Version provisoire, susceptible d’évoluer avant le lancement. English

Politique de confidentialité

1. Qui est responsable de vos données

StrideRaid est édité par Alex Chen, responsable du traitement de vos données. Contact : contact@strideraid.app.

2. Ce que nous collectons, et pourquoi

• Adresse e-mail : vous connecter (code à usage unique). Base légale : le contrat (conditions d'utilisation).
• Connexion avec Apple, si vous la choisissez : l'identifiant qu'Apple attribue à votre compte pour StrideRaid et votre adresse e-mail (la vraie, ou une adresse relais d'Apple si vous choisissez de la masquer). Nous ne demandons pas votre nom. Un jeton fourni par Apple est gardé pour révoquer cet accès chez Apple quand vous supprimez votre compte ou dissociez Apple. Base légale : le contrat.
• Connexion avec Google, si vous la choisissez : l'identifiant que Google attribue à votre compte et votre adresse e-mail. Google transmet aussi le nom et la photo de votre compte Google : ils sont effacés dès réception, jamais conservés. Base légale : le contrat. Apple et Google s'associent ou se dissocient dans Réglages › Compte, tant qu'il vous reste un autre moyen de vous connecter.
• Pseudo, pays, confirmation d'avoir 16 ans ou plus : profil de jeu, classement, âge minimum. Base légale : le contrat.
• Photo de profil, si vous en choisissez une : réduite à 512 × 512 pixels, stockée dans l'Union européenne. Elle remplace l'initiale de votre pseudo partout dans le jeu. Base légale : le contrat. Une photo remplacée ou retirée, ou celle d'un compte supprimé, est effacée dans l'heure. Il en va de même pour la photo de clan choisie par le chef, qui remplace l'emblème du clan.
• Année de naissance, si vous l'indiquez dans les Réglages : elle reste sur votre téléphone et sert seulement à calculer vos zones de fréquence cardiaque ; elle n'est jamais envoyée.
• Vos courses, lues dans Apple Santé : date et heure, durée, distance totale, distance et fréquence cardiaque résumées minute par minute, appli et modèle d'appareil qui les ont enregistrées, saisie manuelle ou non, course en intérieur ou non. Pour calculer vos dégâts au boss et vérifier que les courses sont réelles (anti-triche). Base légale : votre consentement explicite (données de santé, article 9 du RGPD), demandé séparément et retirable à tout moment.
• Vos dégâts, rangs et badges : faire fonctionner le jeu. Base légale : le contrat.
• Signalements envoyés, contestations : lutter contre la triche. Base légale : notre intérêt légitime à un jeu équitable.
• Historique de vos consentements : prouver votre accord. Base légale : obligation légale.
• Abonnement Premium (aucun abonnement n'est proposé pour l'instant ; si un l'est un jour et que vous le prenez) : offre choisie, dates d'achat, de renouvellement et d'expiration. Pour débloquer Premium. Base légale : le contrat. Nous ne voyons jamais vos coordonnées bancaires : le paiement est fait par Apple.

• Liste d'attente de la bêta (formulaire de strideraid.app) : adresse e-mail, iPhone ou non, fréquence de course déclarée (rarement, 1 à 2, 3 à 4, 5 fois par semaine ou plus), pays, langue, et l'origine de votre visite si le lien suivi l'indiquait (par exemple « instagram »). Pour vous envoyer l'invitation à la bêta, choisir des profils variés et savoir quels canaux nous font connaître. Base légale : votre consentement, confirmé par le lien de l'e-mail reçu ; un lien dans chaque e-mail vous désinscrit (vos réponses sont alors supprimées). Pour limiter les abus, une empreinte non réversible de votre adresse IP est gardée 24 heures.
• Visites du site strideraid.app : mesure d'audience Cloudflare Web Analytics, sans cookie ni identifiant qui vous suive d'une visite à l'autre ; nous n'en voyons que des chiffres d'ensemble (pages vues, pays, site d'où vous venez, type d'appareil). Pour améliorer le site. Base légale : notre intérêt légitime.

