Politique de confidentialité

CityTract — protection des données à caractère personnel
Version 3.0 — Dernière mise à jour : [DATE DE PUBLICATION]

1. Introduction et responsable de traitement

La présente politique décrit la manière dont les données à caractère personnel des utilisateurs de l'application mobile CityTract (l'« Application ») sont collectées, utilisées, conservées et protégées, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés.

Responsable de traitement : [NOM DE L'ENTITÉ JURIDIQUE], [FORME JURIDIQUE], [SIREN/SIRET], [ADRESSE DU SIÈGE] — contact@citytract.fr.

Le Responsable de traitement n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité. Point de contact pour toute question relative aux données : contact@citytract.fr.

Version et acceptation. La présente politique porte un numéro de version. Lors de la création d'un compte, la date d'acceptation et le numéro de version acceptés sont enregistrés afin que le Responsable de traitement puisse démontrer, comme la loi le lui impose, quelle version a été portée à la connaissance de chaque personne (RGPD, art. 7, § 1).

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement des services (principe de minimisation). Nous ne collectons aucune donnée dite « sensible » au sens de l'article 9 du RGPD et invitons les utilisateurs à ne pas en publier dans leurs contributions.

2.1 Données de compte (Utilisateur). Nom et prénom ; adresse électronique ; date de naissance ; mot de passe (conservé exclusivement sous forme hachée) ; photographie de profil le cas échéant ; statut de l'abonnement Premium le cas échéant ; date et version des conditions acceptées.

Contrôle de l'âge : la date de naissance est collectée à l'inscription et vérifiée côté serveur. Toute demande d'inscription émanant d'une personne de moins de 15 ans est rejetée et aucun compte n'est créé (voir section 11).

2.2 Données de compte Partenaire. Identité et coordonnées professionnelles du représentant ; informations sur l'organisation (dénomination, adresse, SIREN/SIRET le cas échéant) ; contenus publiés ; statut de l'abonnement souscrit.

Vérification d'identité des Partenaires — ce qui est supprimé et ce qui est conservé

Lors de la constitution du dossier Partenaire, une pièce d'identité du représentant (recto/verso) est collectée aux seules fins de vérification.

• Les images de la pièce d'identité sont définitivement supprimées — de notre base de données et de notre hébergeur d'images — dès que la décision est prise sur le dossier (validation, refus ou blocage). Elles ne sont jamais conservées après cette décision.
• En revanche, lorsque le dossier est validé, nous conservons les mentions relevées sur le document : nom, prénom, date de naissance, nationalité, type de pièce présentée, ainsi que la date de la vérification et l'identité de la personne l'ayant effectuée. Nous le disons explicitement parce que ces informations subsistent après la destruction de l'image.
• Finalité de cette conservation : pouvoir démontrer, en cas de contestation ultérieure d'une revendication de fiche, d'usurpation d'identité ou de réquisition d'une autorité, qu'une vérification a bien été effectuée et sur quel fondement. Base légale : intérêt légitime (prévention de la fraude et de l'usurpation, sécurité juridique des revendications).
• Durée : voir la section 7. Droit d'opposition et d'effacement : voir la section 8.
• En cas de refus ou de blocage du dossier, aucune de ces mentions n'est enregistrée : seules les images sont détruites.

Certaines informations d'établissements peuvent être enrichies à partir de bases publiques (répertoire SIRENE, DATAtourisme) ; lorsqu'elles concernent des entrepreneurs individuels, elles sont utilisées exclusivement pour le référencement, la vérification des revendications et la prise de contact professionnelle.

2.3 Données de localisation — ce qui est réellement conservé

Nous traitons trois catégories distinctes de données de localisation. Elles ne suivent pas les mêmes règles et nous les détaillons ci-après parce que l'une d'elles est conservée durablement.

