Politique de confidentialité

• Dernière mise à jour : 9 septembre 2026
• Responsable de traitement : Arnaud RITTI, 8 rue des Orfèvres, 67800 Bischheim, France
• Délégué à la protection des données : Arnaud RITTI, responsable de traitement. Contact : dpo@arkoder.dev

En résumé

Chaînade sait où vous vous déplacez. C'est la donnée la plus sensible qu'un service puisse détenir sur vous, et tout le produit est construit pour en détenir le moins possible.

Concrètement :

• Vos adresses exactes ne quittent jamais nos serveurs. Ce que les autres voient est un point décalé d'environ 300 mètres.
• Les points de rendez-vous sont toujours des lieux publics. Il n'existe aucun moyen technique d'y inscrire une adresse personnelle.
• Les notifications ne contiennent aucune information personnelle. Elles transitent par des serveurs hors d'Europe : elles ne portent qu'un titre générique, et l'application récupère le contenu à l'ouverture.
• Les traces de trajet et les messages sont effacés au bout de 30 jours.
• Aucun traceur publicitaire, aucune revente, aucun réseau social.

1. Ce que nous traitons, et pourquoi

1.1 Votre compte

Données : prénom, adresse électronique, date de naissance, mot de passe (sous forme chiffrée non réversible), et selon vos choix : numéro de téléphone, genre.

Pourquoi : vous identifier, vérifier que vous êtes majeur, vous contacter.

Base légale : exécution du contrat.

Conservation : durée du compte.

La date de naissance sert exclusivement à vérifier la majorité, exigée sans exception. Le genre est demandé à tout le monde à l'inscription et reste facultatif : il figure sur votre profil, visible des personnes avec qui vous pouvez faire un trajet, et il sert au filtre de mixité si vous l'activez. Ne pas le renseigner ne ferme que ce filtre.

Le filtre de mixité, si vous l'activez, restreint les trajets qui vous sont proposés aux personnes d'un genre donné. Il répond à un motif de sécurité dans l'espace public, et trois bornes l'encadrent :

• il est facultatif et désactivé par défaut, et ne rien répondre le laisse fermé ;
• il est réciproque : il ne suffit pas qu'une personne corresponde à votre préférence, il faut que vous corresponsiez à la sienne ;
• il n'agit que sur les suggestions. Il ne change ni ce que les autres voient de vous, ni vos droits, ni votre accès au service.

1.2 Vos trajets

Données : points de départ et d'arrivée, horaires, mode de déplacement, préférences déclarées (conversation, allure, écouteurs), récurrence.

Pourquoi : vous proposer des personnes faisant un trajet comparable.

Base légale : exécution du contrat.

Conservation : durée du compte.

Le point le plus important de cette politique. Les coordonnées exactes de votre départ et de votre arrivée sont stockées séparément et ne sont jamais transmises à votre navigateur ni à quiconque. Ce qui circule est un point décalé d'environ 300 mètres, y compris après que vous avez accepté de faire route avec quelqu'un, et y compris dans l'export de vos données.

Le décalage est constant pour un même trajet : observer plusieurs fois le même point flouté ne permet pas d'en déduire le point réel.

1.3 Les propositions de trajet

Données : comparaison de votre trajet avec ceux des autres, taux de recouvrement, détour induit, fiabilité et préférences de chacun.

Pourquoi : classer les propositions qui vous sont faites.

Base légale : exécution du contrat.

Ce classement est un profilage au sens de l'article 4.4 du RGPD : il évalue automatiquement des éléments vous concernant pour ordonner ce qui vous est présenté. Il ne produit aucun effet juridique et ne restreint aucun de vos droits : il ordonne une liste, il ne décide rien. Vous restez libre de demander à rejoindre n'importe quelle proposition, quel que soit son rang.

1.4 Les points de rendez-vous

Données : lieu public (arrêt, place, entrée de parc), horaire.

Base légale : exécution du contrat.

Un point de rendez-vous est toujours un lieu public. Ce n'est pas une règle interne susceptible d'être contournée : la base de données refuse d'enregistrer un point de rendez-vous qui ne référencerait pas un lieu public.

1.5 Les discussions

Données : contenu des messages, auteur, horodatage.

Base légale : exécution du contrat.

