Confidentialité

Un seul cookie, nommé NEXT_LOCALE. Il retient la langue choisie pour vous la resservir à la prochaine visite, et rien d’autre : pas d’identifiant, pas d’historique, rien qui permette de vous distinguer de quelqu’un ayant choisi la même langue. Le site garde une autre préférence dans le stockage de votre navigateur : le thème clair ou sombre, un seul mot qui ne part jamais vers le serveur. Selon les recommandations de la CNIL, un cookie ou une préférence strictement nécessaire au service demandé est dispensé de consentement : c’est pourquoi ce site n’affiche aucune bannière, et la mesure d’audience décrite juste après n’y change rien, puisqu’elle ne pose aucun cookie et ne stocke rien dans votre navigateur.

Le site compte ses visites avec Plausible Community Edition, un outil de statistiques que nous faisons tourner nous-mêmes, sur notre propre serveur chez OVH, et non un service hébergé par quelqu’un d’autre. Il ne pose aucun cookie et ne stocke rien dans votre navigateur, et il n’y a ni Google Analytics, ni pixel, ni enregistrement de session, ni carte de chaleur. Pour chaque visite, il retient la page, le site d’où vous arrivez, votre pays, le type d’appareil, le navigateur et le système d’exploitation, jusqu’où vous avez fait défiler la page et combien de temps elle est restée ouverte, et, si vous suivez un lien qui sort du site, comme ceux de l’App Store et de Google Play, ce clic et l’adresse du lien. Votre adresse IP ne sert qu’à deux choses : en déduire votre pays et, avec la description que votre navigateur donne de lui-même, fabriquer un code qui change chaque jour, pour que deux pages vues le même jour ne comptent que pour un visiteur. Elle est ensuite abandonnée : Plausible ne l’enregistre jamais. Rien de tout cela n’est rattaché à un nom ou à un compte, et rien n’en est transmis à qui que ce soit. La base légale est notre intérêt légitime à savoir quelles pages sont lues et si le site conduit jusqu’aux boutiques d’applications. Vous pouvez vous y opposer en nous écrivant ; mais comme plus rien, une fois la journée passée, ne relie ces statistiques à une personne, nous n’y trouverions aucune ligne qui soit la vôtre, et donc aucune à supprimer. Par ailleurs, le journal d’accès du serveur enregistre les données classiques de chaque requête, celles du comptage comprises, dont votre adresse IP : c’est une nécessité technique pour servir une page, ce journal reste sur la machine sept jours puis disparaît, et il ne sert à construire aucun profil. Ce journal, et les compteurs que le serveur tient sur lui-même, sont décrits plus bas sous « Journaux et compteurs du serveur ».

Les polices de caractères sont servies depuis le domaine de ce site. Votre navigateur n’envoie aucune requête à Google, à un CDN ou à un tiers quelconque en chargeant ces pages, à deux exceptions près. Sur iPhone et iPad, Safari demande lui-même à l’App Store d’Apple le nom et l’icône de l’application, pour afficher en haut de la page le bandeau qui vous la propose. Sur Android, Chrome demande lui-même les mêmes informations à Google Play, pour que le badge Google Play ouvre sa fenêtre d’installation sans quitter la page. Ce site ne voit rien de ces échanges.

En dehors de ce que vous confiez aux pages vers lesquelles un assistant vous envoie, qui ont leur propre section plus bas, le formulaire de contact est la seule chose que vous puissiez envoyer depuis ce site. Il transporte votre nom, votre adresse e-mail et votre message, et rien d’autre : aucun identifiant, rien de lu dans votre navigateur. Le message part sous forme d’e-mail par notre propre boîte chez OVH, en France, et arrive dans la boîte qu’une seule personne lit ; votre adresse n’y figure que pour qu’une réponse puisse vous parvenir. Il y est conservé le temps de vous répondre, puis un an après le dernier échange au cas où vous écririez de nouveau, et supprimé ensuite, ou plus tôt si vous le demandez. La base légale est notre intérêt légitime à répondre aux personnes qui nous écrivent. L’adresse imprimée sur la page contact mène à la même boîte, si vous préférez ne pas passer par le formulaire. Une affiche envoyée à cette adresse est un e-mail comme un autre, conservé de la même façon. Elle n’est montrée sur ce site ou dans l’une de nos publications que si vous avez dit oui pour cette affiche, sous le nom que vous avez choisi ou sans nom, et elle y reste jusqu’à ce que vous demandiez son retrait ; la base légale de cette diffusion est votre consentement, que vous pouvez retirer à tout moment.

