Politique de confidentialité

1. Qui est responsable

Le responsable du traitement décrit ici, au sens de l'Art. 4(7) GDPR, est :

Les coordonnées complètes de la société figurent sur la page mentions légales. Il n'y a pas de délégué à la protection des données obligatoire ; écris à l'adresse ci-dessus pour tout ce qui concerne cette page.

2. Ce qui ne quitte jamais ton téléphone

Ce qui suit est conservé dans le stockage propre de l'app sur ton appareil et n'est envoyé nulle part par BikeOtter. Cela ne sort que si tu l'exportes ou le partages toi-même.

• Ta bibliothèque d'itinéraires, sauf si tu actives la synchronisation des itinéraires ou enregistres des itinéraires dans le planificateur d'itinéraires de ce site. Les itinéraires sont des fichiers sur le téléphone : la géométrie plus un index. Partager un itinéraire produit un lien autonome qui transporte l'itinéraire en lui-même ; aucun itinéraire n'est envoyé sur un serveur pour être partagé.
• Tes sorties. Les sorties récupérées depuis le compteur et celles enregistrées par le téléphone sont stockées sur l'appareil sous forme de fichiers FIT et GPX. Elles ne le quittent que si tu les partages ou si tu as activé l'envoi vers Strava.
• La commande vocale. La reconnaissance vocale est configurée pour s'exécuter sur l'appareil, et les commandes sont interprétées d'abord par une grammaire hors ligne puis, si nécessaire, par un modèle embarqué (Apple Foundation Models ou Gemini Nano). Il n'y a délibérément ni reconnaissance vocale ni modèle de langage dans le cloud — aucun audio et aucune transcription ne sont envoyés à un quelconque serveur.
• Tes réglages, règles, lieux enregistrés et la configuration du transfert de notifications — sauf si tu as Plus et que tu actives la sauvegarde des réglages. Une copie de tes réglages et de tes règles (jamais de tes lieux enregistrés) est alors conservée sur nos serveurs pour que tu puisses la restaurer sur un autre téléphone, jusqu'à ce que tu désactives la sauvegarde.
• Les notifications transférées au compteur (Android uniquement). Si tu accordes l'accès aux notifications, l'app lit les notifications du téléphone pour les afficher sur le compteur et les transmet directement en Bluetooth. Leur contenu n'est pas stocké par l'app et n'atteint jamais un serveur.
• Tout ce que l'app fait avec le compteur lui-même — appairage, envoi d'itinéraires, récupération des sorties, alertes à l'écran — passe par une liaison Bluetooth directe entre ton téléphone et ton appareil. Aucun cloud de fabricant ni aucun serveur BikeOtter ne se trouve sur ce chemin.

3. Ton compte

Un compte n'est requis que pour le suivi en direct, les e-mails de notification de sortie, la liaison Strava, la synchronisation des itinéraires (y compris l'enregistrement d'un itinéraire sur ce site) et la sauvegarde des réglages facultative pour les abonnés Plus. Tout le reste fonctionne sans connexion.

Tu peux te connecter de deux façons : un lien magique envoyé à ton adresse e-mail, ou la connexion via Strava. Il n'y a ni mot de passe ni profil. Ce qui est stocké, c'est un enregistrement utilisateur tenu par notre fournisseur backend (Supabase), contenant ton adresse e-mail et les horodatages de connexion, plus — pour la connexion via Strava — l'identifiant d'athlète Strava et le nom affiché.

Ton adresse e-mail sert à t'identifier, et sa partie locale (la partie avant le @) devient le nom de cycliste affiché aux spectateurs d'un lien en direct. Si ton adresse est [email protected], les spectateurs voient jane.doe. Garde-le en tête au moment de choisir l'adresse avec laquelle tu te connectes.

Pour supprimer ton compte et tout ce qui y est rattaché, écris à support@bikeotter.app depuis l'adresse avec laquelle tu te connectes. La suppression du compte est en cascade : les sessions de suivi en direct et leurs points de position, les sorties de groupe, les messages que des spectateurs t'ont envoyés, tes contacts enregistrés et leurs groupes, les enregistrements de notification, la liaison Strava, ta sauvegarde des réglages et tes itinéraires synchronisés partent avec lui. Il n'y a pas encore de bouton en libre-service dans l'app — la page de suppression donne les étapes, la liste complète de ce qui part, et ce qui est conservé ensuite.

La liste de souhaits. Connecté — sur la page de la liste de souhaits ou dans l'app — tu peux proposer une fonction et voter pour celles des autres. Une proposition enregistre son titre, la description que tu donnes et ton compte comme auteur ; un vote enregistre quel compte a voté pour quoi. Tant qu'une proposition n'est pas acceptée, seuls toi et nous la voyons. Si tu coches « Vous pouvez me contacter au sujet de cette idée », nous conservons ce consentement avec la proposition et, quand ton compte n'a pas d'adresse à laquelle nous pouvons écrire (une connexion Strava n'en a pas), l'adresse que tu nous donnes pour cela. Les deux servent uniquement à poser des questions sur cette idée précise ou à y répondre, et aucun des deux n'est jamais affiché publiquement. Nous pouvons aussi te répondre dans ta conversation de support dans l'app, que tu aies coché la case ou non ; comme pour toute réponse du support, un e-mail qui te le signale ne part que si nous avons une vraie adresse pour toi. Une note du développeur sous une proposition est publique, comme la proposition elle-même. Supprimer ton compte supprime tes votes et efface automatiquement le consentement et l'adresse de contact ; une proposition déjà sur la liste y reste, sans plus être liée à toi.

