

Flora contains no advertising and no advertising kit. We never sell or rent your data, and never share it with anyone for advertising.

Crash reports — when the app crashes, Firebase Crashlytics (Google) receives its technical state (error trace, device model and system, app version) and an installation identifier specific to Crashlytics: never your photo, your email or your name. They are used only to fix the app, and Google keeps them for 90 days.
Audience measurement — like our other apps, Flora uses Google Analytics for Firebase (Google) to understand how the app is used and improve it. It receives the screens opened, sessions and usage events (for example starting an analysis, or a subscription taken out: product and price, never your card), an app-instance identifier, your Arritos account identifier once you are signed in, and technical information (device model and system, app version, language). It derives an approximate location (country, region, city) from your masked IP address: never your precise location, and never your photos, your questions or your email.
Advertising identifier — on Android, Google Analytics also reads the device’s advertising ID: we only use it for audience measurement, never for advertising; you can reset or delete it in your phone’s settings (Ads section). On iPhone and iPad, Flora does not ask for tracking permission, so iOS does not give it the advertising identifier. Nothing is combined with other companies’ apps or websites. Like the account, this measurement is shared by the Arritos apps: your account identifier links your use of Flora to your use of our other apps.
A copy of the audience-measurement events may be exported to our own Google Cloud space (BigQuery), for our analyses. We carry out this measurement on the basis of our legitimate interest in improving the app; you can object by writing to us (support@arritos.com).

12. These pages

Contact and deletion-request forms — your name, email and message are sent to our arritos.com server, which stores them and forwards them to us; you receive an acknowledgement by email. They are used only to answer you and handle your request.
Audience measurement — our own, self-hosted: a random identifier kept in your browser tab (sessionStorage, erased when the tab closes) and the page you are on, sent every 30 seconds while the page is visible, to measure how long visits last. Like any web server, ours also logs IP addresses and browser types for security and statistics. These pages (privacy, terms, account deletion, contact, FAQ) set no cookies and load no advertising or third-party trackers.
Google Analytics on the home page — Flora’s home page (arritos.com/flora/) also uses Google Analytics (Google) to count visits and see which pages are read: it sets cookies in your browser (_ga, about 13 months). We switched off Google signals and ad personalisation; it is used for audience measurement only.
Your language preference is remembered in your browser (localStorage).
Fonts and visuals are served from our own server — no call to Google Fonts or any other font service.

13. Who processes your data

Google (Firebase Authentication, Cloud Firestore, Crashlytics, Google Analytics for Firebase, Google Cloud BigQuery) — your account and your Flora profile, and what the “Advertising, audience measurement and crashes” section describes.
Cloudflare, Inc. — the relay (Cloudflare Workers), its counter database (hosted in Western Europe) and the Gemma 4 model (Workers AI).
Pl@ntNet — plant identification (a project of the French research institutes Cirad, INRAE, Inria and IRD).
RevenueCat, Inc. — the status of your purchases and subscription.
Contabo GmbH (Germany) — our arritos.com server, under our exclusive control: these pages, the newsletter, the welcome email, the forms, our mail server and Aristote’s voice package.
Wikimedia Foundation — Wikipedia summaries, called by your phone.
Apple and Google — signing in with their account if you choose it, your phone’s speech recognition, and the stores you download the app from, under their own policies.

Google, Cloudflare and RevenueCat are established in the United States and may process data there: these transfers are covered by the safeguards provided by the GDPR (EU–US Data Privacy Framework, European Commission standard contractual clauses). We never sell or rent your data.

14. How long we keep data

Arritos account and Flora profile — as long as the account exists. “Leave Flora” erases the Flora profile; deleting the account immediately erases the account and all its data in our database (see Your rights; what is kept elsewhere is detailed on the Delete your account page).
Photos, questions and texts sent for an analysis — not kept: only for the time of the answer.
Relay counters — three days at most.
Relay Keeper marker — a one-way fingerprint of your account, with no time limit, even after the account is deleted (see “Your Arritos account”).
Relay “not a Keeper” check — under the same fingerprint: erased at the latest eight days after the last check.
Your subscription status at the relay — under a fingerprint: erased at the latest eight days after your access ends and the last check.
Purchases at RevenueCat — for your purchase history and our accounting obligations, including after the account is deleted.
Crash reports — 90 days at Firebase Crashlytics.
Audience measurement — at most 14 months in Google Analytics; the copy exported to our Google Cloud space, as long as needed for our analyses.
Cached “Essentials” sheets — until the start of the next month; this is not data about you.
Newsletter — until you unsubscribe; the record of the welcome email, until you ask us to erase it.
Messages to support — as long as needed to follow up your request.
History and settings — on your phone, until you erase them or uninstall the app.
Technical logs of our arritos.com server (including voice-package downloads) — 32 days at most (daily rotation); our providers’ own logs follow their own schedules, for a limited time, as long as needed for security.

