Vistavel

Politique de confidentialité

Version du 2026-11-01. Elle s'applique au site vistavel.com et aux applications Vistavel pour Android et iOS.

1. Qui est responsable

Le responsable du traitement est Copdrive SAS (SIRET 841 900 707 00016, siège social : 25 rue Pierre et Marie Curie, 94200 Ivry-sur-Seine, France), qui édite le service Vistavel. Pour toute question sur vos données ou pour exercer vos droits : contact@vistavel.com.

2. Ce que nous ne faisons pas

Pas de publicité, pas de profilage, pas de mesure d'audience par un tiers, pas de revente de données. Le seul cookie déposé est le cookie de session du compte (section 3.2) ; les membres de l'équipe de Vistavel en reçoivent un second, celui de leur session d'administration, de modération ou de support (section 3.10) ; si vous vous connectez avec Google ou Apple, un cookie technique de connexion, qui expire au plus tard 10 minutes après la réponse de ce service, ou 10 minutes après son dépôt si le service ne répond pas (section 3.23).

3. Les données traitées

Adresse e-mail et clubs : chaque adhésion possède son propre accord facultatif, désactivé par défaut, pour autoriser les responsables et administrateurs concernés à exporter votre adresse e-mail. Cet accord peut être retiré dans votre compte, même pendant une suspension. Les exports contiennent le nom visible, le rôle et le statut ; l'adresse e-mail n'est incluse que pour un membre actif ayant donné son accord. Retirer l'accord ne rappelle pas les fichiers déjà téléchargés. Le journal d'export conserve uniquement les identifiants techniques de l'organisation et de l'auteur, la date et le nombre de lignes pendant 90 jours, y compris après suppression du compte de l'auteur. Il ne contient ni adresse e-mail, ni copie du fichier. Un nettoyage automatique supprime les événements arrivés à échéance. L'accord disparaît avec l'adhésion ou le compte.

Contact d'urgence pour les sorties des clubs : facultatif. Pour une sortie à laquelle vous êtes inscrit, vous pouvez laisser un contact à prévenir (nom, téléphone, lien avec vous ; aucune donnée médicale). Il vous appartient d'informer la personne désignée. Seuls les animateurs de cette sortie (chefs d'allure, co-animateurs, serre-file) peuvent le lire, de 24 h avant le départ jusqu'à son effacement ; chaque lecture est journalisée sans son contenu, et le nombre de lectures vous est montré. Il est effacé 48 h après la fin prévue de la sortie (ou l'heure de retour prévue si elle est plus tardive), et aussi dès que vous l'effacez, que vous vous désinscrivez ou répondez « peut-être » ou « non », à l'annulation de la sortie, à la fin de votre adhésion et à la suppression de votre compte. Il figure dans l'export de vos données.

Émargement des sorties des clubs : pour une sortie à laquelle vous participez, ceux de ses animateurs (chefs d'allure, co-animateurs, serre-file) qui sont responsables des sorties du club pointent votre présence au départ, puis votre retour ; quand aucun d'eux ne l'est, ce sont les responsables des sorties du club qui pointent. La feuille garde, pour chaque participant, présent ou absent, rentré, et l'heure de chaque pointage — pour un pointage fait sans réseau dans l'application, l'heure du geste et celle où notre serveur l'a reçu ; aucune position ni donnée médicale. Elle est lue par les responsables des sorties du club, sur la fiche de la sortie et dans sa feuille d'émargement en PDF ; le tableau de bord du club n'en montre que des nombres. Dans l'application, un pointage touché sans réseau reste sur le téléphone de l'animateur jusqu'à son envoi, au retour du réseau : le geste, son heure, votre nom d'affichage dans le club et le code qui vous désigne sur la feuille (jamais votre adresse e-mail) ; il en est effacé dès qu'il est enregistré ou refusé, à la déconnexion ou au changement de compte, et au plus tard douze heures après le geste, ou deux heures après la fin prévue de la sortie si c'est plus tard. Douze mois après la fin de la sortie, les noms sont effacés : la feuille ne garde que ses nombres (présents, absents, rentrés). Votre ligne est aussi effacée à la fin ou à la suspension de votre adhésion et à la suppression de votre compte. Elle figure dans l'export de vos données. Une présence pointée au départ vous rapporte des points : votre progression en garde le club, la sortie et l'heure du pointage (section 3.24).

Météo des sorties des clubs : 72, 48, 24 et 12 heures avant le départ d'une sortie d'un club, notre serveur demande la météo le long de ses circuits (des points des circuits, arrondis à environ un kilomètre, envoyés à MET Norway et Bright Sky comme pour la météo du site, section 4 — et, pour un point aux États-Unis ou près de leurs frontières, au National Weather Service quand MET Norway ne répond pas, jamais aux autres services de secours ; aucune donnée de membre). Quand elle devient défavorable, ceux des animateurs de la sortie (chefs d'allure, co-animateurs, serre-file) qui sont responsables des sorties du club reçoivent un courriel — quand aucun d'eux ne l'est, le responsable du club —, sauf s'ils ont arrêté tous les e-mails de sortie. Seuls le dernier niveau lu et le sort du courriel sont gardés, jusqu'à un jour après le départ, et effacés dès l'annulation de la sortie ; la copie du courriel est gardée comme celle de nos autres courriels (section 3.14).

Échéance d'adhésion : les responsables et administrateurs d'un club peuvent noter la date d'échéance de votre adhésion (une date, sans document joint) ; eux seuls la voient. Si le club l'a choisi, une adhésion échue ferme l'inscription à ses sorties jusqu'à ce que le club change la date ; vous pouvez toujours répondre « peut-être » ou « non » et vous désinscrire. La date disparaît avec votre adhésion.

Création de groupes et clubs : nous conservons uniquement des compteurs cumulés de créations commencées, envoyées pour validation et abandonnées à chaque étape. Aucun nom saisi, identifiant de compte, de communauté ou de session, adresse IP, empreinte, date individuelle ni cookie n'est associé à ces compteurs. Il n'y a pas de journal des événements ni de service de mesure tiers. Les envois se font sans cookie et sans URL de la page d'origine ; un échec ne bloque jamais la création.

Tableau de bord des clubs : pour le tableau de bord de son club, Vistavel compte chaque mois le nombre de membres qui le quittent, sans nom ni identifiant.

Erreurs du site et messages de contact : nous conservons uniquement des compteurs cumulés du nombre d'erreurs techniques survenues dans le navigateur, par catégorie générale (script, promesse, ressource, réseau), et du nombre de messages envoyés par le formulaire de contact. Aucun message d'erreur, adresse de page, contenu de message, identifiant de compte ou de session, adresse IP, empreinte, date individuelle ni cookie n'est associé à ces compteurs. Il n'y a pas de journal des événements ni de service de mesure tiers. Les envois se font sans cookie et sans URL de la page d'origine ; un échec n'a aucun effet sur le site.

3.1 Le compte

Photo du profil (facultative) : votre photo est recadrée et réduite sur votre appareil avant l'envoi. Le fichier original et ses métadonnées, dont la position GPS, ne sont pas conservés. Seule la petite image du profil est gardée avec votre compte chez Cloudflare. Elle est visible uniquement par vous, jamais dans les groupes, les partages ou le tableau de bord d'administration. Vous pouvez la remplacer ou la retirer dans « Compte » ; la suppression du compte l'efface aussi.