3.1 Sauvegarde des réglages (Plus)

Désactivée par défaut, et seulement si tu l'actives. La sauvegarde des réglages est une fonction de BikeOtter Plus. Rien n'est envoyé tant que, connecté, tu ne l'as pas activée dans Réglages → Sauvegarde des réglages en acceptant ce qu'elle stocke. À partir de là, l'app conserve une copie de tes réglages sur notre backend — Supabase, le même fournisseur et la même région West EU (Ireland) que tout le reste du §10 — pour que, après t'être connecté sur un nouveau téléphone ou un second, tu puisses les restaurer en une seule étape. Tant qu'elle est active, la copie est mise à jour automatiquement quelques secondes après chaque modification d'un réglage, et Sauvegarder maintenant la met à jour à la demande.

Ce que contient la copie :

• tes unités et ta vitesse moyenne de roulage ;
• ton poids ainsi que tes vélos et ta configuration de pneus, utilisés pour le conseil de pression des pneus ;
• ton type de peau, utilisé pour le rappel de crème solaire ;
• tes règles d'alerte — préréglages et règles personnalisées, et lesquelles sont actives ;
• la liste des apps autorisées à transférer des notifications vers le compteur — noms de paquets uniquement, jamais le contenu d'une notification ;
• tes seuils de zones de fréquence cardiaque et de puissance ;
• le traitement par défaut des indications de virage, le tri et le filtre de la bibliothèque d'itinéraires, et le seuil de détour du recalcul vocal ;
• tes préférences d'alertes vocales ;
• les interrupteurs de partage en direct (« partager la vitesse », « partager fréquence cardiaque & puissance », autoriser les messages), ainsi que ceux du passage automatique en direct et de l'envoi des autres cyclistes vers le compteur ;
• les préférences d'envoi automatique vers Strava et de note d'envoi — seulement si elles sont activées, jamais un jeton Strava ;
• si le journal de diagnostic est activé ;
• le modèle de téléphone d'où vient la copie (par exemple « Pixel 8 »), la version de l'app, la date de ton consentement et celle de la dernière mise à jour de la copie.

Ce qu'elle ne contient pas : tes itinéraires, tes sorties, ta position, tes lieux enregistrés, tes entraînements enregistrés, les compteurs ou capteurs que tu as appairés, aucun jeton de compte ou Strava, le contenu d'aucune notification, ni le journal de diagnostic.

Une seule copie par compte. Chaque sauvegarde remplace la précédente ; il n'y a pas d'historique. La base de données ne la laisse lire qu'à ton propre compte — ni aux spectateurs, ni aux autres cyclistes.

La supprimer. Désactiver la sauvegarde des réglages supprime immédiatement la copie de nos serveurs — c'est ainsi que tu retires ton consentement. Supprimer ton compte la supprime aussi. Sinon, elle n'expire pas automatiquement. Si ton abonnement Plus prend fin, aucune nouvelle sauvegarde n'est faite ; la copie existante reste jusqu'à ce que tu désactives la sauvegarde ou supprimes ton compte, et tu peux toujours la désactiver — ce qui la supprime — sans Plus.

Pourquoi le consentement. Le type de peau et le poids peuvent être lus comme des données sur ta santé ; la sauvegarde repose donc sur ton consentement explicite (Art. 6(1)(a) et Art. 9(2)(a) GDPR, voir §13). L'activer, c'est donner ce consentement ; la désactiver, c'est le retirer.

3.2 Synchronisation des itinéraires

Désactivée tant que tu ne l'actives pas. La synchronisation des itinéraires conserve une copie de tes itinéraires dans ton compte BikeOtter, pour que la même bibliothèque apparaisse dans l'app et dans le planificateur d'itinéraires de ce site (bikeotter.app/plan). Dans l'app, rien n'est envoyé tant que tu ne l'as pas activée, connecté, dans Réglages → Synchronisation cloud. Sur le site, un itinéraire est stocké quand tu l'enregistres en étant connecté, et une fois à la connexion : un itinéraire planifié sans être connecté et encore affiché à l'écran est alors enregistré dans ton compte. Sinon, un itinéraire que tu planifies reste dans ton navigateur (voir §8). La copie est conservée par Supabase, dans la même région West EU (Ireland) que tout le reste du §10.

Ce qui est stocké pour chaque itinéraire : l'itinéraire tel que l'app le stocke elle-même, c'est-à-dire le tracé avec son profil d'altitude, les indications de direction et les arrêts (POI) le long du parcours, le revêtement le long du chemin, les arrêts planifiés et le profil de calcul s'il a été planifié, les éventuels intervalles et plan de fréquence cardiaque, son nom, si tu l'as marqué d'une étoile, son réglage des indications de direction, son origine (par exemple planifié, un import GPX ou Strava) et s'il a été créé sur un téléphone ou sur le site, ainsi qu'une empreinte de son contenu pour reconnaître un nouvel import du même fichier. À côté : un court résumé (distance, dénivelé, nombre d'arrêts, point de départ et zone de carte couverte) pour pouvoir lister la bibliothèque sans charger chaque itinéraire, un numéro de révision et des horodatages pour que tes appareils sachent quelle copie est la plus récente et, dès que tu demandes au site d'envoyer un itinéraire à ton compteur, un indicateur qui dit à ton téléphone de le mettre sur le compteur à leur prochaine connexion. Par compte, nous conservons aussi un horodatage : la dernière synchronisation du compte.

Ce qui reste sur le téléphone : à quel compteur un itinéraire a été envoyé et le lien de l'app avec la copie sur cet appareil, les miniatures de carte de ta bibliothèque, et l'itinéraire actif sur ton compteur.

Plus et Free. Avec Plus, toute ta bibliothèque est synchronisée. Sans Plus, jusqu'à 10 itinéraires sont conservés dans le cloud : ceux que tu as créés sur le site et ceux que tu choisis de garder dans le cloud depuis l'app. Notre serveur vérifie si tu as Plus à partir de l'identifiant de ton compte. Si ton abonnement Plus prend fin, rien n'est supprimé : les itinéraires déjà dans le cloud restent, tu peux toujours les ouvrir et les supprimer, et rien n'est ajouté au-delà de 10.

