中文（简体）

本页是草稿，须经法律审阅与法语母语审校后才能作为正式政策。运营方为 HiCola（网站 gousuan.hicola.ai）。服务器在加拿大安大略省多伦多。适用加拿大联邦 PIPEDA 与魁北克 Law 25 中更严的规则。

我们不收集什么

• 不收集姓名、电子邮箱、电话号码。
• 不接入任何支付或银行账户。界面金额仅为估算，并标明「估算」。
• 不做广告追踪，不把数据出售给数据经纪人。
• 不申请后台定位。

账号与本地数据

账号是匿名的：设备生成 UUID，服务器签发令牌。购物车、价签缓存、账单默认存在手机本地，断网可用。联网后按下面规则同步。

定位

仅在新建购物车时于前台取一次位置，只在手机上与本地门店表比对，用于推荐附近超市。经纬度不上传、不写入日志或数据库。只申请「使用 App 时」权限。拒绝定位仍可用，改为搜索门店。

相机

用于扫描商品条码和识别价签文字。条码与文字识别在设备上完成（ML Kit）。当前版本不把价签或小票照片传到我们的服务器。小票拍照存留尚未上线；上线后默认只存本机。加密云备份将是独立开关，关闭即删除云端副本，且不用于训练或分析。

会离开设备的数据

• 设备标识：匿名 UUID 与令牌，用于同步配置、汇率和门店表。
• 设置：界面语言、省份、家乡货币、常用支付方式（不含卡号）。
• 结账回填：支付方式、APP 估算加元、可选的小票加元与家乡货币实付。用于校准支付加成。不含卡号或银行信息。
• 门店：你确认或改选的门店编号。你主动添加新门店时，可包含你确认的门店坐标（不是你的实时位置）。
• 价签修正与共享价格（需勾选同意，默认关闭）：条码、门店、价格、时间，以及识别值与你改正后的值。不带姓名或位置。设置里可随时撤回，撤回后停止上传。

第三方

• 查不到本地缓存时，可用条码向 Open Food Facts 查询商品名。失败不影响继续使用。
• 汇率由我们的服务器向加拿大央行 Valet 拉取，不经过你的手机直连。
• 云端「看图命名」AI 当前关闭。若日后开启，会先做隐私影响评估并更新本政策。
• 崩溃上报计划使用加拿大境内自建服务；当前未开启。

存放、导出与删除

我们保存的数据放在加拿大。应用内导出与删除入口尚未上线。请发邮件至 michael@hicola.ai 申请导出或删除与该设备相关的服务器数据。隐私负责人姓名待正式指定。

儿童

本应用面向在加拿大超市购物的成年人，不面向 13 岁以下儿童。

English

This page is a draft. It needs legal review and native French review before it is final. The operator is HiCola (gousuan.hicola.ai). Servers are in Toronto, Ontario, Canada. We design to the stricter of federal PIPEDA and Quebec Law 25.

What we do not collect

• We do not collect your name, email address, or phone number.
• We do not connect to any payment method or bank account. Amounts in the app are estimates and are labelled as such.
• We do not run advertising tracking and we do not sell your data.
• We do not request background location.

Account and data on the phone

The account is anonymous: the device creates a UUID and the server issues a token. Carts, price cache, and bills stay on the phone by default and work offline. When you are online we sync as described below.

Location

We read your location once in the foreground when you start a cart, only to match a nearby store on the phone. Coordinates are not uploaded and are not written to logs or our database. We only ask for location while using the app. You can refuse and search for a store instead.

Camera

Used to scan barcodes and read shelf tags. Barcode and text recognition run on the device (ML Kit). This version does not upload tag or receipt photos to our servers. Saving receipt photos is not shipped yet; when it is, photos stay on the phone by default. Encrypted cloud backup will be a separate switch. Turning it off deletes the cloud copy. Backup data will not be used for training or analysis.

Data that leaves the device

• Device identifier: anonymous UUID and token, to sync configuration, foreign-exchange rates, and the store list.
• Settings: language, province, home currency, preferred payment methods (no card numbers).
• Checkout amounts you enter: payment method, the app’s estimated CAD total, and optional receipt CAD / actual home-currency amount, to calibrate payment markups. No card or bank details.
• Stores: the store ID you confirm or change. If you add a store, we may keep the store coordinates you confirm (not your live location).
• Price-tag corrections and shared prices (opt-in, off by default): barcode, store, price, time, and the value before and after your correction. No name or location. You can withdraw consent in Settings; uploads then stop.

