Politique de confidentialité

Le responsable du traitement est l'éditeur de Pace : Riad Mahi, entrepreneur individuel, 74 allée des Ifs, 73220 Aiton, France. Pour toute question sur cette politique ou sur vos données, écrivez à support@pacematch.app.

Cette politique couvre l'application iPhone Pace et ce site. Le site ne dépose aucun cookie, ne charge aucun outil de mesure et ne garde rien de votre visite.

Vous vous connectez de l'une de deux façons :

• Sign in with Apple. Pace ne demande à Apple que votre prénom, pour préremplir votre profil, jamais votre e-mail. Nous gardons l'identifiant de compte fourni par Apple ; votre téléphone garde un jeton qui permet à Pace de révoquer Sign in with Apple quand vous supprimez votre compte.
• E-mail et mot de passe. Votre e-mail et une empreinte de votre mot de passe sont gardés par notre service de connexion, pour vous connecter, confirmer votre adresse et réinitialiser votre mot de passe. L'e-mail ne figure nulle part ailleurs dans notre base, et ne sert à rien d'autre.

• Un prénom et un pseudo, visibles par les autres sur Pace.
• Un portrait, facultatif : une photo détourée sur votre téléphone. Les portraits sont dans un espace public : qui a l'adresse de l'image peut l'ouvrir.
• Une couleur (celle de votre terrain sur la carte), votre allure habituelle, et l'affichage ou non de votre badge d'abonné.
• Votre date de naissance, demandée une fois et jamais modifiable. Elle n'est montrée à personne ; vous seul pouvez la lire. Elle vérifie que vous avez 13 ans pour Pace et 18 ans pour Dating. En Dating, les autres voient un âge en années, jamais la date.
• Qui voit vos contenus : tout le monde, vos abonnés ou vos amis, au choix dans Réglages. Votre prénom, votre pseudo et votre portrait restent visibles des personnes connectées, sauf au travers d'un blocage.

Les photos sont ré-encodées sur votre téléphone avant l'envoi, sans leurs métadonnées : pas d'EXIF, pas de coordonnées GPS du fichier d'origine. Une photo posée sur la carte n'enregistre que le centre de sa cellule d'environ 110 m, jamais l'endroit de la prise de vue. Les photos de la carte sont stockées en privé et servies par des liens qui expirent, aux personnes que votre réglage autorise, jamais au travers d'un blocage.

Pace demande la localisation « lorsque l'app est active ». Pendant l'enregistrement d'une course, le suivi continue écran éteint pour que le tracé ne se coupe pas, et iOS affiche son indicateur bleu. Il s'arrête à la fin de la course. Pace ne demande jamais « toujours ».

• Le tracé de chaque course enregistrée, en points GPS précis avec leur heure. Vous seul pouvez le lire : nos règles de base de données refusent tous les autres, amis compris. Après 30 jours, il quitte la base pour une archive (Cloudflare R2), toujours lisible par vous seul depuis l'app, qui l'efface un an plus tard.
• Un résumé de course : date, durée, distance, temps intermédiaires, fuseau horaire et un quartier en toutes lettres. Vos amis, vos abonnés acceptés, ou tout le monde si votre profil est public, peuvent le voir ; jamais le parcours.
• Le terrain que vous prenez, en cellules d'environ 110 mètres. C'est tout ce qu'un inconnu peut voir, et sans nom : la carte publique donne à chaque cellule un jeton anonyme et stable, qui ne devient une personne que pour vous, vos amis et votre faction.
• Les lieux que vous choisissez de publier : le point de rendez-vous d'une sortie, d'un club ou d'un date. Ce sont des lieux publics que vous désignez.
• Les courses importées de Santé, si vous choisissez de les importer : elles sont envoyées comme toute course Pace, avec leur tracé, et suivent les mêmes règles.

