Politique de confidentialité

Qui nous sommes

Viewpoint est conçu et exploité par Marcos Barbero, basé aux Pays-Bas, qui est le responsable du traitement de vos données personnelles.

Contact pour toute question, demande ou réclamation relative à la confidentialité : [email protected].

En résumé

Avec Free et Pro, si vous ne vous connectez pas, nous ne stockons rien vous concernant sur nos serveurs. Vos lieux, vos photos et vos notes restent hors de nos mains, votre achat est géré entièrement par la boutique où vous l’avez effectué (Apple sur iPhone et iPad, Google Play sur Android), et vous pouvez capturer, parcourir et planifier en tant qu’invité — nous n’en voyons jamais rien.

Quelle que soit votre formule, l’app demande aussi à notre serveur quelles fonctionnalités sont activées pour elle. En dessous de la formule Max, cette requête ne contient que sa plateforme (iPhone et iPad, Android ou web), sa version et son canal de distribution (version de la boutique, de test ou de développement), sans aucun identifiant ; nous ne conservons rien qui concerne votre appareil. Avec les formules Max et Ultra, elle est envoyée avec votre compte, afin que les fonctionnalités puissent être déployées progressivement. En dessous de la formule Max et sans connexion, aucun compte, jeton ni reçu de boutique n’est jamais envoyé, et rien de tout cela ne crée d’enregistrement vous concernant sur le serveur. Sur Android, Réglages → Tester la connexion demande à notre serveur s’il est joignable, sans rien transmettre vous concernant.

« Nous ne le voyons jamais » n’est pas la même chose que « cela ne quitte jamais votre téléphone », et vous devez voir la différence d’emblée. Avec Pro, vos Enregistrés sont copiés dans votre propre compte cloud — par la plateforme, pas par nous : via votre iCloud sur iPhone et iPad (c’est ainsi que Pro synchronise vos lieux et vos photos entre vos appareils), et via la sauvegarde automatique d’Android dans votre Google Drive sur Android. Dans les deux cas, la copie se trouve sous votre compte, votre stockage et votre contrôle ; nous n’y avons aucun accès. Android ajoute une chose de plus qui appartient à la plateforme et non à nous : les propres services de Google enregistrent chaque installation Android au tout premier lancement, avant que vous vous connectiez et que vous activiez un jour les notifications ou non. Le détail se trouve dans Ce que nous stockons vous concernant et dans Fournisseurs et sous-traitants.

Les abonnements Max et Ultra (synchronisation sauvegardée sur le serveur, météo et alertes en temps réel, sauvegarde et partage ; Ultra ajoute le monde 3D) exigent un compte Viewpoint, donc se connecter fait partie de leur activation ; Free et Pro n’en nécessitent jamais.

Une fois que vous vous connectez, Viewpoint collecte ce dont il a besoin pour faire son travail (votre compte, vos lieux, vos photos, l’état de votre abonnement) et rien d’autre. Les statistiques sont activées à votre initiative (opt-in) et portent uniquement sur le comportement — elles n’incluent jamais vos photos, vos coordonnées GPS, les noms de vos lieux, ni quoi que ce soit que vous avez saisi, même si elles parviennent bien à Mixpanel avec votre adresse IP afin que les événements puissent être rattachés à un pays (voir Statistiques). Nous ne vendons pas de données et nous ne vous montrons pas de publicité. Nous partageons des données avec les services de plateforme que votre appareil fait déjà tourner — ceux d’Apple sur iPhone et iPad, ceux de Google sur Android (connexion, paiements, notifications push, cartes et localisation) — ainsi qu’avec les fournisseurs nommés ci-dessous, dont un petit nombre se trouvent hors de l’UE.

Ce que nous stockons vous concernant

Seulement si vous vous connectez. Tout ce qui figure dans cette section s’applique une fois que vous créez un compte en vous connectant. En tant qu’invité (non connecté), rien de tout cela ne nous parvient : il n’y a pas de compte, et vos lieux, photos, listes, plans et alertes vivent uniquement dans la base de données locale de l’application sur votre téléphone.

Deux réserves, et aucune des deux ne vient de nous.

Sur iPhone et iPad, Pro tient vos appareils à jour l’un par rapport à l’autre via votre propre iCloud : l’application écrit vos lieux, listes, plans, alertes et les fichiers photo capturés dans la base de données privée CloudKit de votre compte Apple. C’est votre stockage iCloud et vos données ; nous ne pouvons pas les lire, et aucun serveur Viewpoint n’est impliqué. Les fichiers photo ne sont téléversés que via le Wi-Fi. Désactivez-la en vous déconnectant d’iCloud pour l’application dans Réglages iOS → votre nom → iCloud.

Sur Android, la sauvegarde automatique propre au système d’exploitation est activée pour l’application, donc elle peut copier les données locales de l’application — y compris cette base de données et les photos qu’elle contient — vers votre sauvegarde Google Drive, sous le stockage et le contrôle de votre propre compte Google. Nous ne la voyons jamais. Désactivez-la dans Paramètres Android → Google → Sauvegarde, ou par application dans les réglages de sauvegarde de votre appareil.

Les recherches météo fonctionnent même en tant qu’invité — elles n’envoient que la latitude/longitude que vous consultez, jamais une identité (voir Fournisseurs et sous-traitants → Open-Meteo) — et votre abonnement est vérifié directement auprès de la boutique (Apple ou Google Play), donc nous ne le voyons pas non plus.

