Politique de confidentialité

Cette page dit ce que Tonnr garde de toi, pourquoi, qui d'autre le reçoit, et comment le faire corriger ou supprimer. Téo Goulois fait tourner cette instance et est responsable de ces données. Pour toute question, écris à cette adresse :

hello@tonnr.app

Lire la carte ne demande pas de compte. Cloudflare sert l'application web, et reçoit donc ton adresse IP et les pages que tu ouvres, comme tout hébergeur. Pour dessiner la carte, ton navigateur charge ses tuiles chez OpenFreeMap et les couleurs de la mer chez Copernicus Marine : tous deux voient ton adresse IP et la partie de la carte que tu regardes.

Umami, que Téo Goulois fait tourner, compte les pages lues ici, celles de l'accueil aussi : la page, le site d'où tu viens, ton navigateur, ton système, le type et la taille de ton écran, ta langue et ton pays. Il ne pose aucun cookie, ne garde ni ton adresse IP ni la requête de la page, et reconnaît deux visites d'un même navigateur à un code qui change chaque mois.

Ton navigateur garde tes réglages de l'application : ta langue dans un cookie, et dans son propre stockage la dernière position de la carte, ses calques, tes unités, tes raccourcis et les derniers lieux consultés. Sans compte, ils y restent, et aucun ne te suit.

Un compte garde ton adresse mail, ton nom d'utilisateur, que d'autres peuvent lire, et ton mot de passe, haché et jamais en clair. Un cookie garde ta session ouverte. À l'inscription, un mail avec un lien vérifie ton adresse, et le lien marche un jour. Si tu oublies ton mot de passe, un mail avec un lien te laisse en choisir un autre : le lien ne marche qu'une fois, pendant une heure, et ce choix déconnecte ton compte partout. Si tu te connectes avec Google, Google nous donne ton nom, ton adresse mail et ta photo de profil, et les jetons de cette connexion sont gardés avec ton compte. Google ne nous dit rien d'autre.

Chaque connexion est gardée avec l'adresse IP et le navigateur d'où elle vient, pour la sécurité de ton compte. Rien dans l'application ne les montre, et elles sont gardées tant que le compte existe.

L'application garde ce que tu y crées : tes spots et tes listes, tes alertes et ce qu'elles t'ont dit, ton carnet de sessions avec ses notes et ce que faisait la mer, les derniers lieux consultés, tes unités et tes raccourcis. Tes spots et tes sessions ne sont qu'à toi. D'autres lisent quelque chose de toi seulement dans ces cas :

• Une liste que tu partages par un lien est lue par quiconque a le lien, avec les spots privés qu'elle contient.
• Un spot que tu proposes au public est lu par l'opérateur qui décide. Une fois accepté, il rejoint le catalogue sans ton nom.
• Ce que tu écris dans une fiche est lu par tous, sous ton nom d'utilisateur, une fois confirmé.
• Tes amis lisent ton nom d'utilisateur, ton rang et tes contributions confirmées.
• L'opérateur de l'instance lit l'adresse mail et le nom d'utilisateur de chaque compte, si l'adresse est vérifiée et si le compte est suspendu. Téo Goulois fait tourner le serveur et peut lire la base de données, mais ne la lit que pour faire marcher le service ou répondre à une demande.

Unosend envoie le mail qui vérifie ton adresse, celui qui te laisse choisir un nouveau mot de passe et, si tu choisis les alertes par mail, les mails de tes alertes. Il reçoit ton adresse, le nom de l'alerte et de ses spots, et ce que l'alerte a trouvé. Tu peux retirer les noms de l'objet. Chaque mail d'alerte a un lien qui les arrête, et aucun mail ne porte de traceur.

Si tu actives les notifications dans un navigateur, nous gardons l'adresse que son service de notifications lui a donnée, ses clés et le nom du navigateur. Chaque notification passe par ce service, tenu par Google, Mozilla, Apple ou Microsoft selon ton navigateur, chiffrée pour que le service ne puisse pas la lire. Un navigateur est oublié quand tu t'y déconnectes ou que tu le retires.

Quand tu cherches un lieu par son nom, notre serveur interroge Photon, un service de komoot, en Allemagne. Il envoie ce que tu as tapé, ta langue et le centre de la carte, arrondi à une dizaine de kilomètres, et rien de ton compte. La recherche n'est ni gardée ni journalisée.

