Confidentialité

Déclaration de protection des données

Ce que GeoQuestly fait de vos données — sur ce site et dans l’application — rédigé à partir de ce que le logiciel fait réellement.

Version 1.13 · 21 octobre 2026

Qui nous sommes et ce que couvre ce document

GeoQuestly est une application sociale géolocalisée de Mandrill Software GmbH. La présente déclaration couvre ce site web et l’application GeoQuestly, car pour la personne qui les utilise il s’agit d’un seul service.

En bref : le partage de votre position est désactivé tant que vous ne l’activez pas, vous décidez qui vous voit et avec quelle précision, et vous pouvez arrêter à tout moment. Suivre quelqu’un n’équivaut pas à voir où cette personne se trouve — ce sont deux choses distinctes dans GeoQuestly, et elles l’ont toujours été.

Nous ne vendons pas de données personnelles, nous ne diffusons aucune publicité et il n’y a aucun suivi à travers d’autres sites ou applications. Tout ce qui suit a été rédigé à partir du code source et de la configuration du produit, et non à partir de ce que contient habituellement une déclaration de confidentialité.

Conditions d’utilisation

À qui GeoQuestly s’adresse

GeoQuestly s’adresse aux personnes de 16 ans et plus. Il n’est pas conçu pour les enfants, nous ne demandons ni ne conservons aucune date de naissance, et nous ne traitons sciemment aucune donnée de personnes plus jeunes.

Les conditions d’utilisation posent le même âge minimal comme condition pour détenir un compte. Si vous pensez qu’un compte appartient à une personne de moins de 16 ans, écrivez-nous : nous vérifierons.

Lorsque vous créez votre compte, vous confirmez dans l’application que vous avez au moins 16 ans et que vous acceptez les conditions d’utilisation ; un compte qui existe déjà le confirme une fois au prochain démarrage. Nous ne conservons pour cela que la version des conditions d’utilisation que vous avez confirmée et sa date — ni âge ni date de naissance. Si vous supprimez votre compte, cette information est supprimée aussi.

Ce site web

Le site est constitué de pages générées à l’avance et servies par un serveur web. Il n’y a ni compte, ni formulaire de contact, ni fonction de commentaire, ni boutique.

Il ne dépose aucun cookie. Il ne contient ni publicité ni bouton de réseau social, et il ne charge aucune police, aucun script et aucune image provenant d’un tiers — tout provient de l’adresse que vous êtes en train de lire, y compris les deux services décrits plus bas, que le site n’atteint que par cette adresse.

Il enregistre au plus deux choses dans votre navigateur, chacune seulement après que vous avez vous-même fait un choix :

geoquestly.locale, un code de langue à deux lettres tel que « de », écrit lorsque vous choisissez une langue dans le menu des langues, pour que vous n’ayez pas à la choisir à chaque visite,
geoquestly.visitorCounting.v1, votre réponse à la question de savoir si nous pouvons compter vos visites — « granted » ou « denied » — et la date de cette réponse, écrites lorsque vous répondez ; au bout de douze mois, le site vous pose à nouveau la question,
aucune des deux ne nous est jamais transmise, et aucune ne contient d’identifiant,
effacer les données de site de votre navigateur les supprime toutes les deux ; le site suit alors à nouveau la langue de votre navigateur et pose à nouveau sa question.

Les données techniques de connexion — votre adresse IP, l’heure, la page demandée — sont nécessairement traitées par notre hébergeur pour vous livrer la page. Nous n’avons activé aucune journalisation pour le site.

Nous comptons les pages vues avec PostHog, un service d’analyse de produit dont les données sont stockées à Francfort (Allemagne). Tant que vous ne nous autorisez pas à compter vos visites, une page vue comprend l’adresse de la page sans ce qui suit un point d’interrogation, sa langue et l’heure — ni page de provenance, ni taille d’écran, ni information sur le navigateur ou l’appareil, ni identifiant vous concernant. Elle parvient à PostHog par notre propre serveur, qui ne transmet ni votre adresse IP ni rien d’autre concernant votre navigateur. Toutes ces pages vues portent la même marque fixe : PostHog les compte donc comme des pages vues, jamais comme des visiteurs.

Si vous nous autorisez à compter vos visites, vos pages vues parviennent à PostHog par une seconde voie de notre propre serveur, qui transmet, en plus de la page vue, exactement deux choses : votre adresse IP et les informations de votre navigateur (user agent). PostHog les utilise, avec l’adresse du site et une valeur aléatoire qui change chaque jour, uniquement pour en former un identifiant qui ne peut pas être inversé ; PostHog supprime cette valeur une fois les pages vues du jour traitées et n’enregistre pas votre adresse IP. Il n’y a toujours pas de cookie, et rien n’est enregistré dans votre navigateur à cet effet. Comme l’identifiant change chaque jour, chaque jour compte comme une nouvelle visite. Une page vue ainsi comptée indique en outre d’où vient votre visite : uniquement le domaine de la page qui a renvoyé vers la nôtre (par exemple news.example.ch — jamais son adresse complète) et, si le lien les contenait, les trois valeurs de campagne utm_source, utm_medium et utm_campaign. Sans votre autorisation, rien de cela n’est transmis.

Nous posons la question au moyen d’une petite barre en bas de la page, et autoriser est aussi simple que refuser. Votre réponse est mémorisée dans votre navigateur (voir ci-dessus). Vous pouvez la modifier à tout moment sous « Paramètres de confidentialité » en bas de chaque page ; la modification s’applique dès la page vue suivante.

