🐾 Politique de confidentialité — Gambade

Dernière mise à jour : août 2026

Hors-ligne d'abord Compte optionnel Zéro publicité

Gambade fonctionne d'abord hors ligne : tes données vivent sur ton téléphone. Le compte est optionnel et ne sert qu'à une chose : sauvegarder tes données en ligne, pour toi, afin de les retrouver si tu changes de téléphone.

Ce que l'app enregistre

• Position GPS pendant une balade — y compris écran éteint ou app en arrière-plan, uniquement pendant qu'un enregistrement est actif, pour tracer le parcours et calculer distance, durée et allure. L'enregistrement s'arrête quand tu termines la balade.
• Profils de tes chiens — nom, race, âge, photos, notes de comportement.
• Balades et débriefs — tracés, statistiques, humeurs, tags, notes, photos.
• Carnet de santé — vaccins, traitements et rappels de prise, pesées, allergies et conditions, et les coordonnées du vétérinaire que tu saisis.
• Préférences — prénom, objectif du jour.

Tout vit sur ton téléphone. Sans compte, rien n'en sort.

La sauvegarde en ligne (si tu crées un compte)

• La connexion se fait avec Google ou Apple ; Gambade ne voit jamais de mot de passe. Les données de compte reçues du fournisseur se limitent à un identifiant, ton adresse e-mail (ou son relais privé Apple) et ton prénom.
• Avec un compte, chiens, balades (tracés compris), photos, carnet de santé et préférences (prénom, objectif) sont copiés sur ton espace privé, hébergé en Europe (Supabase, région Paris), chiffrés en transit. Personne d'autre que toi n'y a accès (hors partage refuge et alertes ci-dessous), et ces données ne servent à rien d'autre que te les restituer.
• Ne sont jamais envoyés : les points GPS bruts (seul le tracé simplifié de chaque balade est sauvegardé), l'historique de notifications et les préférences propres à l'appareil.
• La synchronisation est automatique dès que l'app est ouverte et connectée ; aucun traitement n'est fait sur ces données côté serveur.

Le refuge (partage entre bénévoles, sur invitation)

• Rejoindre un refuge est un choix explicite (code d'invitation). Les membres d'un même refuge voient alors mutuellement : leur prénom, les fiches des chiens rattachés au refuge, leur carnet de santé (vaccins, traitements, pesées) et les balades et débriefs faits avec ces chiens (y compris ceux enregistrés avant le rattachement, l'écran le précise au moment de rattacher un chien).
• Tes chiens personnels, et toutes tes balades sans chien du refuge, restent strictement privés.
• Ces données restent entre membres : rien n'est public, rien n'est transmis à des tiers.
• Limite honnête : quitter le refuge (ou en être retiré) stoppe tout partage futur et retire les données du refuge de ton téléphone, mais n'efface pas ce qui a déjà été synchronisé sur les téléphones des autres membres, ni tes balades passées du journal des chiens du refuge (la mémoire du chien est l'objet même de la fonctionnalité).

Rapports de plantage (désactivés par défaut)

Dans Réglages → Confidentialité, tu peux activer l'envoi de rapports de plantage anonymes, pour nous aider à corriger les bugs. L'app te le propose une seule fois, après ta première balade. C'est un choix explicite : rien n'est envoyé tant que tu n'as pas dit oui (par la proposition ou par l'interrupteur), et tu peux le couper à tout moment. Un rapport contient la trace technique du plantage, le modèle d'appareil, la version du système et celle de l'app : jamais ta position, tes balades, tes chiens, ni aucun contenu que tu as saisi. Ces rapports sont traités par Sentry (hébergement Union européenne) et supprimés automatiquement, au plus tard après 90 jours (30 jours sur le plan Sentry actuel).

Les statistiques d'usage anonymes (optionnelles)

Toujours dans Réglages → Confidentialité, tu peux activer les statistiques anonymes. Elles nous disent quels écrans sont ouverts et quelles fonctions servent vraiment, pour améliorer l'app plutôt que de deviner. C'est OFF par défaut : rien n'est mesuré tant que tu n'as pas activé l'interrupteur, et couper efface ce qui n'est pas encore parti.

