Politique de confidentialité

En deux minutes

PITIWIK est une messagerie où un message met du temps à arriver, porté par un pigeon virtuel entre deux villes.

• Nous demandons votre ville, pas votre adresse. Le vol se calcule sur un centre approximatif et un rayon.
• Nous ne suivons pas votre position. La position du pigeon sur la carte est calculée à partir d'un plan de vol simulé ; elle n'est jamais enregistrée, et elle n'a aucun rapport avec l'endroit où vous vous trouvez.
• Si vous demandez à l'application de trouver votre ville, votre position exacte ne quitte pas votre téléphone : voir « Trouver votre ville » plus bas.
• Vos messages sont privés et ne sont lus par personne d'autre que leur destinataire. Nous ne les analysons pas, ni pour de la publicité, ni pour entraîner quoi que ce soit.
• Nous retirons les métadonnées de vos photos avant de les stocker — un téléphone y écrit souvent les coordonnées GPS de la prise de vue.
• Aucun outil de mesure d'audience tiers n'est installé. Aucune publicité, aucun suivi entre applications.
• Si vous achetez un élément pour habiller votre pigeon, le paiement se fait chez Apple : nous ne recevons aucune donnée bancaire, seulement une preuve d'achat à vérifier.
• Vous pouvez supprimer votre compte depuis l'application, et cela supprime réellement vos contenus.

Ce que nous ne prétendons pas :

PITIWIK n'est pas chiffré de bout en bout. Vos messages sont chiffrés en transit et au repos, mais l'hébergeur en détient techniquement les clés. Nous ne dirons pas « 100 % sécurisé » ni « totalement anonyme » : ce serait faux.

1. Qui est responsable

Christophe SAVARY, entrepreneur individuel Nom commercial : CSAV81 12 Rue de Laden, 81100 Castres, France Vie privée : vie-privee@pitiwik.fr Support : support@pitiwik.fr

Aucun délégué à la protection des données n'est désigné.

2. Ce que nous collectons, et pourquoi

Votre compte

Adresse e-mail, nom d'affichage, avatar si vous en mettez un, votre langue, votre ville d'accueil et son rayon d'imprécision, votre pays, et des dates techniques.

Il n'y a pas de mot de passe : vous recevez un code à six chiffres par courriel.

Pourquoi : pour que le service existe. Sans compte, pas de correspondant.

Trouver votre ville

Vous pouvez taper le nom de votre ville, ou demander à l'application de la trouver. Dans ce second cas seulement, et seulement à ce moment-là :

1. votre téléphone obtient votre position et l'arrondit à une décimale de degré ;
2. il envoie cette valeur arrondie et rien d'autre à notre serveur ;
3. le serveur renvoie une trentaine de villes situées autour de cette zone ;
4. votre téléphone choisit la plus proche, en utilisant la position exacte, qui n'est jamais sortie de l'appareil.

Pourquoi : le répertoire compte plus de deux cent cinquante mille villes. Il ne peut pas tenir dans l'application, et il faut donc demander au serveur — mais il n'a pas besoin de savoir où vous êtes précisément pour cela.

Ce que l'arrondi veut dire : une décimale de degré représente une dizaine de kilomètres du nord au sud, et moins d'est en ouest selon l'endroit. Ce n'est pas une promesse de distance exacte, c'est une perte volontaire de précision.

Ce que nous n'en faisons pas : cette valeur arrondie n'est écrite dans aucune table, aucun journal et aucune mesure d'usage. Elle sert le temps de la réponse, puis disparaît. Seule la ville que vous retenez est enregistrée, et c'est déjà ce que vous auriez tapé vous-même.

Si vous refusez l'accès à votre position, ou si vous n'avez pas de réseau, l'application vous laisse simplement choisir votre ville dans la liste. Elle ne devine pas.

Vos relations

Qui vous a invité, qui vous avez accepté, qui vous avez bloqué, et les jetons et codes des invitations que vous avez créées, avec leurs dates.

Pourquoi : parce qu'on n'écrit qu'à quelqu'un qui a accepté. C'est la règle qui protège tout le monde des messages non sollicités.

Nous ne permettons aucune recherche publique par adresse e-mail ou par numéro de téléphone, et nous ne demandons jamais l'accès à votre carnet d'adresses.

