Politique de confidentialité

Dernière mise à jour : 11 novembre 2026

ViewSage est un réseau social de proximité : tu déposes un message à l’endroit exact où tu te trouves, et les personnes qui passent par là le voient.

Un service pareil ne peut pas fonctionner sans savoir où tu es. C’est la donnée la plus sensible que nous traitons, et cette page explique exactement ce qu’elle devient.

En résumé

• Tes données sont hébergées en France, chez Supabase, sur l’infrastructure d’Amazon Web Services à Paris.
• Aucune publicité, aucun traceur tiers, aucune revente de données.
• Tu peux supprimer ton compte depuis l’app, et presque tout part — les exceptions sont expliquées au point 8.
• ViewSage est réservé aux personnes de 18 ans et plus.

1. Qui est responsable de tes données

Le responsable du traitement est l’éditeur de ViewSage, présenté dans les Mentions légales. Tu peux lui écrire à hind-gazelle.4r@icloud.com.

2. Ce que nous collectons, et pourquoi

Pour créer ton compte

ViewSage n’a ni mot de passe ni inscription par e-mail : on se connecte uniquement avec « Continuer avec Apple ».

Pour ton profil

Ton nom affiché, ton nom d’utilisateur et ta date de naissance. Si tu le souhaites, une photo, une courte bio et des centres d’intérêt.

La date de naissance sert uniquement à vérifier que tu as 18 ans. L’app n’en affiche que ton âge, et seulement aux personnes indiquées au point 3.

Sur iOS 26, Apple peut aussi te proposer, pendant l’inscription, de partager ta tranche d’âge (par exemple « 18 ans ou plus »). Si tu acceptes, nous gardons cette tranche et la manière dont elle a été déclarée, pour la même raison et pour rien d’autre.

Pour le badge vérifié

Le badge vérifié est facultatif : il ne s’obtient que si tu le demandes. Il dit aux autres que tu es une vraie personne, majeure, et que ta photo de profil est la tienne.

Base légale : ton consentement. Avant l’envoi, tu coches une case d’accord ; nous enregistrons l’heure et la version du texte accepté, et sans cet accord la demande est refusée.

• Tu envoies une courte vidéo de ton visage qui tourne la tête, sans le son, et une photo de ta pièce d’identité (carte d’identité, passeport ou permis de conduire). Son numéro ne sert à rien : l’app t’invite à le masquer. Pendant l’enregistrement, ton téléphone repère ton visage et l’angle de ta tête pour te guider ; ce repérage se fait sur le téléphone seulement, et rien n’en est envoyé.
• Les deux fichiers sont déposés dans un espace privé, chez Supabase à Paris, que seul l’éditeur peut lire. Il les regarde, compare à l’œil le visage de la vidéo, celui de la pièce et ta photo de profil, vérifie que tu as 18 ans ou plus, et décide. Aucune comparaison automatique du visage n’est faite, et rien n’est recopié de la pièce : ni ton nom, ni ta date de naissance, ni son numéro.
• Les deux fichiers sont effacés dès la décision, quelle qu’elle soit, et au plus tard 7 jours après l’envoi si personne n’a décidé ; un fichier déposé sans demande complète est effacé après 2 heures.
• Tu peux retirer ton consentement à tout moment tant que ta demande est en attente : annule-la depuis ton profil, et ses deux fichiers sont effacés aussitôt.
• Il reste ensuite le badge, s’il est accordé, et l’historique de tes demandes : leur date, leur issue, la date de la décision, qui a décidé, l’heure et la version de ton consentement et, en cas de refus, le motif, qui t’est montré. Cet historique est effacé 12 mois après la décision. Une notification t’annonce la réponse. Trois demandes au plus sur 30 jours.

Pour le cœur du service

Pour le jeu de la semaine

Le jeu de la semaine prend deux formes : la chasse au trésor (des indices, chacun menant à un lieu, à valider sur place) et le défi du lieu (une question sur un endroit, à laquelle on répond par un message public laissé à moins de 100 mètres). On joue de 9 h à 20 h, heure de Paris.

• Quand tu touches « J’y suis », ton téléphone envoie ta position et sa précision ; le serveur la compare au lieu de l’étape, te dit seulement si tu chauffes, puis ne la garde pas.
• Pour chaque jeu, nous gardons ta participation : les étapes trouvées, tes points, l’heure de ton arrivée dans le jeu, de ta dernière étape trouvée et de ton dernier essai (pour repérer la triche : des essais en rafale, ou un trajet plus rapide qu’à vélo), l’heure où tu as fini, et, pour un défi, le message qui y répond.
• Pour un défi du lieu, tu rejoins d’abord le jeu en touchant « Écrire sur place » depuis sa page ; ensuite seulement, un message public que tu laisses à moins de 100 mètres du lieu, entre 9 h et 20 h, répond au défi. Le message d’une personne qui n’a pas rejoint le jeu ne compte pas, et elle n’apparaît pas au classement.
• Ces données sont effacées 6 mois après la fin du jeu, et avec ton compte.

