Politique de confidentialité

Version 1.5 — 17 août 2026

⚠️ Version 1.5 du 17 août 2026, à faire relire avant les premiers testeurs. La 1.3 (6 août) avait été réécrite pour décrire le service connecté réellement en production. La 1.4 corrigeait un point devenu inexact : l'application ne conserve plus d'identifiant Sign in with Apple sur l'appareil. Cette réécriture est postérieure à la relecture juridique de la 1.2 : c'est bien la 1.5 qui doit être relue avant d'ouvrir l'application à d'autres personnes que ses auteurs.

Ce qui change en 1.5. Deux affirmations de la 1.4 étaient fausses, et toutes les deux dans le sens qui nous arrangeait le moins — elles se corrigent donc sans discussion. Le § 13 annonçait que le manifeste de confidentialité déclarait une liste de données collectées vide : c'est inexact, il en déclare six familles, et elles sont maintenant énumérées ici. Le § sur la sécurité annonçait des sauvegardes non chiffrées, en une seule copie et sans surveillance : c'était vrai en août, ce ne l'est plus. Aucun de ces deux points ne change ce que l'application fait ; ils changent ce que ce document en dit.

Ce qui change en 1.3. Un service connecté existe désormais réellement et héberge la partie sociale de l'application. La version 1.2 décrivait une application sans aucun serveur : ce n'est plus exact. Ce document distingue maintenant ce qui reste sur votre iPhone de ce qui part sur nos serveurs.

L'essentiel en dix lignes

• Sans compte en ligne, l'application ne communique avec aucun serveur de l'éditeur. Le compte est un choix, pas un passage obligé : sans lui, tout reste sur votre iPhone et nous n'y avons aucun accès.
• Si vous créez un compte, seule la partie sociale part en ligne : votre compte, vos chiens, vos amis, vos publications et leurs photos, vos réactions et commentaires, vos messages privés (chiffrés en base), et les alertes terrain que vous choisissez de partager.
• Vos balades ne partent jamais. Trace GPS, positions, horaires, photos de balade, carte, progression et défis restent sur votre appareil. Quand vous publiez une balade, vous publiez son récit — un titre, une zone, une distance, une durée, un résumé — jamais son tracé. Et quand vous signalez un danger, vous publiez ce point-là, arrondi à une dizaine de mètres — jamais votre position en continu, jamais votre trajet, jamais votre nom.
• Aucune publicité, aucun traceur, aucune mesure d'audience, aucune bibliothèque tierce. Ce n'est pas une promesse commerciale, c'est vérifiable : l'application ne dépend d'aucun composant externe.
• Vos traces GPS ne sont jamais publiées automatiquement.
• La localisation est demandée en mode « Pendant l'utilisation » uniquement. Nous ne demandons jamais l'autorisation « Toujours ».
• Les données de santé ne sont jamais lues. L'application peut écrire vos balades dans l'app Santé si vous l'activez ; elle ne lit rien en retour.

1. Qui est responsable

Le responsable de traitement est la personne qui décide pourquoi et comment vos données sont utilisées.

O P'tit Chien ! est édité par une personne physique agissant à titre non professionnel, qui est à ce titre responsable de traitement. Son identité complète est détenue par son hébergeur, conformément à l'article 6, III, 2 de la loi pour la confiance dans l'économie numérique ; les coordonnées de l'hébergeur figurent dans les mentions légales.

Contact : mobihanhugo07@gmail.com

Délégué à la protection des données : aucun n'est désigné — les seuils qui rendraient cette désignation obligatoire ne sont pas atteints. Utilisez l'adresse ci-dessus pour toute question.

2. Où vivent vos données

Sur votre iPhone

Tant que vous ne créez pas de compte en ligne, l'application ne communique avec aucun serveur de l'éditeur. C'est vérifiable : hormis les appels à Apple décrits au § 8, tout le code réseau de l'application se trouve dans le sous-système du compte connecté, et il ne s'active pas sans compte.

Vos balades, traces GPS, photos, chiens, publications et votre progression sont enregistrés dans l'espace privé de l'application sur votre appareil. Le mot de passe local est conservé dans le Trousseau iOS, sans synchronisation iCloud. Sign in with Apple ne sert qu'au compte en ligne : aucun identifiant Apple n'est conservé sur l'appareil (les profils créés avec une version antérieure peuvent en détenir un, effacé dès qu'un mot de passe local le remplace).

