Politique de confidentialité

Société

LA RUCHE SARL (société à responsabilité limitée au capital de 100 000 F CFP), RIDET 1 476 043, SIREN 993 161 900. Gérant : Loïc Harnisch

Siège

Lot 53, 4 rue Louis Moreau, Quartier Aérodrome, 98800 Nouméa, Nouvelle-Calédonie

Contact

par le formulaire de contact de La Ruche, par e-mail à contact@resku.help, ou par courrier à l’adresse du siège

4.1 Votre position

Quoi

La position de votre téléphone : latitude, longitude et précision en mètres. L’appli ne la demande pas à l’ouverture. Le téléphone vous demande l’autorisation seulement quand vous touchez « Autoriser » : sur la carte « Autorisez la position » de l’écran d’accueil, sur l’écran du témoin au retour de l’appel simulé (« Autoriser la position »), sur les écrans des défibrillateurs, dans l’ajout d’un défibrillateur ou sur l’itinéraire de la mission du secouriste. Rien n’est demandé entre « URGENCE » et l’appel. Une fois l’autorisation donnée, la position est lue dès que l’écran d’accueil s’affiche, donc en général dès l’ouverture de l’appli. Elle est ensuite mise à jour à chaque déplacement d’environ 5 m, tant que la carte ou la fiche d’un défibrillateur, l’étape « Emplacement » de l’ajout d’un défibrillateur ou l’itinéraire de la mission du secouriste est ouvert. Si le GPS ne répond pas en 10 secondes, l’appli prend la dernière position connue de votre téléphone.

En arrière-plan

L’appli ne demande pas l’accès à la position en arrière-plan. Dès qu’elle n’est plus au premier plan, par exemple quand vous passez à une autre appli, elle met en pause le suivi de votre position, sur iPhone comme sur Android. Une lecture déjà commencée au moment où vous quittez l’appli peut s’achever dans les secondes qui suivent (10 secondes au plus) ; ensuite, la position n’est plus lue tant que l’appli n’est pas à l’écran.

Pourquoi

Placer 8 défibrillateurs fictifs autour de vous (entre 180 m et 1,2 km), les classer du plus proche au plus éloigné, afficher leur distance et la direction à suivre, et vous situer sur la carte. Afficher aussi vos coordonnées (en degrés, minutes et secondes) et leur précision, sur l’écran d’accueil et sur les écrans du témoin, comme on les dicterait au 15. Guider aussi le secouriste de la démonstration vers le défibrillateur et vers la victime fictive (flèche à vol d’oiseau), et placer le repère d’un défibrillateur à ajouter.

Où

Uniquement sur votre téléphone, en mémoire vive (la mémoire de travail, qui s’efface quand l’appli s’arrête). L’appli ne l’écrit dans aucun fichier et ne l’envoie à personne.

Combien de temps

Tant que l’appli est ouverte. Elle disparaît quand l’appli s’arrête (fermée par vous ou par le téléphone).

Qui la reçoit

Personne. La Ruche ne la reçoit pas. Attention toutefois : quand vous ouvrez la carte des défibrillateurs ou l’ajout d’un défibrillateur, les images de carte demandées révèlent la zone affichée, donc à peu près où vous êtes (voir 4.5). Et une capture d’écran que vous partagez peut montrer vos coordonnées exactes (voir 4.6 et 4.8).

Si vous refusez

Sans position (pas encore autorisée, refusée ou introuvable), l’appli n’affiche pas vos coordonnées, et l’écran d’accueil (« Position nécessaire »), les écrans des défibrillateurs et l’itinéraire du secouriste n’affichent aucune distance ni flèche ; sauf si la position est introuvable, ils proposent « Autoriser ». Après un refus définitif, « Autoriser » ouvre les réglages du téléphone (sauf « Autoriser la position », sur l’écran du témoin, qui ne les ouvre jamais). Les défibrillateurs fictifs sont alors placés autour du centre de Nouméa : le massage guidé et l’alerte simulée du secouriste peuvent encore en donner la distance depuis ce point. « URGENCE », l’appel simulé et le reste de la démonstration fonctionnent.