• Votre compte — adresse e-mail, un nom d’affichage, et l’identifiant opaque renvoyé par Sign in with Apple ou Sign in with Google si vous vous connectez de cette façon. Le nom d’affichage est celui qu’Apple ou Google nous transmet lors de votre première connexion — avec Sign in with Apple, c’est le nom que vous avez choisi de partager sur l’écran de consentement, et si vous n’avez rien partagé, nous en dérivons un à partir de votre adresse e-mail. Nous ne vous demandons jamais votre vrai nom.

• Vos lieux, photos, listes, plans et alertes — les données que vous créez dans l’application. Les photos capturées sont stockées dans notre propre stockage objet ; le reste vit dans une base de données PostgreSQL. Les deux tournent sur une infrastructure exploitée par nos soins, dans l’UE. Chaque photo que vous téléversez sur nos serveurs passe par un contrôle de sécurité automatisé contre les contenus illégaux et pour adultes avant de pouvoir apparaître où que ce soit publiquement. Ce contrôle s’exécute sur les mêmes serveurs que tout le reste — l’image n’est jamais envoyée à un tiers pour cela. Il se produit à chaque téléversement, pas seulement pour les photos que vous choisissez de publier. Voir Confiance et sécurité pour comprendre pourquoi ce contrôle existe.

  (Une version antérieure de cette politique indiquait que le contrôle de sécurité était effectué par Hugging Face, un fournisseur d’inférence situé hors de l’UE, et que les photographies y étaient envoyées. Ce n’est plus vrai : le contrôle s’exécute désormais sur notre propre matériel, et aucune photo que vous téléversez ne quitte notre infrastructure. Hugging Face n’est plus destinataire de quoi que ce soit.)

• Les lieux partagés publiquement — si vous publiez explicitement un lieu, sa localisation, son nom, ses photos, ses notes de composition et ses informations d’accès deviennent visibles pour les autres utilisateurs de Viewpoint via la surface des lieux publics. Les notes privées et l’état propre à votre compte (favoris, horodatages de synchronisation) ne deviennent jamais publics, quel que soit l’état de partage du lieu. La publication est activée à votre initiative, comporte une friction volontaire (une feuille de confirmation détaille ce qui sera exposé avant que vous ne confirmiez), et est réversible — voir Partager un lieu publiquement pour tous les mécanismes, ainsi que la protection de la faune sauvage.
• L’état de l’abonnement — que vous soyez sur l’essai gratuit de Max ou d’Ultra ou un abonnement Max ou Ultra payant, et quelle période de facturation (mensuelle, trimestrielle ou annuelle). Un achat Pro reste auprès de votre boutique et sur votre appareil ; nous n’en gardons aucune trace. Le paiement lui-même est géré par votre boutique — StoreKit d’Apple sur iPhone et iPad, Google Play Billing sur Android — et nous ne voyons jamais les détails de votre carte. Sur les deux plateformes, acheter en étant connecté transmet votre identifiant de compte Viewpoint à la boutique, afin que l’abonnement puisse être rattaché à votre compte — à Apple sous la forme de l’appAccountToken de l’achat, à Google Play sous la forme de son identifiant de compte obscurci. Acheter en tant qu’invité ne transmet aucun identifiant de notre part à aucune des deux boutiques. Les deux ne diffèrent que dans la façon dont l’état de l’abonnement nous parvient ensuite : sur iPhone et iPad, l’application envoie le reçu signé d’Apple à notre serveur ; sur Android, Google le signale directement à notre serveur.
• Le jeton de notification push — un identifiant opaque pour votre appareil, afin que nous puissions livrer les alertes de conditions : le jeton APNs d’Apple sur iPhone et iPad, un jeton d’enregistrement Firebase Cloud Messaging (Google) sur Android, et — si vous activez les notifications du navigateur dans l’application web — un abonnement push dont l’adresse est générée par le service push de votre propre navigateur (celui de Mozilla pour Firefox, celui de Google pour Chrome, celui d’Apple pour Safari). Nous ne le stockons qu’une fois que vous êtes connecté, et il est invalidé côté serveur immédiatement lorsque vous vous déconnectez (l’appareil cesse immédiatement de recevoir des alertes pour le compte déconnecté). Sur Android, le jeton existe avant même que nous le demandions : les bibliothèques Firebase de Google enregistrent l’installation auprès de Google dès le premier lancement — voir Fournisseurs et sous-traitants → Google. Se déconnecter invalide notre copie ; seule la désinstallation de l’application (ou l’effacement de ses données) supprime celle de Google.
• Les événements de statistiques (uniquement si vous les activez) — voir la section suivante.
• Les rapports de plantage — aucun service tiers de rapport de plantage n’intervient sur l’une ou l’autre plateforme ; c’est le système de rapport propre à chaque plateforme que nous utilisons.
  • Sur iPhone et iPad, le framework MetricKit d’Apple, sur l’appareil, produit un diagnostic (trace de pile, codes d’exception/de signal, modèle d’appareil + version d’OS, version de l’application). Les plantages nous sont visibles via le système standard de rapport de plantage d’Apple (App Store Connect), et un résumé est également envoyé à un serveur Viewpoint afin que nous soyons alertés rapidement.
  • Sur Android, l’application n’embarque aucun code de rapport de plantage. Les plantages et les ANR (applications qui ne répondent plus) ne nous parviennent que via le rapport standard de la Google Play Console, que le système d’exploitation collecte ; rien n’est envoyé à un serveur Viewpoint. Le fait que cette collecte ait lieu dépend du réglage d’utilisation et de diagnostics propre à votre appareil, pas de l’application.

