Protection des données en Europe

Dernière mise à jour : 6 août 2026

Où se trouve le serveur

Waypath tourne sur un seul serveur à Lauterbourg, en France, à l’intérieur de l’Espace économique européen. Il est loué à un hébergeur, une société allemande, qui ne traite les données que sur nos instructions, dans le cadre d’un contrat de sous-traitance. Cette unique machine héberge la base de données et les images que les gens envoient.

Votre compte, vos activités, vos photos et vos messages ne quittent pas l’EEE dans le cadre normal de l’utilisation de Waypath. Les exceptions sont les services Apple dont l’application dépend, et ils sont listés ci-dessous plutôt qu’enfouis.

Où est conservé chaque type de données Waypath

Quoi	Où c’est conservé
Compte, profil, activités, photos, messages de groupe et messages privés	Notre serveur à Lauterbourg, en France, à l’intérieur de l’EEE
Positions du partage en direct	Le même serveur, aussi longtemps que la session est en cours
Remise des notifications push	Apple, sous les garanties de la documentation de confidentialité d’Apple
Météo d’une activité	Apple WeatherKit, qui reçoit une localisation approximative et non votre identité
Abonnements et achats	Apple. On nous dit qu’un abonnement est actif ; nous ne voyons jamais les données de carte bancaire
Mesures de santé et d’activité physique	Apple HealthKit, sur votre appareil. Non envoyées à notre serveur
Données de carte et de sentiers	OpenStreetMap, sous licence Open Database. Afficher une carte n’envoie rien qui vous identifie

Ce qui est chiffré, et ce qui ne l’est pas

Les messages privés et les conversations de groupe sont chiffrés de bout en bout. Le message est chiffré sur votre appareil avant d’être envoyé. Notre base de données a une colonne de texte chiffré et aucune colonne en clair, et aucune clé ne se trouve sur nos serveurs, si bien que nous ne pouvons pas lire vos messages et ne pouvons en produire le contenu à personne qui le demanderait. Les pièces jointes sont refusées à moins d’arriver déjà chiffrées.

Trois choses sont vraies à côté de cela, et elles comptent davantage que le titre :

• Les activités, les photos et les profils ne sont pas chiffrés de bout en bout. Ils sont stockés sur notre serveur pour que l’application puisse les montrer aux personnes que vous avez choisies. Le chiffrement protège ce que vous écrivez à quelqu’un, pas ce que vous publiez.
• Nous voyons que deux personnes ont échangé un message, et quand. L’expéditeur, le destinataire et l’horodatage sont ce dont la remise est faite, et le chiffrement ne les masque pas. Quiconque vous dit le contraire décrit un autre système.
• Le nom, le lieu et la date d’un club ou d’un événement ne sont pas chiffrés, parce qu’il faut bien que les gens puissent les trouver.

Moins de données, par conception

La façon la moins coûteuse de protéger une information est de ne pas la détenir du tout. Waypath applique ces réductions avant toute publication, et ce ne sont pas des réglages que vous auriez à dénicher :

• Un itinéraire publié est rogné de 200 à 600 mètres tirés au hasard à chaque extrémité, si bien qu’une activité partagée ne révèle ni le pas de porte d’où quelqu’un est parti, ni celui où il a terminé. Toute zone de confidentialité que vous avez déclarée est retirée en plus de cela.
• Les heures de départ sont enregistrées regroupées à l’heure, et non à la minute, si bien qu’une activité publique ne peut pas être relue comme une habitude quotidienne.
• Une position en direct est retenue jusqu’à ce que vous l’ayez dépassée de 250 mètres, et la portion encore retenue au moment où une session se termine est jetée plutôt que diffusée. Un lien en direct ne montre jamais personne franchir la ligne.
• Les photographies sont redimensionnées et débarrassées de leurs métadonnées, localisation comprise, sur votre appareil, avant d’être envoyées.
• La mise en correspondance des contacts est désactivée tant que vous ne l’activez pas. Les identifiants sont hachés sur votre appareil et seules les empreintes sont envoyées ; le serveur re-hache ce qu’il reçoit avec un poivre secret, si bien qu’une fuite de la base de données ne donne pas une liste réversible de numéros de téléphone. Les empreintes envoyées pour rechercher sont supprimées juste après la mise en correspondance, et désactiver la fonction supprime celles que vous aviez publiées.