• La position transmise pour répondre à une recherche (activités à proximité, météo du lieu affiché) : utilisée en temps réel pour construire la réponse, elle n'est pas enregistrée dans un historique.
• La dernière position connue de votre terminal — conservée. Lorsque vous autorisez la géolocalisation, l'Application transmet périodiquement votre position à nos serveurs, qui enregistrent dans votre fiche de compte votre dernière latitude, votre dernière longitude et la date de cette mise à jour. Cette position est écrasée à chaque nouvelle transmission, et non accumulée : nous ne constituons donc pas d'historique de vos déplacements, mais nous conservons en permanence votre position la plus récente, aussi longtemps que votre compte existe. Elle est utilisée pour déterminer si une nouveauté publiée près de chez vous doit vous être signalée (voir section 4).
• Les lieux recherchés ou saisis manuellement et une position de référence enregistrée dans votre profil pour personnaliser les suggestions, que vous pouvez modifier à tout moment.

2.4 Données d'usage. Mentions « J'y étais », favoris, activités masquées ; partenaires suivis ; avis et notes ; commentaires et réactions (« j'aime ») sur les publications des Partenaires ; propositions de correction des fiches ; signalements effectués ; historique des suggestions proposées (pour éviter les répétitions) ; critères saisis dans le planificateur et l'assistant ; consultations des fiches (statistiques agrégées).

2.5 Données de paiement. Les paiements (abonnement Premium des Utilisateurs, formules des Partenaires) sont traités par Stripe Payments Europe, Ltd. Nous ne collectons ni ne conservons les numéros complets de carte bancaire ; nous recevons de Stripe des informations limitées (identifiant client, statut de l'abonnement, historique des transactions).

2.6 Données techniques. Informations sur le terminal (système, version de l'Application, langue) ; jeton d'authentification ; identifiant de notification push le cas échéant.

Précision sur les adresses IP — nous préférons décrire ce que nous faisons réellement. L'Application ne tient aucun journal de connexion : aucune trace de vos requêtes, de vos consultations ni de votre navigation n'est enregistrée avec votre adresse IP. Il existe une seule exception, et nous la décrivons précisément parce qu'elle existe réellement : lorsque vous exercez votre droit de rétractation, ou lorsque vous souscrivez un abonnement payant, l'adresse IP et le descriptif du navigateur ou de l'application utilisés (« user-agent ») sont enregistrés avec la déclaration ou avec la preuve de consentement correspondante. Voir la section 2.8, qui détaille cet enregistrement, sa finalité, sa base légale et sa durée.

En dehors de ce cas, votre adresse IP est nécessairement vue, et généralement journalisée pendant une courte durée à des fins de sécurité et d'exploitation, par les prestataires techniques par lesquels transitent vos requêtes : notre hébergeur, notre hébergeur d'images, notre prestataire de paiement, le service de cartographie et le service d'acheminement des notifications (section 5). Ces journaux relèvent de leurs propres politiques et durées.

2.7 Données du Passeport et signaux d'intégrité. Voir la section 12.

2.8 Preuves contractuelles et registres de conformité

Trois traitements sont regroupés ici parce qu'ils ont un point commun : ils existent pour pouvoir démontrer quelque chose plus tard. Ce sont ceux dont la durée de conservation dépasse la durée de vie de ce qu'ils documentent, et c'est pourquoi nous les décrivons séparément plutôt que de les diluer dans les catégories précédentes.

(a) Preuve du formalisme de souscription et registre des rétractations. Lorsque vous souscrivez un abonnement payant, puis si vous exercez votre droit de rétractation, nous enregistrons :

• à la souscription : le fait que vous avez donné, ou non, la demande expresse d'exécution immédiate et la reconnaissance de la perte du droit de rétractation, l'horodatage de chacune de ces deux déclarations et le libellé exact du texte qui vous a été affiché, ainsi que l'information précontractuelle sur le montant éventuellement dû ; les références du contrat et du paiement ; votre adresse IP et votre user-agent ;
• si vous vous rétractez : vos nom et prénom, les éléments identifiant le contrat, l'adresse à laquelle vous avez demandé à recevoir l'accusé de réception, la date et l'heure de votre déclaration puis de sa confirmation, le contenu de l'accusé qui vous a été adressé, la décision prise, la règle de calcul appliquée et les montants ; votre adresse IP et votre user-agent.

