Politique de confidentialité

Version 1.6 — 19 août 2026

⚠️ Version 1.6 du 19 août 2026, à faire relire avant les premiers testeurs. La 1.3 (6 août) avait été réécrite pour décrire le service connecté réellement en production. La 1.4 corrigeait un point devenu inexact : l'application ne conserve plus d'identifiant Sign in with Apple sur l'appareil. La 1.5 corrigeait deux affirmations fausses sur le manifeste Apple et sur les sauvegardes. Cette réécriture est postérieure à la relecture juridique de la 1.2 : c'est bien la 1.6 qui doit être relue avant d'ouvrir l'application à d'autres personnes que ses auteurs.

Ce qui change en 1.6, et c'est le changement le plus important depuis l'origine. L'application ne garde plus vos données pour elle. Jusqu'au 18 août 2026, tout vivait sur votre iPhone et le compte en ligne ne servait qu'à la partie sociale ; désormais, ce que vous faites dans l'application est sauvegardé sur votre compte — profil, chiens et leur photo, balades avec leur trace, photos de balade, signalements, moments de meute, sorties, collection, progression, réglages. Vous changez de téléphone, vous vous reconnectez, vous retrouvez tout. Trois choses arrivent avec ce changement, et elles sont décrites ici : le partage des moments de meute et des sorties avec vos amis, les notifications qui vous préviennent sur votre écran, et un identifiant d'appareil qui sert à limiter les abus. Une fonction disparaît : la vidéo de story, que l'application n'accepte plus. Ce qui ne change pas : une trace GPS n'est jamais publiée, et sauvegarder n'est pas publier.

Ce qui changeait en 1.5. Deux affirmations de la 1.4 étaient fausses, et toutes les deux dans le sens qui nous arrangeait le moins — elles se corrigent donc sans discussion. Le § 13 annonçait que le manifeste de confidentialité déclarait une liste de données collectées vide : c'est inexact, il en déclare plusieurs familles, et elles sont maintenant énumérées ici. Le § sur la sécurité annonçait des sauvegardes non chiffrées, en une seule copie et sans surveillance : c'était vrai en août, ce ne l'est plus.

Ce qui changeait en 1.3. Un service connecté existe désormais réellement et héberge la partie sociale de l'application. La version 1.2 décrivait une application sans aucun serveur : ce n'est plus exact. Ce document distingue maintenant ce qui reste sur votre iPhone de ce qui part sur nos serveurs.

L'essentiel en dix lignes

• Le compte en ligne est le compte de l'application. Vous pouvez installer l'application, déclarer votre majorité, présenter votre chien et partir marcher sans compte — mais rien n'est alors sauvegardé, et sans compte l'application ne communique avec aucun serveur de l'éditeur. Dès que vous créez un compte, ce que vous faites dans l'application est sauvegardé sur ce compte.
• Ce qui est sauvegardé : votre profil, vos chiens et leur photo, vos balades — récit, chiffres et trace GPS —, vos photos de balade, vos signalements, vos moments de meute, vos sorties, votre collection, votre progression et vos réglages. S'y ajoute ce qui était déjà en ligne : vos amis, vos publications, vos stories, vos messages et vos alertes partagées.
• Sauvegarder n'est pas publier. Vos balades, leurs traces et leurs photos sont sauvegardées chiffrées et vous seul y accédez : aucun autre compte, aucun ami, et pas davantage le service à travers l'application. Rien n'en est publié sans un geste explicite de votre part.
• Publier une balade publie son récit — un titre, une zone, une distance, une durée, un résumé — jamais son tracé. Signaler un danger publie ce point-là, arrondi à une dizaine de mètres, jamais votre trajet ni votre nom. Partager une sortie publie son point de rendez-vous, arrondi de la même façon, à vos amis seulement.
• Si vous perdez votre iPhone, vous retrouvez vos données en vous reconnectant. C'est la raison d'être de ce changement.
• Aucune publicité, aucun traceur, aucune mesure d'audience, aucune bibliothèque tierce. Ce n'est pas une promesse commerciale, c'est vérifiable : l'application ne dépend d'aucun composant externe.
• Vos traces GPS ne sont jamais publiées automatiquement.
• La localisation est demandée en mode « Pendant l'utilisation » uniquement. Nous ne demandons jamais l'autorisation « Toujours ».
• Les données de santé ne sont jamais lues. L'application peut écrire vos balades dans l'app Santé si vous l'activez ; elle ne lit rien en retour.
• Les notifications qui s'affichent sur votre écran ne disent ni qui, ni quoi : « Nouveau message », « Ouvrez O P'tit Chien ». Ni prénom, ni texte, ni lieu ne sont transmis à Apple.

1. Qui est responsable

Le responsable de traitement est la personne qui décide pourquoi et comment vos données sont utilisées.

O P'tit Chien ! est édité par une personne physique agissant à titre non professionnel, qui est à ce titre responsable de traitement. Son identité complète est détenue par son hébergeur, conformément à l'article 6, III, 2 de la loi pour la confiance dans l'économie numérique ; les coordonnées de l'hébergeur figurent dans les mentions légales.

Contact : mobihanhugo07@gmail.com

Délégué à la protection des données : aucun n'est désigné — les seuils qui rendraient cette désignation obligatoire ne sont pas atteints. Utilisez l'adresse ci-dessus pour toute question.

2. Où vivent vos données

Sur votre iPhone

Tant que vous ne créez pas de compte en ligne, l'application ne communique avec aucun serveur de l'éditeur. C'est vérifiable : hormis les appels à Apple décrits au § 8, tout le code réseau de l'application se trouve dans le sous-système du compte connecté, et il ne s'active pas sans compte. La contrepartie doit être dite aussi clairement : sans compte, rien n'est sauvegardé. Vos balades vivent alors sur cet appareil et disparaissent avec lui.

