Politique de confidentialité

Dernière mise à jour : 26 juillet 2026

1. Responsable du traitement

Le responsable du traitement des données collectées et traitées via l'application RunQuest est :

Cédric Magnien (particulier)
Email : [email protected]

L'adresse postale a été communiquée à l'hébergeur de l'application, conformément à l'article 6-III-2 LCEN. Voir les mentions légales pour plus de détails.

2. Données collectées

RunQuest collecte uniquement les données strictement nécessaires au fonctionnement du service. À ce jour, l'application n'utilise aucun outil d'analyse comportementale (analytics). Un outil de remontée d'erreurs et de rapports de plantage (Sentry) est utilisé pour assurer la fiabilité technique du service ; son périmètre est précisé en section 2.3. RunQuest propose par ailleurs des notifications push (facultatives, opt-in — section 2.6), une fonctionnalité d'enregistrement de sortie qui utilise la localisation, y compris en arrière-plan (section 2.7), et un abonnement premium facultatif (section 2.8).

2.1 Données de compte

Les données collectées dépendent de la méthode d'authentification choisie :

• Inscription par e-mail : prénom, nom, adresse e-mail et empreinte chiffrée du mot de passe (jamais stocké en clair).
• Sign in with Apple : identifiant Apple unique, prénom et nom transmis par Apple lors de la première connexion (facultatif), adresse e-mail réelle ou alias relais privé selon votre choix.
• Connexion avec Google : identifiant Google unique, prénom, nom, adresse e-mail et photo de profil transmis par Google.
• Connexion à Strava (étape facultative, déclenchée après la création du compte) : identifiant Strava (athlete ID), prénom, nom, photo de profil, ville, pays et adresse e-mail si Strava la transmet, ainsi que les jetons d'authentification (access token, refresh token) nécessaires à la synchronisation, stockés de manière sécurisée.

Vous pouvez compléter votre profil dans l'Application en ajoutant ou modifiant un pseudo (nom d'affichage public utilisé dans les classements, cf. section 2.4) et une photo de profil. La photo, lorsqu'elle est fournie, est stockée dans le service de stockage de fichiers de Supabase (région UE).

2.2 Données issues de vos activités sportives

Pour chaque activité sportive importée depuis Strava, nous collectons :

• Les métadonnées de l'activité : date, durée, distance, type d'activité, dénivelé, allure
• La trace GPS détaillée du parcours (séquence de coordonnées géographiques)

2.3 Données techniques et rapports d'erreurs

• Informations de session : jetons d'authentification stockés de manière chiffrée (Expo SecureStore / Keychain iOS / Keystore Android côté appareil, Supabase Vault côté serveur)
• Identifiant d'appareil (généré par le système) pour la gestion de session
• Journaux techniques côté serveur en cas d'erreur (logs Supabase, conservés 30 jours maximum)
• Rapports d'exception et de plantage remontés via Sentry, depuis l'application mobile et depuis les fonctions serveur. Ces rapports contiennent les éléments techniques nécessaires au diagnostic (message d'erreur, pile d'appels, plate-forme, version de l'application) et un identifiant interne d'utilisateur (UUID). Aucun contenu de session enregistré (« Session Replay ») n'est collecté et l'option sendDefaultPii est désactivée.

2.4 Données générées par le service

• Les cellules (carrés de 100 m × 100 m) traversées et débloquées par vos activités
• Les statistiques calculées sur la base de vos activités (total de carrés débloqués, progression par zone géographique, etc.)
• Votre participation aux classements par zone (commune, département, région, France) : pseudo affiché, éventuelle photo de profil RunQuest, nombre de carrés débloqués sur la période, position dans la zone — uniquement de la donnée RunQuest, jamais votre nom ni votre photo Strava (cf. le récapitulatif « Vos données Strava » en section 2.5). La participation est en opt-in pour les nouveaux comptes : elle peut être activée ou désactivée à tout moment depuis « Paramètres » > « Préférences » (voir section 9).
• Un indicateur d'éligibilité de chaque activité au classement, et le cas échéant la raison d'une exclusion automatique (anti-triche : vitesse irréaliste, téléportation détectée, etc.). Cet indicateur n'affecte que l'apparition de l'activité dans les classements ; l'activité reste visible sur votre carte personnelle.