Pas de publicité, pas de mesure d’audience, pas de courtiers

Waypath gagne son argent avec un abonnement, il n’y a donc aucune raison que quelqu’un d’autre soit dans la pièce. L’application est livrée sans SDK publicitaire, sans SDK de mesure d’audience, sans courtiers en données et sans pistage inter-applications. Nous avons vérifié le projet pour les suspects habituels : il n’y a dedans aucun SDK Firebase, Amplitude, Mixpanel, Sentry, Bugsnag, AppsFlyer, Adjust, Facebook ou Google Analytics. Ce site web est à l’image de l’application : il ne charge aucun script tiers, aucune police externe et aucune mesure d’audience.

Nous ne vendons ni ne louons de données personnelles, nous ne construisons aucun profil publicitaire, et nous ne vous suivons pas à travers d’autres applications ou sites web.

Vos droits, et comment les exercer

Au titre du RGPD, vous pouvez accéder aux données que nous détenons sur vous, les rectifier, les effacer, les exporter dans un format portable, limiter certains traitements ou vous y opposer, et retirer votre consentement à tout moment, sans que cela affecte ce qui s’est passé avant ce retrait.

• Dans l’application, immédiatement. Les activités, photos, commentaires et messages peuvent être supprimés un par un quand bon vous semble. Supprimer un message que vous avez envoyé retire l’unique copie stockée, si bien qu’il part aussi pour le destinataire.
• Votre compte entier. La commande de suppression dans les Réglages retire le compte et tout ce qui y est rattaché, y compris les fichiers que vous avez envoyés, et pas seulement les lignes de base de données qui pointaient vers eux.
• Par e-mail. Écrivez à hugo@oshi-messenger.com pour un accès, une copie de vos données, une rectification ou un effacement. Nous répondons sous un mois.
• Si nous nous trompons. Vous pouvez introduire une réclamation auprès de votre autorité de contrôle nationale. En France, c’est la CNIL.

Le responsable du traitement est Hugo Moriceau, une personne physique, et la personne qui lit cette boîte de réception est celle qui écrit l’application. Le détail complet de ce qui est collecté, sur quelle base légale et pour combien de temps, se trouve dans la politique de confidentialité.

Ce que cette page ne prétend pas

• Nous n’avons aucune certification de sécurité. Il n’y a ni ISO 27001, ni SOC 2, ni audit externe, ni test d’intrusion derrière cette page, et de toute façon la « certification RGPD » n’existe pas.
• Nous ne prétendons pas être la plus grande ni la première application d’endurance en Europe. Nous sommes une petite application indépendante avec une ambition, et les pages de comparaison de ce site disent franchement là où nous sommes plus maigres que les autres.
• Nous ne disons pas qu’il y a quoi que ce soit de mal avec les applications conçues ailleurs. Beaucoup sont excellentes. Cette page décrit nos propres dispositions pour que vous puissiez les juger, pas celles de quelqu’un d’autre.
• Waypath est exploité par une personne physique. Il n’y a pas de société, pas d’établissement distinct dans l’UE et pas de délégué à la protection des données désigné, parce que ni l’un ni l’autre n’est requis à cette taille et qu’en inventer un serait pire que de le dire.

L’ambition

Le sport d’endurance en Europe s’organise autour d’un club, d’une séance hebdomadaire fixe et de courses qui montent plutôt qu’elles ne s’allongent. Waypath est conçu pour cela : les clubs et les événements comme objets de premier plan, un catalogue de sentiers tiré d’OpenStreetMap plutôt que de l’institut cartographique d’un seul pays, le dénivelé traité comme l’histoire principale, et un lien de spectateur que n’importe qui peut ouvrir sans compte.

Le but est d’être l’application vers laquelle les athlètes et les clubs européens se tournent en premier. Nous n’y sommes pas, et dire le contraire serait exactement le genre d’affirmation que cette page existe pour éviter. Ce que nous pouvons maîtriser aujourd’hui, c’est l’exigence : vos données en Europe, rien de vendu, rien de pisté, et chaque limite écrite là où vous pouvez la lire.

Contact

Hugo Moriceau · hugo@oshi-messenger.com · formulaire de contact · politique de confidentialité