Le tracé GPS d'une course (positions successives, avec leur heure et leur précision) est lu par l'appli pour l'afficher dans la fiche de la course et en mesurer la distance et les meilleurs temps sur 1 km, 5 km, 10 km et semi-marathon (les meilleurs temps servent aux duels « meilleur temps »). Il est envoyé avec la course et gardé sur le serveur, dans un espace privé que seules nos fonctions serveur lisent : pour retrouver vos courses et leur carte sur un autre téléphone, et pour vérifier une course suspecte. Il est inclus dans le consentement santé. Il reste privé : vous seul le voyez, sauf si vous choisissez de le montrer à vos amis (voir plus bas). Les tracés des courses envoyées avant ce changement (2026-10-18) n'ont pas été envoyés. Vos records personnels (meilleurs temps toutes courses confondues) sont calculés et gardés sur votre téléphone, à partir des tracés de toutes vos courses de Santé ; ils ne sont jamais envoyés. Les calories d'une course sont lues pour être affichées sur votre téléphone seulement ; elles ne sont jamais envoyées. Nous ne lisons jamais vos autres activités sportives ni aucune autre donnée de Santé.

Courses enregistrées avec l'appli (bouton « Enregistrer une course ») : votre position est suivie par le GPS de l'iPhone seulement pendant la course (écran verrouillé compris ; une flèche bleue le signale en haut de l'écran), avec votre autorisation « Lorsque l'app est active ». À la fin, la course (séance, distance et tracé) est écrite dans Santé, puis lue et envoyée comme les autres, tracé compris. Nous n'écrivons rien d'autre dans Santé.

Notifications push, si vous les autorisez : pour vous prévenir à l'instant (boss vaincu, boss de clan vaincu, demandes et acceptations d'ami, invitations et demandes d'entrée de clan, réactions à vos courses, duels : invitation, acceptation, « prêt », départ et résultat ; course vérifiée, limitation du compte), le serveur garde le jeton de votre appareil fourni par Apple, la langue et le fuseau horaire du téléphone (pour ne pas vous réveiller la nuit) et vos réglages de notifications. Les notifications passent par le service d'Apple (APNs). Base légale : le contrat. Le jeton est effacé à la déconnexion et à la suppression du compte.

3. Ce que nous ne faisons pas

• Aucune publicité, aucune revente de données.
• Vos données de santé ne servent jamais au marketing ni à la publicité et ne sont jamais partagées à ces fins.
• Aucune donnée de santé n'est stockée dans iCloud.
• Aucune donnée de santé dans nos outils techniques (journaux, suivi d'erreurs, statistiques).