  Dans tous les cas : jamais vos photos, votre GPS, vos notes, votre e-mail, votre vrai nom, ni le contenu d’un lieu, d’une liste ou d’un plan. Activé par défaut (intérêt légitime au titre de l’article 6(1)(f) du RGPD — savoir que l’application plante est nécessaire pour la maintenir fonctionnelle pour vous).

Combien de temps nous gardons vos Enregistrés après la fin de Max ou d’Ultra. Lorsque votre abonnement Viewpoint Max ou Ultra prend fin, nous gardons la copie serveur de vos Enregistrés pendant 7 jours, afin qu’un renouvellement tardif ou un changement d’avis ne vous coûte rien. Passés ces 7 jours, nous la supprimons de nos serveurs : les enregistrements et les fichiers photo eux-mêmes, pas seulement un marqueur. La copie sur votre téléphone, votre tablette ou votre ordinateur n’est jamais touchée. Nous vous prévenons 48 heures avant la suppression, par une notification push et un avis dans les onglets Outils et Explorer. Ce que les personnes avec qui vous partagez ont ajouté à vos lieux et à vos listes est conservé, vos partages restent en place, et l’épingle d’un lieu partagé reste sur nos serveurs, sans son nom, vos notes ni vos photos, jusqu’à ce que vous vous réabonniez. Nous gardons votre compte et vos données de facturation, dont nous avons besoin pour la fiscalité et l’audit. Si vous vous réabonnez plus tard, ce que votre appareil synchronise à partir de ce moment est de nouveau stocké.

Comment la localisation est utilisée

La localisation n’est demandée et utilisée que dans le contexte des fonctions de carte et de capture, pour placer et retrouver des lieux. Presque partout, l’application demande au système d’exploitation une position ponctuelle au moment où elle en a besoin, et rien ne s’exécute quand l’application est fermée.

Une fonction fait exception, et elle n’existe que sur iPhone et iPad. Suggérer des alertes quand je voyage (Réglages → Trajet) remarque quand vous êtes arrivé quelque part de nouveau et propose d’y créer une alerte. Pour cela, elle a besoin de l’autorisation de localisation « Toujours » d’iOS, et iOS ne l’accorde que si vous répondez oui à une boîte de dialogue qu’il vous affiche nommément. Tant que vous ne l’avez pas fait, rien ne s’exécute en arrière-plan ; si vous l’accordez, iOS réveille l’application lors d’un changement de position significatif, l’application détermine si vous êtes arrivé quelque part qui mérite une suggestion, et c’est tout — la position est utilisée sur votre appareil et dans la recherche de géocodage inversé décrite ci-dessous, et elle ne nous est jamais envoyée. Désactivez le réglage, ou révoquez « Toujours » dans Réglages iOS → Confidentialité → Service de localisation, et la surveillance s’arrête. Android n’a aucune fonction de localisation en arrière-plan, et ne demande aucune autorisation de localisation en arrière-plan.

La carte elle-même appartient à votre plateforme, et cette plateforme la voit. Viewpoint ne dessine pas ses propres tuiles de carte, donc faire défiler la carte, ouvrir une image au niveau de la rue, rechercher un lieu par son nom, transformer une coordonnée en nom de lieu, ou obtenir une position sont tous des requêtes adressées aux services de carte et de localisation de votre plateforme :

• Sur iPhone et iPad, c’est Apple — MapKit pour les tuiles, Look Around pour l’imagerie au niveau de la rue, Core Location pour la position, la recherche de lieux de MapKit pour les recherches saisies, et le géocodeur de MapKit pour transformer une coordonnée en nom de lieu.
• Sur Android, c’est Google — le SDK Google Maps pour les tuiles, le panorama Street View pour l’imagerie au niveau de la rue, le géocodeur système d’Android pour les deux sens de la recherche de lieux, et le fournisseur de localisation fusionnée des services Google Play pour la position, qui utilise le Wi-Fi et les signaux cellulaires environnants en plus du GPS.
• Dans l’application web, c’est Google — l’API JavaScript Google Maps pour les tuiles, Places Autocomplete pour les recherches saisies, Street View pour l’imagerie au niveau de la rue, et l’API Static Maps pour les petites images de carte sur une page de lieu et sur une carte de plan partagée.

La recherche de lieux fonctionne dans les deux sens, et chacun envoie des choses différentes :

• La recherche par nom envoie le texte que vous saisissez. Chaque frappe dans un champ de recherche de lieu part vers Apple (sur iPhone et iPad) ou Google (sur Android et le web) au fur et à mesure que vous tapez, accompagnée d’une région de carte approximative pour que les résultats soient à proximité.
• Le géocodage inversé envoie une coordonnée. Pour attribuer à un lieu un nom de lieu, ou pour déterminer dans quel fuseau horaire se trouve un lieu, l’application envoie la coordonnée au géocodeur de la plateforme et reçoit un nom en retour. Sur iPhone et iPad, cela s’exécute pour les lieux qui n’ont pas encore de libellé, en arrière-plan, par lots — donc sur la durée de vie de vos Enregistrés, les coordonnées des lieux que vous avez enregistrés sont envoyées au géocodeur d’Apple. Sur Android, le seul endroit où cela se produit est la carte de plan partageable, et la coordonnée est délibérément floutée avant d’être envoyée — arrondie à une grille de 0,05°, soit environ 5,5 km, de sorte que ce qui quitte l’appareil est le voisinage et non le point de vue.