Qui peut les voir. La base de données ne laisse lire tes itinéraires dans le cloud qu'à ton propre compte ; ni spectateurs, ni autres cyclistes. Chaque modification passe par une seule fonction serveur, qui vérifie d'abord qui tu es. Tant que l'app est ouverte, elle écoute les changements de tes itinéraires, pour qu'un itinéraire enregistré sur le site apparaisse aussitôt sur le téléphone.

Combien de temps ils sont conservés. Un itinéraire synchronisé reste jusqu'à ce que tu le supprimes, ou jusqu'à ce que 24 mois se soient écoulés sans aucune synchronisation de ton compte, depuis l'app ou le site ; tous les itinéraires du compte dans le cloud sont alors supprimés, avec l'horodatage de sa dernière synchronisation. Supprimer un itinéraire efface son contenu immédiatement. Il en reste un repère (son identifiant, un numéro de révision, son origine et la date de suppression) pendant 180 jours, pour que tes autres appareils suppriment eux aussi leur copie au lieu de la renvoyer. Désactiver la synchronisation arrête de synchroniser, mais ne supprime pas ce qui est déjà dans le cloud. Pour retirer un itinéraire de nos serveurs, choisis Garder seulement sur ce téléphone sur cet itinéraire dans l'app (il reste sur ton téléphone), ou supprime-le sur le site, ce qui le supprime aussi sur ton téléphone. Supprimer ton compte supprime le tout (voir la page de suppression).

4. Suivi en direct

C'est la seule fonction qui publie où tu es. Elle est inactive tant que tu ne la démarres pas, et elle se termine avec la sortie.

Ce qu'est un lien partagé

Démarrer une sortie en direct crée une session avec un jeton de partage : 20 caractères tirés d'une source aléatoire cryptographique, donnant un lien de la forme bikeotter.app/r/<token>. Quiconque possède ce lien peut regarder, sans compte et sans connexion. Le lien est l'accréditation, traite-le donc comme telle — transmets-le aux personnes que tu veux vraiment voir regarder. Les spectateurs ne voient que ce qui est listé ci-dessous ; ils ne reçoivent jamais ton adresse e-mail, ton identifiant de compte ni le jeton d'une autre session.

Le navigateur d'un spectateur reçoit un jeton d'accès de courte durée, limité à cette seule session et plafonné à six heures. La base de données l'applique colonne par colonne : le propriétaire de la session et son jeton de partage ne sont pas du tout lisibles par les spectateurs.

L'app t'affiche en direct le nombre de personnes qui regardent. Elle ne te dit pas qui elles sont — aucune identité de spectateur n'est collectée.

Ce que contient un point en direct

Des points sont envoyés pendant que tu roules, à un rythme limité par le temps et la distance. Chacun transporte :

Ce que contient la session elle-même

En plus des points : ton nom de cycliste (voir §3), le nom de l'itinéraire, le tracé prévu de l'itinéraire, sa distance totale, les coordonnées de son point de départ, les deux interrupteurs de partage ci-dessus, l'activation ou non des messages, le statut de la session et ses horodatages, et — pour une sortie de groupe — le groupe auquel elle appartient.

Quand elle se termine, et quand elle est supprimée

Une session expire au premier de ces événements, et l'expiration est vérifiée chaque minute :

• l'heure d'expiration fixée quand tu l'as démarrée — six heures par défaut ;
• 45 minutes après le dernier point ou signal keep-alive de l'app, pour qu'une sortie oubliée ne reste pas « en direct » toute la soirée ;
• 60 minutes après sa création, si aucune position n'est jamais arrivée.

La suppression suit ensuite automatiquement :

• L'enregistrement de la session est supprimé 7 jours après sa fin ou son expiration, emportant tout ce qui y est encore rattaché.
• Tes points de position sont supprimés avec lui — les mêmes 7 jours, pas un instant de plus. Ils étaient auparavant purgés après 24 heures, avant la session ; ils sont désormais conservés pendant toute la vie de la session elle-même, pour qu'une sortie dont le compteur a perdu l'enregistrement puisse encore être reconstruite dans l'app à partir de la trace en direct. Rien d'autre n'a changé dans la purge, et la borne extérieure de la durée de conservation d'une sortie partagée reste inchangée à 7 jours.

Les sorties de groupe fonctionnent de la même façon une fois la sortie lancée : un lien de groupe est valable 12 heures à partir du lancement, accueille au plus 10 cyclistes (15 pour une course), et l'enregistrement du groupe est supprimé 7 jours après sa fin. Une sortie planifiée à l'avance, c'est différent : le lien — et les noms de celles et ceux qui ont déjà dit oui — reste ouvert à l'inscription jusqu'à 30 jours avant que quiconque ne parte réellement ; le compte à rebours de 12 heures ne démarre que lorsque le premier cycliste se met en direct. Mettre fin à un partage depuis l'app arrête l'envoi immédiatement ; les purges effacent ensuite les données stockées selon le calendrier ci-dessus.

Une sortie en groupe peut être une course. Le téléphone de chaque coureur enregistre alors aussi ses temps au tour dans un enregistrement à part, avec le nom de la course et le nom du coureur affiché dans la liste. Ces temps au tour peuvent être lus par les coureurs de cette course et — seulement tant que la sortie en groupe existe encore — par toute personne qui en a le lien. Ils sont supprimés 90 jours après leur dernière modification, donc plus tard que la sortie en groupe elle-même, pour que chaque coureur puisse encore consulter les résultats.

5. Messages des spectateurs

Si tu actives les messages, une personne arrivée sur ton lien par l'un de tes e-mails de notification peut t'envoyer de courts messages, qui s'affichent sur ton compteur. Un spectateur ordinaire qui a simplement le lien ne le peut pas — l'envoi exige un jeton propre au contact que seul le lien envoyé par e-mail transporte.

