Politique de confidentialité

Urban Secrets est édité par Rémi Bernard, responsable du traitement de vos données. Contact : [email protected].

• Votre compte : votre adresse e-mail (une adresse relais d’Apple si vous l’avez masquée), votre pseudonyme facultatif ou le prénom transmis par Apple, votre photo de profil si vous en ajoutez une, l’identifiant de votre compte Apple et, pour pouvoir le révoquer quand vous supprimez votre compte, un jeton fourni par Apple.
• Vos connexions : les clés publiques de vos clés d’accès (jamais la clé privée, qui reste sur vos appareils) et vos sessions avec le nom de l’appareil (« iPhone », « Mac »…).
• Votre appareil : de quoi vérifier que les demandes viennent de l’app authentique et reconnaître un appareil déjà utilisé par un autre compte (section 5).
• Votre langue : la langue et la région de l’app (par exemple fr-FR ou en-GB), pour votre compte et pour chaque appareil, afin d’écrire vos notifications et vos e-mails dans votre langue.
• Ce que vous publiez : lieux (avec leurs coordonnées), rapports de visite (vos réponses au formulaire, note, état du lieu, commentaire), photos et vidéos (y compris Live Photos et contenus spatiaux), ainsi que vos signalements et les membres que vous bloquez. Quand vous signalez un lieu démoli, votre note et votre photo (sans ses métadonnées) ne sont vues que par l’équipe ; la photo est supprimée une fois le signalement traité.
• Vos photos et vidéos : avant l’envoi, votre appareil retire leurs métadonnées, dont la position, et floute les visages et les plaques d’immatriculation qu’il y détecte : seule cette version floutée est montrée aux autres membres. Il vérifie aussi, sur l’appareil, si elles montrent un document ou une capture d’écran et, si vous avez activé l’avertissement de contenu sensible de votre appareil (ou si le contrôle parental vous l’applique), de la nudité ou de la violence ; seul le résultat est envoyé avec la photo, et une photo ainsi repérée reste masquée jusqu’à ce qu’une personne de l’équipe l’examine. Nous calculons enfin une empreinte de chaque photo pour repérer celles reprises d’un autre rapport ou d’ailleurs.
• L’original de vos photos et vidéos : nous gardons aussi la version non floutée, sans métadonnées. Elle n’est jamais montrée aux membres ; elle sert uniquement à la modération (repérer une photo reprise d’ailleurs, la vérification automatique décrite ci-dessous, vérifier un contenu signalé par l’équipe) et est supprimée avec la photo ou votre compte.
• La vérification automatique de ce que vous publiez : avant d’être montré à qui que ce soit, tout ce que vous publiez (textes, photos, images extraites de vos vidéos) est vérifié automatiquement par le service de modération d’OpenAI (section 6) ; ce qui avait été publié avant la mise en place de cette vérification l’est après coup, de la même façon. Un contenu refusé n’est pas gardé ; pour un contenu mis de côté, nous gardons le résultat de la vérification (les catégories repérées et leurs scores) pour l’équipe, avec le contenu. Les vérifications faites sur votre appareil, décrites ci-dessus, restent en place.
• Votre progression : votre XP, votre palier, vos trophées et l’historique de ce qui les a fait évoluer ; votre fiabilité et son historique, dont seule l’équipe voit le score : l’app n’en montre qu’un badge, sur votre profil (sections 6 et 8).
• Vos amis : vos liens d’amitié, demandes et liens d’invitation, et votre carte de membre. Une amitié terminée est gardée 90 jours, pour que deux comptes liés ne puissent pas se faire gagner des récompenses l’un l’autre.
• Les notifications : l’identifiant de notification de vos appareils, fourni par Apple, si vous les autorisez.
• Vos achats : pour ce que vous achetez sur l’App Store (Premium, en abonnement ou à vie avec l’offre Fondateur, et la ferraille), les transactions signées par Apple (le produit, ses dates, son renouvellement ou son remboursement), et un identifiant aléatoire propre à votre compte, transmis à Apple avec chaque achat pour le relier à votre compte. Pour la ferraille, votre solde et son historique (achats, remboursements, objets achetés dans la boutique), et les objets que vous possédez. Le paiement se fait chez Apple : nous ne voyons ni votre moyen de paiement ni votre identifiant Apple.
• Votre carte dans Cartes (Apple Wallet), si vous l’y ajoutez : un numéro de série aléatoire et l’empreinte de son jeton, et, pour chaque appareil qui la reçoit, l’identifiant que Cartes lui donne et son jeton de notification, pour la mettre à jour quand votre carte change. Elle montre ce que montre votre carte de membre.
• Votre activité : les jours où vous utilisez l’app (la date seulement), pour mesurer la fréquentation de façon agrégée et pour les récompenses quotidiennes.
• Le mode exploration : le lieu, l’heure de retour prévue, les amis qui vous accompagnent, pendant l’exploration seulement la dernière position de votre appareil, et à la fin le résumé de votre parcours (section 3).
• Votre contact de sécurité : un ami, ou le nom et l’adresse e-mail d’une personne que vous saisissez. Nous lui écrivons au début de l’exploration, puis à la fin si une alerte a été envoyée, dans sa langue s’il s’agit d’un ami, sinon dans celle de l’app qui a lancé l’exploration ; ses coordonnées sont supprimées 7 jours après la fin de l’exploration. Ne désignez qu’une personne qui l’a accepté.
• La chaîne d’alerte : avec Premium, jusqu’à 3 autres contacts (des amis, ou un nom et une adresse e-mail), alertés à tour de rôle si l’exploration n’est toujours pas terminée, chacun au bout du délai que vous choisissez. Chacun est prévenu au début de l’exploration, alerté à son tour puis, une fois alerté, prévenu si l’heure de retour est repoussée et à la fin ; leurs coordonnées sont supprimées 7 jours après la fin de l’exploration, avec celles du premier contact.
• Les personnes qui ne veulent plus être contact de sécurité : chaque e-mail à un contact contient un lien pour ne plus en recevoir. Nous ne gardons alors qu’une empreinte de son adresse (jamais l’adresse elle-même), pour que personne ne puisse plus la désigner, jusqu’à ce qu’elle annule ce choix depuis le même lien.
• Vos lieux enregistrés : les lieux que vous gardez pour plus tard, et la date de l’enregistrement, jusqu’à ce que vous les retiriez.
• Vos expéditions : le titre, les dates, le fuseau horaire, les étapes (des lieux que vous avez débloqués) avec le temps prévu sur place, les amis invités et leur réponse, et l’heure limite de retour si vous en fixez une. Les amis qui la rejoignent voient les étapes et qui est sur place ; chaque étape est explorée en mode exploration, avec son propre contact de sécurité. Avec une heure limite, le contact de sécurité de la première étape lancée est gardé pour toute l’expédition : nous lui écrivons une fois au début, puis s’il doit être alerté, si l’heure est repoussée après une alerte, et au retour.
• Vos albums : pour chaque photo ou vidéo de votre photothèque rangée dans vos albums (prise en mode exploration, choisie pour un rapport ou ajoutée par vous), un identifiant fourni par Photos, son type, le lieu, l’exploration et le jour de la prise de vue (jamais l’heure ni la position), ainsi que vos albums (nom, ordre, couverture) et vos notes privées. La photo elle-même reste sur votre appareil et n’est pas envoyée. Les suggestions « Photos prises ici » sont calculées sur votre appareil à partir de la position enregistrée par Photos, qui n’en sort pas.
• Vos photos de groupe : les photos et vidéos que vous partagez dans l’album d’une exploration (avec Premium), pendant l’exploration et jusqu’à 30 jours après sa fin. Elles suivent le même chemin que les photos des rapports (métadonnées retirées, vérification automatique), sans floutage, et ne sont vues que par les membres qui ont pris part à l’exploration ; un blocage les cache dans les deux sens.