2.5 Récapitulatif : vos données Strava

RunQuest est une application tierce connectée à l'API officielle de Strava. Ce récapitulatif regroupe, en un seul endroit, l'essentiel concernant vos données Strava :

• Connexion facultative. La liaison à Strava est optionnelle et intervient après la création de votre compte, via OAuth. RunQuest demande une autorisation de lecture de vos activités (activity:read_all) pour les importer et calculer votre territoire.
• Écriture limitée au seul envoi de vos sorties enregistrées dans l'app. Si vous utilisez la fonctionnalité facultative d'enregistrement de sortie in-app (premium, cf. section 2.7), RunQuest vous demande une autorisation d'écriture (activity:write) à l'usage strictement limité à l'envoi vers votre compte Strava de la sortie que vous venez d'enregistrer, et uniquement lorsque vous validez cet envoi. RunQuest ne publie, ne modifie et ne supprime aucune autre donnée de votre compte Strava. Tant que vous n'utilisez pas cette fonctionnalité, aucune autorisation d'écriture n'est demandée.
• Données récupérées. Profil de base (identifiant Strava, prénom, nom, photo, ville, pays, e-mail si Strava le transmet) et, pour chaque activité, ses métadonnées (date, durée, distance, dénivelé, type) ainsi que sa trace GPS — cf. sections 2.1 et 2.2.
• Usage strictement limité. Ces données servent uniquement à calculer votre carte de territoire, vos statistiques, vos succès et vos défis.
• Jamais partagées avec d'autres utilisateurs. Vos données Strava ne sont affichées qu'à vous. Elles ne sont jamais montrées à d'autres utilisateurs — les classements n'affichent que des données RunQuest (votre pseudo et votre éventuelle photo RunQuest) — ni vendues, ni cédées à des tiers.
• Aucun usage d'intelligence artificielle. Vos données Strava ne sont jamais utilisées pour entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique.
• Conservation et révocation. Les jetons d'accès sont conservés tant que la connexion Strava est active. Vous pouvez révoquer cet accès à tout moment depuis les réglages de votre compte Strava ; la suppression de votre compte RunQuest révoque automatiquement cet accès et efface les jetons (cf. section 6).
• Conformité. L'utilisation de l'API Strava par RunQuest respecte l'API Agreement et l'API Policy de Strava. Voir la politique de confidentialité de Strava.

2.6 Notifications push

RunQuest peut vous envoyer des notifications push (nouveau défi, défi validé, succès débloqué, nouveaux carrés débloqués, et événements liés à vos groupes). Cette fonctionnalité est facultative et en opt-in : elle nécessite votre autorisation au niveau du système d'exploitation et l'activation des notifications concernées dans « Paramètres » > « Préférences ». Pour l'acheminement, un jeton de notification propre à votre appareil est généré et conservé le temps que les notifications restent activées ; il est supprimé lorsque l'appareil n'est plus enregistré. L'acheminement transite par le service de notifications d'Expo, puis par les services de notifications d'Apple (APNs) ou de Google (Firebase Cloud Messaging) selon votre plateforme. Vous pouvez désactiver les notifications à tout moment depuis l'application ou les réglages de votre appareil.