15. Security

All traffic is encrypted (HTTPS / TLS).
The app contains no key for the analysis services: they stay on the relay, which checks your account on every request.
Photos are resized and stripped of their metadata before leaving your phone; the relay stores no identifier in clear.

16. Minors

Flora is suitable for everyone. For users under 16, the consent of a parent or legal guardian is required to create an Arritos account, as required by the GDPR. We do not knowingly collect data from minors without this consent; if you believe a child has given us some without it, write to us and we will erase it.

17. Your rights

Under the GDPR you can access, correct, erase and receive a copy of your data (portability), restrict its use and object to it — including the newsletter, at any time. In France, you can also set instructions about what happens to your data after your death.

In the app — Settings → Account: “Clear history” (this phone); “Leave Flora” (your Flora profile is erased, your Arritos account stays for the other apps); “Delete my Arritos account” (the account and all its data, in every Arritos app: profiles, GoldenOr balances… this is permanent).
Without the app — the Delete your account page, or an email to support@arritos.com.

We answer within one month at most. You can also lodge a complaint with the French data-protection authority, the CNIL.

18. Changes

This policy is updated whenever the app changes the way it handles data. The date at the top always shows the latest version.

En bref

Un compte Arritos est nécessaire pour lancer une analyse. Il garde ton adresse e-mail, ton nom s’il est connu et un identifiant, et il est commun à toutes les apps Arritos. Tu peux quitter Flora seule, ou supprimer ton compte, dans l’app ou sur cette page.
Tes photos ne sont gardées ni par Arritos, ni par les services qui les analysent. Elles partent réduites et sans localisation, uniquement pour produire ton résultat.
Ton historique reste sur ton téléphone : tes 30 dernières fiches, photos comprises.
La voix d’Aristote est générée sur ton téléphone, et « Hey Arri » y est reconnu. Flora n’enregistre jamais ta voix.
Pas de publicité, pas de revente de données. Une mesure d’audience (Google Analytics) et des rapports de plantage (Firebase Crashlytics) nous aident à améliorer l’app (section « Publicité, mesure d’audience et plantages »).

1. Qui est responsable

Arritos Flora et ces pages sont édités par Arritos Technology, studio indépendant basé à Paris, responsable du traitement de tes données. Pour toute question sur tes données : support@arritos.com.

2. Ton compte Arritos

Flora demande un compte Arritos avant la première analyse. C’est le même compte que pour les autres apps Arritos (Temple, Playlist…) : un seul compte, sur tous tes appareils.