Dans tous les cas, les coordonnées et le texte de recherche partent vers la plateforme, pas via nos serveurs, et sont traités sous la politique de confidentialité propre à cette plateforme. Nous n’envoyons jamais votre identité de compte en même temps.

Nos propres serveurs envoient eux aussi des coordonnées. Certaines fonctions sont satisfaites en interrogeant un tiers au sujet d’un lieu, toujours avec une coordonnée ou une zone et jamais avec quoi que ce soit qui vous identifie : la météo via Open-Meteo, les informations de carte et de repères via le service Overpass d’OpenStreetMap, Wikidata et Wikimedia Commons, une image de prévisualisation au niveau de la rue via Google, le texte que vous saisissez dans une recherche de lieu via Geoapify ou, avec les formules supérieures, via Google, des tuiles d’élévation de terrain issues d’un compartiment de données ouvertes d’Amazon Web Services (une tuile couvre environ un carré de 10 km, donc AWS voit la tuile, pas votre position), et — uniquement pour le mode assisté de Find your viewpoint — le sujet autour duquel vous planifiez, y compris sa coordonnée, à OpenAI. Chacun est nommé dans Fournisseurs et sous-traitants.

Statistiques — activées à votre initiative

Les statistiques sont désactivées par défaut. Activez-les depuis Réglages → Confidentialité → Partager les statistiques d’utilisation. Une fois activées :

• Nous transmettons des événements comportementaux (par exemple, « utilisateur a consulté l’onglet Explorer », « utilisateur a capturé un lieu », « essai converti en abonnement payant ») à Mixpanel via un point d’entrée d’ingestion hébergé dans l’UE (api-eu.mixpanel.com).
• Chaque événement porte votre UUID utilisateur (le même que celui de notre base de données) et un ensemble fixe de propriétés autorisées — des énumérations fermées ou des booléens, jamais de texte libre issu de vos lieux, listes ou photos.
• Votre adresse IP est transmise avec chaque événement, afin que Mixpanel puisse la rattacher à un pays et une ville plutôt qu’à l’emplacement de notre serveur. Il s’agit d’une localisation grossière, dérivée du réseau — pas de votre position GPS, qui n’est jamais envoyée. Si vous préférez qu’elle ne soit pas envoyée, laissez les statistiques désactivées.
• Au-delà de cela : nom, e-mail, coordonnées GPS, EXIF, les noms de vos lieux/listes/plans, tout ce que vous avez saisi — rien de tout cela n’est jamais inclus dans les statistiques. Le backend applique cette règle avec une liste blanche fermée sur le chemin d’ingestion des événements ; les événements qui tentent de porter des propriétés non autorisées sont rejetés en périphérie.
• Vous pouvez désactiver les statistiques à tout moment. Le flux s’arrête immédiatement. Supprimer votre compte met également en file une demande de suppression auprès de Mixpanel, qui purge vos événements historiques.

Description complète : Comment fonctionnent les statistiques.

Fournisseurs et sous-traitants

Viewpoint s’appuie sur les fournisseurs suivants. Aucun d’entre eux n’a accès à votre compte ou à vos données en clair au-delà de ce que son service exige. Ceux avec lesquels votre copie de l’application communique dépend de la plateforme que vous utilisez, donc chaque entrée le précise explicitement.

La plupart d’entre eux se trouvent dans l’UE ou sont les services de votre propre plateforme. Deux ne le sont pas, et ce sont ceux qu’il vaut la peine de lire attentivement : OpenAI reçoit ce que vous saisissez dans Find your viewpoint ainsi que la coordonnée du sujet autour duquel vous planifiez, et Mixpanel reçoit votre adresse IP avec chaque événement de statistiques si vous avez activé cette fonction.

Aucun fournisseur de cette liste ne reçoit vos photographies. Le contrôle de sécurité automatisé qui analyse chaque image téléversée s’exécute sur nos propres serveurs.

Notre propre infrastructure (les deux plateformes)

• Infrastructure auto-hébergée — le serveur API, la base de données PostgreSQL, le stockage objet qui contient vos photos capturées et le contrôle de sécurité automatisé qui analyse chaque image téléversée tournent tous sur une infrastructure exploitée par nos soins, située dans l’UE. Aucun hébergeur cloud tiers ne stocke vos données de compte ou vos photos, et vos photographies ne sont jamais envoyées hors de cette infrastructure.
• Cloudflare — fournit le tunnel réseau sécurisé et le DNS qui acheminent le trafic vers le backend (le TLS se termine ici en transit ; Cloudflare ne stocke pas vos données de compte ni vos photos).

