Politique de confidentialité de Trailborn

Ce document n'a pas été vérifié par un juriste.

Version du document : 2026-10-24
Date d'entrée en vigueur : 22 octobre 2026

Qui traite tes données

Le responsable du traitement est Michał Mijalski, une personne physique qui mène le projet Trailborn sous le nom Forest Nap Studio.

• adresse postale : ul. Południowa 54, 42-229 Częstochowa, Pologne
• e-mail : forestnapstudio@gmail.com

Trailborn transforme tes déplacements quotidiens en territoire sur une carte. Ce document indique ce qui nous parvient, pourquoi, à qui nous le transmettons et combien de temps nous le conservons. Il décrit le jeu tel qu'il fonctionne réellement à la date de version indiquée ci-dessus.

Âge

Trailborn s'adresse aux personnes âgées de 16 ans et plus. Lorsque tu crées un compte, tu confirmes, en poursuivant depuis l'écran de départ qui l'indique, que tu as au moins 16 ans et que tu as lu les conditions d'utilisation et la présente politique. Nous ne demandons pas de date de naissance ; nous enregistrons la déclaration elle-même et l'utilisons à deux fins : ne pas créer de compte pour une personne de moins de 16 ans, et configurer correctement la publicité. Les comptes créés avant le 16 septembre 2026 ont indiqué une année de naissance, que nous conservons uniquement à cette fin. Nous ne déduisons pas l'âge des réglages du téléphone ni du comportement dans l'application.

Quelles données nous traitons

Compte. L'identifiant du compte Google ou Apple avec lequel tu te connectes, l'adresse e-mail liée à ce compte (en cas de connexion avec Apple, il peut s'agir de l'adresse relais d'Apple si tu le choisis), ton pseudo, ta couleur, l'apparence de ton personnage, ta déclaration d'âge (une année de naissance uniquement pour les comptes créés avant le 16 septembre 2026) et les réglages de l'application (langue, thème, unités, notifications, vitesse des animations).

Jouer sans compte. Tu peux jouer sans compte Google ni Apple. Ton téléphone crée alors une clé aléatoire et la garde dans le stockage protégé du système (Keychain sur iPhone, Keystore sur Android). Nous ne conservons qu'une empreinte à sens unique de cette clé, qui nous permet de reconnaître ton téléphone à la prochaine connexion, ainsi que les autres données du compte décrites plus haut, sans adresse e-mail. Si tu supprimes le jeu d'un téléphone Android ou changes de téléphone avant d'avoir lié un compte Google ou Apple, nous ne pourrons pas restaurer ta progression. Quand tu lies un compte, nous supprimons l'empreinte et tu te connectes ensuite avec Google ou Apple. Pour limiter les abus, nous comptons les nouveaux comptes sans inscription créés depuis un même téléphone (un identifiant d'installation aléatoire) et depuis une même adresse IP ; nous ne conservons pas l'adresse IP et le compteur reste au plus une heure dans la mémoire du serveur.

Pas et étages — trois sources. Avec ton consentement explicite, nous lisons ton nombre de pas et d'étages depuis :

• Santé Connect sur Android, si tu le connectes ;
• l'app Santé (HealthKit) sur iPhone, si tu accordes l'accès dans la fenêtre du système ; nous lisons uniquement les pas et les étages gravis, nous n'écrivons rien, et les données HealthKit ne sont jamais utilisées pour la publicité ni pour le profilage, jamais vendues et jamais partagées avec un tiers ;
• le capteur de mouvement de ton téléphone, si tu actives le compteur de pas. Il s'agit d'une source distincte avec sa propre autorisation (ACTIVITY_RECOGNITION), demandée seulement après que tu as touché « Activer le compteur du téléphone », avec une explication juste au-dessus du bouton.

Les pas et les étages sont convertis en mètres, que tu dépenses pour découvrir des routes. Seuls les totaux quotidiens parviennent au serveur, et non le journal brut du capteur. L'historique du compteur du téléphone reste sur l'appareil pendant 30 jours, puis il est supprimé. Les totaux quotidiens sont conservés tant que ton compte existe — sans eux, nous ne pouvons ni afficher de statistiques ni détecter qu'une même activité a été comptée deux fois.

Nous ne lisons ni la fréquence cardiaque, ni le sommeil, ni le poids, ni aucun dossier médical. Nous n'écrivons jamais rien dans Santé Connect ni dans l'app Santé. Les données de santé ne sont jamais vendues, jamais utilisées pour la publicité ou le profilage publicitaire, et jamais transmises à des assureurs ni utilisées pour évaluer la solvabilité.

Taille et poids (facultatif). Nous ne les lisons dans aucune application. Si tu les saisis dans ton profil et coches la case de consentement, nous les gardons sur ton compte et les utilisons pour calculer les calories que tu brûles en marchant, à partir de tes pas uniquement. Le total quotidien de ces calories est enregistré avec tes pas du jour. Personne d’autre ne voit ta taille, ton poids ni tes calories, et nous ne les utilisons ni pour la publicité ni pour le profilage. Le total des calories de tous les joueurs qu’annonce Bjørn dans le jeu les inclut sans identifier personne. Tu peux les supprimer à tout moment dans ton profil ; nous supprimons alors aussi les calories calculées à partir d’eux.

Localisation. Nous ne conservons que ta dernière position, écrasée à chaque changement. Nous n'enregistrons pas de trace GPS continue.