Si le code du site échoue dans votre navigateur, le site signale l’erreur à Sentry, un service de surveillance des erreurs dont les données sont également stockées à Francfort (Allemagne) : l’erreur et l’endroit du code où elle s’est produite, ainsi que l’adresse de la page sans ce qui suit un point d’interrogation. Ce signalement passe lui aussi par notre propre serveur et — quelle que soit votre réponse ci-dessus — ne contient ni adresse IP, ni cookie, ni rien qui vous identifie.

PostHog conserve les pages vues un an avec son offre gratuite et sept ans avec une offre payante ; une durée plus courte ne peut pas être définie. Sentry conserve les signalements d’erreurs 30 jours avec son offre gratuite et 90 jours avec une offre payante. Aucun des deux ne peut rattacher ce qu’il conserve à une personne.

Votre compte

La connexion passe par Microsoft Entra External ID, un service d’identité de Microsoft. Vos identifiants y sont traités ; GeoQuestly ne voit jamais votre mot de passe.

Ce que la base de données de GeoQuestly contient au sujet de votre compte :

un identifiant d’utilisateur GeoQuestly, votre nom affiché et votre handle,
les identifiants qui relient votre compte à l’annuaire qui vous authentifie,
l’état de votre compte et les dates de ses changements — activé, désactivé, suppression demandée,
vos appareils : un identifiant d’installation, la plateforme, un nom d’appareil facultatif, la version de l’application et la date de dernière activité,
la version des conditions d’utilisation que vous avez confirmée — avec votre confirmation d’avoir au moins 16 ans — et sa date.

GeoQuestly n’enregistre pas votre adresse e-mail. Elle existe dans l’annuaire Microsoft qui vous authentifie ; l’application ne la lit pas dans le jeton de connexion et ne la conserve pas.

La photo de profil que vous téléversez est conservée dans notre stockage de médias sous votre identifiant d’utilisateur, et elle est remplacée ou supprimée lorsque vous la modifiez ou la supprimez.

Ce que vous écrivez et partagez

Les publications, les messages de discussion, les discussions de groupe et les médias qui y sont joints sont conservés afin que les personnes concernées puissent les voir :

le texte des publications et des messages,
les images et autres médias que vous joignez,
les réactions, les mots-clés et les mentions,
les conversations que vous avez lues.

Le texte des messages et des publications est chiffré là où il est conservé et n’est donc pas lisible dans la base de données elle-même.

Si vous joignez délibérément un lieu à une publication ou à un message, ce lieu fait partie du contenu publié et est visible par toutes les personnes qui voient la publication. C’est une décision distincte du partage de position en direct, dont traite la section suivante.

Une vidéo ou un document que vous joignez est conservé tel que vous l’avez choisi : GeoQuestly ne le convertit pas, ne le lit pas et n’en retire rien. Ce que le fichier contient — le lieu et l’heure d’un enregistrement vidéo, le nom d’auteur enregistré dans un document — parvient donc avec lui aux personnes à qui vous l’envoyez. Une photo est différente : elle est réencodée sur votre appareil avant l’envoi, ce qui supprime ces données.

Vous pouvez supprimer à tout moment une publication dont vous êtes l’auteur. Les personnes qui ont sur la plateforme le rôle Modérateur, Admin ou SuperAdmin peuvent supprimer n’importe quelle publication ; un rôle dans un groupe ne le permet pas. Une suppression retire le texte, les images et les vidéos avec leurs fichiers enregistrés, le lieu joint, les réactions, les mots-clés et les mentions, et elle est définitive. Les réponses d’autres personnes restent, sous « Publication supprimée ». Chaque suppression est consignée en interne : qui l’a effectuée, et s’il s’agissait d’une modération.

Dans les chats, les membres voient si et quand un message qu’ils ont envoyé est arrivé chez les autres (« Distribué ») et si et quand il a été lu (« Lu ») — dans un chat à deux pour l’autre personne, dans un chat de groupe pour les membres qui l’ont reçu. Les autres voient la même chose pour les messages qu’ils vous envoient. Dans les paramètres, vous pouvez désactiver « Confirmations de lecture » : personne ne voit alors quand vous avez lu un message, et vous ne le voyez pas non plus chez les autres ; « Distribué » reste visible. Le moment exact où un message a été distribué ou lu est conservé tant que le chat existe et que vous en faites partie ; il est supprimé lorsque vous quittez le groupe ou en êtes retiré, lorsque le chat est supprimé, et avec votre compte.

Position

Le partage de position est désactivé tant que vous ne l’activez pas. Auparavant, rien concernant votre position n’est partagé, conservé ni montré à qui que ce soit.

Lorsque vous l’activez, quatre choses vous appartiennent : s’il est actif, pour combien de temps, qui peut vous voir — les groupes que vous cochez et vos réglages pour vos amis — et avec quelle précision, de votre position exacte à une zone approximative, jusqu’à rien du tout.

La précision réellement reçue par une personne est la plus faible de trois limites : la précision que votre appareil était autorisé à mesurer, la limite que vous avez fixée, et ce à quoi cette personne a droit. Un destinataire ne peut jamais l’augmenter. Une application d’IA que le destinataire a connectée à GeoQuestly ne reçoit elle aussi votre position qu’avec la précision avec laquelle vous la partagez avec cette personne (voir « Les applications d’IA que vous connectez à GeoQuestly »).

Suivre quelqu’un ne permet pas de voir où cette personne se trouve. Le partage de position est une décision propre à la personne concernée, et le fait d’être suivi n’en a jamais fait partie.

Si vous l’autorisez, l’application peut recevoir des positions lorsqu’elle est en arrière-plan ou que votre écran est éteint. C’est ce qui permet au partage de continuer de fonctionner quand vous rangez votre téléphone dans votre poche, et iOS comme Android vous indiquent que cela se produit. Vous pouvez retirer l’autorisation à tout moment dans les réglages de votre appareil, et vous pouvez désactiver le partage dans l’application sans toucher à l’autorisation.

