Politique de confidentialité

Itinelia accorde une grande importance à la protection des données personnelles, conformément au RGPD et à la loi « Informatique et Libertés ». Cette politique décrit les traitements réellement en place aujourd'hui (le compte, vos amis, vos groupes avec leurs sorties et leurs discussions, les sorties entre amis et le mode invité, la sortie en direct et son partage de position, vos véhicules, les notifications de l'application, la modération et la mesure d'audience du site et de l'application) ; elle sera complétée à l'ouverture de chaque nouvelle fonctionnalité.

1. Responsable du traitement

Le responsable du traitement est l'éditeur d'Itinelia (voir les mentions légales).

2. Données collectées

• Compte : prénom, nom, pseudo, adresse e-mail, mot de passe (jamais stocké en clair), date d'acceptation des CGU.
• Connexion Google ou Apple (si vous la choisissez) : identifiant technique de votre compte chez ce fournisseur, adresse e-mail transmise (Apple peut fournir une adresse relais), et vos nom et prénom s'ils sont communiqués.
• Photo de profil (facultative) : recadrée par vos soins, enregistrée en plusieurs tailles et débarrassée de ses métadonnées ; visible par vos amis et les membres de vos groupes.
• Groupes et amis : vos groupes (rôle, date d'arrivée), vos amis et les invitations ou demandes en cours. Votre nom, votre pseudo et votre photo sont visibles par vos amis, les membres de vos groupes et les personnes qui vous trouvent par votre pseudo. Vous choisissez qui peut vous trouver ainsi (tout le monde, les amis de vos amis ou personne) dans « Mon profil › Confidentialité ». La photo d'un groupe, choisie par ses admins, est visible par ses membres et sur ses invitations.
• Sorties : les sorties de vos groupes et vos sorties entre amis (titre, date, point de rendez-vous et ses coordonnées, description, tracé GPX), votre réponse (je viens, peut-être, je ne viens pas) et votre éventuel rôle (ouvreur, serre-file), visibles par les membres du groupe et par les personnes entrées dans la sortie par son lien, son QR code, son code ou l'invitation d'un ami. Les participants d'une même sortie voient le nom, le pseudo et la photo les uns des autres. Quiconque a le lien ou le code d'une sortie voit, avant de la rejoindre, son titre, sa date, son point de rendez-vous, le prénom de l'organisateur et le nombre de participants : l'organisateur peut renouveler le lien et le code à tout moment, et retirer un participant. Le fichier GPX est réécrit dès l'envoi : seules ses coordonnées et altitudes sont gardées, sans les heures, le nom ni l'appareil d'origine. Pour suggérer un point de rendez-vous et afficher les cartes, votre navigateur interroge directement les services de l'IGN (Géoplateforme : recherche d'adresses et fond de carte), qui reçoivent alors votre adresse IP et le texte saisi.
• Sortie en direct (seulement si vous acceptez de partager votre position : pour une sortie donnée, ou une fois pour toutes les sorties en direct que vous rejoignez ; l'application vous le demande à la première, et le réglage se change dans « Mon profil › Confidentialité ») : votre position, sa précision, votre vitesse, votre cap et l'heure du point, envoyés par l'application pendant la sortie. Seuls les participants de la sortie (« Je viens » ou « Peut-être ») les voient, ainsi que les alertes qui vous concernent (sorti du tracé, loin du groupe, arrêté depuis 5 minutes, position non transmise) ; l'ouvreur, le serre-file et l'organisateur reçoivent ces alertes par notification. Aucun historique de vos trajets n'est conservé : seule votre dernière position est gardée, avec le dernier endroit d'où vous avez bougé (pour détecter un arrêt prolongé). Le site ne fait qu'afficher la carte : le partage se fait depuis l'application.
• Discussions de groupe et de sortie : vos messages, visibles par les membres du groupe (ou, pour une sortie entre amis, par ses participants), et le dernier message que vous avez lu. Un message supprimé (par vous, un admin du groupe, l'organisateur de la sortie ou la modération) perd aussitôt son texte. Les messages arrivent en temps réel par une connexion chiffrée à notre serveur, sans service tiers.
• Mode invité (application) : si vous rejoignez une sortie sans créer de compte, nous gardons votre prénom, un pseudo généré, le jeton de connexion de votre téléphone (et de notification, si vous les autorisez), vos réponses aux sorties et, si vous la partagez, votre position pendant la sortie en direct, comme pour un compte. Ni e-mail ni mot de passe ; personne ne peut vous trouver par votre pseudo. Vous pouvez créer votre compte ensuite sans rien perdre.
• Connexion avec Apple ou Google : nous recevons votre nom, votre prénom et votre adresse e-mail (pour Apple, éventuellement une adresse relais) ; votre pseudo est alors choisi pour vous, et modifiable dans « Mon profil ».
• Invitations par e-mail : l'adresse de la personne que vous invitez, utilisée uniquement pour lui envoyer l'invitation et conservée au plus 14 jours.
• Blocages et signalements : la liste des membres que vous bloquez (visible de vous seul ; la personne bloquée n'est pas prévenue) ; les signalements que vous envoyez (motif, précisions, et ce que montrait le membre ou le groupe signalé à ce moment-là : nom, pseudo, description). La personne ou le groupe signalé ne sait pas qui l'a signalé. Les décisions de modération (retrait d'un contenu, suspension d'un compte) sont conservées avec leur motif.
• Véhicules (si vous les renseignez) : marque, modèle, couleur, année, énergie, puissance et photo. Les photos sont réduites et débarrassées de leurs métadonnées (position GPS, appareil, date de prise de vue) dès leur envoi.
• Notifications de l'application (si vous les autorisez) : identifiant de notification de votre appareil (attribué par Firebase), plateforme (iOS ou Android), nom et version de l'application. Il est supprimé quand vous vous déconnectez de l'appareil, coupez les notifications dans l'application ou supprimez votre compte. Le texte d'une notification se limite à un pseudo et à un nom de groupe. Nous gardons seulement des compteurs quotidiens par type de notification, sans donnée personnelle.
• Sécurité : adresse IP et navigateur lors des connexions, pour limiter les tentatives frauduleuses.
• Mesure d'audience : statistiques de fréquentation du site (sans cookie de mesure) et de l'application (identifiant d'appareil aléatoire), voir la section 4.