Apple — iPhone et iPad, ainsi que la connexion sur le web

• Sign in with Apple — sur iPhone, iPad et l’application web, et uniquement si vous choisissez cette méthode de connexion. Sur le web, cela charge le script de connexion d’Apple dans la page.
• StoreKit — paiements et gestion de l’abonnement. C’est Apple, pas nous, qui prend l’argent et détient les informations de paiement.
• APNs — livraison des notifications push pour les alertes de conditions. Enregistré seulement après que vous vous êtes connecté et avez accordé l’autorisation de notification ; si vous refusez, aucun identifiant push n’est créé.
• App Store Connect + MetricKit — diagnostics de plantage et de blocage.
• MapKit, Look Around, Core Location — tuiles de carte, imagerie au niveau de la rue, recherche de lieux, géocodage inversé, et positions (voir Comment la localisation est utilisée).
• iCloud (CloudKit) — Pro uniquement, et c’est votre propre iCloud. L’application reflète vos lieux, listes, plans, alertes et photos capturées dans la base de données privée de votre compte Apple, afin que vos appareils restent synchronisés sans compte Viewpoint. C’est la plus grande quantité de votre contenu qui quitte l’appareil avec Pro — et elle va vers votre stockage, pas le nôtre. Nous n’y avons aucun accès, et aucun serveur Viewpoint n’est impliqué. Les fichiers photo ne sont téléversés que via le Wi-Fi.
• SKAdNetwork — l’attribution d’installation respectueuse de la vie privée d’Apple. Lors du premier lancement de l’application, et de nouveau si vous achetez Pro ou démarrez un abonnement Max ou Ultra, iOS envoie un rapport agrégé et anonyme au réseau publicitaire qui vous a montré l’annonce — voir Meta ci-dessous. Il n’y a pas d’identifiant publicitaire (pas d’IDFA), pas d’invite d’autorisation de suivi, et pas de SDK publicitaire dans l’application ; Apple est l’expéditeur et informe le réseau seulement qu’une installation ou un abonnement a eu lieu, jamais que c’est vous.

Google — pour l’essentiel Android uniquement, deux éléments sur les deux plateformes