L’application est autre chose que ce site, et cette section parle d’elle. À votre premier import, ou dès que vous ouvrez l’écran Adret Pro si c’est avant, elle crée une session : un identifiant sans nom, sans adresse e-mail et sans mot de passe, gardé sur votre téléphone et sur notre propre serveur plutôt que chez un tiers. Chaque requête que l’application adresse à ce domaine porte cet identifiant, pour que le serveur sache à qui imputer la consommation du jour : une affiche dessinée ici quand le téléphone n’y arrive pas, les deux étapes d’un fichier d’impression, les tuiles cartographiques qu’il récupère pour en dessiner une, et une courte vérification au lancement qui demande si les données cartographiques ont été refaites, et qui reçoit pour toute réponse une courte chaîne de caractères, la même pour tout le monde. Les compteurs qui y sont rattachés (combien d’affiches et combien de tuiles vous avez demandées aujourd’hui) vivent en mémoire et sont oubliés à la fin de la journée. Le système de connexion, en dessous, garde un peu plus que cela : une ligne pour la session, l’adresse IP et la signature de l’appareil depuis lesquels elle a été ouverte et rafraîchie en dernier, et un journal de ces ouvertures et rafraîchissements. Rien de tout cela ne sert à autre chose qu’à faire fonctionner la connexion, et il n’existe pas encore de purge programmée des sessions inactives ; cette page changera quand il y en aura une. Par ailleurs, à chaque lancement, l’application demande aux serveurs d’Expo, aux États-Unis, si une version plus récente de son code existe. Cette requête porte un identifiant aléatoire créé à l’installation, qui permet à Expo de distinguer une installation d’une autre, et, après un plantage, le texte de l’erreur, ce qui permet de repérer une mise à jour cassée. Expo ne reçoit ni votre identifiant de session ni quoi que ce soit sur vos traces. La base légale de tout cela, c’est le contrat qui nous lie : c’est le seul moyen de vous rendre le service et d’empêcher qu’une seule personne le consomme en entier.

L’application mesure elle aussi l’usage qu’on en fait, et envoie ce qu’elle compte au même Plausible, sur notre propre serveur. Elle indique quel écran vous ouvrez (jamais ce qu’il affiche, et jamais un identifiant) et quelques actions : importer un enregistrement, et par quelle voie il est arrivé (un fichier GPX, FIT ou TCX, Strava, Apple Santé ou le parcours d’exemple) ; exporter ou partager une affiche, et sous quelle forme ; ouvrir l’écran Adret Pro, et pour quelle fonction ; s’abonner, sans montant ni formule ; terminer ou passer la visite guidée de l’éditeur ; et, dans l’éditeur, ouvrir un panneau et y faire une modification, en précisant quel panneau et, quand la modification applique un style, lequel des styles fournis avec Adret, ou seulement le fait que ce n’en est pas un. Chaque requête indique aussi le type d’appareil, le système et sa version, ainsi que la version de l’application. Ne sont jamais envoyés : votre identifiant de session ou de compte, votre adresse e-mail, l’enregistrement, ou quoi que ce soit qui dise où la sortie est passée, un titre ou tout autre texte que vous avez tapé, les couleurs choisies, le nom de vos propres styles. Votre adresse IP est traitée comme pour le site : elle sert au pays et au code du jour, puis elle est abandonnée. Rien n’en est transmis à qui que ce soit. Ces statistiques sont activées d’emblée, sur la base de notre intérêt légitime à savoir quelles parties de l’application servent. Vous les désactivez dans « Mon compte », sous « Statistiques d’utilisation », et l’application cesse alors de les envoyer. Comme pour le site, il n’existe aucune ligne que nous pourrions retrouver comme étant la vôtre.

