Politique de confidentialité

1. Qui nous sommes

Travel Story Maker est exploité par une équipe indépendante. La présente Politique de confidentialité explique comment nous collectons, utilisons et protégeons vos données personnelles lorsque vous utilisez notre site et le Service associé.

2. Données collectées

Nous collectons uniquement ce qui est nécessaire au fonctionnement du Service :

• Données de compte : adresse e-mail, mot de passe haché (ou identifiant OAuth si vous vous connectez via Google), nom d'affichage.
• Notification de nouveau compte : lors d'une inscription par e-mail ou Google, le nom d'affichage, l'adresse e-mail et le mode d'inscription sont envoyés à la boîte administrative du site via Resend pour la gestion des comptes. Aucun mot de passe ni jeton de vérification n'est inclus.
• Activité du compte et conservation : date de la dernière activité authentifiée, état et échéance d'un avertissement d'inactivité. Aucun historique de navigation n'est enregistré à cette fin.
• Données d'usage : métriques anonymes telles que les pages vues, le type de navigateur, la langue et les temps de chargement.
• Observation des robots : lorsque le suivi est activé, nous classons les requêtes automatisées déclarées à partir du user-agent et conservons uniquement des totaux journaliers par famille de robot et groupe de pages assaini, avec une date de dernière observation. Aucune adresse IP, chaîne user-agent brute, paramètre d'URL ni identifiant de visiteur n'est enregistré dans ces agrégats. Les identifiants d'articles et chemins inconnus sont regroupés. Ces observations non vérifiées servent au suivi de la découvrabilité et sont conservées pendant 30 jours calendaires UTC.
• Statistiques de génération des passeports et cartes postales : après une génération complète demandant le téléchargement, nous enregistrons le type de création, la ou les faces choisies, le nombre de PNG, la langue de l’interface, l’horodatage et le pays approximatif fourni par l’hébergeur. Aucune photo, message, nom du voyageur, adresse du destinataire, identité de compte ou adresse IP n’est envoyé à la table de statistiques. Ces compteurs mesurent les actions de téléchargement, pas les personnes uniques ni l’enregistrement effectif sur disque.
• Données de contenu : itinéraires, photos et animations, ainsi que les passeports et cartes postales (photo comprise), que vous créez et sauvegardez dans votre compte.
• Consultation administrative des parcours sauvegardés : les administrateurs authentifiés du site peuvent consulter l’e-mail du compte créateur, les dates de sauvegarde, le titre du parcours, ses étapes actives et leurs coordonnées, les moyens de transport ainsi que les distances et temps de trajet estimés dans un catalogue privé en lecture seule. Ce catalogue ne contient ni fichiers multimédias, ni notes, budgets ou réglages d’animation et ne collecte pas les brouillons non sauvegardés du navigateur. Il lit les parcours déjà enregistrés, sans créer de copie historique distincte ; la suppression d’un parcours sauvegardé ou de son compte le retire de ce catalogue.
• Position en direct (facultatif) : seule la dernière position approximative (coordonnées arrondies à quatre décimales, précision et horodatage) est partagée avec les détenteurs du lien en lecture seule, avec une copie des noms et coordonnées des étapes. Aucun historique de positions n’est conservé. Le suivi fonctionne uniquement lorsque la fenêtre de partage reste ouverte ; sa fermeture demande la suppression de la position. Vous pouvez arrêter le suivi ou révoquer le lien ; le lien devient inaccessible au bout de sept jours et la suppression du compte l’efface. Une interruption du navigateur ou du réseau peut laisser la dernière position visible jusqu’à l’arrêt, la révocation ou l’expiration du lien. Les lignes expirées sont effacées lors de la prochaine gestion des partages en direct.
• Galerie Made with TSM (facultatif) : un aperçu du trajet, les noms et coordonnées des étapes, le titre, une légende facultative et le prénom (ou « Un voyageur ») sont proposés à la modération. Les propositions approuvées sont publiques et peuvent être remixées. Les photos, vidéos, notes, budgets et adresses e-mail ne sont pas publiés. Les propositions restent conservées jusqu’à leur retrait, leur suppression par un administrateur ou la suppression du compte.
• Partage par lien : après confirmation, une copie figée du voyage (photos, logo, notes et planification inclus) est enregistrée sur nos serveurs. Toute personne disposant du lien peut la consulter sans compte. Votre e-mail de compte n'est pas renvoyé au destinataire. Les fichiers audio et vidéo importés ne sont pas transférés.
• Journaux techniques : journaux serveur à durée de vie courte (adresse IP, chemin de requête, code de statut) conservés pour la sécurité et le debug.
• Rapports d'erreurs : quand une page, une fonction ou un serveur échoue, nous enregistrons la page concernée, le message d'erreur, le navigateur et le système (avec les versions annoncées lorsqu'elles sont disponibles), le type d'appareil et les dimensions de la fenêtre et de l'écran. Les rapports du navigateur peuvent aussi inclure la langue, la densité de pixels, le tactile, le nombre de processeurs déclaré et la mémoire approximative, l'utilisation et la limite de mémoire JavaScript, la catégorie de connexion et le mode d'économie de données, ainsi que la disponibilité des API graphiques/vidéo et des contextes d'exécution isolés ou sécurisés. Ces diagnostics limités aident à reproduire les pannes, notamment de carte et d'export vidéo ; ce n'est pas un inventaire complet du matériel. Aucune adresse IP, localisation, chaîne user-agent brute, empreinte de l'appareil, contenu de fichier ou valeur de formulaire n'est collecté comme diagnostic de l'appareil. Lorsqu'une session serveur vous identifie, le nom et l'email du compte sont joints pour le dépannage. Les erreurs uniquement serveur peuvent avoir moins de contexte ; certains navigateurs masquent ou réduisent les valeurs techniques.
• Newsletter (uniquement si vous vous abonnez) : adresse e-mail, langue, date et origine de l'abonnement (pied de page, page newsletter, inscription ou administrateur enregistrant votre demande), date de confirmation ou de désinscription. Cette liste est distincte de votre compte : vous pouvez vous abonner sans compte, et vous désabonner sans supprimer votre compte. Utilisez le lien de désinscription d’un e-mail ou la section Newsletter de Mon compte, une fois connecté, pour arrêter les newsletters envoyées à l’adresse de votre compte. Un administrateur peut enregistrer votre inscription ou désinscription sur demande ; une inscription manuelle est identifiée comme une action d'administration et ne déclenche pas l'envoi d'une campagne.
• Demandes de contact : le nom, l’adresse email, l’objet et le message saisis sont transmis à l’équipe pour traiter votre demande. N’indiquez pas de mot de passe, de pièce d’identité ou d’autres informations sensibles.
• Témoignages : le nom de publication, le lieu facultatif, la note et le message sont soumis à modération. Après validation, ces informations et la date d’envoi sont affichées publiquement.

