Ta vie privée
La plupart des applis demandent d’abord qui tu es. Nous avons construit MotoNavigator pour que la question ne se pose jamais. Pas par politesse - par architecture. Le principe derrière tout : aussi anonyme que la technique le permet. Voici ce que ça veut dire, en mots simples.
Nous ne savons pas qui tu es
Pas de compte. Pas d’inscription. Pas d’e-mail, pas de nom, pas de photo de profil, pas de « se connecter avec quoi que ce soit ». Au premier lancement, ton téléphone tire un identifiant aléatoire - une longue chaîne de coups de dés, un identifiant purement technique, quasi anonyme. Ce numéro ne nomme personne - et la plupart de nos serveurs ne le voient même pas.
On ne pourrait pas t’envoyer une newsletter même si on le voulait. Il n’y a pas d’adresse où l’envoyer - l’appli n’en connaît aucune et ne la demande jamais. Si un formulaire apparaît un jour ici sur le site et que tu t’y inscris, alors c’est toi qui nous auras donné l’adresse. De nous-mêmes, on ne peut pas t’atteindre. Si tu écris au support, tu devras nous donner ton identifiant toi-même - l’appli te le montre, parce que nous, on ne peut pas te chercher. Il n’y a pas d’annuaire où tu figures en tant que personne.
Il y a une exception, et celle-là, c’est toi qui la fabriques : ton mail. Lui, on le garde, comme tout garage qui se respecte garde ses ordres de réparation - et si ton identifiant est dedans, il se retrouve là, à côté de ton adresse. Tu n’y tiens pas ? Dis-le-nous ; on l’efface, à moins qu’une loi ne nous oblige à le garder.
Payer ne te démasque pas
Pro passe par la boutique de ton téléphone : nous ne voyons jamais de numéro de carte. Ce qui nous parvient, c’est une seule chose : « payé jusqu’à la date X ». Le reçu derrière ne porte ni nom, ni e-mail, ni compte Apple ou Google - les boutiques ne transmettent tout simplement pas ces données aux développeurs. Chez nous arrive la date de validité, dans une ligne rattachée à ton identifiant tiré aux dés. La même ligne retient quand tu as lancé l’appli la première fois et quel jour tu l’as utilisée en dernier - rien de plus. Pas de nom, pas d’adresse, pas de numéro de carte. Si un jour tu tires un identifiant neuf, le reçu reporte simplement sa date sur le nouveau numéro - aucune autre connexion n’existe. Ton argent et tes virées ne sont jamais dans la même ligne.
Zones privées : ce qui n’est jamais écrit ne peut jamais fuiter
Trace un cercle autour de chez toi. À l’intérieur, rien n’est enregistré - pas envoyé-puis-caché, pas supprimé-plus-tard. Jamais écrit tout court, pas même sur ton propre téléphone. Et pas seulement la position : vitesse, cap, altitude, angle, pression - chaque mesure reste vide.
Ça ne creuse pas de trou pour autant : la virée continue, l’horloge tourne avec, seules les valeurs manquent. Celui qui met un jour la main sur une de tes virées ne voit pas où elle finit vraiment - et sinon seulement ce qui a été roulé : distance, vitesse, angle. Pas de nom, pas d’adresse, pas de destination.
Ça vaut aussi vis-à-vis de nous : dans les virées envoyées, la position à l’intérieur de ta zone n’existe pas non plus. Nous ne savons pas où, dans ce cercle, se trouve ton chez-toi - et nous ne pouvons pas le savoir. Ce qui n’existe pas, personne ne peut le prendre. Nous compris.
Tes virées vivent sur ton téléphone
Chaque enregistrement - GPS, capteurs, angle - s’écrit localement, brut, et y reste. Rien ne quitte ce téléphone sans que tu aies dit que c’était permis - et tu peux le reprendre n’importe quel jour. Ton archive de virées est à toi comme ton garage est à toi.
Les envois sont opt-in - et pour nous, juste des numéros
Si tu apportes tes enregistrements - trace, valeurs des capteurs et ce que l’appli a remarqué en route, avec ta réponse -, l’envoi porte ton identifiant tiré aux dés. Rien de plus. Ta virée atterrit sur une pile avec plein d’autres, et c’est de la pile qu’on apprend : quel virage donne le sourire, où les motards se retrouvent, ce que l’appli reconnaîtra mieux la prochaine fois. Itinéraires fluides. Cartes justes. Appli futée. C’est notre fonds de commerce, et on préfère le dire que le taire.
