Cette page est une traduction de la version originale en anglais. En cas de doute, la version anglaise fait foi.

Politique de confidentialité

Ce document explique quelles données Roadby traite, aussi bien dans l’app mobile que sur ce site web (roadby.app). Il s’agit d’un document unique en deux parties, car Google Play exige une adresse publique unique pour la politique de confidentialité de l’app, et il nous semble plus honnête que cette même adresse explique aussi ce que fait le site lui-même.

Qui est responsable

Le responsable du traitement des données personnelles décrites dans ce document est l’opérateur de Roadby (« nous »), qui détermine pourquoi et comment elles sont traitées. Au sein de Roadby, l’accès à ces données est limité au nombre minimal de personnes nécessaires au fonctionnement du service.

Roadby ne publie pas encore le nom ou la dénomination sociale, le numéro d’identification fiscale ni l’adresse postale de son opérateur : ils figureront ici une fois la relecture juridique de cette politique terminée. D’ici là, vous pouvez contacter le responsable du traitement pour toute question relative à cette politique, y compris pour exercer vos droits, à l’adresse support@roadby.app, et nous vous répondrons depuis cette adresse.

A. Données traitées par l’app Roadby

Roadby est une app pour conducteurs : elle met en relation, par la voix en direct, des personnes physiquement proches les unes des autres et leur permet de s’écrire des messages texte, en tête-à-tête et en groupe. Ce qui suit décrit, de la manière la plus détaillée possible, quelles données génère chaque partie de l’app, où elles aboutissent et pendant combien de temps.

A.1 Compte

Pour utiliser Roadby, vous créez un compte avec votre adresse e-mail, un mot de passe, un nom et un @pseudo, et vous confirmez votre e-mail grâce à un lien à usage unique, ou bien vous le créez avec votre compte Google (voir A.1a). Dans les deux cas, vous acceptez les conditions d’utilisation et la présente politique de confidentialité, et vous confirmez avoir 18 ans ou plus. Il n’y a pas d’authentification à deux facteurs.

• Votre e-mail sert d’identifiant du compte et n’est visible que par vous (et par les administrateurs de Roadby) ; il n’est jamais montré aux autres utilisateurs.
• Votre mot de passe est stocké sous forme de hachage (chiffré de manière irréversible) : personne, pas même les administrateurs de Roadby, ne peut le lire.
• Pour changer votre e-mail, changer votre mot de passe ou supprimer votre compte dans l’app, nous vous redemandons votre mot de passe actuel. Si votre compte n’a pas de mot de passe parce que vous vous connectez uniquement avec Google, l’app ne propose pas de changer votre e-mail ni votre mot de passe (vous pouvez créer un mot de passe avec « Mot de passe oublié ? »), et la suppression du compte demande à la place un code à 6 chiffres que nous vous envoyons par e-mail. Si vous nous le demandez plutôt par e-mail, nous confirmons la demande avec vous, comme l’explique la page Supprimer votre compte.
• Nous enregistrons les dates de votre inscription, de la confirmation de votre e-mail et de votre dernière connexion ; le fait que vous avez confirmé avoir 18 ans ou plus, et quand (pas votre date de naissance : nous ne la vérifions pas) ; la version des conditions que vous avez acceptée, et quand ; et la langue dans laquelle vous utilisez l’app, pour que nos e-mails vous parviennent dans cette langue.
• Pour chaque session et chaque connexion, le système d’authentification enregistre votre adresse IP et le type d’appareil ou de navigateur, dans un journal des événements d’accès (inscription, connexion, modifications, suppression). Les journaux techniques de la plateforme que nous utilisons (Supabase) et du serveur vocal (LiveKit) contiennent aussi l’adresse IP de chaque connexion, comme pour tout service sur internet.

A.1a Se connecter avec Google

Vous pouvez aussi créer votre compte Roadby et vous connecter avec votre compte Google (« Continuer avec Google »). La connexion avec Apple n’est pas encore disponible.

• Ce que nous recevons de Google. Un identifiant de votre compte Google, votre adresse e-mail et l’indication que Google l’a vérifiée ou non, votre nom (prénom et nom de famille) et l’adresse de votre photo de profil Google. Nous ne demandons à Google que ces informations de connexion de base : nous n’obtenons aucun accès à vos contacts, à Drive, à Gmail ni à quoi que ce soit d’autre, et nous ne publions jamais rien sur votre compte Google.
• Ce que nous utilisons. Votre adresse e-mail devient l’e-mail de votre compte, et votre prénom (jamais votre nom de famille) sert à remplir le nom de votre profil, que vous pouvez modifier avant de créer le compte. Vous choisissez votre @pseudo. Nous n’utilisons pas votre photo Google.
• Ce qui est conservé. Notre fournisseur d’authentification (Supabase) conserve ce que Google envoie, y compris votre nom complet et l’adresse de votre photo Google, lié à votre compte tant qu’il existe, et le met à jour chaque fois que vous vous connectez avec Google. Roadby ne l’utilise plus après votre inscription.
• Avant que le compte n’existe. Entre « Continuer avec Google » et la création de votre compte, le @pseudo et le nom que vous choisissez, votre adresse e-mail, votre identifiant Google et vos deux confirmations sont conservés dans une table privée pendant une heure au maximum, puis sont supprimés.
• Sur votre téléphone. L’app mémorise quels comptes Google se sont connectés sur ce téléphone (un identifiant fourni par Google et l’identifiant de votre compte Roadby), pour pouvoir vous connecter plus rapidement la fois suivante. La déconnexion ne l’efface pas ; la suppression de votre compte sur ce téléphone, si.
• Si vous avez déjà un compte avec cet e-mail. Se connecter avec Google y associe Google. Si ce compte n’a jamais été confirmé, il devient le vôtre : son ancien mot de passe, ses sessions et les liens ou codes en attente sont supprimés, la case « nouveautés et offres » est décochée, et la confirmation d’âge et l’acceptation des conditions enregistrées par la personne qui l’a créé sont supprimées.
• Le rôle de Google. Google est responsable de sa propre connexion, et saura que vous utilisez Roadby : il fait figurer Roadby parmi les applications connectées à votre compte Google, où vous pouvez aussi la déconnecter.
• L’utilisation et le transfert par Roadby des informations reçues des API Google respecteront la Google API Services User Data Policy (le règlement de Google sur les données utilisateur des services d’API).
• Suppression de votre compte. Si votre compte n’a pas de mot de passe parce que vous vous connectez uniquement avec Google, sa suppression dans l’app demande un code à 6 chiffres que nous vous envoyons par e-mail (il n’est valable qu’une seule fois, pendant 1 heure).

A.2 Profil public et photo

Votre profil comporte exactement ces champs : nom affiché, @pseudo, une bio facultative (80 caractères au maximum) et une photo facultative. En dehors de la confirmation que vous avez 18 ans ou plus (A.1), nous ne vous demandons ni votre âge, ni votre numéro de téléphone, ni rien d’autre.