Nous ne vendons pas vos données personnelles. Nous n'utilisons pas de trackers publicitaires tiers.

3. Base légale

Nous traitons vos données sur les bases légales suivantes (RGPD) :

• Exécution du contrat - pour fournir le Service auquel vous avez souscrit ;
• Intérêt légitime - pour assurer la sécurité, prévenir les abus et améliorer la qualité du Service ;
• Consentement - pour les cookies ou fonctionnalités optionnelles nécessitant un consentement. L’option newsletter de la page de création de compte est précochée et peut être décochée avant l’envoi du formulaire ; cette présélection ne constitue pas à elle seule un consentement explicite. La newsletter est envoyée au maximum une fois par mois, et chaque e-mail contient un lien de désinscription.

4. Cookies

Nous utilisons un ensemble minimal de cookies :

• un cookie de session pour l'authentification (strictement nécessaire) ;
• un cookie de préférence pour mémoriser votre langue et votre thème ;
• un cookie temporaire (15 minutes) qui retient votre choix pour la newsletter pendant la connexion avec Google, puis est supprimé.

Aucun cookie publicitaire ou de suivi inter-sites n'est déposé.

5. Fournisseurs cartes et export

Les tuiles cartographiques sont chargées via MapTiler et OpenStreetMap. L'authentification est assurée par Google OAuth. Ces fournisseurs traitent des données techniques (IP, user-agent) en tant que responsables de traitement indépendants, selon leurs propres politiques de confidentialité.

Lorsque le suivi du réseau est activé, les coordonnées des étapes sont envoyées à FOSSGIS pour les itinéraires à pied et à vélo, et au serveur public OSRM pour les trajets routiers. FOSSGIS conserve les requêtes dans ses journaux ; consultez sa politique de confidentialité. Les fichiers photo, vidéo et audio ne sont pas transmis à ces services de routage.