Ce qu’on ne fait pas : t’analyser individuellement. Pas de bulletin de conduite, pas de fichier des chauffards, pas de permis à points. Ce qui nous intéresse, c’est la pile, pas la feuille prise à part. Pour nous, ton identifiant veut dire exactement une chose : ces virées viennent du même appareil, celles-là d’un autre. Il n’y a ni nom, ni e-mail, ni compte vers lequel le numéro mènerait. Remonter à la personne n’est ni prévu ni possible : le chemin n’existe tout simplement pas.
Chaque virée est en plus rangée sous son propre identifiant aléatoire en guise de nom de fichier - ton numéro est dans le fichier, pas sur l’étagère. C’est le seul fil entre tes virées, et il reste ce qu’il est : un numéro qui ne nomme personne.
Quand l’appli tousse - rapport d’erreur seulement avec ton feu vert
Quand ça tourne mal dans l’appli, elle peut nous envoyer un rapport d’erreur - mais seulement si tu l’as permis. On te pose la question au premier lancement, à part, séparément de celle sur tes virées : celui qui garde ses virées pour lui peut quand même autoriser les rapports, et inversement. Un non ne coûte rien, l’appli reste utilisable à l’identique. Tu peux changer d’avis quand tu veux, dans les réglages, sous « Confidentialité ».
Le rapport, c’est un code défaut, pas un carnet de route : ce qui est cassé, quand, combien de fois - pas où tu as roulé. Concrètement : le type d’erreur, l’endroit dans le code du programme, la version de l’appli, la plateforme, quand et combien de fois, un bref message technique et, s’il y en a, les quelques derniers événements techniques qui ont précédé l’erreur (juste leur nature et leur heure, aucun contenu). Virées, tracés, lieux, portions de carte, textes recherchés : néant - le rapport est composé à partir d’une liste fixe. Cartes sur table : le message technique d’un bogue du programme peut, dans un cas isolé, contenir des détails comme des noms de fichiers. Avant l’envoi, l’appli y remplace identifiants, coordonnées et débuts de chemins par des marqueurs neutres ; une garantie que rien ne pointera jamais vers toi, on ne la donne pas.
Contrairement aux virées, ton identifiant est ici écrit noir sur blanc, dans l’en-tête du rapport comme dans le nom du fichier, et c’est le même identifiant que celui de tes virées. C’est voulu : une erreur sans appareil, c’est une énigme, et on veut voir si dix rapports viennent de dix téléphones ou d’un seul. Pseudonyme, donc, pas anonyme (pourquoi on est tatillons là-dessus, c’est expliqué plus bas, dans « Pourquoi nous disons “pseudonyme” - et pas “anonyme” ») ; le rapport est rangé à part de tes virées, dans son propre répertoire.
L’envoi est automatique, uniquement en Wi-Fi, et seulement s’il y a du nouveau. Le rapport part vers notre propre serveur dans l’UE - le même service qui reçoit tes virées envoyées, simplement dans son propre répertoire. Pas de crash-reporting d’un prestataire, pas de SDK tiers. Un rapport reste chez nous jusqu’à 90 jours, puis il est supprimé - et il ne sert qu’à une chose : trouver et corriger les erreurs. Aucune analyse de motards pris un par un, aucune publicité. Tu veux que tes données soient effacées ? Il y a un formulaire : dataremoval.motonavigator.app. Tu y mets ton identifiant, tu envoies - et dans la seconde, ta demande est sur notre liste. L’identifiant, c’est l’appli qui te le montre. Par mail, ça marche aussi : on recopie alors nous-mêmes l’identifiant de ton message dans le système. Ce n’est pratique ni pour toi ni pour nous - mais ça marche. Tout le reste - ce qui est rangé sous ton identifiant, les corrections, une opposition - passe par mail, comme toujours.
Où tout ça se trouve
Tes virées envoyées sont dans l’UE. Point - et tout ce qu’on en calcule aussi, tant que ça pointe encore vers un appareil. Pareil pour les rapports d’erreur, si tu les autorises : ils portent ton identifiant noir sur blanc.
