Déclaration de protection des données

Qui nous sommes et ce que couvre ce document

GeoQuestly est une application sociale géolocalisée de Mandrill Software GmbH. La présente déclaration couvre ce site web et l’application GeoQuestly, car pour la personne qui les utilise il s’agit d’un seul service.

En bref : le partage de votre position est désactivé tant que vous ne l’activez pas, vous décidez qui vous voit et avec quelle précision, et vous pouvez arrêter à tout moment. Suivre quelqu’un n’équivaut pas à voir où cette personne se trouve — ce sont deux choses distinctes dans GeoQuestly, et elles l’ont toujours été.

Nous ne vendons pas de données personnelles, nous ne diffusons aucune publicité et il n’y a aucun suivi à travers d’autres sites ou applications. Tout ce qui suit a été rédigé à partir du code source et de la configuration du produit, et non à partir de ce que contient habituellement une déclaration de confidentialité.

Ce site web

Le site est constitué de pages générées à l’avance et servies par un serveur web. Il n’y a ni compte, ni formulaire de contact, ni fonction de commentaire, ni boutique.

Il ne dépose aucun cookie. Il ne contient ni analyse d’audience, ni publicité, ni bouton de réseau social, et il ne charge aucune police, aucun script et aucune image provenant d’un tiers — tout provient de l’adresse que vous êtes en train de lire.

Il enregistre exactement une chose dans votre navigateur :

• une seule entrée nommée geoquestly.locale, contenant un code de langue à deux lettres tel que « de » — et rien d’autre,
• elle n’est écrite que lorsque vous choisissez vous-même une langue dans le menu des langues,
• elle reste sur votre appareil, ne nous est jamais transmise et ne contient aucun identifiant,
• effacer les données de site de votre navigateur la supprime, après quoi le site suit à nouveau la langue de votre navigateur.

Cette entrée existe pour que vous n’ayez pas à choisir votre langue à chaque visite. Les données techniques de connexion — votre adresse IP, l’heure, la page demandée — sont nécessairement traitées par notre hébergeur pour vous livrer la page. Nous n’avons activé aucune journalisation pour le site et nous ne tenons aucune statistique de visite.

Votre compte

La connexion passe par Microsoft Entra External ID, un service d’identité de Microsoft. Vos identifiants y sont traités ; GeoQuestly ne voit jamais votre mot de passe.

Ce que la base de données de GeoQuestly contient au sujet de votre compte :

• un identifiant d’utilisateur GeoQuestly, votre nom affiché et votre handle,
• les identifiants qui relient votre compte à l’annuaire qui vous authentifie,
• l’état de votre compte et les dates de ses changements — activé, désactivé, suppression demandée,
• vos appareils : un identifiant d’installation, la plateforme, un nom d’appareil facultatif, la version de l’application et la date de dernière activité.

GeoQuestly n’enregistre pas votre adresse e-mail. Elle existe dans l’annuaire Microsoft qui vous authentifie ; l’application ne la lit pas dans le jeton de connexion et ne la conserve pas.

La photo de profil que vous téléversez est conservée dans notre stockage de médias sous votre identifiant d’utilisateur, et elle est remplacée ou supprimée lorsque vous la modifiez ou la supprimez.

Personnes, groupes et événements

GeoQuestly est une application sociale : elle conserve donc les liens que vous y créez :

• les amitiés, ainsi que les demandes d’amitié envoyées et reçues,
• les personnes que vous suivez et celles qui vous suivent,
• les groupes auxquels vous appartenez et votre rôle dans ceux-ci,
• les invitations à des événements et votre réponse.

La visibilité d’un groupe, d’un événement ou d’une publication découle de ses propres réglages et de votre qualité de membre — vérifiée à chaque requête sur l’état actuel et validé, jamais sur une réponse mémorisée.

Ce que vous écrivez et partagez

Les publications, les messages de discussion, les discussions de groupe et les médias qui y sont joints sont conservés afin que les personnes concernées puissent les voir :

• le texte des publications et des messages,
• les images et autres médias que vous joignez,
• les réactions, les mots-clés et les mentions,
• les conversations que vous avez lues.

