Confidentialité dans l’application

Rien n’est comptabilisé

Le site web comptabilise quelques éléments sur la façon dont la carte est utilisée, et sa propre page de confidentialité les énumère. L’application n’en comptabilise aucun. Elle ne contient aucun outil de mesure d’audience : aucun événement envoyé où que ce soit, aucun identifiant publicitaire, et aucun code tiers qui tourne en arrière-plan pour rendre compte de ce que vous faites.

Les plantages, en revanche, sont signalés à Bugsink (un logiciel de suivi des erreurs qui fonctionne sur nos propres serveurs), le même outil que celui auquel le site web les signale. Un rapport indique ce qui s’est mal passé et à quel endroit du code, et rien sur qui vous êtes : aucun identifiant d’appareil, aucune adresse réseau, et aucun contenu de requête.

Ce qui pourrait contenir un lieu est nettoyé au départ : l’adresse d’une requête perd sa chaîne de requête et les segments numérotés de son chemin, qui sont ce qui désigne une recherche, une tuile ou une position. Il n’y a pas d’enregistrement de session et rien ne rejoue ce que vous avez fait, et un rapport de plantage ne capture jamais votre écran. Une seule chose dans l’application le fait, et uniquement quand vous le lui demandez — voir « Nous écrire » ci-dessous.

Rien de tout cela n’est promis pour toujours. Des comptes sont envisageables à un moment ou à un autre.

La position, uniquement quand vous la demandez

L’application peut afficher où vous êtes sur la carte : un point, que la carte garde en vue jusqu’à ce que vous la déplaciez vous-même. L’autorisation nécessaire est demandée lorsque vous appuyez sur le bouton qui le fait — jamais à l’ouverture de l’application — et la refuser ne coûte rien : tout le reste de Mappily fonctionne sans elle.

Ce que l’autorisation permet, c’est de lire votre position pendant que l’application est ouverte, et rien de plus. Rien n’est consigné : aucune trace de vos déplacements n’est conservée nulle part, et la position est affichée puis oubliée. Il n’y a aucune localisation en arrière-plan — l’application ne peut pas lire où vous êtes lorsqu’elle est fermée.

C’est Android qui en est garant, plutôt que notre seule parole : la demande apparaît dans la boîte de dialogue du système lui-même, et une autorisation accordée peut être retirée dans les Paramètres. Enregistrer des traces en arrière-plan est, à terme, la raison d’être d’une application native. Le jour où cela arrivera, cette page le dira.

Ce que l’application demande à votre appareil

L’appareil photo, et uniquement pour scanner le code avec lequel une sortie est partagée. Le scanner lit un seul code puis se ferme. Rien n’est photographié, conservé ni envoyé, et refuser l’autorisation ne vous coûte rien d’autre que de devoir coller le lien à la place.

Le sélecteur de fichiers, lorsque vous importez un fichier GPX ou KML. Android transmet le seul fichier que vous avez choisi et rien d’autre, il est lu sur l’appareil, et ce qu’il contient, c’est à vous de le garder ou de l’écarter avant que quoi que ce soit ne soit enregistré.

Le presse-papiers, lorsque vous copiez une position ou le lien d’une sortie. C’est tout : le texte va dans votre presse-papiers et nulle part ailleurs.

Votre position, lorsque vous appuyez sur le bouton qui indique où vous êtes. Ce que cela signifie, et ce que cela ne fait jamais, est expliqué dans la section ci-dessus.

Ce que vous dessinez vous appartient

Les sorties, ainsi que les points, itinéraires, traces et zones qu’elles contiennent, sont stockés dans la base de données propre à l’application, sur votre appareil. C’est à partir de cette copie que l’application fonctionne, y compris hors ligne, et c’est elle qui prévaut lorsque deux appareils ne concordent pas.