Certaines données ne partent jamais en ligne, même avec un compte : les traces GPS de vos balades et les positions qu'elles contiennent, vos parcours importés, votre progression, vos défis et vos lunettes, et les photos que vous n'avez pas explicitement publiées. Un signalement de terrain fait avec un compte publie le point signalé sur la carte partagée (voir § 3) ; ses notes et photos, elles, restent dans votre carnet de balade, sur votre iPhone.

Nous n'avons aucun accès à ces données — ni pour les lire, ni pour les supprimer, ni pour les restaurer. Tant que rien ne quitte votre appareil, nous ne « collectons » rien au sens de la réglementation : c'est votre appareil qui traite vos données, sous votre contrôle. Nous les décrivons quand même, par transparence.

Conséquence pratique : si vous perdez votre iPhone sans sauvegarde, ou si vous désinstallez l'application, vos données sont perdues et nous ne pouvons rien y faire.

Une exception : la sauvegarde iCloud

Les données de l'application ne sont pas exclues de la sauvegarde iCloud de votre iPhone. Si vous l'avez activée, vos balades, traces et photos sont copiées dans votre espace iCloud personnel, qui relève de votre relation avec Apple, pas de la nôtre. Vous pouvez désactiver la sauvegarde de l'application dans Réglages → votre nom → iCloud.

Sur nos serveurs, si vous créez un compte

Créer un compte est un choix, et il n'est nécessaire que pour la partie sociale. Ce qui part alors sur nos serveurs, hébergés en Suisse (§ 9) :

• votre compte : adresse e-mail (chiffrée en base), pseudonyme public ;
• les fiches de vos chiens que vous choisissez de partager ;
• vos amis et les demandes que vous envoyez ou recevez ;
• vos publications destinées à vos amis : texte, photos (quatre au maximum), et, si vous publiez une balade, le récit que vous en faites — titre, nom de zone que vous saisissez, distance, durée, résumé ;
• les réactions et commentaires échangés sur ces publications ;
• vos messages privés, chiffrés avant écriture en base (voir § 3) ;
• les alertes terrain que vous partagez : catégorie, point arrondi, date — jamais votre nom ni votre trajet (voir § 3) ;
• vos signalements et vos blocages, nécessaires à la modération.

Une balade publiée ne transmet ni son tracé, ni ses positions, ni ses horaires. Notre base ne comporte aucun champ pour les stocker : ce n'est pas une politique, c'est une impossibilité technique par construction.

Une exception, et elle vient de vous : le lien de partage. Vous pouvez décider de partager une publication précise hors de l'application, en créant un lien. Toute personne qui reçoit ce lien peut voir cette publication sans compte. Le lien expire au bout de 7 jours, vous pouvez le révoquer à tout moment, la page n'est pas indexée par les moteurs de recherche, et rien d'autre que la publication concernée n'est accessible par ce biais. Aucun lien n'est créé sans votre action explicite.

Ce qui n'est pas encore ouvert

À la date de ce document, plusieurs fonctions du service connecté sont écrites mais volontairement fermées, et nous préférons le dire :

• aucun e-mail n'est envoyé : ni vérification d'adresse, ni code de connexion, ni réinitialisation de mot de passe — un mot de passe oublié ne se récupère pas encore ;
• il n'existe aucun fil public : personne ne peut découvrir vos publications en parcourant l'application, elles ne sont visibles que par les personnes dont vous avez accepté la demande d'ami ;
• aucune notification ne vous prévient d'un message reçu ou d'une demande d'ami : vous les découvrez en ouvrant l'écran concerné ;
• l'export et la suppression à distance de vos données ne sont pas encore opérationnels — voir § 11 et § 12, qui disent exactement ce qui marche.

3. Ce que nous traitons, et pourquoi

La « base légale » est la raison juridique qui autorise chaque traitement. Elle n'est pas au choix. Nous n'écrivons « consentement » que là où vous pouvez réellement dire non sans perdre le service.