Données : adresse e-mail ; identifiant de compte (tiré au hasard) ; empreinte du mot de passe (PBKDF2-SHA256 salé : le mot de passe lui-même n'est jamais conservé ; un compte créé avec Google ou Apple n'en a pas tant que vous n'en créez pas un) ; si vous vous connectez avec Google ou Apple, le lien à ce compte (section 3.23) ; langue ; date et version des conditions d'utilisation acceptées ; offre en cours, état et échéance de l'abonnement ; identifiants de client, d'abonnement, de facture et de paiement chez Stripe, si vous en avez un.
Pourquoi : ouvrir et sécuriser votre compte, reconnaître les fonctions auxquelles il donne droit, retrouver vos contenus sur tous vos appareils.
Base légale : exécution du contrat (les conditions d'utilisation).
Durée : jusqu'à la suppression du compte. Un compte dont l'adresse n'a jamais été confirmée est supprimé 7 jours après sa création.

Vérification de l'adresse : à l'inscription, et quand vous demandez un code, seul le nom de domaine de votre adresse (la partie après « @ ») est vérifié auprès du résolveur DNS de Cloudflare, pour refuser une adresse qui ne peut recevoir aucun courriel. L'adresse complète n'est pas transmise.

Les courriels du compte : nous vous écrivons pour cinq raisons seulement — un code pour confirmer votre adresse à l'inscription, un code pour changer votre mot de passe, un message vous signalant qu'un compte existe déjà avec votre adresse, un code pour relier une connexion Google ou Apple à votre compte, et un code pour supprimer un compte qui n'a pas de mot de passe. Ces messages sont remis par Resend (Resend, Inc., États-Unis), qui reçoit votre adresse, l'objet et le texte du message, et rien d'autre : ni votre identifiant de compte, ni vos circuits, ni votre adresse IP. Trois messages au plus par adresse et par heure.
Un code reçu compte 6 chiffres, est valable 15 minutes et ne sert qu'une fois ; après 5 essais erronés, il est annulé et l'adresse est bloquée 15 minutes. Nous ne gardons pas le code lui-même, seulement son empreinte (HMAC-SHA-256, calculée avec une clé secrète du serveur) : qui lirait notre base n'en tirerait aucun code utilisable. Pour limiter les essais, nous comptons ceux de chaque adresse IP pendant une heure, sous la forme d'une empreinte, jamais l'adresse IP elle-même.
Base légale : exécution du contrat (ouvrir votre compte et vous permettre d'y revenir) ; intérêt légitime pour le décompte des essais (sécurité des comptes).
Durée : l'empreinte du code est effacée dès qu'il est utilisé, et au plus tard 15 minutes après son envoi ; le décompte des demandes et des essais d'une adresse, au plus tard 15 minutes après le dernier essai ou la fin du blocage ; celui d'une adresse IP, à la fin de l'heure.

3.2 La session

Un cookie nommé evtp_session (HttpOnly, sécurisé) vous garde connecté : dans l'application, et sur le site si vous cochez « Se souvenir de moi », jusqu'à un an sans utilisation (chaque visite prolonge ce délai) ; sur le site sans cette case, jusqu'à la fermeture du navigateur, 12 heures au plus. Il ne contient que votre identifiant de compte, signé. Il est strictement nécessaire au service et disparaît à la déconnexion.

3.3 La sécurité de la connexion

Nous comptons les échecs de connexion rattachés à une adresse e-mail : au cinquième, la connexion est bloquée 15 minutes. Ce compteur est effacé à la connexion réussie suivante, à la suppression du compte, et au plus tard 24 heures après le dernier échec ou la fin du blocage. Base légale : intérêt légitime (protéger les comptes).

3.4 Vos contenus enregistrés

Données : les circuits que vous enregistrez (trace, points de départ et d'arrivée, réglages, lieux et photos associés), y compris les traces GPX que vous importez puis enregistrez ; vos lieux favoris (nom et coordonnées) ; vos lieux privés (nom, position du centre et rayon), qui servent à retirer ces lieux de vos partages et de vos propositions ; les sorties que vous enregistrez pendant que vous roulez et que vous choisissez de garder (trace GPS horodatée, distance, durée, dénivelé).
Où : toujours sur votre appareil ; aussi dans votre compte quand vous êtes connecté, pour les retrouver sur vos autres appareils.
Base légale : exécution du contrat.
Durée : les circuits retirés sont masqués, pas effacés. Dans le compte, leur copie reste accessible à la modération jusqu'à son effacement définitif ou à la suppression du compte. Sans connexion au compte, la copie masquée reste uniquement sur l'appareil. Le retrait d'un favori ou d'un lieu privé l'efface du compte.

Liens de partage : quand vous partagez un circuit ou une sortie, une copie (nom, tracé, distances, dénivelé, durée estimée, photos et date) est publiée à une adresse en /s/ que toute personne ayant le lien peut lire, sans connexion ; les passages dans vos lieux privés en sont retirés avant l'envoi. Sont publiés avec elle la commune (et le pays) de son premier point public, que votre appareil demande à Photon (section 4), votre unité de distance et, seulement si vous cochez « Afficher mon pseudonyme » (case décochée par défaut), votre pseudonyme public, celui de la galerie — jamais votre nom ni votre adresse électronique. La page du lien et son image d'aperçu (le tracé et ses chiffres, dessinés par notre serveur à partir de la copie et gardés chez Cloudflare) présentent ces informations aux messageries et aux sites qui affichent un aperçu des liens. La page du lien propose aussi à toute personne qui l'ouvre « Partager en story » : la même image en format vertical, dessinée et gardée de la même façon, que son appareil remet à l'application de son choix, ou qu'il télécharge. Seulement si vous cochez « Autoriser l'intégration sur d'autres sites » (case décochée par défaut — votre appareil retient ensuite votre dernier choix —, que vous pouvez décocher à tout moment dans Compte › Partages), tout site web peut afficher le circuit dans un cadre intégré qui montre ce que montre la page du lien, rien de plus ; ce cadre ne dépose aucun cookie, ne contient aucun traceur, ne charge rien d'un autre site et est servi comme toute page du site (section 3.9). Sans cette case, notre serveur refuse ce cadre intégré à tout autre site ; une autorisation retirée vaut dès le prochain chargement de la page qui l'intégrait. Le lien n'expire pas : il reste valable jusqu'à ce que vous le retiriez ou que vous supprimiez votre compte. Après un retrait, la copie n'est plus publique et notre serveur ne sert plus ses images ni son cadre intégré (une messagerie ou un site qui a déjà affiché l'aperçu, une application à qui la story a été remise ou une personne qui l'a téléchargée peut en garder sa propre copie) ; chaque image est effacée de notre stockage au plus tard 30 jours après avoir été dessinée ; la copie reste consultable par la modération (section 7).

Versement au catalogue : la modération peut verser au catalogue public du site une copie anonyme d'un circuit ou d'une sortie que vous avez supprimé ou masqué, y compris avant la version des conditions qui le prévoit (conditions, section 4). La copie est faite par notre serveur et ne garde ni votre identifiant, ni le nom que vous lui aviez donné, ni ses dates et heures, ni ses vitesses, ni ses passages dans vos lieux privés ; 500 m sont retirés au début et à la fin de la trace et, pour une boucle, remplacés par un tronçon calculé qui évite ces abords. Pour la produire, notre serveur n'envoie aux services de calcul d'itinéraire et de géographie (section 4) que des éléments de la copie — quelques-uns de ses points, le rectangle qui l'entoure, des points de passage calculés hors des abords retirés —, jamais la trace d'origine. Son nom et sa description sont produits automatiquement d'après les lieux traversés. La copie versée n'étant plus rattachée à votre compte, elle ne peut ni vous être rendue ni être retirée à votre demande, et elle reste au catalogue après la suppression du compte.

Notes du catalogue : votre note de 1 à 5, le parcours concerné et la date de modification sont enregistrés avec votre identifiant de compte pour permettre un vote modifiable par parcours. Seuls la moyenne et le nombre de votants sont publics. Lors de la suppression du compte, le lien avec votre compte et la date du vote sont effacés ; la note rejoint un compteur anonyme par nombre d'étoiles. Elle reste incluse dans la moyenne et le nombre de votants. Les notes sont effacées si le parcours est définitivement supprimé par la modération.