• En temps normal, votre position sert à vous situer sur la carte et à calculer la distance des lieux. Elle reste sur votre appareil. Hors exploration, les seules coordonnées envoyées sont celles des lieux que vous ajoutez, et votre position pour vos pistes et vos premiers lieux (ci-dessous).
• Pour les pistes, vos premiers lieux et le nombre de lieux autour de vous, votre position est aussitôt ramenée à une case d’environ 5 km : seul son centre sert, les distances sont arrondies, et la position précise n’est pas gardée. Si aucun lieu n’est à portée d’une piste, nous gardons cette case pour vous prévenir quand un lieu y apparaît ; elle est effacée dès que vous êtes prévenu, que la piste est utilisée ou perdue, ou que vous supprimez votre compte.
• Pendant une exploration, et seulement à ce moment-là, la position de votre appareil est envoyée pour que votre contact de sécurité puisse être alerté avec elle. Si vous choisissez de la partager avec le groupe, les amis qui explorent avec vous la voient aussi sur la carte. Elle est effacée à la fin de l’exploration.
• Pendant une expédition avec une heure limite de retour, la dernière position de chaque étape terminée est gardée pour que le contact puisse être alerté avec elle si le groupe ne rentre pas. Elle est effacée au retour, ou à la fin de l’expédition.
• Les alertes de lieux à proximité (désactivées tant que vous ne les activez pas) sont calculées sur votre appareil : il demande les zones d’environ 5 km où une de vos pistes pourrait ouvrir un lieu, en n’envoyant que la grande case d’environ 28 km où vous êtes, jamais votre position, et votre appareil surveille ces zones lui-même. Le serveur ne garde ces grandes cases qu’une heure, en mémoire, pour limiter les demandes.
• La première position de l’exploration sert à calculer à quelle distance du lieu vous l’avez commencée : nous gardons cette distance, pas la position.
• À la fin de chaque exploration, votre appareil envoie un résumé de votre parcours, calculé sur l’appareil : le temps passé dans la zone du lieu et près de sa limite, la distance la plus proche du lieu ou jusqu’où vous y êtes entré, la longueur du trajet, le nombre de positions reçues, si vous êtes resté immobile hors du lieu et, si vous autorisez l’accès aux mouvements, le nombre de pas (podomètre) et d’étages montés ou descendus (baromètre). Le tracé lui-même reste sur votre appareil : aucune position brute n’est gardée sur nos serveurs.
• Quand votre appareil le permet, ce résumé est signé avec App Attest (section 5). Il sert à vérifier que vos rapports correspondent à votre visite (section 6).
• Une exploration faite sans contact de sécurité peut être enregistrée après coup, dans les 7 jours, avec son résumé, pour que vos rapports puissent s’y rattacher.
• L’exploration elle-même (le lieu, les dates, qui y participait, la distance de départ et les résumés de parcours, sans aucune position) est gardée 400 jours, pour relier vos rapports à vos visites, reconnaître les comptes liés et repérer les abus.