Sur votre iPhone — données locales

Votre profil — pseudonyme, prénom, e-mail et téléphone (tous trois facultatifs), avatar ou photo, zone de balade, code ami, date de création. Base légale : exécution du contrat ; consentement pour les champs facultatifs, qui ne conditionnent aucune fonctionnalité. Conservation : jusqu'à suppression.

L'accès à l'application — mot de passe local ou identifiant Sign in with Apple, dans le Trousseau iOS. Exécution du contrat et sécurité.

Les fiches de vos chiens — nom, âge, race, taille, énergie, préférences de rencontre, style de jeu, sensibilités, note libre, photo. Exécution du contrat.

Vos balades — trace GPS complète (latitude, longitude, altitude, horodatage, précision de chaque point), durée, distance, dénivelé, note, chiens présents, photos, signalements. Exécution du contrat : c'est la fonction principale, que vous déclenchez.

Vos parcours importés — fichiers GPX et tracés convertis depuis vos balades. Exécution du contrat.

Vos signalements de terrain — catégorie (danger, verre ou déchet, chien en liberté, animal aperçu, chasse, point d'eau, beau coin, autre), coordonnées GPS, note, photos, commentaires, votes. Exécution du contrat et intérêt légitime à la fiabilité de l'information. Le signalement disparaît de la carte au bout de 24 h mais reste enregistré. Au-delà de 200 signalements autonomes, les plus anciens sont effacés.

Vos publications — titre, message, nom de lieu, photos, distance et durée déclarées, compagnons, réactions et commentaires. Exécution du contrat.

Vos messages — voir la section « En ligne » ci-dessous : la messagerie passe désormais par nos serveurs. Il n'existe plus de messagerie locale.

Vos sorties et moments de meute — titre, date, adresse et coordonnées GPS du point de rendez-vous, activité, visibilité, participants, note. Exécution du contrat. Plafond : 250 sorties.

Vos blocages et signalements — personnes bloquées (identifiant, nom affiché, date) et signalements émis (cible, motif, description, date). Exécution du contrat et intérêt légitime à la sécurité des personnes. Conservés jusqu'à la levée du blocage ou la suppression du compte.

Votre progression — expérience, niveau, défis, lunettes débloquées, coffres en attente. Exécution du contrat.

Les rappels — notifications locales et vos préférences par famille. Consentement (autorisation iOS), révocable à tout moment. Aucune notification distante n'existe.

L'envoi vers l'app Santé — entraînement de marche : début, fin, temps actif, distance. Consentement explicite, désactivé par défaut. L'application retient la liste des balades déjà envoyées (400 maximum) pour éviter les doublons. Aucune coordonnée GPS n'est transmise à Santé.

La qualité technique — indicateurs agrégés : temps de lancement, ralentissements, mémoire, plantages. Aucune donnée personnelle, aucune coordonnée, aucun identifiant. Intérêt légitime. Rien n'est envoyé par l'application ; Apple transmet séparément des agrégats du même type via TestFlight.

En ligne — si vous créez un compte

Compte et authentification — adresse e-mail (chiffrée en base), pseudonyme public, statut. Exécution du contrat. Vie du compte, puis purge. L'identifiant Apple sert à Sign in with Apple, désormais actif : Apple nous transmet un identifiant stable et, si vous le choisissez, une adresse de relais qui masque la vôtre.

Mot de passe du compte — jamais conservé : seule une empreinte Argon2id est stockée, et elle ne permet pas de retrouver votre mot de passe. Exécution du contrat et sécurité.

Publications destinées à vos amis — texte, photos, et le récit d'une balade que vous décidez de partager : titre, nom de zone saisi par vous, distance, durée, résumé. Exécution du contrat. Aucune coordonnée, aucun horaire, aucun tracé.

Photos publiées — analysées par un antivirus, re-encodées côté serveur, ce qui supprime au passage les métadonnées EXIF, dont la position GPS, puis stockées dans un espace privé et servies uniquement aux personnes autorisées. Exécution du contrat.

Réactions et commentaires — auteur, contenu, horodatage. Exécution du contrat.

Amis — demandes envoyées et reçues, relations acceptées, codes QR temporaires (valables 15 minutes, jamais stockés en clair). Exécution du contrat.

Code de connexion par e-mail — prévu : adresse et code à usage unique, valable 10 minutes, trace effacée 24 h après expiration. Non activé à ce jour : aucun e-mail n'est envoyé.