Connexion — avec Apple, avec Google, ou par e-mail et mot de passe. Un compte e-mail doit confirmer son adresse par un lien ; ton mot de passe n’est jamais visible par Arritos. Avec Apple, tu peux masquer ton adresse : nous recevons alors une adresse relais fournie par Apple.
Ce que garde le compte — ton adresse e-mail, ton nom (celui que donnent Apple ou Google, s’il y en a un), un identifiant unique de compte, ta méthode de connexion, si ton adresse est confirmée, et les dates de création et de dernière connexion. Pour la sécurité et contre les abus, le service de connexion enregistre aussi ton adresse IP et des informations techniques sur l’appareil et l’app (type, version) au moment de la connexion.
Ton profil Flora — la date de ta première connexion à Flora et de ta dernière ouverture, ta plateforme (Android ou iOS), ta méthode de connexion, ta langue, la version de l’app, et la trace de ton inscription à la newsletter (date, app d’origine, version de la phrase affichée à ce moment-là).
Où — le compte et le profil sont gérés par Firebase (Google) : Firebase Authentication et la base Cloud Firestore du projet commun aux apps Arritos. Les e-mails de confirmation d’adresse et de nouveau mot de passe sont envoyés par Firebase, dans la langue de l’app.
Les autres apps Arritos peuvent ranger leurs propres données dans le même compte (par exemple un solde GoldenOr) : leurs politiques de confidentialité les décrivent. Flora n’en lit qu’une, ton solde SilverOr d’Arritos Playlist (voir « Gardien » ci-dessous) ; elle n’efface ces données que si tu supprimes ton compte Arritos (voir Tes droits).
Gardien — Flora est offerte à vie, tant que Flora est proposée, aux comptes qui ont cumulé 100 000 SilverOr dans Arritos Playlist (voir les conditions). Pour le savoir, Flora lit le solde SilverOr de ton compte (le champ silverBalance, écrit par Playlist ; Flora ne le modifie jamais). Au seuil, elle pose dans ton profil Flora un repère « Gardien » et sa date (gardien, gardienDepuis). Pour que l’accès reste acquis, le relais garde de son côté une empreinte à sens unique de ton compte (ni ton identifiant, ni ton solde) marquée « Gardien » : elle est gardée sans limite de durée, même après la suppression de ton compte (un nouveau compte a une autre empreinte). Le relais vérifie aussi ce seuil de son côté, en lisant ton solde SilverOr avec ta preuve de connexion : quand le compte n’est pas Gardien, il note seulement cette vérification et sa date sous la même empreinte, pour ne pas relire le solde à chaque demande, et l’efface au plus tard huit jours après.

3. Quand tu scannes une plante

Reconnaître une plante sur une photo demande de grands modèles qui ne tiennent pas dans un téléphone. Voici le chemin exact de ta photo.

Ton accord d’abord — avant ton premier envoi, un écran nomme Pl@ntNet et Gemma 4 (exécuté par Cloudflare) et dit ce qui part. Rien ne part sans ton accord, gardé sur ton téléphone avec sa date et lié à ton compte Arritos. Tu peux le retirer à tout moment dans Réglages → Infos → « Ce qui quitte ton téléphone » : il te sera redemandé avant ta prochaine photo ou question.
Sur ton téléphone, d’abord — la photo est réduite (1 024 pixels pour l’identification ; 1 536 pixels et quatre zones agrandies pour le diagnostic et l’entretien) et réenregistrée sans aucune métadonnée : ni position GPS, ni modèle d’appareil, ni date.
Le relais Arritos — elle part ensuite, chiffrée, vers notre relais, un petit programme hébergé par Cloudflare (Cloudflare Workers). Il vérifie que tu es connecté, applique les limites du jour (section 4) et transmet ta demande. Il ne garde ni ta photo ni aucun texte, et n’en écrit rien dans un journal.
Identification (les trois scans) — le relais envoie la photo à Pl@ntNet, le projet botanique de la recherche française, qui renvoie les espèces probables et un score de confiance. Pl@ntNet reçoit la photo seule, de la part d’Arritos : ni ton compte, ni ton adresse IP. D’après ses conditions, la photo n’est gardée qu’en mémoire vive le temps de l’identification ; Pl@ntNet note la date et l’heure de la requête dans le compte d’Arritos.
Diagnostic et Entretien — la photo est aussi analysée par Gemma 4, un modèle ouvert publié par Google et exécuté chez Cloudflare (Workers AI) : Google ne reçoit rien. Avec la photo partent l’espèce identifiée, la liste des traitements autorisés pour cette plante et la date (pour la saison). Cloudflare indique ne pas entraîner de modèle sur ces données.
Le récit d’Aristote, « L’essentiel » et tes questions — ici, aucune photo : du texte seulement, vers Gemma 4, par le même relais. Le nom de la plante, sa famille, la confiance de l’identification et le résumé de la fiche ; pour une question, ta question (tapée ou dictée) et les échanges précédents de la même conversation. Rien n’est conservé. Seules les fiches « L’essentiel » — un texte général sur une espèce, jamais lié à toi — sont gardées en cache par espèce, langue et mois, pour répondre plus vite à tout le monde ; elles sont effacées au début du mois suivant.
Wikipédia et photos de référence — le nom de l’espèce (jamais ta photo) sert à récupérer son résumé sur Wikipédia, et les photos de référence de Spécimen viennent des serveurs de Pl@ntNet. Ces deux services sont appelés directement par ton téléphone : comme tout site web, ils voient ton adresse IP. Enfin, les boutons « Plantes similaires » et « Recommandation » de Spécimen ouvrent, seulement si tu les touches, une recherche Google avec le nom de la plante dans ton navigateur.
Si tu signales un résultat — le lien « Signaler ce résultat » (ou le drapeau d’une réponse d’Aristote) nous envoie le texte de ce résultat et ton commentaire si tu en écris un, avec la langue, la version de l’app et le système de ton téléphone : jamais ta photo, ton e-mail ni ton compte. Il passe par notre serveur arritos.com, qui l’enregistre et nous le transmet par e-mail ; il sert uniquement à corriger Flora.

