Politique de confidentialité.

1. Qui nous sommes

Trail-Safe (le « Service ») est développé et exploité par 2552 BV, société établie aux Pays-Bas. Sur l’App Store d’Apple, l’application est publiée par Devidee B.V., qui gère notre compte de développeur Apple. Devidee B.V. ne traite aucune donnée en propre : c’est la même équipe, le même backend et la même politique. Pour toute question relative à la vie privée, écrivez-nous à privacy@paceguard.io.

2. Ce que nous collectons

Trail-Safe ne collecte que ce dont il a besoin pour faire son travail :

• Points de position. Latitude, longitude, altitude et précision, envoyés par votre montre pendant l’enregistrement d’un parcours.
• Fréquence cardiaque. Battements par minute, associés à chaque point tant que le capteur est autorisé et mesure. Sur l’Apple Watch, elle n’est lue dans HealthKit que pendant l’enregistrement d’un parcours — affichée sur votre carte et incluse dans les alertes SOS, mais jamais écrite dans iCloud et jamais utilisée pour la publicité. Sur Wear OS, elle provient du capteur poignet de la montre elle-même.
• Identité du compte. Ce que nous recevons dépend de votre mode de connexion : l’identifiant Google, l’adresse e-mail et le nom affiché renvoyés par Google Sign-In (Wear OS et Web) ; ou, avec Sign in with Apple (Apple Watch et iPhone), le nom qu’Apple nous envoie une seule fois à votre première connexion et une adresse e-mail — une adresse de relais privé si vous avez choisi Hide My Email. Avec la connexion par code e-mail, seulement l’adresse e-mail ; les codes familiaux ne stockent que la famille à laquelle vous appartenez et le nom affiché que vous choisissez.
• Identifiants d’appareil et de session. Un identifiant de session aléatoire généré par votre montre et le modèle de l’appareil, afin de regrouper les points en un seul parcours.
• Jetons de notification. Le jeton push de votre appareil — Firebase Cloud Messaging (FCM) sur les appareils Android, Apple Push Notification service (APNs) sur les appareils Apple — pour pouvoir délivrer les alertes familiales.
• Messages d’état. De brefs messages « ping » (sans coordonnées) pour que le tableau de bord sache si votre montre est connectée à l’instant présent.
• Signaux SOS. Si vous déclenchez le SOS sur la montre, nous enregistrons ce fait avec votre dernière position connue. Le numéro de votre contact d’urgence reste sur votre appareil — notre backend ne le reçoit jamais. Le seul réglage SOS que nous conservons est votre accord pour alerter les utilisateurs Trail-Safe à proximité (SOS communautaire) ; le reste demeure sur l’appareil.
• Liens de partage en direct. Si vous créez un lien pour partager votre position en direct, nous enregistrons le lien lui-même, les appareils que vous choisissez d’y montrer, son titre et sa date de fin. Pour une personne qui ouvre le lien, nous enregistrons seulement un numéro de spectateur aléatoire et le moment où sa page s’est manifestée pour la dernière fois — ni nom, ni compte, ni cookie — afin de limiter le nombre de personnes qui regardent en même temps. Son adresse IP sert quelques secondes à limiter les abus et n’est pas conservée — sauf si cette adresse ouvre sans cesse des liens qui n’existent pas (voir données de sécurité ci-dessous).
• Données de sécurité. Pour protéger les familles contre les abus, nous comptons des signaux comme les codes de famille ou de sortie erronés, les jetons de connexion invalides, les liens qui n’existent pas et les avalanches de messages SOS ou de check-in. Ce n’est que lorsqu’un réseau (adresse IP) ou un compte dépasse une limite que l’usage normal n’atteint jamais que nous enregistrons cette adresse ou ce compte, la limite concernée et le moment. Nous pouvons alors le bloquer pour une durée limitée. Ces données ne servent à rien d’autre. Lorsqu’un compte est créé ou qu’une montre ou un téléphone est enregistré, nous conservons aussi l’adresse IP et la version de l’application ou du navigateur d’où cela provient, et nous attribuons un score de risque à un nouveau compte. Cela nous permet de reconnaître des vagues d’inscriptions automatisées réparties sur de nombreuses adresses. Un compte créé pendant une telle vague s’utilise normalement, mais ne peut partager l’accès avec d’autres qu’après avoir été utilisé avec un appareil ou un abonnement, ou après notre vérification. Ces informations sont supprimées avec le compte ou l’appareil.
• Les clés et webhooks que vous créez. Si vous créez une clé d’API (Home Assistant) ou une clé SDK, nous en conservons une empreinte à sens unique (jamais la clé elle-même), le nom que vous lui donnez, ses dates de création et de dernière utilisation, et pour une clé SDK les adresses IP depuis lesquelles elle peut être utilisée. Pour un webhook, nous conservons son URL, son secret de signature et un journal des envois des 7 derniers jours.

