Confidentialité

En bref

Adopt a Plant est géré par une seule personne, pas par une entreprise dotée d’un service dédié aux données. Cette application ne contient aucun outil de statistiques, aucune publicité, aucun rapport de plantage et aucun code de pistage d’aucune sorte. Rien de ce qui vous concerne n’est vendu ni transmis à qui que ce soit à des fins marketing, car il n’y a ici personne à qui le vendre.

Une adresse e-mail pour vous connecter : c’est la seule chose que nous vous demandons. Un nom affiché, pour que les gens sachent à qui ils parlent, est créé pour vous à partir de cette adresse, et vous pouvez le modifier à votre guise. Un lieu, pour que les plantes trouvent quelqu’un à proximité, est facultatif. Votre position exacte n’est jamais publiée. Une adresse postale n’est vue que par la seule personne qui vous envoie une plante.

Le reste de cette page entre dans le détail : ce qui est stocké, où cela se trouve, qui d’autre y a accès, et ce que vous pouvez nous demander d’en faire.

Qui est responsable

Adopt a Plant est exploité par dev24, Pepermuntstraat 12, Utrecht, Pays-Bas. Au sens du RGPD, dev24 est donc le responsable du traitement des données personnelles décrites ici.

Pour toute question sur cette page, écrivez à hello@adoptaplant.eu. Une vraie personne vous lira.

Ce que nous conservons à votre sujet

Votre adresse e-mail. Elle vous permet de vous connecter et nous permet de vous informer des demandes, des messages et des envois. Nous ne stockons jamais de mot de passe, car il n’y en a pas : un seul e-mail vous apporte un lien de connexion à usage unique et un code à six chiffres, et tous deux ne sont conservés que sous forme de hachage, accompagnés du nombre de tentatives erronées pour le code. En plus de l’adresse telle que vous l’avez saisie, nous en conservons une version normalisée qui sert d’identifiant, en minuscules et sans espaces au début ni à la fin, et pour une adresse gmail également sans les points ni ce qui suit un signe plus, car toutes ces graphies aboutissent dans la même boîte aux lettres et devenaient discrètement des comptes distincts.

Votre profil : un nom affiché et, si vous le souhaitez, une courte bio et une photo de profil. Les autres membres les voient, ainsi que la localité que vous avez indiquée, la note et le nombre d’avis que d’autres membres vous ont laissés, le jour de votre inscription et la date de votre dernière visite. Personne n’est invité à inventer un nom à l’inscription : le premier est donc tiré de la partie de votre adresse e-mail située avant l’arobase, si bien qu’une adresse commençant par « marie.dupont » donne d’abord le nom « marie dupont ». Modifiez-le dans vos paramètres quand vous le souhaitez. L’adresse elle-même n’est jamais montrée à un autre membre. Les autres membres voient aussi le nombre de plantes auxquelles vous avez trouvé un nouveau foyer, compté une par adoption confirmée par la personne qui a reçu la plante.

Votre position, en double, plus le nom du lieu. Le point exact que vous définissez est conservé en privé et n’est jamais montré à personne d’autre. Nous en dérivons un second point, décalé d’un kilomètre au maximum, et ce point décalé est le seul qui parvienne à la carte, à l’API ou à un moteur de recherche. La localité qui l’accompagne, votre ville ou votre quartier, est stockée en texte brut, et ce texte est affiché sur votre profil et sur vos annonces.

Vos annonces : titre, description, espèce, quantité, forme, modes de remise, infos d’envoi, ce que vous aimeriez en échange, et les photos que vous importez.

Une annonce comporte aussi un compteur de vues. Il compte les consultations de la page de cette annonce et rien d’autre. Ce n’est pas une mesure de l’intérêt ni un nombre de personnes qui attendent la plante : le même visiteur qui revient demain en ajoute une, et une vue ne dit rien de ce que la personne voulait de ce qu’elle a regardé. Certaines visites ne sont jamais comptées. Les vôtres sur votre propre annonce ne le sont pas, tant que vous êtes connecté ; déconnecté, dans une fenêtre privée ou sur un appareil depuis lequel vous ne vous êtes jamais connecté, il n’y a rien pour vous reconnaître et la visite compte comme une autre. Ne comptent pas non plus celles que nous faisons nous-mêmes : le compte d’administration, les comptes qui existent pour qu’Apple puisse examiner l’application, les robots et les aperçus de liens qui récupèrent une page pour un moteur de recherche ou une messagerie, et la vérification automatique qui ouvre une annonce après chaque mise en production.