Vos messages privés — la messagerie passe par nos serveurs. Le contenu de chaque message est chiffré avant d'être écrit en base (AES-256-GCM) ; il n'est pas chiffré de bout en bout, et c'est un choix expliqué : c'est ce qui permet de traiter un signalement de harcèlement en conservant une preuve chiffrée du message signalé, lisible par la seule modération. Aucune recherche ni analyse n'est faite sur vos messages ; la liste de vos conversations ne transporte jamais leur contenu. Bloquer une personne coupe la conversation immédiatement, des deux côtés, et bloquer n'empêche jamais de signaler. Exécution du contrat. Conservés pendant la vie du compte.

Vos alertes terrain partagées — signaler un danger (verre brisé, chien en liberté…) publie un point sur la carte, visible des autres promeneurs : catégorie, position arrondie à environ onze mètres avant enregistrement, et date. Ni votre nom, ni votre trajet : votre identité est chiffrée d'une façon qui rend impossible de regrouper ou de rechercher les alertes d'une même personne — nos propres serveurs ne peuvent pas le faire, seule la modération peut, dossier par dossier, en cas de signalement. Les votes « Toujours là » et « Plus rien à signaler » sont enregistrés sous une empreinte propre à chaque alerte, inexploitable d'une alerte à l'autre. Une alerte disparaît après 24 heures, ou reste affichée tant qu'elle est confirmée par d'autres. Il n'existe pas de liste « mes alertes » sur nos serveurs : votre application s'en souvient pour vous, sur votre iPhone. Exécution du contrat et intérêt légitime à la sécurité des promeneurs.

Session — empreinte du jeton, identifiant d'installation, nom d'appareil. Exécution du contrat. Session glissante de 30 jours, plafond de 180 jours, sessions révoquées conservées 35 jours (à valider).

Preuve d'acceptation des documents — type, version, date, source, confirmation d'âge. Obligation légale : nous devons pouvoir le démontrer.

Fiche de rencontre publiée — consignes d'approche, style de jeu, sensibilités, note, visibilité. Consentement explicite et révocable — privé par défaut.

Blocage — identifiants et date. Exécution du contrat et sécurité des personnes.

Signalements — auteur, cible, motif, description (chiffrée), statut, date de résolution. Obligation légale et intérêt légitime. Conservés un an après la clôture du signalement, puis effacés — la preuve chiffrée qui les accompagne suit exactement le même sort. Cette durée permet de reconnaître un comportement qui se répète d'une saison à l'autre sans conserver indéfiniment un différend réglé.

Journal de sécurité — identifiant de requête, route, résultat, identifiant pseudonyme. Sont interdits : e-mail en clair, contenu de message, coordonnées GPS, jetons. Intérêt légitime et obligation légale. 90 jours.

Données d'identification exigées par la loi — la loi impose à un hébergeur de contenus de conserver de quoi identifier l'auteur d'un contenu. Durées retenues, alignées sur le décret n° 2021-1362 : cinq ans après la fermeture du compte pour les éléments d'identité civile que vous auriez fournis, un an après la fermeture pour les informations de compte (pseudonyme, adresse e-mail, empreinte du mot de passe), un an après chaque connexion pour l'adresse IP.

Export et suppression de vos données — Obligation légale.

4. Géolocalisation et traces GPS

C'est la donnée la plus sensible que l'application manipule. Une trace de balade révèle bien plus qu'un itinéraire : répétée, elle indique où vous habitez, à quelle heure vous partez, quand votre logement est vide.

Ce que nous faisons :

• Autorisation « Pendant l'utilisation » uniquement. L'autorisation « Toujours » n'est jamais demandée.
• Arrière-plan limité à la balade en cours. Le suivi n'est actif qu'entre le démarrage et l'arrêt d'une balade que vous lancez, avec l'indicateur bleu d'iOS visible. En dehors, l'application repasse en veille.
• Précision exacte demandée temporairement, pour la seule durée de la balade, si vous avez limité la précision dans iOS.
• Filtrage à la source : les points de mauvaise qualité (précision au-delà de 65 m), les déplacements aberrants (plus de 12 m/s) et les points trop rapprochés (moins de 1,5 m) sont rejetés.
• Départ et arrivée masqués au partage : en mode protégé, le début et la fin du tracé sont supprimés sur 15 % du parcours, plafonnés à 200 m, et tous les horodatages sont retirés. Si la balade est trop courte pour que ce masquage ait un sens, l'export est refusé.
• Aucune position en direct n'est jamais publiée.
• Aucune coordonnée dans les journaux techniques.

