Politique de confidentialité

• Un compte est nécessaire : l'application sert à s'organiser entre parents, il n'y a pas de mode hors ligne.
• Vos coordonnées ne deviennent visibles d'un autre parent qu'une fois une place acceptée, et seulement de lui.
• Les discussions sont publiques au sein d'un groupe : tous ses membres les lisent.
• Aucune publicité, aucune revente de données, aucun traceur publicitaire.
• La fréquentation est mesurée sans cookie, sur notre propre serveur.
• Tout est hébergé à Singapour, chez OVH.
• Vous pouvez supprimer votre compte vous-même, à tout moment, depuis votre profil.

Sont enregistrés à la création du compte :

• votre adresse e-mail, qui sert d'identifiant ;
• votre mot de passe, jamais en clair : seule une empreinte bcrypt est conservée ;
• vos prénom et nom, tels que les autres parents du groupe les voient ;
• facultativement votre téléphone, votre ville, votre véhicule et quelques mots de présentation.

Le téléphone est facultatif, mais c'est lui qui permet de se joindre un matin où le trajet change. Il n'apparaît jamais publiquement.

Un enfant n'a jamais de compte : seul un parent en crée la fiche, qui comporte un prénom, une couleur, et facultativement une année de naissance, une classe et une note libre. Aucune adresse, aucun téléphone, aucun moyen de contacter un enfant n'est demandé.

Les parents du groupe où l'enfant est inscrit voient sa classe (« parent d'un élève de CE2 A ») ; son prénom, seulement si vous choisissez de l'afficher. Le conducteur voit toujours le prénom une fois la place acceptée, puisqu'il s'agit de savoir qui monte dans quelle voiture. La fiche indique aussi, si vous le précisez, le besoin d'un rehausseur.

Un trajet enregistre un lieu de départ et d'arrivée saisis librement, une date, un nombre de places et vos précisions éventuelles. Ces lieux sont du texte libre : rien ne vous oblige à donner une adresse exacte, et un quartier ou un point de rendez-vous suffit.

Rejoindre une école ou un club rend votre nom, votre véhicule et vos trajets visibles des autres membres de ce groupe. Quitter le groupe met fin à cette visibilité pour l'avenir.

Chaque membre dispose d'un lien personnel pour inviter des familles dans son groupe. C'est lui qui l'envoie, depuis ses propres contacts (WhatsApp, SMS, partage du téléphone) : Trajoo ne demande jamais l'adresse ou le numéro d'une autre personne, et n'écrit à personne.

• La page d'invitation affiche le prénom et l'initiale du nom du membre qui a partagé le lien (« Marie D. vous invite »). L'aperçu du lien dans une messagerie, lui, ne montre que le nom du groupe.
• Chaque partage est compté par canal (WhatsApp, SMS, partage, copie), sans rien sur la personne à qui il est envoyé.
• Quand une famille rejoint le groupe par ce lien, son adhésion garde le membre qui l'a invitée : il en est prévenu, et son profil indique combien de familles il a fait venir. Aucun classement n'est montré aux membres ; les chiffres d'ensemble servent à l'administration du service.
• Rien n'est enregistré sur une personne invitée tant qu'elle ne s'inscrit pas elle-même.

C'est le point à connaître. Tant qu'une demande de place est en attente, le conducteur voit le prénom de l'enfant et le nom du parent, rien de plus.

Une fois la place acceptée, le téléphone et l'adresse e-mail du conducteur et du parent passager deviennent visibles l'un de l'autre, afin qu'ils puissent se joindre. Ce partage est limité à ces deux personnes et à ce trajet : les autres membres du groupe n'y ont pas accès.

Les fils de discussion sont publics au sein d'un groupe : tout membre les lit, et ce que vous y écrivez y reste. Un fil rattaché à un trajet suit les mêmes règles.

Un administrateur peut retirer un message contraire aux règles. Le texte disparaît alors de l'affichage ; la ligne demeure, avec son auteur et sa date, afin de garder trace de la modération.

Selon les canaux que vous choisissez dans votre profil :

• dans l'application : la notification reste sur nos serveurs, et le direct passe par notre propre concentrateur ;
• par courriel : l'envoi est confié à Brevo, prestataire établi dans l'Union européenne, qui reçoit votre adresse et le contenu du message ;
• en push : le message chiffré transite par le service de notification de votre navigateur ou de votre téléphone (Apple, Google ou Mozilla selon l'appareil), qui en connaît la destination sans pouvoir en lire le contenu.

Chaque canal se coupe indépendamment, évènement par évènement, depuis votre profil.

Nous comptons les visites pour savoir quels écrans servent et lesquels sont ignorés. La mesure est faite par Matomo, un logiciel installé sur notre propre serveur : aucune donnée n'est transmise à un prestataire d'analyse.

• sont enregistrés l'écran visité, la date, la page précédente, la langue, le pays déduit de l'adresse IP, le type d'appareil et la taille de l'écran ;
• aucun cookie, aucun identifiant conservé d'une visite à l'autre, aucun recoupement avec un autre site.

Faute de cookie et d'identifiant durable, deux visites d'une même personne ne peuvent pas être rapprochées au-delà de la journée. C'est ce qui permet à cette mesure de se passer de bandeau de consentement, conformément à la position de la CNIL sur les outils de mesure d'audience.

