Politique de confidentialité

Dernière mise à jour : 8 octobre 2026

BISPOT est une application qui aide un groupe de personnes à trouver une ville de rendez-vous équilibrée en fonction de leurs temps de trajet. Cette page explique quelles données sont utilisées, pourquoi, et comment les faire corriger ou supprimer.

1. Qui est responsable de vos données

Johan Fourdrinoy, développeur individuel, éditeur de l'application BISPOT.
Contact : dev@da-fondrinoy.fr

2. Quelles données sont utilisées, et pourquoi

2.1 Sans création de compte

L'application fonctionne sans inscription. Pour calculer une rencontre, elle utilise :

Ces informations sont envoyées à nos serveurs pour effectuer le calcul et conservées le temps que la rencontre existe dans nos systèmes (voir §4, durée de conservation). Une rencontre est accessible via un code/lien non devinable : toute personne disposant de ce lien peut consulter le résultat et, si la fonctionnalité est utilisée, y ajouter sa propre ville et ses modes de transport — voir §6 pour cette limite connue.

2.2 Localisation GPS (optionnelle)

Un bouton permet de préremplir la ville de départ à partir de la position de l'appareil (précision approximative, pas la position exacte). Cette position n'est utilisée que le temps de cet appel : elle n'est jamais stockée, ni journalisée, ni transmise à un tiers autre que le service de géocodage nécessaire à la convertir en nom de ville (§3). L'application ne suit jamais votre position en arrière-plan.

2.3 Avec un compte (optionnel)

Un compte est facultatif. Il sert à retrouver ses rencontres et à enregistrer des lieux favoris. Selon la méthode de connexion choisie :

2.4 Données techniques

Nos serveurs conservent des journaux techniques (identifiants internes, compteurs, durées de calcul) pour diagnostiquer les problèmes — jamais de coordonnées GPS brutes, de mot de passe ou de jeton de connexion en clair. L'adresse IP d'une requête peut être utilisée brièvement, en mémoire uniquement, pour limiter les abus (ex. création en masse de rencontres) — elle n'est jamais enregistrée dans un journal ni conservée au-delà de cette vérification immédiate.

Statistiques anonymes d'utilisation (application et site). Pour savoir combien de personnes utilisent BISPOT et quelles fonctions servent vraiment, l'application et le site incrémentent des compteurs sur nos propres serveurs :

• « un appareil de plus aujourd'hui, cette semaine, ce mois-ci » : votre téléphone ou votre navigateur retient seulement la dernière période pour laquelle il s'est compté, et n'envoie qu'un « +1 » quand elle change, avec la provenance (application ou site), le fait d'être connecté ou non, et le numéro de version de l'application ;
• « une utilisation de plus aujourd'hui » pour quelques fonctions de l'application (partager le lien ou l'image, prévenir le groupe, ajouter à l'agenda, itinéraire, exemple guidé, explication d'un critère, rappel des places, page Soutenir) ;
• la provenance d'un calcul (application ou site), enregistrée avec la rencontre.

Aucun identifiant n'est envoyé ni créé : ni identifiant d'appareil, ni adresse IP, ni cookie, ni position. Le serveur ne reçoit que des nombres et ne peut pas relier deux appels entre eux, ni reconnaître quelqu'un. Ces chiffres sont indicatifs (réinstaller l'application ou vider son navigateur compte une fois de plus). Ils servent uniquement à BISPOT, ne sont partagés avec personne et ne sont jamais croisés avec d'autres données. Vous pouvez les refuser à tout moment : dans l'application, menu de l'accueil, « Statistiques anonymes » ; sur ce site, avec le bouton ci-dessous.

Rapports d'erreur (application et serveur). Quand l'application ou notre serveur rencontre une erreur, un rapport technique part vers notre propre outil de suivi des erreurs (GlitchTip), installé sur notre serveur : le type d'erreur, l'endroit du code, la version de l'application et du système. Ni votre nom, ni vos villes, ni votre position, ni votre adresse IP, ni identifiant d'appareil : ces informations sont retirées avant l'envoi, et le lien d'une rencontre aussi. Les rapports sont conservés 90 jours et ne sont partagés avec personne. L'interrupteur « Statistiques anonymes » de l'application les coupe aussi.