Avec ou sans compte, l'application travaille d'abord sur votre iPhone : vos balades, traces GPS, photos, chiens, publications et votre progression sont enregistrés dans l'espace privé de l'application sur votre appareil. C'est ce qui lui permet de fonctionner sans réseau, en pleine campagne, et de reprendre la sauvegarde quand la connexion revient.

Certaines choses ne quittent jamais cet iPhone, même avec un compte, et ce sont les seules :

• la balade en cours, tant que vous ne l'avez pas terminée — deux téléphones ne sauraient pas fusionner deux suites de points ;
• la liste des balades déjà envoyées à l'app Santé, qui évite les doublons et n'a de sens que pour cet appareil-ci ;
• le repère de sauvegarde de cet iPhone — jusqu'où il a relu votre compte — et les fichiers temporaires que l'application recrée toute seule.

Une précision de vocabulaire, depuis le 18 août 2026 : l'application n'a plus de « verrou local », plus de mot de passe propre à l'appareil et plus d'identifiant Sign in with Apple conservé sur l'iPhone. Le compte de l'application est le compte en ligne, et lui seul. Les secrets déposés par les versions précédentes sont effacés du Trousseau iOS au premier lancement de cette version.

Une exception : la sauvegarde iCloud

Les données de l'application ne sont pas exclues de la sauvegarde iCloud de votre iPhone. Si vous l'avez activée, vos balades, traces et photos sont copiées dans votre espace iCloud personnel, qui relève de votre relation avec Apple, pas de la nôtre. Vous pouvez désactiver la sauvegarde de l'application dans Réglages → votre nom → iCloud.

Sur nos serveurs, dès que vous créez un compte

Créer un compte n'est pas obligatoire pour marcher, mais il est nécessaire à tout le reste : sauvegarder, retrouver ses données ailleurs, et tout ce qui se partage. Ce qui part alors sur nos serveurs, hébergés en Suisse (§ 9) :

• votre compte : adresse e-mail (chiffrée en base), pseudonyme public ;
• les fiches de vos chiens, leur photo et leur avatar ;
• vos balades : dates, durée, distance, dénivelé et note d'un côté ; titre, nom de zone, récit, parcours suivi et trace GPS de l'autre, chiffrés avant d'être écrits ;
• les photos de vos balades, avec leur légende et leur position, elles aussi chiffrées ;
• vos carnets personnels — parcours importés, avis sur un parcours, relevés de terrain, carnet de vos signalements, notifications, brouillons de fil — déposés chiffrés et illisibles pour le serveur ;
• votre progression : expérience, coffres, paires de lunettes débloquées ;
• vos réglages : zone, unités, couches de carte, favoris, chien courant, envoi vers Santé, profil public ou privé ;
• vos amis et les demandes que vous envoyez ou recevez ;
• vos publications destinées à vos amis : texte, photos (quatre au maximum), et, si vous publiez une balade, le récit que vous en faites — titre, nom de zone que vous saisissez, distance, durée, résumé ;
• les réactions et commentaires échangés sur ces publications ;
• vos stories, valables 24 heures ;
• vos moments de meute et vos sorties, avec l'audience que vous choisissez (voir ci-dessous) ;
• vos messages privés, chiffrés avant écriture en base (voir § 3) ;
• les alertes terrain que vous partagez : catégorie, point arrondi, date — jamais votre nom ni votre trajet (voir § 3) ;
• vos signalements et vos blocages, nécessaires à la modération ;
• un identifiant d'appareil et, si vous acceptez les notifications, un identifiant de notification fourni par Apple (voir § 3).

Sauvegarder n'est pas publier, et ce n'est pas une formule. Vos balades, leurs traces, leurs photos et vos carnets sont bornés à votre compte : il n'existe aucun chemin, dans l'application, par lequel un autre compte pourrait les demander. La trace vit même dans une réserve à part, à laquelle aucune des fonctions sociales n'a le moindre accès — publier une trace ne serait pas une option à activer, ce serait un changement de structure, donc une décision visible et relue. Aujourd'hui, ce geste n'existe pas.

Une balade publiée ne transmet ni son tracé, ni ses positions, ni ses horaires. Ce que vos amis reçoivent est le récit que vous en faites, et rien d'autre.

Moments de meute et sorties : ce sont les seules données de lieu que vous publiez. Un moment de meute et une sortie portent un point de rendez-vous et un horaire, et vous choisissez pour chacun son audience : Privé — sauvegardé, restauré, exporté, et invisible de tous, y compris de vos amis — ou Amis. Il n'existe pas d'audience « public ». Le point que vous posez est arrondi à environ onze mètres avant même d'être enregistré : assez pour se retrouver à l'entrée d'un parc, pas assez pour désigner une porte d'immeuble. Ce qui n'est pas enregistré ne peut pas fuiter. Ne choisissez jamais votre domicile comme point de rendez-vous.

Une exception, et elle vient de vous : le lien de partage. Vous pouvez décider de partager une publication précise hors de l'application, en créant un lien. Toute personne qui reçoit ce lien peut voir cette publication sans compte. Le lien expire au bout de 7 jours, vous pouvez le révoquer à tout moment, la page n'est pas indexée par les moteurs de recherche, et rien d'autre que la publication concernée n'est accessible par ce biais. Aucun lien n'est créé sans votre action explicite.

Ce qui n'est pas ouvert

À la date de ce document, plusieurs fonctions du service connecté sont écrites mais volontairement fermées, et nous préférons le dire :

• il n'existe aucun fil public : personne ne peut découvrir vos publications en parcourant l'application, elles ne sont visibles que par les personnes dont vous avez accepté la demande d'ami ;
• il n'existe aucun moyen de publier une trace GPS, et il n'en est pas prévu sans une décision explicite, annoncée, avec ses propres réglages ;
• l'application n'accepte plus aucune vidéo : la vidéo de story a été retirée le 18 août 2026 ;
• l'export de votre compte et la suppression du compte en ligne ne sont pas encore proposés depuis l'application : les deux existent côté service, mais les boutons restent masqués tant que le service n'est pas déployé et vérifié. En attendant, écrivez-nous : nous le faisons à la main. L'archive de cet iPhone, elle, s'exporte déjà. Voir § 11 et § 12, qui disent exactement ce qui marche.