Nous ne collectons ni contacts, ni photos, ni son du microphone, ni activité de la montre en dehors de Trail-Safe, ni aucune donnée pendant que l’application est fermée. Le nom et le numéro d’un contact d’urgence sont choisis ou saisis sur votre propre appareil, et ils y restent.

3. Pourquoi nous le collectons

• Pour vous montrer vos parcours — la fonction centrale du tableau de bord.
• Pour que l’indicateur de présence en direct soit fiable — afin que vous et vos proches voyiez si la montre est actuellement connectée.
• Pour acheminer les alertes SOS — afin que votre dernière position soit disponible quand il faut des secours.
• Pour faire tourner le Service — des journaux techniques minimaux (erreurs, nombre de requêtes) qui nous permettent de corriger les pannes.
• Pour vous protéger, vous et le Service, contre les abus — repérer et stopper la devinette de codes, les inscriptions automatisées, l’abus de jetons de connexion et le test de cartes volées.

Au titre du RGPD, notre base légale est l’exécution du contrat (article 6.1.b) pour les fonctions de carte et de SOS, et l’intérêt légitime (article 6.1.f) pour la correction des anomalies et la prévention des abus. Les intégrations que vous configurez vous-même (clés d’API, clés SDK, webhooks) reposent elles aussi sur l’exécution du contrat : vous les demandez, et elles ne fonctionnent que tant que vous les laissez activées.

3a. Ce que nous refusons délibérément de collecter

Le moyen le plus sûr de protéger vos données est de ne pas les conserver. Trail-Safe ne collecte jamais :

• D’identifiants de connexion. Trail-Safe n’exploite aucun magasin de mots de passe. La vérification d’identité est déléguée à Google Sign-In (Wear OS et Web) ou à Sign in with Apple (appareils Apple) ; notre backend ne reçoit que le jeton d’identité signé que le fournisseur émet après une connexion réussie. Nous ne voyons jamais votre mot de passe Google ou Apple et ne le conservons pas.
• De données de paiement ou de carte. Les abonnements sont facturés par Google Play ; dès que des achats App Store seront introduits, Apple les facturera de la même manière. Notre backend ne conserve que le jeton d’achat nécessaire à la validation des droits — jamais aucune donnée de carte.
• De contacts, photos, microphone ou fichiers. L’application de la montre ne demande pas ces autorisations, et notre backend n’expose aucune interface pour les recevoir.
• D’analyse comportementale. Pas de Google Analytics, pas de pixel Meta, pas de Mixpanel, pas de profilage Sentry, aucun SDK publicitaire. Le tableau de bord n’embarque aucun traceur tiers. Les visites de notre site public, nous les comptons nous-mêmes, sans cookies (intérêt légitime : savoir quelles pages aident les gens) : par jour, nous conservons uniquement le nombre de vues de chaque page, le site qui y renvoie, ainsi que le pays, le type d’appareil et la langue. Pour estimer combien de personnes différentes sont venues, votre adresse IP et votre navigateur sont hachés avec une clé qui change chaque jour puis est détruite ; nous ne conservons ni l’une ni l’autre et ne pouvons pas vous reconnaître un autre jour. Les navigateurs qui envoient Do Not Track ou Global Privacy Control ne sont pas comptés, pas plus que les pages connectées et les liens de partage en direct.
• D’empreintes d’appareil. Ni IMEI, ni identifiant publicitaire, ni sondage de la résolution d’écran, ni inventaire des applications installées. Le seul identifiant d’appareil enregistré est l’UUID attribué lors du premier enregistrement.