Vos messages et vos voyages

Le contenu de vos messages, leur auteur et leur destinataire, le lien entre une réponse et le message d'origine, les villes de départ et d'arrivée avec leur centre approximatif et leur rayon, la distance simulée, et les horodatages — préparation, départ, arrivée, ouverture.

Pourquoi : c'est le service lui-même.

Sur la carte. La position du pigeon est recalculée à chaque affichage à partir du plan de vol. Elle n'est jamais stockée, et elle ne dit rien de l'endroit où vous êtes. Le pigeon, sa fatigue et sa météo sont virtuels.

Vos photos

Le fichier, son type, sa taille, ses dimensions, et qui l'a déposé.

Pourquoi : pour l'envoyer à votre destinataire.

Les métadonnées sont retirées avant le dépôt. Une photo prise avec un téléphone contient souvent le lieu exact, l'heure et l'appareil. Nous supprimons ces blocs des octets eux-mêmes avant qu'ils ne quittent votre téléphone. Si le retrait échoue, l'envoi est refusé plutôt que fait quand même.

Les fichiers sont dans un stockage privé. Ils ne sont consultables que par une adresse signée à durée courte, délivrée à vous et à votre destinataire.

Vos mémos vocaux

Si vous enregistrez un message vocal pour votre destinataire : le fichier audio, sa durée, son type et sa taille, et qui l'a déposé.

Pourquoi : pour le porter à la personne à qui vous l'adressez, et à personne d'autre.

Le micro ne sert qu'à ce geste. L'autorisation iOS est demandée au moment où vous décidez d'enregistrer, jamais avant. L'enregistrement dure trente secondes au plus, et s'arrête quand vous le décidez. L'application n'écoute rien en dehors de ce geste, et n'enregistre jamais en arrière-plan.

Votre voix n'est ni transcrite, ni analysée, ni écoutée par nous. Le fichier vit dans le même stockage privé que les photos, sous les mêmes règles : adresse signée à durée courte pour vous et votre destinataire, et les mêmes durées de conservation que les autres médias (section 4).

Les notifications

Le jeton de notification de votre appareil, sa plateforme, votre langue, et la nature des événements à annoncer.

Pourquoi : pour vous prévenir qu'un pigeon part, approche, arrive, ou que votre message a été ouvert. Vous activez les notifications quand vous le décidez ; un refus est respecté et nous ne redemandons pas.

Aucun contenu privé dans une notification. Ce qui est enregistré côté serveur, ce sont des identifiants et une nature d'événement — jamais une phrase. Le texte est écrit au moment de la remise, dans votre langue : il nomme le pigeon et, selon le cas, une ville. Jamais le texte d'un message, jamais une photo, jamais un enregistrement.

Pour qu'une notification arrive, votre téléphone obtient un jeton auprès du service de notification (Expo, qui s'appuie sur le service d'Apple). Ce jeton est enregistré chez nous, rattaché à votre compte. Au moment d'annoncer quelque chose, notre serveur envoie à ce service le jeton, le titre, le texte affiché et de quoi ouvrir le bon écran — rien de plus. C'est ce service, puis Apple, qui remettent la notification à votre téléphone. Si vous désactivez les notifications, le jeton est effacé.

Les mesures d'usage

Le nom d'un événement (par exemple : un voyage a commencé, un message a été ouvert), la façon dont vous avez ouvert l'application, la date, la version de l'application, la plateforme, la langue, et des paliers — « entre 1 h et 6 h » plutôt qu'une durée exacte.

Pourquoi : pour savoir si le produit fonctionne. Nous ne saurions pas autrement si les gens répondent aux messages qu'ils reçoivent.

Aucun outil tiers. Ces mesures vivent dans notre propre base. Il n'y a ni Google Analytics, ni Firebase, ni Sentry, ni régie publicitaire, ni identifiant publicitaire, ni suivi entre applications. Une liste blanche de huit champs est appliquée à l'écriture : il est techniquement impossible d'y faire entrer un texte de message, une photo, une adresse e-mail, un nom, un jeton, une adresse ou une position précise.

Avant que vous ayez un compte, il n'y a personne à mesurer. Pour savoir combien de personnes ouvrent la présentation et combien vont jusqu'au bout, l'application tire alors un nombre au hasard, le garde sur votre téléphone, et le joint à cinq événements seulement : l'ouverture de l'application, le début et la fin de la présentation, le début d'une inscription, l'ouverture d'une invitation. Ce nombre n'est pas un identifiant de votre matériel : il est créé par l'application, et effacé si vous la désinstallez. Dès qu'un compte existe, le serveur cesse de l'enregistrer — c'est le compte qui est mesuré, et les deux ne sont jamais rapprochés. Il ne sert à aucune publicité et à aucun suivi d'un site ou d'une application à l'autre.