Pendant que vous partagez, voici ce qui existe :

votre position partagée actuelle, dans un cache de courte durée qui expire après environ 30 minutes et que chaque nouvelle position remplace,
un point de repère de votre dernière position partagée sur votre enregistrement de partage, écrit au plus une fois toutes les quelques minutes, afin qu’un destinataire voie encore quelque chose si le cache est perdu,
le public et la durée que vous avez choisis,
si l’application est actuellement ouverte, information qui expire d’elle-même peu après,
si vous êtes en mouvement, qui est un état de courte durée et non un itinéraire.

GeoQuestly ne conserve pas d’historique de position. Il n’y a ni trace, ni table des positions passées, ni enregistrement des lieux où vous êtes allé : il y a votre dernière position tant que vous partagez, et le point de repère porte l’heure de sa mesure réelle, de sorte qu’une position vieille de vingt minutes l’indique au lieu de se faire passer pour actuelle.

Lorsque vous désactivez le partage, ou que la durée choisie s’achève, l’interrupteur, le public et le point de repère enregistré sont effacés ensemble en une seule opération, et la copie de courte durée expire d’elle-même.

Tant que le partage est actif, votre téléphone conserve lui-même au plus UNE position qui ne nous est pas encore parvenue — la plus récente — afin qu’un instant sans réseau ne vous fasse pas disparaître. Elle reste sur votre appareil uniquement, elle n’est jamais un trajet, chaque position plus récente la remplace, et elle est supprimée dès que vous désactivez le partage. Cela ne change rien à ce que nous conservons : toujours votre dernière position, et rien d’autre.

L’itinéraire que votre carte affiche reste en place jusqu’à ce que vous le fermiez ou qu’un nouvel itinéraire le remplace — même lorsque vous fermez l’application. Il est enregistré uniquement sur votre appareil et lié à votre compte : lorsque vous vous déconnectez ou changez de compte, il est supprimé, et un autre compte sur le même téléphone ne le voit pas. Il n’est jamais envoyé aux serveurs de GeoQuestly ; son départ et son arrivée n’y parviennent que lorsque vous calculez ou recalculez un itinéraire. Il ne s’agit toujours que de cet unique itinéraire, jamais d’un historique de vos déplacements.

Alertes d’arrivée et de départ

Un lieu dans GeoQuestly peut avertir quelqu’un lorsqu’une personne y arrive ou en repart. Il en existe deux sortes : une alerte que les responsables d’un groupe configurent pour ce groupe, et une alerte personnelle que vous définissez pour vous-même.

Les deux sont calculées à partir d’une position que vous partagez déjà. Il n’y a ni localisation séparée, ni seconde autorisation, ni collecte supplémentaire : si vous ne partagez pas votre position avec le groupe ou la personne concernée, rien n’est évalué. Le partage est l’autorisation.

Une alerte de groupe avertit les personnes que la configuration du groupe désigne ; une alerte personnelle ne prévient que vous. Les enregistrements des arrivées et des départs qu’elles produisent sont conservés pendant une durée limitée — actuellement sept jours — puis supprimés automatiquement.

Notifications push

Si vous autorisez les notifications, votre appareil fournit à l’application une adresse de livraison. Nous conservons :

le jeton push délivré par Apple ou Google, qui est une adresse de livraison et change avec le temps,
un identifiant d’installation, la plateforme et la langue de l’application, pour que la notification arrive dans la bonne langue sur le bon appareil,
la date de dernière activité de l’appareil.

La livraison passe par Azure Notification Hubs, qui transmet les notifications à Apple ou à Google. Le destinataire d’une notification est déterminé au moment de l’envoi à partir de notre propre base de données, jamais par le service de notification. Une notification indique à l’application où regarder ; l’application charge ensuite le contenu elle-même, avec votre session et vos autorisations.

L’IA dans GeoQuestly

GeoQuestly propose des fonctions d’IA que toute personne disposant d’un compte peut utiliser : elles rédigent un groupe ou les événements d’un programme, répondent dans un chat de groupe quand quelqu’un écrit @geoquestly, proposent des modifications aux admins et aux modérateurs d’un groupe sous « Modifier avec l’IA » et dessinent une image d’après une description. Chaque demande est lancée par une personne, et elle lui coûte des crédits (voir « Crédits et achats intégrés »).

La demande va à Anthropic ou à OpenAI aux États-Unis, une image toujours à OpenAI. C’est GeoQuestly qui détermine quel fournisseur et quel modèle répondent, pas la personne qui demande. Le fournisseur reçoit :

pour un brouillon : la consigne écrite, la région indiquée, la langue et un éventuel document joint — un PDF, une image, une page,
pour @geoquestly dans un chat de groupe : la question ; le nom et la description du groupe, jusqu’à 40 de ses lieux et jusqu’à 20 de ses événements — aucun lieu caché et aucune surprise avant sa révélation ; les douze derniers messages du chat, leur texte seulement, chacun avec le nom affiché de la personne qui l’a écrit ; et, seulement tant que la personne qui demande partage sa position et que celle-ci date d’une heure au plus, le secteur où elle se trouve — une zone d’environ 350 mètres, jamais sa position exacte,
pour « Modifier avec l’IA » : la même chose, mais sans messages de chat ni noms,
pour une image : la description, rien d’autre.

N’y figurent ni les données de compte, ni les handles, ni les listes de membres, ni les pièces jointes, ni la position de qui que ce soit d’autre. Si vous écrivez dans un chat de groupe, sachez-le : lorsque quelqu’un y interroge @geoquestly, les derniers messages partent avec les noms affichés. La demande peut inclure une recherche sur le web effectuée par le fournisseur. GeoQuestly vérifie ensuite lui-même les lieux proposés auprès de sources de données cartographiques et calcule les chemins avec OpenRouteService ; ce qui leur parvient, ce sont les noms et la position de lieux, rien sur vous.