Ce que vous devez savoir, et que nous préférons écrire :

• La trace enregistrée sur votre appareil est complète et brute. Le masquage du départ n'intervient qu'au partage, pas au stockage.
• Le mode « trace complète » existe au partage : le fichier contient alors tout, horodatages compris. L'application vous en avertit — lisez cet avertissement.
• Les signalements gardent leurs coordonnées même après avoir disparu de la carte.
• Les points de rendez-vous sont géolocalisés. Ne choisissez jamais votre domicile.

Contrôle : vous pouvez retirer l'autorisation à tout moment dans Réglages → Confidentialité et sécurité → Service de localisation. Le catalogue reste consultable ; seul l'enregistrement de balade devient impossible.

5. Données de santé

L'application peut, si vous l'activez, ajouter chaque balade terminée dans l'app Santé sous forme d'entraînement de marche.

• Le réglage est désactivé par défaut (Réglages → Santé). Tant qu'il est éteint, l'application ne contacte jamais le service Santé d'iOS.
• L'accès est en écriture seule. L'application demande l'autorisation d'écrire deux types de données (entraînement et distance de marche) et demande explicitement zéro autorisation de lecture. Elle ne peut consulter ni votre poids, ni votre fréquence cardiaque, ni vos cycles, ni vos médicaments, ni quoi que ce soit d'autre.
• Aucune coordonnée GPS n'est envoyée à Santé : l'entraînement contient le début, la fin, le temps actif et la distance, pas le tracé.
• Les données de santé sont sensibles : la base légale est votre consentement explicite, révocable à tout moment — dans l'application, ou dans l'app Santé (Profil → Apps).
• Retirer l'autorisation n'efface pas les balades déjà écrites dans Santé : vous les supprimez depuis l'app Santé.

Nos engagements, qui sont aussi des obligations envers Apple : nous n'utilisons jamais les données de santé ou de forme à des fins publicitaires, de marketing ou d'exploitation commerciale ; nous ne les vendons pas, ne les partageons pas avec des courtiers en données, des plateformes publicitaires ou des revendeurs d'information, et ne les divulguons à aucun tiers.

6. Photos, vidéos et contacts

Vos photos sont recompressées avant enregistrement (1600 px de côté maximum, 720 px pour une photo de profil de chien). Cette recompression a un effet direct sur votre vie privée : les métadonnées de la photo d'origine — dont la position GPS, la date exacte et le modèle d'appareil — ne sont pas recopiées.

Une photo de balade ou de signalement peut porter une coordonnée, mais elle vient de l'application (la position au moment de la prise), pas des métadonnées de l'image.

L'application n'écrit jamais dans votre photothèque.

Les vidéos sont nettoyées de la même façon, et le contrôle est strict : l'application réexamine le fichier produit et refuse de l'enregistrer s'il reste la moindre métadonnée de position.

Une photo publiée en ligne est re-encodée une seconde fois par le serveur, ce qui écarte à nouveau toute métadonnée qui aurait survécu.

Vos données de contact — prénom, e-mail, téléphone — sont facultatives pour l'usage local : aucune fonctionnalité de l'application ne les exige. Si vous créez un compte en ligne, l'adresse e-mail devient votre identifiant de connexion et elle est chiffrée en base. Nous ne vous enverrons aucun e-mail commercial sans votre consentement préalable — et, à ce jour, aucun e-mail n'est envoyé du tout.

7. Mineurs

Le service est réservé aux personnes de 18 ans et plus. Nous ne collectons pas sciemment de données concernant des personnes mineures.

Pour mémoire, le droit français fixe à 15 ans l'âge à partir duquel un mineur peut consentir seul au traitement de ses données par un service en ligne. En dessous, le consentement doit être donné conjointement par le mineur et par le ou les titulaires de l'autorité parentale. Nous avons fait le choix plus strict de réserver le service aux majeurs, parce qu'il permet la messagerie privée avec des inconnus, le partage d'informations de localisation et l'organisation de rencontres physiques.