3. Ce que nous traitons, et pourquoi

La « base légale » est la raison juridique qui autorise chaque traitement. Elle n'est pas au choix. Nous n'écrivons « consentement » que là où vous pouvez réellement dire non sans perdre le service.

Ce que l'application enregistre, et sauvegarde sur votre compte

Sans compte, ces données restent sur cet iPhone et nous n'y avons aucun accès. Avec un compte, elles sont aussi sauvegardées sur votre compte, chiffrées quand elles situent ou racontent, et vous les retrouvez sur un autre iPhone.

Votre profil — pseudonyme, prénom, e-mail et téléphone (tous trois facultatifs), avatar ou photo, zone de balade, code ami, date de création. Base légale : exécution du contrat ; consentement pour les champs facultatifs, qui ne conditionnent aucune fonctionnalité. Conservation : jusqu'à suppression.

L'accès à l'application — il passe par votre compte en ligne : adresse e-mail et mot de passe, ou Sign in with Apple. Aucun mot de passe d'appareil, aucun identifiant Apple ne sont plus conservés sur l'iPhone. Exécution du contrat et sécurité.

Les fiches de vos chiens — nom, âge tel que vous l'écrivez, race, taille, énergie, préférences de rencontre, style de jeu, sensibilités, note libre, avatar et photo. Exécution du contrat.

Vos balades — trace GPS complète (latitude, longitude, altitude, horodatage, précision de chaque point), durée, distance, dénivelé, note, chiens présents, photos, signalements. Exécution du contrat : c'est la fonction principale, que vous déclenchez. Sauvegardées sur votre compte ; la trace, le titre, la zone, le récit et le parcours suivi y sont chiffrés.

Vos parcours importés — fichiers GPX et tracés convertis depuis vos balades. Exécution du contrat. Sauvegardés chiffrés. Plafond : 250 parcours.

Vos signalements de terrain — catégorie (danger, verre ou déchet, chien en liberté, animal aperçu, chasse, point d'eau, beau coin, autre), coordonnées GPS, note, photos, commentaires, votes. Exécution du contrat et intérêt légitime à la fiabilité de l'information. Le signalement disparaît de la carte au bout de 24 h mais reste enregistré. Au-delà de 200 signalements autonomes, les plus anciens sont effacés.

Vos publications — titre, message, nom de lieu, photos, distance et durée déclarées, compagnons, réactions et commentaires. Exécution du contrat.

Vos messages — voir la section « En ligne » ci-dessous : la messagerie passe par nos serveurs. Il n'existe pas de messagerie locale.

Vos sorties et moments de meute — titre, date, point de rendez-vous arrondi, activité, audience, participants, note. Exécution du contrat. Plafond : 250 sorties. Ce sont, avec les alertes terrain, les seules données de lieu que vous publiez : voir le § 2 et le § 4.

Vos blocages et signalements — personnes bloquées (identifiant, nom affiché, date) et signalements émis (cible, motif, description, date). Exécution du contrat et intérêt légitime à la sécurité des personnes. Conservés jusqu'à la levée du blocage ou la suppression du compte.

Votre progression — expérience, niveau, défis, lunettes débloquées, coffres en attente. Exécution du contrat.

Les rappels — notifications locales programmées par votre iPhone, et vos préférences par famille. Consentement (autorisation iOS), révocable à tout moment. S'y ajoutent désormais les notifications distantes, décrites plus bas.

L'envoi vers l'app Santé — entraînement de marche : début, fin, temps actif, distance. Consentement explicite, désactivé par défaut. L'application retient la liste des balades déjà envoyées (400 maximum) pour éviter les doublons ; cette liste-là reste sur cet iPhone et n'est jamais sauvegardée, sans quoi un second appareil ne pourrait plus rien écrire dans Santé. Aucune coordonnée GPS n'est transmise à Santé.

La qualité technique — indicateurs agrégés : temps de lancement, ralentissements, mémoire, plantages. Aucune donnée personnelle, aucune coordonnée, aucun identifiant. Intérêt légitime. Rien n'est envoyé par l'application ; Apple transmet séparément des agrégats du même type via TestFlight.

En ligne — ce que le compte ajoute

Compte et authentification — adresse e-mail (chiffrée en base), pseudonyme public, statut. Exécution du contrat. Vie du compte, puis purge. L'identifiant Apple sert à Sign in with Apple : Apple nous transmet un identifiant stable et, si vous le choisissez, une adresse de relais qui masque la vôtre.

Mot de passe du compte — jamais conservé : seule une empreinte Argon2id est stockée, et elle ne permet pas de retrouver votre mot de passe. Exécution du contrat et sécurité. Votre mot de passe est la clé de vos données : le perdre n'efface rien, mais il faut passer par la réinitialisation par e-mail pour retrouver l'accès.

Le journal de vos balades — dates, durée active, distance, dénivelé et note sont lisibles par le serveur, parce qu'il faut bien trier, compter et plafonner ; tout ce qui situe ou raconte une balade est chiffré avant d'être écrit : titre, nom de zone, récit, parcours du catalogue suivi. Exécution du contrat.

La trace GPS de vos balades — chiffrée, rangée à part, bornée à votre compte. Aucune fonction sociale n'y a le moindre accès, et aucune route ne la rend à un tiers : la publier exigerait de modifier la structure même du service. Exécution du contrat.

Vos photos de balade et la photo de vos chiens — l'image est déposée dans un espace privé ; la légende et la position de prise de vue sont chiffrées. Exécution du contrat.

Vos carnets personnels — parcours importés, moments et sorties d'avant leur partage, contacts, publications du fil local, avis de parcours, relevés de terrain, carnet de vos signalements publiés, votes et commentaires d'alerte, notifications. Ils sont déposés chiffrés et opaques : le serveur sait à qui appartient un document, de quelle famille il est, quand il a changé et combien il pèse — pas ce qu'il contient. Exécution du contrat.