Exposition en cas de fuite. Les données détenues par Trail-Safe sont limitées par conception. En cas de compromission de la base, le matériel exposé se composerait de l’historique de localisation, du nom affiché et de l’adresse e-mail renvoyés à la connexion (une adresse de relais privé Apple si vous utilisez Hide My Email), et d’un jeton d’achat. Aucun identifiant, aucun moyen de paiement et aucun moyen d’accéder à votre compte Google ou Apple ne seraient exposés, car Trail-Safe ne conserve jamais ce matériel.

4. Où ces données sont stockées

Tous les points, sessions et données de compte sont stockés dans une base PostgreSQL exploitée par Trail-Safe au sein de l’Espace économique européen. Les échanges entre la montre, le tableau de bord et notre backend sont chiffrés en TLS.

Nous exploitons aussi un serveur aux États-Unis pour que Trail-Safe réponde rapidement aux personnes situées sur le continent américain. C’est uniquement un serveur d’application : il n’a ni base de données ni stockage de fichiers, et il lit et écrit vos données directement dans notre base de données de l’UE via une connexion chiffrée. Rien vous concernant n’y est conservé, hormis les journaux techniques minimaux que tient tout serveur (voir Combien de temps nous les conservons). Vos données sont toujours stockées dans l’UE et protégées par le RGPD, où que vous utilisiez Trail-Safe.

Sur vos appareils, les jetons d’authentification sont stockés dans le Keychain sur les appareils Apple et au moyen d’EncryptedSharedPreferences d’Android (AES-256-GCM) sur Wear OS, afin qu’un appareil volé ne les livre pas en clair. Vos réglages SOS et le numéro de votre contact d’urgence résident dans le stockage local de votre appareil et ne le quittent jamais.

5. Combien de temps nous les conservons

Deux horloges distinctes. Les données qui décrivent où vous étiez expirent d’elles-mêmes ; celles qui décrivent qui vous êtes vivent aussi longtemps que le compte.

Effacé automatiquement au bout de 90 jours

• L’historique de localisation — chaque point de position, chaque trace intermédiaire et chaque parcours enregistré.
• Les données de fréquence cardiaque et d’activité relevées avec ces points.
• Les enregistrements SOS et de détection de chute — l’alerte, la position partagée avec elle et les réponses reçues.

Une tâche planifiée supprime tout ce qui dépasse cette fenêtre ; rien de plus ancien que 90 jours n’y survit, que vous le demandiez ou non. Vous pouvez bien entendu supprimer vous-même points, parcours et sessions avant cette échéance.

Conservé jusqu’à la fermeture de votre compte

• Votre identité — le compte de connexion, l’adresse e-mail et le nom.
• Vos appareils, liens familiaux, zones de domicile, itinéraires enregistrés et points de repère.
• Les données d’abonnement et d’achat, tant que le compte existe.

Aucune horloge ne court sur ces données : les supprimer casserait le produit pendant que vous vous en servez encore. Elles disparaissent quand le compte disparaît.

