Brouillon 0.2 · 27 septembre 2026
Cette page est rédigée en anglais. Les versions espagnole, française et allemande sont des traductions ; tant que notre avocat ne les a pas relues, c'est le texte anglais qui fait foi.
Cette page couvre la carte, les pages de compte que notre serveur vous montre et les e-mails que nous envoyons. Elle dit ce que nous collectons, ce que nous gardons, ce que nous montrons et comment le faire supprimer. Chaque fait vient du code qui le fait.
Ce site est exploité par son fondateur, qui décide de ce qu'il advient des données décrites ici.
Écrivez-nous à propos de tout ce qui figure sur cette page. Une personne lit chaque message.
Chaque requête vers ce site passe par Cloudflare, notre hébergeur et notre réseau. Comme tout serveur web, il voit votre adresse IP et ce que votre navigateur dit de lui-même.
Si une requête échoue de notre côté, notre serveur inscrit l'erreur dans un journal — pas votre adresse IP, pas l'adresse web demandée, pas vos cookies. Nous gardons ce journal pendant 30 jours.
Pour vous suggérer votre ville, nous lisons l'estimation de Cloudflare sur l'endroit où se trouve votre connexion. Nous l'utilisons pour cette réponse et ne la conservons pas.
Le site nous envoie aussi de petits événements d'usage. Ils disent :
Ils ne portent ni cookie ni identifiant. Mais nous gardons chacun avec les données réseau de la section 4 — dont la première partie de votre adresse IP — et les supprimons sous 90 jours environ. Pendant 90 jours au plus, nous gardons donc, pour chaque réseau, une trace de ce qui a été ouvert et répondu depuis ce réseau.
Quand une publication ou une photo est restée une seconde à l'écran, le site nous dit laquelle, et nous la comptons — une fois tous les 30 jours par adresse réseau et navigateur. Ce n'est pas gardé avec vos données réseau : pour reconnaître les répétitions, nous gardons seulement un code à sens unique fait avec une clé secrète, 31 jours au plus. Le compte lui-même ne dit rien de vous. Seule la personne qui a publié le voit, et seulement quand nous activons les comptes pour sa ville.
Quand votre oui compte, il allume aussi la ligne publique « quelqu'un l'a vu » de cette activité, qui montre pendant un moment depuis combien de temps elle a été vue pour la dernière fois. Elle ne montre jamais qui a répondu.
Sur votre appareil, le site garde : un nombre aléatoire, pour qu'un téléphone ne compte pas pour plusieurs (jusqu'à ce que vous effaciez les données du site) ; les réponses du jour, pendant 48 heures ; et quelques réglages, comme le fait que la localisation a fonctionné. Le nombre aléatoire accompagne vos réponses ; nous n'en gardons qu'un code à sens unique, avec la réponse.
Pourquoi nous pouvons le faire : notre intérêt légitime à faire fonctionner un site rapide et honnête. Pour l'estimation de la ville : notre intérêt légitime à vous montrer d'abord votre ville.
Quand vous répondez, publiez, réservez une place à une offre, demandez une ville, signalez quelque chose, donnez votre avis sur une offre ou liez un commerce — et avec les événements d'usage — nous gardons :
Après 90 jours, nous supprimons les parties de l'adresse et le code du navigateur. Le pays reste.
Pourquoi : notre intérêt légitime à garder la carte honnête — repérer et annuler les afflux et les fausses réponses.
Nous ne vous demandons votre position que lorsque vous touchez quelque chose qui en a besoin, et votre téléphone vous pose d'abord la question. Si vous avez déjà dit oui, la carte utilise votre position sur votre téléphone — pour montrer ce qui est près de vous et vous interroger sur l'endroit où vous êtes. Cela seul ne nous envoie rien.
Votre position nous parvient, avec l'heure, quand vous répondez si quelque chose se passe, dites que c'est toujours là ou réservez une place à une offre. Si vous avez un poste, aussi quand vous publiez ou envoyez une photo du jour (section 7). Votre téléphone envoie la mesure qu'il a, avec sa précision. Seuls les boutons de réponse de la page d'un lieu refusent d'envoyer une mesure moins précise que 500 m ; partout ailleurs, la mesure part telle quelle, aussi floue soit-elle.