Les coordonnées nécessaires au calcul du dénivelé sont envoyées à Open-Meteo. Les altitudes reçues peuvent être conservées dans le cache local du navigateur pendant 30 jours pour éviter des requêtes répétées. Elles ne sont pas stockées avec les fichiers photo. Voir les conditions et la politique de confidentialité d'Open-Meteo.

Les e-mails (confirmation de compte, avertissement d'inactivité, confirmation de suppression et au revoir, newsletter et demandes de contact) sont envoyés via Resend, qui traite les informations nécessaires à leur envoi pour notre compte, en tant que sous-traitant.

6. Durée de conservation

Les sondages facultatifs conservent votre choix et une empreinte de l’adresse IP propre à chaque sondage (HMAC avec un secret serveur). Il s’agit de pseudonymisation, pas d’anonymat absolu. Les tables de sondage ne contiennent ni IP en clair, ni nom, ni e-mail, ni identifiant de compte. L’empreinte limite les réponses à une par sondage et par IP. Un réseau partagé peut partager cette limite ; un changement d’IP ou un VPN peut permettre une réponse supplémentaire. Les administrateurs voient les résultats agrégés, pas les empreintes. Les réponses ne sont pas modifiables et sont conservées jusqu’à la suppression du sondage par l’administrateur, qui efface aussi ses réponses. Fermer le sondage conserve ces données ; supprimer un compte ne les retire pas, car elles ne sont pas liées aux comptes. Pour une demande concernant ces données, utilisez le lien Contact ci-dessous en précisant le sondage.

Les modèles favoris conservent un identifiant stable du modèle, l’identifiant privé du compte et la date d’ajout. Ils sont privés, distincts des votes et accessibles sur vos appareils après connexion. Ils sont conservés jusqu’à leur retrait ou à la suppression du compte, sans copie de votre voyage ni de vos photos.

Les votes pour les modèles conservent l’identifiant du modèle, l’identifiant privé du compte et la date du vote. Les scores publics montrent des totaux, jamais l’identité des votants. Chaque vote peut être retiré ; supprimer le compte supprime aussi ses votes.

Les témoignages et votes rapides envoyés en étant connecté portent un lien privé vers le compte enregistré pour le suivi d’activité. Les contributions invitées et anciennes ne sont pas rattachées par rapprochement de noms ou d’adresses IP. Les réponses publiques ne contiennent ni identifiant de compte ni e-mail. Modifier un vote connecté remplace le vote actuel, y compris depuis un autre appareil. Supprimer le compte retire ses liens privés avec les contributions ; le contenu des avis publiés et les totaux de votes restent distincts et peuvent faire l’objet d’une demande de suppression via Contact.

L’avis rapide peut inclure un message privé facultatif de 1 000 caractères au maximum. Le texte n’est envoyé qu’avec Envoyer le message, pas lors du choix d’un pouce. Seul le dernier message de chaque avis est conservé, avec sa date d’envoi. Les administrateurs peuvent le lire ; l’API publique des avis ne renvoie jamais les messages, même aux invités partageant une adresse IP. Le brouillon du message n’est pas enregistré dans le stockage du navigateur. Supprimer un compte lié efface son message tout en conservant le vote désattribué. Évitez les informations personnelles ou sensibles.