3.5 Votre position précise

Vistavel utilise la position de votre appareil seulement si vous l'autorisez, pour choisir le point de départ, vous guider pendant une sortie et enregistrer une sortie. Elle est traitée sur votre appareil. Elle n'en sort que dans les cas suivants :

Base légale : votre consentement, donné par l'autorisation de localisation et retirable à tout moment dans les réglages de l'appareil ou du navigateur.

3.6 Les messages de support

Données : ce que vous écrivez dans le formulaire de contact ou à contact@vistavel.com (message, note facultative, sujet) ; votre adresse e-mail si vous la donnez pour recevoir une réponse ; le type de navigateur ; et, seulement si vous cochez la case (décochée par défaut), les paramètres du circuit en cours : point de départ, arrivée, distance, type de vélo. Si vous êtes connecté, un départ ou une arrivée situé dans l'un de vos lieux privés est joint sous le seul nom « lieu privé », et le nom d'un lieu privé est retiré des autres noms ; si la liste de vos lieux privés ne peut pas être lue, le circuit n'est pas joint, et le message envoyé le dit. Sans compte, le point de départ peut être votre domicile : ne cochez la case que si vous acceptez de le partager. Si vous écrivez en étant connecté, nous vérifions seulement si votre compte gère une organisation dont l'abonnement comprend l'assistance prioritaire : le sujet du message porte alors « [Prioritaire · nom de l'offre] » ; rien d'autre de votre compte n'est joint au message et cette vérification n'est pas conservée.
Où : envoyés par e-mail à notre messagerie, avec une copie dans une boîte Gmail (Google).
Base légale : intérêt légitime (vous répondre et améliorer le service).
Durée : 3 ans après le dernier échange.

3.7 Le paiement

Le paiement d'une offre est traité par Stripe, qui agit comme responsable de ses propres traitements. Nous ne recevons ni ne stockons votre numéro de carte : seulement les identifiants de client, d'abonnement, de facture et de paiement (section 3.1). Stripe conserve les données de paiement selon ses obligations légales. À la suppression du compte, votre fiche client chez Stripe est anonymisée : votre nom y est remplacé par « Compte supprimé », votre adresse e-mail, votre adresse de facturation et votre numéro de TVA en sont effacés, et vos moyens de paiement enregistrés en sont détachés. Vos factures déjà émises restent intactes chez Stripe, avec les données qu'elles portent, pour nos obligations comptables. Si Stripe ne répond pas, l'anonymisation est reprise automatiquement ; jusque-là, nous ne gardons que l'identifiant de la fiche. La fiche client d'un club ou d'une organisation chez Stripe, créée à son premier achat, appartient à l'organisation : elle porte l'adresse e-mail à laquelle Stripe envoie ses factures et ses avoirs — celle du compte qui a fait ce premier achat, puis, après chaque passation de la responsabilité acceptée, celle du nouveau responsable, que nous transmettons alors à Stripe. La suppression de votre compte ne la touche pas ; si elle porte encore votre adresse e-mail, écrivez-nous pour la faire remplacer.

Facturation et TVA. Données : le pays de facturation que vous indiquez avant le paiement ; le pays de votre connexion au moment de l'achat, déduit de votre adresse IP par Cloudflare (l'adresse IP elle-même n'est pas conservée) ; le lieu de l'adresse de facturation que vous saisissez sur notre page d'achat (son pays, ou le territoire que son code postal désigne ; pas l'adresse elle-même) ; si vous indiquez un numéro de TVA, son type, ses quatre derniers caractères, et le résultat et la date de sa vérification — un numéro de l'Union européenne est vérifié par notre serveur auprès du registre VIES de la Commission européenne, quand vous l'enregistrez et à chaque achat, et nous gardons le numéro de consultation que le registre rend (la preuve de la vérification) ; quand l'adresse de facturation ou le lieu indiqué avant le paiement est hors du champ de la TVA de l'Union européenne (un pays tiers, ou un territoire comme les Canaries ou Livigno), le résultat de la vérification du lieu de l'achat (pour un professionnel, seulement quand un tel territoire est en jeu), le montant de TVA facturé par Stripe et, si cette adresse est hors de ce champ et que le pays de votre connexion ne suffit pas à l'établir, le pays d'émission de votre moyen de paiement, lu chez Stripe ; pour un abonnement, le montant de TVA de sa dernière facture payée. Votre nom, l'adresse de facturation complète — saisie sur notre page d'achat, transmise à Stripe par notre serveur, qui ne la garde pas, puis portée sur la facture ; notre serveur la relit chez Stripe pour préremplir la page à l'achat suivant —, le numéro de TVA complet et les factures sont gardés par Stripe, qui fait vérifier les numéros britanniques par le registre officiel du Royaume-Uni (HMRC).
Pourquoi : appliquer la bonne TVA, porter sur les factures les mentions obligatoires et garder la preuve du lieu de chaque vente.
Base légale : obligation légale (règles de la TVA et de la facturation).
Durée : le pays et le numéro de TVA de votre compte, jusqu'à leur changement ou la suppression du compte ; les indications gardées avec chaque achat, tant que le compte existe, puis 10 ans après sa suppression (et jamais moins de 10 ans après la fin de l'année de l'achat), durée de conservation des preuves fiscales, dans une archive à part réservée aux obligations fiscales : elles y restent reliées à votre fiche client chez Stripe par son seul identifiant et à la facture par le sien, sans votre nom, votre adresse ni votre adresse e-mail ; puis effacées automatiquement. Seul l'administrateur de Vistavel peut exporter cette archive, pour le comptable ou un contrôle fiscal : chaque export exige un code à usage unique et est inscrit, avec son motif, au journal des accès d'administration (section 3.10).

3.8 Le nombre de visiteurs présents

Le site et l'application Android affichent combien de personnes utilisent Vistavel en ce moment. Ce nombre repose sur une empreinte tronquée et non réversible de l'adresse IP, du navigateur et de la date du jour. Elle n'identifie personne, n'est jamais journalisée et disparaît 90 secondes après le dernier signe de vie de la page ou de l'application.

3.9 L'hébergement

Catalogue « Découvrir » : les zones recherchées et leurs itinéraires publics OpenStreetMap sont gardés dans le cache de votre navigateur (quelques zones et les tracés des derniers itinéraires ouverts). Les données de plus de 30 jours ne sont plus réutilisées et sont remplacées lors de la prochaine recherche. Ce cache reste sur votre appareil et peut être supprimé en effaçant les données du site. La zone recherchée, arrondie à une grille de quelques kilomètres, est d'abord demandée à notre serveur — et, aux rayons de 50 et 100 km, le tracé d'un itinéraire que vous ouvrez, par son numéro OpenStreetMap — qui garde 30 jours les itinéraires publics déjà construits ; sinon, elle est transmise à Overpass, selon la chaîne décrite en section 4, et votre navigateur dépose ensuite sur notre serveur les itinéraires qu'il a construits. Pour protéger ce cache partagé des circuits, un condensé du préfixe de votre adresse réseau est gardé 24 h, jamais l'adresse.

Notre hébergeur, Cloudflare, traite les adresses IP pour acheminer les requêtes et protéger le service. Nous ne tenons aucun journal des requêtes. Il déduit aussi de l'adresse IP le pays et le continent de la connexion : le continent fixe la devise des offres affichées sur le site (euro en Europe, dollar ailleurs) ; le pays entre dans les compteurs de fréquentation (section 3.11). Ni l'un ni l'autre n'est gardé avec votre compte.

3.10 L'administration des comptes

L'équipe de Vistavel, c'est-à-dire l'administrateur et les personnes qu'il désigne pour la modération et pour le support, peut consulter la fiche d'un compte pour l'assistance, la modération, l'exploitation du service et les demandes que vous nous adressez. Chacun n'en voit que ce que son rôle demande.