Votre progression et vos réglages — expérience gagnée geste par geste, coffres, paires débloquées, zone, unités, couches de carte, favoris, chiens sélectionnés, envoi vers Santé, profil public ou privé. Exécution du contrat.

Publications destinées à vos amis — texte, photos, et le récit d'une balade que vous décidez de partager : titre, nom de zone saisi par vous, distance, durée, résumé. Exécution du contrat. Aucune coordonnée, aucun horaire, aucun tracé.

Photos publiées — analysées par un antivirus, re-encodées côté serveur, ce qui supprime au passage les métadonnées EXIF, dont la position GPS, puis stockées dans un espace privé et servies uniquement aux personnes autorisées. Exécution du contrat.

Réactions et commentaires — auteur, contenu, horodatage. Exécution du contrat.

Amis — demandes envoyées et reçues, relations acceptées, codes QR temporaires (valables 15 minutes, jamais stockés en clair). Exécution du contrat.

Vos moments de meute et vos sorties partagés — titre, activité, note, libellé et point de rendez-vous arrondis à environ onze mètres, créneau horaire, audience, participants, et les saluts reçus. Une sortie annulée reste lisible pour ceux qui s'y étaient inscrits, plutôt que de disparaître sans un mot. Exécution du contrat. Deux audiences seulement : Privé (invisible de tous) et Amis — un contenu réservé à vos amis ne devient jamais public de notre fait. Vous inscrire à la sortie de quelqu'un communique votre pseudonyme et le nombre de chiens que vous annoncez à l'organisateur et à toute personne qui peut voir cette sortie : c'est la question même de la fonctionnalité, et rien de plus que ce que le fil Amis montre déjà n'est transmis.

Vos messages privés — la messagerie passe par nos serveurs. Le contenu de chaque message est chiffré avant d'être écrit en base (AES-256-GCM) ; il n'est pas chiffré de bout en bout, et c'est un choix expliqué : c'est ce qui permet de traiter un signalement de harcèlement en conservant une preuve chiffrée du message signalé, lisible par la seule modération. Aucune recherche ni analyse n'est faite sur vos messages ; la liste de vos conversations ne transporte jamais leur contenu. Bloquer une personne coupe la conversation immédiatement, des deux côtés, et bloquer n'empêche jamais de signaler. Exécution du contrat. Conservés pendant la vie du compte.

Vos alertes terrain partagées — signaler un danger (verre brisé, chien en liberté…) publie un point sur la carte, visible des autres promeneurs : catégorie, position arrondie à environ onze mètres avant enregistrement, et date. Ni votre nom, ni votre trajet : votre identité est chiffrée, elle n'apparaît jamais sur la carte, aucun autre compte ne peut savoir qui a signalé, et il n'existe ni route « les alertes de telle personne », ni statistique, ni classement par auteur. Nous ne regroupons vos alertes pour personne d'autre que vous. Les votes « Toujours là » et « Plus rien à signaler » sont enregistrés sous une empreinte propre à chaque alerte, inexploitable d'une alerte à l'autre. Une alerte disparaît après 24 heures, ou reste affichée tant qu'elle est confirmée par d'autres.

Vous, en revanche, pouvez désormais retrouver les vôtres : la liste de vos propres signalements vous est rendue, à vous seul, pour que vous les retrouviez sur un autre iPhone. Et la modération peut remonter à l'auteur d'une alerte, dossier par dossier, en cas de signalement — c'est le seul accès qui existe, et il est la contrepartie d'un faux signalement, qui dégraderait la carte pour tout le monde. Exécution du contrat et intérêt légitime à la sécurité des promeneurs.

Notifications sur votre écran — si vous les acceptez, nous prévenons votre iPhone qu'il s'est passé quelque chose : un message, une demande d'ami, une réaction, un commentaire, une inscription à votre sortie, ou votre sortie qui approche. Consentement (autorisation iOS), révocable à tout moment dans les Réglages de votre iPhone. Quatre choses méritent d'être écrites :

• la permission n'est jamais demandée au premier lancement : l'application attend que vous ayez un ami ou que vous ayez envoyé un premier message, parce qu'une permission réclamée trop tôt est refusée par réflexe et qu'iOS ne repose jamais la question ;
• ce qui part chez Apple ne comporte ni nom, ni texte, ni lieu : un titre générique (« Nouveau message », « Nouvelle réaction »), une invitation à ouvrir l'application, et l'identifiant technique de l'écran à ouvrir, inexploitable sans être connecté à votre compte. Un coup d'œil par-dessus votre épaule ne révèle donc aucun lien social ;
• l'identifiant de notification que votre iPhone reçoit d'Apple est chiffré chez nous. Il est effacé quand vous vous déconnectez, quand vous supprimez votre compte, ou quand Apple nous répond que l'application n'est plus installée ;
• Apple est destinataire de ces envois, à titre de transporteur (§ 8).

Session — empreinte du jeton, identifiant d'installation, nom d'appareil. Exécution du contrat. Session glissante de 30 jours, plafond de 180 jours, sessions révoquées conservées 35 jours (à valider).

L'identifiant de cet appareil — un numéro tiré au hasard, sans aucun lien avec votre identité, votre matériel ou un identifiant publicitaire. Il sert à une seule chose : faire tenir les limites qui protègent le service des abus — par exemple le nombre d'e-mails de connexion qu'un même appareil peut demander en une heure. Intérêt légitime à la sécurité du service. Il survit à la déconnexion, sans quoi il suffirait de se déconnecter pour repartir à zéro. Il est effacé quand vous effacez les données de cet iPhone depuis l'application, et il disparaît avec la désinstallation. Il n'est jamais transmis à un tiers et n'apparaît dans aucun export.

Code de connexion et confirmation d'adresse par e-mail — adresse et code à usage unique, valable 10 minutes, trace effacée 24 h après expiration. Servent à confirmer votre adresse, à vous connecter et à réinitialiser un mot de passe oublié. Exécution du contrat et sécurité.