Le partage en direct est éteint tant que vous ne l'allumez pas. Allumé, vous choisissez qui regarde : vos amis, ou votre faction. Personne d'autre, jamais, et jamais en Dating.

• Les 200 premiers et les 200 derniers mètres ne sont jamais montrés : votre téléphone les retire avant l'envoi. Comme l'arrivée est là où la course s'arrête, ce que voient vos amis vous suit 200 mètres en retard.
• Les positions en direct ne sont pas stockées. Elles passent en temps réel et disparaissent.
• Une session s'arrête d'elle-même dix minutes après que votre téléphone cesse d'envoyer, et au plus tard au bout de six heures. Couper le partage ou quitter votre faction l'arrête aussi.

Signal (« je pars courir, qui vient ? ») va aux amis que vous choisissez, avec une heure de départ, une distance facultative et un quartier en toutes lettres ; aucune position. Chaque ami voit le Signal et sa propre réponse ; vous voyez toutes les réponses. Il expire 30 minutes après le départ et est effacé un jour plus tard.

« J'y vais » dit à l'organisateur d'une sortie quand vous pensez arriver. C'est une heure, pas une position, vue seulement par l'organisateur et par vous.

« Bien rentré » est éteint tant que vous ne le demandez pas : après une course, vous choisissez les amis à prévenir. Quand vous indiquez être rentré, ils reçoivent une notification ; si vous oubliez, Pace vous le rappelle, à vous seul. Aucune position, les amis ne voient rien de plus que cette ligne, et c'est effacé au bout de deux jours.

• Les amitiés sont réciproques et passent par une demande acceptée. Les abonnements vont dans un seul sens, et demandent une acceptation pour un profil privé. Ni l'un ni l'autre ne donne jamais accès à une position, un tracé, une course en direct, un Signal, « J'y vais » ou « Bien rentré ».
• Les commentaires sont sous une photo, un lieu ou une course, et vus par qui peut voir ce qu'ils accompagnent. Ils passent un filtre de mots et de liens.
• Les notes de lieux : une à cinq étoiles et un court texte. On ne note un lieu que si l'on y est allé ; la preuve (une course passée tout près, une offre récupérée) est vérifiée, pas conservée.
• Les messages et leurs photos sont stockés sur nos serveurs pour parvenir à l'autre personne. Ils sont chiffrés pendant le transport, pas de bout en bout. Un inconnu ne peut écrire que de majeur à majeur, à un profil public ; avant 18 ans, seuls les amis peuvent écrire.
• Les Faces sont des stickers détourés d'un selfie, utilisés comme réactions. Le détourage se fait sur votre téléphone avec Vision d'Apple ; il n'y a aucune reconnaissance faciale, et rien n'est comparé entre personnes. Elles sont stockées en privé, vues par qui peut voir ce sur quoi elles sont collées, et notre équipe relit chacune après sa publication.
• Les clubs : nom, badge, description et point de rendez-vous sont publics ; les sorties, publications et membres d'un club fermé ne sont montrés qu'aux membres.

Dating est facultatif, éteint par défaut, et réservé aux majeurs : l'âge est vérifié sur le serveur à chaque action. Si vous l'utilisez, nous gardons votre profil Dating : votre genre, qui vous cherchez (des femmes, des hommes ou tout le monde), votre allure habituelle, vos créneaux, une courte phrase, et vos filtres de recherche (comme la tranche d'âge). Qui vous cherchez peut révéler votre orientation sexuelle ; vous le donnez en le choisissant. Vous pouvez mettre Dating en pause à tout moment dans l'app. Réglages → Supprimer mon profil Dating efface votre profil Dating et vos filtres, les likes envoyés et reçus, vos matchs avec leurs conversations (pour les deux personnes, comme quand l'un des comptes est supprimé) et vos propositions de course, et garde votre compte Pace ; les photos envoyées dans ces conversations sont retirées du stockage la nuit suivante. Supprimer votre compte efface aussi tout cela.