Nous l'utilisons pour vérifier que vous y êtes vraiment : dans la zone du lieu plus 75 m, et jusqu'à 50 m de plus quand la mesure est floue — jamais davantage, aussi floue soit-elle. Une réponse venue de plus loin est gardée, avec son point, mais pas comptée. Un « toujours là », un grab, une publication ou une photo du jour venus de plus loin sont refusés, et leur point n'est pas gardé.
Ce que nous gardons :
Nous ne publions jamais le point d'une réponse ou d'un grab, et nous ne vendons jamais votre position. Nos e-mails ne donnent jamais votre position ; l'un d'eux nomme un lieu où vous avez répondu (section 12).
Toucher la carte pour poser l'épingle d'un nouveau lieu envoie cette épingle — jamais votre position — pour trouver le nom de la rue ou de la place. Nous n'en gardons rien, sauf un compteur des requêtes de votre réseau, pendant deux jours, pour freiner les afflux.
Pourquoi : votre consentement — vous autorisez la localisation sur votre téléphone et vous touchez pour l'envoyer.
La connexion se fait uniquement avec Google. Nous demandons à Google votre adresse e-mail, et rien de plus. Google nous envoie son numéro pour votre compte, votre adresse et le fait que Google l'a vérifiée ou non. Nous n'acceptons qu'une adresse vérifiée par Google.
Nous gardons votre adresse, le numéro de Google, la date à laquelle vous les avez liés et celle où votre adresse a été vérifiée. Rien d'autre de Google, et aucun mot de passe ni jeton Google. Si vous changez d'adresse chez Google, nous gardons l'ancienne jusqu'à ce que vous nous le disiez.
Votre compte contient aussi votre identifiant, si vous en définissez un, et votre choix pour l'e-mail hebdomadaire.
Les cookies :
sid, goa, moa et mpick ne vont qu'à l'adresse de notre serveur (api.habitsofthecity.com). hc_role appartient à tout notre domaine, donc votre navigateur l'envoie aussi quand il charge nos photos ; seule la carte la lit.
Se déconnecter met fin à la session de notre côté et efface les deux cookies.
Si votre adresse appartient déjà à un ancien compte qui n'utilisait pas Google, la connexion est refusée. Écrivez à [email protected] et nous réglerons cela à la main.
Pourquoi : pour vous fournir le service pour lequel vous vous êtes connecté (un contrat).
Un poste vous permet de cartographier une ville pour nous. Nous gardons votre adresse e-mail avec la ville de votre poste. Si nous vous retirons un poste, nous vous écrivons pourquoi.
Ce qu'une publication rend public : l'activité, vos mots, le lieu et son quartier, et vos photos avec leur crédit. Votre identifiant actuel, la demi-heure où vous avez publié et le point du lieu arrondi à environ 11 m sont publics aussi — dans les données en direct de la carte, sur la fiche du lieu et dans le fil En direct — pendant au moins une journée, puis jusqu'à la prochaine reconstruction du site. Cela peut prendre jusqu'à une semaine environ dans une ville calme : nous reconstruisons le site la nuit dès qu'une ville compte cinq nouvelles publications, ou dès que la dernière reconstruction a une semaine. Ensuite, la publication ne porte plus votre identifiant ni la demi-heure ; votre identifiant ne reste que comme crédit de vos photos.
Un nouveau lieu que vous créez est un petit cercle autour de votre épingle. Tout ce que nous publions montre son centre arrondi à environ 11 m.
La carte peut aussi dessiner votre épingle comme un petit point sur la ligne du lieu, arrondi à environ 11 m, tant que l'activité est sur la carte. Votre épingle part de l'endroit où votre téléphone dit que vous êtes. Si vous ne voulez pas que le point montre où vous étiez, déplacez l'épingle avant d'envoyer.
Publier envoie votre épingle et la mesure de votre téléphone. Nous utilisons la mesure une fois, pour vérifier que vous êtes à moins de 135 m de votre épingle (un peu plus quand la mesure est floue), puis nous l'abandonnons et ne gardons que sa précision. Nous gardons l'épingle sur notre serveur à environ un mètre près et ne la publions qu'arrondie à environ 11 m — et si vous ne l'avez pas déplacée, votre épingle est la mesure de votre téléphone.