La modération peut suspendre ou réactiver un compte, et le support vous imposer un nouveau mot de passe ; l'export et la suppression d'un compte restent à l'administrateur. Chaque accès exige un mot de passe et un code à usage unique (second facteur) ; il se ferme après 30 minutes d'inactivité.
Chaque consultation est inscrite dans un journal que personne ne peut modifier : date, auteur, action, identifiant du compte consulté et, pour une recherche, le texte cherché, qui peut être une adresse e-mail. Ce journal est gardé 10 ans, y compris après la suppression du compte concerné.
Base légale : intérêt légitime (sécuriser le service, répondre à vos demandes et pouvoir rendre compte de chaque accès).

Circuits masqués : une rubrique distincte de l'administration permet aux personnes habilitées de consulter les tracés conservés après retrait, y compris les tracés privés, et de décider de leur effacement définitif. Chaque lecture et chaque effacement exige le second facteur et est journalisé. Ces archives ne sont jamais publiées dans le catalogue. Un ancien identifiant de circuit peut rester marqué comme retiré, sans son tracé, afin d'empêcher sa remise en ligne automatique par un autre appareil.

3.11 La mesure de fréquentation, d'inscription et de revenus

Fréquentation du site. Nous comptons, par jour, les pages consultées sur vistavel.com : le type de page (accueil, offres, catalogue…) et sa langue, le type d'appareil (téléphone, tablette, ordinateur), le pays et, si vous arrivez d'un autre site ou d'une application, le nom de ce site ou de ce service lorsqu'il figure sur notre liste de moteurs de recherche (assistants d'IA ChatGPT et Perplexity compris), de réseaux sociaux, de messageries et de webmails (sinon seulement « un autre site »), ainsi que la campagne indiquée dans le lien qui vous a amené (paramètres utm_source, utm_medium et utm_campaign). Nous comptons aussi, par jour et par langue, les affichages du formulaire d'inscription du site. Ces compteurs ne contiennent ni adresse IP, ni identifiant, ni cookie, et rien n'est écrit sur votre appareil.

Inscription. Quand vous créez un compte, nous enregistrons la plateforme utilisée (site, iPhone, Android) et, pour l'application Android, sa version, la langue choisie et, si vous répondez à la question facultative du site, comment vous nous avez connus ; puis les dates de confirmation, de premier circuit, de premier abonnement et de premier achat, avec l'offre choisie. Ces informations sont rattachées à un pseudonyme, jamais à votre adresse e-mail. Elles servent uniquement à savoir quels canaux nous amènent des membres. Vous pouvez vous y opposer dans « Mes données » de la page Compte du site vistavel.com, y compris pour un compte créé dans l'application. Elles sont rendues anonymes 25 mois après la création du compte, dès sa suppression ou dès votre opposition ; votre réponse à la question n'est alors plus conservée.

Revenus. Pour suivre nos revenus, nous comptons par jour chaque paiement d'abonnement, chaque échec de paiement et chaque achat ponctuel, avec l'offre et le montant ; chaque nuit, nous relevons le nombre d'abonnés et le revenu mensuel, d'où nous déduisons les nouveaux abonnements, les changements et les résiliations. Ces compteurs ne sont rattachés ni à votre compte ni à un pseudonyme.
Base légale : intérêt légitime (savoir quels canaux nous amènent des membres et suivre l'activité du service).

3.12 Le micro et les commandes vocales

Pendant une sortie, vous pouvez dicter une commande (bouton du micro, ou mode mains libres), seulement si vous autorisez le micro. La reconnaissance vocale est celle de votre appareil ou de votre navigateur : son fournisseur (souvent Google, ou Apple sur iPhone) peut traiter le son sur ses serveurs, selon sa propre politique. Vistavel n'en reçoit que le texte reconnu, analysé sur votre appareil pour trouver la commande : ni le son, ni le texte ne sont envoyés à Vistavel, ni conservés.
Base légale : votre consentement, donné par l'autorisation du micro et retirable à tout moment dans les réglages de l'appareil ou du navigateur.

3.13 Les signalements

Le bouton « Signaler » d'un lien partagé, d'un participant d'une sortie en direct, d'un circuit proposé au catalogue, d'un club, d'un défi, d'un nom affiché au classement d'un défi, d'une photo ou d'un lien de photo de la galerie d'une sortie, d'une annonce de covoiturage, d'un message du direct d'une sortie de club, d'une photo de la galerie publique ou d'un pseudonyme nous transmet le motif choisi, votre précision facultative et le contenu en cause : le lien ; le prénom du participant et l'identifiant de son compte ; le nom du circuit et l'identifiant du compte qui l'a proposé ; le nom du club et l'identifiant de l'un de ses responsables ; le nom du défi et l'identifiant du compte qui l'a proposé ; le nom affiché, le défi et l'identifiant du compte qui a choisi ce nom ; la photo, sa légende, la sortie et l'identifiant du compte qui l'a envoyée ; l'adresse du lien de photo, sa légende, son crédit, sa licence, la sortie, le prénom et l'identifiant du compte qui l'a ajouté ; le sens de l'annonce de covoiturage, ses places, son lieu de rendez-vous, sa précision, la sortie, le prénom et l'identifiant du compte qui l'a publiée ; le genre et le texte du message du direct, la sortie et, si son auteur participe encore au direct, son prénom et l'identifiant de son compte ; ou la photo publique (ou le pseudonyme montré sous elle) et l'identifiant du compte qui l'a publiée. Le signalement d'un participant d'une sortie en direct, d'un club, d'une photo, d'un lien de photo, d'une annonce de covoiturage ou d'un message d'une sortie demande un compte ; un lien partagé, un circuit proposé au catalogue, un défi public, un nom affiché à son classement, une photo de la galerie publique et un pseudonyme se signalent aussi sans compte. Avec un compte, votre identifiant y est joint ; sans compte, nous ne gardons qu'une empreinte de votre adresse IP qui change chaque jour, pour limiter le nombre de signalements, jamais l'adresse elle-même. Seule la modération lit les signalements ; la personne signalée ne sait pas qui l'a signalée. Un circuit ou un défi retiré par la modération quitte le catalogue ; un club retiré n'est plus public ; un nom retiré du classement est effacé, la participation au défi et sa progression restent. Une photo signalée avec le motif « Je suis sur cette photo sans mon accord » est masquée aussitôt pour tous, jusqu'à la décision de la modération : la garder (elle est de nouveau montrée) ou la supprimer. Si vous signalez figurer sur une photo sans votre accord, vous pouvez marquer la zone où vous apparaissez : ce rectangle est gardé avec le signalement. La modération peut flouter cette zone ; la version floutée est alors la seule montrée, à tous, son auteur compris ; l'original n'est visible que de la modération et il est supprimé avec la photo. Un lien de photo ou une annonce de covoiturage retirés par la modération sont supprimés de la sortie.
Avertissement : quand un contenu que vous avez publié (défi, circuit proposé au catalogue, correction d'un lieu), ou un groupe ou un club dont vous êtes responsable, ne respecte pas nos conditions d'utilisation, la modération peut vous envoyer un avertissement par courriel, dans la langue de votre compte : le contenu en cause et la règle enfreinte, sans le nom de la personne qui l'envoie. Un même contenu ne reçoit qu'un avertissement en 24 heures. L'envoi, puis s'il est parti, sont inscrits au journal des accès d'administration (section 3.10) avec l'identifiant de votre compte, celui du contenu et la règle ; sa copie est gardée comme celle de nos autres courriels (section 3.14).
Retrait d'un contenu public : quand la modération retire un contenu déjà public que vous avez publié (circuit proposé au catalogue, défi, correction d'un lieu), elle choisit son motif dans une liste fixe et vous envoie par courriel, dans la langue de votre compte, l'exposé de ses motifs : le contenu retiré, le motif, son fondement dans nos conditions d'utilisation, l'origine de la décision (un signalement, ou une vérification faite par la modération), le fait que la décision a été prise par une personne, et comment la contester ; le nom de la personne qui l'a prise n'y figure pas. Pour la contribution d'un club à la fiche d'un lieu, cet exposé, qui nomme aussi le club et le lieu, est envoyé à l'un des responsables du club ; quand la modération retire un groupe ou un club, l'un de ses responsables reçoit de même l'exposé des motifs, qui nomme aussi ses contributions aux fiches de lieux qui ont quitté le public avec lui. Quand la modération suspend votre compte, elle choisit de même la règle enfreinte dans cette liste et vous envoie l'exposé des motifs de la suspension, qui nomme aussi les contenus encore à vérifier qui ont quitté le public avec elle. La liste de vos propositions au catalogue et celle de vos défis proposés signalent aussi ce retrait. L'envoi et son issue sont inscrits au journal des accès d'administration (section 3.10) avec l'identifiant du compte destinataire, celui du contenu (ou du compte suspendu) et le motif ; sa copie est gardée comme celle de nos autres courriels (section 3.14) ; le motif, et le fait que l'exposé est parti, restent notés sur le contenu retiré tant que celui-ci est gardé.
Base légale : intérêt légitime (protéger les utilisateurs et respecter les règles des contenus publiés) ; pour l'exposé des motifs d'un retrait ou d'une suspension, obligation légale (règlement (UE) 2022/2065 sur les services numériques, article 17).
Durée : les signalements, jusqu'à la décision de la modération, puis effacés ; le journal d'administration garde la décision (section 3.10).

