Politique de confidentialité

Informations que nous collectons

Informations de compte : votre nom, votre adresse e-mail et, si vous vous inscrivez avec un e-mail et un mot de passe, une version chiffrée (hachée) de votre mot de passe (nous ne stockons jamais votre mot de passe réel). Si vous vous connectez avec Google, nous recevons à la place votre nom, votre adresse e-mail et un identifiant de compte stable fourni par Google.

Profil et paramètres de l'application : une image de profil facultative, votre fuseau horaire, votre préférence d'unité de distance, le thème de l'application, et les rappels facultatifs (objectif quotidien, séries, défis, inactivité) que vous avez activés ou désactivés.

Objectifs de marche et activité : votre objectif quotidien de pas, ainsi que le nombre de pas, la distance et les calories estimées synchronisés depuis votre appareil pour chaque jour — sur Android, via Health Connect (voir « Android Health Connect et données de pas » ci-dessous). Nous recevons ces données sous forme de totaux quotidiens déjà calculés sur votre appareil — pas un flux continu de données brutes de capteurs ou de localisation.

Itinéraires : les itinéraires que vous générez ou enregistrez, y compris leur nom, leur distance, leur durée estimée, leur difficulté et le tracé retourné par notre fournisseur de cartographie. Voir « Données de localisation » ci-dessous pour savoir comment le point de départ d'un itinéraire est utilisé.

Défis et succès : les défis auxquels vous avez participé, votre progression, et les succès que vous avez débloqués.

Données d'authentification et de session : un identifiant de session haché de manière sécurisée pendant que vous êtes connecté, et un jeton de réinitialisation de mot de passe haché, à usage unique et limité dans le temps si vous en faites la demande. Les jetons bruts ne sont jamais stockés — seul un hachage cryptographique irréversible l'est.

Données techniques : des métadonnées de requête standard (comme l'adresse IP) sont traitées de manière transitoire pour appliquer des limites de fréquence contre les abus (par exemple, limiter le nombre de tentatives de connexion sur une courte période) et ne sont pas conservées dans votre profil.

Android Health Connect et données de pas

Sur Android, Steplly lit votre nombre de pas via la plateforme Health Connect d'Android (le système intégré à Android permettant aux applications de partager des données de santé et d'activité avec votre autorisation). C'est ce qui alimente votre total quotidien de pas, votre progression vers votre objectif de marche, vos séries, vos défis et vos statistiques d'activité dans l'application.

Steplly demande un accès en lecture seule aux données de pas de Health Connect (autorisation READ_STEPS) et ne demande ni n'utilise jamais d'accès en écriture — l'application n'ajoute, ne modifie ni ne supprime aucun enregistrement dans votre espace Health Connect. Elle ne lit non plus aucun autre type de donnée Health Connect (fréquence cardiaque, sommeil, poids, etc.) — uniquement les pas.

Vous contrôlez entièrement cette autorisation via Android : vous pouvez l'accorder, la refuser ou la révoquer à tout moment depuis les paramètres Android (Paramètres → Applications → Steplly → Autorisations, ou l'application Health Connect elle-même). Si vous refusez ou révoquez l'accès en lecture aux pas, Steplly cesse simplement de recevoir des données de pas de Health Connect — cela n'affecte pas votre capacité à vous connecter ou à utiliser le reste de l'application, bien que les fonctionnalités qui dépendent des données de pas (votre progression quotidienne, vos séries et vos statistiques basées sur les pas) n'auront pas de nouvelles données à afficher tant que l'accès n'est pas rétabli.

Oui, ces données parviennent à notre backend : l'application envoie périodiquement votre total quotidien de pas (ainsi que, lorsque disponibles, la distance et les calories estimées) à nos serveurs afin qu'il soit enregistré sur votre compte, affiché sur l'ensemble de vos appareils, et utilisé pour les objectifs, séries, défis et l'historique — voir « Informations que nous collectons » ci-dessus pour le détail exact de ce qui est stocké. Il ne s'agit pas de données anonymes — elles sont associées à votre compte comme le reste de votre historique d'activité, et nous ne les considérons pas comme anonymes ou dépersonnalisées. Nous ne recevons ni ne stockons vos enregistrements Health Connect bruts et continus (relevés de capteurs ou horodatages individuels tout au long de la journée) — uniquement les totaux quotidiens que l'application calcule et transmet.