• Les personnes suivantes voient votre fiche (nom, @pseudo, bio, photo) : toute personne à votre portée (voir A.3), que vous soyez ou non dans le salon vocal ; vos amis ; toute personne qui vous a envoyé une demande d’ami ou en a reçu une de votre part ; toute personne qui vous a dans son historique ; toute personne avec qui vous avez une conversation, et les membres de tout groupe dont vous faites partie ; toute personne qui a bloqué votre compte (dans sa liste d’utilisateurs bloqués, pour pouvoir vous débloquer) ; et tout utilisateur qui connaît votre @pseudo.
• N’importe qui, même sans compte, peut vérifier si un @pseudo existe (sans obtenir votre fiche).
• Toute personne qui ouvre votre profil voit votre fiche, vos badges (voir A.6a) et les amis que vous avez en commun avec elle (A.5). Le temps que vous avez partagé avec cette personne dans un salon apparaît dans l’Historique de chacun de vous deux (A.6) et à côté d’une demande d’ami que l’un de vous reçoit de l’autre.
• Notre serveur calcule aussi certains compteurs vous concernant (temps total dans les salons, jours passés dans les salons, personnes croisées et nombre d’amis). Il ne les envoie, avec le mois de votre inscription, qu’à votre propre app, jamais à personne d’autre, et l’app ne les affiche pas aujourd’hui.
• Votre photo de profil est stockée dans un espace de stockage de fichiers public : toute personne qui connaît son adresse peut la voir sans se connecter, même si vous bloquez ensuite cette personne. Elle est supprimée lorsque vous supprimez votre compte ou que vous la remplacez par une autre. Il ne peut y avoir qu’une seule photo et, aujourd’hui, l’app ne vous permet pas de la retirer sans la remplacer ; si vous voulez qu’elle soit retirée, écrivez-nous et nous le ferons pour vous.

Filtre automatique des photos. Lorsque vous mettez en ligne une photo de profil, nous l’envoyons à l’API SafeSearch de Google Cloud Vision (Google LLC) pour une vérification automatique de contenu explicite, via le point de terminaison européen du service. L’engagement contractuel de Google en matière de localisation des données pour Cloud Vision ne couvre que la fonction de reconnaissance de texte ; nous ne pouvons donc pas garantir que cette analyse soit traitée exclusivement au sein de l’Union européenne. Google renvoie une probabilité pour cinq catégories (contenu pour adultes, violent, médical ou osé, et images falsifiées ou manipulées) ; Roadby ne rejette une photo que si Google signale un contenu pour adultes ou violent à son niveau le plus élevé, et nous ne demandons aucune autre fonction d’analyse (étiquettes, visages, texte). Si une photo est rejetée, il ne reste dans les journaux techniques du serveur que le verdict de Google, sans l’image et sans l’identifiant de votre compte. Si le filtre n’est pas disponible (panne ou configuration manquante), la photo est publiée sans être analysée, et une trace de ce fait, sans vous identifier non plus, est laissée dans ces mêmes journaux. Pour limiter les abus, vous pouvez changer votre photo de profil au maximum deux fois toutes les 24 heures (une photo rejetée par le filtre compte aussi), et nous analysons au maximum 5 photos par compte et par jour. Pour ce décompte, le serveur conserve pendant 24 heures l’heure et une empreinte (un résumé cryptographique) de chaque tentative, ainsi qu’un compteur journalier des tentatives qui est écrasé le jour suivant où vous essayez ; les deux sont supprimés avec votre compte. Les photos de groupe passent par le même filtre (voir A.5b).

A.3 Localisation

C’est la donnée la plus sensible de l’app, et celle dont nous prenons le plus soin :

• En dehors d’un salon vocal, votre position n’est relevée que lorsque l’app est à l’écran et que votre session est ouverte, avec l’autorisation de localisation « pendant l’utilisation de l’app ». Pendant que vous êtes dans un salon vocal (à partir du moment où vous appuyez sur Rejoindre et jusqu’à ce que vous appuyiez sur Quitter), Roadby continue de relever et de partager votre position même lorsque votre écran est éteint ou qu’une autre app, comme une carte, est au premier plan, pour que les personnes proches de vous puissent continuer à vous entendre pendant que vous conduisez. Sur Android, cela fonctionne comme un service de premier plan, avec une notification permanente qui indique que le salon est actif, et cela s’arrête dès que vous quittez le salon. Avant la première fois que vous appuyez sur Rejoindre, l’app vous l’explique et vous laisse choisir de ne pas rejoindre le salon. Nous ne demandons jamais la localisation « tout le temps » (en arrière-plan). Si votre téléphone ne reçoit aucune nouvelle position GPS pendant deux minutes, l’app cesse de partager votre dernière position connue au lieu de la répéter, et vous disparaissez du radar jusqu’au retour du signal.
• Votre position exacte voyage chiffrée jusqu’au serveur et transite par celui-ci avant d’être enregistrée ; avant d’être écrite, elle est arrondie à une grille d’environ 50 mètres. Nous n’enregistrons que votre dernière position : il n’existe aucun historique de localisation, de quelque nature que ce soit. Pour comptabiliser le temps que vous partagez avec d’autres personnes (A.6), le serveur conserve aussi, pendant 5 minutes au maximum, une note indiquant quelles paires d’utilisateurs étaient à portée l’une de l’autre et quand — jamais où.
• Cette position expire au bout de 5 minutes, et cesse d’être visible pour les autres après 45 secondes sans mise à jour.
• Une autre personne ne reçoit jamais votre position, votre distance ni votre direction. En ce qui concerne votre localisation, son app ne reçoit que deux choses : si vous êtes à portée, et un niveau de volume en quatre paliers (plein, trois quarts, moitié et un quart). La portée est la même pour tout le monde et elle est fixée par notre serveur : vous êtes à portée lorsque vous vous trouvez à environ 400 mètres l’un de l’autre ou moins. Jusqu’à environ 300 mètres, le volume est plein, quelle que soit la distance entre vous ; entre environ 300 et 400 mètres, il baisse, palier par palier ; au-delà d’environ 400 mètres, vous sortez de la portée l’un de l’autre et disparaissez du radar l’un de l’autre. Entre 300 et 400 mètres, le niveau de volume permet de situer la distance entre vous à une tranche d’environ 25 mètres près. Toutes les distances sont approximatives : les positions sont arrondies à une grille d’environ 50 mètres et, aux vitesses d’autoroute, peuvent dater de quelques secondes.
• Le serveur écarte les positions impossibles (des sauts qu’aucun véhicule ne pourrait faire) et applique la même portée à tout le monde ; l’app ne peut pas la modifier.

A.4 Voix

• Le salon vocal est fourni par LiveKit Cloud. Ce qui vous y identifie est un code aléatoire propre à chaque session, sans lien avec votre compte, votre nom ou votre e-mail. Le laissez-passer d’accès que notre serveur remet à votre téléphone ne permet que d’envoyer l’audio du micro (ni vidéo, ni écran, ni données), et LiveKit ne reçoit jamais votre nom, votre @pseudo, votre e-mail, votre compte, votre position ni vos messages.
• Votre micro n’est connecté que lorsque quelqu’un dans votre salon peut vous entendre, et il est de nouveau déconnecté 2 minutes après le départ de la dernière de ces personnes ; tant que personne d’autre n’est dans le salon, votre voix n’est pas du tout connectée. Vous pouvez couper votre micro à tout moment.
• La voix est en direct et n’est jamais enregistrée, exportée ni transcrite, à aucun moment.
• Seules les personnes à portée à ce moment-là peuvent vous entendre (voir A.3) : à plein volume jusqu’à environ 300 mètres, puis moins fort jusqu’à environ 400 mètres. Aucune personne que vous avez bloquée, ou qui a bloqué votre compte, ne peut jamais vous entendre ; en mode Amis, seuls vos amis le peuvent.
• Sur Android, pendant que vous êtes dans le salon, un service de premier plan avec une notification permanente maintient le micro ouvert et votre localisation à jour, même si vous verrouillez l’écran ou ouvrez une autre app. La notification indique l’état du salon (par exemple, combien de personnes sont connectées, ou qu’il attend un signal GPS) et comporte les boutons Couper le micro et Quitter. Si vous avez rejoint le salon sans autoriser le micro, le service se contente de maintenir votre localisation à jour. Il se ferme lorsque vous quittez le salon.
• Pendant toute la durée de votre session vocale, notre serveur conserve le salon dans lequel vous êtes (Global ou Amis), le moment où votre téléphone s’est manifesté pour la dernière fois, si votre voix est connectée et, si vous répondez à un appel téléphonique pendant que vous êtes dans le salon, l’heure de début et de fin de l’appel (ce temps n’est pas comptabilisé dans votre historique). Tout cela est supprimé à la fin de la session. Par ailleurs, le serveur additionne un seul total mensuel de minutes de voix pour l’ensemble de Roadby, sans noms ni horaires, afin de rester dans les limites de la formule de notre fournisseur de voix.