• Sign in with Google — sur iPhone, iPad, Android et l’application web, et uniquement si vous choisissez cette méthode de connexion. Sur le web, cela charge le script de connexion de Google dans la page.
• Imagerie statique Street View — sur toutes les surfaces, y compris iPhone et iPad. Quand un lieu n’a pas de photo qui lui soit propre, nous récupérons pour lui un aperçu au niveau de la rue, et cette requête part vers Google en portant les coordonnées du lieu. Elle est effectuée par notre backend, pas par votre téléphone, donc Google voit les coordonnées et la requête de notre serveur — jamais votre compte, et jamais l’adresse de votre appareil. Il en va de même pour l’aperçu au niveau de la rue dans l’application web.
• API Google Map Tiles (monde 3D) — iPhone, iPad, Android et application web, formule Ultra, bêta. Le monde 3D dessine les tuiles de carte 3D photoréalistes de Google. Votre appareil les demande directement à tile.googleapis.com ; Google reçoit donc la zone que vous regardez, notre clé Map Tiles et l’adresse IP de votre appareil, comme tout service Google que votre appareil contacte. Nos serveurs ne sont pas sur ce trajet, nous ne conservons ni ne mettons en cache les tuiles ni les requêtes, et aucun compte, aucune photo, aucun lieu ni aucun plan n’est envoyé. Le monde 3D nécessite une connexion. Le monde 3D sur le web. Si vous avez Ultra et ouvrez le monde 3D de Viewpoint sur le web, votre navigateur charge Google Photorealistic 3D Tiles directement depuis Google (tile.googleapis.com) pour la zone autour de votre repère de prise de vue, comme le font les applications iOS et Android. Google reçoit la zone de carte demandée, votre adresse IP et l’adresse de notre application web (web.getviewpoint.app) comme page de provenance ; Viewpoint ne fait pas transiter ces tuiles par un proxy et ne les conserve ni ne les met en cache. Là où il n’existe pas de couverture photoréaliste, la vue affiche une imagerie de terrain ouverte (Sentinel-2 cloudless d’EOX, CC BY 4.0) servie par nos propres serveurs. La politique de confidentialité de Google s’applique à ce qu’elle reçoit.
• API Google Places (recherche de lieux) — côté serveur, uniquement avec les formules supérieures (Max et Ultra). Quand vous recherchez un lieu par son nom, notre backend interroge d’abord l’API Google Places et envoie le texte que vous avez saisi ainsi que la langue de votre app. Google ne reçoit ni votre compte, ni votre appareil, ni votre adresse IP, seulement la requête de notre serveur. Nous ne conservons pas les réponses de Google. Si Google n’a pas de réponse, ou avec toute autre formule, la recherche est traitée par Geoapify (ci-dessous).
• Images de carte statiques — l’application web est différente, et cela mérite d’être su. La petite image de carte sur une carte de plan partagée dans l’application web est chargée par votre navigateur directement depuis Google, sans passer par nous, et la coordonnée figure dans l’adresse de l’image. Donc pour celle-ci, contrairement à l’image de prévisualisation ci-dessus, Google voit la coordonnée en même temps que votre adresse IP et votre navigateur. Il en va de même pour les cartes interactives que dessine l’application web, qui appartiennent à Google et s’exécutent dans votre navigateur. Les applications iPhone, iPad et Android dessinent leurs propres cartes à la place.
• Firebase Cloud Messaging + Firebase Installations — Android uniquement, et celui-ci n’est pas conditionnel. Les bibliothèques Firebase de Google démarrent avec l’application et enregistrent l’installation auprès de Google dès le premier lancement — avant toute connexion, avant les écrans d’accueil guidé, et que vous autorisiez un jour les notifications ou non. Google reçoit un identifiant d’installation pour l’application sur votre appareil, ainsi que les détails techniques habituels d’une telle requête (version de l’application et des bibliothèques, modèle d’appareil, version d’OS, adresse IP). Cela ne porte pas votre compte, votre e-mail, vos lieux, ni votre localisation. Nous ne stockons que le jeton qui en résulte, et seulement une fois que vous êtes connecté ; quand vous vous déconnectez nous invalidons notre copie, mais l’enregistrement de Google subsiste jusqu’à ce que vous désinstalliez l’application ou effaciez ses données.
• Google Play Billing — Android uniquement. Les paiements et la gestion de l’abonnement sur Android relèvent de Google, pas d’Apple. Si vous êtes connecté au moment de l’achat, votre identifiant de compte Viewpoint est transmis à Google Play avec l’achat afin que l’abonnement puisse être rattaché à votre compte, et Google signale l’état de l’abonnement à notre serveur. Acheter en tant qu’invité ne transmet aucun identifiant de notre part. Si vous avez acheté en tant qu’invité et vous connectez ensuite, l’application envoie le jeton Google Play de cet achat à notre serveur avec votre compte, quelle que soit la formule, afin que l’achat vous soit rattaché et vous suive sur vos autres appareils.
• Le SDK Google Maps, Street View, le géocodeur d’Android, et le fournisseur de localisation fusionnée des services Google Play — Android uniquement. Les tuiles de carte, l’imagerie au niveau de la rue, les recherches de lieux (le texte que vous saisissez), le géocodage inversé d’une coordonnée délibérément floutée, et les positions partent vers Google. Voir Comment la localisation est utilisée.
• L’API JavaScript Google Maps, Places Autocomplete, Street View et Static Maps — application web uniquement. Le navigateur les charge directement depuis Google, donc Google voit votre adresse IP en même temps que la région de la carte, la coordonnée, ou le texte que vous avez saisi. Voir Comment la localisation est utilisée.
• Google Fonts — l’application web et notre site ; pas les applications mobiles. Nos deux polices sont chargées depuis le CDN de polices de Google plutôt que servies par nous, donc Google voit la requête — votre adresse IP, votre navigateur, et la page d’où vous venez. Cela se produit sur chaque page de l’application web, sur chaque page de getviewpoint.app y compris celle-ci, et de nouveau dans le panneau de l’assistant lorsque vous l’ouvrez. Attention au moment où cela se produit : contrairement aux statistiques ci-dessus, la requête de police n’est pas derrière la bannière de cookies — elle se déclenche au chargement de la page, que vous l’acceptiez ou la refusiez ensuite. Aucune donnée de compte n’est impliquée et rien n’est stocké ; c’est un choix d’hébergement, pas un choix de suivi, et héberger nous-mêmes les fichiers de police l’éliminerait.
• Google Play Console — Android uniquement. Les plantages et les ANR sur Android nous parviennent via le rapport standard de Play, collecté par l’OS ; l’application elle-même ne contient aucun code de rapport de plantage.
• Google Play Developer API — Android uniquement, côté serveur. Pour confirmer qu’un abonnement est authentique, notre serveur renvoie le jeton d’achat à Google pour vérification. Le même mécanisme effectue une vérification unique, sans état, pour quiconque a acheté l’ancien abonnement Offline ou Online (aujourd’hui Max) de Viewpoint sur Android : votre jeton d’achat actif est vérifié auprès de l’API de Google pour vous accorder Pro de façon permanente, sans compte et sans rien stocker.
• Non utilisés sur aucune plateforme : Google Analytics / Firebase Analytics, la publicité Google, l’identifiant publicitaire de Google, et les SDK d’attribution de Google. L’application Android n’embarque délibérément que la messagerie Firebase.

Meta — iPhone et iPad uniquement, et seulement de façon agrégée

• Nous faisons de la publicité pour Viewpoint sur Instagram et Facebook, donc nous devons savoir si ces publicités fonctionnent. Sur iPhone et iPad, cette mesure passe entièrement par le SKAdNetwork d’Apple : lors du premier lancement de l’application, et de nouveau si vous achetez Pro ou démarrez un abonnement Max ou Ultra, Apple — pas l’application — envoie à Meta un rapport anonyme et agrégé indiquant qu’une installation ou un abonnement a eu lieu. Il n’y a aucun SDK Meta dans l’application, aucun identifiant publicitaire, aucune invite d’autorisation de suivi, et rien qui relie l’événement à vous, à votre appareil ou à votre compte. Apple retarde et rend délibérément plus imprécis ces rapports afin qu’ils ne puissent pas être retracés jusqu’à une personne. Rien d’équivalent ne s’exécute sur Android ou le web.