Nous enregistrons en revanche quels tronçons de route tu as conquis et quand — c'est l'état du jeu, sans lequel la carte ne fonctionne pas. Les routes conquises indiquent les zones où tu joues. Dans les réglages de confidentialité des tracés, tu peux activer le mode incognito ; il décale tes tracés futurs, tandis que le territoire conquis auparavant reste là où il était.

Ton premier trajet. Si, lors de ta première balade, le téléphone ne donne pas de position GPS en 20 secondes environ, nous peignons le premier trajet à partir de la position approximative que le téléphone connaît grâce au réseau (Wi-Fi, antennes relais) ou d'une mesure datant de 15 minutes au plus, précise à 500 mètres près. Les trajets suivants attendent toujours le GPS. Si tu n'autorises pas la localisation, ton premier trajet commence dans une ville de ton pays, en général la capitale. Le serveur choisit le pays d'après le fuseau horaire du téléphone et, s'il ne le reconnaît pas, d'après la région et la langue réglées sur le téléphone. Nous enregistrons alors cette ville et le code du pays comme ta dernière position ; ta première vraie position, une fois la localisation autorisée, les remplace.

Messages. Le jeu comporte deux chats. Les messages du chat d'équipe sont visibles par les membres de ton équipe. Les messages du chat global sont visibles par tous les joueurs connectés. Les deux chats s'effacent automatiquement au bout de 48 heures. Tu peux supprimer ton propre message dans les 48 heures qui suivent son envoi ; un administrateur d'équipe peut supprimer n'importe quel message du chat d'équipe. Un filtre automatique masque les grossièretés dans les messages avant que les autres joueurs ne les voient.

Drapeaux avec message. Si tu plantes un drapeau, nous enregistrons l'endroit exact où tu te trouves, le message (140 caractères au plus), le niveau du coffre que tu laisses et l'heure. Un modérateur lit le message avant que quiconque puisse le voir. Les drapeaux n'existent qu'en mode Guerre des équipes : seuls les joueurs qui font partie d'une équipe peuvent les planter, les voir et les trouver. Un drapeau approuvé est visible par les autres joueurs sur la carte Guerre des équipes, exactement à cet endroit. Seule la personne qui trouve le drapeau voit ton pseudo, le message et le niveau du coffre ; les autres ne voient que le drapeau sur la carte. Tu reçois seulement un message indiquant que quelqu'un l'a trouvé, sans le pseudo de cette personne. Ne plante pas de drapeau près de chez toi ni dans un endroit que tu ne veux pas montrer aux autres. Un drapeau que personne ne trouve disparaît au bout de 30 jours. Nous supprimons l'enregistrement du drapeau (message, endroit, qui l'a trouvé et quand) 180 jours après sa clôture, c'est-à-dire après qu'il a été trouvé, a expiré, a été refusé ou retiré, ou plus tôt si tu supprimes ton compte.

Courses. Si tu organises une course ou acceptes une invitation, nous enregistrons : le nom de la course, le départ et l'arrivée (ou la durée), les invités et leurs réponses, ta progression depuis le départ (mètres et pas, calculés à partir des enregistrements de marche que nous conservons de toute façon) et le résultat. Les autres participants voient ton pseudo et ta progression. Tu reçois le résultat sous la forme d'un message du jeu dans la boîte de réception de l'application.

Signalements et modération. Si tu signales un contenu ou si quelqu'un signale le tien, nous enregistrons : qui a signalé, ce que concerne le signalement, le motif choisi, ton commentaire facultatif et une copie du message signalé — le chat s'efface au bout de 48 heures, donc sans cette copie un modérateur recevrait un dossier vide. Nous enregistrons aussi la décision du modérateur et l'éventuelle contestation. Le message d'un drapeau peut être signalé par la personne qui l'a trouvé ; nous enregistrons alors aussi le message et le pseudo de l'auteur du drapeau.

Blocages. Nous conservons la liste des personnes que tu as bloquées jusqu'à ce que tu les débloques.

Diagnostic. À la connexion, nous enregistrons la version de l'application, le modèle de l'appareil, la version du système, la langue de l'interface et le code pays issu des réglages de ton appareil. En cas de plantage, nous enregistrons l'erreur et son contexte technique. Depuis la version 1.1.45, l'application enregistre aussi l'état des autorisations et réglages dont le jeu a besoin — localisation, accès aux pas (Santé Connect ou Santé), compteur de pas du téléphone, notifications et consentement publicitaire — ainsi que le type d'application qui enregistre tes pas (par exemple « téléphone » ou « Garmin »), sans les données d'activité elles-mêmes. Cela nous permet d'expliquer pourquoi les pas de quelqu'un ne sont pas comptés. Nous n'enregistrons pas ton adresse IP, à une exception près, décrite plus bas pour les invitations, où nous en conservons un hachage à sens unique pendant 48 heures.

Jeu équitable. Nous vérifions que l'activité est humainement possible (cadence des pas, nombre d'étages, limites quotidiennes) et rejetons les données saisies manuellement dans une application de santé. Au premier lancement, l'application crée un identifiant d'installation aléatoire et le conserve dans le stockage sécurisé du système ; son seul but est d'empêcher que les mêmes pas alimentent deux comptes. Ce n'est pas un identifiant d'appareil et aucune de tes données ne peut en être déduite.