3. Cookies

Seuls des cookies strictement nécessaires sont utilisés : le cookie de session, le cookie « Rester connecté » si vous cochez cette option, et un cookie technique temporaire (10 minutes) pendant une connexion avec Apple. La mesure d'audience du site n'utilise aucun cookie : seul un cookie mémorisant votre refus est déposé si vous vous y opposez (voir la section 4). Aucun cookie publicitaire.

4. Mesure d'audience

Pour savoir quelles pages et quels écrans sont consultés et améliorer le service, nous mesurons la fréquentation du site et de l'application avec Matomo, un outil libre que nous hébergeons nous-mêmes, sur nos serveurs (stats.domilien.fr). Dans les deux cas :

• votre adresse IP est anonymisée avant d'être enregistrée ;
• les statistiques ne servent qu'à mesurer la fréquentation et ne sont partagées avec aucun tiers ; aucun suivi publicitaire ;
• elles sont conservées 25 mois, puis supprimées.

Cette mesure respecte les conditions d'exemption de consentement fixées par la CNIL. Vous disposez toutefois d'un droit d'opposition : vous pouvez refuser à tout moment que votre utilisation soit comptabilisée.

Sur le site

Aucun cookie de mesure d'audience n'est déposé et aucun identifiant ne vous est attribué, même lorsque vous êtes connecté à votre compte. Si vous vous opposez à la mesure, un seul cookie est déposé sur itinelia.fr pour mémoriser votre refus (« mtm_consent_removed ») : strictement nécessaire, il est exempté de consentement. Sur certains navigateurs (Safari notamment), ce refus reste mémorisé tant que vous revenez sur le site au moins une fois par semaine ; au-delà, il faut le renouveler. Pour vous opposer à la mesure d'audience du site, utilisez le module ci-dessous.