Conservation : 30 jours. Exception : un message rattaché à un signalement est gelé jusqu'au traitement de celui-ci.

Le canal n'existe qu'entre deux heures avant et deux heures après un trajet confirmé, et uniquement entre ses participants.

1.6 Le signe de reconnaissance

Données : une courte description que vous saisissez vous-même, par exemple une couleur de vêtement.

Base légale : exécution du contrat.

Conservation : effacé deux heures après l'arrivée prévue.

Le signe est attaché à une participation, jamais à votre profil. Il n'apparaît jamais lors de la découverte des trajets.

1.7 Le suivi de trajet

Données : position horodatée pendant le trajet, jeton d'accès du lien de partage.

Base légale : consentement. Vous démarrez le suivi vous-même et l'arrêtez quand vous voulez.

Conservation : 30 jours.

Le lien transmis à votre contact comporte un identifiant aléatoire de 48 caractères, expire au bout de 6 heures, et cesse de fonctionner dès que vous terminez votre trajet. C'est le seul endroit du service où une position exacte est affichée : un point flouté à 300 mètres ne permettrait pas de vous retrouver, ce qui est précisément l'objet de la fonction.

Toute personne disposant du lien peut voir cette position. Ne le transmettez qu'à quelqu'un en qui vous avez confiance.

Il n'est protégé par aucun mot de passe : la personne que vous prévenez n'a pas de compte à créer.

1.8 La sécurité et la modération

Données : signalements et leur contexte, blocages, suspensions.

Base légale : intérêt légitime, à savoir la sécurité physique des personnes que le service met en présence.

Conservation : durée du compte, sauf le journal d'audit décrit au 1.9.

Le contexte d'un signalement est une copie figée et limitée des échanges au moment du dépôt, pas un accès à l'ensemble de vos conversations.

Vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime. Une opposition portant sur la modération ne peut cependant pas être accueillie sans mettre fin à votre accès au service, la sécurité des autres personnes étant la raison d'être de ce traitement.

1.9 Le journal des trajets

Données : qui, quand, et un point approximatif. Jamais votre adresse.

Base légale : intérêt légitime, et obligation légale en cas de réquisition.

Conservation : 6 mois.

Ce journal est le seul élément conservé après la suppression de votre compte, au titre de l'article 17.3(e) du RGPD. Il existe pour répondre à une réquisition judiciaire portant sur un trajet, et n'aurait aucune valeur s'il suffisait de supprimer son compte pour l'effacer.

Le journal est immuable : aucune ligne n'y est modifiée après écriture.

1.10 Les avis et le taux de présence

Données : note, commentaire, auteur, destinataire, date de dépôt et de publication ; nombre de trajets effectués et taux de présence qui en découle.

Base légale : exécution du contrat.

Conservation : durée du compte du destinataire.

Un avis n'est publié que lorsque tous les avis attendus ont été déposés, ou au bout de quatorze jours. Ce double aveugle évite qu'une personne enterre un avis défavorable en s'abstenant de déposer le sien.

Le taux de présence est mesuré et affiché, jamais utilisé pour sanctionner. Une annulation en sort du décompte au lieu de le dégrader.

1.11 Les habitués

Données : nombre de trajets effectués ensemble par une paire de personnes.

Pourquoi : signaler que vous avez déjà voyagé avec quelqu'un, à partir de trois trajets.

Base légale : exécution du contrat.

Conservation : durée du compte.

1.12 Les notifications

Données : identifiant technique de votre navigateur, ou numéro de téléphone vérifié.

Base légale : exécution du contrat.

Conservation : tant que la souscription est active. Une souscription refusée par le service de notification est supprimée.

Les notifications d'un site web transitent obligatoirement par les serveurs d'Apple, de Google ou de Mozilla, situés hors d'Europe. Nous n'y mettons donc aucune information personnelle : ni nom, ni lieu, ni horaire, ni contenu de message. Vous recevez un titre générique, et l'application récupère le détail lorsque vous l'ouvrez.

Le SMS et le courriel, eux, ne passent par aucun prestataire hors d'Europe : ils peuvent donc comporter l'heure et le lieu de votre rendez-vous.

1.13 La vérification d'identité

Données conservées par nous : un identifiant de session, son résultat, sa date. Rien d'autre.