Preuve d'acceptation des documents — type, version, date, source, confirmation d'âge. Obligation légale : nous devons pouvoir le démontrer.

Fiche de rencontre publiée — consignes d'approche, style de jeu, sensibilités, note, visibilité. Consentement explicite et révocable — privé par défaut.

Blocage — identifiants et date. Exécution du contrat et sécurité des personnes.

Signalements — auteur, cible, motif, description (chiffrée), statut, date de résolution. Obligation légale et intérêt légitime. Conservés un an après la clôture du signalement, puis effacés — la preuve chiffrée qui les accompagne suit exactement le même sort. Cette durée permet de reconnaître un comportement qui se répète d'une saison à l'autre sans conserver indéfiniment un différend réglé.

Journal de sécurité — identifiant de requête, route, résultat, identifiant pseudonyme. Sont interdits : e-mail en clair, contenu de message, coordonnées GPS, jetons. Intérêt légitime et obligation légale. 90 jours.

Données d'identification exigées par la loi — la loi impose à un hébergeur de contenus de conserver de quoi identifier l'auteur d'un contenu. Durées retenues, alignées sur le décret n° 2021-1362 : cinq ans après la fermeture du compte pour les éléments d'identité civile que vous auriez fournis, un an après la fermeture pour les informations de compte (pseudonyme, adresse e-mail, empreinte du mot de passe), un an après chaque connexion pour l'adresse IP.

Export et suppression de vos données — Obligation légale.

4. Géolocalisation et traces GPS

C'est la donnée la plus sensible que l'application manipule. Une trace de balade révèle bien plus qu'un itinéraire : répétée, elle indique où vous habitez, à quelle heure vous partez, quand votre logement est vide.

Ce que nous faisons :

• Autorisation « Pendant l'utilisation » uniquement. L'autorisation « Toujours » n'est jamais demandée.
• Arrière-plan limité à la balade en cours. Le suivi n'est actif qu'entre le démarrage et l'arrêt d'une balade que vous lancez, avec l'indicateur bleu d'iOS visible. En dehors, l'application repasse en veille.
• Précision exacte demandée temporairement, pour la seule durée de la balade, si vous avez limité la précision dans iOS.
• Filtrage à la source : les points de mauvaise qualité (précision au-delà de 65 m), les déplacements aberrants (plus de 12 m/s) et les points trop rapprochés (moins de 1,5 m) sont rejetés.
• La trace est sauvegardée chiffrée, et lisible de vous seul. Elle vit dans une réserve séparée, à laquelle aucune fonction sociale n'a accès. Aucune route ne la rend à un tiers.
• Départ et arrivée masqués au partage : en mode protégé, le début et la fin du tracé sont supprimés sur 15 % du parcours, plafonnés à 200 m, et tous les horodatages sont retirés. Si la balade est trop courte pour que ce masquage ait un sens, l'export est refusé.
• Aucune position en direct n'est jamais publiée.
• Aucune coordonnée dans les journaux techniques.

Ce que vous devez savoir, et que nous préférons écrire :

• La trace enregistrée est complète et brute — sur votre appareil, et sur votre compte, où elle est chiffrée et lisible de vous seul. Le masquage du départ n'intervient qu'au partage, pas au stockage : une balade restaurée sur un autre iPhone serait sinon amputée.
• Le mode « trace complète » existe au partage : le fichier contient alors tout, horodatages compris. L'application vous en avertit — lisez cet avertissement.
• Les signalements gardent leurs coordonnées même après avoir disparu de la carte.
• Les points de rendez-vous sont géolocalisés et, si vous choisissez l'audience « Amis », publiés à vos amis. Ils sont arrondis à environ onze mètres avant d'être enregistrés. Ne choisissez jamais votre domicile.

Contrôle : vous pouvez retirer l'autorisation à tout moment dans Réglages → Confidentialité et sécurité → Service de localisation. Le catalogue reste consultable ; seul l'enregistrement de balade devient impossible.

5. Données de santé

L'application peut, si vous l'activez, ajouter chaque balade terminée dans l'app Santé sous forme d'entraînement de marche.

• Le réglage est désactivé par défaut (Réglages → Santé). Tant qu'il est éteint, l'application ne contacte jamais le service Santé d'iOS.
• L'accès est en écriture seule. L'application demande l'autorisation d'écrire deux types de données (entraînement et distance de marche) et demande explicitement zéro autorisation de lecture. Elle ne peut consulter ni votre poids, ni votre fréquence cardiaque, ni vos cycles, ni vos médicaments, ni quoi que ce soit d'autre.
• Aucune coordonnée GPS n'est envoyée à Santé : l'entraînement contient le début, la fin, le temps actif et la distance, pas le tracé.
• Les données de santé sont sensibles : la base légale est votre consentement explicite, révocable à tout moment — dans l'application, ou dans l'app Santé (Profil → Apps).
• Retirer l'autorisation n'efface pas les balades déjà écrites dans Santé : vous les supprimez depuis l'app Santé.

Nos engagements, qui sont aussi des obligations envers Apple : nous n'utilisons jamais les données de santé ou de forme à des fins publicitaires, de marketing ou d'exploitation commerciale ; nous ne les vendons pas, ne les partageons pas avec des courtiers en données, des plateformes publicitaires ou des revendeurs d'information, et ne les divulguons à aucun tiers.

6. Photos et contacts

Vos photos sont recompressées avant enregistrement (1600 px de côté maximum, 720 px pour une photo de profil de chien). Cette recompression a un effet direct sur votre vie privée : les métadonnées de la photo d'origine — dont la position GPS, la date exacte et le modèle d'appareil — ne sont pas recopiées.

Une photo de balade ou de signalement peut porter une coordonnée, mais elle vient de l'application (la position au moment de la prise), pas des métadonnées de l'image. Cette coordonnée-là est chiffrée quand la photo est sauvegardée sur votre compte, au même titre qu'un point de trace.