Flora est faite pour les plantes : évite de photographier des personnes ou des documents, et ne mets pas d’informations personnelles dans tes questions.

4. Limites du jour et identifiants techniques

Les analyses ont un coût : pour qu’elles restent disponibles pour tout le monde, le relais compte les demandes de chaque jour.

Identifiant d’installation — au premier lancement, Flora tire au hasard un identifiant, gardé sur ton téléphone et envoyé au relais avec chaque demande. Ce n’est ni l’identifiant de ton téléphone, ni ton compte ; effacer les données de l’app en crée un nouveau.
Preuve de connexion — chaque demande porte un jeton de ton compte Arritos, vérifié par le relais puis oublié.
Compteurs — le relais compte les analyses du jour par compte, par installation et par adresse IP. Il n’enregistre jamais ces identifiants en clair, seulement des empreintes à sens unique (celle de l’adresse IP change chaque jour). Les compteurs sont effacés au bout de trois jours au plus.

5. Ce qui reste sur ton téléphone

Ton historique — tes 30 dernières fiches (Diagnostic, Entretien, Spécimen), avec la photo prise (réduite, sans métadonnées), sa vignette et le texte lu par Aristote, pour les rouvrir sans réseau. Elles sont rangées dans le dossier de l’app, que la sauvegarde de ton téléphone (iCloud, sauvegarde Google) emporte si tu l’as activée. Pour les effacer : Réglages → Compte → « Effacer l’historique » ; c’est aussi proposé quand tu quittes Flora ou supprimes ton compte, et désinstaller l’app les efface.
Les photos brutes de l’appareil photo sont effacées dès qu’elles ont été lues.
Tes réglages — langue, lecture automatique, sons, réglages de Hey Arri, identifiant d’installation.
La voix d’Aristote — une voix de synthèse (Supertonic 3), téléchargée une fois puis générée entièrement sur l’appareil (voir Le paquet vocal d’Aristote ; crédits et licence dans l’app : Réglages → À propos) : aucun texte n’est envoyé pour être lu. En secours, si cette voix ne peut pas démarrer, Flora utilise la synthèse vocale de ton téléphone.
Passage de relais entre apps Arritos (Android) — si tu as installé une autre app Arritos conçue pour se souvenir de tes scans, Flora peut lui transmettre le nom de l’espèce scannée, sa famille et la confiance de l’identification, directement sur ton téléphone, sans aucun transfert réseau. Seules nos propres apps, signées avec la même clé, peuvent le recevoir.

6. Le paquet vocal d’Aristote

La voix d’Aristote n’est plus intégrée à l’app : à sa première ouverture (puis à chaque mise à jour de la voix), Flora télécharge une fois un paquet de 145 Mo (7 fichiers) depuis notre serveur arritos.com (Contabo GmbH, Munich), puis le garde sur ton téléphone.

