Politique de confidentialité
Ce que le service enregistre, pourquoi, combien de temps, et comment le faire effacer. Rien n’est vendu, rien n’est cédé, et rien ne sert à vous suivre ailleurs.
Version 1.1, en vigueur depuis le .
Responsable du traitement
Le responsable du traitement est Jérôme Buisine, entrepreneur individuel, dont les coordonnées figurent dans les mentions légales. Pour toute question ou pour exercer vos droits, écrivez à contact@subalpine.it.
Le principe : préparer un trajet ne demande rien
Vous pouvez calculer un itinéraire complet sans compte, sans adresse électronique et sans cookie. Le service ne demande jamais votre position : il part de deux communes que vous tapez. Il n’y a ni cookie publicitaire, ni traceur commercial, ni revente à qui que ce soit. Deux choses sont mesurées, décrites juste en dessous : la fréquentation, qui ne peut pas vous suivre et ne demande donc rien ; et l’enregistrement d’écran, qui le pourrait — et qui, pour cette raison, ne démarre qu’après votre accord explicite.
Ce qui suit décrit le peu qui est enregistré, et pourquoi chaque ligne existe.
La mesure de fréquentation, et pourquoi elle ne demande rien
Ombra mesure sa fréquentation avec <fort>Umami, un logiciel libre installé sur notre propre serveur</fort>. Le script de mesure et l’adresse qui reçoit les statistiques sont servis par ce domaine : aucune requête ne part vers un autre hôte, et aucun tiers ne voit passer votre visite.
Aucun cookie n’est déposé et aucun identifiant n’est conservé chez vous. Pour distinguer deux visites, une empreinte est calculée à partir de votre adresse IP et de votre navigateur, mélangée à une valeur secrète qui change chaque jour. L’adresse IP sert à ce calcul puis est oubliée : Umami ne l’écrit nulle part — vérifié sur le schéma de la base, aucune colonne ne la porte. Comme tout serveur, le nôtre en garde en revanche une trace dans ses journaux techniques, pour la sécurité et le diagnostic de panne ; ils sont conservés 14 jours, puis effacés automatiquement.
Le changement quotidien de la valeur secrète a une conséquence qu’il faut dire : revenir demain vous compte comme une nouvelle visite, et rien ne permet de relier les deux. On perd la mesure du retour, on gagne l’impossibilité technique de vous suivre dans le temps.
L’empreinte est propre à chaque site : passer d’Ombra à un autre produit SubAlpine produit deux identifiants sans rapport. C’est une propriété du calcul, pas une politique qu’on s’impose.
Sont enregistrés : les pages consultées, l’horodatage, le site d’où vous venez le cas échéant, le navigateur, le système, le type d’appareil, la taille d’écran, la langue et une localisation approximative (pays, région, ville). Ni votre adresse IP, ni votre identifiant de compte. Conservation : 25 mois au maximum, puis effacement automatique.
L’enregistrement d’écran, qui lui demande votre accord
L’application voyageur peut enregistrer ce que vous faites à l’écran — déplacements du pointeur, défilements, frappes — pour comprendre où elle coince. Le texte affiché est masqué à la capture (masquage strict), mais le procédé reste d’une autre nature que la mesure de fréquentation : aucune exemption ne s’y applique.
Rien ne démarre sans votre accord explicite. Ce n’est pas une promesse déclarative : le script d’enregistrement est un fichier distinct de 190 ko, et tant que vous n’avez pas accepté, il n’est même pas téléchargé. Refuser ne veut donc pas dire « collecter puis jeter » — il n’y a rien à jeter.
Si votre navigateur émet Global Privacy Control ou Do Not Track, la question ne vous est jamais posée : vous avez déjà répondu.
Le retrait est aussi simple que l’accord et se fait depuis cette page, sans compte. Il prend effet immédiatement — la page se recharge pour arrêter la capture en cours. Conservation : 30 jours, puis effacement automatique.
L’accueil que vous lisez n’enregistre rien : le dispositif ne vit que dans l’application.
Ce qui est enregistré, et pour combien de temps
Donnée Pourquoi Base légale Conservation Le plan calculé — communes, horaires, haltes retenues Rendre l’adresse du plan ouvrable, la partager, la rouvrir hors réseau Intérêt légitime : sans lui, un plan disparaîtrait à la fermeture de l’onglet 90 jours, puis effacement automatique Votre adresse électronique, si vous créez un compte Vous reconnaître d’une visite à l’autre, et vous envoyer le code de connexion Exécution du service que vous demandez Jusqu’à la suppression de votre compte, et au plus 24 mois après votre dernière connexion — un courriel vous prévient 30 jours avant, et vous reconnecter annule le préavis Le code de connexion à six chiffres Vous authentifier une fois Exécution du service 1 jour. Il n’est d’ailleurs pas conservé en clair : la base garde une empreinte, inutilisable pour se connecter Vos sessions ouvertes Vous éviter de redemander un code à chaque visite Exécution du service 7 jours après l’expiration de la session Vos préférences de voyage Ne pas les redemander à chaque trajet Exécution du service Jusqu’à la suppression de votre compte — elles partent avec lui, y compris quand la suppression vient de l’inactivité Le type de véhicule, si vous le renseignez Estimer ce que le trajet coûte en carburant et en péage, et ce que l’autoroute aurait coûté Votre consentement, retirable en vidant le champ Dans vos préférences, jusqu’à la suppression de votre compte. Recopié dans un plan calculé, il en suit les 90 jours Votre adresse, si vous demandez à être prévenu d’une région Vous envoyer un message, une seule fois, quand elle ouvrira Votre consentement, retirable à tout moment Jusqu’à votre demande de retrait Le véhicule, et pourquoi il reste facultatif
Six catégories seulement — citadine essence, berline diesel, SUV essence, voiture électrique, camping-car, moto. Ce n’est pas une voiture qu’elles décrivent, c’est une façon de consommer : ni marque, ni modèle, ni immatriculation, ni motorisation précise. De quoi estimer un plein, pas de quoi vous reconnaître sur un parking.