• Un rapport est publié le lendemain de son envoi, pour toute la communauté. Seul le jour est affiché, jamais l’heure, pour que personne ne sache que vous êtes sur place.
• Pour chaque rapport, vous choisissez de le publier avec votre profil ou sans votre nom : le choix par défaut se règle dans Profil › Réglages › Vie privée et peut être changé à la fin du formulaire. Un rapport publié sans votre nom reste lié à votre compte pour l’équipe, les récompenses et la modération.
• Les alertes de sécurité urgentes (sol effondré, inondation, air vicié…) sont publiées tout de suite, toujours sans votre nom.
• Un rapport retenu pour vérification (section 6) n’est visible que par vous et l’équipe jusqu’à la décision.

Pour qu’une personne n’ait qu’un compte et que les récompenses restent équitables, nous utilisons :

• App Attest (Apple) : sur iPhone, iPad et Apple Vision Pro, une clé propre à l’app (nous gardons sa clé publique et le reçu d’Apple) signe certaines demandes, comme le résumé de parcours, pour confirmer qu’elles viennent de l’app authentique.
• DeviceCheck (Apple) : Apple garde pour nous deux indicateurs par appareil, qui résistent à la réinstallation de l’app. Ils servent uniquement à reconnaître un appareil qui a déjà servi à créer un compte, et ne contiennent rien d’autre.
• Un identifiant d’installation : l’app crée un identifiant aléatoire, gardé dans le trousseau de votre appareil. Nous n’en gardons qu’une empreinte calculée avec une clé secrète, qui permet de savoir que deux comptes ont été utilisés sur le même appareil.