L’IA n’applique rien d’elle-même. Une personne ouvre un brouillon dans l’éditeur habituel et décide de ce qui est enregistré ; une proposition venant du chat ou de « Modifier avec l’IA » est appliquée par un admin ou un modérateur du groupe, le nom et la description du groupe seulement par un admin. La réponse dans un chat de groupe est un message que tous les membres lisent ; elle est stockée chiffrée comme tout message de chat et reste tant que le chat existe.

Ce que quelqu’un a écrit à l’IA — une consigne, une question, la description d’une image — et ce qu’elle a répondu ou proposé, GeoQuestly le conserve comme trace de la demande, avec le fournisseur, le modèle et la consommation. Cette trace est supprimée lorsque vous supprimez votre compte ou lorsque le groupe auquel elle appartient est supprimé. Ce que vous avez écrit dans la proposition IA d’une autre personne y reste, comme vos messages dans un chat de groupe — attribué à une personne supprimée.

Les documents joints sont supprimés automatiquement lorsqu’ils ne sont pas utilisés — actuellement après 48 heures, après 6 heures pour une demande sans brouillon — ainsi qu’avec le compte. Les brouillons restent, même enregistrés ou abandonnés, jusqu’à ce que vous supprimiez votre compte ou que soit supprimé le groupe issu d’un brouillon ou pour lequel il a été fait ; seul un brouillon d’événement que vous abandonnez est supprimé aussitôt. Une image dessinée qui n’est pas utilisée reste 24 heures. Une application d’IA que vous connectez vous-même à votre compte est autre chose — ce qu’elle peut lire est décrit dans la section suivante.

Les applications d’IA que vous connectez à GeoQuestly

Vous pouvez connecter à votre compte GeoQuestly une application d’IA que vous utilisez vous-même — par exemple Claude d’Anthropic (l’application Claude ou Claude Code) ou ChatGPT d’OpenAI. Pour cela, vous vous connectez à votre compte GeoQuestly depuis l’application d’IA : c’est cette connexion qui la relie, et GeoQuestly ne vous demande pas d’autorisation séparée. Dès lors, elle peut lire et agir dans GeoQuestly lorsque vous le lui demandez — en votre nom, avec exactement vos droits dans l’application, et pas davantage. Tant que vous n’en connectez aucune, rien de tout cela ne se produit.

Ce qu’elle peut lire, c’est ce que vous voyez dans l’application :

votre profil, vos amies et amis et vos demandes d’amitié, vos groupes avec leurs membres, invitations et lieux, les événements (une surprise reste une surprise), les publications, et vos conversations avec leurs messages, ainsi que toute personne que vous recherchez par son nom ou son identifiant — avec son nom et son identifiant, tels que la recherche de l’application les affiche,
où se trouvent vos amies et amis — seulement s’ils partagent leur position avec vous, et seulement avec la précision choisie : exacte ou sous forme de zone approximative, avec le moment de la dernière mise à jour et l’adresse correspondante,
si vos amies et amis sont en ligne ou en déplacement — tel que chacun le rend visible sous « Qui voit votre statut », même s’ils ne partagent pas leur position avec vous : un statut ne dit rien de l’endroit où se trouve quelqu’un,
les positions partagées dans un groupe dont vous êtes membre, et votre propre position partagée.

Ce qu’elle peut faire, lorsque vous le lui demandez, c’est ce que vous pouvez faire dans l’application : répondre aux invitations et aux demandes d’amitié, envoyer des messages dans des groupes et à des amis, rédiger des publications, créer des événements dans vos groupes, créer des groupes et les rejoindre, et modifier votre partage de position — selon les règles de l’application, et les autres le voient comme si vous l’aviez fait dans l’application. Les images, vidéos et documents, la modification et la suppression ainsi que l’administration n’y sont pas disponibles. Un message à @geoquestly qu’une application d’IA envoie pour vous ne lance pas l’IA de GeoQuestly et ne coûte aucun crédit.

Ce que l’application d’IA lit ainsi est reçu par son fournisseur — Anthropic pour Claude, OpenAI pour ChatGPT, tous deux aux États-Unis —, qui le traite selon les conditions que vous avez conclues avec lui et peut le conserver selon ces conditions. GeoQuestly n’a aucune influence sur ce point, et ce que vous supprimez dans GeoQuestly ne supprime pas ce que le fournisseur a déjà reçu. Cela se fait sur votre instruction : GeoQuestly n’envoie rien de sa propre initiative à une application d’IA, et son fournisseur ne traite pas les données pour notre compte. Vous pouvez interrompre la connexion à tout moment dans les paramètres de l’application d’IA. GeoQuestly propose ces deux applications d’IA. Si vous connectez à la place un autre outil sur votre propre ordinateur — par exemple VS Code —, c’est votre propre outil : ce qu’il lit va là où vous le laissez l’envoyer.

Si vous partagez votre position avec une amie ou un ami : si cette personne a connecté une application d’IA, celle-ci peut lire votre position exactement comme vous la partagez avec cette personne — exacte si vous la partagez exactement, sinon seulement la zone approximative — et elle parvient alors au fournisseur de cette application d’IA. Rien de plus, et rien que vous ne montriez pas à cette personne. Il en va de même pour les publications et les messages que vous montrez ou écrivez à d’autres : leur application d’IA lit ce qu’ils voient. Qui vous voit et avec quelle précision reste votre décision, et désactiver le partage s’applique à une application d’IA dès sa prochaine requête.