Votre zone est arrondie sur le serveur à une grille d'environ 555 mètres, et les autres n'en voient qu'un cercle d'environ 420 mètres, jamais un point. Quand vous cherchez qui court près de vous, votre position sert à la recherche et n'est pas conservée. Une proposition de course enregistre le nom et les coordonnées du lieu public de rendez-vous que vous choisissez.

• Santé (HealthKit), si vous l'autorisez : Pace lit vos entraînements de course, leur parcours et votre distance marchée et courue, et écrit les courses que vous faites avec Pace. Rien d'autre : ni fréquence cardiaque, ni poids, ni aucune autre donnée de santé. Ce que Pace lit reste sur votre téléphone, sauf un entraînement que vous choisissez d'importer. Aucune donnée de Santé ne sert à la publicité ou au marketing, ni n'est transmise à qui que ce soit.
• Contacts, si vous l'autorisez : Pace lit uniquement les noms, ni numéros ni e-mails, et les compare sur votre téléphone aux personnes que Pace peut vous suggérer. Rien de votre carnet n'est envoyé ni conservé.
• Calendrier : en écriture seule. Pace y ajoute les sorties auxquelles vous vous inscrivez et ne lit jamais ce qu'il contient.
• « À proximité » utilise le réseau local et la puce Ultra Wideband pour mesurer la distance jusqu'au téléphone de la personne en face de vous. Il n'annonce que votre prénom et un identifiant jetable, seulement pendant que cet écran est ouvert, par une liaison chiffrée. Rien ne passe par nos serveurs.

Si vous acceptez les notifications, nous gardons le jeton de notification qu'Apple donne à votre téléphone, avec la langue de celui-ci (français ou anglais), pour écrire chaque notification dans votre langue. Une notification porte le prénom de la personne dont elle parle. Vous choisissez par catégorie ce que vous recevez. Un jeton est supprimé à la déconnexion, quand Apple le déclare périmé, ou quand un autre compte se connecte sur ce téléphone.

Pace Duo et Pace+ sont des abonnements de l'App Store. Vous payez Apple : nous ne voyons jamais votre carte, votre adresse de facturation ni votre identifiant Apple. Apple nous informe de chaque achat, renouvellement, remboursement et résiliation ; nous gardons le produit, la transaction, son prix et ses dates, pour savoir si votre abonnement est actif.

Ces achats sont traités pour nous par RevenueCat (RevenueCat, Inc., États-Unis), qui vérifie les reçus, restaure les achats et prévient notre serveur de chaque événement. RevenueCat reçoit votre identifiant de compte Pace (comme « app user id », pour rattacher un achat à votre compte), votre historique d'achats sur l'App Store, et l'identifiant pour les fournisseurs (IDFV) que son SDK joint à ses requêtes, plus les données techniques de toute requête internet. Il ne reçoit ni votre nom, ni votre e-mail, ni votre position, ni rien d'autre de Pace, et jamais l'identifiant publicitaire.

Quand quelqu'un s'inscrit avec votre code, nous notons qui a amené qui, et si sa première vraie course a eu lieu, pour vous offrir à tous les deux une semaine de Pace+. Pour éviter les parrainages achetés, un parrainage attend la vérification d'une personne quand un code reçoit une rafale d'inscriptions en un jour, ou quand le téléphone du nouveau venu était déjà enregistré pour les notifications sous un autre compte.

Les cafés, boutiques et lieux partenaires portent toujours la mention « Sponsorisé ». Aucun partenaire ne reçoit jamais votre position, votre tracé ni votre identité, et les partenaires n'ont aucun accès à Pace. Pour chaque lieu, nous comptons par jour combien de fois il a été vu, touché, et son offre récupérée, sans nom. Pour ne compter chaque personne qu'une fois, nous gardons qui a vu ou récupéré quoi pendant un ou deux jours, puis nous l'effaçons.