Third parties

• If a barcode is not in the local cache, the app may ask Open Food Facts for a product name. A failure does not block you.
• Our server fetches Bank of Canada Valet rates. Your phone does not call Valet directly.
• Cloud “name this product from a photo” AI is off. If we turn it on, we will complete a privacy impact assessment and update this policy.
• Crash reports are planned on a self-hosted service in Canada and are currently off.

Storage, export, and deletion

Data we keep is stored in Canada. In-app export and deletion are not shipped yet. Email michael@hicola.ai to request export or deletion of server data for your device. A privacy officer has not been formally named yet.

Children

The app is for adults shopping in Canadian grocery stores, not for children under 13.

Français

Cette page est un brouillon. Elle doit être révisée par un juriste et par une personne de langue maternelle française avant d’être définitive. L’exploitant est HiCola (gousuan.hicola.ai). Les serveurs sont à Toronto (Ontario, Canada). Nous appliquons la règle la plus stricte entre la LPRPDE fédérale et la Loi 25 du Québec.

Ce que nous ne recueillons pas

• Nous ne recueillons ni nom, ni courriel, ni numéro de téléphone.
• Nous ne nous connectons à aucun moyen de paiement ni compte bancaire. Les montants affichés sont des estimations, clairement indiquées comme telles.
• Nous ne faisons pas de suivi publicitaire et nous ne vendons pas vos données.
• Nous ne demandons pas la localisation en arrière-plan.

Compte et données sur l’appareil

Le compte est anonyme : l’appareil crée un UUID et le serveur délivre un jeton. Les paniers, le cache de prix et les factures restent sur le téléphone par défaut et fonctionnent hors ligne. En ligne, la synchronisation suit les règles ci-dessous.

Localisation

Nous lisons votre position une seule fois, au premier plan, lorsque vous créez un panier, uniquement pour proposer une épicerie proche sur l’appareil. Les coordonnées ne sont ni transmises, ni consignées dans les journaux ou notre base. Nous demandons uniquement l’autorisation « pendant l’utilisation ». Vous pouvez refuser et chercher le magasin vous-même.

Caméra

Elle sert à lire les codes-barres et les étiquettes. La reconnaissance se fait sur l’appareil (ML Kit). Cette version n’envoie pas les photos d’étiquettes ou de reçus à nos serveurs. L’enregistrement des reçus n’est pas encore offert; une fois offert, les photos resteront sur le téléphone par défaut. La copie chiffrée dans le nuage sera un interrupteur distinct. Le désactiver supprime la copie distante. Ces copies ne serviront ni à l’entraînement ni à l’analyse.

Données qui quittent l’appareil

• Identifiant de l’appareil : UUID anonyme et jeton, pour synchroniser la configuration, les taux de change et la liste des magasins.
• Réglages : langue, province, devise d’origine, modes de paiement habituels (sans numéro de carte).
• Montants saisis à la caisse : mode de paiement, total CAD estimé par l’application, et éventuellement le CAD du reçu / le montant réel dans votre devise, pour calibrer les majorations. Aucune donnée bancaire.
• Magasins : l’identifiant du magasin que vous confirmez ou changez. Si vous ajoutez un magasin, nous pouvons conserver les coordonnées du magasin que vous confirmez (pas votre position en direct).
• Corrections d’étiquettes et prix partagés (consentement, désactivé par défaut) : code-barres, magasin, prix, heure, et la valeur avant/après votre correction. Sans nom ni localisation. Vous pouvez retirer votre consentement dans Réglages; les envois cessent alors.

Tiers

• Si le code-barres n’est pas en cache, l’application peut interroger Open Food Facts pour le nom du produit. Un échec ne vous bloque pas.
• Notre serveur interroge l’API Valet de la Banque du Canada. Votre téléphone n’appelle pas Valet directement.
• L’IA infonuagique « nommer un produit à partir d’une photo » est désactivée. Si nous l’activons, nous ferons une évaluation des facteurs relatifs à la vie privée et mettrons à jour cette politique.
• Les rapports de plantage sont prévus sur un service auto-hébergé au Canada et sont actuellement désactivés.

Conservation, exportation et suppression

Les données que nous conservons sont stockées au Canada. L’exportation et la suppression dans l’application ne sont pas encore offertes. Écrivez à michael@hicola.ai pour demander l’exportation ou la suppression des données serveur liées à votre appareil. Le nom du responsable de la protection des renseignements personnels n’est pas encore officiellement désigné.

Enfants

L’application s’adresse aux adultes qui font l’épicerie au Canada, et non aux enfants de moins de 13 ans.