Ce que ce comptage vous coûte en vie privée : rien d’une visite n’est écrit dans la base de données, et le compteur ne conserve aucune adresse. Pour distinguer un visiteur d’un autre pendant une seule journée, le programme en cours garde une empreinte dans sa propre mémoire, calculée à partir d’un nombre aléatoire jeté et refabriqué chaque minuit, avec l’identifiant de votre compte ou, quand vous n’êtes pas connecté, votre adresse réseau. Ni l’un ni l’autre ne peut être retrouvé à partir de l’empreinte, rien de tout cela n’est écrit sur le disque, et un redémarrage du serveur perd les empreintes de la journée. Un visiteur compte donc environ une fois par jour sur une annonce plutôt qu’exactement une fois. Les journaux ordinaires du serveur web, plus bas dans cette liste, sont autre chose, et ne sont pas ce que le compteur regarde.

Les messages échangés entre vous et un autre membre, y compris les photos que vous y joignez.

Les données d’adoption : qui a donné quoi à qui, quand la plante a été demandée, acceptée, envoyée, récupérée ou l’adoption terminée, tout numéro de suivi saisi, ainsi que les avis et les notes que vous vous laissez ensuite.

Une adresse de livraison, mais uniquement pour les adoptions par la poste, uniquement après acceptation par le donneur, et lisible seulement par vous deux : nom, rue, code postal, ville, région, pays et un numéro de téléphone facultatif. Les adoptions en main propre n’enregistrent aucune adresse, ni lieu ni heure de rendez-vous. Cette partie reste dans votre conversation.

Les favoris que vous enregistrez, et les signalements que vous nous envoyez au sujet d’une annonce, d’un message ou d’un membre. Un signalement enregistre ce que vous avez signalé et pourquoi. Quand il porte sur un message, l’administrateur qui le traite voit le début de ce message.

Les données de modération. Chaque décision prise par un modérateur est consignée au moment où elle est prise : qui l’a prise, en quoi elle consistait, quel compte, quelle annonce ou quel signalement elle concernait, quand, et le motif saisi par le modérateur. Ce motif est écrit par une personne au sujet d’une autre ; il peut donc vous nommer et décrire ce que vous avez fait. Il n’est jamais montré à un autre membre.

Ce que voit une administration. Pour garder le lieu sûr, une administration peut parcourir chaque compte. Pour chacun, cela affiche le nom affiché, l’adresse e-mail, le pays, le jour de l’inscription, le nombre d’annonces, le nombre de signalements le concernant qui sont ouverts ou ont donné lieu à une mesure, et s’il est banni ou supprimé. Cela n’affiche ni votre position exacte, ni une adresse de livraison, ni vos conversations avec d’autres membres. Si une administration doit vous joindre, elle vous écrit dans la messagerie de l’application elle-même, depuis un compte marqué équipe Adopt a Plant, et vous pouvez y répondre, signaler ou bloquer comme dans n’importe quelle autre conversation.

Les personnes que vous bloquez. Un blocage enregistre qui a bloqué qui et quand, afin que vous ne vous voyiez plus et ne puissiez plus vous écrire. Votre propre liste se trouve dans vos paramètres, et vous pouvez y annuler un blocage.

Les notifications que l’application vous affiche : ce qui s’est passé, de quel membre cela provient et, pour un nouveau message, un court aperçu de celui-ci. Elles sont conservées pour que la liste soit toujours là à votre retour.

Les traces techniques inhérentes au fonctionnement d’un site web : un enregistrement par session connectée (un hachage du jeton de session, le navigateur ou l’application depuis lequel elle a été ouverte, et des horodatages), l’adresse IP associée à une demande de lien de connexion, et les journaux d’accès habituels du serveur web. Si vous utilisez l’application iOS ou Android et autorisez les notifications, également un jeton push pour cet appareil.

Ce que nous ne faisons pas

Pas de statistiques, pas de publicité, pas de rapports de plantage ni de performances, pas de pixels de suivi, pas de cookies tiers, pas d’empreinte numérique, pas de profilage, aucune décision automatisée vous concernant.