• Les rapports de plantage et de performance, via MetricKit d'Apple : un plantage, un blocage, un lancement lent ou un usage lourd du disque ou du processeur, avec la version de l'app, la version d'iOS, le modèle d'appareil et la pile d'appels technique ; et un résumé quotidien du temps de lancement, des blocages, de la mémoire, du processeur et du temps de localisation en arrière-plan. Ils ne contiennent aucun identifiant de compte, aucun message, aucune position. Les rapports sont gardés 90 jours ; les résumés quotidiens sont ajoutés à la journée de la version dès leur arrivée.
• Le dernier jour où vous avez ouvert l'app : une ligne par compte, réécrite chaque jour, et si vous êtes revenu 1, 7 et 30 jours après votre inscription. Elle sert uniquement à compter combien de personnes utilisent Pace et y reviennent. Rien d'autre sur ce que vous faites dans l'app.
• Des totaux quotidiens de quelques moments de l'app, comme un écran d'abonnement affiché, une carte de course partagée, une invitation envoyée, ou une étape d'inscription terminée ou remise à plus tard : un compte par type et par jour, rien par personne.

Un signalement (motif, quelques lignes facultatives, ce qu'il vise) et ce que vous envoyez depuis « Nous écrire » (votre texte et la version de l'app) sont conservés pour être traités. Un signalement n'est lisible que par notre équipe : personne dans l'application ne peut le lire, pas même vous une fois envoyé, et la personne signalée n'apprend jamais qui l'a signalée. Un blocage n'est jamais annoncé.

Quand nous tranchons un signalement, la décision est conservée sur le compte : sa nature, son motif, le message qui vous est montré, sa durée, le membre de l'équipe qui a décidé, et votre contestation avec notre réponse. Chaque action de l'équipe dans le back-office est inscrite dans un journal.

Nos outils sont faits pour montrer à l'équipe le moins possible. Pour un message signalé, l'équipe voit ce message, pas la conversation. Une photo signalée s'ouvre par un lien valable cinq minutes. D'une personne signalée, l'équipe voit sa date d'inscription et combien de fois elle a été signalée ou bloquée ; jamais ses courses, ses positions ni ses tracés. Une fiche de compte montre des nombres, pas des lieux, et l'e-mail masqué. Les Faces sont relues par l'équipe après publication. Les quelques personnes qui font tourner Pace peuvent techniquement atteindre la base de données elle-même ; elles ne l'ouvrent que pour faire fonctionner le service ou répondre à une demande de votre part ou de la loi.

Pace n'existe pas encore sur Android. Si vous laissez votre e-mail dans le formulaire « Sur Android ? » de ce site, nous le gardons avec la langue de la page et l'endroit où vous l'avez laissé (l'accueil ou une invitation). Il sert à une seule chose : vous écrire quand Pace sera disponible sur Android. Il n'est lié à aucun compte, ni vendu ni partagé. Pour limiter les abus, votre adresse IP est gardée en mémoire dix minutes pour compter les essais, et jamais enregistrée.

Pour être retiré de la liste, écrivez à support@pacematch.app depuis cette adresse : nous la supprimons.

Pace s'appuie sur un petit nombre de prestataires. Ils agissent sur nos instructions et n'utilisent pas vos données pour eux-mêmes.

• Supabase (Supabase, Inc.) : la base de données, la connexion, le stockage des fichiers, le temps réel et les fonctions serveur. Le projet de Pace est hébergé dans l'Union européenne, dans la région AWS eu-west-1 (Irlande). Les e-mails de connexion (confirmation, nouveau mot de passe) partent par lui.
• Cloudflare R2 (Cloudflare, Inc.) : l'archive des tracés de plus de 30 jours, conservée selon les conditions de traitement des données de Cloudflare.
• Apple : Sign in with Apple, les notifications (APNs), les achats de l'App Store et leurs notifications.
• RevenueCat (RevenueCat, Inc., États-Unis) : traite pour nous les achats de l'App Store, comme décrit à la rubrique Achats.
• L'hébergeur du site : Vercel Inc. (États-Unis), qui sert pacematch.app depuis son réseau mondial. Il reçoit les données techniques de toute requête web (adresse IP, navigateur) pour servir ce site et le formulaire de la liste d'attente Android.