Ce que voit notre serveur — comme pour tout téléchargement web, ses journaux techniques (nginx) enregistrent l’adresse IP de ton appareil et l’en-tête « user-agent » de la requête (type et version de l’app) : jamais ton compte, ton e-mail ni aucune autre donnée de Flora.
Finalité et base légale — ces journaux ne servent qu’au fonctionnement et à la sécurité du serveur (répartition de charge, détection d’abus, incidents) ; nous les traitons sur la base de notre intérêt légitime à exploiter un service fiable, et pour l’exécution du service (te transmettre le paquet demandé), jamais pour te suivre.
Durée de conservation — ces journaux sont conservés 32 jours au plus (rotation quotidienne : le journal du jour et 31 archives) avant d’être effacés automatiquement.
Après ce téléchargement — aucun autre envoi n’a lieu pour la voix : le texte à lire ne quitte jamais ton téléphone, la synthèse se fait entièrement sur l’appareil.
Licence — cette voix (Supertonic 3, Supertone Inc.) est publiée sous licence ouverte OpenRAIL-M, avec des restrictions d’usage qui s’imposent à toi comme à nous : voir les conditions, le texte complet dans l’app (Réglages → À propos → licence de la voix) ou à cette adresse.

7. Ta voix

Le micro ne s’ouvre que si tu touches le micro de « Demander » pour dicter une question, si tu touches le micro de l’accueil pour donner une commande, ou si tu actives Hey Arri (désactivé par défaut). L’autorisation n’est demandée qu’à ce moment-là ; la refuser te laisse le clavier.
« Hey Arri » est reconnu sur ton téléphone, par un petit modèle intégré à l’app : rien n’est envoyé. Arri n’écoute que quand Flora est ouverte à l’écran, jamais en arrière-plan ; le voyant du micro de ton téléphone te le rappelle.
La commande donnée au micro de l’accueil ou après « Hey Arri », et la question dictée, sont transformées en texte par la reconnaissance vocale de ton téléphone : celle d’Apple sur iPhone et iPad, celle de Google sur Android, selon leurs propres conditions (selon l’appareil et ses réglages, elle peut passer par leurs serveurs). Flora ne reçoit que le texte. Une commande est comprise sur le téléphone ; une question dictée part ensuite en texte, comme une question tapée (section 3).
Flora n’enregistre jamais ta voix et n’envoie jamais de son à Arritos.

8. E-mails : bienvenue et newsletter

Mail de bienvenue — à ta première connexion à Flora, l’app envoie à notre serveur (arritos.com) ton adresse e-mail, ton nom s’il est connu (celui du compte), ta langue et le nom de l’app, pour t’écrire un mail de bienvenue, une seule fois : le serveur garde la trace de cet envoi pour ne pas le répéter, avec un lieu approximatif (pays, ville) déduit de l’adresse IP de la requête.
Newsletter Arritos — comme l’annonce la fenêtre de connexion, ton adresse est inscrite à la newsletter d’Arritos (les nouvelles de nos apps, dont Flora). Chaque e-mail contient un lien de désinscription en un clic ; tu peux aussi nous écrire. Nous le faisons au titre de notre intérêt légitime à tenir informés les membres d’Arritos ; tu peux t’y opposer à tout moment, gratuitement.
Ces e-mails partent de notre serveur arritos.com (voir Qui traite tes données).

9. Autorisations

Appareil photo — pour photographier une plante, uniquement quand un écran de scan est ouvert.
Micro (et, sur iPhone et iPad, reconnaissance vocale) — seulement pour la dictée, le micro de l’accueil et Hey Arri, demandé au premier usage.
Internet — pour le compte, les analyses et les histoires.

Flora ne demande ni ta localisation, ni tes contacts, ni l’accès à ta photothèque. Si tu partages un résultat, il part vers l’app que tu choisis, et seulement à ce moment-là.

10. Achats et abonnement

Les achats se font par l’App Store d’Apple ou Google Play : Arritos ne voit jamais ta carte bancaire. Pour savoir si ton abonnement est actif sur tous tes appareils, notre prestataire RevenueCat reçoit l’identifiant de ton compte Arritos et les informations de l’achat (produit, dates, état, reçu du store). Ces données restent chez RevenueCat même après la suppression de ton compte Arritos, pour l’historique de tes achats et nos obligations comptables. Pour ne pas interroger RevenueCat à chaque demande, le relais garde aussi, sous une empreinte à sens unique de ton compte, la date de fin de ton accès et celle de la dernière vérification ; elles sont effacées au plus tard huit jours après ces deux dates.

11. Publicité, mesure d’audience et plantages

Flora ne contient aucune publicité ni aucun kit publicitaire. Nous ne vendons ni ne louons tes données, et ne les partageons avec personne à des fins publicitaires.