Le serveur par lequel les applications d’IA se connectent ne conserve rien en propre : ce qu’une application d’IA écrit pour vous est enregistré comme dans l’application. Il journalise quelle fonction a été appelée et quand, avec quel résultat et en combien de temps, sous une empreinte raccourcie de l’identifiant de votre compte — sans contenu, sans texte de message, sans coordonnées et sans adresse.

Crédits et achats intégrés

GeoQuestly décompte certaines fonctions payantes — l’assistant est la première — en crédits. Les crédits sont des unités propres à GeoQuestly : ce n’est pas de l’argent, ils n’ont pas de valeur monétaire, ne sont pas transférables et ne sont pas remboursés en espèces. Ce que GeoQuestly conserve à leur sujet est un solde et un journal de chacune de ses variations — crédits ajoutés, utilisés, ajustés ou repris — rattaché à votre identifiant d’utilisateur, avec le montant, la nature de la variation et la date. Pour une exécution payante de l’assistant, le journal note aussi quelle tarification s’appliquait et les décomptes d’utilisation à partir desquels le débit a été calculé ; jamais le brief, le document ou la réponse.

Les crédits peuvent être achetés dans l’application. L’achat se fait via l’App Store d’Apple sur un iPhone ou un iPad ou via Google Play sur un appareil Android, selon les conditions de cette boutique et avec le moyen de paiement que vous y avez enregistré. GeoQuestly ne voit ni votre carte, ni votre adresse de facturation, ni votre reçu, et ne fixe aucun prix dans l’application : le prix affiché est celui de la boutique, pour votre pays.

Ce qui circule entre la boutique et GeoQuestly lors d’un achat :

un jeton aléatoire que GeoQuestly rattache à votre compte et remet à la boutique au moment de l’achat, afin que la boutique puisse indiquer à GeoQuestly à quel compte appartient un achat sans qu’aucune des deux parties ne vous nomme,
l’identifiant de la transaction attribué par la boutique, le produit acheté, son état — payé, en attente, remboursé — et la preuve d’achat signée par la boutique elle-même, que GeoQuestly vérifie auprès des serveurs de la boutique avant d’ajouter le moindre crédit,
pour un achat sur Google Play, le jeton d’achat émis par Google, que GeoQuestly conserve chiffré et n’utilise que pour interroger Google à nouveau sur cet achat,
les notifications ultérieures de la boutique au sujet de l’achat — un remboursement, une révocation, un message de test,
ce que GeoQuestly conserve : l’identifiant de la transaction, le produit, les crédits accordés, l’état et les dates de chaque étape,
rien d’autre : ni nom, ni adresse e-mail, ni identifiant Apple ou compte Google, ni donnée de paiement.

Les crédits ne sont ajoutés qu’une fois que la boutique a confirmé l’achat aux serveurs de GeoQuestly. Si l’application est fermée ou hors ligne entre-temps, l’achat n’est pas perdu : il est finalisé au prochain démarrage de l’application. Si la boutique rembourse ou révoque un achat, tous les crédits accordés — ou, en cas de remboursement partiel, la part correspondante, selon la décision de remboursement vérifiée de la boutique — sont repris, même si vous en avez déjà utilisé une partie ; votre solde peut alors être négatif, et les fonctions payantes restent indisponibles jusqu’à ce qu’il redevienne positif. Si la boutique annule ensuite ce remboursement, GeoQuestly rétablit les crédits qu’elle avait repris à ce titre.

L’enregistrement d’un achat et de son remboursement est notre pièce comptable d’une vente. Il est conservé aussi longtemps que le droit comptable nous l’impose, ce qui est plus long que la durée de vie de votre compte, et il survit à la suppression de votre compte sous le marqueur qui remplace votre fiche d’utilisateur. Les crédits restants ne sont pas remboursés lors de la suppression d’un compte.

Pour l’achat lui-même, Apple et Google sont indépendants de nous : leurs propres déclarations de confidentialité régissent ce qu’ils font de votre paiement et de votre compte de boutique. Les serveurs de GeoQuestly les contactent pour vérifier un achat et, sur Google Play, pour le marquer comme livré ; ces requêtes contiennent l’identifiant de la transaction, le produit et — pour Google — le jeton d’achat, jamais quoi que ce soit à votre sujet.

Données d’utilisation et d’erreurs dans l’application

Pour que nous puissions voir quelles parties de GeoQuestly sont réellement utilisées et corriger ce qui ne fonctionne pas, l’application envoie deux types de données : des événements d’utilisation à PostHog et des signalements d’erreurs à Sentry. Les données des deux services sont stockées à Francfort (Allemagne).

C’est à vous de décider si cet appareil les envoie, sous Paramètres → Mentions légales → « Envoyer les données d'utilisation et d'erreurs ». L’interrupteur est activé à l’installation de l’application et ne vaut que pour cet appareil. Désactivé, l’application n’envoie depuis cet appareil ni événements d’utilisation ni signalements d’erreurs — et rien n’est collecté entre-temps pour être envoyé plus tard.