Base légale

Votre accord, donné quand le téléphone vous demande l’autorisation. Vous pouvez le retirer à tout moment (voir section 11).

À savoir

Pour trouver votre position, votre téléphone peut s’aider des services de localisation d’Apple ou de Google (bornes Wi-Fi, antennes), selon ses réglages. Ce fonctionnement relève du système du téléphone, pas de Resku : voir les pages d’Apple et de Google. Le téléphone garde aussi, de son côté, sa dernière position connue. Sur Android, pour vérifier que la localisation est activée, l’appli interroge les services Google Play du téléphone s’ils sont présents : ce qu’ils en font relève de Google.

4.2 L’orientation du téléphone (boussole)

Quoi

La direction vers laquelle pointe votre téléphone par rapport au nord, lue pendant que la fiche d’un défibrillateur ou l’itinéraire de la mission du secouriste est ouvert. Sur iPhone, la bibliothèque de boussole démarre aussi la lecture des capteurs de mouvement dès le lancement de l’appli ; ces mesures ne servent qu’à calculer l’orientation de la flèche.

Pourquoi

Orienter la flèche qui vous guide vers un défibrillateur ou vers la victime fictive, et faire vibrer le téléphone quand elle pointe droit devant.

Où et combien de temps

Sur votre téléphone, en mémoire vive, pendant que l’appli tourne. Jamais enregistrée ni envoyée.

Qui la reçoit

Personne.

Base légale

Notre intérêt légitime à faire fonctionner la flèche de direction. L’intérêt légitime est un motif raisonnable, lié au service, qui ne doit pas l’emporter sur vos droits. Contrairement à la position, le téléphone ne demande pas d’autorisation pour la boussole ni pour les capteurs de mouvement. Ces mesures ne quittent pas votre téléphone.

4.3 L’alerte secouriste simulée (notification)

Quoi

Une notification au texte fixe, avec son et vibration : le titre « DÉMO · Alerte simulée » et un court texte d’exercice (type d’urgence, distance, source de l’alerte, mission, nombre d’autres secouristes sollicités), entièrement fictif. Elle ne contient ni adresse, ni position, ni donnée personnelle. Elle a un seul bouton, « Je ne peux pas », qui refuse l’alerte sans ouvrir l’appli. Pour accepter, on touche la notification, puis on continue sur le téléphone. Elle emporte aussi, sans l’afficher, une donnée technique : l’heure prévue de l’alerte et l’emplacement, sur le téléphone, du dossier où noter un refus (voir 4.10). Vous la déclenchez vous-même depuis le panneau Démo (« Simuler une alerte secouriste dans 10 s »), si « Disponible pour les alertes » est activé. « Disponible pour les alertes » n’est proposé qu’à un secouriste vérifié ; dans la démonstration, cette vérification est simulée (parcours « Devenir secouriste », ou réglage « Profil » du panneau Démo). Une seconde notification, « DÉMO · Alerte levée », sans bouton, annonce que le SAMU a levé l’alerte. Son texte est fixe et fictif lui aussi. Vous la déclenchez depuis le panneau Démo, pendant une alerte ouverte (« Simuler : le SAMU lève l’alerte dans 10 s »). Ce qui suit vaut pour les deux. Ce sont les seules notifications de l’appli : les messages « Touchez ici… » des écrans d’appel au 15 et au 17 et de l’écran Plans sont dessinés dans l’écran, ce ne sont pas des notifications.

Pourquoi

Essayer une alerte qui réveille le téléphone, comme le ferait la future version, la refuser d’un geste, y compris depuis une montre, et être prévenu quand l’alerte est levée.

