Politique de confidentialité

Le responsable du traitement des données personnelles est :

• Geocarp, entreprise individuelle (auto-entrepreneur)
• Contact : contact@geocarp.fr
• Identité complète et adresse postale disponibles dans les mentions légales et sur simple demande écrite à l'adresse email ci-dessus

Geocarp assure également le rôle de Délégué à la Protection des Données (DPO). Pour toute question liée à tes données, écris à contact@geocarp.fr en précisant l'objet « RGPD ».

2.1 À l'inscription

• Email et mot de passe (gérés par Supabase Auth ; le mot de passe n'est jamais stocké en clair)
• Pseudo, affiché publiquement dans la communauté
• Département (obligatoire), pour les recommandations de parcours
• La langue de ton navigateur, pour t'écrire dans ta langue
• Ton choix pour la newsletter (case décochée par défaut, modifiable dans ton profil)
• Le code de parrainage du lien qui t'a amené, s'il y en a un

2.2 Si tu te connectes avec Google ou Facebook

• Ton email, ton nom et ta photo de profil, tels que fournis par Google ou Facebook
• Ta photo de profil est affichée en la chargeant directement depuis les serveurs de Google ou Facebook
• Aucune donnée de tes contacts, publications ou activités n'est demandée

2.3 Quand tu utilises Geocarp

• Tes sessions de pêche, prises, photos, notes et favoris
• Tes contributions, messages et abonnements à d'autres carpistes
• Dictée vocale et analyse IA (si tu les utilises) : l'enregistrement audio, la photo de la prise et les éléments de ta session (spot, date, montage, esches, prises, notes, météo) sont envoyés à OpenAI pour la transcription et l'analyse
• Position de ton appareil (seulement si tu demandes un itinéraire et l'autorises) : arrondie à environ 1 km avant d'être envoyée au calcul d'itinéraire de l'IGN
• Le nom de commune que tu tapes pour te situer, envoyé au service public geo.api.gouv.fr
• Les cartes GPS que tu révèles, comptées par mois pour ton quota

Cinq outils mesurent la fréquentation du site. Ils ne servent qu'à des statistiques ; aucun ne sert à la publicité.

• Vercel Web Analytics (sans consentement, sans cookie) : à chaque page vue, l'adresse de la page, la page d'où tu viens, le pays et la ville approximative, le système, le navigateur et le type d'appareil. Vercel distingue les visiteurs par une empreinte calculée sur la requête, effacée au bout de 24 heures.
• Compteur de pages Geocarp (sans consentement, sans cookie, statistiques internes) : à chaque page vue, Geocarp ajoute 1 au compteur du jour de cette page (son adresse, sans paramètres) et, au premier passage de la journée, note le site d'où tu arrives (Google, Facebook…, ou accès direct). Pour compter les visiteurs sans cookie, ton adresse IP et ton navigateur sont combinés avec une clé tirée au hasard chaque jour, puis réduits à une empreinte illisible : l'adresse IP n'est jamais enregistrée, et la clé comme les empreintes sont effacées chaque nuit — il ne reste alors que des totaux du jour, qui ne désignent personne. Compteurs effacés automatiquement au bout de 13 mois.
• Mesure de l'appli (sans consentement, statistiques internes, sur téléphone et tablette) : quand un bouton « Installer l'appli » s'affiche ou est touché, quand l'appli est installée sur Android, ou quand l'appli installée s'ouvre (une fois par jour au plus), Geocarp enregistre le type d'événement, la page d'origine (accueil, fiche, département…), le système (iOS ou Android) et le navigateur, avec un identifiant d'appareil tiré au hasard (stockage local gc_pwa_appareil, propre à geocarp.fr, valable 13 mois et jamais prolongé). Aucune adresse IP, aucune adresse de page, aucune position. Données effacées automatiquement au bout de 13 mois. Si tu as accepté les cookies, ces événements sont aussi rattachés à ton compte, pour savoir quelle page t'a fait installer l'appli.
• Mesure des fiches (sans consentement, sans cookie, statistiques internes) : sur une fiche de spot, Geocarp ajoute 1 à un compteur du jour quand la fiche s'affiche, quand le bloc Analyse arrive à l'écran et quand la galerie de photos et de vidéos s'ouvre (avec l'onglet ouvert et le geste : photo, pastille ou bouton), en distinguant seulement téléphone et ordinateur. Rien d'autre n'est enregistré : ni identifiant, ni compte, ni fiche, ni adresse IP, ni adresse de page — un compteur ne peut désigner personne. Compteurs effacés automatiquement au bout de 13 mois.
• Google Analytics 4 (seulement si tu cliques « Accepter » sur la bannière cookies) : le script de Google est chargé et dépose ses cookies (_ga, _ga_*). Il mesure les pages vues ; quand tu partages un spot, le canal de partage (lien, Facebook, WhatsApp, email…) et la fiche partagée ; sur une fiche de spot, la demande de la carte et l'ouverture d'une rubrique (nom de la rubrique, type d'eau, téléphone ou ordinateur — jamais la fiche ni ton compte). Tant que tu n'as pas accepté, rien n'est chargé depuis Google.