2.7 Enregistrement de sortie in-app (fonctionnalité premium facultative)

RunQuest propose une fonctionnalité facultative permettant d'enregistrer une sortie directement dans l'application et de voir vos carrés se débloquer en temps réel. Lorsque vous démarrez une telle sortie :

• RunQuest collecte votre position précise (GPS) pendant toute la durée de la course, afin d'afficher votre tracé, votre distance, votre allure et les carrés débloqués en direct.
• Cette collecte se poursuit en arrière-plan, même lorsque l'application n'est pas au premier plan et lorsque l'écran est éteint, pour ne pas interrompre l'enregistrement de votre parcours. Sur Android, un écran d'information vous est présenté et votre consentement explicite est recueilli avant toute collecte en arrière-plan.
• La collecte démarre uniquement lorsque vous lancez une sortie et s'arrête dès que vous la terminez. Aucune donnée de position n'est collectée en dehors de vos sorties enregistrées dans l'application.
• À la fin de la course, vous pouvez choisir d'envoyer la sortie vers votre compte Strava (cf. section 2.5) ; rien n'est envoyé sans votre validation explicite, et vous pouvez supprimer la sortie sans l'enregistrer.

2.8 Abonnement premium

RunQuest propose un abonnement premium facultatif donnant accès à certaines fonctionnalités de confort et cosmétiques. Le paiement est intégralement géré par l'App Store (Apple) ou Google Play : RunQuest ne reçoit, ne traite ni ne stocke aucune donnée bancaire ou de carte de paiement. Le suivi de l'état de votre abonnement (actif ou non) s'appuie sur le prestataire technique RevenueCat, qui ne transmet à RunQuest que le statut de votre abonnement, sans donnée de paiement.

2.9 Inscription aux nouveautés (site web)

Le site myrunquest.com propose un champ « Reste au courant » permettant de laisser une adresse e-mail pour être informé des nouveautés de l'application. Seule l'adresse e-mail est enregistrée, accompagnée de la date d'inscription et de la page d'origine. Aucune autre donnée n'est collectée à cette occasion, et cette inscription est totalement indépendante de la création d'un compte RunQuest.

Les adresses sont stockées dans la même base Supabase que le reste du service (Union européenne, France) et ne sont ni revendues, ni transmises à des tiers. Chaque message envoyé comporte un lien de désinscription en un clic.

3. Finalités et bases légales

4. Sous-traitants et destinataires

Vos données sont accessibles uniquement par l'éditeur (Cédric Magnien) et les sous-traitants techniques listés ci-dessous, qui agissent sur instructions et en conformité avec leurs propres obligations RGPD :

• Apple Inc. — Fournisseur d'identité Sign in with Apple, uniquement lorsque vous choisissez cette méthode de connexion.
• Google LLC — Fournisseur d'identité Google Sign-In, uniquement lorsque vous choisissez cette méthode de connexion.
• Strava, Inc. — Source des données sportives. La connexion à votre compte Strava s'effectue directement avec leurs serveurs via leur API officielle, dans les limites des autorisations OAuth accordées. Politique de confidentialité Strava
• Supabase, Inc. — Hébergement de la base de données, des fonctions serveur et du stockage des fichiers (photos de profil), sur infrastructure Amazon Web Services (AWS). Région d'hébergement : Union européenne (France). Politique de confidentialité Supabase
• Functional Software, Inc. (Sentry) — Remontée d'erreurs et rapports de plantage pour l'application mobile et les fonctions serveur. Hébergement de l'organisation RunQuest en région européenne (de.sentry.io). Politique de confidentialité Sentry
• RevenueCat, Inc. — Gestion technique des abonnements premium (statut d'abonnement). Ne reçoit aucune donnée bancaire, celle-ci étant traitée par les stores. Politique de confidentialité RevenueCat
• 650 Industries, Inc. (Expo) — Acheminement des notifications push via le service Expo Push, relayé aux services de notifications d'Apple (APNs) et de Google (Firebase Cloud Messaging). Politique de confidentialité Expo
• Amazon Web Services (AWS) — Infrastructure d'hébergement (sous-jacente à Supabase, région UE) et rendu serveur des vidéos de récapitulatif de territoire (« timelapse »), en région européenne.
• Apple Distribution International Limited et Google Ireland Limited — Distribution de l'application mobile via l'App Store et Google Play, traitement des paiements d'abonnement, et acheminement des notifications push (APNs / Firebase Cloud Messaging).
• OpenStreetMap Foundation — Fonds cartographiques affichés dans l'application. Aucune donnée personnelle ne leur est transmise.
• Cloudflare, Inc. — Hébergement du site myrunquest.com (Cloudflare Pages) et mesure d'audience agrégée du site (Cloudflare Web Analytics), sans cookie ni identifiant personnel. Politique de confidentialité Cloudflare
• Plausible Insights OÜ — Mesure d'audience du site myrunquest.com uniquement (pages vues, clics vers les stores, profondeur de lecture), sans cookie, sans identifiant personnel et sans suivi inter-sites. Données hébergées dans l'Union européenne. Politique de données Plausible
• GitHub, Inc. — Hébergement d'une copie des présentes pages légales via GitHub Pages.