Un message stocke son texte, le contact expéditeur et un horodatage. Les expéditeurs sont limités à trois messages par heure. Les messages sont rattachés à la session et supprimés avec elle — donc dans la même fenêtre de 7 jours qu'au §4. Les messages sont stockés en clair sur le serveur ; ils ne sont pas chiffrés de bout en bout.

6. E-mails de notification de sortie

Tu peux enregistrer des contacts pour que le démarrage d'une sortie en direct leur envoie le lien par e-mail. Rien n'est envoyé sauf si tu choisis un groupe au moment de passer en direct ; choisir « personne pour cette sortie » n'envoie rien.

Ce qui est stocké par contact : l'adresse e-mail (en minuscules), un nom facultatif, un jeton de désabonnement, un jeton de message, et — le cas échéant — la date de son désabonnement ou celle d'un rejet définitif (hard bounce) du courrier qui lui était adressé. Les contacts ne sont visibles que par toi ; la base de données leur refuse entièrement l'accès anonyme.

Ce que l'e-mail contient et révèle : ton nom de cycliste, le nom et la distance de l'itinéraire, le lien de visionnage, la date d'expiration du lien, et un lien de désabonnement. Il est envoyé depuis [email protected] par un Worker Cloudflare pour notre compte, et son Reply-To est réglé sur ta propre adresse e-mail pour qu'un destinataire puisse te répondre directement — ce qui signifie que tes destinataires peuvent voir l'adresse avec laquelle tu te connectes.

L'e-mail d'arrivée (facultatif, et désactivé tant que tu ne le demandes pas) : active « Préviens-les quand tu rentres » pour un groupe de contacts et les personnes à qui le lien de cette sortie a été envoyé — seulement celles-là, et seulement si l'e-mail du lien leur est bien parvenu — reçoivent un court message quand la sortie se termine : que tu as terminé, la distance et le temps de roulage que la sortie a publiés, l'heure de ton retour, et le même lien de visionnage. Sur une sortie avec un itinéraire chargé, tu peux aussi recevoir un avertissement facultatif environ quinze minutes avant l'arrivée estimée. La distance n'y figure que si le partage « Vitesse et distance » était actif pour cette sortie : les chiffres sont relus depuis ce que la sortie a réellement publié, jamais reconstruits depuis l'itinéraire prévu. Une session qui ne fait qu'expirer ou s'interrompre faute de signal n'envoie rien — une expiration n'est pas une arrivée. Aucun des deux messages ne porte le jeton de message, car la sortie est finie.

Limites : au plus un e-mail de chaque type par contact et par sortie — le lien, l'avertissement facultatif et le message d'arrivée (un contact ne peut pas recevoir deux fois le même type pour la même session), au plus 50 membres par groupe, et au plus 200 e-mails de notification par cycliste par tranche glissante de 24 heures.

Se désabonner : chaque e-mail porte un lien de désabonnement en pied de page et les en-têtes standard de désabonnement en un clic, si bien que le bouton « se désabonner » du client mail lui-même fonctionne. Un désabonnement ne demande aucun compte et arrête toute nouvelle notification de sortie vers cette adresse.

Ta responsabilité : quand tu ajoutes l'adresse e-mail de quelqu'un d'autre, tu nous demandes d'écrire à une personne qui n'a jamais eu affaire à nous. N'ajoute que des personnes qui s'attendent à avoir de tes nouvelles. Les contacts n'ont pas d'expiration automatique — ils sont conservés jusqu'à ce que tu supprimes le contact ou ton compte.

Invitations à une course : quand tu prépares une course, tu peux inviter des contacts comme coureurs ou comme spectateurs. Chaque invitation est enregistrée — quel contact, quelle course, coureur ou spectateur, et quand elle a été envoyée — pour que personne ne soit écrit deux fois ; l'enregistrement n'est visible que par toi et il est supprimé avec la sortie en groupe de la course, 7 jours après sa fin. L'invitation part de [email protected] à ton nom, avec un Reply-To réglé sur ta propre adresse e-mail. L'invitation d'un coureur contient ton nom, le nom de la course, l'heure de départ, le nombre de tours et la longueur de la boucle, une image du parcours sur une carte, le lien de la course et une courte description de ce que fait BikeOtter pendant une course ; celle d'un spectateur contient ton nom, le nom et l'heure de départ de la course et le lien pour la suivre. Les deux portent le même lien de désinscription que tous les autres e-mails. On peut inviter au plus 15 coureurs et 30 spectateurs par course, et les invitations comptent dans les mêmes 200 e-mails par période glissante de 24 heures.

7. Strava

La liaison avec Strava est facultative. L'autorisation se fait dans le navigateur de ton système, sur les pages de Strava ; BikeOtter ne voit jamais ton mot de passe Strava.

• Autorisations demandées : read, read_all, activity:read_all et activity:write — de quoi lister et importer tes itinéraires et activités et envoyer des sorties.
• Où vivent les jetons : tes jetons d'accès et de rafraîchissement Strava sont stockés uniquement côté serveur, dans notre backend, et ne sont lisibles par rien d'autre que la fonction serveur qui les utilise. Le téléphone ne détient qu'une valeur de courte durée gardée en mémoire pendant la poignée de main de connexion, jamais écrite sur le disque.
• Ce qui monte : le fichier de la sortie lui-même (un FIT compressé), plus un nom et une description facultatifs, quand tu envoies une sortie.
• Ce qui descend : tes itinéraires et activités Strava, des exports GPX d'itinéraires, et les flux position/altitude/temps d'une activité quand tu l'importes comme itinéraire. Les réponses sont mises en cache pour ton compte et supprimées après 48 heures.
• La déconnexion révoque le jeton chez Strava et supprime la liaison stockée. Tant que tu ne te déconnectes pas, l'enregistrement de liaison persiste — il n'a pas d'expiration automatique.