Finalité : établir, en cas de contestation, ce qui vous a été présenté et à quelle date. Base légale : obligation légale — la loi fait peser sur le professionnel la charge de prouver qu'il a respecté ce formalisme —, complétée par l'intérêt légitime à la constitution d'une preuve pour l'adresse IP et le user-agent, qui rattachent la déclaration à un contexte technique daté.

Ces enregistrements ne peuvent pas être modifiés après coup. Les colonnes probantes sont protégées techniquement contre toute retouche : la base de données refuse la modification. Cette contrainte joue en votre faveur — une preuve que nous pourrions réécrire le jour du litige ne prouverait rien, et c'est nous, et non vous, qui devons prouver.

Durée : cinq (5) ans (section 7). Nous justifions cette durée plutôt que de l'affirmer : elle correspond au délai de prescription de droit commun en matière d'obligations, et elle doit nécessairement dépasser un an, puisque le délai de rétractation lui-même est porté à douze mois et quatorze jours lorsque l'information sur ce droit n'a pas été correctement délivrée (C. consom. art. L.221-20). Une preuve détruite au bout d'un an serait détruite précisément avant la fin de la période où elle peut servir.

(b) Preuve de l'acceptation des conditions. Outre la date et le numéro de version acceptés (section 2.1), nous conservons, lorsqu'un changement de version vous a été soumis, la date de la première invitation à ré-accepter, la version concernée par cette invitation, et le nombre de fois où vous avez choisi de reporter votre décision. Finalité : démontrer que l'acceptation vous a été proposée et que vous avez pu lire avant de décider — le compteur de reports sert à établir que le consentement n'a pas été arraché au premier écran, non à vous le reprocher. Base légale : obligation légale (RGPD, art. 7, § 1). Durée : celle de la preuve d'acceptation (section 7).

(c) Registre des actions de modération. Toute mesure restreignant un de vos contenus — suppression, refus de publication, mise hors ligne, rétention en pré-modération, déclassement, suspension — est inscrite dans un registre distinct du contenu lui-même. Y figurent : la nature de la mesure, sa portée et sa durée, un extrait borné du contenu concerné figé au moment de la décision, le motif sous forme de code et, le cas échéant, les faits propres à l'espèce, le fondement (loi ou conditions générales), l'éventuel recours à des moyens automatisés, l'identité de l'auteur de la décision, et la date à laquelle vous en avez été informé puis l'avez consultée.

• Pourquoi un extrait du contenu est conservé alors que le contenu est supprimé : sans lui, vous recevriez « votre contenu a été supprimé » sans savoir duquel il s'agit, ce qui viderait le droit de recours de son objet. C'est un extrait limité, non une copie intégrale : nous documentons une décision, nous ne reconstituons pas une base de contenus retirés.
• Qui y a accès : vous, pour les décisions qui vous concernent, depuis un écran dédié de l'Application ; le personnel habilité de l'Éditeur ; et les autorités compétentes lorsque la loi l'exige. Les autres utilisateurs n'y ont aucun accès, et le Partenaire à l'origine d'une décision n'accède pas au registre général. La personne qui a signalé un contenu est informée de la décision prise, mais n'a accès ni à votre identité ni au dossier : elle a droit à la décision, pas au reste.
• Le registre est en écriture seule. Une décision annulée sur recours n'efface pas la ligne d'origine : une ligne de sens inverse est ajoutée. Nous le disons parce que cela a une conséquence concrète pour vous — une décision rapportée en votre faveur reste visible dans votre historique, accompagnée de son annulation. C'est ce qui vous permet d'établir qu'elle a existé et qu'elle a été rapportée.

Finalité : vous informer des motifs de toute restriction et vous permettre de la contester ; rendre compte de nos pratiques de modération. Base légale : obligation légale (règlement (UE) 2022/2065, art. 17). Durée : section 7.