L’application Adret dessine votre affiche sur votre téléphone. Quand elle n’y arrive pas (un parcours qui couvre plus de terrain que le téléphone ne peut en charger, ou un relief dont nous n’avons pas les données cartographiques), elle envoie l’enregistrement à ce site pour qu’il y soit dessiné. Un fichier d’impression, avec Adret Pro, se fait toujours ici, en deux temps : l’enregistrement est envoyé pour être redessiné au format d’impression, puis l’affiche terminée, avec son titre et ses stats, revient pour devenir le fichier que vous récupérez. Dans un cas comme dans l’autre, ce qui arrive sur le serveur reste en mémoire le temps du travail, quelques secondes, puis est abandonné : rien n’est écrit sur disque, rien n’entre en base, et il n’en reste aucune copie à venir rechercher ensuite. Les exceptions sont la vidéo d’Adret Pro et le dessin depuis un assistant, décrits dans les deux sections suivantes. Le titre et le nom que vous mettez sur l’affiche voyagent avec la requête et sont effacés des journaux du serveur avant même qu’ils ne soient écrits. Ce que les journaux gardent, c’est la taille de la trace, sa distance et son dénivelé, et, chaque fois qu’un morceau de carte manquait, le carré du monde où il se trouvait : un carré d’environ neuf kilomètres de côté, jamais la trace. Les tuiles que le téléphone récupère pour dessiner lui-même une affiche sont des requêtes pour ces mêmes carrés, et les journaux du serveur les voient comme ils voient n’importe quelle requête. Ensemble, ils disent à peu près par où une trace est passée, pas qui l’a enregistrée, et ils sont conservés pendant les durées indiquées sous « Où tout cela vit, et combien de temps ». Sur le téléphone, vos enregistrements et vos affiches terminées sont dans le dossier de documents de l’application, que la sauvegarde de votre téléphone (iCloud ou Google) inclut, sauf si vous l’avez désactivée. Le seul formulaire d’envoi du site est la page vers laquelle un assistant vous renvoie, avec Adret Pro, et la section sur les assistants dit ce que devient une trace ou une photo déposée là. Si quoi que ce soit là-dedans change, cette page dira précisément ce qui est stocké, combien de temps, et comment le supprimer : avant la mise en service de la fonctionnalité, pas après.

Adret Pro peut faire de votre affiche une courte vidéo où le tracé se dessine. L’application envoie l’affiche terminée, avec son titre et ses stats, à ce site, qui la transmet à notre serveur pour qu’il en dessine la vidéo. L’affiche porte le tracé tel qu’il y est dessiné, mais pas l’enregistrement lui-même, avec ses points et ses heures. Elle reste en mémoire le temps que la vidéo se dessine, puis elle est abandonnée. La vidéo, elle, est écrite sur le disque du serveur sous un nom aléatoire lié à votre session, et elle y attend que votre téléphone vienne la chercher : elle est supprimée dès que le téléphone l’a récupérée, et au plus tard une heure après avoir été prête, qu’elle ait été récupérée ou non. Un redémarrage du serveur supprime toute vidéo encore en attente. Rien d’une vidéo n’entre en base, et les journaux n’en gardent que des chiffres, comme sa taille et le temps qu’il a fallu pour la dessiner. Si vous acceptez les notifications, la demande porte aussi le jeton de notification de votre téléphone et les deux lignes de la notification, dans votre langue ; le serveur s’en sert une fois, pour demander à Expo de prévenir votre téléphone que la vidéo est prête, puis les oublie. Expo confie la notification à Apple ou à Google, qui la délivrent. La base légale est le contrat : la vidéo fait partie de ce qu’est Adret Pro.