Trailborn+ et achats. L'application vend l'abonnement Trailborn+ et des lots de coffres. Le paiement est géré par la boutique depuis laquelle tu as installé le jeu — Google Play ou l'Apple App Store. Nous ne recevons ni ton numéro de carte ni aucune autre donnée de paiement. La boutique nous transmet une confirmation d'achat, que nous vérifions auprès de Google ou d'Apple ; nous enregistrons l'identifiant du produit, l'identifiant de transaction attribué par la boutique, la date et, pour un abonnement, la date jusqu'à laquelle il est payé. Nous enregistrons aussi le prix, la devise et le pays de la boutique indiqués par la boutique pour cet achat ou ce renouvellement, afin de calculer les revenus du jeu. Nous interrogeons la boutique sur l'état de l'abonnement lors de son renouvellement. Nous enregistrons aussi si un essai gratuit est en cours ; pendant celui-ci, le lot mensuel de coffres n'est pas attribué. Les jours gratuits de Trailborn+ (pour des invitations, lors d'événements, offerts par un autre joueur ou par nous) sont enregistrés sur le compte avec leur origine ; si tu as un abonnement payant, ils attendent sa fin. Pour chaque mois d'abonnement payé, tu reçois 3 jours de Trailborn+ à offrir : à la personne de ton choix, à un joueur tiré au sort sans Trailborn+ qui a ouvert le jeu au cours des 2 derniers jours, ou à personne. Nous enregistrons ton choix, le destinataire et la date. La personne que tu choisis toi-même reçoit un message avec ton pseudo ; une personne tirée au sort ne sait pas de qui viennent les jours, et tu reçois un message avec son pseudo. Tu vois ton propre bilan de cadeaux dans le jeu. Un essai gratuit ne donne pas droit à un cadeau.

Invitations. Chaque compte dispose d'un lien et d'un code d'invitation personnels. Quand quelqu'un accepte ton invitation, nous enregistrons qui a invité qui, comment le jeu a reconnu l'invitation (lien, code, Google Play Store ou visite de la page d'invitation), combien de jours différents la personne invitée a joué et quand vous avez reçu tous les deux les jours de Trailborn+. La personne qui invite voit le pseudo de la personne invitée et sa progression vers la récompense. Quand quelqu'un ouvre une page d'invitation, nous conservons pendant 48 heures un hachage à sens unique de l'adresse IP (calculé avec une clé secrète ; l'adresse elle-même n'est pas stockée) et le type d'appareil. Cela sert uniquement à ce que le jeu puisse demander à un nouveau joueur sur iPhone — où l'App Store ne transmet pas l'invitation — s'il vient d'une invitation ; le nouveau joueur le confirme toujours lui-même. Quand la personne invitée joue 3 jours, les personnes plus haut dans la chaîne d'invitations sont aussi récompensées : celle qui a invité la personne qui invite (2 jours de Trailborn+), celle d'un niveau au-dessus (1 jour) et toutes celles plus haut (un coffre de niveau 1). Chacune reçoit dans sa boîte de réception un message avec le pseudo de la personne invitée et celui de la personne qui l'a invitée. Si quelqu'un dans la chaîne supprime son compte, nous enregistrons le lien avec la personne la plus proche au-dessus, pour que la chaîne ne se rompe pas ; le compte supprimé n'est pas conservé.

Points, défis et expéditions. Nous enregistrons les points que tu gagnes et dépenses dans le jeu. Si tu relèves Le défi de Bjørn, nous enregistrons la semaine, l'objectif de pas, ton nombre de pas de la semaine précédente, les points mis de côté et le résultat. Tu reçois le résultat dans un message de Bjørn, dans la boîte de réception de l'application : après une semaine réussie avec l'objectif de la semaine, sinon avec le nombre de pas qui ont manqué. Si les notifications sont activées, une notification peut aussi arriver ; elle dit au plus que l'objectif est atteint et qu'un message t'attend, sans le nombre de pas. Pendant une expédition commune, nous calculons ta distance à partir de tes totaux de pas quotidiens et l'affichons dans le classement de l'expédition.

Série de jours et objectif de pas. Nous enregistrons ta série de jours dans le jeu : la série en cours et la plus longue, le dernier jour compté et le jour que Bjørn a couvert pour toi, et pour chaque jour compté son numéro dans la série, le niveau du coffre de ce jour et le moment où tu l'as récupéré. Un jour compte quand tu ouvres le jeu et qu'une synchronisation a lieu. L'objectif de pas de la quête du jour t'est propre : nous le calculons une fois par jour à partir de la médiane de tes totaux de pas quotidiens des 7 derniers jours et l'enregistrons avec cette médiane et le nombre de jours sur lesquels il repose. Ta série et ton objectif ne sont visibles que par toi. Nous les conservons jusqu'à la suppression du compte.

Coffre de départ. Au bout de ton premier trajet peint, nous plaçons un coffre de départ que personne d'autre que toi ne voit. Nous enregistrons sur ton compte son emplacement (la fin de ce trajet), son niveau, le moment où il a été placé et ouvert, et ce qu'il contenait, pour qu'une nouvelle ouverture donne les mêmes récompenses. Il y a un coffre de départ par compte et un par téléphone. C'est pourquoi nous enregistrons avec lui l'identifiant aléatoire de ton installation du jeu, que l'application envoie à la connexion et qui reste sur le téléphone jusqu'à la désinstallation du jeu (un identifiant différent de celui décrit plus haut dans « Jeu équitable »). Séparément, sans aucun lien avec ton compte, nous enregistrons seulement cet identifiant avec la date d'attribution du coffre, pour qu'un deuxième compte créé sur le même téléphone ne reçoive pas un deuxième coffre. L'enregistrement lié à ton compte est supprimé avec le compte. L'identifiant et sa date restent après la suppression du compte, car c'est justement à ce moment-là qu'ils empêchent les abus.