Le champ peut rester vide, et rien ne s’en trouve dégradé. L’estimation se fait alors avec un véhicule moyen, et l’écrit à côté du chiffre plutôt que de le laisser croire mesuré. Renseigner sa catégorie ne change pas la route qu’on vous propose : cela affine une estimation, et c’est tout. D’où la base légale retenue — le consentement, et non l’exécution du service, parce que le service se rend très bien sans.
Ce que vous renseignez sert au calcul du coût, et à rien d’autre. Le véhicule n’entre pas dans le choix des haltes, ne sert à classer personne, et ne figure dans aucune statistique — pas même agrégée : sur un service de cette taille, croiser un type de véhicule avec un trajet redonne vite une personne. Le journal décrit à l’article suivant ne le porte pas davantage, et il ne part chez aucun tiers.
Vider le champ suffit à retirer votre consentement : les trajets suivants seront estimés avec le véhicule moyen. Les plans déjà calculés gardent le leur — un plan conservé est figé, c’est ce qui lui permet d’afficher les mêmes chiffres six semaines plus tard — et s’effacent à leur échéance de quatre-vingt-dix jours, ou avec votre compte si vous le supprimez avant.
Le journal des décisions, et pourquoi il n’est pas dans ce tableau
Ombra conserve, pour chaque halte proposée, les critères qui l’ont fait choisir : le détour, l’ombre, l’heure, les services, la tranquillité. C’est ce qui permet d’expliquer un choix, et de régler les poids du calcul au fil du temps.
Ces lignes ne portent aucune donnée personnelle : ni identifiant de compte, ni adresse, ni lien vers un trajet. Elles décrivent un lieu et un score, rien d’autre — elles ne se rattachent à personne, et il n’y a donc rien à y effacer. C’est aussi pourquoi elles ne sont jamais purgées : leur valeur pour le calage du calcul croît avec leur ancienneté.
Ce qui reste dans votre navigateur
Le jeton qui vous garde connecté et les plans que vous avez consultés vivent dans le stockage de votre navigateur, pour que votre plan reste lisible dans une vallée sans réseau. Ils ne sont pas envoyés ailleurs, et se vident entièrement à la déconnexion comme à la suppression du compte : un plan ne peut pas survivre dans l’appareil à l’effacement qu’on vient de faire côté serveur.
Ce qui sort du serveur
La pile est auto-hébergée : la carte, le calcul d’itinéraire et la recherche des haltes se font sur notre propre serveur, en France. Trois services extérieurs sont néanmoins sollicités, et chaque ligne correspond à une requête réellement émise.
Service Rôle Ce qui lui parvient Pays OVH SAS Hébergement du serveur et acheminement des courriels Ensemble des données du service France Base Adresse Nationale (DINUM) Recherche des communes et des adresses saisies Le texte tapé dans les champs de départ et d’arrivée France Open-Meteo Prévision de température, qui pondère la recherche d’ombre Les coordonnées approximatives du trajet et sa date Allemagne Tous se trouvent dans l’Union européenne : aucun transfert hors UE n’a lieu. Le fond de carte est servi par SubAlpine.it, sur le même serveur — votre navigateur ne demande donc aucune tuile à un fournisseur tiers, qui verrait alors la zone que vous regardez.
Aucune donnée n’est vendue, louée ou cédée, et aucun message commercial n’est envoyé. Les seuls courriels que le service émet sont un code de connexion et, si vous l’avez demandé, l’ouverture de votre région.
Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur les données qui vous concernent.
Deux d’entre eux s’exercent sans nous écrire : vos trajets et vos préférences sont visibles dans l’application, et la suppression de votre compte — qui emporte l’ensemble — s’y fait en deux gestes, sans délai ni validation. Pour les autres, ou si vous préférez passer par nous, écrivez à contact@subalpine.it ; nous répondons sous un mois.
L’effacement finit aussi par se faire sans vous. Après 24 mois sans connexion, nous n’avons plus de raison de conserver votre adresse : un courriel vous prévient, et sans nouvelle de votre part le compte est supprimé 30 jours plus tard, avec vos trajets et vos préférences — exactement comme si vous l’aviez fait vous-même. Vous reconnecter annule le préavis, et il n’y a rien d’autre à faire, dans un sens comme dans l’autre.
Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL.
Sécurité
Les échanges avec le service sont chiffrés (HTTPS). Les codes de connexion ne sont pas conservés en clair, et le secret qui rend leurs empreintes incalculables ne vit pas dans la base : une copie de celle-ci ne suffirait donc pas à ouvrir une session.
Le service repose sur une seule machine, sans redondance. Nous ne promettons pas l’invulnérabilité : nous décrivons ce qui est en place, et une atteinte qui vous concernerait vous serait notifiée dans les conditions prévues par le RGPD.
Modification de cette politique
Cette page peut évoluer avec le service. La version en vigueur est celle publiée ici, avec sa date. Un changement qui élargirait ce qui est collecté, ou allongerait une durée de conservation, serait annoncé avant de prendre effet.