Politique de Confidentialité

Anthony Chauvel, éditeur non professionnel de l'Application — appareils.treves6g@icloud.com.

Données	Où	Pourquoi
Prénom et couleur de profil, voyages, étapes, réservations, dépenses, notes, checklist, souvenirs et photos	Sur votre appareil. Si vous choisissez le cloud (tout le carnet, ou seulement les voyages que vous y mettez) : aussi sur le serveur, chiffrées	Faire fonctionner le carnet et le partager avec les membres du groupe
Empreinte du code du carnet (le code lui-même n'est jamais envoyé)	Serveur	Ranger séparément les données de chaque carnet
Documents de voyage (type, date d'expiration ; numéro et note facultatifs) et reçus photographiés, moyen de remboursement indiqué dans un profil (facultatif), votes aux sondages, listes de courses, billets et documents joints aux fiches, positions enregistrées avec « Je suis ici » (seulement quand vous touchez le bouton)	Comme les autres fiches : sur votre appareil, et sur le serveur si la synchro est activée	Alertes d'expiration avant le départ, partage des dépenses
Suivi du voyage (désactivé par défaut) : positions relevées environ tous les 300 m (tous les 50 m en « mode trajet », que vous lancez vous-même), uniquement quand l'appli est ouverte et seulement pendant un voyage en cours. Les positions déjà enregistrées dans vos photos de souvenirs peuvent compléter la route affichée sur votre appareil	Sur votre appareil, et pour les membres du voyage partagé (chiffré)	Tracer votre route sur la carte et dans le film du voyage
Abonnés (seulement si vous publiez un voyage) : souvenirs non privés (photos en vignettes, titres, lieux, récits) ; votre route, uniquement si vous l'activez (arrondie à environ 100 m) ; côté abonné : le prénom choisi (facultatif), les ❤️ et les commentaires. Un abonné peut suivre le voyage dans son navigateur, sans installer l'appli : ce qu'il voit est gardé dans le stockage de ce navigateur	Serveur, chiffré avec le code abonné : toute personne qui a reçu le lien ou le code abonné peut les lire	Permettre à vos proches de suivre le voyage et de réagir
Compteur d'installations : un identifiant tiré au hasard (sans lien avec vous ni avec vos voyages), le type d'appareil (iPhone, Android, ordinateur) et la date, envoyés une seule fois	Serveur	Connaître le nombre d'installations de l'appli
Statistiques globales du serveur : place totale occupée par les photos, nombre de carnets et de fiches (chiffres d'ensemble, sans contenu ni identité)	Serveur ; consultées par l'éditeur	Surveiller le stockage et éviter de dépasser les limites du service
Notifications (désactivées par défaut, seulement si vous les activez) : l'adresse d'abonnement fournie par votre téléphone (Apple, Google ou Mozilla), un identifiant tiré au hasard pour cet appareil, les catégories que vous avez choisies (dépenses, réservations, souvenirs, sondages, courses, rappels, soirées en voyage et souvenirs « il y a un an »), votre fuseau horaire et l'option « ne pas déranger la nuit ». Le texte des notifications et des rappels programmés est chiffré par les téléphones : le serveur ne peut pas le lire	Serveur, rangé avec l'empreinte du carnet ou du voyage concerné	Prévenir les membres d'un voyage de ce qui a été ajouté, et vous envoyer vos rappels à l'heure prévue
Date du dernier effacement d'un carnet ou d'un voyage partagé, rangée avec son empreinte anonyme	Serveur	Prévenir les autres membres que le voyage a été vidé du serveur et leur proposer de le remettre en ligne avec ce que leur téléphone a gardé
Adresse IP, date et taille des envois	Serveur et journaux techniques de l'hébergeur	Acheminer les données, sécurité, protection contre les abus

Bases légales : exécution du service demandé (art. 6.1.b du RGPD) et intérêt légitime à sécuriser le service (art. 6.1.f).

Le voyage de démo reste uniquement sur votre appareil : il n'est jamais envoyé au serveur.

Avant tout envoi, votre appareil chiffre les données avec AES-256-GCM, à l'aide d'une clé dérivée du code de votre carnet (PBKDF2, 200 000 itérations). Le serveur ne reçoit qu'une empreinte de ce code, qui ne permet pas de déchiffrer. Les noms des photos sont eux aussi remplacés par des identifiants chiffrés.