Vos achats

Si vous achetez un élément payant pour habiller votre pigeon (voir les CGU, section 11), nous conservons la preuve de l'achat telle qu'Apple nous la transmet, et rien d'autre : l'identifiant de la transaction Apple, l'identifiant de la transaction d'origine, le jeton de compte que l'application a joint à l'achat (c'est votre identifiant de compte PITIWIK, pour qu'un achat ne puisse pas être réclamé par un autre compte), l'environnement (test ou production), la date d'achat et, le cas échéant, la date de révocation. Nous conservons aussi la liste des éléments que vous avez le droit de porter.

Pourquoi : pour vous accorder ce que vous avez acheté, le retrouver sur un nouveau téléphone, et le retirer si Apple rembourse ou révoque l'achat.

Aucune donnée bancaire. Le paiement est réalisé par Apple, dans l'App Store. Nous ne recevons ni numéro de carte, ni coordonnées bancaires, ni votre identifiant Apple. Le prix et la devise sont affichés par Apple ; nous ne les stockons pas.

Les signalements

Si vous signalez quelqu'un : le motif, votre commentaire éventuel, la date, et la personne visée.

Pourquoi : pour protéger les gens. Le signalement est strictement privé — la personne signalée ne peut ni le lire ni savoir qu'il existe.

Nous ne pratiquons aucune surveillance générale : personne ne lit vos messages, et rien ne les analyse automatiquement.

3. Ce que nous ne collectons pas

• Votre adresse postale.
• Votre position GPS en continu. L'application ne fonctionne jamais en arrière-plan pour suivre où vous êtes.
• Votre carnet d'adresses.
• Votre caméra : cette permission est explicitement désactivée dans la configuration de l'application. Une photo se choisit dans votre photothèque, elle ne se prend pas depuis PITIWIK.
• Votre voix en dehors d'un enregistrement que vous déclenchez : le micro ne s'ouvre qu'à ce moment-là (voir « Vos mémos vocaux »).
• Un identifiant publicitaire.
• Votre présence « en ligne » : personne ne voit que vous êtes connecté.

4. Combien de temps nous gardons tout cela

Le détail figure dans notre politique de conservation. En résumé :

Une purge automatique tourne chaque jour ; ces durées ne dépendent de la vigilance de personne.

Vos achats ne nous survivent pas. Quand vous supprimez votre compte, la preuve d'achat et la liste des éléments acquis s'en vont avec lui : elles ne servaient qu'à vous accorder ce que vous aviez acheté. La comptabilité de l'entreprise est une autre affaire — elle se tient sur des pièces comptables, conservées ailleurs et selon leurs propres obligations, et non sur cette table.

5. Supprimer votre compte

Profil → Confidentialité et compte → Supprimer mon compte.

Nous supprimons : le contenu de vos messages y compris chez leurs destinataires, vos photos et leurs fichiers, votre profil, vos appareils, vos invitations ouvertes, vos relations et vos mesures d'usage. Votre compte d'authentification disparaît, adresse e-mail comprise.

Nous conservons, sans votre nom : l'existence des voyages passés, leur date, leurs villes et leur distance, dans l'historique des personnes avec qui vous avez correspondu. Vous y apparaissez comme « un ancien correspondant », et vos messages affichent qu'ils ne sont plus disponibles.

Pourquoi : parce que ces voyages sont aussi leur histoire. Effacer leurs kilomètres reviendrait à réécrire leur passé.

Soyons exacts : pour que ces voyages tiennent debout, une ligne de compte vide subsiste, sans prénom, sans photo, sans ville, sans adresse e-mail. Elle ne vous nomme plus, mais elle porte encore un identifiant technique qui relie ces voyages entre eux. Nous ne prétendons donc pas que ces traces sont « anonymes » : elles sont désidentifiées, et nous continuons à les protéger comme des données personnelles.

Nous conservons également les signalements que vous avez émis — les supprimer permettrait d'effacer les traces d'un comportement en fermant son compte. Ils ne portent plus votre nom.