Le site web dépose quatre cookies, et chacun remplit une fonction que vous avez demandée. aap_session maintient votre connexion, et ne peut être lu que par le serveur, jamais par les scripts de la page. aap_locale retient si vous lisez en anglais ou en néerlandais. aap_browse_country retient le pays que vous parcouriez, pour qu’un visiteur sans compte n’ait pas à le choisir de nouveau à chaque visite. aap_scheme retient si cet appareil s’est affiché en mode clair ou sombre, pour que la première page générée par le serveur ne soit pas la mauvaise. Aucun des quatre ne vous suit ailleurs, et c’est pourquoi il n’y a pas de bandeau de cookies à fermer. Votre navigateur conserve aussi votre langue, votre préférence pour le mode clair ou sombre et les cartes que vous avez fermées sur la page Explorer, par exemple une carte de l’équipe, dans son propre stockage sur votre appareil, et l’application mobile conserve son jeton de session dans son propre espace de stockage sur l’appareil.

Nous ne détenons aucun mot de passe, aucune donnée de paiement et aucun document d’identité, car l’application ne vous en demande jamais.

Comment votre position est protégée

Lorsque vous définissez un lieu, nous enregistrons votre point exact et calculons immédiatement un point flouté. Le décalage est aléatoire dans un cercle d’un kilomètre de rayon au maximum, et il est dérivé de l’identifiant de votre compte, ou de celui de l’annonce pour une annonce, si bien qu’il donne le même résultat à chaque fois. Ce dernier point compte : un marqueur qui sauterait à un nouvel endroit à chaque chargement de page pourrait être moyenné jusqu’à retrouver votre porte d’entrée. Le vôtre reste là où il est tombé.

La recherche, le tri par distance et tout ce qui est affiché sur la carte utilisent le point flouté. Votre point exact reste sur le serveur, où il sert à garder votre propre repère là où vous l’avez placé et à calculer le point flouté.

Le lieu est facultatif. Vous pouvez le laisser vide, le placer à la main au coin de votre rue plutôt que devant votre porte, ou l’effacer plus tard dans vos paramètres.

Il existe aussi un bouton « utiliser ma position », dans le sélecteur de lieu et sur la carte d’exploration, et c’est la seule chose dans l’application qui lit le capteur de position de votre appareil. Votre navigateur ou votre téléphone vous demande l’autorisation avant de répondre. Si vous n’appuyez jamais dessus, l’application ne demande jamais à votre appareil où vous êtes. Si vous appuyez dessus, la mesure sert à trois choses : trouver le nom du lieu où vous vous trouvez, centrer la carte, et trier les annonces selon leur distance. Cette dernière place les coordonnées dans l’adresse de la page, si bien qu’elles parviennent à notre serveur et figurent dans son journal d’accès. Elles ne sont pas enregistrées dans votre compte : ce qui est sauvegardé comme votre lieu, c’est l’endroit que vous confirmez ensuite, et il est flouté comme n’importe quel autre.

Les photos sont redimensionnées et réencodées sur votre propre appareil avant d’être importées, ce qui supprime ce que l’appareil photo a inscrit dans le fichier, y compris toute balise GPS. L’image arrive ici sans elle. Sur un téléphone, l’application ne demande l’accès à l’appareil photo ou à votre photothèque qu’au moment où vous ajoutez une photo, et elle ne reçoit que l’image que vous avez choisie.

Où se trouvent vos données

Tout ce qui contient vos données tourne sur un seul petit ordinateur, au domicile du mainteneur, aux Pays-Bas : la base de données, l’API, le site web et toutes les photos importées. Devant lui se trouve une machine virtuelle louée à Amsterdam, dont le seul rôle est de terminer la connexion HTTPS venant de votre navigateur et de la transmettre, par une liaison privée chiffrée, à cet ordinateur. Pas de réseau de diffusion de contenu, pas de proxy tiers, et personne en dehors du projet ne déchiffre votre trafic en chemin. Le revers mérite d’être dit clairement : vos données ne sont pas réparties dans les centres de données d’un fournisseur cloud, mais elles se trouvent sur du matériel installé dans un domicile plutôt que dans un bâtiment avec gardiens et groupes électrogènes.

C’est un choix délibéré, et il nous a fait renoncer à la solution de facilité. Le premier projet était de placer Cloudflare devant le site : gratuit, et mis en place en un après-midi. Il a été abandonné une fois le flux de données mis par écrit, car un tunnel ou un CDN déchiffre le trafic au passage, ce qui aurait donné à une entreprise située hors de l’UE le texte lisible des messages, des adresses e-mail et des adresses postales de tout le monde. Ici, personne au milieu ne peut lire votre trafic, car il n’y a personne au milieu.

Une sauvegarde de la base de données est réalisée chaque nuit sur la même machine, et les copies de plus de quatorze jours sont supprimées.