Ce qui est envoyé : un nom d'écran ou d'action (« fiche du chien », « balade démarrée »), la version de l'app, le type d'appareil, et un identifiant tiré au hasard à l'installation. Cet identifiant n'est relié à aucun compte ni à aucun identifiant publicitaire, et il disparaît avec l'app. Ce qui n'est jamais envoyé : ta position, tes tracés, le nom de tes chiens, tes notes, tes photos, ton adresse e-mail. Ces statistiques sont traitées par PostHog (hébergement Union européenne).

Le formulaire « Une idée, un bug ? »

Quand tu nous envoies un retour depuis l'app, ton message (et, si tu coches la case, la version de l'app et le modèle d'appareil) part vers notre espace privé hébergé en Europe. C'est anonyme : aucun compte, aucun identifiant n'y est associé, et ça ne part que sur ton geste explicite. Hors connexion, l'app prépare à la place un brouillon d'e-mail que tu envoies toi-même.

L'abonnement Gambade Plus (optionnel)

Gambade Plus est un abonnement optionnel (mensuel ou annuel, avec un essai). L'achat et le paiement sont gérés entièrement par l'App Store ou Google Play : nous ne voyons jamais ta carte ni tes coordonnées bancaires. Pour vérifier que ton abonnement est actif (et jusqu'à quand), l'app s'appuie sur RevenueCat, un service qui ne reçoit que l'identifiant de ton compte (ou un identifiant technique anonyme si tu n'as pas de compte) et l'état de ton abonnement : aucune balade, aucun chien, aucune position ne lui est transmise. Tu peux résilier à tout moment dans les réglages de ta boutique ; sans abonnement, l'app reste utilisable comme avant.

L'assistant (inclus dans Gambade Plus, sur consentement)

L'assistant est un chat qui répond en lisant ce que l'app sait déjà de ton chien. Il demande un compte, et il ne s'active qu'après un écran de consentement qui liste ce qui sort de ton téléphone ; tant que tu n'as pas dit oui, rien ne part.

Quand tu poses une question, sortent de ton téléphone :

• le paquet de faits que l'app calcule déjà : prénom du chien, race, âge, sexe, poids et sa tendance, volumes et rythme des balades, allure, réactions récurrentes, traits de caractère, humeurs, ententes entre chiens ;
• les débriefs que l'assistant consulte, balade par balade : humeur, réactivité, tags, réactions, digestion, conditions, et tes notes de débrief (uniquement les tiennes : sur un chien de refuge, les notes des autres bénévoles ne partent jamais) ;
• ta question et le fil de la conversation en cours.

Le tout transite par nos serveurs (Supabase, région Paris), qui y ajoutent la clé d'accès et le transmettent à Anthropic, l'entreprise du modèle Claude, qui traite ces données pour notre compte, uniquement pour générer la réponse et conformément à ses engagements commerciaux (pas d'entraînement de ses modèles sur ces données). Ce traitement a lieu aux États-Unis : le reste de notre infrastructure est en Europe, celui-ci ne l'est pas, et nous préférons l'écrire.

L'assistante lit aussi le carnet de santé quand ta question le demande (vaccins et rappels, traitements et prises récentes, notes du carnet) ainsi que la fiche du chien telle que tu l'as saisie (allergies, caractère). Elle restitue ces informations et rappelle les échéances ; elle ne pose aucun diagnostic et ne conseille aucun traitement.

Pour un chien suivi via un refuge, elle lit aussi ce que sa fiche partagée dit de lui : son niveau de sortie, un délai mordeur en cours ou passé, et son archivage. Ces informations décrivent le chien, jamais les gens : le nom de la personne qui a posé un délai ou archivé la fiche ne sort pas.

Ne partent jamais : les points GPS et les tracés, les photos, ton adresse, l'identité des personnes.

Rien de la conversation n'est conservé en ligne : le fil vit sur ton téléphone, où il est gardé pour que tu retrouves la discussion, et tu peux l'effacer d'un geste depuis l'écran de l'assistante. La seule chose que nos serveurs retiennent est un compteur, le nombre de questions posées dans le mois (l'assistant est inclus dans Gambade Plus avec un quota mensuel, affiché dans l'app).

Météo : si ta question touche à la chaleur, l'app consulte la météo du moment auprès de MET Norway. Ta position part alors vers ce service, arrondie à une dizaine de kilomètres, directement depuis ton téléphone : nos serveurs et le modèle ne la voient jamais, seules deux températures leur reviennent.

Enfin, l'assistant ne remplace pas un vétérinaire : il ne pose pas de diagnostic, et sur les urgences (morsure, aliment toxique) il s'appuie sur des protocoles écrits et sourcés, pas sur du texte généré.