Tous les autres (les deux plateformes)

• Mixpanel — statistiques (uniquement si vous les activez ; point d’entrée hébergé dans l’UE). Dans les applications — iPhone, iPad, Android et l’application web — il n’y a aucun SDK Mixpanel sur votre appareil : les événements vont d’abord vers notre propre serveur, et nous les relayons. Chaque événement relayé porte votre UUID utilisateur et votre adresse IP, que Mixpanel résout en un pays et une ville approximatifs. Rien d’autre d’identifiant ne l’accompagne — voir Statistiques. Notre site est l’exception, et cela fonctionne dans l’autre sens. getviewpoint.app charge bel et bien le script propre de Mixpanel dans votre navigateur — mais seulement après que vous avez accepté la bannière de cookies, et il est configuré pour indiquer à Mixpanel de ne pas enregistrer votre adresse IP. Refusez la bannière et le script n’est jamais chargé.
• Open-Meteo — prévisions météo. Les appels passent par notre backend ; votre identité de compte n’est jamais envoyée à Open-Meteo, seulement la latitude/longitude du lieu que vous consultez.
• Geoapify — recherche de lieux. Les appels passent par notre backend ; votre identité de compte et votre adresse IP ne sont jamais envoyées à Geoapify, seulement le nom de lieu que vous saisissez dans la recherche.
• EOX (tiles.maps.eox.at) — l’imagerie satellite Sentinel-2 de la carte Explore et le terrain ouvert de repli du monde 3D. Votre appareil demande une tuile d’imagerie à notre serveur, et notre serveur la récupère auprès d’EOX et la conserve. EOX voit donc l’adresse de notre serveur et la tuile demandée (un carré de la carte), pas vous.

• OpenAI — atteint depuis deux endroits, toujours via notre backend et jamais depuis votre appareil.

  1. Le mode assisté de Find your viewpoint. Deux appels s’y produisent et ils envoient des choses différentes. La lecture de votre requête envoie les mots que vous saisissez (jusqu’à 2 000 caractères), qu’OpenAI transforme en requête structurée — quel repère, quel astre, quelle fenêtre horaire. La proposition de points de vue envoie ensuite le sujet autour duquel vous planifiez : son nom et sa coordonnée (à environ un mètre près), ainsi que l’alignement et la fenêtre horaire que vous avez demandés, afin que le modèle puisse suggérer des lieux d’où photographier. Si vous avez démarré la fonction depuis l’un de vos propres lieux, ce lieu est le sujet — donc son nom, que vous avez écrit, et sa localisation accompagnent la requête. Votre identité de compte n’est pas envoyée, et aucun de vos autres lieux ne l’est. Le mode déterministe de la même fonction n’effectue aucun appel de ce type.

  2. L’assistant sur notre site. Chaque page de getviewpoint.app — y compris celle-ci — comporte un petit bouton de discussion, le Viewpoint Assistant. Tout ce que vous y saisissez est envoyé via notre backend à OpenAI, à la fois pour trouver la documentation pertinente et pour rédiger la réponse. Si vous n’y saisissez rien, rien n’est envoyé. Il n’a aucune idée de qui vous êtes ; il n’est pas connecté à votre compte, et il est accessible à quiconque lit le site.

  (Une version antérieure de cette politique indiquait que les coordonnées et les lieux enregistrés n’étaient jamais envoyés à OpenAI, et qu’OpenAI n’était atteint que depuis Find your viewpoint. Les deux affirmations étaient fausses, et cette entrée les corrige.)

• Wikimedia (Commons, Wikidata) et le service Overpass d’OpenStreetMap — utilisés pour trouver une photo publique et un nom de lieu existants pour un lieu qui n’en a pas, et pour rechercher des repères et des limites d’accès légal lors de la planification. Appelés par notre backend avec les coordonnées du lieu, ou une zone autour de celles-ci ; aucune identité de compte n’est envoyée.
• Amazon Web Services — tuiles d’élévation de terrain issues d’un compartiment de données ouvertes public, utilisées pour déterminer à quoi ressemblent l’horizon et la ligne de crête depuis un lieu. Notre backend demande la tuile qui couvre la coordonnée ; une tuile couvre environ un carré de 10 km, donc AWS voit la tuile, pas votre position. La recherche d’alignement lit les mêmes tuiles pour calculer la hauteur du sol au niveau de vos repères de prise de vue et de sujet, et entre eux : notre serveur utilise les coordonnées des repères, et AWS ne voit toujours que des tuiles. Le terrain ouvert de repli du monde 3D (utilisé là où Google n’a pas de couverture 3D) lit aussi ces tuiles d’élévation directement depuis votre appareil ; AWS voit donc l’adresse de la tuile et l’adresse IP de votre appareil. Aucune identité de compte n’est envoyée.
• Esri (ArcGIS) et l’Agence européenne pour l’environnement — limites des zones protégées, utilisées pour vous avertir quand un point de vue se trouve à l’intérieur d’une réserve naturelle ou d’un parc national. Notre backend envoie un rectangle englobant autour de la zone que vous consultez ; aucune identité de compte n’est envoyée. Ces flux sont optionnels et désactivés sauf configuration ; lorsqu’ils sont désactivés, aucune requête ne les atteint.
• Le service push de votre navigateur — application web uniquement, et uniquement si vous activez les notifications du navigateur. L’adresse que votre navigateur nous transmet appartient à l’éditeur de votre navigateur (Mozilla pour Firefox, Google pour Chrome et Edge, Apple pour Safari), et ce service vous délivre l’alerte. Il peut voir qu’une notification a été envoyée à votre instance de navigateur, et quand — le contenu est chiffré avec une clé que seul votre navigateur détient, donc le service ne peut pas lire l’alerte.
• Slack — un canal privé que Marcos lit. Deux choses y parviennent. Messages de support : quand vous écrivez depuis les Réglages (Contacter Marcos sur iPhone et iPad, Écrire au support sur Android, et de même sur l’application web), votre message y arrive avec votre UUID de compte, votre formule, ainsi que votre version d’application et le modèle de votre appareil — plus votre adresse e-mail uniquement si vous cochez la case d’activation, désactivée par défaut et libellée avec l’adresse qu’elle enverrait. Alertes d’erreur serveur : quand quelque chose échoue de notre côté, la ligne d’erreur y est également publiée, afin qu’une défaillance soit remarquée plutôt que de rester dans un journal. Ces alertes portent l’échec technique et l’endroit du code où il s’est produit — et, sur iPhone et iPad, un résumé d’un plantage signalé par votre appareil. Elles ne portent pas vos photos, vos coordonnées, vos notes, ni votre e-mail.