Premier lancement. L'application enregistre sur notre serveur quels écrans du premier lancement (profil, localisation, première balade, coffre de départ, résumé du premier trajet, pas, consentement publicitaire, notifications) ont été affichés, lesquels tu as terminés et lesquels tu as passés, quand, et combien de temps après l'apparition de l'écran, avec la version de l'application et le système (Android ou iOS). Cela nous montre sur quel écran les nouveaux joueurs abandonnent, pour que nous puissions l'améliorer. Ces enregistrements ne sont visibles que par nous, dans le panneau d'administration. Nous les conservons jusqu'à la suppression du compte.

Bras droit de l'équipe. L'administrateur d'une équipe peut nommer un bras droit parmi ses membres ; nous enregistrons dans l'équipe de qui il s'agit. Les membres de l'équipe voient le pseudo du bras droit, et le chat d'équipe annonce dans un message système, avec le pseudo, qui est devenu bras droit et que le bras droit a repris l'équipe. Le bras droit peut changer le blason de l'équipe, accepter et refuser les demandes pour rejoindre l'équipe et retirer des membres (sauf l'administrateur) ; il voit donc les demandes pour rejoindre l'équipe et reçoit des notifications à leur sujet. Il est le premier à reprendre l'équipe quand l'administrateur la quitte, supprime son compte ou voit son compte suspendu. Il la reprend aussi quand l'administrateur ne donne aucun signe de vie pendant 14 jours, c'est-à-dire ne synchronise aucune balade, ne se connecte pas et ne contacte pas le serveur depuis l'application ; les rôles s'échangent alors et l'ancien administrateur devient bras droit. La nomination prend fin quand le bras droit renonce au rôle, que l'administrateur le lui retire ou que le bras droit cesse d'être membre de l'équipe, y compris en supprimant son compte.

Publicité. La publicité dans Trailborn est entièrement facultative : tu regardes une publicité lorsque tu choisis d'obtenir en échange un coffre ou un raccourci (un kilomètre de route supplémentaire). Il n'y a ni bannières ni publicités plein écran affichées sans ta décision. Les publicités sont diffusées par Google AdMob, qui peut utiliser l'identifiant publicitaire et les données techniques de l'appareil pour diffuser la publicité, en limiter la fréquence, produire des rapports agrégés et prévenir les abus.

Le fait qu'une publicité soit personnalisée ou non dépend de ta décision. Dans l'Espace économique européen, au Royaume-Uni et en Suisse, nous affichons le formulaire de consentement de Google avant la première publicité ; sans consentement à la personnalisation, nous demandons uniquement des publicités non personnalisées. Sur iPhone, la question de suivi posée par le système s'applique également ; la refuser signifie aussi des publicités non personnalisées. Les comptes dont la déclaration d'âge est inférieure à l'âge du consentement reçoivent toujours des publicités non personnalisées, quel que soit le choix exprimé dans le formulaire. En dehors de ces régions, les publicités peuvent être personnalisées selon les réglages publicitaires de ton système. Tu peux modifier ta décision dans les réglages de confidentialité de l'application.

Pour t'accorder ta récompense après une publicité, Google nous envoie une confirmation. Nous ne transmettons pas ton identifiant de compte à cette fin : notre serveur émet un jeton aléatoire à usage unique, valable 60 minutes, qui expire une fois utilisé. Google n'apprend pas à qui était destinée la publicité.

Mesure des campagnes publicitaires et de l'utilisation du jeu (Firebase Analytics, Android). Trailborn fait de la publicité sur Google Ads. Pour savoir quelles campagnes amènent des joueurs qui créent un compte et reviennent dans le jeu, et pour voir dans des rapports agrégés comment les joueurs utilisent la série de jours et la carte qui les invite à rejoindre une équipe, l'application Android utilise Google Analytics pour Firebase (fournisseur : Google). Google reçoit : l'identifiant d'instance de l'application attribué par Firebase, l'identifiant publicitaire de l'appareil, le modèle du téléphone, les versions du système et de l'application, la langue, le pays ou la région que Google déduit de l'adresse IP (Google Analytics n'enregistre pas l'adresse elle-même) ainsi que ces événements : premier lancement, création d'un compte ou connexion (avec le moyen : Google, Apple ou sans compte), premier trajet peint, ouverture du coffre de départ, retour dans le jeu au moins un jour et au moins une semaine après la création du compte, jour de série compté (le numéro du jour), récompense de série récupérée (le numéro du jour et le niveau du coffre) et carte d'équipe (affichée, équipe rejointe, équipe créée ou carte fermée). Nous ne transmettons ni ton identifiant de compte, ni ton pseudo, ni ton adresse e-mail, ni tes pas, ni ta localisation, ni tes données de santé. La mesure dépend du consentement publicitaire donné dans le formulaire de Google décrit plus haut ; il n'y a pas de question séparée. Rien n'est envoyé à Google avant ta réponse au formulaire : les événements de cette période (par exemple création d'un compte ou connexion, premier trajet, ouverture du coffre de départ, jour de série) attendent sur le téléphone, chacun au plus une fois par compte, et ne sont envoyés qu'après ton consentement. Dans l'Espace économique européen, au Royaume-Uni et en Suisse, rien n'est envoyé sans ton consentement, et les événements en attente sur le téléphone sont supprimés. En dehors de ces régions, la mesure démarre dès que le formulaire confirme qu'aucun consentement n'est requis. Les données des comptes dont l'âge déclaré est inférieur à l'âge du consentement ne servent jamais à la publicité personnalisée ni aux audiences publicitaires. Google conserve les données d'événements pendant 2 mois ; ensuite, il ne reste que des rapports agrégés. Sur le téléphone, nous enregistrons la date de création du compte, les événements déjà envoyés ou en attente et le dernier jour de série signalé, pour qu'aucun ne parte deux fois. Tu peux modifier ta décision dans les paramètres de confidentialité de l'application ; retirer ton consentement arrête la mesure. Firebase Analytics n'est pas utilisé sur iPhone pour le moment.