Vos données sont stockées dans l'Union européenne. Certains prestataires sont des sociétés américaines (Supabase, Cloudflare, RevenueCat) ou ont une maison mère américaine, et peuvent y accéder depuis les États-Unis, par exemple pour l'assistance ou la sécurité. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne prévues dans l'accord de traitement de chaque prestataire, ou sur le cadre de protection des données UE–États-Unis lorsque le prestataire y est certifié.

• Votre compte, profil, résumés de course, prises, amis, abonnements, messages, photos, commentaires, notes et profil Dating : tant que votre compte existe, sauf si vous les supprimez avant.
• Le tracé détaillé d'une course : 30 jours en base, puis il part dans l'archive, qui l'efface un an plus tard.
• L'historique des cellules prises et perdues : 12 mois.
• La boîte de notifications : 3 mois (effacés par mois entiers, donc jusqu'à 4).
• Les positions d'une course en direct : jamais stockées.
• Un Signal : effacé un jour après son expiration (il expire 30 minutes après son début).
• « Bien rentré » : 2 jours.
• « J'y vais » : le temps de votre place sur cette sortie.
• Les jetons de notification : jusqu'à votre déconnexion, jusqu'à ce qu'Apple les déclare périmés, qu'un autre compte se connecte sur ce téléphone, ou que vous supprimiez votre compte.
• Les signalements, sanctions, contestations et messages envoyés depuis « Nous écrire » : tant que les comptes concernés existent.
• Le journal des actions de l'équipe dans le back-office : conservé, comme trace de ce que l'équipe a fait et quand.
• Les rapports de plantage et de blocage : 90 jours. Les totaux quotidiens de performance : 400 jours. Les comptes quotidiens d'événements de l'app : 2 ans. Les autres totaux quotidiens et hebdomadaires ne contiennent l'identité de personne et sont conservés.
• Les traces anti-abus : un jour. La vérification par personne d'une offre partenaire : un ou deux jours.
• La liste d'attente Android : jusqu'à ce que vous demandiez le retrait de votre adresse. Rien ne l'efface automatiquement pour l'instant.

Depuis l'application : Réglages → Supprimer mon compte. Vous n'avez pas à nous écrire, et il n'y a pas de délai à subir.

L'application révoque d'abord Sign in with Apple, si vous l'utilisiez. Notre serveur efface ensuite vos fichiers — votre portrait, vos photos sur la carte, vos Faces et les photos envoyées en conversation — et seulement après le compte : si un fichier ne peut pas être effacé, le compte ne l'est pas non plus, et on ne vous dit jamais que tout est parti alors que des photos restent. Quand c'est nous qui supprimons un compte, à votre demande ou après une décision, il passe par la même étape serveur et efface exactement la même chose ; Sign in with Apple ne peut alors être révoqué que par vous, dans les réglages de votre compte Apple.

Cela efface tout ce qui s'y rattache : compte, date de naissance, profil, courses et leurs tracés en base, prises, amis, demandes, abonnements, blocages, conversations et messages (une conversation à deux ou de Dating part pour les deux personnes), commentaires et likes, notes, Faces, profil Dating, likes, matchs et propositions, appartenances et publications de clubs, sorties prévues, Signals, « Bien rentré », appareils, préférences, notifications, traces d'abonnement, parrainages, signalements faits par vous ou sur vous, sanctions et contestations, et ce que vous nous avez écrit depuis l'app. Le terrain que vous teniez est libéré immédiatement : le garder reviendrait à garder où vous couriez.