Données traitées par le prestataire : votre pièce d'identité, votre visage, un contrôle de vivacité. Ce sont des données biométriques au sens de l'article 9 du RGPD.

Base légale : consentement explicite (article 9.2.a). La démarche est facultative et n'ouvre aucune fonctionnalité.

Conservation chez nous : durée du compte. Chez le prestataire : voir sa propre politique.

Votre pièce d'identité ne transite jamais par nos serveurs. Nous ne communiquons au prestataire que votre identifiant interne, ni votre nom, ni votre adresse électronique, ni votre téléphone.

1.14 La manifestation d'intérêt hors zone

Données : adresse électronique, commune choisie dans la liste officielle, date du consentement, jeton de retrait.

Pourquoi : vous prévenir, une seule fois, le jour où le service ouvre dans votre commune.

Base légale : consentement (article 6.1.a), horodaté au moment du dépôt.

Conservation : 18 mois, ou jusqu'à l'envoi de ce courriel, qui efface votre inscription. Vous pouvez vous retirer à tout moment par le lien contenu dans le courriel, sans avoir à créer de compte.

Ce n'est pas une lettre d'information et cela ne le deviendra pas : le consentement porte sur cet envoi et sur rien d'autre. La commune se choisit dans une liste officielle, ce qui rend impossible la saisie d'une adresse personnelle dans ce champ.

1.15 Mesure d'usage

Données : date de première ouverture depuis l'écran d'accueil, plateforme.

Base légale : intérêt légitime.

1.16 Mesure d'audience

Données : l'écran consulté, sous une forme qui ne désigne aucun trajet (« une fiche de trajet » plutôt que laquelle), le site d'où vous arrivez lorsque vous venez d'ailleurs, et le fait que certaines étapes ont eu lieu : un compte créé, un trajet publié, une demande envoyée, acceptée ou refusée, un avis déposé.

Ce que la mesure ne reçoit jamais : vos adresses, votre position, le contenu de vos messages, l'identifiant d'un trajet ou d'une personne, le titre des pages que vous ouvrez. La page du contact de confiance et la page de retrait d'une manifestation d'intérêt ne sont pas comptées du tout.

Base légale : intérêt légitime.

Finalité : savoir combien de personnes trouvent quelqu'un avec qui partir, et où le parcours s'arrête. Le service ne vaut que s'il y a du monde autour de vous ; sans cette mesure, un écran sans proposition ne se distingue pas d'une panne.

Où : sur notre propre serveur, en Europe, sur la même machine que le service lui-même. Aucune donnée n'est transmise à un tiers : il n'y a ni prestataire de mesure d'audience, ni cession, ni recoupement avec quoi que ce soit d'autre.

Vous pouvez vous y opposer en nous écrivant à hello@arkoder.dev, comme pour les autres droits décrits au 6.

Aucun traceur publicitaire, aucun outil de mesure d'audience tiers, aucun cookie autre que celui de votre session.

2. Décision automatisée

Un compte est suspendu automatiquement, à titre conservatoire, lorsqu'il est signalé par trois personnes distinctes au cours des quatre-vingt-dix derniers jours. Aucune personne n'intervient avant cette suspension.

Cette mesure relève de l'article 22.2(a) du RGPD : elle est nécessaire à l'exécution du contrat qui nous lie aux autres personnes du service, dont la sécurité en dépend. Les garanties de l'article 22.3 sont les suivantes :

• elle est conservatoire et réversible, et met en pause le temps d'un examen sans rien juger ;
• elle compte des personnes distinctes, jamais des signalements ;
• un compte suspendu conserve l'accès à l'export et à la suppression de ses données ;
• un examen humain a lieu dans un délai de 48 heures ouvrées.

Vous avez le droit d'obtenir une intervention humaine, d'exprimer votre point de vue et de contester la décision, selon la procédure décrite à l'article 6.4 des conditions générales d'utilisation.

3. Qui accède à vos données

3.1 Les autres utilisateurs

Ils voient : votre prénom, vos préférences déclarées, votre badge de vérification, votre nombre de trajets, votre taux de présence, et les points floutés de votre trajet.

Ils ne voient jamais : votre adresse électronique, votre téléphone, votre date de naissance, votre genre, vos adresses exactes, ni vos autres trajets.

Le badge de vérification est binaire. Il n'indique jamais ce qui a été vérifié, ni comment.