Où

Sur votre téléphone. Elle est créée par le téléphone lui-même : ni le serveur de La Ruche, ni les services de notification à distance d’Apple ou de Google n’interviennent pour la créer. Sur iPhone, elle est de niveau « urgent » (Time Sensitive) : elle peut s’afficher malgré un mode Concentration. Sur Android, l’alerte s’affiche dans la catégorie « Alertes (démo) » : elle est réglée pour sonner au volume du réveil, une fois, même en mode vibreur, et pour passer le mode « Ne pas déranger » si les alarmes y sont permises (c’est le réglage par défaut du téléphone). La notification « Alerte levée » a sa propre catégorie, « Alerte levée (démo) », avec le son habituel des notifications. Les deux peuvent aussi apparaître sur l’écran verrouillé. Si une montre est jumelée au téléphone (Apple Watch, montre Wear OS), le système peut lui transmettre la notification. Elle s’affiche alors au poignet, texte et bouton compris, et votre réponse revient au téléphone. Ce relais relève du système du téléphone et de la montre, pas de Resku : voir les pages d’Apple et de Google. Sur Wear OS, quand la montre n’est pas reliée au téléphone en Bluetooth, il peut passer par la synchronisation dans le cloud de Google, qui stocke ces données sur ses serveurs. Pour l’éviter, désactivez Resku dans les réglages de notifications de la montre (voir section 11). Au poignet comme sur l’écran verrouillé, le texte, fictif, peut être lu par votre entourage.

Combien de temps

Jusqu’à son affichage, puis dans le centre de notifications (ou sur la montre) jusqu’à ce que vous la retiriez. Elle disparaît aussi quand vous touchez « Je ne peux pas », quand vous ouvrez l’alerte depuis l’accueil (« Voir l’alerte »), quand l’alerte est levée et quand vous simulez une nouvelle alerte. Les boutons « Annuler l’alerte simulée » et « Réinitialiser la démo » la retirent aussi, tout comme le fait d’éteindre « Disponible pour les alertes ». Lue ou effacée sur une Apple Watch, elle disparaît aussi de l’iPhone. La notification « Alerte levée » reste jusqu’à ce que vous la retiriez, ou jusqu’à une nouvelle alerte simulée, « Réinitialiser la démo » ou l’arrêt de « Disponible pour les alertes » ; programmée, elle est annulée si l’alerte se termine avant.

Qui la reçoit

Personne. Si une montre est jumelée, la notification peut s’y afficher (voir « Où »).

Base légale

Votre accord : c’est vous qui déclenchez l’alerte simulée. Sur iPhone et sur Android 13 ou plus récent, le téléphone vous demande en plus d’autoriser les notifications, quand vous touchez « Continuer » sur l’écran « Recevoir les alertes », qui explique d’abord leur usage (il est proposé après la vérification simulée du diplôme), quand vous activez « Disponible pour les alertes » ou quand vous simulez une alerte. Sur les versions plus anciennes d’Android, les notifications sont permises d’office : vous pouvez les couper dans les réglages (voir section 11). Si vous refusez, seules les notifications simulées (l’alerte et sa levée) ne s’affichent pas.

Réglages de la démo

L’interrupteur « Disponible pour les alertes », le statut de votre profil de secouriste fictif (témoin, en attente, non accepté, vérifié), le niveau et la date de diplôme choisis, l’heure prévue de l’alerte simulée et celle de sa levée, et l’alerte reçue (proposée 15 min sur l’accueil) restent en mémoire vive. Ils repartent à zéro à chaque lancement de l’appli. L’heure prévue de l’alerte accompagne aussi la notification programmée, sans être affichée. Si vous touchez « Je ne peux pas » sur la notification, elle est notée avec l’heure du refus, jusqu’à ce que l’appli le lise (voir 4.10).

4.4 Vos réponses dans la démonstration

Quoi

Pour vous guider, le parcours du témoin vous pose des questions sur l’état de la personne à secourir : répond-elle ? respire-t-elle normalement ? a-t-elle des convulsions ? que se passe-t-il (elle saigne beaucoup, s’étouffe, a mal à la poitrine…) ? Pendant le massage, vous pouvez aussi indiquer s’il s’agit d’un adulte, d’un enfant ou d’un bébé. D’autres écrans vous font choisir une réponse : le problème constaté sur un défibrillateur, ou votre avis sur une alerte simulée (fin du parcours du secouriste). Quand l’alerte simulée arrive, vous pouvez aussi répondre « Je ne peux pas », sur l’écran d’alerte ou directement sur la notification (écran verrouillé, montre). Dans « Devenir secouriste », vous choisissez aussi un niveau de secourisme et la date de votre diplôme, et vous cochez l’acceptation des engagements ; dans « Ajouter un défibrillateur », vous remplissez un formulaire simulé (repère sur la carte, nom du lieu, emplacement, horaires, et vos réponses sur l’accès, le code et le responsable).