Un jeu est préparé par l’éditeur, ou proposé par ViewSage IA (point 4), qui n’est pas encore en service. Pour le proposer, l’assistant reçoit le nom de la zone, son centre et son rayon, les titres des derniers jeux, le nombre de membres qui y ont publié ces 30 derniers jours, et les lieux des messages publics de la zone, regroupés par nom de lieu : position moyenne et nombre de messages, sans auteur. Cette liste est effacée 30 jours après la demande. Aucun jeu ne paraît sans l’éditeur.

Pour les notifications

Si tu acceptes les notifications, iOS donne à ton téléphone un jeton d’appareil, que nous gardons avec ton compte (cinq appareils au plus). Le serveur s’en sert pour te prévenir par le service de notifications d’Apple : un message privé reçu, un commentaire sous ton message, un j’aime, une lecture ou une découverte qui franchit un palier, une invitation ou un message dans un cercle, et, si tu es membre signature, un appel quand l’équipe de modération a besoin de renfort. Le texte d’une notification passe par Apple : par exemple le nom de l’expéditeur et le début d’un message privé — sauf s’il est éphémère —, d’un commentaire ou d’un message de cercle. Il quitte notre file d’envoi après 2 jours. Le jeton est oublié quand tu te déconnectes, quand tu supprimes ton compte, ou quand Apple le déclare invalide.

Les Annonces de ViewSage — une nouveauté, un événement — sont désactivées par défaut. Tu les actives, et les coupes d’un geste, dans Profil → Réglages. Elles sont rares : une par jour et trois par semaine au plus, jamais entre 21 h et 9 h (heure de Paris), et jamais de publicité.

Pour les statistiques

Les messages de Maintenant s’effacent ; quelques chiffres sont donc gardés à part, sans le texte ni la position exacte :

• les jours où tu as ouvert l’app, sans l’heure ni le lieu ;
• pour chaque message publié : son monde, s’il porte une photo, une vidéo ou un son, son rayon, une maille d’environ 1 km qui le contient, et ce qu’il a récolté (lectures, j’aime, commentaires, découvertes) ;
• le nombre de lectures de tes messages, par jour et par heure.

Ils sont effacés après 13 mois, et avec ton compte. Ils servent à deux choses : un tableau de bord pour l’éditeur, qui ne montre que des totaux — jamais une personne, et une zone seulement à partir de 5 messages — et, pour les membres signature, « Tes stats » : des totaux sur leurs propres messages, jamais qui les a lus ; les heures de lecture n’y apparaissent qu’à partir de 10 lectures.

Ce que nous ne collectons pas

Ni tes contacts, ni ton historique de navigation, ni tes déplacements quand l’app est fermée. En réalité augmentée, les images de la caméra restent sur ton téléphone : rien n’en est envoyé. Aucun identifiant publicitaire, aucun réseau social tiers, aucun outil de mesure d’audience.

3. Qui peut voir quoi

• Un message de Maintenant est visible, à sa position exacte, par les membres connectés qui regardent cet endroit, jusqu’à son expiration.
• Un message de Traces n’apparaît qu’après avoir été relu par l’équipe de modération (point 4). Il reste ensuite visible jusqu’à ce que tu le supprimes.
• Un message à rayon limité (les voisins, le quartier, la ville) ne s’ouvre qu’aux membres qui se trouvent dans ce rayon. Les autres voient seulement qu’ici, ça parle : un cercle centré sur un point arrondi à 250 mètres, avec un nombre de messages — sans auteur, sans texte, sans heure exacte.
• Un message à parution différée n’est visible que par toi jusqu’à l’heure choisie — et par l’équipe de modération (point 4).
• Un message que tu marques comme privé n’est visible que par toi — et par l’équipe de modération (point 4).
• Une conversation privée n’est visible que par ses deux participants. C’est le serveur qui l’impose, pas seulement l’app.
• Un cercle et ses messages ne sont visibles que de ses membres. On y entre sur invitation, et seulement si on accepte.
• Le classement d’un jeu ne paraît qu’à sa fin : les 10 premiers, avec leur nom affiché, leur @, leur photo et leur score — sans heure ni lieu —, et jamais un compte exclu ou suspendu. Pendant le jeu, on voit seulement combien de personnes jouent et combien ont fini.
• Ta carte de profil — nom affiché, nom d’utilisateur, photo — est visible des membres connectés, qui peuvent la trouver en tapant le début de ton @ ou de ton nom affiché. Si tu es membre signature (l’une des 100 premières personnes à ouvrir sur place la trace fondatrice d’une ville), un anneau doré l’indique à tous. Ton profil affiche aussi « Membre depuis », suivi du mois et de l’année où tu as créé ton compte (jamais le jour), et le badge vérifié si tu l’as obtenu ; la vidéo et la pièce d’identité envoyées pour l’obtenir ne sont vues que de l’éditeur. Ta bio, tes centres d’intérêt et ton âge ne le sont que de toi et des personnes avec qui tu as déjà une conversation.
• Une personne que tu bloques ne voit plus ni tes messages, ni ton profil, ni votre conversation, et réciproquement. Elle n’en est pas avertie.