Avec Adret Pro, vous pouvez ajouter Adret à un assistant comme Claude ou ChatGPT et lui demander des affiches et des vidéos. Pour en connecter un, vous vous connectez sur ce site avec un code à six chiffres envoyé à l’adresse e-mail de votre compte Adret, puis vous donnez votre accord. Cette connexion ne vit que dans la mémoire de la page : rien n’est stocké dans votre navigateur, et fermer la page y met fin. Votre accord crée un lien dans notre système de connexion : le nom sous lequel l’assistant s’est enregistré, la date, et une session que l’assistant renouvelle pour pouvoir dessiner pour vous, avec les mêmes lignes, adresses IP et entrées de journal que toute connexion, comme le décrit la section sur l’application. La session cesse de servir quand vous retirez Adret de l’assistant ; pour qu’elle soit aussi close de notre côté, écrivez-nous, et supprimer votre compte y met fin avec tout le reste. L’assistant nous envoie une trace de deux façons : dans sa requête, ou par une page de ce site, en lien dans la conversation, où vous déposez vous-même le fichier. Dans les deux cas, elle est convertie en GPX et écrite sur le disque du serveur sous un nom aléatoire, dont seul votre compte peut se servir pour dessiner, afin de pouvoir être dessinée plusieurs fois, et elle est supprimée une heure après son arrivée. Les affiches et les vidéos dessinées à partir d’elle y sont écrites aussi, à une adresse aléatoire que quiconque détient le lien peut télécharger, et sont supprimées une heure après avoir été faites ; une vidéo est en outre supprimée de l’endroit où elle a été dessinée dès qu’elle y est copiée. Une de vos photos, à placer sous une affiche, passe par le même genre de lien. Seule une copie en est gardée, ramenée à 3 072 pixels au plus sur son grand côté et débarrassée des données que l’appareil photo y avait inscrites, le lieu de la prise de vue compris, sous un nom aléatoire dont seul votre compte peut se servir pour dessiner, et elle aussi est supprimée une heure après son arrivée. Un redémarrage du serveur supprime tout cela plus tôt. Rien de tout cela n’entre en base, et les journaux n’en gardent que ce qu’ils gardent de n’importe quelle autre affiche. L’usage qui en est fait est mesuré lui aussi, avec le même Plausible sur notre propre serveur : chaque outil que l’assistant appelle ; pour une affiche ou une vidéo, lequel des styles d’Adret, quel format et quelle langue, et si la trace est arrivée par la page ou dans la requête ; de quel assistant il s’agit (Claude, ChatGPT ou un autre) ; et, quand une demande est refusée, si c’est faute de compte, faute d’Adret Pro, ou parce que la consommation du jour est épuisée. Ces requêtes viennent des serveurs de l’assistant et non de votre appareil : il n’y a donc pas d’adresse IP à vous pour compter un visiteur. À sa place, chacune porte un code tiré de votre compte au moyen d’une clé qui n’existe que dans la mémoire de notre serveur et change à chacun de ses redémarrages ; Plausible en fait son code du jour, puis l’abandonne, comme il le fait d’une adresse. Ne sont jamais envoyés : votre identifiant de compte, votre adresse e-mail, la trace ou quoi que ce soit qui dise où elle est passée, un titre ou tout autre texte, les couleurs choisies. Comme pour le site, une fois la journée passée, plus rien dans ces statistiques ne désigne une personne : il n’existe aucune ligne que nous pourrions retrouver comme étant la vôtre. La base légale de cette mesure est notre intérêt légitime à savoir comment le connecteur est utilisé. Ce que vous dites à l’assistant, la trace que vous lui confiez et les affiches qu’il reçoit en retour sont aussi traités par la société qui l’édite, selon sa propre politique de confidentialité : elle agit pour son propre compte, parce que vous avez choisi de l’utiliser. La base légale est le contrat : dessiner depuis un assistant fait partie de ce qu’est Adret Pro.

Vous pouvez mettre une de vos photos sous une affiche. L’application ne demande pas l’accès à votre photothèque : c’est le sélecteur de votre téléphone qui s’ouvre, en dehors de l’application, et Adret ne reçoit que la photo que vous y choisissez. L’application en fait une copie, ramenée à 3 072 pixels au plus sur son grand côté et débarrassée des données que l’appareil photo y avait inscrites, le lieu de la prise de vue compris, et la range dans son dossier de documents à côté de l’affiche, que la sauvegarde de votre téléphone inclut comme l’affiche elle-même. Cette copie disparaît avec l’affiche, et celle d’une photo que vous avez remplacée ou retirée, dès que vous fermez l’éditeur. La photo ne quitte votre téléphone que dans deux cas, et toujours à l’intérieur de l’affiche terminée : un fichier d’impression, avec Adret Pro, dont la seconde étape l’emporte jusqu’à ce site, et une vidéo, tirée de l’affiche telle que vous la voyez, photo comprise. Dans les deux cas, elle est traitée comme le disent les sections sur vos traces GPS et sur la vidéo : l’affiche reste en mémoire le temps du travail, puis elle est abandonnée, et la vidéo est conservée une heure au plus. La base légale est le contrat : elle fait partie du service que vous avez demandé.