A.5 Amis, demandes et blocages

• Les demandes d’ami restent visibles pour la personne qui les envoie et pour celle qui les reçoit jusqu’à ce qu’elles soient acceptées, refusées ou annulées.
• Pour limiter l’envoi à 50 demandes par jour, le serveur conserve pendant 7 jours un registre interne indiquant qui a envoyé chaque demande et à qui ; il n’est montré à personne.
• Les autres utilisateurs ne voient jamais la liste complète de vos amis : une personne qui ouvre votre profil ne voit que les amis que vous avez en commun avec elle, sous forme de liste avec leurs noms et leurs photos (une amitié nouée aujourd’hui n’apparaît qu’à partir du lendemain).
• Si vous bloquez quelqu’un, cette personne ne le sait pas : l’app lui répond comme si votre compte n’existait pas, et dans ses discussions vous apparaissez comme « Utilisateur de Roadby ». Le blocage est immédiat et réciproque : vous cessez de vous voir mutuellement sur le radar, dans le salon, dans votre historique et dans les notifications ; tout message de sa part qui ne vous était pas encore parvenu est supprimé de notre serveur, une demande de message de sa part disparaît, et votre conversation reste sur votre téléphone pour que vous puissiez la lire. Dans un groupe dont vous faites tous deux partie, vous en restez membres et continuez de voir le nom, le @pseudo et la photo l’un de l’autre (l’autre personne peut donc deviner le blocage), mais ses messages vous arrivent masqués (« Message d’une personne que vous avez bloquée. »), ses liens ne peuvent pas être ouverts, et cette personne ne peut ni vous notifier ni vous mentionner. Vous pouvez l’annuler depuis Réglages › Compte › Utilisateurs bloqués.

A.5a Messages et demandes de message

Vous pouvez écrire des messages texte à d’autres utilisateurs, en tête-à-tête et en groupe (A.5b). Les messages sont uniquement textuels : vous ne pouvez pas y envoyer de photos, de messages vocaux, de vidéos ni de fichiers, et l’app ne crée pas d’aperçus de liens.

• Qui peut vous écrire. Vos amis, et toute personne avec qui vous avez déjà une conversation acceptée, peuvent vous écrire directement. Toute autre personne peut vous envoyer une seule demande de message, que vous pouvez accepter ou supprimer ; elle ne peut pas en envoyer d’autre tant que vous ne l’avez pas acceptée. Lire une demande n’en informe pas la personne qui l’a envoyée, et la supprimer ne lui envoie aucune notification. Vous choisissez qui peut vous envoyer des demandes dans Réglages › Messages › Qui peut m’écrire : Tout le monde (par défaut), Personnes croisées (toute personne qui a partagé un salon avec vous) ou Amis seulement. Il n’existe pas d’annuaire des utilisateurs : quelqu’un ne peut vous joindre que par le salon, son historique, des amis en commun ou votre @pseudo exact.
• Où se trouvent les messages. Les messages se trouvent sur vos téléphones, dans le stockage privé de l’app. Notre serveur ne conserve chaque message que jusqu’à ce qu’il soit arrivé sur tous les téléphones du destinataire, puis le supprime ; un message que personne ne récupère est supprimé au bout de 30 jours, et les copies de ce que vous écrivez destinées à vos autres téléphones au bout de 14 jours.
• Pas de chiffrement de bout en bout. Les messages circulent chiffrés (HTTPS), mais ils ne sont pas chiffrés de bout en bout : pendant qu’un message attend d’être distribué sur notre serveur (30 jours au maximum), il y est stocké sous une forme lisible, et les administrateurs de Roadby pourraient techniquement le lire. Nous ne lisons pas les messages, à l’exception des copies jointes à un signalement (A.7).
• Ce que le serveur conserve sans le texte. Pour chaque conversation : entre qui elle a lieu, quand elle a commencé, jusqu’où chacun de vous l’a reçue et lue (pour « Distribué » et « Vu »), le nombre de messages non lus, si elle est acceptée, s’il s’agit d’une demande ou si elle a été refusée, si chacun de vous l’a mise en sourdine, et si chacun de vous y a déjà écrit voiture à l’arrêt (pour un badge, A.6a). Ces données sont supprimées après 12 mois sans messages, ou lorsque l’un de vous supprime son compte. Nous conservons aussi, sans aucun texte, un identifiant de chaque message envoyé (7 jours) pour qu’un nouvel essai d’envoi ne crée pas de doublon, les téléphones qui récupèrent vos messages (jusqu’à 30 jours sans utilisation) et vos réglages de messages.
• « Distribué » et « Vu ». « Distribué » s’affiche lorsqu’un message arrive sur l’un des téléphones de l’autre personne. « Vu » n’apparaît que dans les conversations acceptées et seulement si chacun de vous a activé les Confirmations de lecture (elles sont activées par défaut) ; les désactiver fonctionne dans les deux sens.
• En conduisant. Si le GPS de votre téléphone indique que la voiture roule, l’app masque vos messages et certains autres écrans jusqu’à ce que vous confirmiez que quelqu’un d’autre conduit (« Je ne conduis pas »). Ce calcul se fait sur votre téléphone ; notre serveur ne reçoit, avec chaque message que vous envoyez, que l’indication que la voiture roulait ou non, et uniquement pour conserver les marques décrites ci-dessus.
• Suppression. Supprimer une discussion la supprime pour vous, sur tous vos téléphones ; l’autre personne garde sa copie. Ce que vous avez envoyé reste sur les téléphones des personnes qui l’ont reçu, même si vous supprimez votre compte.
• Déconnexion. Vos messages restent sur votre téléphone, verrouillés, et réapparaissent lorsque vous vous reconnectez avec le même compte ; un autre compte sur ce téléphone ne peut pas les ouvrir.
• Liens. Les liens contenus dans les messages sont détectés sur votre téléphone et s’ouvrent dans votre navigateur, en dehors de Roadby ; nous ne les visitons pas, nous ne créons pas d’aperçus et nous ne savons pas quels liens vous ouvrez. Le site web que vous ouvrez voit votre visite comme n’importe quelle autre, et quiconque le contrôle peut apprendre que vous avez lu le message. Les liens qui semblent suspects sont marqués comme tels et demandent une confirmation avant de s’ouvrir.

