Politique de confidentialité
Dernière mise à jour : 17 octobre 2026.
Movoo (contact@movoo.eu) édite un routeur de road trip accessible sur le web (www.movoo.eu) et via une application Android native. Cette page décrit les données que nous traitons, pourquoi, et les droits dont vous disposez — conformément au Règlement Général sur la Protection des Données (RGPD).
Les règles d'utilisation du site et de l'application (compte, sécurité, contenus, responsabilité) figurent dans les conditions générales d'utilisation.
1. Données collectées
| Donnée | Quand | Pourquoi |
|---|---|---|
| Email, nom d'utilisateur, mot de passe | Création de compte | Authentification. Le mot de passe est haché (Argon2id) — nous ne le stockons jamais en clair et ne pouvons pas le consulter. |
| Trajets sauvegardés (étapes, jours, points d'intérêt) | Utilisation du routeur, sauvegarde cloud facultative | Fournir le service lui-même (retrouver vos trajets). |
| Localisation GPS | Application Android, avec l'autorisation « pendant l'utilisation de l'application » seulement : quand la carte est affichée et, pendant un guidage ou un enregistrement que vous avez lancé vous-même, aussi écran éteint ou dans une autre application (appareil photo…) — une notification permanente « Movoo vous guide » ou « Movoo enregistre votre sortie » le signale alors, avec un bouton « Arrêter » | Centrer la carte, vous guider, enregistrer une trace si vous l'activez explicitement — sans que guidage et trace ne s'arrêtent quand vous prenez une photo (exécution du service que vous demandez). Aucune autorisation de localisation « tout le temps » n'est demandée : sans guidage ni enregistrement en cours, la position n'est jamais lue quand l'application n'est pas affichée ; rien ne reprend au redémarrage du téléphone. Les positions restent sur votre téléphone : trace dans « Mes sorties » (base chiffrée), sortie en cours gardée chiffrée pour la reprendre si Android ferme l'application (effacée à la fin de la sortie, au plus tard après 12 h) ; elles ne sont envoyées à nos serveurs que si vous partagez une sortie, et ni le convoi, ni l'ange gardien, ni les volontaires de proximité ne reçoivent de position tant que l'application n'est pas affichée (ou Android Auto connecté). |
| Messages privés entre utilisateurs | Si vous utilisez la messagerie | Chiffrés au repos (AES-256-GCM) — ni Movoo ni un tiers ne peut les lire en base. |
| Signalements d'usagers (radar mobile, contrôle, accident, danger, travaux, passage bloqué) : type, position, sens de circulation, description et photo facultatives, votes « toujours là / plus là » | Application Android, uniquement quand vous signalez ou confirmez (compte Movoo obligatoire) | Prévenir les autres usagers et éviter les passages bloqués confirmés dans le calcul d'itinéraire. Publiés sans votre pseudo ; les photos sont ré-encodées pour en retirer toutes les métadonnées (position GPS, appareil). Aucun radar mobile ni contrôle de police n'est accepté en Allemagne ni en Suisse. |
| Lieux proposés (refuge, abri, point d'eau, aire de bivouac ou de camping-car, borne de recharge, toilettes…) : catégorie, position, nom, description, informations pratiques et photo facultatifs ; problèmes signalés sur un lieu (motif, commentaire facultatif) | Application Android, uniquement quand vous proposez un lieu ou signalez un problème (compte Movoo obligatoire) | Compléter la carte avec des lieux utiles, après vérification par l'équipe Movoo (rien n'est visible des autres avant publication). Publiés sans votre pseudo, qui n'est visible que de l'équipe Movoo pour la modération ; les photos sont ré-encodées pour en retirer toutes les métadonnées (position GPS, appareil). Vous êtes prévenu de la publication ou du refus par un message de l'équipe. Ces lieux restent dans la base de Movoo : avec l'accord de l'équipe, un lieu publié peut être signalé aux contributeurs d'OpenStreetMap sous forme de note publique, qui ne contient que le lieu (catégorie, nom, description, informations) et jamais votre pseudo ni aucune donnée de compte. |
| Groupes : nom et description du groupe, liste des membres (identifiant de compte, pseudo, surnom choisi pour le groupe, rôle, date d'arrivée), invitations et demandes d'adhésion, réglages sourdine et pause | Application Android, uniquement si vous créez ou rejoignez un groupe (compte Movoo obligatoire) | Faire fonctionner le groupe (qui en fait partie, qui l'administre). Les autres membres voient votre pseudo et votre surnom dans ce groupe. Un groupe privé n'est visible que de ses membres ; un groupe public est trouvable par son nom. Avant qu'un groupe privé devienne public, les membres sont prévenus 24 h à l'avance et peuvent le quitter. |