Ce qui est envoyé, et ce qui ne l’est jamais :

un événement d’utilisation est le nom d’une action tirée d’une liste fixe dans le code de l’application — par exemple que l’application a été ouverte, un écran affiché, un groupe créé ou un message envoyé — avec tout au plus quelques attributs sommaires, comme le type de message (texte, image, vidéo), l’étape d’un assistant ou la catégorie de taille d’un paquet de crédits. Rien n’est enregistré en observant où vous touchez l’écran,
chaque écran est désigné par sa route, sans aucun identifiant — qu’une page de groupe a été ouverte, jamais laquelle,
chaque événement comporte en outre la version de l’application, la plateforme (Android, iOS ou web) et la plateforme GeoQuestly à laquelle l’application est connectée, ainsi qu’un identifiant aléatoire de cette installation et, après votre connexion, le pseudonyme de votre compte décrit ci-dessous,
un signalement d’erreur comporte l’erreur et l’endroit du code où elle s’est produite, la version de l’application et la plateforme, ainsi que les écrans et les requêtes qui l’ont immédiatement précédée — désignés par leur route sans aucun identifiant, une requête seulement avec sa méthode et son résultat,
jamais : votre position ni rien qui en soit déduit, le contenu des messages, publications, groupes, événements, lieux, commentaires ou demandes et réponses de l’IA, des noms, noms d’utilisateur ou adresses e-mail, les identifiants de groupes, d’événements, de lieux, de discussions ou de personnes, votre adresse IP, ni aucun enregistrement de l’écran,
dans l’application web, les deux parviennent à PostHog et à Sentry par notre propre serveur, qui ne transmet pas votre adresse IP ; les applications iOS et Android les envoient directement, et les deux services sont configurés pour ne pas enregistrer l’adresse IP de l’appareil.

Le pseudonyme est calculé par notre serveur à partir de votre identifiant d’utilisateur au moyen d’une clé secrète, puis réduit à 32 caractères. Il nous permet de compter combien de personnes utilisent une fonction sans savoir qui elles sont. PostHog et Sentry ne peuvent pas le reconvertir en votre compte, et nous ne tenons aucune liste qui relie les deux : une fois votre compte supprimé, plus rien ne vous rattache au pseudonyme.

Les signalements d’erreurs de nos propres serveurs font partie de l’exploitation du service et ne dépendent pas de l’interrupteur : lorsqu’une opération échoue sur le serveur, l’erreur et les lignes de journal du serveur sont envoyées à Sentry, nettoyées de la même manière — ni position, ni contenu, ni nom ou adresse e-mail, ni identifiant, ni adresse IP, ni corps, en-tête ou cookie d’une requête — et tout au plus avec le pseudonyme du compte à l’origine de la requête.

PostHog conserve les événements d’utilisation un an avec son offre gratuite et sept ans avec une offre payante ; une durée plus courte ne peut pas être définie. Sentry conserve les signalements d’erreurs 30 jours avec son offre gratuite et 90 jours avec une offre payante, et les lignes de journal des serveurs 30 jours.

Lorsque vous vous déconnectez, passez à une autre plateforme ou supprimez votre compte, l’application oublie le pseudonyme et recommence avec un nouvel identifiant aléatoire.

Cartes et autres services contactés par votre appareil

Une carte est dessinée à partir de tuiles publiées par d’autres organisations, et votre appareil va les chercher directement auprès d’elles. C’est ainsi que fonctionne une carte, et cela signifie que ces organisations voient la requête :

les fonds de carte d’OpenFreeMap, de swisstopo (en Suisse), d’Esri et d’OpenStreetMap (le fond de carte « Classique »),
les couches suisses facultatives — swisstopo et geo.admin.ch, les offices fédéraux de l’environnement et des routes, MétéoSuisse, Bâle-Ville, Bâle-Campagne et geodienste.ch — désactivées tant que vous ne les activez pas,
GIPHY, lorsque vous ouvrez le sélecteur de GIF dans une discussion ou une publication. GIPHY exige que les applications l’appellent directement et ne nous autorise pas à le faire à votre place,
ce que chacune peut voir est ce que montre toute requête web : votre adresse IP, ce que vous avez demandé et les données techniques de votre appareil.

D’autres requêtes s’exécutent sur les serveurs de GeoQuestly plutôt que sur votre appareil : vous ne contactez donc pas ces fournisseurs et votre adresse IP ne leur parvient pas. Il s’agit de la recherche de lieux et d’adresses (Photon), du calcul d’itinéraires (OpenRouteService), de la planification de liaisons en transports publics (opentransportdata.swiss), de l’adresse affichée à côté d’une position (swisstopo en Suisse, Nominatim ailleurs), de la vérification des lieux proposés par l’assistant IA (Nominatim, Overpass) et de la recherche d’images de lieux (Wikimedia Commons).

L’adresse affichée à côté d’une position — celle d’un lieu, d’un événement, d’une position partagée ou d’un point de départ ou d’arrivée d’itinéraire que vous avez déplacé — est obtenue par le serveur de GeoQuestly. Pour une position en Suisse ou près de la frontière suisse, il interroge d’abord les géoservices de la Confédération (geo.admin.ch, exploités par l’Office fédéral de topographie swisstopo) : l’adresse officielle de bâtiment la plus proche dans un rayon de 50 mètres, à défaut la commune et le canton. Ailleurs, et lorsque les géoservices de la Confédération ne connaissent pas d’adresse suisse à cet endroit, ne répondent pas à temps ou que leur contingent de requêtes est épuisé, il interroge Nominatim, le service d’adresses d’OpenStreetMap. Votre téléphone ne contacte aucun de ces services, et votre adresse IP ne leur parvient pas. La requête ne contient que les coordonnées arrondies à environ 11 mètres — pour Nominatim, également la langue de la réponse —, rien sur vous. Le serveur de GeoQuestly conserve la réponse pendant 24 heures, classée sous ces coordonnées arrondies et sans lien avec une personne.

Toutes ces organisations sont indépendantes de nous ; leurs propres conditions et déclarations de confidentialité s’appliquent à ce qu’elles font d’une requête reçue.

Désactiver une couche facultative met fin à ses requêtes, et ne pas ouvrir le sélecteur de GIF signifie qu’aucune requête n’est adressée à GIPHY.

Où se trouvent vos données et qui les traite

GeoQuestly fonctionne sur Microsoft Azure. Mandrill Software GmbH reste responsable de vos données ; Azure les traite sur nos instructions et à aucune fin propre.