Ce que Strava fait ensuite de tes données relève de la propre politique de confidentialité de Strava. Strava est une société américaine et son utilisation implique un transfert de données vers les États-Unis.

8. Météo, POI, géocodage, calcul d'itinéraire et cartes

Plusieurs fonctions doivent interroger un service extérieur à propos d'un lieu. Il existe une distinction qui compte dans la manière de l'interroger :

• Via notre backend — les prévisions météo, la recherche de POI, le géocodage, et tout ce qui touche à Strava. Ton téléphone interroge notre fonction serveur. Pour la météo, le géocodage et Strava, la fonction serveur interroge ensuite le service extérieur, qui voit donc les coordonnées ou les termes de recherche, mais pas ton adresse IP. La recherche de POI n'interroge aucun service extérieur : elle répond à partir de notre propre copie des données OpenStreetMap (voir plus bas).
• Directement depuis ton téléphone — le calcul d'itinéraire (BRouter) et les tuiles de carte (le serveur de tuiles OpenStreetMap). Ces services reçoivent la requête de ton appareil : ils voient donc ton adresse IP avec les coordonnées ou la zone de carte que tu regardes, et peuvent la consigner selon leurs propres politiques.
• Via notre proxy de calcul d'itinéraire, depuis le planificateur d'itinéraires de ce site (bikeotter.app/plan). Un navigateur sur ce site ne peut pas interroger BRouter directement : les points que tu places et le profil que tu choisis vont donc à notre propre proxy de calcul d'itinéraire à map.bikeotter.app, un Cloudflare Worker, qui interroge BRouter (brouter.de) et te renvoie la réponse. BRouter voit donc les coordonnées et le profil, mais pas ton adresse IP. Le proxy garde chaque réponse jusqu'à 24 heures, indexée par les points et le profil, pour ne pas demander deux fois le même itinéraire ; il n'utilise ton adresse IP que pour compter les requêtes en vue d'une limite de fréquence, et ne conserve aucune trace de qui a demandé. La recherche de lieux et les noms affichés pour tes étapes passent par la même fonction serveur de géocodage que dans l'app, décrite plus haut.

Planifier sur ce site ne demande aucun compte, et rien de ce que tu planifies n'atteint nos serveurs avant que tu l'enregistres. En dehors des caches de courte durée décrits ici, qui contiennent des lieux et des itinéraires et non des personnes, rien de ce que tu planifies n'arrive dans notre stockage. L'itinéraire que tu traces est conservé uniquement dans ton propre navigateur (voir §15) jusqu'à ce que tu l'exportes en fichier GPX, qui est enregistré sur ton appareil et n'est envoyé nulle part, ou que tu te connectes et l'enregistres, ce qui le range avec tes itinéraires comme décrit au §3.2.

Ta position actuelle, sur ce site, n'est demandée que si tu appuies sur le bouton de position de la carte du planificateur d'itinéraires ou sur « Ajouter ma position », et ton navigateur te demande d'abord ton accord. La position sert dans ton navigateur à centrer la carte ; si tu l'ajoutes, elle devient une étape comme les autres, envoyée pour calculer l'itinéraire comme décrit ci-dessus. Nous ne la conservons pas.

Les arrêts le long de l'itinéraire, sur ce site, ne sont recherchés que si tu es connecté, par la même fonction de recherche de POI que dans l'app, décrite plus haut. La requête contient le tracé de l'itinéraire, les catégories que tu as choisies et l'identifiant de ton compte. Cet identifiant permet à la fonction de vérifier si tu as Plus et de compter les essais gratuits par compte plutôt que par navigateur (voir le paragraphe suivant).

Essais gratuits. La recherche de POI, la météo, la recherche de lieux et l'organisation d'une sortie de groupe sont des fonctions Plus que l'on peut essayer quelques fois sans Plus. Pour compter ces essais, l'app envoie un identifiant aléatoire qu'elle crée sur ton téléphone et conserve dans le stockage sécurisé du téléphone, avec ton identifiant client RevenueCat, pour que notre serveur puisse demander à RevenueCat si tu as Plus (voir §10). Notre serveur garde un petit enregistrement par identifiant et par fonction : combien d'essais ont été utilisés, et quand cela a changé pour la dernière fois. L'identifiant n'est pas lié à ton compte, donc l'enregistrement n'a pas d'expiration automatique et ne peut pas t'être rattaché lorsque tu supprimes ton compte ; il ne dit rien d'autre que le nombre de fois qu'une installation a utilisé une fonction. Sur ce site, le décompte est tenu à la place avec l'identifiant de ton compte, et cet enregistrement est supprimé avec ton compte.

Les réponses météo et géocodage sont mises en cache de notre côté pour que des recherches répétées ne redemandent pas : la météo pendant 2 heures, le géocodage environ une semaine. Les caches sont indexés par lieu, pas par cycliste.

D'où viennent les POI. La recherche de POI répond à partir d'une table de notre propre base de données (Supabase, voir §10) qui contient environ 10 millions de points d'intérêt, comme l'eau potable, la restauration, les toilettes et les magasins de vélo, tirés d'un extrait de toute la base de données OpenStreetMap. Nous la mettons à jour à la main de temps en temps à partir d'un extrait plus récent, sans calendrier fixe ; un lieu ajouté récemment à OpenStreetMap peut donc ne pas encore y figurer. La zone de recherche (un point et un rayon, ou le tracé d'un itinéraire) et les catégories ne vont pas plus loin que notre serveur, et les réponses ne sont pas mises en cache.

9. Le journal de diagnostic

L'app tient un journal technique pour que les problèmes de Bluetooth et de support puissent être signalés.