Le texte des messages et des publications est chiffré là où il est conservé et n’est donc pas lisible dans la base de données elle-même.

Si vous joignez délibérément un lieu à une publication ou à un message, ce lieu fait partie du contenu publié et est visible par toutes les personnes qui voient la publication. C’est une décision distincte du partage de position en direct, dont traite la section suivante.

Position

Le partage de position est désactivé tant que vous ne l’activez pas. Auparavant, rien concernant votre position n’est partagé, conservé ni montré à qui que ce soit.

Lorsque vous l’activez, quatre choses vous appartiennent : s’il est actif, pour combien de temps, qui peut vous voir — les groupes que vous cochez et vos réglages pour vos amis — et avec quelle précision, de votre position exacte à une zone approximative, jusqu’à rien du tout.

La précision réellement reçue par une personne est la plus faible de trois limites : la précision que votre appareil était autorisé à mesurer, la limite que vous avez fixée, et ce à quoi cette personne a droit. Un destinataire ne peut jamais l’augmenter.

Suivre quelqu’un ne permet pas de voir où cette personne se trouve. Le partage de position est une décision propre à la personne concernée, et le fait d’être suivi n’en a jamais fait partie.

Si vous l’autorisez, l’application peut recevoir des positions lorsqu’elle est en arrière-plan ou que votre écran est éteint. C’est ce qui permet au partage de continuer de fonctionner quand vous rangez votre téléphone dans votre poche, et iOS comme Android vous indiquent que cela se produit. Vous pouvez retirer l’autorisation à tout moment dans les réglages de votre appareil, et vous pouvez désactiver le partage dans l’application sans toucher à l’autorisation.

Pendant que vous partagez, voici ce qui existe :

• votre position partagée actuelle, dans un cache de courte durée qui expire après environ 30 minutes et que chaque nouvelle position remplace,
• un point de repère de votre dernière position partagée sur votre enregistrement de partage, écrit au plus une fois toutes les quelques minutes, afin qu’un destinataire voie encore quelque chose si le cache est perdu,
• le public et la durée que vous avez choisis,
• si l’application est actuellement ouverte, information qui expire d’elle-même peu après,
• si vous êtes en mouvement, qui est un état de courte durée et non un itinéraire.

GeoQuestly ne conserve pas d’historique de position. Il n’y a ni trace, ni table des positions passées, ni enregistrement des lieux où vous êtes allé : il y a votre dernière position tant que vous partagez, et le point de repère porte l’heure de sa mesure réelle, de sorte qu’une position vieille de vingt minutes l’indique au lieu de se faire passer pour actuelle.

Lorsque vous désactivez le partage, ou que la durée choisie s’achève, l’interrupteur, le public et le point de repère enregistré sont effacés ensemble en une seule opération, et la copie de courte durée expire d’elle-même.

Alertes d’arrivée et de départ

Un lieu dans GeoQuestly peut avertir quelqu’un lorsqu’une personne y arrive ou en repart. Il en existe deux sortes : une alerte que les responsables d’un groupe configurent pour ce groupe, et une alerte personnelle que vous définissez pour vous-même.

Les deux sont calculées à partir d’une position que vous partagez déjà. Il n’y a ni localisation séparée, ni seconde autorisation, ni collecte supplémentaire : si vous ne partagez pas votre position avec le groupe ou la personne concernée, rien n’est évalué. Le partage est l’autorisation.

Une alerte de groupe avertit les personnes que la configuration du groupe désigne ; une alerte personnelle ne prévient que vous. Les enregistrements des arrivées et des départs qu’elles produisent sont conservés pendant une durée limitée — actuellement sept jours — puis supprimés automatiquement.

Notifications push

Si vous autorisez les notifications, votre appareil fournit à l’application une adresse de livraison. Nous conservons :

• le jeton push délivré par Apple ou Google, qui est une adresse de livraison et change avec le temps,
• un identifiant d’installation, la plateforme et la langue de l’application, pour que la notification arrive dans la bonne langue sur le bon appareil,
• la date de dernière activité de l’appareil.