Où fonctionnent les différentes parties du service :

la base de données applicative, contenant votre compte, vos contenus et vos réglages de partage — Suisse (Switzerland North),
le cache et la connexion en temps réel qui maintient la carte vivante — Suisse (Switzerland North),
le stockage des images et des pièces jointes — Suisse (Switzerland North),
la livraison des notifications — Suisse (Switzerland West), puis vers Apple ou Google,
la connexion via Microsoft Entra External ID — l’annuaire est enregistré pour la Suisse et Microsoft conserve ses données d’identité dans sa région européenne,
les événements d’utilisation et les signalements d’erreurs de l’application et du site — PostHog et Sentry, données stockées à Francfort (Allemagne).

Certaines données quittent nécessairement la Suisse : vers Apple et Google lors de la livraison d’une notification ou lorsque vous achetez des crédits via leurs boutiques, vers le fournisseur d’IA lorsque quelqu’un utilise une fonction d’IA, vers le fournisseur d’une application d’IA — par exemple Anthropic ou OpenAI — lorsqu’une application d’IA connectée par vous — ou par une personne avec qui vous partagez — lit pour cette personne, vers les fournisseurs de cartes et de GIF que votre propre appareil contacte, et au sein de l’infrastructure européenne de Microsoft lors de votre connexion. Pour les données d’utilisation et d’erreurs, les prestataires sont en outre deux entreprises américaines, PostHog, Inc. et Functional Software, Inc. (Sentry) : leurs données pour GeoQuestly sont stockées à Francfort, mais peuvent être accessibles depuis les États-Unis. Pour cela, toutes deux s’appuient dans leurs contrats de traitement des données sur le Swiss–U.S. Data Privacy Framework et sur les clauses contractuelles types de l’UE adaptées au droit suisse.

La Suisse reconnaît aux États de l’UE et de l’EEE un niveau de protection des données adéquat, et depuis le 15 septembre 2024 également aux États-Unis pour les entreprises certifiées selon le Swiss–U.S. Data Privacy Framework.

Si vous souhaitez savoir quelle garantie s’applique à une communication précise, demandez-le-nous et nous vous le dirons.

Durée de conservation

Les données sont conservées aussi longtemps qu’elles ont une finalité, et pas davantage :

compte, profil et réglages : tant que votre compte existe. Publications, messages, groupes et événements : jusqu’à leur suppression — et la page de suppression de compte indique ce qu’il advient des contenus que vous avez écrits à d’autres lorsque le compte lui-même disparaît,
votre position partagée : la copie de courte durée expire après environ 30 minutes et le point de repère est effacé dès que vous cessez de partager,
l’indication que l’application est ouverte : quelques minutes après qu’elle cesse de le signaler,
les arrivées et départs enregistrés par les alertes de lieu : actuellement sept jours,
les documents joints à un brouillon IA : 48 heures s’ils ne sont jamais utilisés, 6 heures pour une exécution sans brouillon,
votre solde et votre journal de crédits, ainsi que l’enregistrement de tout achat et de son remboursement : les enregistrements d’achat aussi longtemps que le droit comptable l’impose, et tous au-delà de la suppression de votre compte, sous le marqueur qui le remplace,
les événements d’utilisation chez PostHog : un an avec l’offre gratuite, sept ans avec une offre payante — le pseudonyme qu’ils contiennent ne peut plus vous être rattaché une fois votre compte supprimé,
les signalements d’erreurs chez Sentry : 30 jours avec l’offre gratuite, 90 jours avec une offre payante ; les lignes de journal des serveurs chez Sentry : 30 jours,
ce que quelqu’un a écrit à l’IA et ce qu’elle a répondu : jusqu’à la suppression du compte ou du groupe ; un brouillon, même enregistré ou abandonné : jusqu’à la suppression du compte, ou du groupe qui en est issu ou pour lequel il a été fait — un brouillon d’événement abandonné est supprimé aussitôt ; une image dessinée qui n’est pas utilisée : 24 heures.

Tout ce qui n’est pas énuméré ci-dessus est conservé tant que cela sert la finalité décrite dans la présente déclaration, et est supprimé lorsque vous supprimez votre compte.

Ce qui nous autorise à traiter ces données

Tout ce qui précède est traité pour l’une de quelques raisons seulement, et il vaut la peine de dire laquelle s’applique à quoi — ne serait-ce que parce que la raison détermine ce que vous pouvez y faire.

Reprenons ce que GeoQuestly conserve :