• Il est activé par défaut. Un cycliste qui rencontre un problème a ainsi un journal à joindre sans avoir eu la prévoyance d'activer l'enregistrement d'abord. Désactive-le à tout moment dans Réglages → Diagnostic.
• Les mots de passe, jetons et clés API sont retirés avant toute écriture — un jeton bearer, une clé API, un jeton de lien magique ou un code OAuth apparaissant n'importe où dans le journal devient un marqueur à sens unique, pas l'accréditation elle-même.
• Il reste sur le téléphone jusqu'à ce que tu le joignes à une demande de support. Deux fichiers en rotation dans le stockage propre de l'app ; rien ne quitte le téléphone avant cela. Il n'y a pas d'étape de rédaction d'e-mail — une demande de support s'envoie depuis l'app elle-même, comme message d'un fil de support en cours (voir le point suivant). Y joindre le journal l'envoie vers un bucket de stockage privé, et cette copie envoyée est supprimée après 180 jours. Tu peux effacer la copie sur le téléphone, ou désactiver la journalisation, à tout moment dans Réglages → Diagnostic.
• Une demande de support est un fil, pas un e-mail ponctuel. Ce que tu écris — avec ou sans journal joint — est stocké comme partie d'une conversation de support en cours, liée à ton compte et à ton adresse e-mail de connexion. Elle est lisible par l'équipe BikeOtter qui répond aux demandes de support, et par personne d'autre. La conversation elle-même est conservée jusqu'à la suppression de ton compte, moment où elle est supprimée avec lui (voir la page de suppression) ; un journal envoyé suit dans tous les cas sa propre horloge de 180 jours, indépendante du compte.
• Une capture d'écran que tu joins toi-même est stockée de la même façon. L'éditeur de support accepte une image par message, choisie par toi dans la photothèque de ton téléphone — jamais lue automatiquement, jamais prise dans ta galerie en arrière-plan. Ce que tu as choisi est envoyé dans un bucket de stockage privé distinct, lisible par les personnes de BikeOtter qui répondent au support et par personne d'autre, et supprimé au bout de 180 jours, sur la même horloge qu'un journal envoyé. Une capture montre ce qui se trouvait à l'écran : regarde-la avant de la joindre ; tu peux la retirer dans l'éditeur jusqu'à l'envoi du message.
• Un avis laissé sans compte est réellement anonyme. Le raccourci Laisser un avis de l'écran d'accueil ne te demande pas de te connecter. Ce qui est stocké, c'est ce que tu as écrit, la version de l'app et la plateforme, un identifiant aléatoire généré sur ton téléphone qui n'existe que pour nous permettre de limiter les abus, et — seulement si tu choisis d'en saisir une — une adresse e-mail pour que nous puissions te répondre. Laisse ce champ vide et nous n'avons aucun moyen de relier le message à toi : ni à un compte, ni à un nom, ni à un appareil que nous pourrions identifier. Il est lisible par l'équipe BikeOtter, et par personne d'autre.
• La conséquence honnête de cet anonymat : si tu n'as laissé aucune adresse, nous ne pouvons pas identifier un avis comme étant le tien, ce qui signifie que nous ne pouvons pas non plus le supprimer sur demande — il n'y a rien à quoi te faire correspondre. Si tu veux cette possibilité, laisse une adresse ou utilise plutôt la conversation de support, qui est liée à ton compte et part avec lui.
• Ce qu'il contient : la version et le build de l'app, le modèle du téléphone, la version du système d'exploitation, la langue et le fuseau horaire, plus une trace technique des connexions aux appareils et des événements de l'app. Les jetons de partage en direct sont tronqués avant d'être écrits. Il peut contenir des coordonnées de position — au moins une fonction liée à l'appareil journalise la latitude et la longitude du cycliste — plus des coordonnées d'itinéraires, des lieux enregistrés et des numéros de série d'appareils. Ce n'est pas caviardé : traite donc un journal de diagnostic comme des données sur toi, et n'en envoie un qu'à quelqu'un de confiance.

10. Les tiers auxquels nous faisons appel

La liste complète des services extérieurs que l'app, le backend et ce site contactent. Il n'y en a pas d'autres, et en particulier il n'y a nulle part dans le produit de service d'analyse, d'attribution, de publicité ou de rapport de plantage.

Les boutiques d'applications sont à part : si tu installes BikeOtter depuis l'App Store d'Apple ou Google Play, les dispositifs propres à cette boutique en matière de compte, d'achat et de rapport de plantage s'appliquent entre toi et elle, et échappent à notre contrôle.

10.1 Shorebird, et pourquoi il contacte un serveur sans demander

BikeOtter est publié via Shorebird, qui nous permet de livrer un correctif du code Dart de l'app à distance, entre deux versions en boutique. C'est le mécanisme derrière un correctif qui arrive sans mise à jour de la boutique.

Ce que tu dois savoir : l'app vérifie au lancement si un correctif existe, automatiquement, et aucun réglage ne permet de désactiver cette vérification. Notre configuration ne désactive pas la vérification automatique, et l'app n'offre aucun moyen de s'y soustraire — la seule façon de l'arrêter est de ne pas lancer l'app. Nous préférons le dire clairement plutôt que l'enterrer.

Nous n'exploitons pas les serveurs de Shorebird et ne pouvons pas observer ce que son module de mise à jour envoie, car ce module est intégré au runtime de l'app plutôt qu'à du code que nous écrivons. Ce qu'une telle vérification implique nécessairement, en revanche, n'est pas une question d'opinion : pour recevoir une réponse, elle doit identifier quelle app demande (notre identifiant d'app Shorebird, qui n'est pas secret et est le même pour chaque installation) et quelle version et quel niveau de correctif sont déjà installés, et — comme toute requête réseau — elle atteint les serveurs de Shorebird depuis ton adresse IP. Pars du principe que Shorebird peut voir au moins cela, et qu'il peut le consigner comme tout hôte consigne les requêtes.

Deux choses que nous n'avons pas pu établir et que nous ne devinerons pas : le contenu exact de cette requête au-delà de ce qui précède, et le pays où se trouvent ses serveurs. Si tu as besoin de l'une ou de l'autre avant d'installer, demande-nous et nous irons chercher la réponse de Shorebird par écrit plutôt que de spéculer ici.