| Messages de groupe | Application Android, quand vous écrivez dans un groupe | Chiffrés de bout en bout sur votre téléphone (protocole MLS) : les clés ne quittent jamais les téléphones des membres, Movoo ne peut pas lire les messages. Nos serveurs ne relaient que des données illisibles, avec la liste des destinataires, et les effacent dès que tous les destinataires les ont reçues, au plus tard après 7 jours. L'historique lisible n'existe que sur les téléphones, dans une base chiffrée ; il est effacé du vôtre quand vous quittez le groupe, en êtes exclu, à sa suppression ou à la déconnexion. Pour le chiffrement, votre téléphone publie à l'avance des « paquets de clés » publics, utilisables une seule fois. |
| Signalement d'un message de groupe : motif, identifiant de l'auteur signalé, précisions facultatives et, seulement si vous cochez la case, le texte du message | Application Android, uniquement quand vous touchez « Signaler à Movoo » | Permettre à l'équipe Movoo de traiter un contenu illicite ou un abus (règlement européen sur les services numériques). C'est la seule façon dont le contenu d'un message peut nous parvenir : par votre choix explicite. Le blocage d'un membre, lui, reste uniquement sur votre téléphone : personne n'en est informé. |
| Convoi : position partagée avec un groupe, trajet partagé, point de regroupement, signalement réservé au groupe, alerte « besoin d'aide » | Application Android, uniquement quand vous le décidez : partage de position après votre accord explicite (demandé une fois, révocable dans Profil), pour la durée choisie (30 min, 1 h, 2 h ou jusqu'à la fin du guidage) et seulement l'application ouverte (jamais en arrière-plan) | Permettre aux membres d'un groupe de rouler ensemble. Ces contenus passent par la messagerie du groupe, chiffrés de bout en bout : Movoo ne voit jamais votre position. Les membres ne voient que la dernière position reçue, effacée de leur téléphone à la fin du partage (ou après 15 minutes sans nouvelle) et jamais enregistrée ; nos serveurs suppriment chaque position relayée au plus tard 5 minutes après son envoi, même non reçue. Points de regroupement (12 h), signalements de groupe (durée du type de signalement) et alertes d'aide (24 h, position comprise) sont ensuite effacés des téléphones. Pour une alerte d'aide, nos serveurs savent seulement qu'un message prioritaire est envoyé (pour prévenir aussi les membres en sourdine), jamais son contenu. |
| Bouton d'urgence : contacts d'urgence (pseudo Movoo ou adresse e-mail ; les numéros de téléphone restent sur votre téléphone), alerte (position exacte, précision, mode de déplacement, heure), réponses « J'y vais » / « Je ne peux pas », signalements d'abus ; pour les volontaires de proximité : rayon choisi et zone approximative | Application Android, uniquement quand vous ajoutez un contact, déclenchez une alerte (appui long de 3 s puis 10 s pour annuler) ou activez « Être prévenu si un Movoo proche a besoin d'aide » (désactivé par défaut, après votre accord explicite, révocable à tout moment dans Profil) | Prévenir rapidement les personnes que vous avez choisies, et, si vous l'avez activé, les usagers proches volontaires. Votre position exacte n'est transmise qu'aux destinataires de l'alerte : vos contacts Movoo et vos contacts e-mail qui ont accepté par le lien reçu (un contact e-mail reçoit d'abord un message pour accepter ou refuser, et chaque e-mail contient un lien pour se retirer) ; un volontaire ne voit qu'une distance et une direction approximatives, et votre position exacte seulement s'il répond « J'y vais ». Les adresses e-mail de vos contacts sont chiffrées sur nos serveurs (AES-256-GCM) et ne sont visibles que de vous ; elles sont effacées si le contact refuse. Votre position est chiffrée sur nos serveurs et effacée dès la fin de l'alerte (vous y mettez fin, ou au bout de 2 heures). Volontaires : seule une zone d'environ 5 km (jamais votre position exacte) est envoyée, seulement l'application ouverte (jamais en arrière-plan), et oubliée après 15 minutes. Les notifications d'alerte ne contiennent jamais de position. Movoo ne remplace pas les secours : en cas d'urgence vitale, appelez le 112. |