Les deux autres horloges

• Fermeture de votre compte : tout ce qui précède est effacé sous 30 jours à compter de votre demande, sauvegardes comprises. Voir la section 6.
• Comptes inactifs : si vous ne vous connectez pas (au tableau de bord) et ne raccordez aucune montre pendant 90 jours consécutifs, le compte entier est supprimé automatiquement. Nous n’envoyons pas d’e-mail au préalable ; la suppression est précisément l’objectif. Reconnectez-vous à tout moment avant les 90 jours et le compteur repart à zéro.
• Journaux techniques : renouvelés au bout de 30 jours.
• Données de sécurité : effacées au bout de 90 jours ; un blocage prend toujours fin de lui-même (au plus tard après 30 jours).
• Liens de partage en direct : un lien n’affiche plus rien dès qu’il expire ou que vous l’arrêtez (seul un SOS en cours le garde ouvert jusqu’à sa fin). L’enregistrement du lien est supprimé 7 jours plus tard, et celui d’un spectateur moins d’une heure après la fermeture de sa page.
• Clés révoquées : une clé d’API ou SDK que vous révoquez cesse aussitôt de fonctionner et est supprimée 30 jours plus tard.

Les opérateurs qui hébergent leur propre installation peuvent ajuster ces durées depuis l’interface d’administration. Pour Trail-Safe, la durée de conservation est de 90 jours et la durée de suppression de 30 jours.

6. Supprimer votre compte

Vous pouvez fermer votre compte vous-même, à tout moment, depuis https://trail-safe.app/delete-account/fr. Connectez-vous, confirmez deux fois, nous faisons le reste. Pas de questionnaire, pas d’appel téléphonique, pas d’offre pour vous retenir.

Ce qui se passe, et quand :

• Immédiatement : vos montres sont déconnectées et vous quittez toutes les familles dont vous faisiez partie — votre nom et votre position disparaissent aussitôt de leur carte.
• Sous 30 jours : votre compte et chaque enregistrement qui s’y rattache sont effacés définitivement, y compris de nos sauvegardes chiffrées.
• Entre les deux : le compte est fermé mais récupérable. Connectez-vous sur cette même page et annulez si vous changez d’avis. Vos montres et vos liens familiaux ne reviennent pas d’eux-mêmes — il faut les rétablir.

Ce qui est effacé :

• Votre identité : compte de connexion, adresse e-mail, nom et photo de profil.
• Chaque appareil, sa session et son jeton de notification.
• Chaque point de position, parcours et trace intermédiaire, sur tous les appareils.
• Chaque alerte SOS et de chute, les positions partagées avec elles, et les réponses.
• Zones de domicile, itinéraires enregistrés, points de repère, zones de carte hors ligne, zones météo et liens de partage en direct.
• Les liens familiaux dans les deux sens, et toute invitation envoyée ou reçue.
• Notifications, clés d’API, clés SDK et webhooks, données d’abonnement et d’achat, et journaux de diagnostic.

Supprimer votre compte n’annule pas un abonnement Google Play. C’est Google qui le détient, pas nous, et vous seul pouvez l’annuler — dans le Play Store, sous Paiements et abonnements. Annulez-le d’abord là-bas, sinon vous continuerez à payer pour un compte qui n’existe plus.

Nous ne conservons que ce que la loi nous impose de conserver, et seulement le temps qu’elle exige. En pratique, il s’agit des factures, détenues par nos prestataires de paiement (Google Play, Mollie) au titre de leurs propres obligations fiscales de conservation ; nos propres copies sont effacées avec le reste. Aucune donnée de localisation, de fréquence cardiaque ou de SOS n’est jamais conservée à ce titre.

Si vous avez perdu l’accès au compte et ne pouvez plus vous connecter, écrivez à privacy@paceguard.io depuis l’adresse associée au compte : nous le ferons à la main, sous 30 jours.