Données de localisation

Steplly est une application de planification d'itinéraires, pas un traceur de fitness qui enregistre en continu votre position GPS. La localisation n'est utilisée qu'au moment où vous demandez à l'application de générer un itinéraire de marche : vos coordonnées de départ (votre position actuelle ou un point que vous choisissez) sont envoyées à notre fournisseur de cartographie, Mapbox, pour calculer un itinéraire praticable et les points d'intérêt à proximité de ce point de départ.

Nous n'effectuons aucun suivi GPS continu en arrière-plan, et nous ne conservons pas d'historique de tous les endroits où vous êtes allé. Ce que nous stockons, si vous enregistrez un itinéraire généré, c'est l'itinéraire lui-même — ses coordonnées de départ/arrivée et le tracé retourné par Mapbox — de la même manière que toute application de carte ou de navigation stocke un itinéraire enregistré, et non un journal de vos déplacements en temps réel pendant que vous le parcourez. Les itinéraires enregistrés sont privés à votre compte — nous ne montrons pas vos itinéraires ni leurs coordonnées aux autres utilisateurs.

Votre nombre de pas, votre distance et vos calories quotidiens (voir « Android Health Connect et données de pas » ci-dessus) proviennent de Health Connect sur Android et ne nous sont envoyés que sous forme de total quotidien — ils sont distincts de l'historique de localisation GPS et ne l'incluent pas.

Comment nous utilisons vos informations

Pour faire fonctionner les fonctionnalités principales de l'application : vous authentifier, suivre vos objectifs et votre activité quotidienne, générer et enregistrer des itinéraires de marche, calculer les séries, et gérer les défis et succès.

Pour communiquer avec vous au sujet de votre compte — par exemple, l'envoi d'un e-mail de réinitialisation de mot de passe lorsque vous en faites la demande.

Pour maintenir la sécurité et la fiabilité du service, y compris la limitation des requêtes abusives et l'investigation des utilisations abusives.

Nous n'utilisons pas vos informations à des fins de publicité tierce, et nous ne vendons pas vos données personnelles. Le backend de l'application n'utilise actuellement aucun service distinct d'analyse ou de rapport de plantage — si cela change, nous mettrons à jour cette politique et cette section pour nommer le service concerné et préciser ce qu'il collecte.

Services tiers que nous utilisons

Nous nous appuyons sur un petit nombre de fournisseurs de services pour faire fonctionner Steplly. Chacun ne reçoit que les données spécifiques dont il a besoin pour remplir sa fonction. Android Health Connect (voir ci-dessus) fait partie du système d'exploitation Android, et non un tiers avec qui nous partageons des données — c'est la source, sur l'appareil, à partir de laquelle l'application lit les données de pas, avec votre autorisation.

• Mapbox (itinéraires) — reçoit les coordonnées nécessaires pour générer un itinéraire de marche (votre point de départ choisi ou actuel, et les points de passage) afin de retourner des directions réelles et le tracé de l'itinéraire. Consultez la politique de confidentialité de Mapbox pour savoir comment ces données sont traitées.
• Connexion Google (authentification) — si vous choisissez de vous connecter avec Google, Google nous communique votre nom vérifié, votre e-mail et un identifiant de compte ; nous ne voyons ni ne stockons jamais votre mot de passe Google.
• Resend (envoi d'e-mails) — envoie des e-mails transactionnels en notre nom : vérification d'e-mail, réinitialisation de mot de passe, et confirmation de suppression de compte. Resend traite l'adresse e-mail du destinataire et le contenu du message nécessaires à l'envoi de ces e-mails. Nous n'envoyons pas d'e-mails marketing ou promotionnels.
• Neon (hébergement de base de données) — notre base de données PostgreSQL, où sont stockées les données de compte et d'application décrites dans cette politique, fonctionne sur l'infrastructure de Neon.
• Redis Cloud (mise en cache et limitation de fréquence) — utilisé uniquement pour des données de courte durée : compteurs de limitation de fréquence et résultats mis en cache temporairement. Il n'est pas utilisé pour stocker durablement votre profil, votre activité ou vos itinéraires.
• Vercel (hébergement de l'application) — héberge et sert le backend de l'application ainsi que ce site web, et traite les requêtes dans le cadre d'un hébergement web standard.

Cookies (site web uniquement)

L'application mobile Steplly n'utilise pas de cookies — elle s'authentifie à l'aide d'un jeton de session stocké de manière sécurisée sur votre appareil.

Ce site web et le tableau de bord d'administration utilisent un petit nombre de cookies strictement fonctionnels : un pour maintenir un administrateur connecté, un comme mesure de sécurité (protection CSRF) pour le tableau de bord d'administration, et un pour mémoriser votre préférence de langue sur ce site. Aucun de ces cookies n'est publicitaire ou de suivi tiers.