Pourquoi

Afficher l’écran et les consignes qui correspondent à votre réponse.

Où et combien de temps

Sur votre téléphone, en mémoire vive. Vos réponses ne sont jamais envoyées. Elles ne sont pas enregistrées, à une exception près : « Je ne peux pas », touché sur la notification de l’alerte simulée, est noté dans un petit fichier du téléphone le temps que l’appli le lise (voir 4.10). Celles du parcours du témoin s’effacent quand l’appli s’arrête, à chaque nouvel appui sur « URGENCE » ou sur « Appeler le 15 » (guides de secours) et avec « Réinitialiser la démo ». Les autres restent en mémoire vive le temps de l’écran ou du formulaire qui les utilise : récapitulatif de l’ajout d’un défibrillateur, réponse au débriefing du secouriste (que vous pouvez changer, puis oubliée quand vous quittez l’écran). Le profil fictif, et les choix de « Devenir secouriste » pas encore envoyés, restent jusqu’à l’arrêt de l’appli, « Réinitialiser la démo » ou « Supprimer mon compte ». Le profil fictif, l’ajout d’un défibrillateur et le débriefing ne sont ni envoyés ni écrits sur le téléphone. Les champs à remplir sont pré-remplis avec des exemples : n’y écrivez aucune donnée personnelle.

Qui les reçoit

Personne. La Ruche ne les reçoit pas.

Base légale

Notre intérêt légitime à faire fonctionner la démonstration que vous utilisez.

Important

Testez avec un scénario inventé, jamais pour une personne réelle. En cas d’urgence réelle, appelez le 15.

4.5 La carte : images OpenStreetMap et adresse IP

Quoi

Le fond de la carte des défibrillateurs, et celui de l’étape « Emplacement » de l’ajout d’un défibrillateur, viennent d’OpenStreetMap, une carte libre. Pour les afficher, votre téléphone télécharge des tuiles (les petites images carrées qui composent la carte) sur les serveurs de la Fondation OpenStreetMap (OSMF). C’est le seul accès à Internet de l’appli elle-même ; le lien vers cette politique, lui, l’ouvre dans votre navigateur (voir 4.9). À chaque demande, l’OSMF reçoit :

• votre adresse IP (le numéro qui identifie votre connexion à Internet) ;
• l’identifiant de l’appli, flutter_map (nc.laruche.resku) ;
• les coordonnées des tuiles demandées, donc la zone affichée ;
• des informations techniques standard de connexion.

L’OSMF note aussi l’heure de la demande. Aucun cookie, aucun identifiant de votre téléphone ni de votre compte n’est envoyé.

Ce que cela révèle

Ces cartes s’ouvrent sur votre position (pour la carte des défibrillateurs, avec les défibrillateurs fictifs qui l’entourent). Sans position (pas encore autorisée, refusée ou introuvable), la carte des défibrillateurs ne s’affiche pas et ne demande aucune tuile, mais l’ajout d’un défibrillateur s’ouvre sur le centre de Nouméa. Les tuiles demandées indiquent donc à peu près où vous êtes : au premier affichage, une zone de quelques kilomètres pour la carte des défibrillateurs, mais de quelques centaines de mètres pour l’ajout d’un défibrillateur, qui s’ouvre au niveau de la rue ; plus précisément si vous zoomez. À Nouméa, une tuile mesure environ 1,1 km de côté à un zoom moyen, environ 280 m à l’ouverture de l’ajout d’un défibrillateur, et environ 70 m au zoom le plus fort.

Pourquoi

Afficher le fond de carte.

Où

Les tuiles sont servies par le réseau de diffusion de Fastly, un réseau mondial de serveurs relais utilisé par l’OSMF. Le serveur qui vous répond dépend de votre connexion et peut se trouver hors de Nouvelle-Calédonie (voir section 6). Sur votre téléphone, les tuiles sont gardées en cache (une copie locale, pour ne pas les télécharger à nouveau, comme l’exige OpenStreetMap).