7. Vos droits (RGPD)

Vous pouvez, gratuitement et à tout moment :

• Consulter tout ce que nous détenons sur vous — le tableau de bord affiche chaque point et chaque session.
• Exporter vos données — via le bouton d’export de chaque appareil.
• Supprimer des points isolés, des sessions entières ou votre compte dans son intégralité — dans l’app iPhone sous Réglages → Supprimer le compte, depuis le tableau de bord, ou en nous écrivant.
• Retirer votre consentement pour la fréquence cardiaque ou les notifications (dans les réglages système de la montre).
• Déposer une réclamation auprès de votre autorité nationale de protection des données (en France, la CNIL).

Pour exercer l’un de ces droits, écrivez à privacy@paceguard.io. Nous répondons sous 30 jours.

8. Avec qui nous partageons les données

Nous partageons des données avec :

• Google — uniquement le jeton d’identité que votre montre présente à la connexion, afin que nous puissions vérifier qu’il s’agit bien de vous ; Firebase Cloud Messaging délivre les notifications sur les appareils Android. La politique de confidentialité de Google s’applique à cette partie.
• Apple — sur les appareils Apple, Sign in with Apple vérifie votre identité, Apple Maps (MapKit) charge les tuiles de carte demandées par votre appareil, APNs délivre les notifications et Apple exploite le relais d’e-mail privé si vous utilisez Hide My Email. La politique de confidentialité d’Apple s’applique à cette partie.
• Mapbox — pour afficher les tuiles de carte sur la montre. Mapbox voit la zone que vous consultez, mais pas votre identité.
• Nos prestataires d’infrastructure — hébergeurs et fournisseurs de bases de données, liés par contrat au moyen d’accords de sous-traitance. Tout le stockage se trouve dans l’EEE ; notre serveur aux États-Unis ne stocke aucune de vos données (voir Où ces données sont stockées).
• Les personnes à qui vous envoyez un lien de partage en direct — uniquement si vous en créez un. Toute personne disposant du lien voit les appareils que vous avez choisis : leur position actuelle, l’itinéraire depuis la création du lien, les noms des appareils et tout SOS en cours, jusqu’à la fin du lien ou jusqu’à ce que vous l’arrêtiez. Elle ne voit rien d’antérieur au lien ni aucune autre donnée vous concernant. Un lien fonctionne pour quiconque le possède : ne le partagez qu’avec des personnes de confiance ; vous pouvez l’arrêter à tout moment depuis le tableau de bord.
• Les outils que vous connectez vous-même — uniquement si vous en configurez un. Une clé d’API (Home Assistant), une clé SDK (Family Plus) ou un webhook permet à un système de votre choix de lire vos positions et votre activité ; dans une famille, cela inclut la localisation des membres de votre famille. Ils sont prévenus lorsqu’un tel accès pouvant voir leur position est créé, et peuvent le retrouver sous Who sees me. Le SDK ne transmet jamais d’adresses IP. Ce qu’il advient des données de l’autre côté relève de la responsabilité de qui gère ce système. Vous pouvez révoquer une clé ou un webhook à tout moment ; il cesse de fonctionner en moins d’une minute.

Nous ne vendons jamais vos données, et nous ne les partageons jamais avec des régies publicitaires, des courtiers en données ou des outils d’analyse qui vous profilent.

9. Cookies

Le tableau de bord utilise un unique cookie strictement nécessaire pour vous garder connecté. Pas de pixels de pistage, pas de cookies tiers, et aucun cookie pour la mesure des visites du site (voir analyse comportementale ci-dessus).

10. Enfants

Trail-Safe n’est pas destiné aux personnes de moins de 13 ans. Nous ne collectons pas sciemment de données d’enfants. Si vous pensez qu’un enfant s’est inscrit, écrivez-nous et nous supprimerons le compte.

11. Modifications de cette politique

Nous publierons ici toute modification et mettrons à jour la date figurant en haut. Les changements substantiels seront également annoncés dans le tableau de bord.

12. Contact

2552 BV (responsable du traitement)
Fiches App Store publiées par Devidee B.V.
privacy@paceguard.io