3.14 Les copies des courriels envoyés

Nous gardons une copie de chaque courriel que Vistavel vous envoie (compte, sorties, clubs, défis, offres) : votre adresse, la langue, la nature du courriel, son objet, son texte, la date et si l'envoi a abouti. Les codes (confirmation de l'adresse, changement de mot de passe) et les liens d'invitation qu'ils contiennent y sont masqués. Seuls l'administration, la modération et le support de Vistavel peuvent les consulter, et chaque consultation est journalisée (section 3.10). Elles servent au support, pour savoir ce que nous vous avons écrit, et à la preuve des envois, notamment du rappel avant la reconduction d'un abonnement annuel et des confirmations d'achat.
Base légale : intérêt légitime (répondre à vos demandes de support, prouver l'envoi des informations dues aux clients).
Durée : tant que votre compte existe, puis 5 ans après sa suppression, délai de prescription d'un litige ; 1 an après l'envoi pour un courriel adressé à une adresse sans compte, comme une invitation à rejoindre une communauté. Puis elles sont effacées automatiquement.

3.15 Les photos des galeries de sorties

Quand vous participez à une sortie d'un club (comme membre ou comme invité), vous pouvez ajouter des photos à sa galerie, de son début à 30 jours après sa fin : 10 photos au plus par personne et 100 par sortie, avec une légende facultative.
Données : chaque photo, réduite sur votre appareil à 1 600 pixels de côté au plus (et une vignette de 400 pixels), sa légende, sa date d'ajout, l'identifiant de votre compte et vos deux déclarations : avoir pris la photo ou avoir le droit de la partager ; avoir l'accord des personnes reconnaissables. Pour vous proposer une légende, votre appareil lit dans la photo l'heure et le lieu de la prise de vue (pour une photo prise avec l'appareil photo de la page et sans position, la position de votre appareil, si vous l'autorisez) ; ce lieu, arrondi à une centaine de mètres, est envoyé à Photon (section 4) pour en tirer le lieu-dit et la commune, et aucun lieu n'est proposé dans l'un de vos lieux privés. Cette légende reste modifiable et n'est envoyée que si vous la gardez. Le lieu-dit et la commune proposés sont aussi gardés avec la photo, à part de la légende, pour être montrés avec elle si vous la publiez dans la galerie publique (section 3.19) ; ils ne sont montrés nulle part ailleurs. La photo elle-même est réencodée sur votre appareil avant l'envoi : le fichier original et ses métadonnées (position GPS, modèle d'appareil, date de prise de vue) ne nous sont pas envoyés, et le serveur refuse toute image qui en porterait encore. Seule exception, si vous publiez la photo dans la galerie publique et choisissez de montrer où elle a été prise : ce lieu, arrondi à une centaine de mètres, nous est envoyé à part (section 3.19). Une légende qui nomme l'un de vos lieux privés est refusée.
Stockage : chez Cloudflare, dans un espace de stockage privé (Cloudflare R2) : les photos n'ont pas d'adresse publique et ne sont lues qu'à travers Vistavel, après vérification de la session. Elles restent sur ce serveur : Vistavel n'en enregistre aucune copie sur votre appareil, ni dans le navigateur ni dans l'application, pas même dans leur cache, qu'il s'agisse de vos photos ou de celles des autres participants ; elles ne sont affichées que le temps de la consultation.
Destinataires : les participants de la sortie et ses responsables, connectés ; votre identifiant de compte ne leur est jamais montré, seulement votre nom d'affichage dans le club. La modération voit une photo signalée.
Protection des photos : une photo montrée à un autre que vous porte, dans son fichier, la mention de vos droits — « © l'auteur — publié sur vistavel.com. Tous droits réservés. » (dans la galerie publique, votre pseudonyme à la place de « l'auteur » : section 3.19) et l'interdiction de la reproduire sans votre accord — ainsi qu'une signature chiffrée qui permet à l'équipe de Vistavel, et à elle seule, de dire de quelle photo vient une copie trouvée ailleurs : l'identifiant de la photo, sa galerie, son emplacement dans cette galerie (pour une sortie, le club et la sortie ; pour un album, l'album) et le jour où elle a été montrée, jamais votre compte ni celui de la personne qui la regarde. Aucune position ni aucun autre renseignement n'y est écrit, et la photo gardée sur le serveur n'est pas modifiée : vous la voyez telle quelle dans vos propres galeries. Chaque vérification d'une signature par l'équipe est inscrite au journal des accès d'administration (section 3.10). Les pages bloquent l'enregistrement ordinaire des photos des autres (menu du navigateur, glisser, appui long) ; une capture d'écran reste possible.
Personnes photographiées : vous déclarez, à chaque envoi, que les personnes reconnaissables ont accepté que la photo soit montrée aux participants de la sortie. Une personne qui figure sur une photo sans son accord peut la signaler avec le motif « Je suis sur cette photo sans mon accord » : la photo est aussitôt masquée pour tous, puis la modération décide de la remontrer ou de la supprimer. Elle peut aussi écrire à contact@vistavel.com, avec ou sans compte.
Base légale : exécution du service que vous demandez (partager vos photos avec les participants de la sortie) ; pour les personnes photographiées, leur consentement, recueilli par la personne qui envoie la photo et attesté par sa déclaration.
Durée : jusqu'à la suppression de la photo, sans durée maximale. Une photo est supprimée, avec sa vignette, quand son auteur ou un responsable de la sortie la supprime, quand la modération la retire, quand le compte de son auteur est supprimé, quand la sortie est annulée ou supprimée, ou quand le club est supprimé. Elle reste en ligne si son auteur quitte la sortie ou le club, ou si son invitation prend fin : tant qu'il est membre du club, l'auteur garde l'accès à ses propres photos pour les supprimer.