Sont des comptes liés : des amis (y compris 90 jours après la fin de l’amitié), des membres qui ont partagé au moins 2 explorations en 90 jours, et des comptes utilisés sur le même appareil. Leurs rapports ne se confirment pas entre eux et ne se font pas gagner de bonus ; cela ne limite rien d’autre. Ces signaux ne servent qu’à lutter contre les abus, jamais à la publicité ni à vous suivre.

Pour garder les rapports fiables et les récompenses équitables, certains calculs sont faits automatiquement à partir de votre activité :

• XP et paliers : l’XP compte votre activité (rapports, photos, explorations…). Elle monte avec votre activité, et baisse seulement quand l’équipe retire un contenu : l’XP qu’il vous avait rapportée vous est reprise. Votre palier dépend de votre XP, de votre fiabilité, de vos rapports vérifiés, du nombre de lieux différents et de l’ancienneté de votre compte ; il débloque des fonctions de l’app. L’équipe peut aussi fixer un palier.
• Fiabilité : un score de 0 à 100, qui part de 50. Il monte quand des visiteurs confirment vos rapports, et baisse quand plusieurs visiteurs les contredisent, quand l’équipe prend une mesure de modération sur votre contenu, quand elle rejette un de vos signalements comme manifestement abusif, ou quand elle retire le rapport d’un autre membre qui avait confirmé le vôtre (cette confirmation est alors annulée). Il pondère vos rapports dans l’état d’un lieu et compte pour certains paliers. Il décide aussi si votre signalement d’une photo ou d’une vidéo la masque aux autres membres en attendant la décision de l’équipe : il faut une fiabilité suffisante, et seuls vos premiers signalements de photo sur 24 heures la masquent (au-delà, le signalement arrive quand même à l’équipe) ; l’équipe fixe ces seuils et peut les changer. Votre fiabilité au moment d’un signalement est gardée avec lui, pour l’équipe. Le score lui-même n’est pas affiché, pour qu’on ne puisse pas le manipuler, mais vous pouvez nous le demander (section 10). L’app n’en montre qu’un badge, « Rapporteur fiable » à partir de 70 ou « Rapporteur de confiance » à partir de 85, qui change au plus une fois par semaine et seulement après plusieurs rapports, pour qu’on ne puisse pas en déduire ce qui a fait bouger le score. Il apparaît sur votre profil, pour vous et pour les membres qui peuvent voir votre palier (section 8).
• Score de suspicion : calculé pour chaque rapport au moment de sa publication, à partir de la cohérence entre vos réponses et le résumé de l’exploration (ou de son absence), d’un compte récent ou peu fiable, de nombreux rapports en peu de temps, d’un déplacement impossible entre deux lieux, de rapports déjà contredits, d’un appareil déjà utilisé par un autre compte, d’un lien avec le compte qui a partagé le lieu, et d’une photo reprise d’un autre rapport, ou masquée ou retirée par l’équipe (pas une photo seulement mise de côté par la vérification de l’appareil). Au-delà d’un seuil, le rapport est automatiquement retenu : ni publié ni récompensé, il apparaît pour vous « en attente de confirmation ». Il est publié quand un membre fiable confirme l’état du lieu ou quand l’équipe l’approuve.
• Modération automatique de ce que vous publiez : vos textes (nom et autres informations d’un lieu, note d’un rapport, commentaire, nom affiché, devise de votre carte), vos photos (en copie réduite) et quelques images extraites de vos vidéos sont envoyés au service de modération d’OpenAI, sans votre nom, votre adresse e-mail ni aucun identifiant de compte. Quand votre appareil a flouté des visages ou des plaques, c’est l’original non flouté, visages compris, qui est envoyé pour cette vérification : la version publiée reste floutée, et l’original reste privé, envoyé uniquement pour cette vérification. Le service d’OpenAI indique s’ils relèvent de catégories comme le contenu sexuel, la violence, la haine, le harcèlement ou l’automutilation. Un contenu sexuel explicite est refusé : il n’est ni publié ni gardé, et l’app vous le dit tout de suite pour que vous puissiez le modifier, y compris quand c’est l’original non flouté qui est explicite. Un autre contenu repéré est mis de côté : vous le voyez (« en cours de vérification »), les autres non, jusqu’à ce qu’une personne de l’équipe l’examine. Si la vérification ne peut pas se faire (service indisponible), le contenu est aussi mis de côté et vérifié à nouveau dès que possible : publié s’il passe, examiné par l’équipe s’il est repéré, retiré s’il est explicite, et vous en êtes alors prévenu. À la publication, seules quelques images de chaque vidéo sont vérifiées ; quand un membre signale une vidéo ou une Live Photo (ou le rapport ou le lieu qui la contient), davantage d’images en sont envoyées, une seule fois, pour une vérification plus complète, avec les mêmes suites : retirée si elle est explicite (vous en êtes prévenu), mise de côté pour l’équipe si elle est repérée. Ce qui avait été publié avant la mise en place de cette vérification (textes, photos et images de vidéos, par leur original non flouté quand il y en a un, nom affiché, devise et photo de profil) est vérifié après coup, peu à peu, par le même service d’OpenAI, et reste visible en attendant. Un contenu sexuel explicite trouvé ainsi est retiré et vous en êtes prévenu ; un autre contenu repéré est masqué aux autres membres jusqu’à ce que l’équipe l’examine.
• Contrôle par sondage : chaque semaine, l’équipe relit un échantillon de rapports publiés, tirés au hasard ou parmi les plus risqués, pour mesurer la qualité des vérifications.