4. Modération

• L’équipe de modération, c’est l’éditeur de ViewSage et des modérateurs bénévoles : des membres signature qui ont accepté une charte — ne retirer que ce que les règles interdisent, garder privé ce qu’ils voient, ne jamais se servir du rôle pour contacter quelqu’un. Leurs pouvoirs sont limités et grandissent avec l’expérience ; seul l’éditeur peut exclure définitivement. Chaque action est inscrite dans un journal, et l’éditeur peut l’annuler.
• Pour modérer, l’équipe voit les signalements et ce qu’ils contiennent, les messages en relecture (Traces, et messages retenus par le filtre automatique), et peut parcourir les messages publiés dans sa zone — y compris ceux à parution différée ou marqués comme privés. Seul l’éditeur voit, en plus, le nom transmis par Apple à l’inscription (point 2).
• Avant d’apparaître, chaque message de Traces est relu par l’équipe, qui l’accepte ou le refuse.
• Un filtre automatique compare chaque texte, avant sa publication, à une liste de motifs (Conditions, point 5). Il tourne dans notre base, sans service extérieur. Quand il retient un message public pour relecture, nous gardons avec lui la famille de motif repérée (par exemple « numéro »), aussi longtemps que le message existe. Un texte qu’il refuse n’est enregistré nulle part.
• Quand tu signales un message, le serveur en garde une copie — texte, lieu, nom affiché de l’auteur — même si l’auteur le supprime ensuite. Sans elle, effacer un message effacerait la preuve. Quand tu signales une personne, les cinq derniers messages privés qu’elle t’a envoyés sont joints au signalement ; pour un message de cercle, le nom du cercle et jusqu’à vingt messages, celui-ci compris, avec le nom de leurs auteurs.
• Un message signalé par trois personnes différentes quitte la carte en attendant qu’une personne le relise.
• Un compte qui enfreint gravement les Conditions d’utilisation peut être exclu : il ne peut plus publier ni écrire en privé, et ses messages disparaissent de la carte.
• La modération peut être assistée par ViewSage IA, un assistant automatique fondé sur un modèle de langage (Claude, d’Anthropic). Quand c’est le cas, il reçoit les textes à examiner — signalements, Traces en relecture avec le nom de leur lieu, nouveaux messages et commentaires publics, messages privés écrits à son propre compte — et quelques signaux sur leur auteur : ancienneté du compte, nombre de signalements reçus, statut de membre signature. Les personnes n’y sont désignées que par des références (A1, R1…) : il ne reçoit ni ton identifiant, ni ton pseudo, ni ton nom affiché, ni ta position, ni ta date de naissance, ni ton adresse e-mail, ni tes photos. Chacune de ses décisions repasse par notre base, qui refuse ce qui dépasse ses pouvoirs ; une exclusion définitive n’est jamais qu’une proposition soumise à l’éditeur, qui peut aussi annuler ce que l’assistant a fait.
• La personne signalée ne sait jamais qui l’a signalée.
• Chaque décision qui te vise — contenu refusé, masqué ou supprimé, compte suspendu ou exclu — est enregistrée avec un extrait de 140 caractères du contenu, son lieu et son motif, pour te l’expliquer et te permettre de la contester. Si ton compte est bloqué, l’écran de connexion envoie à notre serveur le jeton qu’Apple vient de te donner ; le serveur le fait vérifier par Apple, puis te répond le motif. Le jeton n’est pas gardé.

Base légale : notre intérêt légitime à protéger les membres, et nos obligations d’hébergeur de contenus.