Si vous constatez qu'un compte appartient à une personne mineure, écrivez-nous à mobihanhugo07@gmail.com : nous le supprimerons.

À la création du profil, l'application vous demande de déclarer que vous avez 18 ans ou plus, et conserve la date de cette déclaration.

8. À qui vos données sont transmises

Sans compte : à personne

Trois exceptions, qui relèvent de votre relation avec Apple :

• Fond de carte : les zones que vous affichez sont demandées à Apple.
• Recherche de lieux : le texte que vous tapez et la région affichée sont envoyés à Apple pour proposer des suggestions.
• Adresse d'un point : les coordonnées d'un point que vous sélectionnez sont envoyées à Apple quand l'application doit en afficher l'adresse.

S'y ajoutent, sans intervention de notre part, votre sauvegarde iCloud si vous l'avez activée, et les indicateurs techniques agrégés transmis par TestFlight pendant la bêta.

Ce que nous n'utilisons pas, et c'est vérifiable — le projet ne déclare aucune dépendance externe : aucune régie publicitaire, aucun outil de mesure d'audience, aucun kit de développement tiers, aucun réseau social intégré.

Avec un compte

• Infomaniak Network SA (Suisse) — sous-traitant, héberge la base et l'API. Actif.
• Vos amis — les personnes dont vous avez accepté la demande voient vos publications, vos photos publiées et les fiches de chiens que vous partagez. C'est le but du service, et c'est vous qui décidez qui entre dans cette liste.
• Toute personne à qui vous transmettez un lien de partage — et, de proche en proche, toute personne à qui elle le transmettrait, tant que le lien n'a pas expiré ou été révoqué. C'est la contrepartie du partage hors application.
• Modérateurs habilités — traitement des signalements. Actif.
• Prestataire d'envoi d'e-mails (Brevo, France) — sous-traitant. Configuré, mais désactivé : aucun e-mail n'est envoyé à ce jour.
• Apple — Sign in with Apple. Actif.
• Autorités judiciaires — sur réquisition uniquement.

Chaque sous-traitant est lié par un contrat qui lui interdit d'utiliser vos données pour son propre compte.

9. Transferts hors de l'Union européenne

Sans compte : aucun transfert.

Si vous créez un compte, les données de la partie sociale sont hébergées en Suisse, chez Infomaniak Network SA (centre de données à Genève).

La Suisse n'est pas membre de l'Union européenne : y héberger des données est donc, juridiquement, un transfert hors UE. Ce transfert est parfaitement licite, et sans aucune formalité supplémentaire : la Commission européenne a reconnu que la Suisse assure un niveau de protection adéquat des données personnelles, et la Suisse figure toujours sur la liste officielle des pays bénéficiant d'une décision d'adéquation.

Concrètement : aucune clause contractuelle particulière n'est nécessaire, et vos données bénéficient d'une protection reconnue comme équivalente à celle de l'Union européenne. La Suisse dispose par ailleurs de sa propre loi fédérale sur la protection des données, alignée sur les standards européens — et elle n'est pas concernée par le CLOUD Act américain.

Brevo (envoi des codes de connexion, actuellement désactivé) est une société française — Union européenne. Apple (fond de carte, recherche de lieux, sauvegarde iCloud) applique ses propres garanties de transfert.

10. Sécurité

Sur votre appareil : les fichiers bénéficient du chiffrement d'iOS, au niveau « protection complète jusqu'à la première authentification » — nécessaire pour qu'une balade puisse continuer à s'enregistrer écran verrouillé. Les identifiants sont dans le Trousseau iOS, restreints à l'appareil et sans synchronisation iCloud. La comparaison des mots de passe se fait en temps constant. Un verrou local peut protéger l'accès à l'application.

Précision sur le verrou local — celui qui protège l'ouverture de l'application sur votre appareil, à ne pas confondre avec le mot de passe de votre compte en ligne : il est déposé tel quel dans le Trousseau iOS, protégé par le chiffrement matériel de l'appareil, et non sous forme d'empreinte. Le mot de passe de votre compte en ligne, lui, n'est jamais conservé : seule une empreinte Argon2id l'est.

