La présente politique de confidentialité explique quelles données personnelles l'application « SurvKit » traite. Elle couvre les versions iOS et Android et s'applique exclusivement à l'application elle-même.
Cette traduction est fournie pour votre commodité. En cas de divergence, la version allemande fait foi.
SurvKit est conçu strictement selon le principe de protection des données dès la conception (art. 25 du RGPD) : l'application traite les données personnelles exclusivement en local sur votre appareil. Il n'y a ni serveur, ni compte, ni cloud, ni télémétrie, ni SDK d'analyse. Les seules exceptions sont le formulaire de commentaires facultatif, le traitement de l'achat intégré et les rapports de plantage, qui peuvent être désactivés - tous trois décrits en détail ci-dessous.
La version Android traite moins de données. Elle n'a ni formulaire de commentaires ni rapports de plantage ; elle ne se connecte que pour deux choses, que vous déclenchez toutes deux vous-même : l'achat intégré, géré par Google Play, et le téléchargement de cartes hors ligne. La section distincte Version Android ci-dessous énumère chaque différence.
Le responsable du traitement au sens du règlement général sur la protection des données (RGPD) est la personne physique qui publie « SurvKit » en tant que développeur indépendant :
Les coordonnées complètes figurent également dans les mentions légales (en allemand).
« SurvKit » est publié par une seule personne en tant que développeur indépendant. La désignation d'un délégué à la protection des données n'est donc pas légalement requise et aucun n'a été désigné.
SurvKit ne nécessite aucune inscription et n'exploite aucun backend. Toutes les données que vous saisissez sont stockées exclusivement en local sur votre appareil et ne sont transmises à personne (seule exception : le formulaire de commentaires, voir ci-dessous) :
La base juridique de ce traitement purement local est la fourniture des fonctions que vous demandez (art. 6, paragraphe 1, point b) du RGPD).
L'application ne se connecte à Internet que lorsque vous le déclenchez vous-même. Pour des raisons techniques, le tiers concerné reçoit votre adresse IP et un user agent :
Nous ne journalisons pas ces requêtes ; aucun identifiant allant au-delà de ce qui est techniquement nécessaire n'est transmis. La base juridique est la fourniture de la fonction que vous avez expressément demandée (art. 6, paragraphe 1, point b) du RGPD). Les contenus téléchargés fonctionnent ensuite hors ligne.
Sous Profil → Envoyer un commentaire, vous pouvez nous envoyer un message. C'est la seule façon dont un contenu que vous saisissez quitte l'appareil, et cela n'est déclenché que lorsque vous appuyez sur « Envoyer » - rien n'est transmis en arrière-plan.
Sont transmis : le texte de votre commentaire, une adresse e-mail facultative (uniquement si vous souhaitez une réponse) et - pour aider à classer le signalement - la version de l'application et du build, la version d'iOS, le modèle de l'appareil et le réglage de langue. Ne sont pas transmis : votre profil d'urgence, le contenu du coffre-fort, votre position, vos réserves, vos notes ou toute autre donnée de l'application. Le destinataire est une base de données Supabase (Supabase Inc.) ; la clé intégrée à l'application permet uniquement d'insérer des données, pas de les lire. La base juridique est le traitement de votre demande (art. 6, paragraphe 1, point b) du RGPD).
SurvKit peut être utilisé sans restriction pendant sept jours ; ensuite, les sections avancées sont débloquées par un achat intégré unique (sans abonnement). Les fonctions d'urgence essentielles restent gratuites en permanence. L'achat lui-même est traité par Apple (StoreKit / App Store) ; pour afficher le prix, valider l'achat et restaurer les achats, l'application utilise le SDK du prestataire RevenueCat, Inc.
RevenueCat reçoit un identifiant d'utilisateur anonyme généré par RevenueCat, les données du reçu de l'App Store, la version de l'application, le type d'appareil et le réglage de langue - ni nom, ni adresse e-mail, ni identifiant Apple. Le statut de l'achat est mis en cache en local ; l'application n'effectue aucune vérification en arrière-plan. La base juridique est l'exécution du contrat (art. 6, paragraphe 1, point b) du RGPD). Détails : politique de confidentialité de RevenueCat.
Si l'application plante, elle envoie un rapport d'erreur technique au démarrage suivant. Cette fonction est active après l'installation. L'étape consacrée à la confidentialité lors du premier lancement la mentionne expressément et affiche l'interrupteur correspondant juste à côté ; vous pouvez la désactiver à ce moment-là et à tout moment par la suite sous Profil → À propos de l'application → Diagnostic. La désactivation prend effet immédiatement - le SDK Sentry est arrêté et n'ouvre plus aucune connexion.