Ce qui ne part pas avec :

• Les tracés déjà archivés (courses de plus de 30 jours) ne sont accessibles qu'à nos serveurs et sont effacés par l'expiration à un an de l'archive, pas tout de suite.
• Les totaux sans identité (comptes quotidiens, rapports de plantage, comptes des partenaires) restent, puisque rien n'y ramène à vous.
• Le journal du back-office garde les actions de l'équipe sur votre compte, avec votre @pseudo, y compris la suppression si c'est nous qui l'avons faite.
• Un club que vous avez fondé continue, sans votre nom.
• Ce qu'iOS a écrit dans votre app Santé vous appartient et s'efface depuis Santé. Un abonnement en cours se résilie dans les réglages de votre compte Apple. RevenueCat et Apple gardent leurs propres traces d'achat, selon leurs propres règles.

Le RGPD vous permet de demander l'accès à vos données, leur rectification, leur effacement, leur portabilité, la limitation de leur traitement, et de vous y opposer ; vous pouvez retirer un consentement à tout moment et, en droit français, donner des directives sur le sort de vos données après votre décès. L'essentiel se fait vous-même dans l'application : modifier votre profil, oublier un appareil, couper une autorisation, télécharger vos données, supprimer votre profil Dating, supprimer votre compte.

Réglages → Télécharger mes données vous en donne une copie tout de suite, sous forme d'un fichier JSON à enregistrer ou partager depuis votre téléphone, une fois par jour ; c'est possible même quand votre compte est suspendu ou fermé. Il contient votre compte (e-mail, date de naissance), votre profil et vos réglages, vos courses avec leurs tracés (les tracés archivés compris, repris dans l'archive ; si l'un d'eux ne peut pas l'être, la course est listée et le fichier le dit), vos prises, amis, abonnements et blocages, les commentaires, notes et messages que vous avez écrits, votre profil Dating, vos filtres, likes envoyés, matchs et propositions de course, vos abonnements payants, parrainages, les signalements que vous avez faits, les décisions sur votre compte et vos contestations, vos appareils, et un lien vers chacune de vos photos et de vos Faces, valable 7 jours. Il ne contient jamais les messages, positions ou tracés de quelqu'un d'autre, qui vous a liké en Dating, qui vous a signalé, ni les notes internes de l'équipe.

Pour le reste, écrivez à support@pacematch.app depuis l'adresse de votre compte s'il en a une. Nous répondons sous un mois. Si vous nous demandez une copie, nous vous envoyons le même fichier, produit par la même étape serveur.

Sur quoi nous nous appuyons : le contrat entre nous pour le service que vous demandez (compte, courses, jeu, amis, messages, achats) ; votre consentement pour ce qui passe par une autorisation iOS (position, Santé, contacts, photos, calendrier, notifications, réseau local) et pour le « qui vous cherchez » de Dating ; et notre intérêt légitime à garder Pace sûr et en état de marche (modération, contrôles anti-fraude, rapports de plantage, totaux anonymes). Couper une autorisation dans les réglages d'iOS ne casse jamais Pace : l'app fait simplement moins.

Si notre réponse ne vous satisfait pas, vous pouvez saisir l'autorité de protection des données de votre pays ; en France, la CNIL (cnil.fr).

Pace n'est pas ouvert aux moins de 13 ans. Les comptes des moins de 18 ans commencent en privé : leurs courses, photos et publications ne sont vues que par leurs amis et les abonnés qu'ils acceptent, et seuls leurs amis peuvent leur écrire. Dating est réservé aux majeurs ; l'âge y est revérifié à chaque action, pas seulement à l'inscription, et la date de naissance ne peut pas être modifiée après coup, pour que Dating ne s'ouvre pas à quelqu'un qui aurait changé une année.

Nous la mettrons à jour ici et changerons la date en haut de page. Un changement qui toucherait réellement à ce que Pace fait de vos données sera annoncé dans l'application avant de s'appliquer.