4. Qui voit quoi

• Les autres joueurs voient votre profil public : pseudo, photo de profil, drapeau de votre pays, badges, dégâts, boss affrontés et vaincus, meilleur rang, série de semaines. Jamais vos kilomètres exacts, votre nombre de courses ni le détail de vos séances. Vos dégâts et vos badges de distance (10 km, 50 km…) sont calculés à partir de vos courses et donnent un ordre de grandeur de la distance courue : votre consentement couvre leur affichage public. De même, les badges de boss personnel indiquent que vous avez réussi le défi d'une semaine (par exemple courir 20 km ou courir 6 jours sur 7).
• Clans : le nom, la description, l'emblème et le niveau d'un clan sont publics. Si vous rejoignez un clan, son nom apparaît sur votre profil public et votre pseudo et votre drapeau dans la liste de ses membres, visible de tous. Les membres de votre clan voient vos dégâts sur le boss de clan de la semaine (calculés à partir de la distance de vos courses) ; un boss de clan vaincu vous donne un badge public. Les classements des clans et des pays n'affichent que des totaux et des moyennes de dégâts, sans nom de joueur. Nous gardons l'historique de vos adhésions (dates d'entrée et de sortie) pour attribuer vos dégâts au bon clan ; il est effacé avec votre compte. Si l'équipe renomme ou supprime un clan (nom inapproprié), le motif est montré à ses membres et conservé avec leur compte. Si vous signalez un nom de clan, votre signalement n'est connu que de l'équipe ; il est conservé avec la décision prise, qui vous est montrée, et effacé avec votre compte.
• Photo de profil : tout joueur peut la signaler. Si l'équipe la retire (photo inappropriée), le motif vous est montré et conservé avec votre compte. Si vous signalez une photo, votre signalement n'est connu que de l'équipe ; il est conservé avec la décision prise, qui vous est montrée, et effacé avec votre compte.
• Amis : vos amis voient la même chose que tout le monde (votre profil public), regroupée pour eux : un classement entre amis sur le boss en cours et un fil de vos exploits de jeu (boss vaincus, top 10, coup de grâce, badges de boss personnel et de clan). Vos demandes d'ami, votre liste d'amis et les joueurs que vous bloquez ne sont visibles que de vous (et de chaque personne concernée pour sa propre demande) ; ils sont effacés avec votre compte.
• Courses partagées avec vos amis, seulement si vous activez « Mes amis voient mes courses » (Réglages › Partage) : vos amis voient la date, la distance, l'allure, le temps et les dégâts de vos courses validées des 30 derniers jours (sauf celles que vous masquez) et peuvent y réagir avec des réactions toutes faites. Ces informations venant de vos données de santé, l'activation vaut consentement explicite à ce partage (article 9.2.a du RGPD), enregistré avec sa date et retirable en désactivant le réglage. Si vous activez aussi « Mes amis voient le tracé de mes courses », ils voient le parcours de ces courses sur une carte, sans une zone d'au moins 200 m autour du départ et de l'arrivée (retirée par le serveur avant l'envoi ; la zone est décalée et de taille différente pour chaque joueur, et les points montrés n'ont pas d'heure, pour ne pas révéler où vous habitez) : consentement explicite à part, enregistré et retirable de la même façon. Les réactions envoyées et reçues, et les joueurs dont vous coupez les réactions (jamais prévenus), sont gardés avec votre compte et effacés avec lui.
• Duels : vous pouvez défier un ami ou un membre de votre clan. Pendant un duel, votre adversaire voit, pour vos courses validées qui commencent pendant le duel, leur nombre, leur distance totale et votre résultat dans le format choisi (distance, plus longue course, heure d'arrivée à la distance visée ou meilleur temps) ; rien d'autre. Ces informations venant de vos données de santé, lancer un défi ou l'accepter, après l'avoir lu à l'écran, vaut consentement explicite à ce partage avec cet adversaire (article 9.2.a du RGPD) ; la date du défi et de l'acceptation est enregistrée. Vos duels (adversaire, format, dates, résultat) sont gardés avec votre compte et effacés avec lui ; ils figurent dans l'export de vos données. Duel en direct : chacun enregistre sa course dans l'appli ; pendant la course, votre adversaire voit votre distance et votre temps depuis le départ, mis à jour toutes les quelques secondes. Votre position ne lui est montrée que si vous cochez « Montrer ma position » au départ de ce duel (consentement explicite, article 9.2.a du RGPD, valable pour ce seul duel) : seule votre dernière position est gardée, et elle est effacée dès la fin de votre course. La distance et le temps de votre course de duel sont gardés avec le duel.
• L'équipe de StrideRaid (administrateurs) peut consulter le détail d'une course vérifiée à la main : course suspecte, signalée par des joueurs, dans le top 10 d'une semaine, ou que vous avez contestée.

5. Vérification des courses (anti-triche)

Chaque course est vérifiée automatiquement (vitesse, régularité, saisie manuelle, appli d'origine…). Elle peut être rejetée ou mise en attente d'une vérification humaine ; vous voyez toujours son statut et le motif, et vous pouvez contester une course rejetée dans les 7 jours : une personne de l'équipe la revoit. Ces décisions n'ont d'effet que dans le jeu.

Pour vérifier que les courses viennent bien de l'appli StrideRaid installée sur un vrai iPhone, l'appli utilise App Attest d'Apple : une clé créée dans la puce sécurisée du téléphone, garantie une fois par Apple, signe chaque envoi. Le serveur garde la partie publique de cette clé (elle ne permet pas de vous identifier) et note sur chaque course si la signature est valable. Cette signature est obligatoire : une course envoyée sans signature valable ne compte pas automatiquement et passe en vérification humaine. Base légale : notre intérêt légitime (équité du jeu).

En cas de triche répétée, l'équipe peut limiter un compte dans le jeu (ses courses ne comptent plus contre le boss et il n'apparaît plus dans les classements des autres). Vous en êtes informé dans l'appli, avec le motif et la façon de contester (règlement européen sur les services numériques, article 17).