3.16 Les personnes que vous bloquez

Le bouton « Bloquer cette personne », à côté de « Signaler » (photo ou lien de photo d'une galerie de sortie, photo de la galerie publique, annonce de covoiturage, nom au classement d'un défi, défi proposé, sous-groupe publié, participant ou message d'une sortie en direct), cache l'une à l'autre ce que vous et cette personne publiez : ses photos et ses liens de photos, ses annonces de covoiturage, son nom aux classements, ses défis et ses sous-groupes ne vous sont plus montrés, ni les vôtres à elle, et, dans une sortie en direct, ni son prénom, ni sa position, ni ses messages ne parviennent plus à votre appareil, ni les vôtres au sien. Vos propres adhésions et participations restent dans vos listes. Rien n'est caché dans une sortie que l'un de vous deux encadre, ni aux écrans de gestion d'un club.
Données : pour chaque blocage, l'identifiant du compte bloqué (jamais montré à vous), le nom que vous aviez sous les yeux (40 caractères au plus), le genre de contenu et la date ; du côté de la personne bloquée, une ligne miroir qui porte votre identifiant de compte, pour lui cacher ce que vous publiez. Pendant une sortie en direct, la salle garde à côté de votre participation la liste des identifiants de comptes bloqués dans les deux sens, jamais diffusée, et l'oublie quand vous quittez la sortie ou après 5 minutes de silence. 500 blocages au plus par compte.
Destinataires : vous seul voyez vos blocages, dans « Compte », rubrique « Mes données », « Personnes bloquées ». La personne bloquée n'en est pas prévenue et rien ne lui dit qui l'a bloquée. La modération ne voit aucun blocage : le harcèlement se signale avec « Signaler ».
Base légale : exécution du service que vous demandez (bloquer une personne) ; pour la personne bloquée, intérêt légitime (protéger les utilisateurs).
Durée : jusqu'à ce que vous débloquiez la personne (« Débloquer »), ou jusqu'à la suppression de l'un des deux comptes, qui efface le blocage dans les deux sens.

3.17 La caméra : la lecture d'un code QR et les photos d'« En selle »

Dans un livret de jeu de piste, « Scanner le code QR » ouvre la caméra, seulement si vous l'autorisez, pour lire le code affiché sur place. L'image est analysée sur votre appareil, jamais enregistrée ni transmise ; seul le texte du code lu remplit le champ.
Dans « En selle », 📷 ouvre la caméra, seulement si vous l'autorisez, pour prendre une photo de la sortie. L'image de la caméra reste sur votre appareil ; seule la photo que vous rangez, avec « Ranger dans « Mes photos » », est préparée sur l'appareil puis enregistrée dans « Mes photos » (section 3.18) ou, pendant le direct d'une sortie de club, dans les photos de la sortie si vous l'avez coché (section 3.15). La caméra s'éteint dès la photo prise ou la fenêtre fermée.
Base légale : votre consentement, donné par l'autorisation de la caméra et retirable à tout moment dans les réglages de l'appareil ou du navigateur.

3.18 Mes photos

Vous pouvez ranger des photos dans « Mes photos », un album que vous seul voyez, classé par jour, depuis la page Compte, depuis la galerie d'une sortie au moment d'y envoyer une photo, ou depuis « En selle » : 10 photos au plus par jour.
Données : chaque photo, réduite sur votre appareil à 1 600 pixels de côté au plus (et une vignette de 400 pixels), sa légende, le lieu-dit et la commune proposés (section 3.15), son jour (celui de la prise de vue, sinon celui de l'ajout), sa date d'ajout et l'identifiant de votre compte. La légende proposée et les métadonnées suivent les règles de la section 3.15 : le fichier original et ses métadonnées ne nous sont pas envoyés. Une légende qui nomme l'un de vos lieux privés est refusée.
Stockage : chez Cloudflare (section 4), dans l'espace de stockage privé des photos (Cloudflare R2) : sans adresse publique, lues seulement à travers Vistavel, avec votre session.
Destinataires : vous seul ; ni les autres comptes, ni les clubs ne voient « Mes photos ».
Une photo, plusieurs galeries : une photo de « Mes photos » peut aussi être montrée dans la galerie d'une sortie où vous étiez (section 3.15) ou dans la galerie publique (section 3.19), sans être gardée deux fois ; dans ces galeries, ceux qui la voient peuvent la signaler. La retirer d'une galerie la laisse dans l'autre ; l'annulation de la sortie ou la suppression du club ne la retire pas de « Mes photos » ; retirée par la modération, elle disparaît de partout.
Base légale : exécution du service que vous demandez (garder vos photos).
Durée : jusqu'à ce que vous retiriez une photo de toutes les galeries qui la montrent, ou jusqu'à la suppression de votre compte, qui les supprime toutes. L'export de vos données les liste (identifiant, jour, légende, lieu, date).

3.19 La galerie publique

Vous pouvez montrer une photo à tous dans la page « Galerie » de Vistavel, depuis « Mes photos », la galerie d'une sortie ou « En selle » : 20 photos au plus par jour.
Données : la photo (la même que dans vos autres galeries, jamais copiée : sections 3.15 et 3.18), sa légende, le lieu-dit et la commune proposés d'après la photo (s'il y en a), son jour, sa date de publication, l'identifiant de votre compte, vos deux déclarations et votre pseudonyme (2 à 30 caractères, choisi à la première publication, modifiable dans « Compte »). Avec elle sont aussi montrés : son activité (cyclisme, randonnée, balade), reprise de la sortie ou de l'enregistrement « En selle », ou choisie par vous ; si vous le choisissez, le lieu de la prise de vue arrondi à une centaine de mètres, sur une carte — jamais dans l'un de vos lieux privés ; le nombre de « J'aime ». L'itinéraire sur lequel la photo a été prise (le circuit de la sortie à votre allure, celui d'« En selle ») est gardé avec elle : seul un itinéraire du catalogue public est montré, avec un lien vers sa page ; pour tout autre, la page dit seulement que la photo a été prise sur un circuit privé, sans rien en montrer. Ni votre nom, ni votre adresse e-mail ne sont montrés.
Stockage : chez Cloudflare (section 4), dans l'espace des photos (Cloudflare R2) ; une photo publique se lit sans compte, à travers Vistavel.
Destinataires : toute personne qui visite vistavel.com, avec ou sans compte. La page n'est pas proposée aux moteurs de recherche ; elle bloque l'enregistrement ordinaire de la photo, dont le fichier porte votre pseudonyme dans la mention de vos droits (section 3.15), mais une photo publique peut toujours être vue, et copiée par une capture d'écran, par quiconque la regarde. La modération voit une photo ou un pseudonyme signalés.
Personnes photographiées : vous déclarez, à chaque publication, que les personnes reconnaissables ont accepté que la photo soit montrée à tous. Toute personne, avec ou sans compte, peut signaler une photo publique ; avec le motif « Je suis sur cette photo sans mon accord », elle est aussitôt masquée pour tous, puis la modération décide de la remontrer ou de la retirer. On peut aussi écrire à contact@vistavel.com.
Base légale : exécution du service que vous demandez ; pour les personnes photographiées, leur consentement, recueilli par la personne qui publie et attesté par sa déclaration.
Durée : jusqu'à ce que vous retiriez la photo de la galerie publique, que la modération la retire ou que votre compte soit supprimé. Le pseudonyme est gardé avec votre compte ; la modération peut l'effacer s'il est signalé. L'export de vos données les liste.