La livraison passe par Azure Notification Hubs, qui transmet les notifications à Apple ou à Google. Le destinataire d’une notification est déterminé au moment de l’envoi à partir de notre propre base de données, jamais par le service de notification. Une notification indique à l’application où regarder ; l’application charge ensuite le contenu elle-même, avec votre session et vos autorisations.

Rédaction assistée par IA

GeoQuestly dispose d’un assistant qui aide une administratrice ou un administrateur à rédiger un groupe ou une série d’événements : la personne écrit une consigne, joint éventuellement un document et reçoit un brouillon.

Ce qui est transmis au fournisseur d’IA pour une telle exécution :

• la consigne rédigée et la région indiquée,
• le document éventuellement joint — un PDF, une image, une page,
• la langue de la requête et ses instructions techniques,
• rien d’autre.

Les fournisseurs actuellement utilisés sont Anthropic et OpenAI ; la personne qui lance l’exécution choisit. La requête peut comprendre une recherche web effectuée par le fournisseur. GeoQuestly vérifie ensuite les lieux proposés auprès de sources de données cartographiques, puis une personne ouvre le résultat dans l’éditeur habituel et décide de ce qui sera enregistré.

Tout le reste n’est pas transmis : aucune donnée de compte, aucune liste d’amis, aucun message, aucune position, et rien au sujet des personnes qui verront ensuite le groupe ou l’événement.

L’assistant ne publie jamais rien de lui-même. Chaque groupe et chaque événement naît d’une personne qui appuie sur enregistrer, dans le même éditeur que pour un contenu rédigé à la main. Les documents joints sont supprimés automatiquement lorsqu’ils ne sont pas utilisés — actuellement après 48 heures, ou après 6 heures pour une exécution n’ayant produit aucun brouillon.

Cartes et autres services contactés par votre appareil

Une carte est dessinée à partir de tuiles publiées par d’autres organisations, et votre appareil va les chercher directement auprès d’elles. C’est ainsi que fonctionne une carte, et cela signifie que ces organisations voient la requête :

• les fonds de carte d’OpenStreetMap, OpenFreeMap, Esri et CARTO,
• les couches suisses facultatives — swisstopo et geo.admin.ch, les offices fédéraux de l’environnement et des routes, MétéoSuisse, Bâle-Ville, Bâle-Campagne et geodienste.ch — désactivées tant que vous ne les activez pas,
• GIPHY, lorsque vous ouvrez le sélecteur de GIF dans une discussion ou une publication. GIPHY exige que les applications l’appellent directement et ne nous autorise pas à le faire à votre place,
• ce que chacune peut voir est ce que montre toute requête web : votre adresse IP, ce que vous avez demandé et les données techniques de votre appareil.

D’autres requêtes s’exécutent sur les serveurs de GeoQuestly plutôt que sur votre appareil : vous ne contactez donc pas ces fournisseurs et votre adresse IP ne leur parvient pas. Il s’agit de la recherche de lieux et d’adresses (Photon), du calcul d’itinéraires (OpenRouteService), de la vérification des lieux proposés par l’assistant IA (Nominatim, Overpass) et de la recherche d’images de lieux (Wikimedia Commons).

Toutes ces organisations sont indépendantes de nous ; leurs propres conditions et déclarations de confidentialité s’appliquent à ce qu’elles font d’une requête reçue.

Désactiver une couche facultative met fin à ses requêtes, et ne pas ouvrir le sélecteur de GIF signifie qu’aucune requête n’est adressée à GIPHY.

Où se trouvent vos données et qui les traite

GeoQuestly fonctionne sur Microsoft Azure. Mandrill Software GmbH reste responsable de vos données ; Azure les traite sur nos instructions et à aucune fin propre.

Où fonctionnent les différentes parties du service :

• la base de données applicative, contenant votre compte, vos contenus et vos réglages de partage — Suisse (Switzerland North),
• le cache et la connexion en temps réel qui maintient la carte vivante — Suisse (Switzerland North),
• le stockage des images et des pièces jointes — Suisse (Switzerland North),
• la livraison des notifications — Suisse (Switzerland West), puis vers Apple ou Google,
• la connexion via Microsoft Entra External ID — l’annuaire est enregistré pour la Suisse et Microsoft conserve ses données d’identité dans sa région européenne.