6. Où sont vos données, et qui nous aide

• Supabase : hébergement de la base de données et des comptes, dans l'Union européenne (Francfort, Allemagne).
• Resend : envoi des e-mails de connexion et de la liste d'attente (votre adresse e-mail seulement), aux États-Unis ; transfert encadré par le Data Privacy Framework UE–États-Unis (Resend est certifié) et les clauses contractuelles types de la Commission européenne.
• Apple : lecture de Santé et notifications locales, sur votre téléphone ; envoi des notifications push (APNs).
• Cloudflare : site strideraid.app, mesure de son audience, contrôle anti-robots (Turnstile) du formulaire de la liste d'attente et transfert des messages envoyés à contact@strideraid.app, aux États-Unis ; transfert encadré par le Data Privacy Framework UE–États-Unis.
• Google (Gmail) : réception des messages envoyés à contact@strideraid.app.
• Google (connexion) : si vous choisissez « Continuer avec Google », Google vérifie votre identité selon ses propres règles de confidentialité ; nous ne recevons que ce qui est décrit à la section 2.
• RevenueCat (prévu, pas utilisé tant qu'aucun abonnement n'est proposé) : gestion des abonnements (identifiant technique de votre compte, achats et abonnements, pays et appareil), aux États-Unis ; transfert encadré par les clauses contractuelles types de la Commission européenne. Aucune donnée de santé.
• Sentry : rapports d'erreurs de l'appli (modèle et système de l'appareil, version de l'appli, détail technique de l'erreur ; ni adresse IP, ni identité, ni données de santé), stockés dans l'Union européenne ; société américaine certifiée Data Privacy Framework.
• OpenStreetMap (fondation OpenStreetMap, Royaume-Uni) : fond de carte affiché à l'équipe quand elle vérifie le tracé d'une course suspecte. Le navigateur du membre de l'équipe lui demande les morceaux de carte de la zone parcourue (avec son adresse IP, sans votre identité ni le tracé lui-même). Pas de contrat de sous-traitance ; Royaume-Uni reconnu par la Commission européenne comme offrant une protection adéquate.

Chaque prestataire est lié par un contrat de sous-traitance (article 28 du RGPD), sauf Google : les messages envoyés à contact@strideraid.app arrivent dans une boîte Gmail ordinaire, soumise aux conditions de Google.

7. Combien de temps

• Détail de vos courses (minute par minute, fréquence cardiaque, appareil, tracé GPS) : 24 mois, puis effacé automatiquement. Restent la date, la distance et le statut, qui portent vos badges et l'historique des classements.
• Compte et profil : tant que votre compte existe.
• Liste d'attente de la bêta : jusqu'à la fin du recrutement de la bêta, ou jusqu'à votre désinscription.
• Suppression du compte : tout est effacé immédiatement (profil, consentements, courses, dégâts, signalements, amis, clans). Les points de vie déjà retirés aux boss ne sont pas recalculés. Votre historique d'achats chez RevenueCat est effacé automatiquement dans l'heure qui suit ; il reste chez Apple, qui gère le paiement.
• Sauvegardes : copie complète de la base, chiffrée, conservée 4 semaines ; une donnée effacée disparaît donc aussi des sauvegardes au plus tard 4 semaines après.

8. Vos droits

Depuis l'appli (Profil › Réglages) :

• Accès et portabilité : « Exporter mes données » (fichier complet).
• Rectification : pays ; pseudo (selon les conditions du jeu).
• Retrait du consentement santé : la lecture s'arrête et vos courses sont supprimées du serveur ; votre compte reste.
• Effacement d'une course : bouton « … » sur la course dans Profil › Courses › « Supprimer » : son détail (minute par minute, fréquence cardiaque, appareil) est effacé ; restent la date, la distance et les dégâts déjà infligés.
• Effacement : « Supprimer mon compte », immédiat.

Pour toute autre demande (opposition, limitation, question) : contact@strideraid.app. Vous pouvez aussi adresser une réclamation à la CNIL (www.cnil.fr).

9. Âge minimum

StrideRaid est réservé aux personnes de 16 ans ou plus, âge confirmé à l'inscription.

10. Modifications

Toute modification importante vous sera présentée dans l'appli ; si elle touche vos données de santé, votre consentement vous sera redemandé.

Dernière mise à jour : 21 octobre 2026.