Combien de temps

Chez l’OSMF : sa politique ne donne pas de durée pour les données des demandes de tuiles ; elle indique que les adresses IP et les journaux associés ne sont stockés que temporairement. L’OSMF peut aussi publier des données d’usage anonymisées et résumées. Sur votre téléphone : le cache peut atteindre 1 Go. Il est effacé à la désinstallation ; sur Android, aussi quand vous videz le cache de l’appli ; le téléphone peut aussi le vider s’il manque de place. Il n’est pas inclus dans les sauvegardes du téléphone.

Qui la reçoit

La Fondation OpenStreetMap, qui traite ces données pour son propre compte et selon sa politique de confidentialité (elle n’agit pas pour le compte de La Ruche), et son prestataire Fastly. La Ruche ne reçoit rien.

Base légale

Notre intérêt légitime : afficher la carte que vous ouvrez, avec un fond de carte libre. L’OSMF invoque elle aussi son intérêt légitime. Pour éviter tout envoi, n’ouvrez ni la carte ni l’ajout d’un défibrillateur : la liste des défibrillateurs fonctionne sans Internet. Les plans des écrans du secouriste sont dessinés : ils ne demandent rien à OpenStreetMap.

4.6 Données de test transmises par Apple (TestFlight, sur iPhone)

D’où elles viennent

De vous d’abord : si nous vous invitons par e-mail, vous nous donnez vos nom, prénom et adresse e-mail, que nous saisissons dans App Store Connect. Puis d’Apple, par l’app TestFlight. Ces données sont transmises automatiquement : vous ne pouvez pas les désactiver, sauf en quittant le test.

Quoi

• si nous vous avons invité par e-mail : vos nom, prénom et adresse e-mail, tels que nous les avons saisis. Si vous avez rejoint le test par un lien public, Apple ne nous les transmet pas ;
• le type et l’état de votre invitation (invité, acceptée, installée), le nombre d’installations, les versions installées ;
• le modèle de votre appareil et un identifiant d’appareil, la version du système, la langue ;
• le nombre de sessions et de plantages, et les rapports de plantage (description technique de l’erreur).

Si vous envoyez un retour depuis TestFlight (commentaire, capture d’écran ou plantage), Apple nous transmet aussi :

• votre commentaire et vos captures d’écran ;
• votre opérateur, votre fuseau horaire et le type de connexion (Wi-Fi, réseau mobile ou aucune) ;
• le type de processeur, la résolution de l’écran, l’espace disque libre et le niveau de batterie ;
• depuis combien de temps l’appli était ouverte.

Attention aux captures

Une capture d’écran peut montrer vos coordonnées GPS exactes (écran d’accueil, écrans du témoin), la carte autour de vous, des distances, ou ce que vous avez écrit dans l’ajout d’un défibrillateur. Vérifiez-la avant de l’envoyer.

Pourquoi

Vous inviter au test, suivre les installations, comprendre les plantages et améliorer l’appli.

Où

Chez Apple, puis dans App Store Connect, l’outil d’Apple où La Ruche les consulte. Apple peut aussi utiliser votre adresse IP pour estimer approximativement où vous êtes, afin de vérifier que l’app peut vous être proposée.

Combien de temps

Chez Apple : les retours sont gardés un an ; les rapports de plantage et les données d’usage peuvent l’être jusqu’à la résolution des bugs. Chez La Ruche : vos nom, prénom et adresse restent sur la liste des testeurs pendant le test, puis sont supprimés au plus tard 3 mois après la fin du test, ou plus tôt si vous le demandez. Nous ne copions ces données hors d’App Store Connect que pour corriger un bug précis, et nous supprimons ces copies une fois le bug corrigé.

Qui les reçoit

Apple, puis La Ruche. Apple interdit aux éditeurs de partager ces données avec des tiers. Apple les traite aussi pour son propre compte, selon sa notice TestFlight et sa politique de confidentialité.

Base légale

Notre intérêt légitime à tester l’appli avec des volontaires et à corriger ses défauts.