Pour afficher le texte des notifications, la clé de chaque voyage est gardée dans l'appli sur votre téléphone (sur iPhone, sous une forme que la partie « notifications » de l'appli peut relire). Elle ne quitte jamais votre appareil.

Les données synchronisées sont hébergées par Cloudflare, Inc. (services Pages, D1 et R2), en qualité de sous-traitant. Cloudflare étant une société américaine, les données peuvent être stockées hors de l'Union européenne. Ce transfert est encadré par l'accord de traitement des données de Cloudflare (clauses contractuelles types de la Commission européenne) et par sa certification au cadre de protection des données UE–États-Unis (Data Privacy Framework).

Les contenus étant chiffrés sur votre appareil, Cloudflare ne peut pas les lire. Pour en savoir plus : politique de confidentialité de Cloudflare.

Certaines fonctions contactent directement des services tiers. Ils reçoivent alors votre adresse IP et des informations techniques standard (type de navigateur, langue), comme pour toute requête Internet, mais aucun contenu de votre carnet :

• Carte, itinéraires et « Que voir ? » : la recherche des lieux autour d'une étape passe par le serveur de l'appli, qui interroge Overpass (OpenStreetMap) avec les seules coordonnées de la ville ; à défaut, votre téléphone contacte directement OpenStreetMap (Nominatim, Overpass), Photon (Komoot) et Wikipédia (recherche des lieux autour d'une étape, photos et résumés des lieux) reçoivent le nom du lieu recherché.
• Import de vos voyages Polarsteps : vous choisissez le fichier de données que Polarsteps vous a envoyé (ou un fichier trip.json). Il est lu sur votre téléphone (bibliothèque zip.js incluse dans l'appli) et n'est jamais envoyé, ni à l'éditeur, ni à Polarsteps. Les étapes, lieux, récits et photos (3 par étape, sauf si vous demandez tout) deviennent des souvenirs, rangés comme les autres : ils ne vont sur le serveur que si vous avez choisi le cloud pour ce voyage. Vezoria n'est pas lié à Polarsteps.
• Survol 3D, récap à partager, badges, analyse des dépenses : calculés et fabriqués sur votre téléphone, à partir de votre carnet. La vidéo ou l'image n'est envoyée nulle part, sauf si vous la partagez vous-même. Le survol utilise la carte du monde 3D décrite plus bas.
• Valise intelligente : la météo des villes de vos étapes est demandée à Open-Meteo (position de la ville et dates), comme pour la météo des étapes ; les idées sont calculées sur votre téléphone.
• Outils du voyage (appelés directement par votre téléphone, sans votre nom ni le contenu du carnet) : taux de change (open.er-api.com, à défaut Frankfurter / BCE), météo des étapes (Open-Meteo, qui reçoit la position de la ville), lecture automatique d'un ticket (l'outil Tesseract.js est chargé depuis jsDelivr ; la photo du ticket est analysée sur le téléphone et n'est jamais envoyée).
• Cartes et itinéraires : le fond de carte est chargé chez OpenStreetMap (tile.openstreetmap.org) et le tracé à pied par les rues est calculé par le service public routing.openstreetmap.de (FOSSGIS). Ils reçoivent les coordonnées affichées et votre adresse IP, sans votre nom ni le contenu du carnet. Le PDF est fabriqué sur votre téléphone (bibliothèque pdf-lib, incluse dans l'appli). Les cartes de l'itinéraire et du film utilisent aussi les fonds de carte d'Esri (server.arcgisonline.com), qui reçoit la zone affichée et votre adresse IP.
• « Ranger mes photos » : les dates et positions GPS enregistrées dans vos photos sont lues sur votre téléphone ; seules les coordonnées sont envoyées à OpenStreetMap (Nominatim) pour trouver le nom du lieu. Les photos elles-mêmes ne sont pas envoyées à ce service.