Une photo du jour est envoyée avec votre position. Nous gardons ce point 12 mois, comme celui d'une réponse.
Une fois envoyée, une publication reste sur la carte : il n'y a pas de bouton pour la supprimer. Écrivez à [email protected] pour la faire retirer.
Chaque lundi, une fois les comptes activés pour votre ville, nous pouvons vous écrire combien de personnes ont vu vos publications cette semaine — un chiffre approximatif et une ville, jamais une date ni un lieu. Désactivez-le dans Vous → Réglages. Le nombre de personnes qui ont vu vos publications n'est montré qu'à vous.
Les personnes sur vos photos : nous nous appuyons sur la sélection qui accompagne un poste ; sur le refus de toute photo d'enfants qui jouent, de baignade ou de bains de soleil ; sur la promesse que vous cochez en publiant ; et sur le masquage d'une photo du jour dès que quelqu'un la signale.
Quand vous envoyez une photo, nous retirons ses données cachées — lieu, appareil, heure — et ne gardons jamais le fichier original. Nous gardons des copies redimensionnées et deux empreintes. Les empreintes empêchent de publier à nouveau la même photo ; nous les gardons même après le retrait de la photo.
Une photo durable d'un lieu. En la publiant, vous cochez cette promesse :
J'ai pris cette photo, elle montre l'endroit, aucune personne identifiable ni aucun enfant n'en est le sujet, et elle peut être affichée ici sous licence CC BY 4.0, irrévocablement — créditée à mon nom d'utilisateur si j'en ai défini un sur mon compte, sinon à « un visiteur ».
Une photo du jour. En la publiant, vous cochez ceci :
Affichée sur la carte pendant environ une journée, puis retirée ; elle peut apparaître, créditée à votre nom, dans les récapitulatifs et les images de partage des visiteurs, et les copies partagées restent.
Ses fichiers sont supprimés 7 jours après la fin de son jour, sauf si un signalement la concernant est encore ouvert.
Les photos sont servies depuis une adresse publique sur Cloudflare R2, à photos.habitsofthecity.com. N'importe qui peut ouvrir ou enregistrer une photo tant qu'elle est affichée. Après son retrait, des copies peuvent rester dans les caches du navigateur et du réseau jusqu'à un an.
Un lieu montre au plus dix photos. Quand une onzième arrive, la plus ancienne quitte le lieu, mais ses fichiers et son adresse restent.
Le crédit est votre identifiant, si vous en définissez un ; sinon « un visiteur ». Les mots de l'identifiant lui-même, dans Vous → Réglages :
Shown as the credit under pictures you post from now on — as @handle, linking to instagram.com/handle. It is a claim you type here, not a verified account. Pictures already published keep the credit they were granted.
Ne plus me créditer (Vous → Réglages) remplace chacun de vos crédits par « un visiteur », y compris sur les photos déjà publiées.
Le premier signalement d'une photo du jour la masque aussitôt ; le premier signalement d'une publication de moins d'un jour la retire du fil En direct. Dans les deux cas, nous décidons ensuite.
Connecté, l'onglet Vous montre vos journées, lues dans vos propres réponses des 90 derniers jours.
Sans connexion, les réponses du jour restent sur votre téléphone 48 heures. Quand vous vous connectez sur ce téléphone, ses oui sont rattachés à votre compte — le téléphone prouve qu'ils sont les siens avec son nombre aléatoire et les codes des réponses. Nous gardons ce lien aussi longtemps que la réponse.
L'image à partager est faite sur votre téléphone. Elle ne porte pas d'heure et ne quitte votre téléphone que si vous la partagez.
Un grab — une place que vous réservez à l'offre d'un commerce — garde votre compte, votre position à ce moment-là (section 5) et le code de la place. Le commerce voit son offre, jamais qui vous êtes.
Les commerces se connectent avec Google Business Profile. Google nous montre vos comptes et vos établissements : noms, titres, adresses et s'ils sont vérifiés. Nous gardons l'établissement que vous choisissez — son identifiant et son titre, l'identifiant du compte d'entreprise auquel il appartient et la date à laquelle Google a confirmé qu'il est vérifié — et votre adresse e-mail comme contact. Nous ne gardons ni les adresses ni le jeton d'accès de Google, et nous ne modifions jamais votre fiche.