A.5b Groupes

• Seuls vos amis peuvent vous ajouter à un groupe, et vous n’avez pas à l’accepter ; des inconnus ne peuvent jamais vous ajouter. Un groupe peut compter jusqu’à 256 membres. Dans un groupe, chacun voit le nom, le @pseudo et la photo de chaque membre, y compris des amis d’amis inconnus.
• Les messages de groupe fonctionnent comme les autres messages (A.5a) : chacun d’eux attend sur notre serveur, sans chiffrement de bout en bout, jusqu’à ce qu’il arrive sur les téléphones de chaque membre (30 jours au maximum), puis il n’existe plus que sur les téléphones des membres. Ce que vous écrivez reste sur les téléphones des autres membres même si vous quittez le groupe ou supprimez votre compte.
• Mentions. Lorsque vous mentionnez quelqu’un avec @, le message porte la liste des personnes qu’il mentionne ; cette liste parvient à chaque membre, attend avec le message et est conservée sans le texte, avec les identifiants des messages, pendant 30 jours. Une mention notifie la personne mentionnée même si elle a mis le groupe en sourdine (sans son pendant qu’elle est dans le salon ou au volant).
• Infos. Pour chacun de vos propres messages des 30 derniers jours, vous pouvez voir qui l’a lu et qui l’a reçu, sans les heures. « Lu » ne s’affiche que si chacun de vous a activé les Confirmations de lecture et qu’il n’y a pas de blocage ; « reçu » s’affiche même si l’autre personne a désactivé les Confirmations de lecture.
• Ce que le serveur conserve. Le nom du groupe, sa photo, qui l’a créé, qui a défini le nom et la photo actuellement affichés (pour qu’un signalement concernant le groupe puisse être adressé à ces personnes), le nombre de membres et le moment où quelqu’un a écrit pour la dernière fois ; et, pour chaque membre, s’il en fait partie, s’il est admin, qui l’a ajouté, quand il l’a rejoint ou quitté, jusqu’où il l’a reçu et lu, et s’il l’a mis en sourdine. Pour les personnes qui l’ont quitté, 30 jours.
• Photo de groupe. N’importe quel membre peut la définir ou la supprimer. Chaque personne peut définir au maximum 2 photos de groupe toutes les 24 heures, tous ses groupes confondus (une photo rejetée par le filtre compte aussi ; en supprimer une, non). Avant toute chose, notre serveur retire les données cachées de la photo (comme sa position GPS, sa date et le modèle du téléphone), et elle passe toujours par le filtre de Google Cloud Vision (A.2) : si le filtre n’est pas disponible, la photo n’est pas définie. Les photos de groupe sont stockées de manière privée : seuls les membres actuels peuvent voir celle qui est affichée, via des liens qui expirent au bout d’une heure. Pour chaque changement, nous conservons pendant 24 heures qui l’a fait, dans quel groupe, quand, ainsi qu’une empreinte de la photo. Une photo supprimée ou remplacée est effacée, sauf si un signalement concernant le groupe datant des 90 derniers jours y fait référence ; elle est alors conservée jusqu’à l’expiration de ces 90 jours. La photo de groupe appartient au groupe : elle n’est pas supprimée lorsque le membre qui l’a définie supprime son compte.
• Quitter et fermer. Lorsque vous quittez un groupe, seuls les admins le voient, sauf si vous cochez « Prévenir tout le groupe » ; vous gardez la conversation pour pouvoir la lire. Les admins peuvent retirer des membres, et Roadby peut fermer un groupe (nous conservons pendant 12 mois une note indiquant que nous l’avons fermé). Les noms des groupes sont choisis par les membres et sont modérés au moyen des signalements.

A.6 Historique du temps partagé

Pour chaque paire d’utilisateurs, nous enregistrons le nombre cumulé de secondes que vous avez passées ensemble dans un salon vocal, ainsi que la date et l’heure de votre première et de votre dernière rencontre ; jamais le lieu, la liste de chaque rencontre ni le contenu de l’audio. Seul compte le temps passé avec des personnes que notre serveur a placées à votre portée au cours des 90 secondes précédentes, avec la voix connectée et pas pendant que l’un de vous est en communication téléphonique. Il s’agit d’une seule ligne partagée entre vous deux : si l’une des deux personnes supprime son compte, l’autre perd aussi ce temps dans son historique ; si vous bloquez quelqu’un, la ligne n’est pas supprimée, elle est masquée tant que dure le blocage. L’app ne permet pas encore de supprimer des entrées individuelles de votre historique ; si vous voulez en faire supprimer une sans supprimer votre compte, écrivez-nous à support@roadby.app et nous le ferons pour vous (comme la ligne est partagée, l’autre personne perd aussi ce temps). Lorsque vous faites une recherche dans votre Historique, ce que vous tapez n’est envoyé à notre serveur que pour répondre à la recherche, à l’intérieur de la requête (jamais dans l’adresse web), et n’est pas conservé ; la recherche ne porte que sur les personnes avec qui vous avez partagé un salon.

A.6a Badges

Roadby propose cinq badges, avec des niveaux de 1 à 10 (Personnes croisées, Habitués, Bande, Échanges et Temps partagé). Ils sont calculés à partir de votre historique, de vos amitiés, des marques de vos conversations (A.5a) et de votre temps passé dans les salons. Ils n’utilisent jamais votre position, ni les lieux, ni les kilomètres ; la seule donnée de conduite qu’ils utilisent est le fait que la voiture roulait ou non lorsque vous avez écrit, car le badge Échanges ne compte que les messages écrits voiture à l’arrêt (un message écrit pendant qu’elle roule ne compte pas, même si vous avez indiqué « Je ne conduis pas »). Toute personne qui ouvre votre profil voit le niveau de chaque badge, une barre de progression par paliers de 10 % et jusqu’à 3 badges que vous avez épinglés. Vous pouvez tous les masquer aux autres avec Réglages › Compte › Afficher les badges sur mon profil (activé par défaut). Notre serveur conserve, pour chaque badge, ce que vous avez obtenu et les décomptes sur lesquels il repose, vos badges épinglés et le fait que vous les masquiez ou non et, pour empêcher la triche, si un compte a été gelé manuellement et les jours où il a atteint la limite quotidienne de 12 heures dans les salons (35 jours). Tout cela est supprimé avec votre compte. L’onglet Boutique affiche les badges payants comme « Bientôt » : rien ne peut être acheté, et l’app ne se connecte pas au système de facturation de Google Play.

A.7 Signalements

Vous pouvez signaler un autre utilisateur depuis son profil, une conversation ou une demande de message depuis son menu, un seul message en appuyant longuement dessus, et un groupe depuis son menu. Les motifs forment une liste fermée : harcèlement ou intimidation, discours haineux, comportement dangereux sur la route, spam ou arnaque, contenu sexuel ou impliquant un mineur, et autre chose ; il n’y a pas de texte libre. Le signalement est anonyme pour la personne signalée (et, dans un groupe, pour les autres membres), mais pas pour les administrateurs de Roadby, qui peuvent l’examiner.

• Lorsque vous signalez depuis une discussion, votre téléphone envoie une copie des 5 derniers messages que la personne signalée y a envoyés, tels qu’ils vous sont parvenus (aucun des vôtres), avec un sceau que notre serveur a ajouté à l’envoi de chacun d’eux, pour que personne ne puisse fabriquer de preuves. Un signalement concernant un groupe est adressé à la personne qui a défini la photo affichée ou, s’il n’y en a pas, à celle qui a défini le nom, et il conserve la photo qui était affichée (A.5b).
• Chaque nouveau signalement envoie aux administrateurs de Roadby une notification qui indique seulement qu’il y a un nouveau signalement et combien n’ont pas encore été examinés : jamais le motif ni les personnes concernées.
• Les copies des messages signalés sont conservées pendant au moins 90 jours après leur création ; ensuite, elles sont supprimées dès que le signalement a été examiné, et au plus tard 12 mois après leur création. Si la personne signalée supprime son compte, le signalement lui-même est supprimé, mais la copie des messages est conservée jusqu’à 90 jours après sa création. Si vous supprimez votre compte, les signalements que vous avez faits sont conservés sans votre nom.
• Blocage de comptes. Nous pouvons bloquer un compte qui enfreint nos règles, temporairement ou pour une durée indéterminée. Un compte bloqué ne peut pas rejoindre le salon, apparaître sur le radar de qui que ce soit ni envoyer de messages ou de demandes, mais il peut toujours se connecter, lire ses propres messages, signaler, bloquer et se supprimer. Nous conservons la date de début et de fin du blocage ainsi que le motif que nous avons rédigé ; l’app sait seulement qu’il est bloqué et jusqu’à quand. Ces données sont supprimées avec le compte.