• Carte du monde 3D : la bibliothèque MapLibre est incluse dans l'appli ; les images de la Terre viennent de la NASA (Blue Marble, service GIBS), les cartes en zoom proche d'OpenStreetMap, les noms des pays et des villes d'OpenFreeMap (données OpenStreetMap) et les contours des pays visités de Natural Earth (domaine public, chargés depuis jsDelivr). Ils reçoivent la zone affichée et votre adresse IP, sans votre nom ni le contenu du carnet.
• Import de réservations : les PDF sont lus sur votre téléphone (bibliothèque pdf.js incluse dans l'appli) ; les captures d'écran sont lues par Tesseract.js, chargé depuis jsDelivr. Le document n'est jamais envoyé ailleurs ; il est joint à la fiche comme billet.
• Compteur d'installations : à la première ouverture de l'appli installée, un identifiant tiré au hasard et le type d'appareil (iPhone, Android, ordinateur) sont envoyés une seule fois au serveur de l'appli, pour compter les installations. Aucune donnée personnelle, aucun lien avec vos voyages.
• Idées de voyage : pour compléter les propositions, l'appli interroge Open-Meteo (météo d'une destination), Wikidata, Wikipédia et Wikivoyage (villes proches, lieux, photos et présentations). Ils ne reçoivent ni votre nom ni le contenu de votre carnet. Aucun prix de vol n'est demandé à un service commercial.
• « Je suis ici » : quand vous touchez ce bouton, votre position est envoyée à OpenStreetMap (Nominatim) pour trouver le nom de la ville et du pays. Aucune position n'est relevée en arrière-plan.
• Suivi du voyage et route partagée : si vous activez le suivi, votre position est relevée par votre téléphone uniquement quand l'appli est ouverte (jamais en arrière-plan, téléphone en poche) et rangée dans votre carnet, chiffrée. Elle n'est montrée à vos abonnés que si vous touchez « Montrer ta route aux abonnés » : chaque voyageur décide pour lui-même et peut arrêter à tout moment.
• Notifications : pour arriver sur votre téléphone, une notification passe par le service de votre système (Apple Push pour iPhone, Firebase Cloud Messaging de Google pour Android et Chrome, Mozilla pour Firefox). Ces services reçoivent l'adresse d'abonnement et un message chiffré deux fois (par la norme Web Push, et avec la clé du voyage) : ils ne peuvent pas en lire le contenu.
• Cartes hors ligne : les morceaux de carte sont téléchargés chez OpenFreeMap (tiles.openfreemap.org, données OpenStreetMap) puis gardés sur votre téléphone. OpenFreeMap reçoit les zones demandées et votre adresse IP, sans votre nom ni le contenu du carnet.
• Explorer une ville : le nom de la ville est envoyé à OpenStreetMap (position et pays), à Wikivoyage, Wikipédia et Wikidata/Wikimedia Commons (guide, descriptions et photos) et à Open-Meteo (météo et heure locale). Aucun de ces services ne reçoit votre nom ni le contenu de votre carnet ; le guide d'une ville est ensuite gardé sur votre téléphone pour l'ouvrir hors connexion.
• Fiche d'un lieu : le nom du lieu et la ville sont envoyés à OpenStreetMap (Nominatim) et à Wikipédia pour trouver les horaires, le site, la photo et le résumé. Les informations trouvées (publiques) sont rangées dans la fiche du lieu.
• Paquets sans serveur : si vous choisissez ce mode, vos données sont chiffrées (AES-256) avec la phrase de votre groupe dans un fichier que vous envoyez vous-même (messagerie, AirDrop…). L'éditeur ne reçoit pas ces fichiers ; leur conservation dépend du service que vous utilisez pour les envoyer.
• Liens externes (compagnies aériennes, Booking, Google Maps, Trainline…) : ce sont de simples liens, sans affiliation ni rémunération. En les ouvrant, vous quittez l'Application et les règles de ces sites s'appliquent.

Ces services sont indépendants de l'éditeur, qui ne reçoit aucune information à ce sujet.