Aucune autre décision défavorable n’est prise sans une personne : en dehors du refus ou du retrait automatique d’un contenu sexuel explicite, un rapport retenu ou un contenu mis de côté n’est jamais rejeté automatiquement, et le retrait d’un contenu, une baisse de fiabilité pour modération ou la suspension d’un compte sont décidés par l’équipe. Vous êtes prévenu quand elle rejette un de vos rapports, en retire une partie, retire un de vos rapports, photos ou lieux, ou donne suite à un signalement de votre contenu en prenant une sanction ; le message indique la raison quand l’équipe en a donné une. Un contenu masqué le temps d’un examen, ou un signalement traité sans sanction, ne donne pas lieu à un message. Vous pouvez la contester, demander qu’une personne réexamine un rapport retenu ou un contenu refusé et donner votre point de vue en écrivant à [email protected] : nous réexaminons la décision et vous répondons.

Uniquement pour faire fonctionner l’app : votre compte, la carte, le partage de vos lieux avec la visibilité que vous choisissez, la publication de vos rapports, vos amis, votre progression, les notifications, la modération et les alertes du mode exploration. La base légale est l’exécution du service que vous demandez en créant un compte. La vérification des rapports, la modération automatique, les signaux de votre appareil et les comptes liés reposent sur notre intérêt légitime à garder la communauté sûre et à empêcher les faux rapports et les abus de récompenses ; vous pouvez vous y opposer en nous écrivant.

Nous vous écrivons par e-mail seulement pour le service : validation de votre compte, suite donnée à un signalement, décision de modération sur votre contenu, rejet d’un de vos signalements jugé abusif (avec la raison donnée par l’équipe), alerte de sécurité ou invitation que vous envoyez.