Notifications. Si tu les actives, nous enregistrons le jeton de notification push de l'appareil, sa langue, les types de notification que tu as choisis et le fuseau horaire du téléphone. Lorsque tu les désactives, le jeton est supprimé du serveur et de l'appareil. Les notifications concernant les succès, les pas comptabilisés et le rappel quotidien sont créées localement sur l'appareil. Le rappel de balade du lendemain arrive au moment de la journée que tu choisis quand nous te posons la question des notifications (le matin, à midi ou le soir) ; ce choix reste uniquement sur le téléphone et n'est pas envoyé au serveur. Les messages du jeu (résultats de courses, récompenses, annonces, résumé matinal de la veille par Bjørn) arrivent dans la boîte de réception de l'application.

Si tu actives les notifications, le serveur peut envoyer au plus deux notifications automatiques par jour, selon ton propre calendrier, et n'en envoie aucune la nuit, de 21 h 30 à 8 h 30 à ton heure. Tu peux désactiver chaque type dans les Options. Les types :

• attaque de territoire : une autre équipe prend des routes de ton équipe à moins de 1,5 km de la dernière position envoyée par ton téléphone (nous la considérons comme les environs de ton domicile) ; la notification indique cette équipe, la longueur des routes prises et le quartier ou la localité ;
• perte de terrain de l'équipe en ton absence ;
• drapeau trouvé : quelqu'un a trouvé ton drapeau (sans le pseudo de la personne qui l'a trouvé) ;
• défi : le dimanche après-midi, quand il manque une balade pour atteindre l'objectif du Défi de Bjørn, et le lundi en journée, quand le serveur ne voit pas encore l'objectif de la semaine passée atteint, pour que les pas du dimanche arrivent avant le bilan ;
• le fantôme de la semaine passée : le soir, quand il y a une semaine à cette heure ton trajet était nettement plus long ;
• une carte postale de Bjørn : une fois par semaine, une anecdote sur une localité ou un quartier traversé par ton trajet cette semaine ;
• des jours de Trailborn+ pour une invitation et un rappel après trois jours d'absence ;
• un nouveau message personnel dans la boîte de réception, par exemple sur un niveau, un cadeau Trailborn+ (avec le pseudo de la personne qui l'offre), une récompense dans la chaîne d'invitations (avec les pseudos des personnes de la chaîne), une décision de modération sur ton drapeau, le résultat d'une course ou le résultat du défi de Bjørn.

Les notifications ne contiennent jamais ton nombre de pas ni ta distance issus de Santé Connect ou de l'app Santé. Quand un message de la boîte de réception les mentionne (le défi, une course, une expédition), la notification dit seulement qu'un message t'attend ; les chiffres restent dans le jeu. En dehors de cette limite, si les notifications sont activées, tu peux recevoir une notification pour un nouveau message dans le chat d'équipe (avec le pseudo de l'expéditeur et le texte du message), une demande pour rejoindre une équipe que tu administres ou dont tu es le bras droit, l'arrivée d'un nouveau membre et des annonces du jeu ; aucune n'est envoyée pendant ta nuit. Les notifications push sont relayées par Expo et remises au téléphone par Google (Firebase Cloud Messaging) ou Apple (Apple Push Notification service).

Désinstallation du jeu. Quand nous envoyons une notification et que Google ou Apple répond via Expo que le jeu n'est plus sur le téléphone (la réponse DeviceNotRegistered), nous supprimons le jeton de notification de ce téléphone et enregistrons dans notre table des désinstallations : la date, le système (Android ou iOS), une empreinte à sens unique du jeton (SHA-256 ; le jeton lui-même est supprimé, et l'empreinte ne permet de rien envoyer) et s'il s'agissait de ton dernier téléphone avec les notifications. Si tu rouvres le jeu (un nouveau jeton de notification, une connexion de l'application au serveur ou une connexion à ton compte), nous ajoutons la date et la façon dont nous l'avons vu. Cela nous permet de savoir qu'un joueur a désinstallé le jeu. Seuls nous voyons cet enregistrement, dans le panneau d'administration, et nous le conservons jusqu'à la suppression du compte. Cela ne fonctionne qu'avec les notifications activées : personne ne nous prévient quand le jeu est retiré d'un téléphone sans jeton.