5. Où vont tes données

• Supabase, Inc. héberge la base de données, les photos, les fichiers de vérification et l’authentification, sur l’infrastructure d’Amazon Web Services, région eu-west-3 (Paris, France). Les données sont stockées dans l’Union européenne ; les conditions de traitement de Supabase encadrent tout accès depuis l’extérieur.
• Apple intervient comme fournisseur d’identité quand tu utilises « Continuer avec Apple » ; pour afficher la carte (Apple Plans) ; pour calculer le nom d’un lieu à partir de la position d’un message ; pour acheminer les notifications, si tu les acceptes (service de notifications push d’Apple) ; pour transmettre la tranche d’âge que tu choisis de partager (iOS 26) ; et pour traduire un texte quand tu touches « Voir la traduction » (traduction intégrée à iOS). Apple traite ces données selon sa propre politique de confidentialité.
• Anthropic (société américaine, modèle Claude) peut recevoir les textes à examiner quand la modération est assistée par ViewSage IA (point 4), sans identifiant ni pseudo, ainsi que, pour proposer le jeu de la semaine, des noms de lieux et des positions de la zone, sans auteur (point 2). Cette assistance est prévue mais n’est pas encore en service : à la date de cette page, aucun texte ne lui a jamais été envoyé.
• Cloudflare, Inc. héberge ce site, viewsage.app. Comme tout hébergeur web, il voit l’adresse IP des visiteurs pour leur envoyer les pages et protéger le site. Le site ne dépose aucun cookie et n’utilise aucun outil de mesure d’audience.

Nous n’utilisons aucun autre sous-traitant : ni outil d’analyse, ni régie publicitaire, ni outil de suivi.

6. Combien de temps nous gardons tes données

7. Tes droits

Le RGPD te donne les droits suivants, que tu peux exercer en écrivant à hind-gazelle.4r@icloud.com :

• Accès : obtenir une copie de tes données.
• Rectification : corriger ce qui est inexact. La plupart se modifie directement dans l’app, onglet Profil.
• Effacement : supprimer ton compte. Tu n’as besoin de personne : Profil → Réglages → Supprimer mon compte.
• Portabilité : recevoir tes données dans un format lisible par machine.
• Opposition et limitation du traitement.
• Retrait du consentement : pour le badge vérifié, annule ta demande en attente depuis ton profil ; ses fichiers sont effacés aussitôt.

Nous répondons dans un délai d’un mois. Si notre réponse ne te satisfait pas, tu peux saisir la CNIL : cnil.fr/plaintes.

8. Ce qui se passe quand tu supprimes ton compte

Sont effacés : ton compte, ton profil, ta photo, tous tes messages, tes conversations privées des deux côtés, tes likes, tes blocages, tes commentaires, tes amis, tes messages dans les cercles, le nom transmis par Apple, ta dernière position, tes statistiques, tes participations aux jeux, tes demandes de badge vérifié (et leurs fichiers, s’ils n’étaient pas encore effacés), tes jetons de notification, et les photos, vidéos et sons que tu as envoyés. C’est définitif : il n’y a pas de corbeille.

Les exceptions. Un signalement visant l’un de tes messages garde la copie faite au moment du signalement, pour que la modération puisse aller au bout. Les signalements que tu as envoyés restent aussi, mais ne sont plus rattachés à toi. Les décisions de modération qui t’ont concerné restent inscrites au journal, 12 mois au plus. Si tu étais membre signature, ta place reste comptée, sans ton nom. Et si ton compte a été exclu, l’empreinte décrite au point 6 reste, pour qu’il ne puisse pas être recréé.

9. Sécurité

Tous les échanges passent par HTTPS. Il n’y a pas de mot de passe à voler : la connexion passe par Apple. L’accès aux données est contrôlé ligne par ligne par le serveur, et une publication passe toujours par des fonctions qui appliquent les règles — âge, intervalle entre deux messages au même endroit, relecture. Un membre ne peut pas les contourner, même en modifiant l’application.

Aucun système n’est infaillible. En cas de violation de données présentant un risque pour tes droits, nous te préviendrons et nous notifierons la CNIL dans les 72 heures.

10. Âge minimum

ViewSage est interdit aux moins de 18 ans. L’âge est demandé à l’inscription et la règle est appliquée par la base de données : sans date de naissance, impossible de publier ou d’écrire en privé. Si nous apprenons qu’un compte appartient à une personne mineure, il est supprimé.

11. Modifications

Toute modification importante sera annoncée dans l’app avant d’entrer en vigueur. La date en haut de cette page indique la dernière mise à jour.