Ne pas mesurer mes visites

Ce bouton coupe Vercel Web Analytics, le compteur de pages, la mesure de l'appli et la mesure des fiches sur cet appareil : plus rien n'est envoyé, et l'identifiant d'appareil est effacé. Pas besoin de compte. Si tu es connecté, ton choix est aussi enregistré dans ton compte et s'applique sur tes autres appareils dès que tu t'y connectes. Tu peux revenir sur ton choix à tout moment avec le même bouton.

Google Analytics, lui, se règle par ton choix sur les cookies : gérer mes cookies. Tu peux aussi t'opposer à la mesure en écrivant à contact@geocarp.fr.

Toujours actifs (nécessaires au fonctionnement)

• sb-…-auth-token : ta connexion (Supabase), 400 jours
• gc_consent : ton choix sur les cookies, 180 jours
• gc_signup_locale : ta langue, le temps d'une connexion Google ou Facebook, 10 minutes

Seulement après « Accepter »

• gc_attribution : la source de ta première visite (lien, moteur de recherche, réseau social, campagne), 90 jours ; enregistrée avec ton compte à l'inscription
• gc_ref : le code du lien de parrainage qui t'a amené, 30 jours
• _ga, _ga_* : Google Analytics (durée fixée par Google)

Si tu refuses ou retires ton accord, gc_attribution et gc_ref sont effacés.

Stockage local (jamais transmis tel quel)

• gc_pwa_appareil : l'identifiant d'appareil de la mesure de l'appli (section 3), 13 mois
• gc_mesure_refusee : ton opposition à la mesure (section 3)
• gc_admin_exclu : posé seulement sur les appareils de l'équipe Geocarp, pour que leurs propres visites ne soient pas comptées
• gc_pwa_installee, gc_pwa_masque_membre, gc_pwa_masque_barre, gc_pwa_ouverture_jour : l'appli installée, les invitations à l'installer que tu as fermées, la dernière ouverture
• Tes préférences d'affichage : barre latérale repliée, vue du carnet, fond de carte
• Pour l'onglet en cours seulement : l'encart newsletter fermé, le rattachement de l'appareil à ton compte

Sur téléphone, l'appli garde aussi une copie des fichiers du site (images, styles, page hors ligne) pour s'ouvrir plus vite ; jamais tes pages personnelles.

• Créer et gérer ton compte, fournir le service (carnet, cartes, analyses IA demandées) : exécution du contrat
• T'envoyer les emails du service (confirmation, sécurité, messages, alertes que tu as demandées) : intérêt légitime
• T'envoyer la newsletter, si tu y consens : consentement
• Mesurer l'audience sans cookie (Vercel Web Analytics, compteur de pages, mesure de l'appli, mesure des fiches) : intérêt légitime, avec le bouton d'opposition ci-dessus
• Google Analytics, source de ta visite, parrainage : consentement (bannière cookies)
• Protéger le site et appliquer les quotas (limitation des requêtes) : intérêt légitime

Tes données ne sont ni revendues, ni utilisées à des fins publicitaires. Elles sont traitées par :

• Supabase : base de données, comptes et photos — hébergement à Paris
• Vercel (États-Unis) : hébergement du site, serveurs exécutés à Paris ; Vercel Web Analytics
• Resend : envoi des emails
• OpenAI (États-Unis) : dictée vocale et analyses IA, seulement quand tu les utilises
• Airtable (États-Unis) : notre fichier des membres — email, pseudo, département, langue, mode de connexion, date d'inscription, numéro de fondateur
• Upstash : limitation des requêtes — ton adresse IP ou ton identifiant de compte, gardés de 10 secondes à 1 jour ; le décompte mensuel des cartes GPS, 40 jours
• Google : Google Analytics (après « Accepter ») et connexion avec Google ; Meta : connexion avec Facebook
• IGN (itinéraire, position arrondie) et geo.api.gouv.fr (recherche de commune) : services publics français

Certains de ces prestataires sont établis aux États-Unis : tes données peuvent donc y être transférées.

Ce que ton navigateur charge directement

En affichant certaines pages, ton navigateur contacte des serveurs tiers, qui reçoivent ton adresse IP comme pour tout site visité : jsDelivr (icônes, sur toutes les pages), les fonds de carte de l'IGN, d'Esri, d'OpenStreetMap et de CARTO (pages avec carte), et Google ou Facebook pour les photos de profil venant de ces comptes. Sur une fiche de spot qui a des vidéos drone, les miniatures des vidéos viennent de YouTube (i.ytimg.com, Google) dès l'affichage de la fiche ; le lecteur vidéo, lui, n'est chargé qu'au lancement d'une vidéo, depuis youtube-nocookie.com. Les boutons de partage (Facebook, WhatsApp…) et d'itinéraire (Waze, Google Maps, Mappy) sont de simples liens : rien n'est chargé avant que tu cliques.

Conformément au RGPD, tu disposes des droits suivants :

• Droit d'accès : connaître les données que nous avons sur toi
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : supprimer ton compte et tes données
• Droit à la portabilité : récupérer tes données dans un format réutilisable
• Droit d'opposition : notamment à la mesure d'audience, avec le bouton de la section 3
• Droit de limitation : suspendre temporairement le traitement de tes données

Pour exercer ces droits, écris à contact@geocarp.fr en précisant ta demande. Nous répondrons sous 30 jours maximum.