| Ange gardien (sortie en solo) : heure de retour prévue, délai avant alerte, note facultative sur la sortie, dernière position connue et son heure, relances envoyées, alerte éventuelle | Application Android, uniquement quand vous activez l'ange gardien pour une sortie, après votre accord explicite (révocable) ; position envoyée environ toutes les 10 minutes pendant la sortie, seulement quand l'application est ouverte ou avec Android Auto (jamais en arrière-plan). Le site (Mon compte) permet de voir et d'arrêter la sortie | Vous relancer à l'heure prévue puis, sans réponse, prévenir vos contacts d'urgence (contacts Movoo et contacts e-mail qui ont accepté) avec l'heure prévue, votre dernière position connue et son heure, et votre note. Le minuteur tourne sur nos serveurs pour fonctionner même si votre téléphone est éteint. Seule la dernière position est gardée (aucune trace) ; note et position sont chiffrées sur nos serveurs (AES-256-GCM). Les contacts téléphone ne sont jamais prévenus automatiquement. Les volontaires de proximité ne reçoivent jamais d'alerte « ange gardien ». Movoo ne remplace pas les secours : en cas d'urgence vitale, appelez le 112. |
| Lien public de partage d'une sortie (www.movoo.eu/s/…) : tracé simplifié (début et fin déjà retirés par l'application si vous avez réglé une zone de confidentialité), titre facultatif, mode de déplacement, date, distance, durées, dénivelés, vitesses, allure, altitudes | Application Android, uniquement quand vous choisissez de partager une de vos sorties par un lien (compte Movoo obligatoire) | Permettre à n'importe qui de voir la carte et les chiffres de cette sortie, sans compte ni application, et afficher un aperçu sur les réseaux sociaux. La page ne montre jamais votre pseudo ni votre compte et n'est pas indexée par les moteurs de recherche ; toute personne qui a le lien peut la voir. Seuls le tracé et les chiffres sont gardés (jamais la photo ou l'image composée sur votre téléphone ; cette image, quand vous la partagez, est seulement enregistrée dans la galerie de votre téléphone, Photos › Movoo, d'où vous pouvez la supprimer) ; l'image d'aperçu est dessinée par nos serveurs à partir de ces données. 20 liens actifs au plus par compte gratuit. |
| Récit public d'une sortie (carnet de voyage) : les mêmes données que le lien de partage, plus un texte d'introduction facultatif et jusqu'à 12 photos que vous avez choisies, avec leur légende facultative et leur emplacement sur le tracé publié | Application Android, uniquement quand vous choisissez « Publier le récit » (compte Movoo obligatoire). Les photos du carnet restent sinon sur votre téléphone (copies réduites, chiffrées), jamais envoyées | Montrer votre sortie racontée en photos à qui a le lien. Les photos prises dans la zone de confidentialité (début et fin du parcours) ne sont jamais envoyées. Chaque photo est ré-encodée par nos serveurs (1280 pixels au plus, environ 200 Ko) : toutes ses métadonnées sont supprimées (position GPS, appareil, date et heure de prise de vue). Movoo ne garde ni l'heure de prise de vue ni la position d'origine de la photo, seulement son emplacement sur le tracé publié. 60 photos publiées au plus par compte gratuit. |
| Messages de l'équipe Movoo envoyés aussi par e-mail : votre adresse e-mail, la langue de votre application ou du site, votre préférence « Recevoir aussi les messages de l'équipe par e-mail », le suivi de chaque envoi (en attente, envoyé, échec, désinscription) | Quand l'équipe Movoo choisit d'envoyer une annonce aussi par e-mail (nouveauté, maintenance, information sur le service), seulement si votre préférence est activée — c'est le cas par défaut ; vous pouvez la désactiver à tout moment dans Mon compte (site), dans le Profil de l'application, ou en un clic par le lien présent dans chaque e-mail, sans vous connecter | Vous informer de la vie du service que vous utilisez (intérêt légitime de Movoo, avec possibilité de refus simple à tout moment). Le message est le même que celui de l'application, dans votre langue. L'e-mail ne contient ni image distante ni pixel de suivi : nous ne savons pas si vous l'ouvrez. Votre adresse n'est jamais copiée dans la file d'envoi : elle est lue au moment de l'envoi, un destinataire par message (personne ne voit l'adresse des autres). |