Fuseau horaire. L'application envoie au serveur le fuseau horaire réglé sur ton téléphone (par exemple « Europe/Paris ») avec chaque requête, même si les notifications sont désactivées. Il fixe les limites de ta journée, c'est-à-dire le moment où se renouvellent la limite quotidienne de coffres obtenus contre une publicité, les quêtes du jour, la série de jours, la Piste de Bjørn et le coffre quotidien Trailborn+, ainsi que le début et la fin de la semaine du Défi de Bjørn. Si tu n'autorises pas la localisation, il détermine aussi le pays où commence ton premier trajet (voir « Ton premier trajet »). Il détermine aussi le silence de nuit, la limite quotidienne de notifications et le jour que décrit le résumé matinal de Bjørn. Si le téléphone ne l'envoie pas, nous l'estimons à partir de ta dernière position. Nous enregistrons le dernier fuseau horaire sur ton compte (jusqu'à la suppression du compte), ainsi qu'avec les réglages des notifications du téléphone (jusqu'à ce que tu désactives les notifications ou supprimes le compte) et avec chaque journée résumée (30 jours). Un fuseau horaire indique approximativement la région où tu te trouves. Avec chaque requête, l'application envoie aussi les unités choisies dans les réglages (métriques ou impériales). Nous les enregistrons également sur le serveur, sur ton compte (jusqu'à la suppression du compte), pour indiquer les distances en kilomètres ou en miles dans les messages du jeu (boîte de réception, notifications push, résumés quotidiens, résultats de courses, expédition).

Ce qui est visible publiquement

Un autre joueur qui touche ton pseudo voit : ton pseudo, ta couleur, l'apparence de ton personnage, ta distance et ton territoire totaux, ton niveau de joueur, les objets et accessoires que tu portes, et les équipes auxquelles tu appartiens. Si tes choix pour le cadeau Trailborn+ penchent vers le bien ou vers le mal, le profil a un cadre doré ou un fond rouge. Nous ne montrons ni le nombre de choix ni qui a reçu les jours, mais le cadre ou le fond révèle que le compte a eu un jour un abonnement payé. Dans le chat global, tous les joueurs voient ton pseudo et ton message. Dans une course, les participants voient mutuellement leurs pseudos et leur progression. Les classements, y compris celui de l'expédition, affichent ton pseudo et ton résultat. Un drapeau avec message approuvé est visible sur la carte Guerre des équipes à l'endroit où il a été planté ; seule la personne qui trouve le drapeau voit ton pseudo et le message.

La page de ton invitation (forestnap.com/z/…) est accessible à toute personne disposant du lien : elle affiche ton pseudo, ton avatar, ton équipe, ta distance totale, le nombre de tronçons découverts et la localité où tu as joué pour la dernière fois, sans ta position exacte.

Ils ne voient pas : ton adresse e-mail, tes données de santé, ta dernière position, ton activité quotidienne, ton année de naissance, tes achats, ni si le compte est suspendu.

Les tuiles de la carte affichent les routes conquises dans la couleur de leur propriétaire, mais ne contiennent aucun identifiant de joueur.

Bases légales

• Contrat (article 6, paragraphe 1, point b) du RGPD) — gestion de ton compte, carte, territoire, équipes, courses, classements, inventaire, chats, achats et abonnement. Également les drapeaux avec message, les invitations et leur chaîne, les jours gratuits et le cadeau Trailborn+, les points, les défis et les expéditions, la série de jours et ses récompenses, le coffre de départ et le rôle de bras droit d'une équipe.
• Consentement explicite (article 6, paragraphe 1, point a) et article 9, paragraphe 2, point a) du RGPD) — données de pas et d'étages de toutes les sources (y compris l'objectif de pas personnel calculé à partir d'elles), localisation, notifications et tes choix concernant la personnalisation de la publicité. Tu peux retirer chacun de ces consentements dans les réglages de ton appareil ou de l'application ; le retrait n'affecte pas ce que nous avons fait licitement auparavant.
• Consentement explicite pour la taille et le poids (article 9, paragraphe 2, point a) du RGPD) — si tu les saisis dans ton profil. Tu le retires en les supprimant à cet endroit ; nous supprimons alors aussi les calories calculées à partir d’eux.
• Intérêt légitime (article 6, paragraphe 1, point f) du RGPD) — diagnostic des plantages, sécurité du compte, protection contre la triche (y compris l'identifiant d'installation qui limite le coffre de départ à un par téléphone), vérification des achats, sauvegardes, modération des contenus des utilisateurs, enregistrement des écrans du premier lancement, qui nous permet d'améliorer le jeu pour les nouveaux joueurs, et enregistrement des désinstallations (date, système, empreinte du jeton de notification), qui nous permet de savoir qu'un joueur a désinstallé le jeu.
• Consentement dans le formulaire de Google (article 6, paragraphe 1, point a) du RGPD) — mesure des campagnes et de l'utilisation du jeu avec Firebase Analytics dans l'Espace économique européen, au Royaume-Uni et en Suisse ; tu peux le modifier dans les paramètres de confidentialité de l'application. La mesure en dehors de ces régions, où le consentement n'est pas requis, repose sur notre intérêt légitime (article 6, paragraphe 1, point f) du RGPD) à vérifier si la publicité payante du jeu fonctionne et comment les joueurs utilisent la série de jours et la carte d'équipe.

La fourniture des données est facultative, mais sans compte ni source de pas, le jeu ne peut pas fonctionner — il n'y a rien à partir de quoi compter les mètres.

À qui nous transmettons des données

Nous ne vendons pas de données.

La recherche de lieux est appelée par notre serveur, et non par ton téléphone : ton adresse IP ne parvient donc pas à Nominatim.