Les quelques services extérieurs

E-mail. Notre prestataire d’e-mails transactionnels, Brevo, établi en France, distribue les liens de connexion et les e-mails de notification. Il voit votre adresse e-mail et le contenu de ces e-mails, qui peuvent inclure un titre d’annonce, le nom affiché de l’autre personne, le message envoyé avec une demande ou un numéro de suivi. Si nous suspendons votre compte, l’avis qui vous en explique la raison passe par le même chemin, avec le motif du modérateur. Les adresses postales ne figurent jamais dans un e-mail.

Tuiles de carte. La carte est dessinée avec des tuiles d’OpenFreeMap, construites à partir des données d’OpenStreetMap. Votre navigateur ou votre application récupère ces tuiles directement, si bien qu’OpenFreeMap voit votre adresse IP et à peu près la zone que vous regardez. Si vous n’ouvrez jamais la carte, OpenFreeMap n’est jamais contacté. Les photos de référence des espèces proviennent de Wikimedia Commons, mais nous servons nos propres copies, donc Wikimedia ne voit rien pendant que vous naviguez.

Recherche de lieux. Quand vous tapez le nom d’un lieu pour définir votre position, ces mots sont envoyés à Photon, un géocodeur libre exploité par Komoot en Allemagne, pour être convertis en coordonnées. Cela fonctionne aussi dans l’autre sens : appuyez sur « utiliser ma position » et ce sont les coordonnées transmises par votre appareil qui sont envoyées à Photon, pour obtenir un nom de lieu en retour. Dans les deux cas, notre serveur pose la question en votre nom, si bien que votre adresse IP ne l’accompagne pas, et la réponse est mise en cache pendant trente jours.

Suivi de colis. Quand un donneur saisit un numéro de suivi, l’application peut demander l’état de ce colis à un service de suivi, 17TRACK. Seuls le numéro de suivi et le transporteur sont transmis. Votre nom et votre adresse restent ici.

Notifications push. Si vous utilisez l’application mobile et autorisez les notifications, elles parviennent à votre appareil via les services push d’Apple et de Google, comme les notifications de toutes les applications de votre téléphone.

Oracle. Oracle nous loue la petite machine d’Amsterdam qui répond à votre navigateur et transmet la requête. Oracle gère le matériel sous-jacent ; le logiciel et le certificat TLS sont les nôtres. Vos données n’y sont pas stockées, et rien n’est confié à Oracle pour être traité en notre nom.

C’est la liste complète. Si elle s’allonge un jour, cette page changera d’abord.

Pourquoi nous avons le droit de les conserver

Pour l’essentiel, parce que vous nous avez demandé de faire fonctionner le service pour vous. Un compte, une annonce, une conversation, une demande et une adoption ne peuvent pas fonctionner sans les données qui les sous-tendent, et au sens du RGPD il s’agit d’un contrat, article 6, paragraphe 1, point b.

Votre position et vos notifications push reposent sur le consentement, article 6, paragraphe 1, point a. Les deux sont facultatifs, et vous pouvez retirer l’un ou l’autre quand vous le souhaitez en effaçant votre position ou en désactivant les notifications.

La lutte contre les abus repose sur l’intérêt légitime, article 6, paragraphe 1, point f : les limites de fréquence, l’adresse IP enregistrée avec une demande de connexion, la trace de qui a bloqué qui, ainsi que les signalements et les données de modération qui nous permettent d’agir quand quelqu’un se comporte mal.

Les données de modération reposent sur ce même fondement. Un lieu que les gens partagent doit être sûr, et une décision que nous avons prise à l’égard de quelqu’un doit pouvoir être justifiée par la suite. Cela limite ce que l’effacement peut faire ici : supprimer votre compte ne supprime pas la trace d’une décision prise à votre égard.

Combien de temps nous les conservons

Les liens de connexion expirent au bout de quinze minutes, et le code à six chiffres du même e-mail au bout de dix. Cinq tentatives erronées invalident le code, et le lien avec lui. Une tâche planifiée supprime l’enregistrement un jour après son expiration ou son utilisation.

Les sessions durent trente jours, comptés à partir de la dernière fois que vous avez utilisé l’application et non à partir de la connexion, si bien qu’une application que vous ouvrez régulièrement ne vous déconnecte pas. Se déconnecter supprime immédiatement la session.

Les annonces sont retirées soixante jours après leur publication. L’annonce elle-même est conservée pour que vous puissiez la remettre en ligne, et personne ne la voit entre-temps.

Les recherches de noms de lieux mises en cache sont supprimées au bout de trente jours. Les sauvegardes nocturnes de la base de données sont conservées quatorze jours.