| Demande de réinitialisation du mot de passe (« Mot de passe oublié ? ») : empreinte du lien envoyé (jamais le lien lui-même), date de la demande, d'expiration et d'utilisation | Uniquement quand vous demandez un nouveau mot de passe, sur le site ou dans l'application Android | Vous permettre de récupérer votre compte de façon sûre (exécution du service). Le lien n'est envoyé qu'à l'adresse e-mail du compte, est valable 1 heure et utilisable une seule fois ; une nouvelle demande annule les précédentes. Nos serveurs ne gardent qu'une empreinte (SHA-256) du lien : même en cas de fuite de la base, elle ne permet pas de changer votre mot de passe. La réponse est la même que l'adresse corresponde à un compte ou non : personne ne peut savoir par ce biais si vous avez un compte. Après le changement, toutes vos sessions sont fermées et un e-mail vous en informe. L'e-mail ne contient ni image distante ni pixel de suivi. |
| Jeton de notification de l'appareil (Firebase Cloud Messaging) | Application Android, à l'ouverture de l'onglet Groupes si vous autorisez les notifications | Vous prévenir d'un nouveau message, d'une invitation, d'une demande d'adhésion ou d'un passage en public. Les notifications ne contiennent jamais le texte d'un message, seulement le type d'événement et l'identifiant du groupe. Le jeton est effacé à la déconnexion et à la suppression du compte. |
| Données techniques de l'appareil : version de l'application, fabricant et modèle du téléphone, version d'Android, surcouche du fabricant (One UI, MIUI, HyperOS, ColorOS) quand elle se déduit simplement, langue du téléphone ; sur le site, seulement « mobile » ou « ordinateur » | Application Android : à chaque échange avec les serveurs Movoo (jamais envoyées à un service tiers). Site : déduit du navigateur, dont l'identification complète (User-Agent) n'est jamais conservée | Support et correction des plantages : savoir quelle version et quel type de téléphone utilise une personne qui rencontre un problème, et quelles versions sont encore en circulation (intérêt légitime de Movoo à fournir une application qui fonctionne). Aucun identifiant unique de l'appareil (ni identifiant Android, ni IMEI, ni numéro de série, ni empreinte) : ces données ne permettent pas de reconnaître un téléphone. Mémorisées avec vos périodes d'activité, visibles de l'équipe Movoo seulement, incluses dans l'export de vos données. |
| Rapport de plantage de l'application : type d'erreur, message d'erreur et liste des fonctions de l'application en cours d'exécution (pile), date, version de l'application, données techniques de l'appareil ci-dessus, nom de l'écran ouvert (onglet), type de blocage (plantage, application bloquée, plantage interne) | Application Android, au lancement qui suit un plantage ou un blocage, avec ou sans compte | Corriger les plantages (intérêt légitime de Movoo). Aucune donnée personnelle : ni position, ni pseudo, ni e-mail, ni contenu ; les coordonnées, adresses e-mail et paramètres d'adresses web qui apparaîtraient dans un message d'erreur sont remplacés par « [position] », « [e-mail] », « […] » sur le téléphone, puis une seconde fois sur nos serveurs. Si vous étiez connecté, le rapport est rattaché à votre compte par son identifiant interne (jamais par votre pseudo ou votre e-mail) : l'équipe Movoo peut ainsi voir dans votre fiche que l'application a planté chez vous et vous aider. Au plus 5 rapports gardés sur le téléphone en attente d'envoi. |
| Adresse IP | Toute visite du site | Statistiques de fréquentation anonymisées (dernier octet IPv4 / 80 derniers bits IPv6 tronqués avant tout stockage — l'IP complète n'est jamais conservée). |
| Provenance d'une visite : canal, support et campagne du lien suivi (paramètres utm_source, utm_medium, utm_campaign, par exemple « TikTok, vidéo, pionniers ») | Arrivée sur le site par un lien de campagne (publication sur un réseau social, article de presse, autocollant…), une seule fois par session de navigation | Savoir quels canaux font connaître Movoo. Seul un compteur par jour et par canal est conservé (« 3 visites venues de TikTok le 15 octobre ») : aucun cookie, aucune adresse IP (même anonymisée), aucun identifiant, rien qui permette de savoir qui a visité. Les valeurs inconnues sont comptées comme « autre ». Compteurs effacés après 400 jours. Le « une seule fois par session » est mémorisé dans votre navigateur (stockage de session, effacé à la fermeture de l'onglet), jamais transmis. |
| Langue préférée | Sélection dans l'interface | Mémorisée localement dans votre navigateur (aucune transmission à Movoo). |
2. Ce que nous ne faisons pas
- Aucun cookie de suivi publicitaire. L'authentification utilise des jetons stockés localement sur votre appareil, pas des cookies tiers.