Rapports de plantage — quand l’app plante, Firebase Crashlytics (Google) reçoit son état technique (trace de l’erreur, modèle et système de l’appareil, version de l’app) et un identifiant d’installation propre à Crashlytics : jamais ta photo, ton e-mail ni ton nom. Ils servent seulement à corriger l’app, et Google les garde 90 jours.
Mesure d’audience — comme nos autres apps, Flora utilise Google Analytics for Firebase (Google) pour comprendre comment l’app est utilisée et l’améliorer. Il reçoit les écrans ouverts, les sessions et des événements d’utilisation (par exemple le lancement d’une analyse, ou un abonnement souscrit : produit et prix, jamais ta carte), un identifiant d’instance de l’app, l’identifiant de ton compte Arritos une fois connecté, et des informations techniques (modèle et système de l’appareil, version de l’app, langue). Il déduit un lieu approximatif (pays, région, ville) de ton adresse IP masquée : jamais ta position précise, et jamais tes photos, tes questions ni ton e-mail.
Identifiant publicitaire — sur Android, Google Analytics lit aussi l’identifiant publicitaire de l’appareil : nous ne nous en servons que pour la mesure d’audience, jamais pour de la publicité ; tu peux le réinitialiser ou le supprimer dans les réglages de ton téléphone (rubrique Publicités). Sur iPhone et iPad, Flora ne te demande pas l’autorisation de suivi : iOS ne lui donne donc pas l’identifiant publicitaire. Rien n’est croisé avec les apps ou sites d’autres entreprises. Comme le compte, cette mesure est commune aux apps Arritos : l’identifiant de ton compte y relie ton usage de Flora à celui de nos autres apps.
Une copie des événements de mesure d’audience peut être exportée dans notre propre espace Google Cloud (BigQuery), pour nos analyses. Nous faisons cette mesure au titre de notre intérêt légitime à améliorer l’app ; tu peux t’y opposer en nous écrivant (support@arritos.com).

12. Ces pages

Formulaires de contact et de demande de suppression — ton nom, ton e-mail et ton message sont envoyés à notre serveur arritos.com, qui les enregistre et nous les transmet ; tu reçois un accusé de réception par e-mail. Ils servent uniquement à te répondre et à traiter ta demande.
Mesure d’audience — la nôtre, auto-hébergée : un identifiant aléatoire gardé dans ton onglet (sessionStorage, effacé à sa fermeture) et la page consultée, envoyés toutes les 30 secondes tant que la page est visible, pour mesurer la durée des visites. Comme tout serveur web, le nôtre journalise aussi les adresses IP et les types de navigateur, pour la sécurité et les statistiques. Ces pages-ci (confidentialité, conditions, suppression du compte, contact, FAQ) ne déposent aucun cookie et ne chargent aucun traceur publicitaire ou tiers.
Google Analytics sur la page d’accueil — la page d’accueil de Flora (arritos.com/flora/) utilise aussi Google Analytics (Google) pour compter les visites et voir les pages lues : il dépose des cookies dans ton navigateur (_ga, environ 13 mois). Signaux Google et personnalisation publicitaire désactivés : mesure d’audience uniquement.
Ta préférence de langue est mémorisée dans ton navigateur (localStorage).
Polices et visuels sont servis par notre propre serveur — aucun appel à Google Fonts ni à un autre service de polices.

13. Qui traite tes données

Google (Firebase Authentication, Cloud Firestore, Crashlytics, Google Analytics for Firebase, Google Cloud BigQuery) — ton compte et ton profil Flora, et ce que décrit la section « Publicité, mesure d’audience et plantages ».
Cloudflare, Inc. — le relais (Cloudflare Workers), sa base de compteurs (hébergée en Europe de l’Ouest) et le modèle Gemma 4 (Workers AI).
Pl@ntNet — l’identification des plantes (projet des instituts de recherche français Cirad, INRAE, Inria et IRD).
RevenueCat, Inc. — l’état de tes achats et de ton abonnement.
Contabo GmbH (Allemagne) — notre serveur arritos.com, sous notre contrôle exclusif : ces pages, la newsletter, le mail de bienvenue, les formulaires, notre messagerie et le paquet de voix d’Aristote.
Wikimedia Foundation — les résumés de Wikipédia, appelés par ton téléphone.
Apple et Google — la connexion avec leur compte si tu la choisis, la reconnaissance vocale de ton téléphone, et les stores d’où tu télécharges l’app, selon leurs propres politiques.