Ce que ces registres ne servent jamais à faire : ils ne sont utilisés ni pour la publicité, ni pour la personnalisation des suggestions, ni pour alimenter le Passeport ou les signaux d'intégrité de la section 12.3, ni pour l'entraînement de systèmes d'intelligence artificielle.

3. Finalités et bases légales

Absence de publicité ciblée et de traceurs : l'Application ne diffuse aucune publicité personnalisée et ne vend ni ne loue les données de ses utilisateurs. Elle n'intègre aucun outil de mesure d'audience, aucun outil de suivi des plantages et aucun kit de développement publicitaire ou analytique de tiers. Les mises en avant de certaines fiches résultent exclusivement des formules payantes souscrites par les Partenaires, et non de l'exploitation du profil individuel des utilisateurs : le classement décrit à l'article 8.2 des CGU est le même pour tous les utilisateurs.

Décisions automatisées : les suggestions d'activités reposent sur des traitements automatisés (scores fondés sur la distance, les préférences, la météo, l'historique, et le palier payant du Partenaire dans les conditions publiées à l'article 8.2 des CGU). Elles ne produisent aucun effet juridique ni effet significatif similaire (RGPD, art. 22) : ce sont de simples recommandations, que l'utilisateur reste libre de suivre ou d'ignorer. Le Passeport constitue en revanche un profilage, décrit à la section 12.

Intérêt légitime : lorsque nous invoquons l'intérêt légitime, nous avons mis en balance cet intérêt et vos droits. Vous pouvez obtenir communication de cette analyse et vous opposer au traitement à tout moment (section 8).

4. Géolocalisation et alertes de secteur

• La géolocalisation est facultative et désactivable à tout moment dans les réglages du terminal.
• La position est transmise à nos serveurs pour répondre aux demandes de l'utilisateur (activités à proximité, suggestions, planification).
• Votre dernière position connue est enregistrée sur nos serveurs. Elle est mise à jour — et donc écrasée — à chaque nouvelle transmission, et conservée tant que votre compte existe et que la géolocalisation reste autorisée.
• Comment elle est utilisée. Deux traitements l'exploitent :
  • Alerte immédiate. Lorsqu'une nouvelle activité est publiée, nos serveurs recherchent parmi l'ensemble des utilisateurs géolocalisés ceux dont la dernière position connue se situe à moins d'une vingtaine de kilomètres du lieu de l'activité, et leur adressent une notification « Près de chez toi ». Un même utilisateur ne reçoit pas plus d'une alerte de ce type toutes les six heures.
  • Récapitulatif périodique. Un traitement automatique s'exécute chaque semaine et parcourt l'ensemble des utilisateurs géolocalisés pour compter les nouveautés publiées à proximité de leur dernière position connue et, s'il y en a suffisamment, leur adresser un récapitulatif.
• Comment s'y opposer. Trois moyens, indépendants : désactiver l'autorisation de géolocalisation dans les réglages du terminal ; désactiver les alertes géographiques dans les réglages de l'Application, ce qui vous exclut immédiatement des deux traitements ci-dessus ; ou désactiver toutes les notifications. Vous pouvez également nous demander l'effacement de la position enregistrée (section 8).
• Une position de référence peut par ailleurs être enregistrée dans votre profil pour personnaliser les suggestions ; elle est modifiable et supprimée avec le compte.
• Nous ne constituons pas d'historique de vos déplacements et n'archivons pas vos positions successives : seule la plus récente est conservée.
• Heures de silence. Aucune notification n'est émise entre 22 h et 7 h (heure de Paris).
• La position est également transmise, depuis le terminal, au service météorologique Open-Meteo pour afficher les conditions locales, sans compte ni identifiant utilisateur.
• L'affichage des cartes fait appel au service Google Maps, qui reçoit à cette occasion les coordonnées de la zone affichée et l'adresse IP du terminal (voir section 5).
• Sans autorisation, la recherche reste possible par saisie manuelle d'une ville ou d'un lieu.