Vos données ne sont jamais vendues, louées ni cédées à des tiers à des fins commerciales ou publicitaires.

5. Transferts hors Union européenne

L'hébergement principal de vos données (base de données Supabase, stockage des photos de profil) est situé en France, au sein de l'Union européenne. L'organisation RunQuest sur Sentry est également hébergée en région européenne.

Toutefois, certaines opérations peuvent impliquer des sous-traitants dont la maison mère est située hors UE, en particulier :

• Apple Inc., Google LLC, Strava, Inc., Functional Software, Inc. (Sentry), RevenueCat, Inc., 650 Industries, Inc. (Expo), Amazon Web Services, Inc. — sociétés américaines
• Apple Distribution International Limited, Google Ireland Limited, GitHub, Inc., Cloudflare, Inc. — services de distribution et d'hébergement

Ces transferts s'effectuent sur la base des garanties appropriées prévues par le RGPD (clauses contractuelles types, Data Privacy Framework lorsque applicable).

6. Durée de conservation

• Pendant l'utilisation du service : vos données sont conservées tant que votre compte est actif.
• Après suppression de compte : vos données sont conservées pendant 30 jours, puis définitivement effacées de nos bases. Cette durée permet de gérer les éventuelles demandes de récupération en cas de suppression accidentelle.
• Inscription aux nouveautés : votre adresse est conservée jusqu'à votre désinscription, puis marquée comme désinscrite et supprimée au plus tard 12 mois après.
• Jetons Strava : conservés tant que la connexion Strava est active. La suppression de votre compte RunQuest révoque automatiquement l'accès OAuth accordé à RunQuest sur votre compte Strava (appel à l'endpoint de révocation de l'API Strava) et les jetons sont effacés de nos bases. Vous pouvez par ailleurs révoquer cet accès à tout moment depuis les paramètres de votre compte Strava.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données :

• Chiffrement des communications via TLS (HTTPS)
• Stockage chiffré des jetons OAuth Strava (Supabase Vault côté serveur, Expo SecureStore / Keychain iOS / Keystore Android côté appareil)
• Politiques d'accès strictes côté base de données (Row Level Security)
• Sauvegardes régulières et supervision des incidents
• Hébergement chez des prestataires conformes aux standards de sécurité actuels

8. Vos droits

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès — obtenir la copie des données vous concernant
• Droit de rectification — corriger une donnée inexacte
• Droit à l'effacement — demander la suppression de vos données
• Droit à la limitation — demander la suspension d'un traitement
• Droit d'opposition — vous opposer à un traitement
• Droit à la portabilité — récupérer vos données dans un format structuré
• Droit de retirer votre consentement à tout moment, sans remettre en cause la licéité des traitements antérieurs
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr)

Pour exercer ces droits, contactez-nous à : [email protected]

Une réponse vous sera apportée dans un délai maximum d'un mois à compter de la réception de votre demande.