votre compte, votre profil et les fonctions sociales que vous utilisez — amitiés, abonnements, groupes, événements, publications et discussions — sont traités pour vous fournir le service que vous avez demandé. Sans eux, il n’y a pas de produit à livrer.
la connexion, pour la même raison : un compte auquel vous ne pouvez plus accéder n’en est pas un.
votre position, et les alertes d’arrivée et de départ qui en découlent, reposent sur votre propre décision. Vous la prenez chaque fois que vous activez le partage, vous en choisissez les destinataires et la précision, et vous la retirez en désactivant le partage.
les notifications push reposent sur l’autorisation que vous avez donnée à votre appareil, que celui-ci vous permet aussi de retirer.
les fonctions d’IA s’exécutent parce qu’une personne les lance, et sont traitées pour lui fournir le service qu’elle a demandé. Ce qui part avec, venant d’autres personnes — pour une question dans un chat de groupe, les derniers messages avec les noms affichés de leurs auteurs —, nous le traitons dans notre intérêt légitime à ce que l’IA comprenne la conversation dans laquelle on l’interroge. Nous l’avons mis en balance avec l’intérêt des membres : du texte seulement, les douze derniers messages seulement, les noms affichés seulement, ni pièces jointes ni positions.
l’achat de crédits, ainsi que la livraison, la récupération et l’annulation d’un achat, sont traités pour exécuter l’achat que vous avez effectué et pour tenir la pièce comptable que la loi exige d’un vendeur.
maintenir GeoQuestly en état de marche, sûr et à l’abri des abus — refuser les requêtes malveillantes, protéger les comptes, tenir le service debout — relève de notre propre intérêt légitime à l’exploiter, et nous l’avons mis en balance avec le vôtre.
les événements d’utilisation et les signalements d’erreurs de l’application, les pages vues comptées sans votre consentement et les signalements d’erreurs du site reposent sur notre intérêt légitime à savoir quelles parties de GeoQuestly sont utilisées et à corriger ce qui ne fonctionne pas. Nous l’avons mis en balance avec le vôtre : personne n’est identifié par ces données, rien de vos contenus ni de votre position n’y figure, et dans l’application vous pouvez vous y opposer à tout moment, pour chaque appareil, avec l’interrupteur des paramètres. Le comptage de vos visites sur le site repose sur votre consentement, que vous donnez ou retirez sous « Paramètres de confidentialité » en bas de chaque page.
ce qu’une application d’IA que vous avez connectée lit et fait est traité sur votre instruction, pour vous fournir le service de la manière que vous avez choisie. Ce que d’autres partagent avec vous ne parvient à votre application d’IA que tel qu’ils le partagent avec vous, et la présente déclaration le leur dit.

Lorsqu’un traitement repose sur une décision de votre part, la révoquer est un interrupteur et non une demande : désactivez le partage de position, retirez l’autorisation de notification dans les réglages de votre appareil, supprimez votre compte. Rien de tout cela ne doit passer par nous.

Lorsqu’il repose sur notre intérêt à faire fonctionner le service, il n’y a là ni publicité, ni profilage, ni notation, ni portrait de vous construit où que ce soit. Si vous voulez néanmoins vous opposer à un traitement précis, dites-le-nous : nous l’examinerons pour lui-même.

Vos droits

Le droit suisse de la protection des données vous permet de nous demander gratuitement :

l’accès : la confirmation que nous traitons des données vous concernant, et une copie de celles-ci,
la rectification de données inexactes,
la suppression de votre compte et des données qui s’y rattachent,
s’opposer à un traitement déterminé ou retirer une autorisation donnée — désactiver le partage de position est exactement cela,
dans certains cas, la remise des données que vous avez fournies dans un format courant et lisible par machine.
la limitation d’un traitement déterminé, le temps qu’un désaccord à son sujet soit tranché.

Vous pouvez faire l’essentiel vous-même, sans rien demander à personne : modifier votre profil, supprimer vos publications et vos messages de discussion, quitter un groupe, désactiver le partage de position et supprimer définitivement votre compte dans l’application, sous « Compte ». Si vous n’avez plus l’application installée, la page de suppression de compte explique comment nous le demander.

Pour tout ce que l’application ne permet pas — une demande d’accès, une rectification que nous devons effectuer pour vous —, écrivez-nous. Nous pourrions devoir vous demander de vous identifier au préalable : remettre vos données à la mauvaise personne serait l’erreur la plus grave.

Vos demandes nous parviennent à l’adresse de protection des données ci-dessous, ou par courrier à Mandrill Software GmbH, à l’adresse indiquée dans les mentions légales.

Contact protection des données: info@mandrill.software

Supprimer votre compte

Quel droit s’applique, et où porter plainte

Mandrill Software GmbH est une société suisse, GeoQuestly fonctionne sur une infrastructure située en Suisse, et la présente déclaration est rédigée sous le droit suisse de la protection des données — la loi fédérale sur la protection des données.

L’autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne. Si vous estimez que nous traitons mal vos données, dites-le-nous d’abord — nous préférons corriger que discuter — mais vous pouvez le signaler au PFPDT à tout moment, et rien ici ne vous demande de passer par nous au préalable.

GeoQuestly sort d’abord en Suisse. La présente déclaration a été rédigée de manière à contenir déjà les informations qu’exige le règlement général européen sur la protection des données ; si nous proposons plus tard GeoQuestly à des personnes se trouvant dans l’UE ou l’EEE, nous compléterons les éléments spécifiques à l’UE qui manquent — dont le représentant dans l’Union qu’une société établie hors de celle-ci doit désigner — avant cette étape et non après.

Où que vous soyez, ce sont les droits décrits ci-dessus que nous appliquons. Nous ne demandons pas dans quel pays vous êtes avant de répondre à une question sur vos propres données.

Sécurité

Les mesures qui comptent le plus ici, à un niveau qu’il est raisonnable d’exposer publiquement :

tout ce qui circule entre votre appareil et nos serveurs passe par des connexions chiffrées,
le contenu des messages et des publications est en outre chiffré là où il est conservé,
le droit de voir quelque chose est décidé à chaque requête à partir de la base de données faisant foi, jamais à partir d’une réponse mise en cache qui pourrait être périmée,
la connexion est assurée par le service d’identité de Microsoft : votre mot de passe n’atteint donc jamais GeoQuestly.

Aucun système n’est parfaitement sûr et nous ne prétendons pas le contraire. En cas de violation de la sécurité des données susceptible d’entraîner un risque élevé pour votre personnalité ou vos droits fondamentaux, nous l’annoncerons dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence et vous informerons lorsque la loi l’exige ou lorsque cela vous aide à vous protéger.

Modifications de la présente déclaration

GeoQuestly est en développement actif : cette déclaration évoluera donc avec le produit. La version en vigueur est toujours celle de cette page.

La version et la date en tête indiquent la dernière modification. Un changement affectant matériellement l’usage de vos données sera signalé dans l’application, plutôt que laissé ici à découvrir.