Une copie est également conservée sur notre serveur, pour chaque sortie et pas seulement pour celles que vous partagez. C’est ce qui permet à un lien de s’ouvrir sur l’appareil de quelqu’un d’autre, et ce qui préserve une sortie quand un téléphone est perdu. Il n’y a pas de comptes, c’est donc un lien impossible à deviner qui donne accès à une sortie : quiconque détient le lien de consultation peut la voir, et quiconque détient le lien de modification peut la modifier.

Désinstaller l’application efface ce qui se trouve sur l’appareil. La copie sur le serveur demeure, et quiconque détient un lien peut toujours y accéder.

Ce qui est également conservé sur l’appareil

Quelques petites choses, pour que l’application s’ouvre là où vous l’avez laissée : la position et le niveau de zoom où vous étiez en dernier, les couches que vous aviez activées, les recherches que vous avez faites récemment, et le contour de toute région que vous avez regardée.

Ainsi que l’identifiant aléatoire que l’application génère pour elle-même, avec lequel sont demandés les messages décrits plus bas, et qui accompagne tout ce que vous nous écrivez. Rien d’autre de ce qui précède ne quitte l’appareil.

Et une adresse e-mail, si vous en avez déjà donné une pour obtenir une réponse en nous écrivant. Elle est conservée pour que vous n’ayez pas à la saisir de nouveau, et elle n’est envoyée que lorsque vous cochez la case qui la demande.

Les images de la carte proviennent d’autres sources

La carte elle-même est dessinée à partir de tuiles servies par OpenStreetMap, OpenTopoMap, Esri, l’IGN espagnol, l’ICGC de Catalogne, l’IGN français et d’autres, nommés sous la carte à mesure que vous les utilisez. L’application les télécharge directement, si bien que ces organismes voient votre adresse réseau et les carrés du monde que vous avez demandés, ce qui leur indique approximativement où vous regardez.

C’est inévitable pour toute carte qui n’héberge pas ses propres images, et c’est, de tout ce qui touche à l’utilisation de Mappily, le point le plus important qui échappe à notre contrôle. Chaque fournisseur a sa propre politique de confidentialité.

Les tuiles que vous avez déjà consultées sont conservées sur l’appareil pour rester disponibles sans réseau, et les plus anciennes sont supprimées une fois que cet espace atteint sa taille limite. L’application ne télécharge jamais une région à l’avance : le téléchargement en masse est contraire aux conditions des services ci-dessus, et aucun bouton ne le permet.

Ce que l’application demande à notre serveur

La recherche de lieux est assurée par Photon, un géocodeur OpenStreetMap. L’application ne le contacte jamais : la requête passe par notre serveur, si bien que Photon nous voit poser la question, et non vous. Les réponses y sont mises en cache, de sorte qu’une recherche déjà faite par quelqu’un d’autre ne génère aucune requête.

Les profils altimétriques, l’horizon le long d’une ligne de visée, les relevés des rivières et des retenues d’eau et les données des éclipses sont eux aussi demandés à notre serveur. Chacune de ces requêtes indique le lieu qu’elle concerne, car c’est la question posée — un profil n’a aucun sens sans la ligne qu’il suit. Rien de cela n’est comptabilisé, rien de cela ne vous est rattaché, et rien ne relie une requête à la suivante.

Une requête laisse en revanche une ligne dans un journal de serveur web ordinaire, comme le fait une requête vers n’importe quel site. Cela découle du fait de faire tourner un serveur, et non d’une décision de l’application.

Messages de notre part

Au démarrage, l’application demande à notre serveur s’il y a un message à afficher : par exemple des notes de version, ou l’avertissement qu’un fournisseur de cartes est en panne. Presque toujours, il n’y a rien, et l’application ne dit rien.

Pour qu’un message que vous avez fermé ne réapparaisse pas, l’application génère pour elle-même un identifiant aléatoire la première fois qu’elle pose la question, et l’envoie avec celle-ci. Il n’est dérivé ni de votre appareil ni de votre adresse réseau, il ne permet de remonter à rien qui vous concerne, et il n’est envoyé qu’avec cette seule requête et avec rien d’autre. Désinstaller l’application l’efface.