9. Sensibilité des traces GPS et visibilité du profil

Nos engagements concernant ces données :

• Vos traces GPS et votre carte de territoire restent privées. Aucun autre utilisateur ne peut consulter vos traces, votre carte personnelle ni le détail de vos activités. Vos traces GPS ne sont jamais partagées avec des tiers à des fins commerciales et aucun affichage public n'est effectué sans votre consentement explicite.
• Fonctionnalité de partage d'image (opt-in). L'Application vous permet de générer un visuel stylisé représentant votre territoire ou une activité, pour le partager si vous le souhaitez sur les réseaux sociaux. Ce partage est exclusivement à votre initiative ; rien n'est publié automatiquement.
• Classements par zone (opt-in). Depuis la version 1.1.0, RunQuest propose des classements par zone géographique (commune, département, région, France). Y sont visibles, pour les autres utilisateurs participant au même classement : votre pseudo, votre éventuelle photo de profil RunQuest (uniquement si vous en avez défini une dans l'Application), le nombre de carrés débloqués sur la période et votre position dans la zone. Aucune donnée issue de votre compte Strava (nom Strava, photo Strava) n'est affichée aux autres utilisateurs. Vos traces GPS, le détail de vos activités et la composition exacte de votre carte ne sont jamais exposés via les classements.
• Groupes privés (opt-in, sur invitation). Si vous rejoignez un groupe privé, les autres membres de ce groupe voient votre pseudo, votre éventuelle photo de profil RunQuest et votre nombre de carrés débloqués dans le cadre des défis du groupe. Comme pour les classements, aucune donnée issue de votre compte Strava (nom, photo) n'est affichée aux autres membres, et ni vos traces GPS ni le détail de vos activités ne sont exposés. Vous rejoignez un groupe uniquement de votre propre initiative (via une invitation) et pouvez le quitter à tout moment.
• Choix du pseudo. Vous pouvez définir un pseudo dans « Paramètres » > « Mon profil ». À défaut, le nom d'affichage de votre compte RunQuest (celui que vous avez renseigné lors de votre inscription par e-mail, ou fourni par votre compte Apple / Google) est utilisé comme repli, afin que vous ne soyez pas désigné par un identifiant technique.
• Désactiver la participation. Vous pouvez à tout moment vous retirer des classements depuis « Paramètres » > « Préférences ». Dans ce cas, vous n'apparaissez plus dans les classements des autres utilisateurs et les classements ne s'affichent plus dans votre application.

10. Cookies et traceurs

L'application mobile n'utilise pas de cookies au sens du droit applicable au web. Les seuls identifiants techniques stockés localement sont les jetons d'authentification, indispensables au fonctionnement du service, et stockés de manière sécurisée (Expo SecureStore / Keychain iOS / Keystore Android).

Aucun outil de mesure d'audience tiers (Google Analytics, Firebase Analytics, etc.) n'est intégré dans l'application mobile.

Site web myrunquest.com. Le site vitrine mesure son audience avec deux outils sans cookie : Cloudflare Web Analytics (pages vues) et Plausible Analytics (pages vues, clics vers les stores de téléchargement, profondeur de lecture). Aucun des deux ne dépose de cookie, ne crée d'identifiant persistant, ni ne vous suit d'un site à l'autre : les statistiques produites sont exclusivement agrégées et ne permettent pas de vous identifier. Aucune bannière de consentement n'est donc requise. Les données Plausible sont hébergées dans l'Union européenne.

11. Utilisateurs mineurs

L'application n'est pas destinée aux personnes de moins de 16 ans. L'éditeur ne collecte pas sciemment de données concernant des mineurs de moins de 16 ans sans le consentement de leurs responsables légaux. Si vous pensez qu'un mineur a créé un compte, contactez-nous à [email protected] afin que nous procédions à la suppression des données concernées.

12. Modifications de la politique

La présente politique peut être amenée à évoluer, notamment pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour figure en haut du document. En cas de modification substantielle, vous serez informé via l'application ou par email au moins 30 jours avant son entrée en vigueur.

13. Contact

Pour toute question relative à la présente politique ou au traitement de vos données :

Email : [email protected]