Refuser les statistiques anonymes

2.5 Ce que nous n'utilisons pas aujourd'hui

Aucune publicité, aucun traceur publicitaire, aucun cookie, aucun outil de mesure d'audience externe (Google Analytics ou équivalent). L'application et le site se comptent eux-mêmes, de la façon la plus sobre possible : voir §2.4 et §2.6. Si cela change, cette page sera mise à jour avant la mise en service du nouvel outil.

2.6 Le site web (cette page, les pages « Exemples » et « Essayer »)

Le site est hébergé par Vercel (hébergeur du site statique, qui voit l'adresse IP de chaque visite comme tout hébergeur) et charge deux ressources tierces : la bibliothèque de carte Leaflet via cdnjs (Cloudflare) et le fond de carte des pages « Exemples » et « Essayer » via la Géoplateforme de l'IGN. Ces deux services reçoivent donc l'adresse IP de votre navigateur au chargement. Les polices étaient auparavant chargées depuis Google Fonts ; elles sont désormais servies par le site lui-même, donc Google ne reçoit plus rien. Aucun cookie n'est déposé.

Sur les pages « Exemples » et « Essayer », les boutons « Ça me va / Pas convaincu » envoient à l'API BISPOT uniquement : l'identifiant de l'exemple (ou « essai-libre » pour un calcul avec vos villes), votre verdict, et si vous les avez remplis, la ville préférée et un commentaire libre (500 caractères maximum). Aucun identifiant de visiteur, aucun compte, aucune adresse IP conservée avec le vote : deux votes ne peuvent pas être reliés entre eux. Le navigateur garde localement (stockage local, pas un cookie) la liste des exemples sur lesquels vous avez déjà voté, pour ne pas vous le redemander ; vous pouvez l'effacer via les réglages de votre navigateur. N'écrivez pas de données personnelles dans le commentaire — il n'est pas lu par un outil automatique, mais il est conservé tel quel avec les autres avis.

Le formulaire de la page « Essayer » lance un vrai calcul : les villes que vous saisissez, les modes de déplacement choisis et l'heure de départ facultative sont envoyés à l'API BISPOT, exactement comme depuis l'application. Le calcul est donc enregistré comme une rencontre ordinaire (voir §2.1 et §4 pour la durée de conservation), sans aucun lien avec votre identité : pas de compte, pas d'identifiant de visiteur, pas de nom — seulement des noms de villes. N'indiquez pas votre adresse précise, le niveau de la commune suffit au calcul et c'est le seul niveau utilisé. Le navigateur retient localement l'horodatage de vos derniers essais, uniquement pour limiter les envois répétés ; le serveur, lui, limite le nombre de calculs par heure et par adresse IP, sans conserver cette adresse au-delà de cette fenêtre. Pendant un calcul, un court rappel invite à soutenir le projet ; le navigateur (ou l'application, sur le téléphone) retient seulement le jour où il a été affiché, pour ne pas le répéter. Rien n'est envoyé. De même, pour ne fêter qu'une fois chaque palier de la collecte, le navigateur ou l'application retient le numéro du dernier palier affiché. Pour montrer la jauge des dons, l'application et la page « Soutenir » la demandent au serveur, sans rien envoyer vous concernant. D'une personne qui donne, seule l'initiale peut apparaître, et seulement si elle l'accepte.

Mesure d'audience. Chaque page ouverte incrémente un compteur sur nos propres serveurs, pour répondre à une seule question : le site reçoit-il des visites ? Ce qui est enregistré tient en trois informations — le nom de la page, la date du jour, et un nombre. Aucune adresse IP, aucun cookie, aucun identifiant de visiteur, aucune heure précise, aucun référent : il est donc impossible de reconstituer un parcours ou de vous reconnaître d'une visite à l'autre. C'est aussi pourquoi ce chiffre reste approximatif, et c'est assumé. Le nombre de navigateurs distincts est compté comme décrit au §2.4, sans identifiant.