- Aucun réseau publicitaire tiers (type Google AdMob) intégré à ce jour — si des bannières promotionnelles apparaissent un jour pour les comptes gratuits, elles seront internes à Movoo, jamais issues d'un tracker publicitaire tiers, et cette page sera mise à jour en conséquence avant toute activation.
- Nous ne revendons ni ne partageons vos données personnelles à des fins commerciales avec des tiers.
3. Services tiers sollicités pour fournir le routage
Pour calculer un itinéraire, afficher une carte ou résoudre une adresse, votre appareil interroge directement les services suivants avec les coordonnées ou le texte de recherche nécessaires à cette seule requête (aucune donnée de compte n'est transmise à ces services) : OpenStreetMap/OpenTopoMap/CyclOSM/IGN Géoportail/Esri (fonds de carte), OSRM et BRouter (calcul d'itinéraire), Overpass API (points d'intérêt hors des pays couverts par notre propre base ; serveurs situés en Allemagne et en Autriche uniquement), Open-Meteo (météo), Amazon Web Services (tuiles de relief de la carte de l'application), MapLibre (style de carte de secours, servi par Cloudflare), Wikimedia Commons et Wikidata (photos et descriptions des lieux) et data.economie.gouv.fr (prix des carburants). Esri, Amazon Web Services, Cloudflare et Wikimedia sont des sociétés ou fondations établies aux États-Unis : votre adresse IP et la zone de carte ou le lieu consulté peuvent leur être transmis. Chacun applique sa propre politique de confidentialité, indépendante de Movoo.
Les polices de caractères et les bibliothèques du site (carte, graphiques) sont servies directement par Movoo, et le QR code d'un trajet est dessiné sur votre appareil : ni votre adresse IP ni votre trajet ne sont transmis pour cela à un service tiers.
Calcul des itinéraires par nos propres serveurs : la plupart des itinéraires sont calculés par notre serveur de calcul (rte.movoo.eu), loué chez l'hébergeur OVH et situé au Canada (Beauharnois, Québec). Il reçoit, depuis notre serveur principal et par une liaison chiffrée, les seuls points du trajet (coordonnées des étapes), le mode de déplacement et les options de calcul (évitements, gabarit du camping-car) — jamais votre adresse IP, votre identité ni aucune donnée de compte. Ce transfert hors de l'Union européenne repose sur la décision d'adéquation de la Commission européenne pour le Canada (décision 2002/2/CE, confirmée en janvier 2024). Si ce serveur ne répond pas, le calcul se replie sur les services publics BRouter (brouter.de) et OSRM cités ci-dessus.
La recherche d'adresse et l'adresse d'un point sont traitées par nos propres serveurs, à partir des données OpenStreetMap des dix pays couverts (France, Belgique, Pays-Bas, Luxembourg, Allemagne, Italie, Espagne, Suisse, Autriche, Portugal) : votre recherche n'est alors pas transmise à un tiers. Quand la carte est centrée hors de ces pays, quand nos serveurs ne trouvent rien d'assez proche ou qu'ils sont indisponibles, ils interrogent eux-mêmes le service public Photon de komoot (Allemagne), et en dernier recours le service public Nominatim d'OpenStreetMap, avec le seul texte recherché et la position de la carte arrondie à environ 1 km (ou, pour l'adresse d'un point, ce point) — jamais votre adresse IP, votre identité ni aucune donnée de compte.