Autorisations demandées par l'appli (toujours au moment où vous utilisez la fonction, jamais au lancement ; vous pouvez refuser ou les retirer dans les réglages du téléphone) :

• Position : pour « Je suis ici », pour le suivi du voyage si vous l'activez, et pour afficher où vous êtes sur la carte hors ligne. Uniquement quand l'appli est ouverte, jamais en arrière-plan. En « mode trajet », l'appli garde l'écran allumé tant que vous ne l'arrêtez pas.
• Notifications : seulement si vous les activez dans Réglages → Notifications. Vous choisissez les catégories, et vous pouvez les couper à tout moment, dans l'appli ou dans les réglages du téléphone.
• Photos et fichiers : quand vous ajoutez une photo, un ticket, un billet PDF ou une sauvegarde, c'est vous qui choisissez le fichier (ou prenez la photo) ; l'appli n'a pas accès au reste de votre galerie.
• Presse-papiers et partage : pour copier ou envoyer une invitation, un fichier ou le film du voyage, seulement quand vous touchez le bouton.
• Stockage persistant : l'appli demande au navigateur de ne pas effacer vos voyages quand l'espace manque.

L'appli ne demande pas l'accès au micro ni aux contacts, et n'envoie aucune notification publicitaire.

Stockage local : l'Application utilise le stockage de votre navigateur (LocalStorage, IndexedDB) pour fonctionner, y compris hors ligne. Ce stockage est strictement nécessaire au service et ne demande pas de consentement. L'Application n'utilise aucun cookie.

Mesure d'audience : il n'y a ni traceur publicitaire, ni outil d'analyse tiers, ni profilage. Seules sont utilisées des mesures anonymes strictement nécessaires au fonctionnement du service : le compteur d'installations et les statistiques globales du serveur décrits au point 2, ainsi que les statistiques techniques de trafic fournies par l'hébergeur Cloudflare (nombre de visites et de requêtes, pays, erreurs), sans cookie et sans suivi d'un site à l'autre. Aucune donnée n'est vendue, louée ou utilisée à des fins publicitaires.

• Sur votre appareil : jusqu'à ce que vous effaciez le carnet ou les données du navigateur.
• Sur le serveur : tant que le carnet est utilisé. Un carnet sans aucune activité depuis 24 mois est supprimé automatiquement du serveur (ses données restent sur vos appareils). Une photo retirée d'un souvenir, ou un souvenir ou voyage supprimé, est effacée du serveur.
• Notifications : l'abonnement d'un appareil est effacé du serveur dès que vous désactivez les notifications, quand le téléphone ne l'accepte plus, ou quand le carnet est effacé. Un rappel programmé est effacé dès son envoi (au plus tard 2 jours après l'heure prévue).
• Signalements : en cas de signalement, l'éditeur garde un journal (date, empreinte anonyme du carnet, action menée, motif indiqué par la personne qui signale) le temps nécessaire au traitement et à d'éventuelles suites judiciaires, au plus 3 ans.
• Date d'effacement d'un carnet ou d'un voyage partagé : au plus 24 mois.
• Protection contre les abus : pour limiter les envois automatisés, le serveur compte les envois par connexion. Il ne garde pas l'adresse IP, seulement une empreinte impossible à relire, effacée au bout de 2 heures.
• Journaux techniques de l'hébergeur : selon la politique de Cloudflare, en général quelques jours.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données :

• Accès et portabilité : Plus → Partage & profils → Exporter (fichier .json lisible).
• Rectification : modifiez directement vos fiches et votre profil dans l'Application.
• Effacement sur l'appareil : Plus → Partage & profils → « Effacer ce téléphone ».
• Effacement sur le serveur : bouton ☁️ Cloud en haut de l'écran, ou Plus → Partage & profils → « 🗑 Supprimer mes données du serveur » : les fiches, photos et abonnements aux notifications du carnet choisi sont effacés immédiatement du serveur, pour tous ses membres. Les autres membres d'un voyage partagé gardent ce que leur téléphone contient déjà et peuvent le remettre en ligne. En quittant le cloud, vous pouvez aussi couper l'accès de vos abonnés. Vous pouvez aussi écrire à l'adresse de contact ci-dessus. Voir aussi la page Supprimer mes données.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : cnil.fr/fr/plaintes.

L'Application s'adresse aux adultes et aux familles. Un enfant peut figurer dans un carnet familial sous la responsabilité de ses parents. Un mineur de moins de 15 ans ne doit pas publier un voyage pour des abonnés ni commenter sans l'accord de ses parents.

Cette politique peut évoluer avec l'Application. Toute modification est publiée sur cette page, avec sa date de mise à jour.