L’application peut se connecter à un compte Strava, pour qu’une sortie que vous y avez déjà enregistrée devienne une affiche sans que vous ayez à retrouver un fichier. C’est facultatif au sens le plus simple : si vous ne le faites jamais, rien d’autre ne change dans Adret, et toutes les autres façons d’importer fonctionnent comme avant. Au moment de la connexion, Strava vous demande sur son propre écran ce que vous autorisez. Adret demande à lire vos sorties, y compris celles que vous avez mises en privé : la plupart des gens en ont, et une liste qui les aurait discrètement laissées de côté serait pire que pas de liste du tout. Ce qu’il lit, c’est cette liste, c’est-à-dire le nom, la date, la distance et le dénivelé de chaque sortie, puis, pour la seule sortie que vous choisissez, ses points, ses altitudes et ses horodatages. Votre téléphone récupère tout cela directement chez Strava : rien ne passe par ce site, et notre serveur n’en voit rien. Le GPX qu’Adret en écrit est votre fichier, sur votre appareil, et il n’atteint le serveur que dans le cas décrit plus haut, quand le téléphone n’arrive pas à dessiner l’affiche lui-même, où il est abandonné exactement de la même façon. Une étape, et une seule, passe par notre serveur : transformer l’accord donné à Strava en jeton d’accès, parce que cet échange réclame un secret qui ne peut pas vivre dans un téléphone. Le code et les jetons y transitent en mémoire, en route vers votre appareil ; rien n’en est conservé, écrit en base ni journalisé, et la connexion elle-même vit dans le trousseau de votre téléphone et nulle part ailleurs. La base légale, ici, c’est votre consentement, donné sur l’écran de Strava, et « Se déconnecter » dans l’application est la façon de le retirer, ce qui retire aussi Adret de vos réglages Strava plutôt que de l’y laisser inscrit. Strava agit pour son propre compte, selon sa propre politique de confidentialité, et seulement parce que vous le lui avez demandé.

L’application peut lire Apple Santé sur un iPhone, pour qu’un exercice déjà enregistré par votre montre devienne une affiche sans que vous ayez à exporter quoi que ce soit. C’est facultatif au sens le plus simple : rien d’autre ne change dans Adret si vous ne l’autorisez jamais, et toutes les autres façons d’importer fonctionnent toujours. Quand vous touchez la ligne Apple Santé, iOS vous demande sur son propre écran ce que vous autorisez ; l’autorisation appartient à Apple, qui peut aussi la reprendre, et Adret n’est jamais informé de votre choix. Ce qu’il demande, ce sont vos exercices et leurs tracés, et rien d’autre : ni votre fréquence cardiaque, ni vos pas, ni votre poids, ni votre sommeil, qu’aucune ligne de code ici ne sait lire. Il n’écrit jamais rien dans Santé. Ce qu’il lit, c’est la liste des exercices susceptibles d’avoir un tracé (l’activité, la date, la distance et la durée de chacun), puis, pour celui que vous choisissez, ses points, ses altitudes et ses horodatages. Rien de tout cela ne part ailleurs : Santé est sur votre téléphone, Adret aussi, et aucune étape ne passe par ce site. Le GPX qu’Adret en écrit est votre fichier, sur votre appareil, et il n’arrive sur le serveur que dans le cas décrit plus haut, quand le téléphone ne peut pas dessiner l’affiche lui-même, où il est écarté exactement de la même manière. La base légale ici est votre consentement, donné sur l’écran d’Apple. Vous le retirez dans Réglages › Confidentialité et sécurité › Santé › Adret, qui est aussi le seul endroit où il est visible : comme iOS ne dit pas à une application ce qui a été autorisé, Adret ne peut pas vous montrer la réponse et n’essaie pas de la deviner. Une liste vide, c’est à quoi ressemble un refus vu d’ici, et c’est aussi ce que voit quelqu’un qui n’a aucune sortie enregistrée.