Ce que l'app ne fait pas

• Pas de publicité, pas de traceurs publicitaires, pas de revente ni de partage de tes données à des tiers commerciaux. Les seuls partages entre utilisateurs sont ceux que tu choisis explicitement (refuge sur invitation, défis entre amis, alertes chien perdu publiques — décrits ci-dessus). Les statistiques d'usage et les rapports de plantage n'existent que si tu les actives (deux interrupteurs distincts, OFF par défaut), et RevenueCat ne reçoit que l'état de ton abonnement si tu prends Gambade Plus.
• Les autres connexions réseau se comptent sur les doigts d'une main : le chargement des fonds de carte (OpenStreetMap), où ta position n'est jamais transmise comme donnée (seules des tuiles publiques sont téléchargées) ; la recherche et l'affichage d'adresse du formulaire d'alerte (api-adresse.data.gouv.fr, sur ton geste, rien de stocké chez eux) ; et la météo de l'assistant (MET Norway, position arrondie à une dizaine de kilomètres — voir la section assistant ci-dessus).
• Le partage d'images (résumé de balade, fiche chien) passe par la feuille de partage du système : rien ne part sans ton geste explicite.

Alertes chien perdu

Si tu signales un chien perdu (ou en repères un), tu crées une alerte publique, visible par les autres utilisateurs autour de la zone — c'est le but : mobiliser la communauté. Elle contient un point de dernière localisation que tu choisis sur la carte — c'est un lieu que tu désignes (le dernier endroit où le chien a été vu), pas ta position relevée par le téléphone, et il est publié tel quel avec un cercle d'imprécision affiché autour ; à toi de le placer aussi large que tu le souhaites. S'y ajoutent une photo, une description, et un fil de messages relayés entre l'auteur et les personnes qui aident. Tu peux aussi confier ton numéro de téléphone pour qu'un voisin puisse t'appeler directement : c'est optionnel, soumis à une case de consentement décochable au moment de publier, visible uniquement tant que l'alerte est active, et effacé automatiquement de nos serveurs à toute clôture (résolution, retrait, modération ou expiration). Une alerte expire automatiquement au bout de 14 jours (ou dès que tu la clôtures). La modération est communautaire : trois signalements masquent un contenu. Ne publie que ce que tu acceptes de rendre public.

Notifications

• Rappels locaux — série du jour, « toujours en balade ? », rappels de soins (vaccins, traitements) : générés sur l'appareil, sans réseau.
• Notifications push distantes (si tu les actives) — pour la vie de la communauté : défis entre amis, activité du refuge, encouragements, et les alertes chien perdu autour de toi. Pour ces dernières, et seulement si tu les actives depuis le fil des alertes, ton téléphone range sa position dans une case d'environ 11 km de côté et n'envoie que le centre de cette case : elle dit dans quel carré de carte tu te trouves, jamais où tu habites. Une seule case est conservée, écrasée à chaque mise à jour (aucun historique, donc aucun trajet reconstituable), lisible par toi seul, et effacée dès que tu désactives, que tu te déconnectes ou que tu supprimes ton compte. L'acheminement passe par Firebase Cloud Messaging (Google, sous-traitant technique). À l'activation, un jeton d'appareil anonyme (avec la plateforme, la langue et le fuseau horaire) est enregistré sur ton espace privé pour t'adresser ces notifications ; il est supprimé à la déconnexion. Chaque famille se règle séparément (Réglages → Notifications), et rien ne part sans la permission système que tu accordes.

Suppression des données

• Sans compte : désinstaller l'application supprime l'intégralité des données (base SQLite et photos), qui n'existent nulle part ailleurs. Tu peux aussi tout effacer depuis Profil → Réglages → Confidentialité.
• Avec un compte : « Supprimer mon compte » (Profil → Compte) supprime immédiatement et définitivement le compte et toutes les données serveur (profils, balades, photos). Exception refuge : seules les fiches de chiens que tu avais rattachées au refuge sont transférées à un salarié du refuge (le chien garde son identité) ; tes balades et débriefs, eux, sont bien supprimés. Voir la page Supprimer mon compte pour la marche à suivre, y compris sans accès à l'app.
• Tu peux aussi exporter toutes tes données à tout moment (Profil → Compte → Sauvegarde locale) dans un fichier lisible qui t'appartient.

Contact

Questions : coulonpierrick@gmail.com — voir aussi la page support.