4.7 Données de test chez Google (Google Play, sur Android)

D’où elles viennent

De vous (l’adresse de votre compte Google, que vous nous communiquez pour participer), puis de Google Play.

Quoi

L’adresse e-mail de votre compte Google, que La Ruche inscrit sur la liste des testeurs (100 personnes au plus). Google Play nous fournit ensuite des statistiques et des rapports techniques de plantage et de blocage. Ces rapports ne proviennent que des téléphones dont l’utilisateur a accepté de partager automatiquement ses données d’utilisation et de diagnostic avec Google, et beaucoup sont regroupés ou agrégés. Pour ce test interne, nous recueillons vos retours par e-mail (voir 4.8).

Pourquoi

Vous donner accès à la version de test et suivre sa qualité technique.

Où

Chez Google, puis dans la Play Console, l’outil de Google où La Ruche les consulte.

Combien de temps

Chez Google : selon sa politique de confidentialité. Chez La Ruche : votre adresse reste sur la liste des testeurs pendant le test, puis elle est supprimée au plus tard 3 mois après la fin du test, ou plus tôt si vous le demandez. Nous ne copions les rapports hors de la Play Console que pour corriger un bug précis, et nous supprimons ces copies une fois le bug corrigé.

Qui les reçoit

Google, puis La Ruche.

Base légale

Notre intérêt légitime à organiser le test auquel vous avez demandé à participer.

4.8 Vos retours et vos e-mails

Quoi

Ce que vous nous écrivez à l’adresse indiquée en section 13, ou à l’adresse de retour indiquée dans TestFlight ou Google Play : votre adresse e-mail, votre nom s’il apparaît, votre message et vos pièces jointes. Une capture d’écran peut montrer vos coordonnées exactes ou le lieu où vous êtes : vérifiez-la avant de l’envoyer. L’appli n’envoie aucun e-mail : vous écrivez depuis votre propre messagerie.

Pourquoi

Lire vos remarques, vous répondre et améliorer l’appli.

Où

Dans la messagerie de La Ruche, sur un serveur loué à Amazon Web Services (AWS) en Australie, dans la région de Sydney.

Combien de temps

12 mois au plus après leur réception, puis ils sont supprimés. Plus tôt si vous le demandez. Les sauvegardes de sécurité du serveur, qui peuvent en contenir une copie, sont conservées au plus 5 semaines : une copie peut donc subsister jusqu’à 5 semaines après la suppression.

Qui les reçoit

La Ruche seulement. AWS héberge le serveur pour le compte de La Ruche : c’est un sous-traitant, qui agit sur nos instructions.

Base légale

Notre intérêt légitime à répondre à vos messages et à améliorer l’appli.

4.9 La consultation du site resku.help

Quoi

Quand vous consultez le site resku.help (cette page, par exemple, ouverte depuis l’appli), le serveur de La Ruche enregistre dans ses journaux techniques, pour chaque page demandée :

• votre adresse IP ;
• la page demandée ;
• la date et l’heure de la demande ;
• le navigateur utilisé, tel qu’il se présente au serveur (nom, version, système de l’appareil) ;
• des informations techniques standard : la réponse du serveur, la taille de la page envoyée et, si vous arrivez par un lien d’un autre site, l’adresse de ce site.

Ce que le site ne fait pas

Pas de cookie, pas de mesure d’audience, pas de ressource externe : les pages ne chargent rien depuis un autre site (ni police, ni script, ni image).

Pourquoi

La sécurité et le bon fonctionnement du site : repérer une erreur, une panne ou une tentative d’attaque.

Où

Sur le serveur de La Ruche, loué à Amazon Web Services (AWS) en Australie, dans la région de Sydney. C’est le même serveur que pour la messagerie (4.8), avec le même transfert vers l’Australie et la même garantie, en cours d’examen juridique : voir section 6.

Combien de temps

30 jours au plus, puis les journaux sont supprimés. Les sauvegardes de sécurité du serveur, qui peuvent contenir ces journaux, sont conservées au plus 5 semaines : une ligne de journal peut donc subsister environ 2 mois au total.

Qui les reçoit

La Ruche seulement. AWS héberge le serveur pour le compte de La Ruche : c’est un sous-traitant, qui agit sur nos instructions.