Sur nos serveurs : connexion chiffrée de bout en bout du réseau (HTTPS), chiffrement des adresses e-mail avant écriture en base, empreintes Argon2id pour les mots de passe, cloisonnement des données par utilisateur au niveau de la base elle-même, sessions courtes avec rotation et révocation en cas de rejeu, journal d'audit non modifiable, analyse antivirus de chaque photo envoyée avant qu'elle ne devienne visible, et interdiction stricte de journaliser un e-mail, un message ou une coordonnée GPS. La base de données n'est pas accessible depuis l'extérieur.

Les sauvegardes. La base est sauvegardée chaque jour, et la sauvegarde est chiffrée pour une clé dont le serveur ne détient que la moitié publique : concrètement, le serveur fabrique ses sauvegardes mais est incapable de les relire. Seul le détenteur de la clé privée, hors du serveur, peut les ouvrir — et il vérifie périodiquement qu'une restauration fonctionne vraiment, parce qu'une sauvegarde jamais restaurée n'est pas une sauvegarde. Une copie est envoyée hors du serveur, et une sonde automatique alerte si une sauvegarde manque ou vieillit.

C'est une amélioration récente : jusqu'en août 2026, ces sauvegardes n'étaient ni chiffrées ni surveillées, et cette page le disait. Nous le mentionnons parce qu'un document qui ne garde pas trace de ses corrections invite à douter des autres.

Aucune mesure n'est infaillible. En cas de violation susceptible d'engendrer un risque élevé pour vos droits, nous vous en informerions et notifierions la CNIL dans les 72 heures.

11. Combien de temps nous conservons vos données

• Données locales : jusqu'à ce que vous les supprimiez — élément par élément, ou d'un coup avec « Supprimer mon compte » — ou que vous désinstalliez l'application. Nous ne pouvons pas les effacer à votre place, puisque nous n'y avons pas accès.
• Signalements de terrain : invisibles après 24 h, mais conservés dans l'enregistrement ; effacés automatiquement au-delà de 200.
• Compte inactif (prévu) : supprimé après deux ans sans utilisation, avec un avertissement avant l'échéance.
• Compte en ligne : conservé pendant la vie du compte. À la suppression, le déroulé prévu est le suivant :
  • immédiatement, sessions révoquées et profil rendu invisible — ceci fonctionne aujourd'hui ;
  • à J+7, purge des données, effacement des médias, révocation du jeton Apple, suppression du contact chez le prestataire e-mail ;
  • à J+7 également, conservation d'une trace minimale — identifiant interne, date, motif — sans votre identité, sans e-mail, sans contenu ;
  • à J+37, expiration des sauvegardes.

⚠️ À ce jour, la purge décrite ci-dessus n'est pas encore exécutée. Le programme qui l'effectue est écrit et testé, mais son installation est retenue tant qu'un contrôle de sécurité n'est pas levé. Concrètement : si vous supprimez votre compte aujourd'hui, votre profil devient immédiatement invisible et vos sessions sont coupées, mais vos données restent présentes en base jusqu'à la mise en service de ce programme. Nous ne mettrons pas ce service à la disposition d'utilisateurs autres que des testeurs avertis avant que ce point ne soit réglé.

Vous disposez de sept jours pour revenir sur une suppression. Pendant cette fenêtre, votre profil est déjà invisible et vos sessions déjà coupées : personne ne vous voit plus, mais rien n'est encore détruit. Nous avons préféré ce délai à une purge immédiate pour une raison précise : quelqu'un qui aurait votre téléphone quelques minutes ne doit pas pouvoir effacer définitivement des années de balades. Passé sept jours, l'effacement est irréversible et nous ne pouvons plus rien restaurer.

Certaines données sont conservées plus longtemps parce que la loi l'impose : les données permettant d'identifier l'auteur d'un contenu mis en ligne. Les durées retenues suivent le décret n° 2021-1362 — cinq ans après la fermeture du compte pour l'identité civile, un an pour les informations de compte, un an après chaque connexion pour l'adresse IP.

12. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, du droit de retirer votre consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès.