A.8 Notifications push

Roadby envoie les notifications suivantes : quelqu’un vous envoie une demande d’ami ; quelqu’un accepte votre demande d’ami ; quelqu’un vous envoie un message (avec son nom affiché et le nombre de messages, jamais le texte) ; vous avez une nouvelle demande de message (sans dire de qui) ; et, dans un groupe, un nouveau message (avec le nom du groupe et le nom affiché de la personne qui l’envoie), le fait que quelqu’un vous ajoute à un groupe, ou vous mentionne. Les notifications sont rédigées dans la langue de l’app sur chaque téléphone : nous conservons donc cette langue avec le jeton du téléphone. Pour les acheminer, nous utilisons un jeton technique de votre appareil (via Expo et, sur Android, Firebase Cloud Messaging de Google), et la notification transite par ces deux services avec les noms qui y figurent ; elle ne contient jamais le texte d’un message, votre photo, votre @pseudo ni votre localisation. Pour Android Auto (A.8a), votre téléphone reçoit aussi des notifications de données seules qui contiennent le nom affiché de la personne qui écrit, la conversation ou le groupe, le nombre de messages non lus et, en cas de mention, le nom de la personne qui l’a faite, là encore sans le texte, pour que votre téléphone puisse récupérer lui-même les nouveaux messages. Nous conservons pendant 30 jours un registre indiquant qui a notifié qui (type, heure et jusqu’à quel message), uniquement pour limiter le nombre de notifications envoyées. Les administrateurs de Roadby reçoivent aussi des notifications concernant les nouveaux signalements et l’utilisation du service vocal, qui ne contiennent les données de personne.

A.8a Android Auto

Si vous connectez votre téléphone à Android Auto, les messages non lus de vos amis et de vos groupes (de n’importe quel membre, sauf les personnes que vous avez bloquées ; au maximum les 10 derniers de chaque conversation, chacun tronqué à 500 caractères) s’affichent sur l’écran de votre voiture et sont lus à voix haute par la voix de Google. Les messages de personnes qui ne sont pas vos amis, y compris les demandes de message, ne sont jamais lus dans la voiture, sauf au sein d’un groupe. Pour répondre, vous dictez : Google transcrit ce que vous dites et Roadby ne reçoit que le texte, qui est envoyé comme un message normal. La discussion ne s’ouvre jamais sur l’écran de la voiture. Tout cela se passe entre vous, votre téléphone et Google, selon les propres conditions de Google : Roadby ne reçoit aucun audio et ne contrôle pas ce que Google conserve. Lorsque vous déconnectez votre téléphone d’Android Auto, les notifications redeviennent dépourvues de texte, et la déconnexion de votre compte les supprime.

A.9 E-mails liés au compte

Nous envoyons des e-mails pour confirmer l’inscription, réinitialiser votre mot de passe et changer votre adresse e-mail et, si votre compte n’a pas de mot de passe, le code à 6 chiffres permettant de le supprimer (il n’est valable qu’une seule fois, pendant 1 heure). Ils sont envoyés par l’intermédiaire de notre fournisseur d’authentification (Supabase), avec Resend comme serveur d’envoi, depuis no-reply@mail.roadby.app, dans la langue dans laquelle vous utilisez l’app (en anglais si nous ne la connaissons pas encore). Les e-mails pour confirmer votre inscription, définir un nouveau mot de passe ou changer votre adresse e-mail affichent leur bouton sous forme d’image, que votre application de messagerie télécharge depuis roadby.app lorsqu’elle affiche l’e-mail : Cloudflare, qui héberge ce site web (partie B), reçoit alors votre adresse IP et le type d’application de messagerie ou de navigateur. L’image est la même pour toutes les personnes qui lisent cet e-mail dans la même langue, si bien qu’elle ne nous indique pas qui l’a ouvert. Notre fournisseur d’authentification peut aussi vous envoyer des avis de sécurité lorsque votre mot de passe ou votre adresse e-mail change, ou lorsqu’un nouveau moyen de connexion est associé à votre compte ; ce sont des e-mails de service, pas de la prospection commerciale. Ils ne sont pas envoyés dans tous les cas : par exemple, pas lorsque vous changez votre mot de passe depuis Réglages › Compte, ni lorsque la connexion avec Google associe Google à un compte existant ayant le même e-mail.

A.10 E-mails de nouveautés et d’offres (facultatifs)

Lors de l’inscription, il y a une case facultative, décochée par défaut et distincte de la case obligatoire par laquelle vous acceptez les conditions d’utilisation et la présente politique de confidentialité : « Envoyez-moi par e-mail les nouveautés et les offres de Roadby ». Si vous la cochez, nous enregistrons ce oui avec sa date ; chaque fois que vous l’activez ou la désactivez ensuite, nous enregistrons aussi ce changement avec sa date. Chaque entrée indique également où elle a été faite (inscription, réglages de l’app ou lien de désinscription d’un e-mail) et quelle version du texte vous avez vue, afin que nous puissions montrer à quoi vous avez consenti et quand. Vous pouvez changer d’avis à tout moment depuis Réglages › Compte › « Nouveautés et offres par e-mail ». Nous n’écrivons qu’aux adresses e-mail confirmées, et seuls les administrateurs de Roadby peuvent extraire la liste des destinataires. Nous n’avons pas encore choisi de fournisseur pour ces e-mails, et aucun n’a été envoyé à ce jour ; nous nommerons ce fournisseur ici avant l’envoi du premier.

A.11 Ce qui reste sur votre appareil

Vos jetons de session (qui contiennent votre e-mail et l’identifiant de votre compte) sont conservés dans le stockage privé de l’app et sont supprimés lorsque vous vous déconnectez ou supprimez votre compte dans l’app ; vous déconnecter de Roadby vous déconnecte sur tous vos téléphones. Vos messages se trouvent dans une base de données sur votre téléphone, dans le stockage privé de l’app, avec l’état de chaque conversation (nombre de messages non lus, si vous l’avez mise en sourdine et tout brouillon que vous n’avez pas envoyé), vos groupes, les mentions de chaque message, le lien vers chaque photo de groupe (qui expire au bout d’une heure) et un index des mots de vos messages pour la recherche de l’onglet Chats. Cette base de données conserve aussi une fiche pour chaque personne avec qui vous avez une conversation et pour chaque membre de vos groupes : son nom, son @pseudo et l’adresse de sa photo, si vous l’avez bloquée, si elle apparaît désormais comme « Utilisateur de Roadby » (A.5) et, dans les groupes, son rôle et si elle est toujours membre. La base de données reste sur le téléphone lorsque vous vous déconnectez et est supprimée lorsque vous supprimez votre compte sur ce téléphone (si cela n’est pas possible à ce moment-là, à la prochaine ouverture de l’app avec une connexion ; si nous supprimons le compte pour vous à la suite d’une demande par e-mail, également à la prochaine ouverture de l’app avec une connexion). L’app conserve aussi un code aléatoire de ce téléphone pour les discussions, les comptes Google qui s’y sont connectés (A.1a), la langue et le thème que vous avez choisis et, pendant 7 jours au maximum, un lien d’invitation que vous avez ouvert avant d’avoir un compte. En dehors de ces fiches, le radar, votre liste d’amis, votre historique et les profils des autres sont conservés en mémoire et disparaissent lorsque vous fermez l’app ; la photo recadrée peut rester dans le cache temporaire jusqu’à ce que le système le vide. Les réglages de l’appareil (mode du salon, réglages audio, sons du salon, Sourdine en stationnement et Quitter en stationnement) sont stockés localement : ils survivent à la déconnexion, car ils appartiennent à l’appareil et non au compte, et reprennent leurs valeurs par défaut lorsque vous supprimez votre compte depuis cet appareil. L’interrupteur « Sauvegarder les messages » (A.11a) appartient lui aussi au téléphone, pour tous les comptes qui s’y connectent : la suppression de votre compte ne le modifie pas, et il reste tel que vous l’avez laissé jusqu’à ce que vous le changiez ou que vous désinstalliez l’app.