• Les autres membres voient vos lieux selon la visibilité choisie, vos rapports publiés (avec votre nom ou sans, selon votre choix), votre nom de membre, votre photo de profil et votre carte de membre (son numéro, sa devise, ses trophées et badges). Selon le réglage « Mon palier et mes rapports » (Profil › Réglages › Vie privée : tout le monde, vos amis ou personne), ils voient aussi sur votre profil votre palier, votre XP, votre badge de fiabilité et le nombre de vos visites qu’ils peuvent voir.
• Notre équipe de modération, pour valider les comptes, traiter les signalements, les rapports retenus et les photos à vérifier. Elle voit aussi les résumés de parcours, la fiabilité et les comptes liés. Elle ne voit une photo de groupe que si la vérification automatique la retient ou si un membre la signale.
• Apple, pour la connexion avec Apple, les notifications, les achats (App Store), votre carte dans Cartes, App Attest, DeviceCheck et les cartes (Plans). Les recherches d’adresse et l’affichage des cartes passent par les services d’Apple, selon sa propre politique de confidentialité.
• Nos prestataires techniques : l’hébergement de nos serveurs, Cloudflare pour acheminer et protéger le trafic, et notre serveur d’envoi d’e-mails.
• OpenAI, notre sous-traitant pour la modération automatique (section 6), qui reçoit les textes et images à vérifier (pour une photo ou une vidéo floutée, son original non flouté), et rien d’autre. Pour les clients de l’Espace économique européen et de la Suisse, l’accord de traitement des données d’OpenAI (en vigueur depuis le 1er janvier 2026) est conclu avec OpenAI Ireland Ltd, qui agit en sous-traitant et ne traite ces données que sur nos instructions. D’après les contrôles de données publiés par OpenAI, son service de modération ne conserve rien de ce qui lui est envoyé, pas même pour la surveillance des abus, et les données envoyées à son API ne servent pas à entraîner ses modèles. Nous n’utilisons pas l’hébergement des données en Europe d’OpenAI (soumis à son accord) : la vérification peut donc être traitée aux États-Unis. Les transferts hors de l’Espace économique européen et de la Suisse vers les sociétés liées à OpenAI ou à des tiers reposent sur les clauses contractuelles types ou sur une décision d’adéquation de la Commission européenne (article 45 du RGPD).

Nous ne vendons ni ne louons vos données, et ne les partageons avec aucun annonceur.

• Votre compte et votre progression (XP, fiabilité et leur historique) : jusqu’à la suppression de votre compte. Ce que vous publiez : jusqu’à ce que vous le supprimiez, puis un an masqué (ci-dessous) ; vos rapports publiés et leurs photos restent, anonymisés, après la suppression de votre compte.
• Un rapport, une photo ou un lieu que vous supprimez disparaît aussitôt pour tout le monde, vous compris, mais reste conservé, masqué, pendant un an : l’équipe peut le rétablir (une suppression par erreur, votre demande, l’examen d’un abus). Il est ensuite effacé définitivement, textes et fichiers. Un lieu sur lequel d’autres membres ont publié un rapport n’est pas supprimé : vous vous en retirez, et il reste visible pour eux, sans lien avec vous.
• Un contenu retiré par la modération (l’équipe ou la vérification automatique) ou à la suite d’une demande légale est effacé sans attendre ; d’une photo retirée, nous ne gardons qu’une trace sans l’image (son empreinte, pour repérer qu’elle est reprise ailleurs).
• Une session expire après 90 jours sans utilisation, et au plus tard au bout d’un an.
• Mode exploration : la position est effacée à la fin ; vos contacts de sécurité, chaîne d’alerte comprise, sont supprimés 7 jours après ; l’exploration et les résumés de parcours, sans position ni contact, 400 jours après.
• Expéditions : la dernière position gardée pour l’heure limite est effacée au retour ou à la fin ; le contact de sécurité 7 jours après la fin ; l’expédition, sans position ni contact, 400 jours après. Un brouillon jamais planifié est supprimé 30 jours après sa date de fin.
• Albums : le lieu et le jour d’un élément sont effacés quand son exploration est supprimée (400 jours après, ou plus tôt si son organisateur supprime son compte), sauf s’il figure dans l’un de vos rapports publiés sur ce lieu ; vos albums et vos notes restent jusqu’à ce que vous les supprimiez. Photos de groupe : supprimées avec l’exploration, 400 jours après sa fin ; chaque membre est prévenu 30 et 7 jours avant pour enregistrer celles qu’il veut garder.
• Pistes : la case d’environ 5 km gardée pour une piste en attente est effacée dès qu’un lieu y apparaît, ou quand la piste est utilisée ou perdue.
• Vos jours d’activité et les amitiés terminées : 90 jours.
• Vos achats : tant que votre compte existe. À sa suppression, ils ne sont plus liés à vous, et un abonnement en cours peut rejoindre le prochain compte que vous créez. Votre ferraille, son historique et les objets achetés dans la boutique sont supprimés avec votre compte.
• Carte dans Cartes : annulée quand vous supprimez votre compte, puis effacée sous 30 jours avec les appareils qui la recevaient. Un appareil qui ne se manifeste plus pendant 400 jours est oublié.
• L’empreinte de l’adresse d’une personne qui ne veut plus être contact de sécurité : jusqu’à ce qu’elle annule ce choix.
• Signalement d’un lieu démoli : la photo est supprimée une fois le signalement traité, la note avec votre compte.
• Clé App Attest et empreinte de l’identifiant d’installation : jusqu’à la suppression de votre compte. Si le même appareil a servi à un autre compte, elles restent liées à cet autre compte seulement. Les deux indicateurs DeviceCheck restent gardés par Apple pour l’appareil, et peuvent continuer à signaler qu’il a déjà servi à créer un compte.
• Un contenu refusé par la modération automatique n’est pas gardé. Le résultat d’une vérification automatique est gardé avec le contenu vérifié ; nous notons aussi chaque vérification (date, type de contenu, résultat), sans le contenu lui-même, pendant 90 jours.
• Le journal des décisions de modération est gardé comme trace du travail de l’équipe ; quand votre compte est supprimé, il n’est plus lié à vous.
• Ce site ne pose qu’un cookie, et seulement si vous changez de langue : il retient la langue choisie (un an), sans autre usage. Le badge « Télécharger dans l’App Store » est chargé depuis les serveurs d’Apple, qui reçoivent donc votre adresse IP et l’adresse du site (sans le chemin de la page), selon la politique de confidentialité d’Apple.
• Adresse IP : utilisée quelques minutes en mémoire pour limiter les abus (tentatives de connexion répétées). L’app ne l’enregistre pas ; elle peut figurer dans les journaux techniques de notre hébergement et de Cloudflare, conservés pour une durée limitée.