Vous pouvez vous connecter avec votre compte Google plutôt qu'avec un mot de passe. C'est facultatif : le formulaire e-mail et mot de passe reste disponible, et rien ne vous oblige à passer par Google.

Si vous choisissez cette voie, un script fourni par Google est chargé depuis accounts.google.com. Il ne l'est que sur trois écrans, la connexion, l'inscription et votre profil, et jamais ailleurs dans l'application. Ce script dépose des cookies sur le domaine de Google et informe Google que vous vous trouvez sur l'un de ces écrans.

• Google nous transmet votre identifiant Google, votre adresse e-mail et le fait qu'elle soit vérifiée, ainsi que votre prénom et votre nom lorsqu'ils sont renseignés.
• Nous conservons l'identifiant Google, l'adresse, le prénom et le nom. Ni votre photo, ni le domaine de votre organisation, ni aucune autre donnée de votre compte Google.
• Nous n'obtenons aucun accès à vos autres services Google : ni messagerie, ni agenda, ni contacts, ni fichiers.

Vous pouvez dissocier votre compte Google à tout moment depuis votre profil, à condition d'avoir défini un mot de passe au préalable, sans quoi vous ne pourriez plus vous connecter.

Quand l'application rencontre une erreur, le rapport correspondant est envoyé à Sentry, un service qui nous sert à repérer et corriger les pannes. Sans lui, nous ne saurions qu'une fonction est cassée que le jour où quelqu'un prend le temps de nous écrire.

• Sont transmis : le message d'erreur et l'endroit du code concerné, l'écran où vous étiez, votre navigateur, votre système et votre adresse IP.
• Sont également transmis votre identifiant de compte, votre adresse e-mail et votre nom, afin de savoir combien de personnes une panne touche et de vous répondre si vous nous écrivez.
• Sont joints les derniers écrans parcourus et les actions qui ont précédé l'erreur, sans enregistrement de ce qui s'affichait.
• Ces données sont conservées quatre-vingt-dix jours, puis effacées automatiquement.

Sentry agit pour notre compte et n'utilise ces données pour rien d'autre. Elles ne servent ni à la publicité, ni à la mesure d'audience, qui reste faite par Matomo sur notre propre serveur.

Comme tout serveur web, celui-ci enregistre les requêtes reçues : adresse IP, date, page demandée et navigateur. Ces journaux servent au bon fonctionnement et à la sécurité du service, et sont conservés quatorze jours avant effacement automatique.

• Aucune publicité, dans aucun écran.
• Aucun traceur publicitaire. Deux services extérieurs seulement : la connexion Google, chargée si vous vous en servez, et Sentry, décrit ci-dessus.
• Aucune vente, location ou transmission des données à des tiers à des fins commerciales.
• Aucun profilage, aucune décision automatisée.
• Aucune géolocalisation : l'application ne demande jamais la position de votre appareil.

« Supprimer mon compte », en bas de votre profil, supprime votre compte immédiatement, après confirmation par votre mot de passe (ou, pour un compte ouvert avec Google, par une case à cocher).

• Sont effacés : votre nom, votre adresse e-mail, votre téléphone, votre commune, votre présentation, votre véhicule, votre mot de passe et le lien avec votre compte Google ; le prénom, l'année de naissance, la classe et la note de vos enfants ; vos adhésions aux groupes, vos notifications et réglages, vos liens d'invitation et vos réponses aux sondages.
• Avant l'effacement, vos trajets à venir sont annulés et les parents concernés prévenus, vos demandes de place à venir sont retirées et vous quittez vos équipages.
• Restent, sans votre nom : les trajets déjà faits et les places de ces trajets, pour que les compteurs du groupe (voitures évitées, trajets partagés) restent justes, et vos messages dans les discussions, signés « Compte supprimé ».
• Si vous gérez un groupe qui compte d'autres familles, transmettez-en d'abord la gestion à un autre parent. Un groupe dont vous étiez le seul membre est fermé.

• Compte, enfants, groupes : tant que le compte existe.
• Trajets, demandes de place et discussions : conservés comme historique du groupe, y compris après le trajet.
• À la suppression du compte : les trajets déjà faits et les messages restent dans l'historique du groupe, sans nom ; tout le reste est effacé.
• Notifications : cinquante dernières par compte.
• Journaux du serveur : quatorze jours.

Les données sont hébergées par OVH SAS, société française, sur des serveurs situés à Singapour. Elles se trouvent donc hors de l'Union européenne, dans un pays ne bénéficiant pas d'une décision d'adéquation de la Commission européenne. Les envois de courriels passent par Brevo, établi dans l'Union européenne.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité et d'opposition sur les données vous concernant, ainsi que celles de vos enfants.

• Rectification : votre profil, vos enfants et vos trajets se modifient directement dans l'application.
• Opposition : chaque canal de notification se coupe depuis votre profil, et quitter un groupe met fin au partage avec ses membres.
• Effacement : « Supprimer mon compte », en bas de votre profil, efface votre compte et les données de vos enfants, immédiatement.
• Accès et portabilité, ou effacement si vous n'avez plus accès à votre compte : écrivez à mathieu@dumoutier.mu. La demande est traitée sous un mois.

Vous pouvez également introduire une réclamation auprès de l'autorité de protection des données de votre pays de résidence.

Cette politique peut évoluer avec l'application. La date de dernière mise à jour figure en haut de cette page.