Les versions de test de l’app (celles que nous distribuons à la main le temps de finir Roadby, jamais la version pour Google Play) conservent aussi sur le téléphone un journal des temps : quand vous rejoignez et quittez le salon, combien de temps la voix met à se connecter, les coupures de la voix, le temps que Roadby passe en arrière-plan, les requêtes vers notre serveur qui ont échoué et les erreurs de l’app, sans identifiants de compte, noms, @pseudos ni positions. Il ne garde que les deux dernières fois où l’app a été ouverte, il est supprimé lorsque vous vous déconnectez, et il ne quitte votre téléphone que si vous le partagez vous-même avec « Share timing log », dans Réglages › Compte › Aide et assistance.

A.11a Vos messages dans la sauvegarde de votre téléphone

Si votre téléphone sauvegarde les apps sur votre compte Google et dispose d’un verrouillage de l’écran, Android peut inclure la base de données des messages de Roadby dans cette sauvegarde, chiffrée avec votre verrouillage de l’écran (au maximum une fois par jour, et seulement jusqu’à 25 Mo). Rien d’autre de Roadby n’y figure. Vous pouvez exclure vos messages avec Réglages › Messages › Sauvegarder les messages (activé par défaut, pour chaque téléphone) ; la sauvegarde suivante les laisse alors de côté, généralement dans la journée. Lorsque vous transférez vos données directement d’un téléphone à un autre, vos messages sont transférés aussi, même si cet interrupteur est désactivé. La sauvegarde se trouve dans votre compte Google : Roadby ne peut ni la voir ni la contrôler.

A.12 Avec qui nous partageons les données (sous-traitants et autres destinataires)

Lorsqu’un fournisseur a son siège ou traite des données en dehors de l’Espace économique européen, il peut y avoir un transfert international de données. Notre conseiller juridique est en train de confirmer quelle garantie encadre chacun de ces transferts (par exemple, les clauses contractuelles types de la Commission européenne), et cette section la précisera pour chaque fournisseur une fois la relecture terminée.

A.13 Ce que Roadby ne fait pas, et les autorisations qu’elle demande

L’app n’utilise aucun outil d’analyse, de publicité ou de suivi, de quelque nature que ce soit (le service de mises à jour décrit en A.12 reçoit, tout au plus, le texte de la dernière erreur qui a fermé l’app) ; elle n’accède ni à vos contacts ni à l’appareil photo (l’autorisation d’accès à l’appareil photo est bloquée dans l’app) ; elle ne demande pas l’autorisation de lire vos photos ou vos fichiers : elle se contente d’ouvrir le sélecteur de photos du système lorsque vous choisissez une photo de profil ou de groupe, et ne reçoit que l’image que vous sélectionnez ; elle n’enregistre, ne stocke ni ne transcrit jamais la voix du salon (ce que vous dictez dans Android Auto est transcrit par Google, A.8a) ; elle n’utilise pas le déverrouillage par empreinte digitale, par reconnaissance faciale ou par code PIN ; et elle ne demande pas la localisation « tout le temps » : elle n’utilise votre localisation avec l’app en arrière-plan que pendant que vous êtes dans un salon vocal, comme décrit en A.3. Voici les autorisations que l’app déclare sur Android, et à quoi sert chacune d’elles :

• Localisation (précise et approximative, uniquement pendant l’utilisation de l’app) : pour savoir qui est près de vous (A.3).
• Micro : pour votre voix dans le salon (A.4) ; l’app demande cette autorisation après la création de votre compte, sur un écran qui explique d’abord pourquoi, ou lorsque vous appuyez sur Rejoindre.
• Service de premier plan pour le micro et la localisation : permet au salon de continuer à fonctionner, avec sa notification permanente, pendant que l’écran est éteint ou qu’une autre app est au premier plan, et s’arrête lorsque vous quittez le salon (A.3 et A.4).
• Notifications : pour vous montrer les notifications décrites en A.8 et la notification du salon.
• Réception des notifications push (Firebase Cloud Messaging) : pour que ces notifications arrivent sur votre téléphone (A.8).
• Bluetooth : pour que la voix du salon puisse passer par le Bluetooth de votre voiture, et pour que Sourdine en stationnement et Quitter en stationnement puissent savoir quand le Bluetooth de votre voiture se déconnecte ; ce calcul se fait sur votre téléphone et ne nous est pas envoyé. Sur Android 12 et les versions ultérieures, l’app demande cette autorisation en même temps que le micro.
• Gestion de ses propres appels : permettrait au salon de fonctionner comme un appel sur Android, pour qu’Android envoie lui-même la voix à votre voiture et qu’un véritable appel téléphonique mette le salon en attente ; cette fonction est désactivée aujourd’hui, et l’app ne l’utilise pas.
• Facturation Google Play : elle est fournie avec la bibliothèque qui sert à acheter des badges dans la Boutique ; aujourd’hui, rien ne peut être acheté, et l’app ne se connecte pas au système de facturation de Google Play (A.6a).
• Provenance de l’installation : elle est fournie avec une bibliothèque qu’utilisent les notifications, et permettrait à l’app de demander à Google Play d’où elle a été installée ; Roadby ne le demande jamais.
• Fermeture des boîtes de dialogue du système (uniquement sur Android 11 et les versions antérieures) : elle est fournie avec la bibliothèque qui affiche la notification du salon, et ne donne accès à aucune donnée.
• Autorisations techniques, qui ne donnent accès à aucune donnée personnelle : internet, état du réseau, réglages audio (pour envoyer la voix vers le haut-parleur, l’écouteur ou le Bluetooth), vibration (pour les retours tactiles de l’app et pour les notifications) et maintien de l’appareil en éveil (pour le salon pendant que l’écran est éteint).

A.14 Bases juridiques

La législation sur la protection des données exige une base juridique pour chaque utilisation de vos données. Voici celles sur lesquelles nous nous appuyons :

• Fournir le service pour lequel vous avez créé votre compte (exécution d’un contrat, article 6, paragraphe 1, point b, du RGPD) : votre compte et votre profil, la connexion avec Google, la localisation et le salon vocal, les amis, les messages et les groupes, votre historique et vos badges, les notifications, les e-mails liés au compte et la suppression de votre compte, c’est-à-dire ce dont l’app a besoin pour fonctionner comme le décrivent les conditions d’utilisation.
• Assurer la sécurité de Roadby (notre intérêt légitime à protéger les personnes qui l’utilisent et le service lui-même, article 6, paragraphe 1, point f, du RGPD) : le filtre des photos, les limites appliquées aux demandes, aux messages et aux changements de photo, les journaux d’accès, les signalements et les copies des messages signalés, les blocages de comptes, les journaux techniques de nos fournisseurs et les e-mails concernant une demande de suppression de compte, afin que nous puissions montrer comment nous l’avons traitée.
• Votre consentement (article 6, paragraphe 1, point a, du RGPD) : les e-mails de nouveautés et d’offres (A.10), la lettre d’information (B.3) et, une fois qu’ils seront activés, les cookies facultatifs de ce site web (B.1). Vous pouvez le retirer à tout moment ; cela n’affecte pas ce qui a été fait auparavant.
• Obligations légales (article 6, paragraphe 1, point c, du RGPD) : conserver l’enregistrement de ce à quoi vous avez consenti et quand, et conserver ou communiquer des informations lorsque la loi l’exige, par exemple aux autorités en application de nos normes de sécurité des enfants.

Notre conseiller juridique examine ces bases juridiques dans le cadre de la relecture de cette politique ; cette section peut changer une fois la relecture terminée.