Quand vous supprimez votre compte (Profil › Réglages › Compte › « Supprimer mon compte »), votre compte (adresse e-mail, nom, photo de profil, carte), vos sessions, vos clés d’accès et appareils, vos explorations, vos expéditions (qui disparaissent aussi pour les amis invités), vos albums, vos photos de groupe et celles des explorations que vous organisiez, votre progression, vos amis, vos lieux privés et réservés à vos amis, vos lieux enregistrés, vos rapports non publiés, ce que vous aviez déjà supprimé, les originaux non floutés de vos photos, vos signalements de lieu démoli, votre ferraille et les objets achetés dans la boutique sont effacés, votre carte dans Cartes est annulée, et l’accès de l’app à votre identifiant Apple est révoqué. Vos rapports publiés et leurs photos restent visibles pour la communauté,anonymisés : ils apparaissent comme publiés par un « Membre supprimé », sans nom ni aucun lien avec vous ou votre compte, pour que ce qu’ils disent des lieux (accès, dangers, présence) reste utile à la sécurité des autres. Les lieux que vous avez partagés avec la communauté restent visibles, sans lien avec vous ; un lieu réservé à vos amis sur lequel d’autres membres ont publié un rapport reste visible pour eux.

Conformément au RGPD, vous pouvez accéder à vos données (y compris votre fiabilité et les raisons d’une décision sur votre contenu), les rectifier, les supprimer, en limiter le traitement, vous y opposer et en demander une copie dans un format lisible par machine. Vous pouvez aussi demander qu’une personne réexamine une décision prise automatiquement (section 6). La plupart se font directement dans l’app (nom, photo de profil, suppression du compte) ; pour le reste, écrivez-nous à [email protected]. Vous pouvez aussi saisir la CNIL (cnil.fr).

Les échanges sont chiffrés (HTTPS), les sessions reposent sur des jetons dont nous ne gardons qu’une empreinte, et les photos ne sont servies qu’aux membres autorisés à les voir. Aucun système n’étant parfaitement sûr, nous vous préviendrons si une fuite touchait vos données.

Urban Secrets est réservé aux personnes de 18 ans et plus.

Cette politique peut évoluer avec l’app. La date de mise à jour figure en haut de cette page ; en cas de changement important, nous vous prévenons par e-mail.