2.7 « Je vous écris quand l'application sort » (facultatif)

Si vous laissez votre adresse email dans ce formulaire, elle est conservée dans le seul but de vous envoyer un message, une seule fois, le jour de la publication de l'application. Rien d'autre :

• aucune lettre d'information, aucune relance, aucune prospection ;
• aucune transmission ni vente à qui que ce soit ;
• aucun lien avec vos rencontres calculées, vos votes ou votre navigation — cette adresse est stockée seule, sans nom, sans adresse IP, sans date de visite ;
• la liste est supprimée après l'envoi de cette annonce.

Vous pouvez demander la suppression de votre adresse à tout moment en écrivant à dev@da-fondrinoy.fr, sans avoir à vous justifier et sans délai autre que celui de mon traitement manuel (§5). Si vous vous inscrivez deux fois, votre adresse n'est pas dupliquée ; le site répond la même chose dans les deux cas, de sorte que ce formulaire ne permet à personne de vérifier si une adresse donnée est inscrite.

2.8 L'application dans le navigateur (/app/)

La même application que sur téléphone, ouverte dans un navigateur, sans rien installer. Elle utilise les mêmes données que l'application (§2.1 à §2.4), avec ces différences :

• Connexion : le jeton de connexion est gardé dans le stockage du navigateur (pas un cookie). Avec « Rester connecté sur ce navigateur », il y reste jusqu'à la déconnexion ou son expiration (90 jours) ; sans, il disparaît à la fermeture de l'onglet. Ce stockage sert uniquement à vous garder connecté.
• Connexion avec Google : aucun script de Google n'est chargé par la page. Google n'est contacté que si vous choisissez « Continuer avec Google » : une fenêtre de Google s'ouvre, vous y choisissez votre compte, et Google nous renvoie votre nom et votre adresse email, comme sur téléphone.
• Ressources : l'application, ses polices (emoji compris) et ses images sont servies par le site lui-même ; le fond de carte vient de la Géoplateforme de l'IGN, qui reçoit l'adresse IP de votre navigateur.
• Position : demandée par le navigateur seulement si vous touchez le bouton de localisation, et traitée comme sur téléphone (§2.2).
• Rapports d'erreur : les mêmes que l'application (§2.4), avec le même filtre : l'adresse de la page, qui peut contenir le lien d'une rencontre, est retirée avant l'envoi.

3. Avec qui ces données sont partagées

Aucune donnée n'est vendue. Les seuls partages sont ceux strictement nécessaires au fonctionnement du calcul :

• Géocodage — la ville que vous saisissez est envoyée à l'API Adresse/Géoplateforme de l'IGN (opérateur public français) pour être convertie en coordonnées.
• Calcul d'itinéraires routiers — les coordonnées de départ et d'arrivée sont transmises au moteur de routage utilisé pour estimer les temps de trajet en voiture.
• Horaires ferroviaires — reposent sur des données SNCF publiques statiques ; aucune donnée vous concernant n'est envoyée à un service SNCF pour le train en V1.
• Connexion Google/Apple — uniquement si vous choisissez cette méthode de connexion, pour vérifier votre identité auprès de ces fournisseurs.
• Envoi d'emails — Brevo (société française, données hébergées dans l'Union européenne) reçoit votre adresse email et le contenu du message uniquement quand un email vous est destiné : code de réinitialisation de mot de passe, code de vérification d'adresse. Aucun email publicitaire, aucune inscription automatique à une liste de diffusion.

Aucun de ces services n'est utilisé à des fins publicitaires par BISPOT.