• Les données de compte sont conservées tant que le compte existe. Vous pouvez le supprimer à tout moment depuis Mon compte, accessible dans le menu de votre profil : votre compte, vos itinéraires, passeports et cartes postales sauvegardés et les liens de partage que vous avez créés sont alors effacés. Les brouillons gardés dans votre navigateur et l'abonnement à la newsletter ne sont pas concernés.
• Les itinéraires, animations, passeports et cartes postales sauvegardés sont conservés jusqu'à leur suppression ou l'application de la règle d'inactivité ci-dessous.
• Les plannings sauvegardés comprennent les étapes, dates, tâches, notes, budgets et photos d’activités du voyage. Ils sont conservés jusqu'à la suppression du planning ou du compte, ou l'application de la règle d'inactivité ci-dessous.
• Après trois mois calendaires sans activité authentifiée, les comptes ayant des éléments sauvegardés reçoivent un e-mail de service d'avertissement. Les itinéraires et créations sauvegardés (passeports, cartes postales et plannings compris) ne peuvent être supprimés qu'après un préavis supplémentaire de 30 jours, avec une échéance indiquée dans cet e-mail. Se connecter ou utiliser une session déjà authentifiée avant la suppression annule l'échéance et fait repartir le délai d'inactivité. Le compte, l'abonnement newsletter, les favoris, les votes et les copies déjà partagées ne sont pas supprimés par cette règle ; les fichiers téléchargés et les brouillons du navigateur ne sont pas concernés. Les comptes administrateurs sont exclus. Les comptes antérieurs à l'activation bénéficient d'un nouveau délai de trois mois, sans reconstitution des anciennes dates de connexion. Les métadonnées d'avertissement et d'échéance sont effacées lors d'une reprise d'activité authentifiée ou de la purge des sauvegardes.
• Des totaux journaliers anonymes de suppressions de comptes peuvent être conservés à des fins statistiques. Ils ne contiennent ni nom, ni adresse e-mail, ni identifiant utilisateur et ne permettent pas de restaurer un compte.
• Pendant 30 jours après une suppression de compte via le site, un historique administratif privé conserve son adresse e-mail, les dates de suppression et d’expiration, l’origine de la suppression (utilisateur ou administrateur), la langue et l’état de l’e-mail unique de confirmation. Aucun nom, mot de passe, jeton d’authentification ni création sauvegardée n’est conservé dans cet historique. Il sert au suivi de la fermeture et de sa confirmation, pas à la prospection. Une suppression volontaire déclenche une tentative d’envoi de confirmation et d’au revoir ; elle ne vous réabonne pas à la newsletter. Les enregistrements expirés sont exclus des lectures et purgés automatiquement ; la tâche de purge s’exécute toutes les cinq minutes. Les anciennes suppressions anonymes ne peuvent pas être identifiées. Cette conservation limitée est indiquée avant votre confirmation de suppression.
• Les copies partagées sont indépendantes du projet d'origine : le modifier ou le supprimer ne modifie pas les liens déjà créés. Elles n'expirent pas automatiquement ; demandez la suppression d’un lien partagé en indiquant le lien dans votre message. Les copies déjà téléchargées par des destinataires ne peuvent pas être retirées.
• Les journaux serveur sont conservés au maximum 30 jours.
• Les rapports d'erreurs sont effacés automatiquement au bout de 30 jours. La suppression du compte demande le retrait du nom et de l'email de ces rapports ; si le stockage du journal est temporairement indisponible, la limite de conservation de 30 jours continue de s'appliquer.
• Les données newsletter sont conservées jusqu'à votre désinscription. Le lien de confirmation expire au bout de 7 jours ; sans confirmation, aucune newsletter ne vous est envoyée. Si vous vous abonnez avec l’adresse de votre compte connecté, cette adresse est déjà vérifiée et aucune confirmation supplémentaire n’est demandée. La section Newsletter de Mon compte permet de s’abonner, de se réabonner, de confirmer un abonnement en attente ou de se désinscrire. Un abonnement demandé ici enregistre votre nouvel accord et la langue de l’interface et prend effet immédiatement ; la simple consultation de la page ne vous abonne pas. Après désinscription, nous gardons seulement l'adresse et la date de désinscription pour ne plus vous écrire ; vous pouvez en demander la suppression.
• Les demandes de suppression sont traitées sous 30 jours.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• accéder à vos données personnelles ;
• corriger des données inexactes ;
• demander la suppression (« droit à l'oubli ») ;
• exporter vos données dans un format portable ;
• vous opposer à certains traitements ou les limiter ;
• introduire une réclamation auprès de l'autorité de protection des données (CNIL en France).

Pour exercer ces droits, contactez l’équipe au sujet de vos données. Précisez votre demande et, si nécessaire, le lien partagé ou le témoignage concerné. Aucun compte supplémentaire n’est requis. N’envoyez pas de mot de passe ni de pièce d’identité par ce formulaire. Consultez aussi les mentions légales.

8. Sécurité

Le Service est hébergé sur Microsoft Azure. Le trafic est chiffré en transit (HTTPS/TLS). Les mots de passe sont stockés hachés avec des algorithmes éprouvés. L'accès aux données de production est restreint aux mainteneurs autorisés.

9. Enfants

Le Service n'est pas destiné aux enfants de moins de 13 ans. Nous ne collectons pas sciemment de données personnelles d'enfants.

10. Modifications de cette politique

Cette politique peut évoluer. La date « Dernière mise à jour » en haut de cette page reflète la dernière révision.