3.20 Les albums de groupe

Quand vous rejoignez un groupe par son code dans « En selle », Vistavel vous inscrit parmi les présents de l'album de ce groupe pour ce jour : un album par code et par jour (un code réutilisé un autre jour ouvre un nouvel album). Les présents voient l'album sans limite de durée et peuvent y ranger des photos depuis « En selle » ou depuis la page Compte : 10 photos au plus par personne, 100 par album.
Données : votre présence (l'identifiant de votre compte, le code du groupe, le jour et le prénom montré dans le groupe) ; pour chaque photo, la même photo que dans vos autres galeries, jamais copiée (sections 3.15 et 3.18), sa légende, le lieu-dit et la commune proposés, sa date d'ajout et vos deux déclarations.
Stockage : chez Cloudflare (section 4), dans l'espace privé des photos (Cloudflare R2), sans adresse publique, lues seulement à travers Vistavel avec une session.
Destinataires : les comptes présents dans le groupe ce jour-là ; la modération pour une photo signalée. Chaque présent peut signaler une photo ou bloquer son auteur ; avec le motif « Je suis sur cette photo sans mon accord », elle est aussitôt masquée pour tous, puis la modération décide de la remontrer ou de la retirer.
Durée : votre présence tant que votre compte existe ; chaque photo jusqu'à sa suppression par vous, par la modération ou avec votre compte.
Base légale : exécution du service que vous demandez.

3.21 Les « J'aime » de la galerie publique

Connecté, vous pouvez aimer une photo de la galerie publique : un cœur par photo, que vous pouvez retirer.
Données : l'identifiant de votre compte, la photo et la date.
Destinataires : personne ne voit qui a aimé une photo, pas même son auteur ; seul leur nombre est montré à tous.
Base légale : exécution du service que vous demandez.
Durée : jusqu'à ce que vous retiriez votre cœur, que la photo quitte la galerie publique ou que votre compte soit supprimé ; l'export de vos données les liste.

3.22 Les demandes de circuit

Connecté, sous une photo prise sur un circuit privé ou de club, vous pouvez demander à voir ce circuit : une demande par photo, 10 par jour, sans message.
Données : la demande, l'identifiant de votre compte, la photo, la date, son état.
Destinataires : l'auteur de la photo, ou pour un circuit de club ses responsables, par un courriel de Vistavel et dans « Compte » ; ils voient seulement qu'un utilisateur de Vistavel le demande, jamais qui. Acceptée, vous en êtes prévenu par courriel ; un refus ne vous est pas notifié.
Ce qui devient public : accepté, le circuit est montré sous la photo, sans ses 500 premiers et derniers mètres ni ses passages dans les lieux privés de son auteur, et une copie anonyme est proposée au catalogue « Itinéraires », relue par l'équipe avant d'y paraître.
Base légale : exécution du service que vous demandez.
Durée : 90 jours après la demande, puis effacée ; le circuit montré reste jusqu'à ce que son auteur le retire.

3.23 La connexion avec Google ou Apple

Si vous choisissez « Continuer avec Google » ou « Continuer avec Apple », la connexion se fait chez ce service, sous sa propre politique de confidentialité : Vistavel ne voit jamais votre mot de passe Google ou Apple. Nous ne demandons que votre adresse e-mail : ni votre nom, ni votre photo, ni vos contacts.
Données reçues : de Google, l'identifiant de votre compte Google (le même pour tous les services où vous l'utilisez), votre adresse e-mail et l'indication qu'elle est vérifiée ; d'Apple, l'identifiant de votre compte Apple propre à Vistavel, votre adresse e-mail — ou l'adresse relais privée qu'Apple crée si vous masquez la vôtre — et l'indication qu'elle est vérifiée.
Données gardées : le service (Google ou Apple), l'identifiant qu'il nous donne, la date du lien et, pour Apple, l'indication d'une adresse relais ; pour un compte créé ainsi, l'adresse reçue devient celle du compte (section 3.1) ; pour relier un compte existant, elle n'est pas gardée. Le temps d'une connexion : le départ de la connexion (la page où revenir et, pour relier, votre compte), effacé au retour du service, sinon au ménage suivant de notre serveur ; l'issue de la connexion (le service, l'identifiant qu'il nous donne, l'adresse reçue), utilisable 10 minutes au plus après la réponse du service, effacée dès que vous entrez ou annulez, sinon au ménage suivant de notre serveur ; et un cookie technique vv_oauth (HttpOnly, sécurisé, limité aux adresses de connexion) qui relie la réponse du service à votre navigateur, effacé quand vous entrez, sinon expiré au plus tard 10 minutes après cette réponse, ou 10 minutes après son dépôt si le service ne répond pas. Pour limiter les abus, nous comptons pendant une heure les connexions commencées avec Google ou Apple depuis chaque adresse IP, sous la forme d'une empreinte, jamais l'adresse IP elle-même. Aucun jeton du service n'est gardé.
Un compte existant à la même adresse n'est jamais relié sans votre preuve : son mot de passe, ou un code envoyé à cette adresse. Un compte jamais confirmé à la même adresse est remplacé par le nouveau.
Pourquoi : vous connecter et créer votre compte à votre demande.
Base légale : exécution du contrat (les conditions d'utilisation) ; intérêt légitime pour le décompte des connexions commencées (sécurité des comptes).
Durée : le lien, jusqu'à ce que vous le retiriez (« Compte », rubrique « Sécurité », « Délier ») ou jusqu'à la suppression du compte ; le départ d'une connexion, effacé au retour du service, sinon au ménage suivant de notre serveur ; l'issue d'une connexion, inutilisable après 10 minutes et effacée au plus tard au ménage suivant de notre serveur ; le cookie, 10 minutes après la réponse du service (après son dépôt, s'il ne répond pas) ; le décompte d'une adresse IP, à la fin de l'heure.

3.24 Les points, les niveaux et les badges

Quand vous êtes connecté, les sorties que vous enregistrez et gardez dans votre compte (« En selle », « Partir à pied »), votre présence pointée à une sortie de club et les défis que vous réussissez vous rapportent des points, un niveau et des badges, montrés dans « Compte » (« Progression ») et à la fin d'une sortie.
Données : calculées par notre serveur à partir de ce que votre compte garde déjà (vos sorties enregistrées, section 3.4 ; vos présences aux sorties de club ; vos défis ; vos cols) : pour chaque sortie enregistrée que notre serveur a jugée, comptée ou non, son début, sa fin, son activité, ses points et, s'il y en a une, la raison pour laquelle elle n'a pas été comptée, ou pas en entier, avec ce qui la précise (sortie simulée, trop courte, vitesse trop élevée pour l'activité et cette vitesse, horaires incohérents, sortie en double et le début de celle qu'elle recouvre, sauts du GPS, dénivelé improbable, plafond du jour) ; chaque sortie de club où votre présence a été pointée (le club, la sortie et l'heure du pointage) et chaque défi réussi (le défi et la date) ; vos totaux (distances, dénivelé, nombre de sorties), les semaines et les saisons où vous êtes sorti, vos badges et leur date, vos derniers gains ; les carrés de la carte (environ 1,7 km de côté en France) que vos sorties ont traversés, pour les badges d'exploration — jamais une copie de vos traces.
Destinataires : vous seul ; à la fin d'une sortie, l'écran vous félicite par votre pseudonyme public (section 3.19) s'il existe. L'équipe de Vistavel (administration, modération, support) peut les lire dans la fiche de votre compte, et l'administration et le support les remettre à zéro, avec un motif ; ils sont alors recalculés depuis ce que votre compte garde encore. Chaque lecture et chaque remise à zéro est inscrite dans le journal des accès d'administration (section 3.10).
Base légale : exécution du service que vous demandez.
Durée : tant que votre compte existe, y compris pour une sortie que vous retirez de votre compte (ses points restent acquis) — les sorties de club et les défis comptés restent aussi après l'effacement des noms de la feuille d'émargement (douze mois après la fin de la sortie), après la fin de votre adhésion et après la fin du défi, pour que leurs points restent acquis et ne soient comptés qu'une fois ; l'export de vos données les contient ; ils sont effacés avec votre compte.