4. Combien de temps ces données sont conservées

• une rencontre rattachée à un compte est conservée tant que le compte existe ;
• une rencontre sans compte (y compris un calcul lancé depuis la page « Essayer ») est supprimée au bout de 3 mois, sauf si quelqu'un l'a gardée en souvenir dans son compte : elle est alors conservée tant que ce souvenir existe (prénoms et villes du groupe compris, pour redessiner la carte) ;
• un souvenir de voyage (la ville retenue) est conservé tant que le compte existe ; on peut le retirer à tout moment depuis « Mes souvenirs » ;
• les données d'un compte (email, lieux et groupes enregistrés) sont conservées tant que le compte existe ; un compte inutilisé pendant 24 mois reçoit un email d'avertissement, puis est supprimé un mois plus tard sans nouvelle connexion ;
• les codes envoyés par email (réinitialisation, vérification) sont effacés dès leur expiration ;
• les journaux techniques des serveurs sont effacés au bout de 30 jours ;
• une adresse laissée pour être prévenue de la sortie (§2.7) est conservée jusqu'à l'envoi de cette annonce, puis la liste est supprimée ;
• les compteurs de visites (§2.6) sont des nombres agrégés par page et par jour, sans donnée personnelle : ils n'ont pas de durée de conservation particulière ;
• les rapports d'erreur (§2.4) sont effacés au bout de 90 jours ;
• pendant un calcul, la demande (prénoms, villes) est gardée le temps du calcul seulement ; son résultat reste consultable 24 heures au plus par qui l'a lancé, puis est effacé (la rencontre, elle, suit les règles ci-dessus) ;
• pour pouvoir calculer même quand le service de géographie de l'IGN est indisponible, nos serveurs gardent le centre des communes déjà recherchées (le nom de la commune et ses coordonnées publiques, jamais votre position) ; elles sont oubliées après 90 jours sans usage ;
• les statistiques anonymes d'utilisation (§2.4) sont effacées au bout de 25 mois ; ce que l'appareil retient (la dernière période comptée) est remplacé à chaque nouvelle période et disparaît avec l'application ou les données du navigateur ;
• votre compte et vos lieux enregistrés peuvent être supprimés à tout moment depuis l'application elle-même (§5bis) ; toute autre donnée peut l'être sur simple demande (§5).

5. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez d'un droit d'accès, de rectification, d'effacement, d'opposition et de portabilité sur vos données.

Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr), l'autorité française de contrôle.

5bis. Suppression de compte BISPOT

6. Limites connues, par transparence

• Un lien de rencontre partagé donne accès à son contenu à quiconque le possède, sans vérification d'identité — c'est un choix de simplicité assumé, pas une négligence. Ne partagez ce lien qu'avec les personnes concernées.
• La suppression d'une rencontre précise (par opposition à celle de votre compte, qui est en libre-service depuis l'application) se fait sur demande par email : elle affecte les autres participants, qui y accèdent par leur lien de partage.
• Aucune vérification d'âge n'est effectuée : l'application n'est pas conçue spécifiquement pour les enfants, mais ne demande pas non plus explicitement l'âge de l'utilisateur.

7. Sécurité

• Les mots de passe ne sont jamais stockés en clair (hachage Argon2id).
• Les codes envoyés par email (réinitialisation de mot de passe, vérification d'adresse) ne sont pas non plus stockés en clair : seule leur empreinte est conservée. Ils ne servent qu'une fois, expirent rapidement, et le nombre d'essais est limité.
• Le jeton de connexion est conservé de façon chiffrée sur votre appareil (Keychain iOS / stockage chiffré Android), jamais dans une sauvegarde non protégée. Dans un navigateur, il est gardé dans le stockage du site (§2.8), protégé par une politique de sécurité du contenu qui n'autorise que les scripts du site lui-même. Se déconnecter l'efface.
• Aucune donnée de paiement n'est collectée — l'application est entièrement gratuite pendant cette phase de test.

8. Modifications de cette politique

Cette politique peut évoluer, notamment si un nouvel outil (mesure d'audience, monétisation) est ajouté. La date de dernière mise à jour en haut de cette page reflète toujours la version en vigueur.