S’abonner ne demande aucun compte. L’abonnement est rattaché à la session décrite plus haut, cet identifiant qui ne porte aucun nom, et « Restaurer les achats », dans l’application, le rétablit après une réinstallation, depuis le compte App Store ou Google Play qui le paie. Le paiement lui-même se fait chez Apple ou chez Google, qui encaissent et détiennent vos données de paiement ; nous ne voyons jamais un numéro de carte. Entre la boutique et nous se trouve RevenueCat, une société américaine qui transforme le reçu de la boutique en un abonnement. Elle reçoit cet identifiant de session (ou celui de votre compte, une fois connecté), le reçu et quelques informations sur le téléphone, mais ni nom ni adresse e-mail, et nous envoie un événement à chaque changement (un achat, un renouvellement, une résiliation, un remboursement, un abonnement qui passe d’un identifiant à un autre), que nous gardons tel qu’il arrive. Sous ce même identifiant, nous gardons l’état de l’abonnement : actif ou non, jusqu’à quand, et quelle formule. Se connecter est facultatif, possible à tout moment depuis l’écran « Mon compte », et c’est ce qui vous permet de retrouver Adret Pro sur un autre téléphone. Il y a trois façons d’entrer : la connexion avec Apple, qui nous donne une adresse e-mail, le plus souvent l’adresse relais privée d’Apple ; la connexion avec Google, qui nous donne l’adresse, le nom et la photo de profil de votre compte Google, tels que Google les envoie ; et un code à six chiffres envoyé à une adresse que vous tapez. La fenêtre d’Apple demande aussi votre nom, parce qu’Apple en fait une étape de sa fenêtre ; l’application ne le lit jamais. En vous connectant, vous remplacez la session du téléphone par celle du compte, et un abonnement pris avant passe sur le compte. Ce que le compte contient, c’est cette adresse, le nom et la photo si vous êtes entré par Google, et l’état de l’abonnement. L’écran « Mon compte » supprime le compte depuis l’application, sans avoir à nous le demander : il révoque la connexion Apple, supprime le compte et son abonnement, et laisse deux choses derrière lui. Les événements de paiement, avec l’identifiant encore dedans, sont conservés parce qu’un remboursement ou un litige ne peut se régler qu’avec eux ; et RevenueCat garde sa propre trace de l’achat, que nous ferons supprimer si vous le demandez. Une connexion Google n’est pas révoquée chez Google : Adret reste listé parmi les connexions de votre compte Google jusqu’à ce que vous l’en retiriez. Si vous vous êtes abonné sans jamais vous connecter, vous n’avez pas de compte à supprimer dans l’application : demandez la suppression de votre ligne d’abonnement via la page contact, comme le décrit « Vos droits » plus bas. Supprimer le compte, ou cette ligne, ne résilie pas l’abonnement : cela se fait dans les réglages d’abonnement de votre téléphone, parce qu’il appartient à Apple et à Google. La base légale est le contrat, et pour les événements de paiement notre intérêt légitime à pouvoir régler un litige.

Faire tourner un serveur, c’est savoir s’il fonctionne. Deux choses sont collectées pour cela, et pour rien d’autre. D’abord des compteurs : combien de requêtes chaque porte a traitées et avec quel code, combien d’appels ont été refusés et par quelle limite, et combien de sessions distinctes se sont servies de l’application dans la journée. Ce sont des nombres, tout simplement. Il n’y a pas le moindre identifiant dedans et aucun chemin ne ramène de l’un d’eux à quelqu’un : le nombre de personnes qui ont utilisé l’application aujourd’hui est un entier, pas une liste, et il est construit à partir d’empreintes calculées sous une clé fabriquée à neuf à chaque redémarrage du serveur et notée nulle part. Les empreintes sont oubliées à minuit UTC ou au redémarrage suivant, et jamais écrites sur disque ; les totaux, et seulement les totaux, sont relevés une fois par minute et gardés chez Grafana Cloud pendant quatorze jours. Ensuite les journaux de requêtes, qui contiennent le relevé technique habituel d’une requête. Avant qu’ils ne quittent la machine, les adresses IP y sont réduites à leur réseau, les identifiants remplacés et les jetons d’accès effacés ; ce qui passe encore, ce sont les carrés de carte décrits plus haut. Les originaux non expurgés restent sur le serveur, où les journaux des applications s’écrasent d’eux-mêmes en quelques jours et où le journal d’accès du serveur web est supprimé au bout de sept jours. Les journaux expurgés partent chez Grafana Cloud, dont les serveurs sont en Allemagne pour ce compte, où ils sont gardés quatorze jours et servent à garder le service en état de marche et à l’abri. La base légale est notre intérêt légitime à ce que le service fonctionne. C’est proportionné parce que rien de tout cela ne construit un profil, rien n’est transmis ni vendu à qui que ce soit, et rien ne sert à la publicité.