3.25 Le QR code d'authenticité des PDF

Chaque PDF créé sur le site vistavel.com (topo, livret, impression d'un circuit de club, feuille d'émargement, programme des sorties) porte sur chaque page un QR code qui mène à la fiche du document, pour que la personne qui le reçoit vérifie que ce fichier a été enregistré sur Vistavel et n'a pas été modifié. Les PDF des applications Android et iOS n'ont pas encore ce QR code ; elles l'ajouteront dans une prochaine mise à jour. Le PDF est toujours fabriqué sur votre appareil : notre serveur n'en reçoit jamais le fichier, seulement les informations ci-dessous.
Données : le type du document, son titre (le nom du circuit, de la sortie ou du livret ; le club et la saison d'un programme), sa langue, le fuseau horaire de votre appareil, la date et l'heure de création, le nombre de pages, la taille du fichier et son empreinte (SHA-256 : 64 chiffres et lettres calculés sur votre appareil, qui ne permettent pas de reconstituer le document) ; pour un document de club, le nom du club, seulement si notre serveur a vérifié que vous en êtes membre actif et, pour une feuille d'émargement ou un programme, que vous gérez les sorties du club (votre session est lue pour cela, sans être gardée). La fiche ne contient ni l'identifiant de votre compte, ni votre adresse e-mail, ni votre nom. Pour limiter les abus, une empreinte du réseau de votre adresse IP compte les demandes de PDF de l'heure (120 au plus) ; elle est effacée au ménage suivant de notre serveur, après la fin de l'heure.
Destinataires : toute personne qui ouvre l'adresse du QR code voit la fiche (type, titre, club, date et heure de création avec le fuseau horaire de votre appareil, langue, nombre de pages, taille, empreinte) ; elle peut y comparer un fichier PDF, sur son propre appareil, sans l'envoyer. Une fiche ne nomme aucun compte : pour en faire retirer une, écrivez-nous avec l'adresse de son QR code.
Base légale : exécution du service que vous demandez (le PDF et son QR code) ; pour le décompte de l'heure, l'intérêt légitime de protéger le service contre les abus.
Durée : 5 ans après la création du PDF, puis effacée (plus tôt si notre équipe la retire, à votre demande ou parce qu'elle sert un abus ; le retrait est inscrit au journal de l'administration avec l'identifiant de la fiche et son motif, section 3.10) ; une fiche commencée mais jamais terminée (un PDF interrompu) n'est jamais montrée et est effacée au ménage suivant de notre serveur, après une heure.

4. Les services qui reçoivent des données

Pour calculer et afficher un circuit, votre appareil interroge directement les services ci-dessous. Chacun reçoit votre adresse IP et la requête décrite. Aucun ne reçoit votre e-mail ni votre identifiant de compte.

Nos sous-traitants : Cloudflare (hébergement du site, des comptes, de vos contenus enregistrés, des sorties en groupe, des photos des galeries de sorties dans un espace de stockage privé, Cloudflare R2), Resend (remise des courriels du compte, section 3.1), Google (boîte Gmail qui reçoit une copie des messages de support). Stripe traite le paiement (section 3.7). Les registres officiels de TVA reçoivent le numéro de TVA que vous indiquez, pour le vérifier (section 3.7) : VIES (Commission européenne) de notre serveur, pour un numéro de l'Union européenne ; HMRC (Royaume-Uni) de Stripe.

Google (Google Ireland Limited, Irlande ; Google LLC, États-Unis) et Apple (Apple Distribution International, Irlande ; Apple Inc., États-Unis), comme fournisseurs d'identité, seulement si vous choisissez de vous connecter avec eux : vous vous connectez chez eux, puis notre serveur reçoit les données décrites à la section 3.23 ; il ne leur envoie que les éléments techniques de cette connexion. Si vous masquez votre adresse chez Apple, les courriels de votre compte (section 3.1) passent par le service de relais privé d'Apple, qui les transmet à votre adresse réelle.

5. Transferts hors de l'Union européenne

Cloudflare, Resend, Google, Apple, Stripe, Wikimedia, Amazon Web Services et Esri peuvent traiter des données aux États-Unis. Ces transferts reposent, selon le fournisseur, sur le cadre de protection des données UE–États-Unis ou sur les clauses contractuelles types de la Commission européenne. La Suisse, le Royaume-Uni et la Norvège bénéficient d'une décision d'adéquation. Le miroir maps.mail.ru (Russie) ne reçoit aucune donnée personnelle : seulement la zone d'une requête, sans adresse IP ni identifiant.

6. Durées de conservation

7. Supprimer vos données

Une sortie enregistrée, un circuit ou une trace GPX importée : « Masquer » retire l'élément de votre bibliothèque, sans effacer sa copie conservée. Si vous êtes connecté, cette copie reste consultable par la modération ; sinon, elle reste sur cet appareil. Un retrait refusé par le serveur ou le stockage est signalé et ne fait pas disparaître silencieusement la sortie.

Un lien partagé ou une proposition au catalogue : le retrait rend la copie inaccessible au public. Elle reste consultable par la modération, qui seule peut l'effacer définitivement. La suppression du compte efface ses archives privées et ses copies de liens partagés ; les parcours que vous avez publiés au catalogue y restent, rattachés au compte d'administration de Vistavel, sans lien avec vous.

Un lieu favori : dans « Contenu de la carte », rubrique « Mes lieux favoris », touchez ✕ (« Retirer des favoris »), ou utilisez le même bouton dans la bulle du lieu sur la carte.

Une photo de la galerie d'une sortie : dans la galerie, « Supprimer » sur chacune des photos que vous avez envoyées, même si vous ne participez plus à la sortie, tant que vous êtes membre du club. Supprimer votre compte supprime toutes vos photos.

Votre compte : sur le site vistavel.com comme dans l'application Vistavel, ouvrez « Compte », puis « Supprimer mon compte », et confirmez avec votre mot de passe (un compte sans mot de passe, créé avec Google ou Apple : avec le code de suppression reçu par e-mail). Vous pouvez aussi écrire à contact@vistavel.com depuis l'adresse de votre compte. La suppression efface immédiatement le compte, vos circuits, vos lieux favoris, vos lieux privés, vos liens de partage, vos sorties enregistrées, les photos que vous avez envoyées dans les galeries de sorties, vos blocages et ceux qui vous visent, votre session et les index qui s'y rapportent ; un abonnement en cours est résilié avant l'effacement. Les copies des courriels que nous vous avons envoyés sont gardées 5 ans après la suppression, pour le support et la preuve des envois (section 3.14). Les données gardées sur votre appareil s'effacent en désinstallant l'application, ou en effaçant les données du site dans votre navigateur. Les voies de suppression, ce qui est effacé et ce qui est gardé, avec les durées, sont réunis sur la page Supprimer votre compte.

8. Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, leur portabilité et la limitation de leur traitement, vous opposer à un traitement fondé sur l'intérêt légitime et retirer votre consentement à la localisation. Écrivez à contact@vistavel.com ou utilisez la page Assistance : nous répondons dans un délai d'un mois. Le fichier « Exporter JSON » de votre compte comprend la liste des photos que vous avez envoyées dans les galeries de sorties (club, sortie, légende et date) et celle des personnes que vous avez bloquées (nom vu, genre de contenu et date), jamais l'identifiant de leur compte ni les blocages qui vous visent. Vous pouvez aussi adresser une réclamation à la CNIL (www.cnil.fr).

9. Données sur votre appareil

Vistavel garde sur votre appareil vos circuits, vos favoris, vos préférences d'affichage, le brouillon de la sortie en cours d'enregistrement et, si vous pointez l'émargement d'une sortie de club dans l'application, les pointages faits sans réseau jusqu'à leur envoi (section 3, « Émargement des sorties des clubs »), pour fonctionner hors ligne. Ces données ne sont envoyées à notre serveur que dans les cas décrits ci-dessus.

10. Évolutions

Nous pouvons modifier cette politique. La version en vigueur est celle publiée sur cette page ; sa date figure en haut. Un changement important vous est signalé à la connexion.