Google, Cloudflare et RevenueCat sont établis aux États-Unis et peuvent y traiter des données : ces transferts sont encadrés par les garanties prévues par le RGPD (cadre de protection des données UE–États-Unis, clauses contractuelles types de la Commission européenne). Nous ne vendons ni ne louons tes données.

14. Durée de conservation

Compte Arritos et profil Flora — tant que le compte existe. « Quitter Flora » efface le profil Flora ; supprimer le compte efface immédiatement le compte et toutes ses données dans notre base (voir Tes droits ; ce qui est gardé ailleurs est détaillé sur la page Supprimer ton compte).
Photos, questions et textes envoyés pour une analyse — pas conservés : le temps de la réponse seulement.
Compteurs du relais — trois jours au plus.
Repère Gardien du relais — une empreinte à sens unique de ton compte, sans limite de durée, même après la suppression du compte (voir « Ton compte Arritos »).
Vérification « pas Gardien » du relais — sous la même empreinte : effacée au plus tard huit jours après la dernière vérification.
État de ton abonnement au relais — sous une empreinte : effacé au plus tard huit jours après la fin de ton accès et la dernière vérification.
Achats chez RevenueCat — pour l’historique de tes achats et nos obligations comptables, y compris après la suppression du compte.
Rapports de plantage — 90 jours chez Firebase Crashlytics.
Mesure d’audience — au plus 14 mois dans Google Analytics ; la copie exportée dans notre espace Google Cloud, le temps nécessaire à nos analyses.
Fiches « L’essentiel » en cache — jusqu’au début du mois suivant ; ce n’est pas une donnée sur toi.
Newsletter — jusqu’à ta désinscription ; la trace du mail de bienvenue, jusqu’à ta demande d’effacement.
Messages au support — le temps nécessaire au suivi de ta demande.
Historique et réglages — sur ton téléphone, jusqu’à ce que tu les effaces ou désinstalles l’app.
Journaux techniques de notre serveur arritos.com (dont les téléchargements du paquet de voix) — 32 jours au plus (rotation quotidienne) ; ceux de nos prestataires suivent leurs propres délais, pour une durée limitée, le temps nécessaire à la sécurité.

15. Sécurité

Tous les échanges sont chiffrés (HTTPS / TLS).
L’app ne contient aucune clé des services d’analyse : elles restent sur le relais, qui vérifie ton compte à chaque demande.
Les photos sont réduites et débarrassées de leurs métadonnées avant de quitter ton téléphone ; le relais ne stocke aucun identifiant en clair.

16. Mineurs

Flora est tout public. Pour les utilisateurs de moins de 16 ans, le consentement d’un parent ou tuteur légal est requis pour créer un compte Arritos, conformément au RGPD. Nous ne collectons pas sciemment de données de mineurs sans ce consentement ; si tu penses qu’un enfant nous en a confié sans lui, écris-nous et nous les effacerons.

17. Tes droits

Le RGPD te permet d’accéder à tes données, de les rectifier, de les effacer, d’en recevoir une copie (portabilité), d’en limiter l’utilisation et de t’y opposer — dont la newsletter, à tout moment. En France, tu peux aussi définir des directives sur le sort de tes données après ta mort.

Dans l’app — Réglages → Compte : « Effacer l’historique » (ce téléphone) ; « Quitter Flora » (ton profil Flora est effacé, ton compte Arritos reste pour les autres apps) ; « Supprimer mon compte Arritos » (le compte et toutes ses données, dans toutes les apps Arritos : profils, soldes GoldenOr… c’est définitif).
Sans l’app — la page Supprimer ton compte, ou un e-mail à support@arritos.com.

Nous répondons dans un délai d’un mois au plus. Tu peux aussi introduire une réclamation auprès de la CNIL.

18. Modifications

Cette politique est mise à jour chaque fois que l’app change sa façon de traiter les données. La date en haut de page indique toujours la dernière version.