Conservation des données

Nous conservons les données de votre compte et de l'application — y compris l'historique d'activité/de pas, les itinéraires enregistrés et la progression des défis/succès — tant que votre compte est actif, afin que l'application continue de fonctionner comme prévu. Nous n'avons pas actuellement de période de conservation distincte et plus courte spécifique aux données d'activité ou de pas ; elles sont conservées aussi longtemps que le compte existe, comme le reste des données de votre compte.

Les liens de réinitialisation de mot de passe, de confirmation de suppression de compte et de vérification d'e-mail sont chacun à usage unique et expirent automatiquement (30 minutes pour la réinitialisation de mot de passe, 24 heures pour les deux autres, par défaut), qu'ils soient utilisés ou non.

Si vous demandez la suppression de votre compte (voir « Suppression du compte et des données » ci-dessous), nous supprimons les données de votre compte plutôt que de les conserver indéfiniment.

Sécurité

Les mots de passe ne sont jamais stockés en texte clair — nous utilisons Argon2id, un algorithme de hachage de mot de passe moderne conçu pour résister aux tentatives de piratage hors ligne. Les jetons de session et de réinitialisation de mot de passe ne sont de même jamais stockés sous une forme brute utilisable, uniquement sous forme de hachage cryptographique. Tout le trafic vers nos serveurs est chiffré en transit (HTTPS/TLS).

Aucune méthode de transmission ou de stockage n'est parfaitement sécurisée, et nous ne pouvons pas garantir une sécurité absolue — mais nous avons conçu le système de sorte qu'une compromission de la base de données seule n'expose pas de mots de passe ou de jetons de session utilisables.

Vos droits

Selon l'endroit où vous vivez, la législation applicable peut vous accorder tout ou partie des droits suivants sur vos données personnelles :

• Accès — demander une copie des données personnelles que nous détenons à votre sujet.
• Rectification — nous demander de corriger des données inexactes ou incomplètes (vous pouvez aussi mettre à jour la plupart de ces informations vous-même dans les paramètres du compte de l'application).
• Suppression — nous demander de supprimer votre compte et les données associées (voir « Suppression du compte et des données » ci-dessous).
• Limitation ou opposition — nous demander de limiter l'utilisation de vos données, ou vous opposer à certains usages, dans les cas prévus par la loi.
• Portabilité — demander vos données dans un format portable, le cas échéant.
• Retrait du consentement — lorsque nous nous appuyons sur votre consentement pour un usage particulier de vos données, le retirer à tout moment.
• Réclamation auprès d'une autorité — si vous êtes dans l'Espace économique européen, au Royaume-Uni, ou dans une autre juridiction disposant d'une autorité de protection des données, vous avez le droit de déposer une réclamation auprès de cette autorité.

Suppression du compte et des données

L'application ne dispose pas encore d'un bouton « supprimer mon compte » automatique en libre-service — nous préférons être transparents à ce sujet plutôt que de revendiquer une fonctionnalité qui n'existe pas encore.

Pour demander la suppression de votre compte et des données associées dès aujourd'hui, envoyez-nous un e-mail à support@steplly.com depuis l'adresse e-mail associée à votre compte, avec pour objet « Demande de suppression de compte ». Nous vérifierons la demande et supprimerons les données de votre compte dans un délai raisonnable, sauf lorsque nous sommes tenus de conserver certains registres en vertu de la loi.

Confidentialité des enfants

Steplly ne s'adresse pas aux enfants, et nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 13 ans (ou l'âge minimum requis par votre législation locale, si plus élevé). Si vous pensez qu'un enfant nous a communiqué des données personnelles, contactez-nous à support@steplly.com et nous prendrons les mesures appropriées pour les supprimer.

Utilisateurs internationaux

Nos fournisseurs d'infrastructure (voir « Services tiers » ci-dessus) traitent et stockent actuellement les données aux États-Unis. Si vous utilisez Steplly depuis l'extérieur des États-Unis, vos informations seront transférées vers les États-Unis et y seront traitées, un pays qui peut avoir des lois de protection des données différentes de celles de votre pays.

Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre — par exemple, à mesure que l'application acquiert de nouvelles fonctionnalités ou que nos fournisseurs changent. Nous mettrons à jour la date d'entrée en vigueur ci-dessus lorsque nous le ferons. Si un changement est important, nous ferons des efforts raisonnables pour vous en informer (par exemple via une notification dans l'application) avant son entrée en vigueur.