Base légale

Notre intérêt légitime à protéger le site et à le faire fonctionner.

4.10 Fichiers techniques et journaux sur le téléphone

Quoi

• Préférences du module de notifications : quelques réglages techniques, sans donnée personnelle, réécrits à chaque lancement : deux numéros qui désignent la partie de l’appli lancée en arrière-plan quand vous touchez « Je ne peux pas » ; sur Android, le nom de l’icône, la liste des notifications programmées et les deux catégories de notifications de l’appli, « Alertes (démo) » et « Alerte levée (démo) », que le système conserve (celle des versions de test précédentes est supprimée) ; sur iPhone, les options d’affichage des notifications et la liste, vide, des boutons qui ouvrent l’appli. Sur iPhone, l’appli déclare aussi au système, à chaque lancement, ses deux types de notifications : l’alerte, avec son bouton « Je ne peux pas », et la levée, sans bouton.
• Refus en attente : si vous touchez « Je ne peux pas » sur la notification de l’alerte simulée (écran verrouillé, montre), l’appli ne s’ouvre pas. Le refus est noté dans un petit fichier : l’heure prévue de l’alerte et l’heure du refus, rien d’autre (ni position, ni identité, ni identifiant de l’appareil). L’appli le lit pour en tenir compte, puis le supprime : tout de suite si elle tourne, sinon à votre retour dans l’appli ou à son lancement suivant. Une nouvelle alerte simulée, « Réinitialiser la démo » et l’arrêt de « Disponible pour les alertes » l’effacent aussi. Si vous ne rouvrez jamais l’appli, il reste jusqu’à la désinstallation. Son dossier est créé, vide, à chaque lancement.
• Cache de la carte : voir 4.5. Il révèle les zones consultées à qui accède à votre téléphone.
• Son du métronome : l’appli copie son propre fichier son dans le dossier temporaire du téléphone pour le jouer. Aucune donnée personnelle.
• Journaux techniques : en cas d’erreur (position introuvable, notification impossible…), l’appli écrit un court message dans le journal du système du téléphone. Aucune coordonnée n’y figure. L’appli ne l’envoie pas ; il n’est lisible qu’avec un ordinateur relié au téléphone et s’efface selon les règles du système.
• Numéro de version de l’appli : lu pour l’afficher dans « À propos ».

Pourquoi

Faire fonctionner les notifications, retrouver dans l’appli un refus donné depuis la notification, ne pas télécharger à nouveau les tuiles déjà reçues (OpenStreetMap l’exige), jouer le son du massage guidé et garder une trace des erreurs.

Où et combien de temps

Sur votre téléphone, jusqu’à la désinstallation ou l’effacement des données de l’appli ; le téléphone peut effacer à tout moment le dossier temporaire. Le refus en attente est supprimé dès que l’appli l’a lu. Si la sauvegarde de votre téléphone est activée, les préférences du module de notifications peuvent y être incluses (sauvegarde Google sur Android, iCloud ou ordinateur sur iPhone). Le cache de la carte, le dossier temporaire et le refus en attente n’y sont pas inclus.

Qui les reçoit

Personne, sauf la copie éventuelle dans la sauvegarde de votre téléphone, gérée par Apple ou Google.

Base légale

Notre intérêt légitime à faire fonctionner l’appli ; pour le cache de la carte, la même qu’en 4.5.

4.11 Les autorisations demandées

• Position, uniquement pendant l’utilisation de l’appli : l’appli ne demande pas l’accès en arrière-plan (voir 4.1). Demandée seulement quand vous touchez « Autoriser », jamais à l’ouverture. Sert à placer les défibrillateurs fictifs autour de vous, à afficher vos coordonnées, à guider le secouriste de la démonstration (itinéraire) et à placer le repère d’un défibrillateur à ajouter. Si vous refusez : ni coordonnées, ni distances sur l’écran d’accueil, les écrans des défibrillateurs et l’itinéraire du secouriste ; après un refus définitif, « Autoriser » ouvre les réglages du téléphone.
• Notifications. Servent à afficher l’alerte simulée et sa levée. L’appli explique leur usage avant la fenêtre du téléphone (écran « Recevoir les alertes ») ; après un refus, son bouton « Ouvrir les réglages » ouvre les réglages du téléphone. Sur Android 12 ou plus ancien, elles sont permises d’office. Si vous refusez ou les coupez : l’alerte simulée et sa levée ne s’affichent pas, le reste fonctionne.
• Vibration et accès à Internet (Android, accordés sans question) : faire vibrer le téléphone (alerte simulée, rythme du massage, flèche vers le défibrillateur ou vers la victime) et télécharger les tuiles des cartes.