B. Données traitées par ce site web (roadby.app)

Cette partie ne couvre que le site public que vous lisez en ce moment : la page d’accueil (qui regroupe toutes les sections — comment ça marche, confidentialité, aide et nouvelles — ainsi que la fenêtre de don), cette politique, les conditions, la politique relative aux cookies, la page sur la suppression de votre compte, les normes de sécurité des enfants, les pages vers lesquelles renvoient nos e-mails liés au compte et nos invitations, et les images des boutons qu’affichent certains de nos e-mails liés au compte (A.9). Elle ne partage aucun système avec l’app mobile, à l’exception de deux types de pages : roadby.app/confirm/, où vous mènent les liens de nos e-mails liés au compte, qui communique directement avec notre fournisseur d’authentification (Supabase) pour confirmer votre e-mail ou définir un nouveau mot de passe, ne conserve la session que dans la mémoire de cet onglet et ne charge aucun script tiers ; et les liens d’invitation (roadby.app/add/ suivi d’un @pseudo), qui ne transportent que ce @pseudo, déjà public, et ne demandent rien à nos serveurs. Ce site web est hébergé par Cloudflare (Cloudflare Pages), qui gère aussi son domaine : comme pour tout hébergeur, le réseau de Cloudflare reçoit votre adresse IP, votre navigateur et la page que vous demandez à chaque visite.

B.1 Cookies et mesure d’audience

Avant que vous n’acceptiez quoi que ce soit, nous n’utilisons que ce qui est strictement nécessaire au fonctionnement du site (par exemple, mémoriser votre choix concernant les cookies, stocké dans votre navigateur). L’avis sur les cookies vous demande aussi si vous acceptez deux catégories facultatives :

La mesure d’audience n’est pas encore activée : aujourd’hui, ce site ne charge aucun script de Google et ne dépose aucun de ces cookies, même si vous les acceptez. Avant de l’activer, nous mettrons à jour cette politique et la politique relative aux cookies.

Une fois activée, elle ne démarrera que si vous acceptez : d’ici là, ce site web ne chargera aucun script de Google et n’enverra rien à Google (mode Consentement v2 de Google, dans sa version de base). Votre décision est stockée dans votre navigateur avec sa date ; nous vous reposerons la question au bout de 24 mois, ou plus tôt si les catégories changent. Vous pouvez la modifier quand vous le souhaitez depuis le bouton cookie situé dans le coin de chaque page.

La politique relative aux cookies énumère chaque cookie par son nom, avec sa finalité, sa durée et qui le dépose.

B.2 Dons

Le bouton « Offrez-nous un café » vous emmène vers notre page sur Ko-fi (ko-fi.com/roadby), où les paiements sont traités par Stripe ou PayPal. Roadby ne reçoit jamais les données de votre carte ni vos données de paiement : cette relation s’établit directement entre vous, Ko-fi et ses prestataires de paiement, selon leurs propres politiques de confidentialité. Ko-fi nous montre les informations de chaque don qu’il partage avec les créateurs (comme le nom ou le pseudonyme et le message que vous laissez, ainsi que le montant). Le bouton n’apparaît jamais dans l’app ni sur ces pages légales.

B.3 Lettre d’information

Le formulaire d’inscription a une seule finalité : vous envoyer par e-mail les nouveautés de Roadby. En vous inscrivant, vous demandez à les recevoir, et nous n’utilisons votre adresse e-mail pour rien d’autre. Le formulaire comporte une case obligatoire, décochée par défaut, par laquelle vous confirmez avoir lu la présente politique et accepter les conditions d’utilisation. Votre case cochée est enregistrée avec un identifiant du texte exact que vous avez accepté (terms-web-v1), afin de pouvoir être présentée par la suite.

Nous envoyons la lettre d’information sur la base de votre consentement (article 6, paragraphe 1, point a, du RGPD), que vous donnez en vous inscrivant et en confirmant votre adresse. Vous pouvez le retirer à tout moment en vous désinscrivant ; cela n’affecte pas les e-mails envoyés auparavant.

Votre adresse e-mail, cet enregistrement et une mention de votre inscription sur roadby.app seraient stockés chez le fournisseur d’e-mails que nous utilisons pour envoyer la lettre d’information. La lettre d’information n’est pas encore en service : le formulaire d’inscription est désactivé et n’envoie rien, et nous nommerons ce fournisseur ici, avec le pays où il est établi, avant son lancement. Ce fournisseur vous enverra d’abord un e-mail de confirmation, et votre adresse ne sera ajoutée à la liste qu’une fois que vous aurez suivi le lien qu’il contient. Vous pouvez vous désinscrire à tout moment grâce au lien présent dans chacun de nos e-mails. Cette liste est distincte de la case des nouveautés de l’app elle-même (section A.10).

B.4 Aide et contact

Si vous nous écrivez à support@roadby.app ou depuis la section Aide de la page d’accueil (le bouton « Écrire à l’assistance »), nous utilisons votre adresse e-mail et le contenu de votre message pour vous répondre. Si vous nous avez demandé de supprimer votre compte, nous conservons ces e-mails comme expliqué sous « Combien de temps nous conservons les données » ; si vous nous avez fait part d’une inquiétude concernant la sécurité d’un enfant, nous pouvons la conserver et la transmettre aux autorités, comme l’expliquent nos normes de sécurité des enfants. Les e-mails envoyés à support@roadby.app nous parviennent via le service de transfert de Porkbun dans une boîte Gmail, et nous y répondons via Resend (voir A.12).

Combien de temps nous conservons les données

• Compte, profil, photo, amitiés, blocages, historique (avec les dates de votre première et de votre dernière rencontre), badges, badges épinglés, compteurs, votre confirmation d’âge, les conditions que vous avez acceptées, vos réglages de messages et la langue de votre compte : tant que votre compte existe, ou jusqu’à ce que vous les annuliez.
• Signalements : ceux que vous recevez sont supprimés avec votre compte ; ceux que vous faites sont conservés sous forme anonymisée. L’exception : avant de fermer un compte pour abus ou exploitation sexuels d’enfants, nous conservons pour les autorités une copie des données du compte, des signalements et des registres d’accès, comme l’expliquent nos normes de sécurité des enfants.
• Consentement aux e-mails de nouveautés : tant que votre compte existe, avec la date du oui et, si vous le retirez, la date du retrait.
• Dernière position : jusqu’à 5 minutes.
• Registre des utilisateurs qui étaient à portée les uns des autres (sans positions) : jusqu’à 5 minutes.
• Session vocale : jusqu’à ce que vous quittiez le salon, avec un maximum de 1 heure sans renouvellement.
• Registre interne des demandes d’ami envoyées : 7 jours.
• Registre des notifications envoyées : 30 jours.
• Tentatives de photo (heure et empreinte) : 24 heures ; le compteur journalier des tentatives est écrasé le jour suivant où vous essayez.
• Messages en attente de distribution sur notre serveur : jusqu’à ce qu’ils arrivent sur les téléphones du destinataire, et 30 jours au maximum ; copies destinées à vos autres téléphones : 14 jours.
• Données de conversation sans texte (A.5a) : 12 mois sans messages.
• Identifiants de messages : 7 jours (dans les groupes, avec la liste des mentions et sans texte : 30 jours) ; téléphones qui récupèrent les messages : 30 jours sans utilisation ; après la suppression d’un compte, le code aléatoire de chacun de ses téléphones : 90 jours.
• Groupes : tant que le groupe existe ; membres qui l’ont quitté, 30 jours ; un groupe fermé est supprimé au bout de 30 jours, et notre note indiquant que nous l’avons fermé au bout de 12 mois ; registres des changements de photo de groupe, 24 heures ; une photo de groupe supprimée citée dans un signalement, 90 jours.
• Copies des messages signalés : au moins 90 jours après leur création ; ensuite, jusqu’à l’examen du signalement, et 12 mois au maximum.
• Blocages de comptes : jusqu’à la suppression du compte.
• Inscription avec Google en cours (A.1a) : 1 heure au maximum. Registres des codes demandés ou essayés pour supprimer un compte : de 60 à 75 minutes.
• E-mails concernant une demande de suppression de votre compte : 3 ans après la suppression du compte, ou après notre dernière réponse si la demande n’est jamais confirmée.
• Autres e-mails envoyés à support@roadby.app : aussi longtemps que nous en avons besoin pour traiter votre question ; le délai au terme duquel nous les supprimons sera publié ici une fois la relecture juridique terminée. Ceux qui concernent la sécurité d’un enfant, comme l’expliquent nos normes de sécurité des enfants.
• Registre de vos changements de consentement aux e-mails de nouveautés : tant que votre compte existe.
• Jeton de notification de l’appareil et langue de ce téléphone : 60 jours sans utilisation, ou lorsque vous vous déconnectez.
• Sessions : jusqu’à ce que vous vous déconnectiez (vous déconnecter de Roadby vous déconnecte sur tous vos téléphones) ou que vous supprimiez votre compte. Le journal d’audit des accès du système d’authentification (qui enregistre aussi votre adresse e-mail) et les sauvegardes de la base de données : nous sommes en train de confirmer avec notre fournisseur (Supabase) leur durée de conservation, et nous la publierons ici ; ils peuvent subsister après la suppression de votre compte.
• Adresse e-mail de la lettre d’information : jusqu’à ce que vous vous désinscriviez.
• Cookies d’analyse ou de publicité : comme indiqué un par un dans la politique relative aux cookies, et toujours révocables depuis le bouton cookie situé dans le coin de la page.