L'application n'écrit jamais dans votre photothèque.

Les vidéos n'existent plus. L'application n'en enregistre plus, n'en accepte plus et n'en affiche plus : la vidéo de story a été retirée le 18 août 2026. Les fichiers vidéo qu'une version précédente aurait laissés sur votre iPhone sont supprimés de l'appareil au premier lancement de cette version.

Une photo publiée en ligne est re-encodée une seconde fois par le serveur, ce qui écarte à nouveau toute métadonnée qui aurait survécu.

Vos données de contact — prénom, e-mail, téléphone — restent facultatives sauf l'adresse e-mail, qui devient votre identifiant de connexion dès que vous créez un compte et qui est chiffrée en base. Nous ne vous enverrons aucun e-mail commercial sans votre consentement préalable : les seuls e-mails que nous envoyons servent à confirmer votre adresse, à vous connecter et à réinitialiser un mot de passe oublié.

7. Mineurs

Le service est réservé aux personnes de 18 ans et plus. Nous ne collectons pas sciemment de données concernant des personnes mineures.

Pour mémoire, le droit français fixe à 15 ans l'âge à partir duquel un mineur peut consentir seul au traitement de ses données par un service en ligne. En dessous, le consentement doit être donné conjointement par le mineur et par le ou les titulaires de l'autorité parentale. Nous avons fait le choix plus strict de réserver le service aux majeurs, parce qu'il permet la messagerie privée avec des inconnus, le partage d'informations de localisation et l'organisation de rencontres physiques.

Si vous constatez qu'un compte appartient à une personne mineure, écrivez-nous à mobihanhugo07@gmail.com : nous le supprimerons.

À la création du profil, l'application vous demande de déclarer que vous avez 18 ans ou plus, et conserve la date de cette déclaration.

8. À qui vos données sont transmises

Sans compte : à personne

Trois exceptions, qui relèvent de votre relation avec Apple :

• Fond de carte : les zones que vous affichez sont demandées à Apple.
• Recherche de lieux : le texte que vous tapez et la région affichée sont envoyés à Apple pour proposer des suggestions.
• Adresse d'un point : les coordonnées d'un point que vous sélectionnez sont envoyées à Apple quand l'application doit en afficher l'adresse.

S'y ajoutent, sans intervention de notre part, votre sauvegarde iCloud si vous l'avez activée, et les indicateurs techniques agrégés transmis par TestFlight pendant la bêta.

Ce que nous n'utilisons pas, et c'est vérifiable — le projet ne déclare aucune dépendance externe : aucune régie publicitaire, aucun outil de mesure d'audience, aucun kit de développement tiers, aucun réseau social intégré.

Avec un compte

• Infomaniak Network SA (Suisse) — sous-traitant, héberge la base et l'API. Actif.
• Vos amis — les personnes dont vous avez accepté la demande voient vos publications, vos photos publiées, les fiches de chiens que vous partagez, et les moments de meute et sorties dont vous choisissez l'audience « Amis », avec leur point de rendez-vous arrondi. C'est le but du service, et c'est vous qui décidez qui entre dans cette liste.
• Toute personne à qui vous transmettez un lien de partage — et, de proche en proche, toute personne à qui elle le transmettrait, tant que le lien n'a pas expiré ou été révoqué. C'est la contrepartie du partage hors application.
• Modérateurs habilités — traitement des signalements. Actif.
• Prestataire d'envoi d'e-mails (Brevo, France) — sous-traitant, pour la confirmation d'adresse, la connexion et la réinitialisation de mot de passe.
• Apple — Sign in with Apple, et acheminement des notifications : Apple transporte jusqu'à votre iPhone un message qui ne contient ni votre nom, ni celui d'un tiers, ni aucun texte, ni aucun lieu. Actif.
• Autorités judiciaires — sur réquisition uniquement.

Chaque sous-traitant est lié par un contrat qui lui interdit d'utiliser vos données pour son propre compte.

9. Transferts hors de l'Union européenne

Sans compte : aucun transfert.

Si vous créez un compte, vos données sont hébergées en Suisse, chez Infomaniak Network SA (centre de données à Genève).

La Suisse n'est pas membre de l'Union européenne : y héberger des données est donc, juridiquement, un transfert hors UE. Ce transfert est parfaitement licite, et sans aucune formalité supplémentaire : la Commission européenne a reconnu que la Suisse assure un niveau de protection adéquat des données personnelles, et la Suisse figure toujours sur la liste officielle des pays bénéficiant d'une décision d'adéquation.

Concrètement : aucune clause contractuelle particulière n'est nécessaire, et vos données bénéficient d'une protection reconnue comme équivalente à celle de l'Union européenne. La Suisse dispose par ailleurs de sa propre loi fédérale sur la protection des données, alignée sur les standards européens — et elle n'est pas concernée par le CLOUD Act américain.

Brevo (envoi des e-mails) est une société française — Union européenne. Apple (fond de carte, recherche de lieux, sauvegarde iCloud, acheminement des notifications) applique ses propres garanties de transfert.

10. Sécurité

Sur votre appareil : les fichiers bénéficient du chiffrement d'iOS, au niveau « protection complète jusqu'à la première authentification » — nécessaire pour qu'une balade puisse continuer à s'enregistrer écran verrouillé. Les secrets de session sont dans le Trousseau iOS, restreints à l'appareil et sans synchronisation iCloud. L'accès à l'application passe par votre compte en ligne : il n'existe plus de mot de passe propre à l'appareil, et ceux que les versions précédentes avaient déposés sont effacés du Trousseau.

Sur nos serveurs : connexion chiffrée de bout en bout du réseau (HTTPS), empreintes Argon2id pour les mots de passe, cloisonnement des données par utilisateur au niveau de la base elle-même, sessions courtes avec rotation et révocation en cas de rejeu, journal d'audit non modifiable, analyse antivirus de chaque photo envoyée avant qu'elle ne devienne visible, et interdiction stricte de journaliser un e-mail, un message ou une coordonnée GPS. La base de données n'est pas accessible depuis l'extérieur.