Si tu connectes un assistant IA à ton compte, nous gardons son inscription, ton accord et ses jetons. Il peut alors lire tes spots, tes alertes, ce qu'elles t'ont dit et tes sessions, et ne change rien. Son accès dure une heure et se renouvelle jusqu'à 30 jours après sa dernière utilisation. Tu le déconnectes depuis le panneau de ton compte. Ce que l'assistant fait de ce qu'il a lu dépend de qui le fournit.

Les formulaires de ce site qui écrivent à Téo Goulois envoient ton prénom, ton adresse et ton message par mail à hello@tonnr.app. Rien n'en est gardé dans la base de données : le mail est tout ce qu'il en reste.

L'API compte ses appels par heure, par sorte d'appelant et par résultat, jamais par compte. Ce que tu demandes aux prévisions est compté à part, par heure, à ton compte, ou à un hachage de ton adresse IP quand tu n'en as pas, pour qu'un seul appelant ne dépense pas les prévisions du jour de tout le monde : ces comptes sont gardés deux jours. Son journal note la méthode, le chemin et le statut de chaque requête, sans ton adresse IP. Ce que fait un opérateur, comme suspendre un compte, est noté avec l'identifiant de ce compte. La base de données est sauvegardée par son hébergeur. Quand l'API elle-même tombe en panne, elle envoie à PostHog un rapport de la panne : ce qui a échoué et à quel endroit de son code, sans rien de la requête, du compte ni de la personne qui l'a faite.

• Ton compte, ce que tu enregistres, les mails et les notifications, la recherche de lieux et les assistants : fournir le service que tu as demandé (RGPD, article 6.1.b).
• Les statistiques d'usage et les rapports d'erreurs de l'application : ton consentement (article 6.1.a), que tu retires à tout moment dans le panneau du compte.
• La mesure d'audience, les connexions gardées, les comptes d'appels, le journal, les rapports de pannes de l'API, les sauvegardes et la modération : notre intérêt légitime à garder le service sûr et en marche (article 6.1.f).
• Les messages que tu nous envoies : notre intérêt légitime à y répondre (article 6.1.f).

• Cloudflare (États-Unis): héberge l'application web
• Scaleway (France): héberge le serveur de l'API et sa base de données
• Unosend (États-Unis): envoie les mails
• PostHog (Union européenne): statistiques d'usage et rapports d'erreurs, si tu les acceptes, et rapports de pannes de l'API
• Umami: mesure d'audience, sans cookie
• Google (États-Unis): connexion, si tu la choisis
• komoot (Photon) (Allemagne): recherche de lieux
• OpenFreeMap: les tuiles de la carte, que ton navigateur charge
• Copernicus Marine (Union européenne): les cartes de la mer, que ton navigateur charge
• Le service de notifications de ton navigateur: transporte les notifications, chiffrées

Cloudflare, Google et Unosend sont aux États-Unis. Cloudflare et Google adhèrent au Data Privacy Framework UE–États-Unis, par lequel la Commission européenne estime que les données qui leur sont envoyées sont protégées de façon adéquate. Unosend les reçoit sous les clauses contractuelles types de la Commission européenne, que contient son accord de traitement des données.

Personne d'autre ne reçoit tes données. Elles ne sont jamais vendues, et l'application n'affiche aucune publicité.

• Ton compte et ce que tu y enregistres : jusqu'à la suppression du compte.
• Les comptes d'appels et la trace de ce qu'ont fait les opérateurs : 13 mois.
• Le compte des mails envoyés à un compte, qui les limite : 2 jours.
• Ton choix sur les statistiques et les rapports d'erreurs : 6 mois, dans ton navigateur.
• Les sauvegardes de la base de données en gardent une copie jusqu'à ce que de plus récentes les remplacent.
• Un spot devenu public, et ce que tu as écrit dans les fiches, restent après la suppression de ton compte, sans nommer personne.

Tu peux demander une copie de ce que nous gardons de toi, dans un format qu'un programme sait lire, demander qu'il soit corrigé ou supprimé, que son usage soit limité, ou t'y opposer. Écris à hello@tonnr.app depuis l'adresse de ton compte : tu as une réponse sous un mois.

L'application n'a pas encore de bouton pour supprimer un compte. Demande-le à hello@tonnr.app, et ton compte est supprimé, avec tout ce qu'il contient, sous un mois.

Si tu penses que tes données sont mal traitées, tu peux adresser une réclamation à la CNIL : cnil.fr

Quand cette page change, la date en haut change aussi.