Aucune photo n'apparaît lors de la découverte des trajets.

3.2 Nos sous-traitants

Les données cartographiques, d'adresses, de communes et d'horaires proviennent de services publics français. Aucun prestataire hors d'Europe ne reçoit de donnée de localisation.

La région de traitement du prestataire de vérification d'identité n'est pas établie à ce jour. Une vérification d'identité produit de la donnée biométrique, catégorie particulière de l'article 9 du RGPD. Tant que cette région n'est pas fixée dans l'Union européenne, la vérification par pièce d'identité n'est pas ouverte.

3.3 Les autorités

Sur réquisition judiciaire régulière uniquement.

4. Transferts hors Union européenne

Le seul transfert hors Union est l'acheminement des notifications poussées par Apple, Google ou Mozilla, imposé par le fonctionnement des navigateurs.

Le message transmis ne contient aucune donnée personnelle : ni nom, ni lieu, ni horaire, ni contenu. Il porte un identifiant technique et un titre générique. L'application récupère le contenu réel depuis nos serveurs, en Europe, lorsque vous ouvrez la notification.

Aucune donnée de localisation, aucune adresse et aucune donnée d'identité ne quitte l'Union européenne.

Ce flux n'est pas traité comme un transfert au sens du chapitre V du RGPD : le message ne porte aucune donnée qui vous rattache à quoi que ce soit, et l'identifiant de souscription est produit par votre navigateur pour ce seul usage. Une souscription est supprimée dès qu'elle est refusée par le fournisseur, et à la suppression de votre compte.

5. Durées de conservation

Ces durées sont appliquées par une purge automatique quotidienne. Celle de la mesure d'audience est appliquée par le serveur qui la reçoit, et l'identifiant de visite qu'elle emploie cesse d'être rapprochable au bout de vingt-quatre heures.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer un consentement à tout moment, sans que ce retrait remette en cause ce qui a été fait auparavant.

Deux d'entre eux s'exercent directement dans l'application, sans nous écrire :

• Accès et portabilité : « Télécharger mes données » produit un fichier lisible par une machine, généré à la demande et jamais conservé sur nos serveurs. Il contient les points floutés, pas vos adresses exactes.
• Effacement : « Supprimer mon compte », sans justification ni délai.

Ce qui subsiste après suppression, et pourquoi :

Pour les autres droits : hello@arkoder.dev. Nous répondons dans un délai d'un mois, prorogeable de deux mois si la demande est complexe.

Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

7. Sécurité

Chiffrement des échanges, mots de passe et codes de vérification stockés sous forme chiffrée non réversible, accès à l'administration restreint et journalisé, limitation du nombre de tentatives sur les envois de codes et sur les formulaires publics.

Le traceur d'erreurs employé pour la supervision est configuré en Europe et retire les jetons, les corps de requête, les cookies et les paramètres de requête SQL avant tout envoi, ces derniers portant des coordonnées.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous en informons la CNIL dans les 72 heures et, si le risque est élevé, nous vous en informons également.

8. Cookies

Le service ne dépose aucun traceur publicitaire ni aucun outil de mesure d'audience tiers. Le seul cookie est celui de votre session, strictement nécessaire au fonctionnement du service, dispensé de consentement au titre de l'article 82 de la loi Informatique et Libertés.

La mesure d'audience décrite au 1.16 ne dépose aucun cookie et n'écrit rien sur votre appareil. Les visites sont distinguées par un identifiant recalculé chaque jour à partir de votre adresse IP et de votre navigateur, sur notre serveur ; il change tous les jours, il ne permet pas de vous suivre d'un jour à l'autre, et votre adresse IP n'est pas conservée. La mesure est limitée à ce service, ne sert qu'à en établir la fréquentation, et ne donne lieu à aucun recoupement ni à aucune transmission : elle relève des conditions d'exemption de consentement posées par la Commission nationale de l'informatique et des libertés. Vous pouvez néanmoins vous y opposer, en nous écrivant à hello@arkoder.dev.

9. Mineurs

Le service est interdit aux mineurs, et cette interdiction est appliquée par une contrainte de la base de données à l'inscription. Si vous constatez qu'un mineur y a accédé, signalez-le à hello@arkoder.dev.

10. Modification

Toute modification substantielle vous sera notifiée avant son entrée en vigueur.