Dans l'application mobile

L'application utilise un identifiant d'appareil aléatoire, propre à l'application, non publicitaire et renouvelé tous les 13 mois : il ne sert qu'à la mesure d'audience et ne permet aucun suivi publicitaire, ni dans l'application ni ailleurs. Pour vous y opposer, désactivez le réglage « Mesure d'audience » de l'application (Mon compte › Confidentialité), également accessible par le lien « Mesure d'audience » en bas des écrans de connexion. Votre refus s'applique immédiatement.

5. Finalités et base légale

Créer et gérer votre compte, vos groupes, vos amis et vos véhicules, vous authentifier, sécuriser le service et vous envoyer les e-mails liés à votre compte (confirmation d'adresse, réinitialisation du mot de passe) et, si vous les autorisez dans l'application, des notifications (demande d'ami, invitation, demande d'adhésion…), que vous pouvez couper à tout moment dans l'application ou les réglages de votre téléphone. Base légale : l'exécution du contrat (les CGU). Une marque ou un modèle de véhicule absents de notre liste sont vérifiés par notre équipe avant d'être proposés aux autres membres. La modération (blocages, signalements, retrait de contenus, suspension de comptes) protège les membres et répond à nos obligations d'hébergeur : elle repose sur l'exécution du contrat et sur nos obligations légales. La mesure d'audience repose sur notre intérêt légitime à améliorer le site, dans le cadre de l'exemption de consentement de la CNIL. Le partage de votre position pendant une sortie en direct repose sur votre consentement, donné pour une sortie ou une fois pour toutes les sorties que vous rejoignez, et retirable à tout moment (arrêt du partage dans l'application, réglage de votre profil) : il sert à montrer le groupe sur la carte et à prévenir l'ouvreur, le serre-file et l'organisateur en cas d'écart.

6. Destinataires et sous-traitants

Hébergement OVHcloud (France) ; envoi des e-mails Brevo ; Google et Apple uniquement si vous choisissez ces modes de connexion ; notifications de l'application acheminées par Google Firebase Cloud Messaging et, sur iPhone, par le service de notifications d'Apple (transferts encadrés par le cadre de protection des données UE–États-Unis) ; fonds de carte et recherche d'adresses : OpenFreeMap (données OpenStreetMap), la Géoplateforme de l'IGN et, dans l'application iPhone, Apple Plans, qui reçoivent l'adresse IP de l'appareil qui affiche une carte ou cherche une adresse. La mesure d'audience est hébergée par nos soins : aucun tiers n'y a accès. Aucune revente de données.

7. Durée de conservation

Les données du compte (groupes, amis, véhicules et photos compris) sont conservées tant que le compte existe, puis supprimées à sa clôture, sauf obligation légale contraire. Si vous étiez le seul admin d'un groupe, le membre le plus ancien en devient admin. Les sorties, avec leurs réponses et leur tracé, sont supprimées avec le groupe ou par leur organisateur ; une sortie entre amis dont l'organisateur supprime son compte passe à un participant, ou disparaît s'il n'y en a plus. Un compte invité est supprimé automatiquement 30 jours après la date de sa dernière sortie, sauf si vous créez votre compte ; vous pouvez aussi l'effacer à tout moment depuis l'application. Les messages d'une discussion sont conservés tant que le groupe (ou la sortie entre amis) existe ; quand vous supprimez votre compte, le texte de vos messages est effacé. Les invitations par e-mail sont supprimées à leur expiration, au bout de 14 jours. Les signalements traités sont supprimés un an après la décision ; les blocages durent jusqu'à ce que vous débloquiez la personne ou que l'un de vous supprime son compte. Les statistiques d'audience (site et application) sont conservées 25 mois. Votre position pendant une sortie en direct est effacée dès que vous arrêtez de la partager, que vous répondez « Je ne viens pas », que vous quittez le groupe ou que la sortie en direct se termine ou est annulée, et au plus tard 12 heures après son démarrage.

8. Vos droits

Accès, rectification, effacement, portabilité, limitation et opposition (pour la mesure d'audience, directement grâce au module du site ou au réglage de l'application décrits en section 4). Pour les exercer : contact@itinelia.fr. Vous pouvez aussi adresser une réclamation à la CNIL.

9. Évolutions

Avant l'ouverture de chaque nouvelle fonctionnalité (intercom vocal, détection de chute…), cette politique sera complétée et votre consentement vous sera demandé lorsque c'est nécessaire.