Si vous nous dites si une offre était à la hauteur, nous gardons votre oui ou votre non avec votre grab, et donc avec votre compte. Une réponse donnée sur la carte garde aussi les données réseau de la section 4.
L'utilisation et le transfert des informations reçues des API Google respectent la politique relative aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée.
Demander une ville garde votre compte et le nom que vous avez tapé, et nous vous écrivons quand cette ville est sur la carte.
Un signalement est anonyme. Nous gardons ses mots et les données réseau de la section 4 — même si vous êtes connecté, nous ne gardons pas votre compte avec.
Nos e-mails sont en texte brut : pas d'images, pas de pixels de suivi, pas de liens suivis. Nous ne les envoyons que pour ce que vous avez fait ou demandé : ce qu'est devenu ce que vous avez publié ou proposé ; quand une ville que vous avez demandée est sur la carte ; quand nous vous retirons un poste ou retirons quelque chose de vous, et pourquoi ; si vous avez un poste, l'e-mail hebdomadaire ; et, de temps en temps, une question sur un lieu où vous avez répondu.
La question sur un lieu. Si vous étiez connecté quand vous avez répondu ou publié dans un lieu ou près de lui au cours des trois derniers mois, nous pouvons vous écrire pour demander si ce que d'autres y signalent correspond à ce que vous avez vu. L'e-mail nomme le lieu (ou, pour un endroit pas encore sur la carte, la ville) et dit pourquoi vous le recevez ; il ne dit jamais où vous étiez. Nous demandons au plus une fois par semaine et arrêtons après deux questions restées sans réponse ; votre oui ou votre non est gardé avec votre compte. Il n'a pas encore d'interrupteur ni de lien de désabonnement.
Ils partent par Resend, avec des données gardées dans l'UE (Irlande). Répondez à n'importe lequel et une personne le lit.
Nous gardons une copie de chaque e-mail sur quelque chose que vous nous avez envoyé — votre adresse et les mots envoyés — pendant 12 mois après sa remise.
L'e-mail hebdomadaire peut être désactivé dans Vous → Réglages. Il n'a pas encore de lien de désabonnement en un clic.
Les mots que nous envoyons à un modèle de langage. Pour rédiger le texte espagnol, français et allemand d'une publication, et une légende pour la partager, nous envoyons au modèle d'Anthropic les mots de la publication, le lieu, la ville et l'identifiant de la personne qui l'a publiée. Jamais une adresse e-mail ni une position. Nous le faisons tourner depuis notre propre ordinateur, via notre abonnement à Claude.
Notre bureau de relecture. Nous seuls pouvons l'ouvrir, derrière la connexion de Cloudflare. Il montre les mots, les photos et le lieu d'une publication, l'adresse e-mail de la personne qui l'a envoyée, et le pays et la partie réseau de la section 4. Les adresses des personnes qui ont un poste y figurent aussi, avec leurs villes. Chaque action sur le bureau est inscrite dans un journal qui ne peut pas être modifié.
Hors de l'UE : Cloudflare, Google, Resend et Anthropic sont des entreprises américaines. Nous nous appuyons sur le cadre de protection des données UE–États-Unis et sur les clauses contractuelles types de la Commission européenne.
Vous pouvez demander à voir, corriger ou supprimer ce que nous détenons sur vous, à limiter ou vous opposer à la façon dont nous l'utilisons, et à en emporter une copie. Écrivez à [email protected].
Vous pouvez aussi porter plainte auprès de l'Agence espagnole de protection des données (AEPD), aepd.es.
Ce site n'est pas destiné aux moins de 16 ans. Si vous êtes plus jeune, ne vous connectez pas et ne publiez pas.
Quand nous modifions cette page, nous changeons la date en haut. Si un changement compte, nous le disons sur la carte et écrivons à toutes les personnes qui ont un compte avant qu'il s'applique.
Connectez-vous pour publier — on pourra vous dire ce que vos publications sont devenues.