Ce que nous ne faisons pas

• Pas de publicité dans Viewpoint — pas de bannières, pas d’interstitiels, pas de SDK publicitaire dans aucune des applications. (Nous achetons bien des publicités ailleurs pour faire savoir que l’application existe, et sur iPhone et iPad, Apple envoie au réseau publicitaire un résultat anonyme et agrégé — voir Meta.)
• Pas de suivi inter-applications — pas d’identifiant publicitaire sur aucune des deux plateformes, pas d’invite d’autorisation de suivi puisqu’il n’y a rien à demander, pas de fingerprinting.
• Pas de vente de données — vos données ne sont pas une source de revenus et ne le seront jamais.
• Pas de SDK tiers de plantage ou de statistiques dans les applications — sur iPhone, iPad, Android et l’application web, les seules statistiques sont les nôtres, activées à votre initiative, et relayées depuis notre propre serveur. (Notre site est différent : il charge le script de Mixpanel dans votre navigateur une fois que vous acceptez sa bannière de cookies. Voir Mixpanel dans Fournisseurs et sous-traitants.)

Vos droits (RGPD — y compris l’article 17, la ligne directrice 5.1.1(v) d’Apple, et la politique de données utilisateur de Google Play)

Viewpoint est lancé dans l’UE ; le règlement général sur la protection des données (RGPD) de l’UE s’applique.

• Le droit à l’effacement (article 17). Les Réglages de chaque plateforme comportent une action Supprimer le compte — iPhone, iPad et Android indifféremment. La déclencher supprime définitivement votre profil de nos serveurs, ainsi que chaque enregistrement qui en dépend — lieux, photos, listes, plans, itinéraires, alertes, jetons d’appareil, sessions, abonnements et achats. Les photos capturées dans notre stockage objet sont effacées par une tâche de fond en quelques minutes. Les événements Mixpanel sont mis en file pour suppression via le point d’accès d’effacement GDPR de Mixpanel. Les Enregistrés déjà stockés sur votre propre appareil sont délibérément laissés en place, comme lors d’une déconnexion, de sorte que supprimer le compte n’emporte pas vos captures avec lui. Vous n’avez pas besoin d’avoir l’application installée pour cela — voir Supprimer votre compte pour le chemin de demande par le web, la liste complète de ce qui est effacé, et ce qui est conservé et pour combien de temps.
• Accès et portabilité. L’export en libre-service n’est pas encore disponible. Écrivez à [email protected] et nous vous enverrons un export JSON de tout ce qui est rattaché à votre compte.
• Retrait du consentement. Pour les statistiques, basculez Réglages → Confidentialité → Partager les statistiques d’utilisation. Le changement est immédiat — le prochain événement que votre téléphone aurait envoyé est le premier à être supprimé. Voir Comment fonctionnent les statistiques d’utilisation pour la vue d’ensemble complète.
• Opposition, rectification, limitation. Écrivez à [email protected] pour toute demande relative à vos droits RGPD non couverte par les surfaces intégrées à l’application ci-dessus. Nous répondrons sous 30 jours.
• Annuler votre abonnement via la boutique qui vous facture, en suivant ses propres instructions : Apple ou Google Play. L’annulation est indépendante de la suppression du compte. Si vous annulez Viewpoint Max ou Ultra sans supprimer votre compte, la copie de vos Enregistrés sur nos serveurs (vos lieux, leurs photos, listes, plans, itinéraires et alertes) est supprimée de nos serveurs 7 jours après la fin de votre abonnement. Votre compte, votre historique de facturation et tout ce qui se trouve sur votre appareil restent. Réabonnez-vous dans ces 7 jours et rien n’est supprimé. Ce que les personnes avec qui vous partagez ont ajouté à vos lieux et à vos listes est conservé, vos partages restent en place, et l’épingle d’un lieu partagé reste sur nos serveurs, sans son nom, vos notes ni vos photos, jusqu’à ce que vous vous réabonniez. Si vous supprimez votre compte sans annuler, l’abonnement continue d’être facturé jusqu’à ce que vous l’annuliez dans la boutique, car seule la boutique peut arrêter la facturation.

Modifications de cette politique

Si nous modifions cette politique d’une manière qui vous concerne, la date Dernière mise à jour en haut de cette page indique quand. Les modifications importantes (nouveaux sous-traitants, collecte de données élargie, changement d’entité exploitante) seront annoncées dans l’application et par e-mail à l’adresse associée à votre compte avant leur entrée en vigueur.

Contact

Pour toute question, demande ou réclamation relative à la confidentialité : [email protected].