5. Destinataires et sous-traitants

Les données sont accessibles au personnel habilité du Responsable de traitement, et traitées par les prestataires suivants dans la stricte mesure nécessaire :

Les données peuvent être communiquées aux autorités lorsque la loi l'exige. Aucune vente ni location de données n'est pratiquée. Les Partenaires n'ont pas accès aux données individuelles des utilisateurs : les statistiques fournies sont agrégées.

Intelligence artificielle : les données transmises au prestataire d'IA le sont pour produire la réponse demandée. Elles ne sont pas utilisées pour entraîner des modèles (affirmation à confirmer au regard des conditions commerciales effectivement souscrites auprès du prestataire, et à corriger ici si tel n'est pas le cas).

Précision sur les âges des enfants. Lorsque vous utilisez le planificateur en indiquant que vous partez en famille, les âges que vous renseignez pour vos enfants sont transmis tels quels au prestataire d'intelligence artificielle, avec la destination, les dates et les critères de séjour. Ils ne sont accompagnés ni de votre nom, ni de votre adresse électronique, ni de l'identifiant de votre compte. Ce champ est facultatif : vous pouvez l'omettre, le programme sera simplement moins adapté.

6. Transferts hors de l'Union européenne

Certains prestataires (Cloudinary, Stripe, Google, Expo, Anthropic, le cas échéant Resend) peuvent traiter des données hors UE, notamment aux États-Unis. Ces transferts sont encadrés par des garanties appropriées (RGPD, art. 44 et suivants) : décision d'adéquation (cadre de protection des données UE–États-Unis pour les prestataires certifiés) et/ou clauses contractuelles types de la Commission européenne. Vérifier, prestataire par prestataire, la garantie effectivement applicable et la validité de la décision d'adéquation à la date de publication. Copie des garanties sur demande : contact@citytract.fr.

7. Durées de conservation

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Des copies de sauvegarde techniques peuvent subsister au maximum 90 jours avant écrasement.

8. Vos droits

• Accès : obtenir la confirmation d'un traitement et une copie de vos données.
• Rectification : faire corriger des données inexactes ou incomplètes.
• Effacement : obtenir la suppression de vos données dans les cas prévus (RGPD, art. 17).
• Limitation : obtenir le gel temporaire du traitement (RGPD, art. 18).
• Opposition : vous opposer aux traitements fondés sur l'intérêt légitime — notamment l'affichage public du Passeport et les signaux d'intégrité — et, sans avoir à vous justifier, à la prospection.
• Portabilité : recevoir les données que vous avez fournies dans un format structuré et couramment utilisé.
• Retrait du consentement : à tout moment, sans effet sur la licéité des traitements antérieurs. Cela vise notamment la géolocalisation et les alertes de secteur (section 4).
• Directives post mortem : définir le sort de vos données après votre décès.

Suppression du compte — comment procéder vous-même. Vous pouvez supprimer votre compte directement depuis l'Application, sans nous contacter : écran « Réglages » → « Supprimer mon compte ». Deux confirmations successives vous sont demandées, car l'opération est immédiate et irréversible. Elle entraîne la suppression de votre compte et de vos données associées — contributions, « J'y étais », publications, Passeport, photographies (y compris chez notre hébergeur d'images) et, le cas échéant, votre espace Partenaire. Certaines données peuvent être conservées au-delà lorsque la loi l'impose ou sous forme anonymisée. Nous les énumérons plutôt que de les évoquer : les pièces comptables ; la preuve de l'acceptation des conditions ; les preuves de souscription et les déclarations de rétractation, adresse IP et user-agent compris, pendant cinq ans ; et le registre des actions de modération vous concernant (section 2.8). Ces éléments survivent donc à la suppression de votre compte, et c'est délibéré : ce sont précisément les pièces qui vous permettent — comme à nous — d'établir ce qui s'est passé si un différend survient après votre départ. Le droit d'effacement ne s'étend pas aux données dont la conservation est nécessaire au respect d'une obligation légale ou à la constatation et à l'exercice de droits en justice (RGPD, art. 17, § 3, b) et e)). La suppression reste également possible sur demande à contact@citytract.fr.