Ce que nous pouvons exclure : la vérification n'est pas liée à ton compte, et BikeOtter fonctionne sans connexion, la requête ne transporte donc aucune identité que nous lui aurions donnée. Un correctif modifie le code de l'app — jamais tes données, tes sorties ou tes itinéraires.

11. Autorisations du téléphone

L'app demande aussi peu que possible, et chaque autorisation sert exactement à une chose.

L'app ne demande ni les photos, ni l'appareil photo, ni la liste de contacts de ton téléphone, ni le calendrier, ni aucun identifiant publicitaire, et elle n'utilise pas l'autorisation de pistage d'Apple parce qu'elle ne piste pas.

12. La conservation en un coup d'œil

Les journaux de serveur et de plateforme tenus par nos hébergeurs (Supabase, Cloudflare) suivent les durées de conservation par défaut de ces fournisseurs et peuvent contenir brièvement des adresses IP, part inévitable du traitement d'une requête.

13. Bases légales

• Art. 6(1)(b) GDPR — exécuter ce que tu as demandé. Te connecter, faire tourner un partage en direct que tu as démarré, envoyer les e-mails de notification que tu as demandés, envoyer une sortie vers un compte Strava que tu as lié, calculer un itinéraire que tu as tracé, conserver les itinéraires que tu as synchronisés ou enregistrés sur ce site, vérifier si tu as Plus et compter tes essais gratuits, et envoyer une demande de support avec le journal de diagnostic joint.
• Art. 9(2)(a) GDPR — consentement explicite pour les données de santé. La fréquence cardiaque et la puissance sont des données de santé. Elles ne sont envoyées que lorsque tu actives « partager fréquence cardiaque & puissance » ; l'interrupteur est désactivé par défaut et le désactiver arrête l'envoi. La cadence est envoyée sous ce même interrupteur. Nous ne prétendons pas que la cadence soit une donnée de santé au sens de l'Art. 9 — c'est une mesure prise sur un capteur de pédalier, pas sur ton corps — mais elle appartient à la même famille et reçoit la même protection plutôt qu'une protection plus faible.
• Art. 6(1)(a) et Art. 9(2)(a) GDPR — consentement explicite, pour la sauvegarde des réglages. Une copie de tes réglages n'est envoyée qu'après que tu as, en tant qu'abonné Plus, activé la sauvegarde des réglages ; elle est désactivée par défaut. Comme la copie contient ton type de peau et ton poids, qui peuvent être lus comme des données de santé, nous traitons son activation comme un consentement explicite au sens de l'Art. 9. La désactiver retire ce consentement et supprime la copie. Voir §3.1.
• Art. 6(1)(a) GDPR (et, pour ce que le lecteur stocke dans ton navigateur, § 25(1) TDDDG) — consentement, pour les vidéos de la page d'accueil. Appuyer sur lecture est la demande de charger le lecteur de YouTube, et rien de YouTube ne se charge avant. Tu le retires simplement en n'appuyant plus sur lecture : quitter ou recharger la page supprime le lecteur.
• § 25(2) No. 2 TDDDG — stockage strictement nécessaire dans ton navigateur, pour les quelques entrées que ce site conserve dans le stockage local de ton navigateur : la langue et le thème que tu as choisis, ce que la démo laisse derrière elle, une connexion à la liste de souhaits ou au planificateur d'itinéraires (avec son code à usage unique pour Strava), et l'itinéraire que tu traces dans le planificateur d'itinéraires, avec lequel de tes itinéraires enregistrés il s'agit. Le §15 les liste une par une. Aucun consentement n'est nécessaire pour celles-ci, et aucun n'est demandé.
• Art. 6(1)(f) GDPR — intérêts légitimes à maintenir le service en état de marche et à l'abri des abus : limites de débit, garde-fous « un e-mail par contact et par sortie », gestion des rejets, la journalisation minimale des requêtes effectuée par nos hébergeurs, et la journalisation de diagnostic sur l'appareil par défaut pour qu'une demande de support puisse en inclure un — tu peux la désactiver à tout moment dans Réglages → Diagnostic.

Retirer ton consentement est toujours possible et prend effet pour l'avenir : mets fin au partage, désactive l'interrupteur fréquence cardiaque/puissance, désactive le journal, déconnecte Strava, supprime le contact, désactive la sauvegarde des réglages, supprime un itinéraire synchronisé ou garde-le seulement sur ton téléphone.

14. Tes droits

Au titre du GDPR, tu as le droit d'accéder à tes données (Art. 15), de les faire rectifier (Art. 16) ou effacer (Art. 17), de limiter le traitement (Art. 18), de les recevoir sous une forme portable (Art. 20), et de t'opposer au traitement fondé sur des intérêts légitimes (Art. 21). Là où le traitement repose sur le consentement, tu peux le retirer à tout moment.

Écris à support@bikeotter.app et nous nous en occuperons. Tu peux aussi faire une bonne partie toi-même dans l'app : mettre fin à un partage, supprimer un contact, déconnecter Strava, effacer le journal de diagnostic, désactiver la sauvegarde des réglages (ce qui supprime la copie sur nos serveurs), supprimer un itinéraire synchronisé ou le garder seulement sur ton téléphone.

L'effacement (Art. 17) a sa propre page, parce qu'il mérite le détail : comment supprimer ton compte — les étapes, ce qui est effacé avec lui, ce qui est conservé ensuite et pour combien de temps.

Si tu penses que nous nous trompons, tu peux adresser une réclamation à une autorité de contrôle de la protection des données — dans l'UE, celle de ton lieu de résidence, de ton lieu de travail ou du lieu de la violation alléguée (Art. 77 GDPR).