Concrètement, dans l'application

• Modifier votre pseudonyme, prénom, avatar, zone → Réglages → Mon compte
• Rendre votre profil privé → Réglages → Mon compte
• Modifier ou supprimer la fiche d'un chien → Ma niche → Mes chiens
• Supprimer une balade, une photo, une publication, un commentaire → depuis l'élément concerné
• Couper une famille de notifications → Réglages → Types de notifications
• Arrêter l'envoi vers Santé → Réglages → Santé
• Retirer l'accès à la localisation, à la caméra, aux photos → Réglages d'iOS → Confidentialité et sécurité
• Exporter une balade en GPX → depuis la balade → Partager
• Voir ce que l'application sait de vous → Réglages → Mes données et documents légaux
• Exporter toutes vos données → Réglages → Mes données → Exporter mes données
• Bloquer ou signaler une personne → depuis son profil, une publication ou une conversation → Signaler ou bloquer
• Voir et lever vos blocages → Réglages → Personnes bloquées et signalements
• Supprimer votre compte et toutes vos données → Réglages → Compte et déconnexion → Supprimer mon compte, ou depuis Mes données

Sur la suppression de votre compte. Elle efface réellement tout ce qui vit sur cet iPhone — profil, chiens, balades, tracés, photos, publications, messages, amis, progression, ainsi que les secrets conservés dans le Trousseau. Avant de confirmer, l'application vous propose d'exporter vos données et vous affiche la liste de ce qui va partir, poste par poste, avec les chiffres réels de votre appareil. La confirmation exige de taper le mot SUPPRIMER.

Ne confondez pas avec la déconnexion, au même endroit, qui ne supprime rien.

Si vous avez un compte en ligne, cette suppression coupe immédiatement vos sessions et rend votre profil invisible aux autres, mais l'effacement des données restées sur nos serveurs n'est pas encore automatisé : voir l'avertissement du § 11. En attendant, écrivez-nous et nous le ferons à la main.

Par écrit

Écrivez à mobihanhugo07@gmail.com en précisant votre demande et le pseudonyme concerné.

Nous répondons dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ; nous vous en informons alors dans le premier mois, en expliquant pourquoi. Nous pouvons vous demander un élément d'identité uniquement en cas de doute raisonnable.

13. Cookies et traceurs

L'application n'utilise aucun cookie, aucun traceur, aucun identifiant publicitaire et aucun outil de mesure d'audience.

Ce n'est pas une formule : le manifeste de confidentialité embarqué dans l'application déclare le suivi désactivé et une liste de domaines de suivi vide. Les seules interfaces système déclarées sont les préférences locales, les dates de fichiers et l'heure de démarrage — utilisées pour le fonctionnement interne, jamais pour vous suivre.

En revanche, la liste des données collectées n'est PAS vide, et une version précédente de cette page l'affirmait à tort. Le manifeste déclare six familles, parce que le service connecté les reçoit réellement :

• votre adresse e-mail, pour votre compte ;
• votre identifiant de compte, celui qui vous relie à vos publications ;
• vos photos et vidéos, celles que vous choisissez de publier ;
• d'autres contenus que vous écrivez : textes de publications, légendes, commentaires ;
• le texte de vos messages, qui part vers le serveur pour être remis à son destinataire ;
• une position précise, uniquement celle d'un signalement que vous choisissez de partager — jamais vos trajets.

« Collectées » au sens d'Apple veut dire « quittent votre appareil », pas « servent à vous suivre ». Aucune de ces six familles n'est reliée à de la publicité, revendue, ni utilisée pour vous profiler ; le détail de chacune, sa base légale et sa durée de conservation figurent plus haut dans ce document.

L'application ne demande jamais l'autorisation de suivi publicitaire, pour la raison la plus simple : elle n'en a aucun usage.

14. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez saisir la Commission nationale de l'informatique et des libertés :

CNIL — Service des plaintes 3 place de Fontenoy, 75007 Paris Téléphone : 01 53 73 22 22 Plainte en ligne : https://www.cnil.fr/fr/plaintes

Nous vous serions reconnaissants de nous contacter d'abord : la plupart des difficultés se règlent en quelques échanges.

15. Modifications

Ce document porte un numéro de version et une date d'entrée en vigueur. Toute modification importante vous sera signalée dans l'application au moins 15 jours avant son entrée en vigueur, et votre acceptation vous sera demandée avant l'ouverture du service connecté. Les versions successives sont conservées et consultables sur demande.