Exercice des autres droits : contact@citytract.fr ou courrier à l'adresse du siège. En cas de doute raisonnable sur l'identité du demandeur, un justificatif peut être demandé. Réponse sous un (1) mois, prorogeable de deux (2) mois pour les demandes complexes.

Réclamation : auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

9. Sécurité

Mesures mises en œuvre : chiffrement des communications (TLS/HTTPS) ; mots de passe exclusivement hachés par des algorithmes reconnus ; authentification par jeton ; cloisonnement des accès administrateurs ; suppression des pièces d'identité dès la décision sur le dossier ; sauvegardes régulières ; prestataires présentant des garanties reconnues (Stripe est certifié PCI-DSS). En cas de violation de données présentant un risque pour les personnes, notification à la CNIL (RGPD, art. 33 et 34) et, si le risque est élevé, information des personnes concernées.

10. Stockage local sur le terminal

L'Application n'utilise pas de cookies au sens des sites web, mais enregistre localement des informations strictement nécessaires : jeton d'authentification (maintien de la session) ; données de profil mises en cache ; préférences d'affichage et langue choisie ; données de cache (par exemple dernières conditions météo). Ces informations sont stockées dans l'espace privé de l'Application et supprimées à la désinstallation ou à la déconnexion selon leur nature. L'Application n'intègre aucun traceur publicitaire tiers.

Les traitements décrits à la section 12 reposent sur des signaux observés côté serveur. L'Application ne lit aucun identifiant publicitaire ni identifiant matériel du terminal à des fins de détection de comptes multiples.

11. Mineurs

L'Application est réservée aux personnes âgées d'au moins quinze (15) ans, âge du consentement numérique en France (art. 45 de la loi Informatique et Libertés — référence à vérifier). Cette limite est appliquée techniquement : la date de naissance est contrôlée sur nos serveurs lors de l'inscription et toute demande émanant d'une personne de moins de 15 ans est refusée ; aucun compte n'est créé.

Si des données d'un enfant de moins de 15 ans ont néanmoins été collectées sans le consentement conjoint du titulaire de la responsabilité parentale, elles sont supprimées dans les meilleurs délais sur notification à contact@citytract.fr. Les représentants légaux peuvent exercer les droits de la section 8 pour le compte de leur enfant.

Protection renforcée des 15-18 ans : aucun grade ni badge du Passeport n'est affiché publiquement pour un compte dont le titulaire est mineur (section 12).

12. Passeport CityTract — profilage et signaux d'intégrité

12.1 Ce qu'est le Passeport

Le Passeport attribue des points aux contributions acceptées, dont découlent un grade (huit niveaux) et des badges.

Le grade déverrouille exactement trois capacités, et aucune autre :

• Éclaireur (200 points) — affichage de votre grade à côté de votre nom sur vos contributions publiques ;
• Explorateur (600 points) — file de modération prioritaire, qui est un ordre de lecture et non un filtre : vos contributions sont relues plus tôt, selon les mêmes critères que celles de tout le monde ;
• Cartographe (1 500 points), étendu à Ambassadeur (3 500 points) — publication directe de certaines propositions de correction de fiche, sous audit a posteriori, à l'exclusion définitive de la photographie. Chaque publication directe est journalisée avec la valeur antérieure du champ et reste réversible.

Le grade ne confère aucun pouvoir de modération sur les contributions d'autrui, aucun avantage monétaire, aucune remise et aucune contrepartie financière. Les grades Bâtisseur et Légende locale ne déverrouillent aujourd'hui aucune capacité nouvelle.

Nous vous informons expressément que ce dispositif constitue un « profilage » au sens du RGPD (art. 4, point 4) : il consiste en une évaluation automatisée de votre comportement contributif et, en substance, de votre fiabilité. Nous préférons le dire clairement plutôt que de soutenir le contraire.

12.2 Données traitées et finalités

Pour le calcul du Passeport : nature et date de chaque contribution acceptée, ville concernée, points attribués ou repris, motif. Finalité : encourager l'enrichissement des fiches et attribuer progressivement des responsabilités de contribution. Base légale : exécution du contrat.