Nous ne proposons aucun délai de rétractation, aucune désactivation déguisée, et nous ne vous demanderons pas pourquoi vous partez.

6. Vos droits

Vous pouvez demander l'accès, la rectification, l'effacement, la limitation, l'opposition et la portabilité de vos données, et retirer un consentement quand il en a été demandé un.

Écrivez à vie-privee@pitiwik.fr. Nous répondons dans un délai d'un mois.

L'accès, la rectification et l'effacement se font directement dans l'application : le profil se modifie, le compte se supprime. L'export de vos données n'est pas encore disponible dans l'application ; en attendant, il se demande par courriel.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — cnil.fr.

7. Qui d'autre voit vos données

• Supabase, qui héberge la base, l'authentification et le stockage. Le projet est hébergé en Irlande.
• Brevo, qui achemine les courriels contenant votre code de connexion et vos invitations. Ces courriels ne contiennent jamais le contenu d'un message.
• Apple, pour les achats intégrés : Apple réalise le paiement dans l'App Store et traite pour son propre compte les données de votre compte Apple et de la transaction. Nous ne recevons de sa part qu'une preuve d'achat signée. La qualification exacte du rôle d'Apple au regard du RGPD est à confirmer par l'éditeur contre les conditions contractuelles Apple ; elle n'est pas affirmée ici.
• Expo, puis Apple, pour remettre les notifications : ils reçoivent le jeton de votre appareil, le titre, le texte affiché et l'identifiant de l'écran à ouvrir. Rien d'autre ne leur est transmis.
• Netlify, qui héberge le site public pitiwik.fr — les pages que vous lisez en ce moment si vous venez du web. Ce site ne contient aucun script, aucun cookie, aucune mesure d'audience : nous n'y recueillons rien. Comme tout serveur, l'hébergeur tient pour son propre compte des journaux techniques — adresse IP, date, page demandée — pour servir la page et se défendre contre les abus. Utiliser l'application ne passe jamais par ce site.
• OVHcloud, qui héberge uniquement les deux boîtes de contact du domaine (support@pitiwik.fr, vie-privee@pitiwik.fr). Il ne voit ni l'application, ni la base, ni vos messages : seulement ce que vous nous écrivez à ces adresses.

La liste détaillée figure dans le registre des sous-traitants, tenu par l'éditeur et communicable sur demande à l'adresse vie privée.

8. Sécurité

Chaque table est protégée par des règles d'accès appliquées par la base elle-même, refusant par défaut. Une requête sans compte est rejetée avant toute autre vérification. Les écritures sensibles passent par des fonctions serveur qui vérifient qui agit. Les photos sont dans un stockage privé, accessibles seulement par une adresse signée temporaire.

Ces règles sont rejouées automatiquement à chaque modification du code : 18 blocs de vérification d'accès, 41 tests d'intégration, 341 tests unitaires.

Nous ne prétendons pas être infaillibles, et nous avons écrit à l'avance la procédure à suivre en cas d'incident (la procédure en cas de violation de données).

9. Les mineurs

L'accès à PITIWIK est réservé aux personnes de 13 ans et plus.

Cet âge est celui de l'accès au service. Il ne dit rien de la capacité à consentir au traitement de ses données, et les deux ne doivent pas être confondus : en France, lorsqu'un traitement repose sur le consentement, celui-ci n'est valablement donné seul qu'à partir de 15 ans. En dessous, l'autorisation conjointe du titulaire de l'autorité parentale est requise.

La plupart de nos traitements ne reposent pas sur le consentement mais sur l'exécution du service — vous demandez à envoyer un message, nous l'acheminons. Le jour où un traitement s'appuiera sur le consentement, la règle des 15 ans s'appliquera à lui, et l'accès à 13 ans ne la couvrira pas.

Ce que nous tenons dès aujourd'hui, quel que soit l'âge :

• aucun profilage ;
• aucune publicité, ciblée ou non ;
• aucune collecte supplémentaire sur les mineurs ;
• aucune mécanique sociale publique — pas de profils publics, pas de recherche par e-mail ou téléphone, pas de présence « en ligne ».

PITIWIK n'est pas présenté comme destiné aux enfants. Son univers dessiné n'en fait pas une application pour enfants.

10. Modifications

Toute modification substantielle sera annoncée dans l'application. Les versions précédentes restent consultables.

Version 1.0.0 — 18 août 2026.