La question indique aussi quelle version de l’application vous avez, sur quelle plateforme elle fonctionne et dans quelle langue vous la lisez, pour qu’un message destiné à d’anciennes versions, ou rédigé en catalan, parvienne aux bonnes personnes. Rien n’est envoyé sur l’endroit où vous êtes, et cet identifiant n’est jamais associé à quoi que ce soit qui contienne un lieu.

Nous écrire

Un bouton sur la carte permet de nous envoyer un message : son objet, ce que vous voulez dire, puis Envoyer. Rien de tout cela ne se produit si vous n’appuyez pas dessus, et rien n’en est comptabilisé.

Sous le message, deux cases, décochées tant que vous ne les cochez pas. L’une joint une image de l’écran tel qu’il était au moment où vous avez appuyé sur le bouton — il s’agit surtout de la carte, elle montre donc où vous regardiez. L’autre vous permet de laisser une adresse e-mail pour que nous puissions vous répondre. L’application retient l’adresse pour que vous n’ayez pas à la saisir de nouveau, et la case reste décochée au départ à chaque fois : être recontacté est une chose que vous acceptez message par message, et non une fois pour toutes.

Deux choses accompagnent chaque message sans qu’aucune case ne le demande. La première est l’endroit où se trouvait la carte — la position, le niveau de zoom et les couches activées. C’est ce qui fait l’intérêt de cette fonction : presque tout ce que l’on écrit à propos d’une carte concerne un endroit précis, et « le sentier qui passe par le col n’y est pas » ne peut pas recevoir de réponse sans cela. Cela n’inclut pas la sortie que vous aviez ouverte.

La seconde est l’identifiant aléatoire que l’application a généré pour elle-même, avec la version de l’application que vous avez, la plateforme sur laquelle elle fonctionne et la langue dans laquelle vous la lisez. L’identifiant permet de lire plusieurs messages d’une même personne comme venant d’une seule personne, plutôt que comme des réclamations sans lien entre elles. C’est le seul endroit où il figure à côté d’une position, et il est conservé aussi longtemps que le message.

Un message est conservé pendant un an puis supprimé, et la capture d’écran et l’adresse le sont avec lui. Rien n’est publié, rien n’est transmis à qui que ce soit d’autre, et aucune page, nulle part, ne l’affiche.

D’où vient l’application elle-même

L’application s’installe depuis Google Play, qui enregistre l’installation selon sa propre politique et non la nôtre. Ce que nous en voyons est ce que Play montre à tout développeur : des décomptes par pays, appareil et version, et rien sur une personne.

Les petites mises à jour arrivent sans passer par la boutique. Au lancement, l’application demande au service de mise à jour d’Expo si la version qu’elle exécute a été remplacée, et elle le demande qu’il y ait ou non quelque chose à renvoyer. Cette requête communique à Expo votre adresse réseau, la compilation que vous utilisez et la plateforme sur laquelle elle tourne, ainsi qu’un identifiant d’installation aléatoire propre à Expo, conservé par leur code et non par le nôtre. Rien sur la carte, et rien de ce que vous avez dessiné, ne l’accompagne.

Combien de temps tout cela est conservé

Rien n’est comptabilisé, il n’y a donc aucun événement comptabilisé à supprimer selon un calendrier. Les rapports de plantage sont supprimés au bout de 90 jours.

L’enregistrement indiquant que vous avez fermé un message est conservé jusqu’à la suppression de ce message.

Un message que vous nous avez envoyé est conservé pendant un an, et la capture d’écran ainsi que l’adresse e-mail, si vous en avez donné une, sont supprimées avec lui.

La copie d’une sortie sur le serveur est conservée aussi longtemps que la sortie elle-même. Supprimer un élément laisse un marqueur indiquant qu’il a été supprimé, afin qu’un appareil qui était hors ligne à ce moment-là apprenne la suppression au lieu de remettre l’élément en place.

Pour toute question

Les questions sur cette page, ou sur tout ce que l’application enregistre, peuvent être adressées à privacy [at] mappily.com.