Pour l'affichage public du grade et des badges à côté de votre nom d'utilisateur. Base légale : intérêt légitime (animation de la communauté). Vous pouvez vous y opposer à tout moment, sans motif et sans perdre vos points : le grade cesse alors d'être visible des autres utilisateurs.

12.3 Signaux comportementaux de lutte contre la fraude

Pour empêcher la fabrication artificielle de points, la création de fermes de comptes et les manipulations organisées — notamment entre Partenaires concurrents — nous enregistrons et analysons les signaux suivants :

• l'ancienneté de votre compte (aucun point n'est crédité pendant les 48 premières heures) ;
• le rythme et le volume de vos contributions : intervalle entre contributions (cadence), dépassement du plafond quotidien de points, et rafales — plus de huit contributions en dix minutes ;
• les reprises de points consécutives au retrait d'une contribution déjà créditée ;
• la concentration des validations opérées par un même Partenaire. Lorsqu'un Partenaire valide une mention « J'y étais » déposée sur l'une de ses propres fiches, ce crédit est marqué. Nous examinons ensuite, au niveau du Partenaire et non au vôtre, le rapport entre le nombre de crédits accordés et le nombre de bénéficiaires distincts : un Partenaire qui crédite quarante visiteurs différents est normal, un Partenaire qui crédite quarante fois les deux mêmes comptes ne l'est pas. Ce signal ne retient aucun point et n'entraîne aucune mesure automatique.

Ce que nous ne faisons pas, et que nous annoncions à tort auparavant : nous n'enregistrons ni ne rapprochons aucune adresse IP entre comptes, et nous ne lisons aucun identifiant de votre appareil. La détection de comptes multiples repose exclusivement sur les signaux comportementaux énumérés ci-dessus.

Finalité : garantir la fiabilité des données publiées et l'équité du dispositif. Base légale : intérêt légitime — la prévention de la fraude, dont nous estimons qu'elle l'emporte ici sur l'incidence limitée du traitement, étant précisé qu'aucune conséquence n'est tirée automatiquement de ces signaux.

Garantie essentielle — aucun blocage automatique. Ces signaux n'entraînent jamais, par eux-mêmes, la suspension, l'exclusion ou le bannissement d'un compte. Leur seul effet automatique est de mettre des points en attente et de porter la situation à l'attention d'une personne physique, qui examine le cas et décide seule des suites. Vous pouvez présenter vos observations avant toute mesure, sauf urgence.

Ces signaux sont observés côté serveur. Nous ne lisons aucun identifiant stocké dans votre terminal à cette fin.

12.4 Garanties que nous vous accordons

Nous considérons que le Passeport ne constitue pas une décision entièrement automatisée produisant des effets juridiques ou vous affectant de manière significative. Sans reconnaître qu'elles nous soient imposées, nous vous accordons néanmoins volontairement les garanties suivantes (inspirées du RGPD, art. 22, § 3) :

• Explicabilité individuelle : vous pouvez consulter le détail ligne à ligne des points crédités ou repris, afin de comprendre non seulement la règle générale, mais pourquoi vous avez ce grade ;
• Contestation : vous pouvez contester votre grade, un refus de crédit, une reprise de points ou une mise en attente, à contact@citytract.fr ;
• Intervention humaine : toute décision relative au Passeport est réexaminée par une personne physique à votre demande ;
• Opposition à l'affichage public, à tout moment et sans motif ;
• Pseudonymat : l'affichage public n'expose pas votre nom complet ;
• Exclusion des mineurs : aucun affichage public de grade ou de badge pour un compte de moins de 18 ans ;
• Absence d'avantage monétaire : le Passeport ne donne droit à aucune somme, remise ou contrepartie financière ;
• Absence de classement : nous ne publions aucun classement ordinal des contributeurs. Votre position vous est indiquée sous la forme d'un pourcentage local, non d'un rang ;
• Réversibilité : chaque publication directe est journalisée avec la valeur antérieure du champ modifié et peut être annulée.