Ce qui se passe lorsque vous supprimez votre compte

Vous pouvez supprimer votre compte vous-même dans l’app (ouvrez l’onglet Profil, appuyez sur la roue dentée en haut à droite, puis sur Compte › Supprimer le compte, et saisissez votre mot de passe actuel ou, si votre compte n’a pas de mot de passe parce que vous vous connectez uniquement avec Google, le code à 6 chiffres que nous vous envoyons par e-mail) ou, si vous n’avez plus l’app, nous demander de le supprimer en écrivant à support@roadby.app depuis l’adresse e-mail de votre compte, comme l’explique la page Supprimer votre compte. Nous nous efforçons de répondre sous 24 heures et, une fois votre confirmation reçue, nous supprimons le compte sous 7 jours. Aucun autre utilisateur ne peut supprimer votre compte. Quelle que soit la manière, lorsque le compte est supprimé, la suppression prend effet immédiatement dans la base de données : le compte est supprimé et, en cascade, le sont aussi le profil, la position, la session vocale, les demandes, les amitiés, les blocages, l’historique (y compris pour l’autre personne de chaque paire), vos conversations sur notre serveur et tout ce qui est encore en attente de distribution, votre appartenance aux groupes, vos badges, badges épinglés et compteurs, votre confirmation d’âge et les conditions acceptées, tout blocage du compte, les signalements que d’autres utilisateurs ont faits à votre sujet, les jetons de notification, le registre des notifications, le registre interne des demandes envoyées, les registres de photos et l’enregistrement de votre consentement aux e-mails de nouveautés ; la photo est ensuite supprimée de l’espace de stockage et, sur le téléphone où vous supprimez le compte, l’app supprime aussi vos messages. Ce qui subsiste après la suppression : les messages que vous avez envoyés, sur les téléphones des personnes qui les ont reçus ; une photo de groupe que vous avez définie, qui appartient au groupe ; votre base de données de messages sur un téléphone où votre session était déjà fermée, et votre dernière sauvegarde Android jusqu’à ce que la suivante la remplace ; les signalements que vous avez faits, anonymisés ; les copies de messages jointes aux signalements vous concernant, jusqu’à 90 jours après leur création ; le code aléatoire de chacun de vos téléphones, pendant 90 jours, pour que ces téléphones suppriment vos messages à la prochaine ouverture de l’app ; le journal d’audit des accès du système d’authentification (identifiant du compte, adresse e-mail, action et adresse IP) et les sauvegardes, pendant les durées indiquées sous « Combien de temps nous conservons les données » ; les réglages stockés localement sur vos téléphones (supprimer le compte dans l’app ne les réinitialise que sur ce téléphone ; si nous le supprimons pour vous à la suite d’une demande par e-mail, ils restent sur tous les téléphones) ; le jeton de notification déjà connu d’Expo et de Google, à qui nous ne demandons pas de le supprimer ; et, si vous nous l’avez demandé par e-mail, votre demande et nos réponses, pendant 3 ans après la suppression, comme preuve que nous l’avons traitée. Si nous fermons un compte en application de nos normes de sécurité des enfants, nous enregistrons d’abord une copie des informations dont les autorités pourraient avoir besoin, comme l’explique cette page ; cette copie est conservée en dehors du compte jusqu’à ce qu’elles n’en aient plus besoin, même si son titulaire supprime ensuite le compte.

Vos droits

Vous pouvez accéder à vos données, nous demander de les rectifier, nous demander de les effacer, vous opposer à une utilisation particulière ou demander la portabilité de tout ce qui est techniquement possible. Aujourd’hui, vous pouvez le faire de la manière suivante :

• Accès : l’essentiel est visible dans l’app (profil, e-mail dans Changer d’e-mail, amis, demandes, utilisateurs bloqués, historique avec ses dates, vos messages sur votre téléphone et vos badges) ; pour le reste (date d’inscription, les compteurs décrits en A.2, signalements que vous avez faits, appareils enregistrés, journaux techniques) ou pour une copie complète, écrivez-nous et nous la préparerons à la main.
• Rectification : directement dans l’app, dans Modifier le profil, Changer d’e-mail et Changer de mot de passe.
• Effacement : Réglages › Compte › Supprimer le compte, dans l’app (avec votre mot de passe ou, si vous n’en avez pas, avec un code que nous vous envoyons par e-mail), ou par e-mail sans l’app, comme l’explique la page Supprimer votre compte. Vous pouvez aussi supprimer une discussion (pour vous), supprimer une demande de message, quitter un groupe ou retirer la photo d’un groupe.
• Opposition et limitation : les autorisations du système d’exploitation, le blocage d’utilisateurs, le mode Amis, Couper le micro, Qui peut m’écrire, les Confirmations de lecture, Sauvegarder les messages, Afficher les badges sur mon profil, la mise en sourdine d’une conversation ou d’un groupe, Sourdine en stationnement et l’interrupteur « Nouveautés et offres par e-mail ».
• Toute autre demande (y compris la portabilité ou la désinscription de la lettre d’information) : en écrivant à support@roadby.app ; nous la traitons manuellement.

Vous avez également le droit d’introduire une réclamation auprès de l’Agence espagnole de protection des données (aepd.es) si vous estimez que nous n’avons pas traité votre demande correctement.

Mineurs

Roadby est réservée aux personnes âgées de 18 ans ou plus. Lorsque vous créez un compte, dans l’app ou avec Google, vous devez confirmer que vous avez 18 ans ou plus ; nous enregistrons seulement le fait que vous l’avez confirmé et quand, pas votre date de naissance, et nous ne le vérifions pas. Si nous apprenons qu’un compte appartient à une personne de moins de 18 ans, nous pouvons le bloquer ou le fermer.

Nos normes de sécurité des enfants expliquent ce que nous faisons pour protéger les enfants et comment signaler une inquiétude.

Sécurité

Toutes les informations circulent chiffrées (HTTPS/WSS). Les mots de passe sont stockés sous forme de hachage ; les tables les plus sensibles (localisation, voix, signalements, jetons, messages, badges, âge, conditions acceptées et blocages de comptes) ne sont pas lisibles depuis l’app, pas même par leur propre titulaire : on n’y accède qu’au moyen de fonctions serveur aux règles fixes. Les messages ne sont pas chiffrés de bout en bout (A.5a). L’accès administratif est limité au nombre minimal de personnes nécessaires au fonctionnement du service.

Modifications de cette politique

Si nous modifions ce document, nous mettrons à jour la date indiquée en haut de la page. Tant qu’il s’agit d’une version provisoire, il peut encore changer après la relecture juridique. Une fois qu’il sera définitif, si nous y apportons une modification importante, nous vous en informerons également.

Contact

Pour toute question sur cette politique ou sur vos données : support@roadby.app.