Le fond de carte est téléchargé par ton appareil directement depuis les serveurs d'OpenFreeMap : ils reçoivent donc ton adresse IP et la partie de la carte que tu regardes. Nous ne leur transmettons ni ton pseudo, ni ton compte, ni tes pas.

Google, Apple et Expo peuvent traiter des données en dehors de l'Espace économique européen ; ce traitement s'effectue sur la base des clauses contractuelles types de la Commission européenne ou d'une décision d'adéquation.

Combien de temps nous conservons les données

Les durées ci-dessous correspondent à ce que le code supprime réellement.

Un dossier de modération n'est pas supprimé tant qu'une contestation le concernant est en cours.

Sauvegardes. Chaque nuit, nous effectuons une sauvegarde de la base de données et la conservons pendant 14 jours sur le serveur du jeu, dans la même infrastructure que la base de données. Les données supprimées de la base — y compris après la suppression d'un compte — peuvent subsister dans une sauvegarde pendant 14 jours au maximum, après quoi la sauvegarde est supprimée. Les sauvegardes ne servent à rien d'autre qu'à restaurer la base de données après une panne.

Supprimer ton compte

Tu peux supprimer ton compte dans l'application : Réglages → Compte et données → Supprimer le compte, avec deux confirmations. Tu peux aussi envoyer une demande sans installer le jeu, via https://forestnap.com/delete-account/.

Après une suppression confirmée, nous effaçons ton profil, tes sessions, tes données de pas et d'étages, ton territoire personnel, ton inventaire, tes coffres (y compris le coffre de départ), ta série de jours, l'enregistrement des écrans du premier lancement, tes enregistrements d'achats, ton jeton de notification, les enregistrements de désinstallation et les données stockées sur l'appareil, sauf l'identifiant aléatoire de ton installation du jeu. Sur le serveur, il ne reste que cet identifiant, avec la date d'attribution du coffre de départ et sans lien avec le compte. Les événements d'équipe, les courses et l'historique commun du monde peuvent subsister sous forme anonymisée afin que les cartes et les classements des autres joueurs ne s'effondrent pas — sans ton pseudo et sans ton identifiant. La suppression du compte n'annule pas un abonnement dans la boutique — tu l'annules dans Google Play ou dans l'App Store.

Une simple déconnexion efface de l'appareil l'historique des pas du capteur, les curseurs Santé Connect, l'identifiant d'installation et le jeton de notification. Le territoire conquis reste sur l'appareil, lié à ton compte, afin que tu retrouves ta carte lorsque tu te reconnectes.

Tes droits

Tu disposes des droits suivants : accès à tes données, rectification, effacement, limitation du traitement, portabilité, opposition au traitement fondé sur l'intérêt légitime et retrait de ton consentement à tout moment.

Nous ne prenons à ton sujet aucune décision fondée exclusivement sur un traitement automatisé qui produirait des effets juridiques. Les contrôles de jeu équitable peuvent signaler une activité comme peu fiable et le filtre de mots peut masquer une partie d'un message, mais les décisions de suspension d'un compte sont prises par un humain et peuvent être contestées.

Demandes : forestnapstudio@gmail.com. Nous répondons dans les meilleurs délais et au plus tard dans un délai d'un mois.

Tu as également le droit d'introduire une réclamation auprès d'une autorité de contrôle — en Pologne, il s'agit du Président de l'Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsovie.

Modifications

Nous annoncerons les modifications importantes dans l'application. La version de ce document que tu as acceptée est enregistrée avec ton compte, ainsi que la date.