Quand vous proposez un lieu, nos serveurs vérifient qu'il n'existe pas déjà dans OpenStreetMap : dans notre propre base quand elle couvre la zone, sinon en interrogeant eux-mêmes le service public Overpass avec la seule position et la catégorie du lieu — jamais votre adresse IP ni aucune donnée de compte.
Notifications des groupes (application Android) : elles transitent par Firebase Cloud Messaging (Google), qui reçoit le jeton de votre appareil et un message réduit au type d'événement et à l'identifiant technique du groupe — jamais le contenu d'un message ni le nom du groupe. Le QR code d'invitation est lu sur votre téléphone, sans service tiers ; l'appareil photo n'est utilisé que pendant le scan et aucune image n'est conservée.
Bouton d'urgence : les notifications d'alerte passent aussi par Firebase Cloud Messaging, réduites au type d'événement et à l'identifiant technique de l'alerte — jamais de position ni de nom. Les e-mails à vos contacts d'urgence sont envoyés par notre relais de messagerie, un destinataire par message (aucun contact ne voit l'adresse des autres).
Messages de l'équipe par e-mail : envoyés par le même relais de messagerie, qui reçoit votre adresse et le texte du message, rien d'autre.
4. Vos droits (RGPD)
- Accès et portabilité : export intégral de vos données depuis votre compte (profil, trajets, historique de consentement).
- Suppression : suppression totale et immédiate de votre compte et de toutes les données associées (trajets, messages envoyés/reçus, consentements), déclenchable à tout moment depuis votre compte — aucune confirmation par email requise, aucun délai de traitement différé. Dans l'application Android : onglet Profil > Compte et données personnelles > Supprimer mon compte. Sans l'application, envoyez la demande depuis l'adresse email de votre compte à contact@movoo.eu : le compte et toutes ses données sont supprimés sous 7 jours au plus.
- Suppression d'une partie de vos données, sans supprimer votre compte : chaque trajet sauvegardé se supprime individuellement, avec ses étapes et ses points d'intérêt — dans l'application Android, bouton 📂 > onglet Cloud > icône corbeille ; sur le site, section « Mes trajets (cloud) » > icône corbeille. Pour toute autre donnée (suggestions envoyées, historique), écrivez depuis l'adresse email de votre compte à contact@movoo.eu : la suppression est faite sous 7 jours au plus.
- Rectification : contactez-nous à contact@movoo.eu pour corriger une donnée inexacte que vous ne pourriez pas modifier vous-même.
5. Conservation des données
Vos données sont conservées tant que votre compte existe. Les statistiques de fréquentation anonymisées (IP déjà tronquée) sont conservées à des fins d'amélioration du service. La suppression de votre compte efface immédiatement et définitivement le reste.
Données techniques de l'appareil : effacées 90 jours après votre dernière activité sur l'application ou le site (la période d'activité elle-même reste, pour les statistiques). Rapports de plantage : effacés de nos serveurs 90 jours après leur réception ; à la suppression du compte, ils ne sont plus rattachés à personne (seules restent les données techniques du plantage).
Signalements d'usagers : chaque signalement expire après une durée propre à son type (de 2 heures pour un radar mobile ou un accident à 30 jours pour une barrière, prolongée par les confirmations) ; sa photo est alors supprimée, et la ligne elle-même est effacée 30 jours après l'expiration ou le retrait. À la suppression de votre compte, vos signalements encore actifs restent visibles mais deviennent anonymes (plus aucun lien avec vous) et vos votes sont effacés.
Lieux proposés : un lieu publié reste sur la carte tant qu'il existe (il n'a pas de durée de vie). Une proposition refusée ou retirée est effacée, photo comprise, 90 jours après la décision. À la suppression de votre compte, vos propositions encore en attente sont supprimées (photo comprise), vos lieux déjà publiés restent visibles mais deviennent anonymes, et les problèmes que vous avez signalés sont effacés. Vos propositions et signalements figurent dans l'export de vos données.