15. Ce site web

bikeotter.app est un ensemble de pages statiques hébergées chez Cloudflare. Il ne pose aucun cookie et n'exécute aucun outil d'analyse. Il conserve en revanche quelques petites entrées dans le stockage local de ton navigateur, chacune écrite en raison d'un choix que tu as fait ou d'une fonction que tu as utilisée. Toutes sauf deux ne quittent jamais ton navigateur : elles sont lues par la page elle-même et par rien d'autre — ni par nous, ni par qui que ce soit. Les deux qui le quittent n'existent que si tu te connectes, sur la page de la liste de souhaits ou dans le planificateur d'itinéraires : elles sont envoyées à notre backend, parce que c'est ainsi que fonctionne la connexion. La liste complète :

Pour les supprimer, efface les données de ce site dans ton navigateur — dans la plupart des navigateurs via l'icône à gauche de la barre d'adresse, ou dans les réglages des cookies et données de site. Une fenêtre de navigation privée démarre sans aucune d'entre elles et les oublie quand tu la fermes. Si ton navigateur bloque les données de site, les pages fonctionnent quand même : elles suivent la langue et le thème de ton système, et ne peuvent simplement pas retenir un choix.

Pourquoi on ne te demande pas d'abord. Stocker et lire ces entrées ne demande aucun consentement au titre du § 25(2) No. 2 TDDDG, car chacune est strictement nécessaire à quelque chose que tu as demandé à ce site : des pages dans ta langue et dans le thème que tu as choisi, la démo que tu as ouverte, l'itinéraire que tu planifies, et le fait de rester connecté sur la liste de souhaits ou dans le planificateur d'itinéraires. La session de connexion est une donnée personnelle, et pour elle la base est l'Art. 6(1)(b) GDPR (§13). Il n'y a rien d'autre ici qui appelle un consentement, c'est pourquoi on ne t'en demande pas. La seule exception est une vidéo de la page d'accueil, décrite plus bas : appuyer sur son bouton de lecture vaut consentement.

Chaque ressource dont une page a besoin ici est servie depuis ce site. Les polices (Archivo et Geist Mono) sont hébergées par nous plutôt que récupérées depuis un CDN de polices, précisément pour que lire une page ne remette pas ton adresse IP à un tiers. Il n'y a ni gestionnaire de balises, ni widget de partage, ni service de polices web, ni lecteur vidéo tant que tu n'en demandes pas. La seule partie qui voit nécessairement ta requête est Cloudflare, qui héberge les pages — inévitable, puisqu'il faut bien que quelque chose les serve.

Les vidéos de la page d'accueil sont la seule exception, et seulement quand tu appuies sur lecture. La page d'accueil montre deux vidéos BikeOtter hébergées sur YouTube. Avec la page ne se chargent qu'une image d'aperçu et un bouton de lecture, tous deux servis par ce site ; aucune requête ne part vers YouTube ou Google avant que tu appuies sur lecture. Appuyer sur lecture remplace l'aperçu par le lecteur de YouTube, chargé depuis youtube-nocookie.com — le mode de confidentialité renforcée de YouTube, exploité par Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. À partir de ce moment, ton navigateur communique directement avec Google : Google reçoit ton adresse IP, l'adresse de la page et les informations habituelles du navigateur, et pendant la lecture le lecteur peut stocker des identifiants dans ton navigateur et envoyer à Google des informations sur la lecture, que Google peut aussi traiter aux États-Unis (Google LLC est certifiée au titre du cadre de protection des données UE–États-Unis). Le mode de confidentialité renforcée signifie que YouTube n'utilise pas le fait que tu regardes une vidéo intégrée pour personnaliser ce qu'il te montre ailleurs sur YouTube — mais il n'est pas anonyme. Nous ne recevons rien de tout cela. La politique de confidentialité de Google s'applique : policies.google.com/privacy. Si tu n'appuies pas sur lecture, rien de tout cela n'arrive. Le lien « Voir sur YouTube » sous chaque vidéo l'ouvre plutôt sur youtube.com, où les conditions habituelles de YouTube s'appliquent.

La page de visionnage du suivi en direct à bikeotter.app/r/… et celle des groupes à /g/… chargent en plus les données de la sortie partagée depuis notre backend et les tuiles de carte depuis OpenStreetMap. Ouvrir un lien de visionnage ne garde délibérément aucune session dans ton navigateur : le jeton d'accès utilisé est tenu en mémoire pour cette seule visite et n'est pas persisté. Les spectateurs sont comptés, pas identifiés.

Le planificateur d'itinéraires à bikeotter.app/plan charge en plus sa carte depuis notre propre serveur de cartes à map.bikeotter.app, et envoie les points que tu places à notre proxy de calcul d'itinéraire et ce que tu tapes dans son champ de recherche à notre fonction de géocodage, comme décrit au §8. Il fonctionne sans compte et ne stocke rien sur nos serveurs, sauf si tu te connectes et enregistres un itinéraire (§3.2). Une fois connecté, il charge aussi tes itinéraires enregistrés depuis notre backend et cherche des arrêts le long de l'itinéraire via notre fonction de recherche de POI (§8).

Les liens de visionnage sont exclus des moteurs de recherche par robots.txt, et chacun porte une instruction noindex, pour qu'une sortie partagée n'ait pas vocation à apparaître dans les résultats de recherche.

16. Enfants

BikeOtter ne s'adresse pas aux enfants et n'est pas destiné aux moins de 16 ans. Nous ne collectons pas sciemment de données d'enfants. Si tu penses qu'un enfant a utilisé l'app avec un compte, écris-nous et nous le supprimerons.

17. Modifications

L'app est jeune et change encore. Si ce qu'elle collecte change, cette page change avec elle, et la version et la date en haut avancent. Les changements substantiels seront signalés dans l'app plutôt que glissés en douce.

18. Contact

Questions, demandes, ou une correction à apporter à cette page : support@bikeotter.app.

Voir aussi les conditions d'utilisation et l'avertissement de sécurité et les mentions légales.