Le Passeport et le registre des points sont supprimés avec votre compte.

Le chemin de contestation existe de bout en bout : un bouton sur chaque ligne de votre registre et sur votre grade, une file de contestations relue dans l'écran d'administration, et une clôture qui enregistre qui a relu et ce qui a été répondu. Une boîte à réclamations que personne ne relève n'est pas un mécanisme de conformité.

12 bis. Analyse d'impact relative à la protection des données (AIPD)

La CNIL inscrit sur sa liste des traitements pour lesquels une analyse d'impact est obligatoire deux configurations que l'Application réunit :

• le profilage de personnes pouvant aboutir à leur exclusion du bénéfice d'un contrat, ou à la suspension voire à la rupture de celui-ci, la CNIL citant expressément l'exemple de l'« analyse comportementale visant à détecter des comportements interdits » — ce qui correspond aux signaux d'intégrité de la section 12.3 ;
• le traitement de données de localisation à large échelle — ce qui correspond au traitement décrit à la section 4.

Le responsable de traitement réalise et tient à jour cette analyse d'impact. Elle est révisée à chaque évolution substantielle du Passeport, des signaux d'intégrité ou du traitement de la géolocalisation.

12 ter. Décisions prises par un Partenaire sur vos contenus

Nous vous informons que certaines décisions portant sur vos contenus ne sont pas prises par nous, mais par le Partenaire concerné :

• la validation ou le refus de votre mention « J'y étais » lorsqu'elle porte sur une fiche revendiquée par un Partenaire ;
• la validation préalable de vos commentaires sur le mur d'un Partenaire, lorsque celui-ci a activé cette option — désactivée par défaut ;
• la suppression de vos commentaires sur les publications d'un Partenaire titulaire d'une formule payante.

Ce pouvoir ne s'étend jamais aux avis ni aux notes, qu'aucun Partenaire ne peut modifier, masquer, supprimer ni réordonner. Seul l'auteur d'un avis peut le supprimer.

Voie de recours. Si un de vos contenus est refusé ou supprimé par un Partenaire, vous pouvez nous saisir à contact@citytract.fr : nous réexaminons la décision et pouvons la rapporter. L'usage systématique de ces facultés pour faire disparaître des contenus critiques mais licites constitue un manquement contractuel du Partenaire.

13. Modifications

La présente politique peut évoluer. En cas de modification substantielle (nouvelle finalité, nouveau destinataire, changement de base légale), le numéro de version est incrémenté, les utilisateurs en sont informés avant l'entrée en vigueur, et leur consentement est recueilli de nouveau lorsque la loi l'exige. La date de mise à jour et le numéro de version figurent en tête du document.

Comment cette information vous parvient concrètement. La présente politique et les conditions générales portent le même numéro de version et se déplacent ensemble. Lorsque cette version change, l'Application vous invite à relire et à accepter — elle ne se contente pas de mettre le document à jour en silence. Cette invitation :

• peut être reportée, afin que vous puissiez lire avant de décider. Nous enregistrons le nombre de reports (section 2.8 b) pour démontrer que l'acceptation vous a été proposée, et non imposée au premier écran ;
• fait courir son délai à compter du moment où elle vous a effectivement été présentée, et non de la date de publication de la nouvelle version, qu'un utilisateur inactif n'aurait jamais vue ;
• ne conditionne pas, pendant ce délai, l'accès au service que vous utilisez déjà. Couper l'accès à un service déjà payé pour obtenir l'acceptation de clauses nouvelles est le schéma même du consentement contraint, et nous ne le pratiquons pas ;
• tant que vous n'avez pas ré-accepté, c'est la version que vous aviez acceptée qui régit la relation — raison pour laquelle le délai est borné et non indéfini.

Vous pouvez à tout moment demander quelle version vous est applicable, et en obtenir copie, à contact@citytract.fr.

14. Contact

contact@citytract.fr — ou par courrier : [NOM DE L'ENTITÉ JURIDIQUE], [ADRESSE DU SIÈGE].