Groupes : vos appartenances, rôles et réglages sont conservés tant que vous êtes membre ; quitter un groupe les efface. Un groupe est supprimé quand son dernier membre part ou quand son administrateur le supprime. À la suppression de votre compte, vous quittez tous vos groupes (le membre le plus ancien devient administrateur de ceux que vous administriez). Les messages relayés sont effacés de nos serveurs dès réception par tous, au plus tard après 7 jours. Les signalements de messages sont conservés 12 mois au plus, puis effacés automatiquement (ou dès la suppression de votre compte s'ils viennent de vous). Vos groupes et signalements figurent dans l'export de vos données ; le contenu des messages, jamais lisible par Movoo, n'y figure pas : il n'existe que sur les téléphones des membres.
Convoi : une position partagée n'est jamais conservée — 5 minutes au plus sur nos serveurs (chiffrée), en mémoire seulement sur les téléphones des membres jusqu'à la fin du partage. Points de regroupement : 12 h ; signalements réservés au groupe : leur durée de vie habituelle ; alertes « besoin d'aide » : 24 h ; puis effacement automatique des téléphones. Votre accord au partage de position est gardé sur votre téléphone jusqu'à ce que vous le retiriez.
Ange gardien : la dernière position connue et la note sont effacées de nos serveurs dès la fin de la sortie (« Je suis bien rentré », arrêt, fin ou expiration de l'alerte — 12 heures au plus après le déclenchement de l'alerte) ; la sortie elle-même (heures, délai, nombre de relances, sans position ni note) est effacée 30 jours après sa fin. Votre accord et votre délai de grâce sont gardés jusqu'à ce que vous les retiriez ou supprimiez votre compte ; tout figure dans l'export de vos données. Le tableau de bord de l'équipe Movoo n'affiche que des compteurs anonymes (sorties en cours, nombre d'alertes), jamais d'heure, de note ni de position.
Urgence : la position exacte d'une alerte est effacée de nos serveurs dès la fin de l'alerte (2 heures au plus) ; l'alerte elle-même (zone approximative d'environ 5 km, heure, nombre de personnes prévenues, réponses) est effacée 30 jours après sa fin, ou 12 mois si un destinataire l'a signalée comme abusive. La zone approximative d'un volontaire est oubliée 15 minutes après son dernier envoi. Vos contacts d'urgence sont conservés jusqu'à ce que vous les retiriez ou qu'ils se retirent. À la suppression de votre compte, vos contacts, vos alertes, vos réponses et votre réglage de volontaire sont effacés ; un signalement d'abus déposé par un autre utilisateur n'est plus relié à vous. Ces données figurent dans l'export de vos données. Un contact e-mail peut se retirer à tout moment par le lien présent dans chaque message, sans compte Movoo.
Partage d'une sortie : chaque lien est supprimé automatiquement 90 jours après sa création, avec son image d'aperçu ; vous pouvez le retirer avant à tout moment depuis l'application (la page affiche alors « Ce partage n'est plus disponible »). Les réseaux sociaux peuvent garder de leur côté l'aperçu déjà affiché. À la suppression de votre compte, tous vos liens et leurs images sont effacés. Vos liens actifs figurent dans l'export de vos données.
Récit public d'une sortie : les photos et le texte sont supprimés en même temps que le lien (retrait, 90 jours après la publication ou suppression de votre compte) ; mettre le récit à jour crée un nouveau lien et supprime l'ancien avec ses photos. Les photos du carnet gardées sur votre téléphone sont effacées avec la sortie ou à la suppression de votre compte. Vos récits actifs (texte, légendes, emplacements) figurent dans l'export de vos données.
Mot de passe oublié : chaque demande est effacée de nos serveurs 24 heures après son expiration (1 heure) ou son utilisation, et immédiatement à la suppression de votre compte. Les dates des demandes encore conservées figurent dans l'export de vos données (jamais l'empreinte du lien).
Messages de l'équipe par e-mail : le suivi des envois (statut, nombre de tentatives, date d'envoi ou de désinscription — jamais votre adresse ni le texte) est conservé avec le message et effacé avec lui, et immédiatement à la suppression de votre compte. Votre préférence et ce suivi figurent dans l'export de vos données.
6. Sécurité
Mots de passe hachés (Argon2id), messages privés chiffrés au repos (AES-256-GCM), connexions chiffrées (HTTPS/TLS), jetons de session à durée de vie limitée, messages de groupe chiffrés de bout en bout (MLS). L'application Android chiffre sa base locale (SQLCipher) et stocke les jetons via le Keystore Android.
7. Contact
Pour toute question relative à vos données personnelles : contact@movoo.eu.