Version 2026-10-24 par rapport à la version 2026-10-23 : elle précise que, lors d'un achat et de chaque renouvellement d'abonnement, nous enregistrons le prix, la devise et le pays de la boutique indiqués par la boutique, afin de calculer les revenus du jeu. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-23 par rapport à la version 2026-10-22 : elle retire de Firebase Analytics sur Android l'événement de la première synchronisation dans laquelle le jeu a compté des pas. Depuis la version 1.1.57, l'application ne l'envoie plus, et nous n'utilisons pas les événements des versions antérieures pour mesurer les campagnes publicitaires. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-22 par rapport à la version 2026-10-21 : elle décrit l'enregistrement des désinstallations. Quand Google ou Apple signale qu'une notification n'a pas atteint un téléphone parce que le jeu n'y est plus installé (DeviceNotRegistered), nous enregistrons la date, le système et une empreinte à sens unique du jeton de notification (jusqu'à la suppression du compte), sur la base de l'intérêt légitime. Elle décrit aussi le message de la boîte de réception avec le résultat du défi de Bjørn et la notification qui l'annonce. Elle ajoute l'enregistrement des désinstallations au tableau des durées de conservation. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-21 par rapport à la version 2026-10-20 : elle ajoute dans Firebase Analytics sur Android l'événement de la première synchronisation dans laquelle le jeu a compté des pas venant du compteur de pas du téléphone, de Santé Connect ou de l'app Santé (l'événement seul, sans le nombre de pas). Il est envoyé une fois par compte créé sur ce téléphone, avec les mêmes règles de consentement que les autres événements. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-20 par rapport à la version 2026-10-19 : elle décrit les données nouvelles de la version 1.1.55 du jeu : la série de jours et ses récompenses, l'objectif de pas personnel calculé à partir de la médiane des pas sur 7 jours, le coffre de départ au bout du premier trajet (un par compte et un par téléphone, d'où un identifiant d'installation conservé sans lien avec le compte même après sa suppression), l'enregistrement des écrans du premier lancement et le bras droit de l'équipe (visible par les membres de l'équipe, annoncé dans le chat d'équipe, qui reprend l'équipe aussi après 14 jours d'absence de l'administrateur). Elle décrit aussi la position approximative issue du réseau (à 500 m près) lors d'une première balade sans signal GPS, le départ du premier trajet dans une ville du pays du joueur quand la localisation n'est pas autorisée, l'heure du rappel enregistrée uniquement sur le téléphone, ainsi que les nouveaux événements de Firebase Analytics sur Android (ouverture du coffre de départ, jour de série, récompense de série, carte d'équipe) et la nouvelle finalité de cette mesure : l'utilisation de la série de jours et de la carte d'équipe. Elle désigne aussi Health Connect par son nom français, Santé Connect, comme dans l'application. Elle ajoute ces données au tableau des durées de conservation. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-19 par rapport à la version 2026-10-18 : elle décrit la mesure des campagnes publicitaires avec Google Analytics pour Firebase dans l'application Android (nouveau destinataire : Google ; identifiant d'instance de l'application, événements, modèle du téléphone, pays ou région). Rien n'est envoyé avant ta réponse au formulaire de consentement de Google, et dans l'Espace économique européen, au Royaume-Uni et en Suisse la mesure ne fonctionne qu'avec ton consentement. Elle décrit aussi les bases légales et la durée de conservation de ces données chez Google (2 mois). Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-18 par rapport à la version 2026-10-16 : elle décrit l'enregistrement du fuseau horaire du téléphone et des unités choisies sur le compte (jusqu'à sa suppression) ; l'application les envoie avec chaque requête. Le fuseau horaire fixe désormais la journée du joueur aussi pour la limite quotidienne de coffres obtenus contre une publicité, les quêtes du jour, le défi hebdomadaire, la Piste de Bjørn et le coffre quotidien Trailborn+ (auparavant selon l'heure polonaise ou UTC), et les unités servent à indiquer les distances dans les messages du jeu en kilomètres ou en miles. Elle ajoute ces données au tableau des durées de conservation. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-16 par rapport à la version 2026-10-10 : elle décrit le jeu sans compte (une clé aléatoire sur le téléphone, chez nous seulement son empreinte à sens unique, un compteur de nouveaux comptes gardé au plus une heure dans la mémoire du serveur). Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-10 par rapport à la version 2026-10-06 : elle décrit les drapeaux avec message en mode Guerre des équipes (l'endroit exact d'un drapeau est visible par les autres joueurs une fois le drapeau approuvé par un modérateur ; le pseudo de son auteur et le message, seulement par la personne qui le trouve), la chaîne d'invitations et les messages envoyés aux personnes plus haut dans celle-ci, les jours gratuits et le cadeau Trailborn+ après un achat, le cadre doré ou le fond rouge du profil public selon les choix faits pour le cadeau Trailborn+ (ce qui révèle indirectement que le compte a déjà eu un abonnement payant), les points, le défi hebdomadaire et les expéditions, les nouvelles notifications push (au plus deux automatiques par jour, silence de nuit de 21 h 30 à 8 h 30 à l'heure du joueur, chaque type désactivable, sans nombre de pas ni distance dans le texte) avec les services qui les remettent (Google, Apple), le fuseau horaire du téléphone, le résumé matinal de la journée, le signalement du message d'un drapeau, ainsi que les requêtes de notre serveur à l'Overpass API. Elle ajoute les durées de conservation des drapeaux (180 jours après la clôture), des confirmations de récompenses publicitaires et du journal des notifications push (90 jours) ainsi que des résumés quotidiens avec le fuseau horaire (30 jours), et retire de la liste des destinataires l'ancien serveur du jeu, désormais arrêté. La modification ne nécessite pas de nouvelle acceptation — les acceptations antérieures restent valables.

Version 2026-10-06 par rapport à la version 2026-10-05 : taille et poids facultatifs dans le profil, conservés avec un consentement explicite pour calculer les calories brûlées en marchant, et total quotidien de ces calories. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-10-05 par rapport à la version 2026-09-30 : le diagnostic inclut l'état des autorisations et réglages dont le jeu a besoin (localisation, accès aux pas, compteur de pas du téléphone, notifications, consentement publicitaire). Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-09-30 par rapport à la version 2026-09-29 : elle décrit les invitations d'amis (y compris le hachage de l'adresse IP conservé 48 heures pour la page d'invitation), les notifications automatiques — au plus une par jour — et l'enregistrement d'un essai gratuit de Trailborn+. Ce changement ne nécessite pas de nouvelle acceptation : les acceptations antérieures restent valables.

Version 2026-09-29 par rapport à la version 2026-09-26 : les messages du chat d'équipe et du chat global sont conservés 48 heures au lieu de 24, et l'auteur peut supprimer son message pendant toute cette durée. Cela s'applique aux messages envoyés à partir du 29 septembre 2026 ; les messages antérieurs s'effacent au bout de 24 heures. Ce changement ne nécessite pas de nouvelle acceptation : l'acceptation de la version 2026-09-26 reste valable.

Version 2026-09-26 par rapport à la version 2026-08-29 : elle décrit la connexion avec Apple, les achats de Trailborn+ et de lots de coffres via Google Play et l'App Store, le chat global, les courses, le formulaire de consentement à la personnalisation de la publicité, le transfert des serveurs du jeu chez Contabo, les sauvegardes conservées 14 jours et le jeton publicitaire valable 60 minutes.