L’appli ne demande pas d’accès à l’appareil photo, au micro, aux contacts, aux photos, aux appels ni aux SMS, ni à la position en arrière-plan. « Prendre la photo », « Choisir dans mes photos » et « Toucher pour photographier » sont simulés : ils montrent une image d’exemple.

Fondation OpenStreetMap (OSMF) et Fastly : tuiles de la carte

Qui

OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Royaume-Uni (société n° 05912761). Contact : privacy@osmfoundation.org. Elle traite les données pour son propre compte. Son prestataire Fastly, Inc. (États-Unis) exploite le réseau de serveurs relais qui distribue les tuiles.

Où

Les tuiles passent par le réseau mondial de Fastly. Les autres données personnelles de l’OSMF sont stockées au Royaume-Uni et aux Pays-Bas, avec des sauvegardes dans l’Union européenne.

Garanties

Le Royaume-Uni bénéficie d’une décision d’adéquation, renouvelée le 19 décembre 2025. Les Pays-Bas et l’Union européenne appliquent le RGPD. Fastly figure sur la liste du Data Privacy Framework, le cadre qui reconnaît une protection adéquate aux entreprises américaines certifiées (liste consultée le 19 octobre 2026). Le serveur relais qui vous répond peut toutefois se trouver dans un pays sans décision d’adéquation.

Pour en savoir plus

Politique de confidentialité de l’OSMF · politique de Fastly

Apple : TestFlight

Rôle

Distribue la version de test sur iPhone et nous transmet les données décrites en 4.6. Apple les traite aussi pour son propre compte.

Où

Selon la politique d’Apple, les données personnelles qu’Apple collecte dans le monde sont en général stockées par Apple Inc. aux États-Unis.

Garanties

Apple Inc. ne figure pas sur la liste du Data Privacy Framework (liste consultée le 19 octobre 2026) : aucune décision d’adéquation ne couvre donc ce transfert. La garantie qui encadre ce transfert est en cours d’examen juridique : cette politique sera mise à jour après cet examen (voir section 12). D’ici là, vous pouvez nous interroger à ce sujet (section 13).

Pour en savoir plus

TestFlight et confidentialité · politique de confidentialité d’Apple

Google : Google Play

Rôle

Distribue la version de test sur Android et nous transmet les données décrites en 4.7. Google les traite aussi pour son propre compte.

Garanties

Google LLC, entreprise américaine, figure sur la liste du Data Privacy Framework (liste consultée le 19 octobre 2026).

Pour en savoir plus

Règles de confidentialité de Google

Amazon Web Services (AWS) : messagerie de La Ruche et site resku.help

Rôle

Amazon Web Services, Inc. (Seattle, États-Unis), l’entité qui facture La Ruche, lui loue le serveur qui héberge sa messagerie, donc vos e-mails et vos retours (4.8), ainsi que le site resku.help et ses journaux techniques (4.9). AWS agit pour le compte de La Ruche (sous-traitant).

Où

En Australie, dans la région de Sydney. Dans son avenant sur la protection des données, AWS s’engage à ne pas déplacer les données hors de cette région, sauf si c’est nécessaire au service demandé ou exigé par la loi.

Garanties

L’Australie ne bénéficie pas d’une décision d’adéquation. La garantie qui encadre ce transfert est en cours d’examen juridique : cette politique sera mise à jour après cet examen (voir section 12). D’ici là, vous pouvez nous interroger à ce sujet (section 13).

Pour en savoir plus

Avenant d’AWS sur la protection des données (en anglais) · politique de confidentialité d’AWS