Tout ce qui précède tourne sur un seul serveur loué chez OVH, un hébergeur français, y compris le système de connexion, qui est notre propre installation et non un service hébergé chez quelqu’un. Une fois par nuit, les bases de données sont copiées, chiffrées, vers le stockage objet d’OVH à Gravelines, en France, et les copies sont gardées selon un roulement : les sept derniers jours, les quatre dernières semaines et les six derniers mois. Ce qui a été supprimé, un compte ou une session, subsiste donc dans une sauvegarde jusqu’à six mois, sans être lu, sauf s’il fallait un jour reconstruire le serveur à partir de l’une d’elles. Sur le serveur lui-même, le journal d’accès est gardé sept jours et le journal de chaque application tient en quelques dizaines de mégaoctets qui s’écrasent d’eux-mêmes. Chez Grafana Cloud, en Allemagne, les journaux et les compteurs sont gardés quatorze jours. Les statistiques de visite et d’utilisation sont gardées sur le serveur tant que le site existe, puisque, leur journée passée, plus rien en elles ne désigne une personne. Dans la boîte mail, un message que vous nous avez envoyé est gardé un an après le dernier échange. Une vidéo faite avec Adret Pro attend sur le serveur une heure au plus, et disparaît plus tôt dès que votre téléphone l’a récupérée. Une trace ou une photo envoyée par un assistant, et les affiches et vidéos dessinées à partir d’elles, y attendent une heure au plus. Une connexion Strava ne figure pas sur cette liste, parce qu’elle n’est pas conservée ici : elle vit dans le trousseau de votre téléphone tant que vous la laissez en place, et s’en va quand vous vous déconnectez ou désinstallez l’application. L’autorisation de lire Apple Santé n’y figure pas davantage, et pour une raison plus forte encore : elle est détenue par iOS et non par Adret, donc il n’en existe rien sur ce serveur ni dans l’application qui puisse être conservé une durée quelconque.

Rien n’est vendu, rien n’est partagé à des fins publicitaires, et rien ne va chez un courtier en données. Voici les sociétés qui en traitent une partie pour notre compte, et pourquoi. OVH, en France, héberge le serveur, la boîte mail et les sauvegardes. Grafana Labs, sur des serveurs situés en Allemagne pour ce compte, reçoit les journaux expurgés et les compteurs. Expo, aux États-Unis, répond à la vérification de mise à jour de l’application et, si vous acceptez les notifications, envoie celle qui annonce qu’une vidéo est prête, par le service de notification d’Apple ou de Google. RevenueCat, aux États-Unis, gère l’abonnement. Apple et Google agissent pour leur propre compte et non pour le nôtre : ils encaissent le paiement et gèrent la connexion, selon leurs propres politiques de confidentialité. Strava est dans la même position si vous avez connecté un compte : il agit pour son propre compte, selon sa propre politique, et seulement parce que vous le lui avez demandé. De même pour l’éditeur d’un assistant que vous connectez à Adret, comme Anthropic pour Claude ou OpenAI pour ChatGPT. Pour Expo et RevenueCat, qui agissent bien pour notre compte, le transfert repose sur les clauses contractuelles types de la Commission européenne, que leurs conditions de traitement des données incluent.

Le responsable de tout cela est l’éditeur nommé dans les mentions légales, et la page contact est le moyen de nous joindre. Le RGPD vous donne un droit d’accès, de rectification, d’effacement et de portabilité de vos données personnelles, un droit à la limitation du traitement et d’opposition, et le droit d’introduire une réclamation auprès de la CNIL. Le RGPD s’applique parce que l’éditeur est établi en France : ces droits sont donc les vôtres où que vous viviez, et si vous résidez ailleurs, vous pouvez aussi vous adresser à l’autorité de protection des données de votre pays. Sur ce site, il n’y a rien contre quoi les exercer, sinon un message que vous nous avez envoyé, que nous supprimons sur demande. Dans l’application, tout dépend de savoir si vous vous êtes connecté. Sans compte, l’identifiant est sur votre téléphone et nulle part où nous pourrions le relire : nous ne savons pas dire quelle session est la vôtre, il n’y a donc rien que nous puissions consulter, vous remettre ou supprimer pour vous, et désinstaller l’application l’abandonne. La ligne de session reste de notre côté, sans nommer personne, jusqu’à la purge des sessions inactives dont parle la section sur l’application. L’abonnement fait exception, parce qu’un achat se retrouve : si vous vous êtes abonné sans vous connecter, écrivez-nous via la page contact avec de quoi identifier l’achat, par exemple le numéro de commande du reçu qu’Apple ou Google vous a envoyé, et nous supprimons la ligne d’abonnement et faisons supprimer la copie de RevenueCat ; seuls restent les événements de paiement, pour la raison que donne la section Adret Pro. Avec un compte, l’écran « Mon compte » le supprime depuis l’application, comme le décrit la section Adret Pro, et ce qu’il laisse derrière lui est supprimé sur demande via la page contact.