Certaines données quittent nécessairement la Suisse : vers Apple et Google lors de la livraison d’une notification, vers le fournisseur d’IA lorsqu’une administratrice ou un administrateur lance un brouillon, vers les fournisseurs de cartes et de GIF que votre propre appareil contacte, et au sein de l’infrastructure européenne de Microsoft lors de votre connexion.

La Suisse reconnaît aux États de l’UE et de l’EEE un niveau de protection des données adéquat, et depuis le 15 septembre 2024 également aux États-Unis pour les entreprises certifiées selon le Swiss–U.S. Data Privacy Framework.

Si vous souhaitez savoir quelle garantie s’applique à une communication précise, demandez-le-nous et nous vous le dirons.

Durée de conservation

Les données sont conservées aussi longtemps qu’elles ont une finalité, et pas davantage :

• compte, profil, publications, messages, groupes et événements : tant que votre compte existe, ou jusqu’à ce que vous les supprimiez,
• votre position partagée : la copie de courte durée expire après environ 30 minutes et le point de repère est effacé dès que vous cessez de partager,
• l’indication que l’application est ouverte : quelques minutes après qu’elle cesse de le signaler,
• les arrivées et départs enregistrés par les alertes de lieu : actuellement sept jours,
• les documents joints à un brouillon IA : 48 heures s’ils ne sont jamais utilisés, 6 heures pour une exécution sans brouillon.

Tout ce qui n’est pas énuméré ci-dessus est conservé tant que cela sert la finalité décrite dans la présente déclaration, et est supprimé lorsque vous supprimez votre compte.

Vos droits

Le droit suisse de la protection des données vous permet de nous demander gratuitement :

• l’accès : la confirmation que nous traitons des données vous concernant, et une copie de celles-ci,
• la rectification de données inexactes,
• la suppression de votre compte et des données qui s’y rattachent,
• s’opposer à un traitement déterminé ou retirer une autorisation donnée — désactiver le partage de position est exactement cela,
• dans certains cas, la remise des données que vous avez fournies dans un format courant et lisible par machine.

Vous pouvez faire l’essentiel vous-même, sans rien demander à personne : modifier votre profil, supprimer vos publications et vos messages, quitter un groupe, désactiver le partage de position et supprimer définitivement votre compte dans l’application, sous « Compte ». La suppression du compte efface vos données GeoQuestly et votre compte de connexion GeoQuestly ; elle ne supprime pas un compte détenu auprès d’un fournisseur que vous auriez utilisé pour vous connecter.

Pour tout ce que l’application ne permet pas — une demande d’accès, une rectification que nous devons effectuer pour vous —, écrivez-nous. Nous pourrions devoir vous demander de vous identifier au préalable : remettre vos données à la mauvaise personne serait l’erreur la plus grave.

Tant qu’aucune adresse dédiée n’est publiée, les demandes peuvent être adressées à Mandrill Software GmbH via mandrill.software.

Sécurité

Les mesures qui comptent le plus ici, à un niveau qu’il est raisonnable d’exposer publiquement :

• tout ce qui circule entre votre appareil et nos serveurs passe par des connexions chiffrées,
• le contenu des messages et des publications est en outre chiffré là où il est conservé,
• le droit de voir quelque chose est décidé à chaque requête à partir de la base de données faisant foi, jamais à partir d’une réponse mise en cache qui pourrait être périmée,
• la connexion est assurée par le service d’identité de Microsoft : votre mot de passe n’atteint donc jamais GeoQuestly.

Aucun système n’est parfaitement sûr et nous ne prétendons pas le contraire. En cas de violation de la sécurité des données susceptible d’entraîner un risque élevé pour votre personnalité ou vos droits fondamentaux, nous l’annoncerons dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence et vous informerons lorsque la loi l’exige ou lorsque cela vous aide à vous protéger.

Modifications de la présente déclaration

GeoQuestly est en développement actif : cette déclaration évoluera donc avec le produit. La version en vigueur est toujours celle de cette page.

La version et la date en tête indiquent la dernière modification. Un changement affectant matériellement l’usage de vos données sera signalé dans l’application, plutôt que laissé ici à découvrir.