Ce qui est chiffré individuellement, avant même d'être écrit en base : votre adresse e-mail, le contenu de vos messages, le titre, la zone, le récit et le parcours suivi de vos balades, leur trace GPS, la légende et la position de vos photos de balade, vos carnets personnels, l'identité de l'auteur d'une alerte terrain, la description d'un signalement, et l'identifiant de notification de votre appareil. Ce qui reste lisible, à l'inverse, ne situe personne : « 4,2 km en 58 minutes le 12 août » ne dit pas où.

Les sauvegardes. La base est sauvegardée chaque jour, et la sauvegarde est chiffrée pour une clé dont le serveur ne détient que la moitié publique : concrètement, le serveur fabrique ses sauvegardes mais est incapable de les relire. Seul le détenteur de la clé privée, hors du serveur, peut les ouvrir — et il vérifie périodiquement qu'une restauration fonctionne vraiment, parce qu'une sauvegarde jamais restaurée n'est pas une sauvegarde. Une copie est envoyée hors du serveur, et une sonde automatique alerte si une sauvegarde manque ou vieillit.

C'est une amélioration récente : jusqu'en août 2026, ces sauvegardes n'étaient ni chiffrées ni surveillées, et cette page le disait. Nous le mentionnons parce qu'un document qui ne garde pas trace de ses corrections invite à douter des autres.

Aucune mesure n'est infaillible. En cas de violation susceptible d'engendrer un risque élevé pour vos droits, nous vous en informerions et notifierions la CNIL dans les 72 heures.

11. Combien de temps nous conservons vos données

• Sur votre iPhone : jusqu'à ce que vous les supprimiez — élément par élément, ou d'un coup avec « Supprimer mon compte » — ou que vous désinstalliez l'application.
• Sur votre compte : pendant toute la vie du compte. Cela vaut pour toutes les familles nouvelles de cette version — chiens et photos, balades, traces, photos de balade, carnets personnels, progression, collection, réglages, moments de meute et sorties. Toutes disparaissent avec le compte, sans exception et sans geste supplémentaire : elles y sont rattachées de telle façon que la suppression du compte les emporte.
• Signalements de terrain : invisibles après 24 h, mais conservés dans l'enregistrement ; effacés automatiquement au-delà de 200.
• Stories : 24 heures.
• Identifiant de notification de votre appareil : tant que l'application est installée et votre session ouverte. Il est révoqué à la déconnexion, à la suppression du compte, ou dès qu'Apple nous répond que l'application n'est plus installée — et effacé peu après.
• Identifiant de cet appareil : il survit à la déconnexion (c'est sa raison d'être), et disparaît quand vous effacez les données de l'application ou que vous la désinstallez.
• Compte inactif (prévu) : supprimé après deux ans sans utilisation, avec un avertissement avant l'échéance.
• Compte en ligne : conservé pendant la vie du compte. À la suppression, le déroulé est le suivant :
  • immédiatement, sessions révoquées et profil rendu invisible ;
  • à J+7, purge des données, effacement des médias, révocation du jeton Apple, suppression du contact chez le prestataire e-mail ;
  • à J+7 également, conservation d'une trace minimale — identifiant interne, date, motif — sans votre identité, sans e-mail, sans contenu ;
  • à J+37, expiration des sauvegardes.

⚠️ Deux réserves, écrites plutôt que tues. Le programme qui exécute cette purge est mis en service en même temps que le service lui-même : tant qu'il ne tourne pas, une suppression rend votre profil immédiatement invisible et coupe vos sessions, mais vos données restent présentes en base. Et la demande de suppression du compte en ligne n'est pas encore proposée dans l'application : le bouton reste masqué tant que ce programme n'est pas vérifié en conditions réelles, parce qu'un bouton qui promet un effacement sans le terminer serait pire que pas de bouton du tout. Écrivez-nous, nous le faisons à la main. Nous ne mettrons pas ce service à la disposition d'utilisateurs autres que des testeurs avertis avant que ces deux points ne soient réglés.

Vous disposez de sept jours pour revenir sur une suppression. Pendant cette fenêtre, votre profil est déjà invisible et vos sessions déjà coupées : personne ne vous voit plus, mais rien n'est encore détruit. Nous avons préféré ce délai à une purge immédiate pour une raison précise : quelqu'un qui aurait votre téléphone quelques minutes ne doit pas pouvoir effacer définitivement des années de balades. Passé sept jours, l'effacement est irréversible et nous ne pouvons plus rien restaurer.

Certaines données sont conservées plus longtemps parce que la loi l'impose : les données permettant d'identifier l'auteur d'un contenu mis en ligne. Les durées retenues suivent le décret n° 2021-1362 — cinq ans après la fermeture du compte pour l'identité civile, un an pour les informations de compte, un an après chaque connexion pour l'adresse IP.

12. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, du droit de retirer votre consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès.

Concrètement, dans l'application

• Modifier votre pseudonyme, prénom, avatar, zone → Réglages → Mon profil → Modifier mon profil
• Rendre votre profil privé → Réglages → Compte → Mon compte
• Modifier ou supprimer la fiche d'un chien → Ma niche → Mes chiens
• Supprimer une balade, une photo, une publication, un commentaire, un moment ou une sortie → depuis l'élément concerné
• Choisir l'audience d'un moment de meute ou d'une sortie → au moment de le créer, entre Privé et Amis
• Couper une famille de notifications → Réglages → Types de notifications
• Couper les notifications sur votre écran → Réglages d'iOS → Notifications → O P'tit Chien
• Arrêter l'envoi vers Santé → Réglages → Santé
• Retirer l'accès à la localisation, à la caméra, aux photos → Réglages d'iOS → Confidentialité et sécurité
• Exporter une balade en GPX → depuis la balade → Partager
• Voir ce que l'application sait de vous → Réglages → Mes données et documents légaux
• Exporter toutes vos données → Réglages → Mes données → Exporter mes données
• Bloquer ou signaler une personne → depuis son profil, une publication ou une conversation → Signaler ou bloquer
• Voir et lever vos blocages → Réglages → Sécurité de la meute → Bloquer et signaler
• Effacer les données de cet iPhone → Réglages → Compte → Mon compte → Effacer les données de cet iPhone, ou depuis Mes données
• Supprimer votre compte en ligne → Réglages → Compte → Mon compte → Compte en ligne, ou par écrit (voir ci-dessous)