Les messages, les données d’adoption et les avis n’ont aucune durée limite. Ils sont la trace de quelque chose qui s’est passé entre deux personnes, et survivent donc au compte qui s’en va : supprimer le vôtre en retire votre nom, et ce que vous avez écrit reste là où l’autre personne peut encore le lire.

Une adresse de livraison reste liée à son adoption tant que cette adoption existe, c’est-à-dire indéfiniment. Supprimer votre compte efface celles que vous avez communiquées vous-même ; une adresse qu’une autre personne vous a communiquée lui appartient, et reste jusqu’à ce qu’elle supprime la sienne.

Les signalements sont conservés après avoir été traités, y compris ceux qui vous concernent. Un dossier de modération qui disparaît n’est plus un dossier.

Les données de modération sont conservées indéfiniment, et supprimer votre compte ne les efface pas. Si le modérateur qui en a rédigé une supprime plus tard son propre compte, la ligne pointe toujours vers ce compte, mais il n’y reste ni nom ni adresse. La décision, sa date et le motif rédigé à l’époque demeurent.

Vos droits

Vous pouvez demander une copie de vos données, les faire rectifier, les faire supprimer, en faire limiter l’utilisation, les recevoir dans un fichier portable, ou vous opposer à leur traitement. Écrivez à hello@adoptaplant.eu et nous vous répondrons dans un délai de trente jours.

Vous pouvez déjà faire une partie de tout cela vous-même : modifier ou effacer votre nom, votre bio, votre photo de profil et votre lieu dans vos paramètres, supprimer une annonce, fermer une session.

La suppression du compte, c’est vous qui la faites : Paramètres, puis Supprimer le compte, puis saisissez le mot demandé. Elle est immédiate et irréversible. La seule chose qui l’empêche est une adoption encore en cours, car quelqu’un de l’autre côté attend une plante ou en doit une ; terminez-la ou annulez-la d’abord, puis revenez. L’écran indique ce qui disparaît et ce qui reste avant que vous confirmiez, et la section ci-dessous est la version détaillée de cette liste.

Si vous pensez que nous avons mal traité vos données, vous pouvez déposer une plainte auprès de l’autorité néerlandaise de protection des données, l’Autoriteit Persoonsgegevens, ou auprès de l’autorité du pays de l’UE où vous résidez.

Le point délicat : les données qui appartiennent à deux personnes

Une adoption terminée appartient à deux personnes. La conversation qui l’entoure aussi, et un avis également. Si vous nous demandez d’effacer votre compte, nous ne pouvons pas effacer la trace que l’autre personne garde de ce qui s’est passé entre vous, pas plus qu’elle ne pourrait effacer la vôtre.

Voici ce que nous faisons à la place : votre adresse e-mail, votre nom, votre bio, votre pays et votre lieu sont effacés du compte, et le fichier de votre photo de profil est supprimé du serveur. Vos favoris, les notifications de votre liste, votre liste de personnes bloquées, toutes vos sessions et tous vos jetons push, ainsi que tout lien de connexion encore en attente, sont purement et simplement supprimés. Toute adresse de livraison que vous avez communiquée en tant qu’adoptant est effacée. Vos annonces sont retirées du site, les personnes en attente sont prévenues que la plante n’est plus disponible, et vos propres demandes en cours sont retirées.

Votre nom est ensuite retiré des adoptions et des avis qui restent, si bien qu’il ne subsiste que le simple fait qu’un échange a eu lieu et le récit qu’en fait l’autre personne. Les messages que vous avez envoyés restent dans sa conversation, affichés sous un nom supprimé plutôt que sous le vôtre, et les photos déjà jointes restent avec la conversation. Une de vos annonces qu’une personne a adoptée garde sa photo dans la trace que cette personne conserve de l’adoption, pour la même raison que la conversation, et cela vaut même si l’adoption a été annulée par la suite, car sa trace reste chez elle. Toutes les autres photos d’annonces sont purement et simplement supprimées du serveur : le fichier d’origine et toutes les tailles que nous en avons générées, y compris les photos des annonces que vous aviez déjà supprimées vous-même.

Si cela ne vous suffit pas, dites-le en nous écrivant. Nous vous indiquerons exactement ce qui resterait dans votre cas avant de toucher à quoi que ce soit.

Modifications

Si cette politique change de manière importante, nous le signalerons dans l’application avant que la modification ne prenne effet. La date indiquée en haut correspond à la dernière modification.