Seuls des détails techniques sur le plantage sont transmis : message d'erreur et pile d'appels (stack trace), emplacement dans le code du programme, version de l'application et du build, version d'iOS, modèle de l'appareil, réglage de langue et fuseau horaire, ainsi qu'un identifiant d'installation pseudonyme que le SDK Sentry attribue à chaque appareil. Ne sont pas transmis : les captures d'écran, votre position GPS et tout contenu du profil d'urgence, du coffre-fort de documents, de la liste de réserves ou des notes. Aucun comportement d'utilisation n'est enregistré et aucun profil d'utilisateur n'est créé.
À propos de l'adresse IP : l'application ne l'envoie pas. Lors de la remise du rapport, le serveur de Sentry la voit inévitablement - cela ne peut pas être empêché depuis l'application. Pour ce projet, l'option « Prevent Storing of IP Addresses » est activée, de sorte que l'adresse n'est pas stockée. Une localisation approximative qui en est déduite (pays et ville) reste toutefois enregistrée avec l'événement ; il s'agit d'une fonction de Sentry côté serveur qui ne peut pas être désactivée.
Le sous-traitant est Functional Software, Inc. (« Sentry »), San Francisco, Californie, États-Unis. Les rapports sont envoyés à la région UE du service (ingest.de.sentry.io) et stockés dans des centres de données situés dans l'Union européenne. Le fondement est un contrat de sous-traitance (Data Processing Addendum faisant partie des conditions d'utilisation) ; pour d'éventuels transferts vers les États-Unis, les clauses contractuelles types de la Commission européenne s'appliquent. Les rapports sont supprimés automatiquement à l'issue des durées de conservation de Sentry. Détails : politique de confidentialité de Sentry.
La base juridique est notre intérêt légitime à disposer d'une application stable et sans erreurs (art. 6, paragraphe 1, point f) du RGPD). Les erreurs qui ne surviennent que sur certains appareils ou dans certaines langues sont pratiquement impossibles à trouver autrement. Vous pouvez vous opposer à ce traitement à tout moment en désactivant l'interrupteur (art. 21 du RGPD).
SurvKit ne demande des autorisations système (position, appareil photo, microphone, notifications, réseau local / Bluetooth) que lorsqu'une fonction en a besoin - par exemple l'appareil photo pour le scanner de documents ou la position pour la carte et la boussole. Les données issues de ces autorisations sont traitées exclusivement en local et ne sont jamais transmises. Les notifications sont purement locales (p. ex. dates de péremption de vos réserves) - il n'y a aucun serveur push. Cette liste décrit la version iOS ; les autorisations demandées par la version Android, et leur finalité, sont énumérées une à une sous Version Android.
La version Android de SurvKit a un périmètre plus restreint que la version iOS, et cela vaut aussi pour le traitement des données. Pour elle, ce qui suit s'applique :
INTERNET et ACCESS_NETWORK_STATE afin de signaler les achats à Google. Il est impossible de vendre dans la boutique de Google sans elle. Le lecteur de codes ne consulte rien en ligne : il décode sur l'appareil.
github.com (cartes), api.open-meteo.com (météo), wikipedia.org (articles), world.openfoodfacts.org (codes-barres alimentaires), www.ema.europa.eu (notices de médicaments) et huggingface.co (téléchargement unique d'un modèle d'IA qui s'exécute ensuite sur l'appareil). Wikipédia, les notices de médicaments et le modèle d'IA relèvent de fonctions que la version Android n'a pas encore - ils sont déjà mentionnés ici afin que ce texte ne soit pas en retard sur l'application. Le scanner alimentaire, en revanche, est présent : il envoie le numéro du code-barres à OpenFoodFacts et reçoit en retour le nom, la marque, la quantité et la liste des ingrédients. La comparaison avec votre profil d'allergènes a lieu sur l'appareil - votre liste d'allergènes n'est jamais transmise. Une fois chargé, un produit reste disponible hors ligne. Seul ce qui constitue la requête est transmis : un nom de fichier, des coordonnées arrondies, un titre d'article, un numéro de code-barres. L'application n'envoie ni cookies, ni identifiants d'appareil, ni identifiants publicitaires ; le user agent indique l'application et sa version, car les interfaces publiques l'exigent. Aucun service ne charge quoi que ce soit en arrière-plan.
POST_NOTIFICATIONS) pour le rappel concernant les réserves qui arrivent à péremption. Demandée seulement lorsque vous saisissez votre première date de péremption ; la notification est créée sur l'appareil, sans aucun serveur push.
RECEIVE_BOOT_COMPLETED) afin que ces rappels survivent à un redémarrage du téléphone.
ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION) pour l'affichage de la position dans la boussole - coordonnées, altitude, UTM et MGRS -, pour votre propre position sur la carte, pour l'enregistrement de traces et pour la météo. Dans tous les cas sauf un, la position reste sur l'appareil : elle est affichée, ou y est stockée si vous lancez un enregistrement. La seule exception est la météo - des coordonnées arrondies à deux décimales sont envoyées à Open-Meteo, car une prévision sans lieu n'est pas une prévision. La boussole et la carte fonctionnent aussi sans cette autorisation, simplement sans la position. En dessous d'Android 12, la recherche Bluetooth exige en outre la localisation ; c'est une règle du système qui sert à y trouver des appareils, pas à vous localiser.
RECORD_AUDIO) pour le sonomètre. Rien n'est enregistré. L'application calcule le niveau sonore à partir du signal en direct et le rejette immédiatement ; rien n'en est stocké ni envoyé.
CAMERA) pour le lecteur de codes et le scanner de documents. Le lecteur de codes analyse l'image sur l'appareil et la rejette ; le scanner de documents place la capture directement dans le coffre-fort chiffré sur votre appareil. Aucune image ne quitte le téléphone.
BLUETOOTH_SCAN, BLUETOOTH_CONNECT, BLUETOOTH_ADVERTISE ; en dessous d'Android 12, BLUETOOTH et BLUETOOTH_ADMIN) pour la messagerie Bluetooth. Demandée lorsque vous ouvrez cet écran. La recherche porte l'indicateur neverForLocation : elle sert à trouver des appareils et n'est pas utilisée pour en déduire votre position. Si vous refusez, la messagerie continue de fonctionner via le Wi-Fi local. Le Bluetooth n'est pas indispensable à l'application - si l'appareil n'en dispose pas, seul cet écran manque.
FOREGROUND_SERVICE, FOREGROUND_SERVICE_LOCATION) pour deux fonctions : l'enregistrement de traces sur la carte et la balise de position de la section SOS, qui mémorise où vous vous trouvez à l'intervalle que vous définissez. Ce sont les deux seules choses qui continuent de fonctionner lorsque l'application est fermée - et chacune seulement tant que vous l'avez lancée : de « démarrer » à « arrêter », jamais automatiquement, jamais après un redémarrage du téléphone. Une notification avec un bouton d'arrêt reste visible dans la barre d'état pendant toute la durée. La trace et les points sont stockés sur l'appareil et ne sont envoyés nulle part ; vous pouvez supprimer les deux dans l'application. La balise ne transmet rien d'elle-même - lorsque vous appuyez, elle place un texte contenant l'heure, les coordonnées et un lien OpenStreetMap dans la feuille de partage de votre téléphone, et sa destination relève de votre décision à l'étape suivante.
com.android.vending.BILLING, INTERNET et ACCESS_NETWORK_STATE pour l'achat, ainsi que USE_BIOMETRIC et USE_FINGERPRINT pour le verrouillage de l'application et le coffre-fort.
La carte hors ligne, la météo, la messagerie Bluetooth et le scanner alimentaire sont désormais inclus et décrits ci-dessus. Dès que la version Android recevra une autre des fonctions que seule la version iOS possède pour l'instant - Wikipédia, notices de médicaments ou assistant IA -, cette section sera mise à jour au préalable. Les six interlocuteurs qui entrent en ligne de compte pour cela sont déjà énumérés intégralement ci-dessus.
Toutes les données résident exclusivement sur votre appareil et y restent stockées jusqu'à ce que vous les supprimiez dans l'application ou que vous désinstalliez celle-ci. Un export chiffré (sauvegarde) n'a lieu que lorsque vous le déclenchez vous-même, et il est stocké à l'endroit que vous choisissez.
Vous disposez des droits prévus aux art. 15 à 21 du RGPD (accès, rectification, effacement, limitation, opposition, portabilité des données) ainsi que du droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 du RGPD). Toutes les données résidant en local sur votre appareil, vous pouvez exercer à tout moment l'accès, la rectification et l'effacement directement dans l'application. Pour toute question, contactez survkit@borisniehaus.de.
SurvKit est distribué via l'App Store d'Apple et via Google Play. L'obtention de l'application par l'une ou l'autre boutique est soumise aux traitements de données propres à Apple ou à Google (p. ex. dans le cadre de votre compte et du téléchargement), est régie par leurs politiques de confidentialité et échappe à la sphère d'influence du responsable du traitement.
SurvKit n'utilise aucun cookie, n'effectue aucun suivi et n'intègre aucun SDK d'analyse ou de publicité. Il n'y a ni identifiant publicitaire, ni profilage, ni reconnaissance entre appareils. Le seul SDK de diagnostic intégré est Sentry pour les rapports de plantage - limité aux plantages, sans comportement d'utilisation et désactivable à tout moment (voir ci-dessus). La version Android ne contient même pas cela.
2026-09-15