Deux suppressions, volontairement séparées. L'application distingue effacer cet iPhone — qui retire définitivement de cet appareil vos chiens, vos balades, vos tracés, vos photos, votre progression, votre profil et les secrets conservés dans le Trousseau — et supprimer le compte en ligne, qui efface ce que le service détient, selon le calendrier du § 11. Effacer cet iPhone ne supprime pas le compte, et l'application vous le dit à l'écran. Avant de confirmer un effacement, elle vous propose d'exporter vos données et vous affiche la liste de ce qui va partir, poste par poste, avec les chiffres réels de votre appareil. La confirmation exige de taper le mot SUPPRIMER.

⚠️ À ce jour, la demande de suppression du compte en ligne n'est pas encore proposée dans l'application (§ 11) : écrivez-nous, nous la traitons à la main.

Ne confondez pas avec la déconnexion, au même endroit, qui ne supprime rien : vos données restent sur votre compte, et vous les retrouvez en vous reconnectant, ici ou sur un autre iPhone.

Ce que contient l'export. Il y a deux archives, et elles ne disent pas la même chose.

Celle de cet iPhone s'obtient dans l'application (Réglages → Mes données → Exporter mes données). Elle contient ce que l'appareil détient, poste par poste, avec un inventaire qui déclare aussi ce qu'il exclut et pourquoi.

Celle de votre compte est préparée par le service. Elle contient désormais, en plus de ce qu'elle rendait déjà : vos balades (dates, chiffres, récit déchiffré pour vous, chiens présents), la fiche complète de vos chiens, vos carnets personnels, votre progression et vos réglages, vos moments de meute et vos sorties avec leur point de rendez-vous arrondi et vos propres inscriptions. Trois choses n'y voyagent pas, et l'archive le dit elle-même à l'endroit concerné, avec le moyen de les obtenir :

• les photos — une archive de quelques mégaoctets ne peut pas les porter ;
• les traces GPS et la géométrie de vos parcours importés — une seule trace peut peser plus d'un mégaoctet. L'archive en donne l'inventaire (nombre de points, dates, taille) ;
• ce qui appartient à quelqu'un d'autre : les messages que l'on vous a écrits, et le pseudonyme des personnes inscrites à vos sorties. Une conversation est partagée, la portabilité ne l'est pas.

Tant que l'application ne propose pas cette seconde archive, et pour recevoir les photos ou les traces elles-mêmes, écrivez à mobihanhugo07@gmail.com en citant votre pseudonyme.

Par écrit

Écrivez à mobihanhugo07@gmail.com en précisant votre demande et le pseudonyme concerné.

Nous répondons dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ; nous vous en informons alors dans le premier mois, en expliquant pourquoi. Nous pouvons vous demander un élément d'identité uniquement en cas de doute raisonnable.

13. Cookies et traceurs

L'application n'utilise aucun cookie, aucun traceur, aucun identifiant publicitaire et aucun outil de mesure d'audience.

Ce n'est pas une formule : le manifeste de confidentialité embarqué dans l'application déclare le suivi désactivé et une liste de domaines de suivi vide. Les seules interfaces système déclarées sont les préférences locales, les dates de fichiers et l'heure de démarrage — utilisées pour le fonctionnement interne, jamais pour vous suivre.

En revanche, la liste des données collectées n'est PAS vide. Le manifeste déclare huit familles, parce que le service connecté les reçoit réellement :

• votre adresse e-mail, pour votre compte ;
• votre identifiant de compte, celui qui vous relie à vos contenus ;
• vos photos, celles que vous publiez et celles que vous sauvegardez ;
• d'autres contenus que vous écrivez : textes de publications, légendes, commentaires, récits de balade, carnets ;
• le texte de vos messages, qui part vers le serveur pour être remis à son destinataire ;
• une position précise : le point arrondi d'un signalement ou d'un rendez-vous que vous partagez, et la trace de vos balades, sauvegardée chiffrée sur votre compte ;
• votre activité physique : vos balades, avec leur distance et leur durée, sauvegardées sur votre compte — jamais lues dans l'app Santé, qui ne reçoit que ce que vous choisissez d'y écrire (§ 5) ;
• un identifiant d'appareil, tiré au hasard, qui sert aux limites anti-abus et à l'acheminement des notifications.

« Collectées » au sens d'Apple veut dire « quittent votre appareil », pas « servent à vous suivre ». Aucune de ces huit familles n'est reliée à de la publicité, revendue, ni utilisée pour vous profiler ; le détail de chacune, sa base légale et sa durée de conservation figurent plus haut dans ce document.

L'application ne demande jamais l'autorisation de suivi publicitaire, pour la raison la plus simple : elle n'en a aucun usage.

14. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez saisir la Commission nationale de l'informatique et des libertés :

CNIL — Service des plaintes 3 place de Fontenoy, 75007 Paris Téléphone : 01 53 73 22 22 Plainte en ligne : https://www.cnil.fr/fr/plaintes

Nous vous serions reconnaissants de nous contacter d'abord : la plupart des difficultés se règlent en quelques échanges.

15. Modifications

Ce document porte un numéro de version et une date d'entrée en vigueur. Toute modification importante vous sera signalée dans l'application au moins 15 jours avant son entrée en vigueur, et votre acceptation vous sera demandée avant l'ouverture du service connecté. Les versions successives sont conservées et consultables sur demande.