Le reste a le droit d’être plus près de toi. Un téléchargement de cartes ou un serveur de groupe à l’autre bout du monde, techniquement c’est une mauvaise idée : chaque requête fait le détour, et tu le sens. Ces serveurs-là ne voient même pas ton identifiant tiré aux dés - le justificatif avec lequel l’appli s’y annonce ne le contient pas. Ils savent que quelqu’un veut des données cartographiques. Pas qui.
Une adresse IP, ça, ils la voient bien, comme n’importe quel serveur sur le Net. Elle reste deux semaines max dans le journal, au cas où quelqu’un ferait des siennes. Passé ce délai, elle dégage. Les stats qu’on en tire ne connaissent aucune adresse IP. Même chose pour ce site.
Le bouton du nouveau départ
Au fond des réglages, tu peux jeter ton identifiant et en tirer un neuf. L’ancien numéro s’arrête là - ce que nos serveurs avaient sous lui est orphelin pour de bon. On préférerait que tu n’en aies jamais besoin. Mais c’est ta poignée, donc c’est ton levier.
Pas de réseau social - exprès
Pas de fil, pas d’abonnés, pas de likes, pas d’onglet « Découvrir », pas de profil à entretenir. Ce n’est pas une fonction manquante, c’est une décision : tes itinéraires et tes POI sont à toi, et personne ne gagne d’argent parce que tu les montres.
Partager reste possible - comme tu le fais déjà. Une virée part en fichier : forum, mail, messagerie, clé USB, AirDrop ou Quick Share à la station. Les formats d’échange courants entrent et sortent. Et si tu veux plus, il y a notre propre format ouvert : il ne porte pas que la trace, mais toute la recette - types de points de passage, profil de routage, POI, collections entières. Documenté ouvertement, lisible, pas de cage propriétaire. Dans les deux cas : un fichier dans ta main, pas un lien vers nos serveurs - sans ton identifiant dedans, et sans même qu’on apprenne que tu as partagé. La communauté se passe là où tu la mets, pas là où un algorithme te pousse.
Et oui, sur Facebook et Instagram, on a quand même un profil. Une vitrine, pas un comptoir de bistrot. On y renvoie tout au plus par un lien tout simple - pas de pixel mouchard, pas de bouton « J’aime », rien qui envoie d’avance des données à Meta. Qui clique dessus entre sur les terres de Meta ; ce que Meta y comptabilise sur les visiteurs figure dans la version formelle.
Les virées en groupe ? Là, tu n’as même pas besoin d’un fichier - l’itinéraire vient automatiquement du planificateur du groupe, et s’il le change, tout le monde a le nouveau. Un QR code, valable pour la virée, plus un nom d’affichage. Tant que vous roulez ensemble, le groupe se voit sur la carte - c’est fait pour ça. Et l’anonymat tient ici aussi : le groupe tourne sur son propre identifiant technique, sans rapport avec le tien, et ton nom d’affichage n’est qu’une étiquette dessus. Après la virée, le code expire - il ne reste rien qui pointe vers quelqu’un.
Pourquoi nous disons « pseudonyme » - et pas « anonyme »
Une trace GPS est une trace GPS : où quelqu’un a roulé, et quand. Des chercheurs ont montré qu’une poignée de points de route peut suffire à distinguer le motif d’une personne d’un autre. C’est exactement pour ça que l’architecture ci-dessus existe - pas de nom attaché, des zones privées qui découpent le domicile, des envois qui ne mènent à personne. Nous appelons tes données « pseudonymes », pas « anonymes », parce que c’est le mot juste. Ce que nous rendons à la communauté - quels virages coulent, quels cols valent le détour - est agrégé sur beaucoup de motards jusqu’à ne plus pointer sur personne.
L’appli ne parle qu’à nous
MotoNavigator communique exclusivement avec nos propres systèmes sous motonavigator.app - cartes, routage, envois, rapports d’erreur, virées en groupe : tout tourne contre nos serveurs. Pas de services d’analytics, pas de régies publicitaires, pas de SDK tiers qui téléphonent à la maison. Quand l’appli émet, elle émet vers nous. Trois exceptions : par la boutique de ton téléphone passent forcément l’achat intégré et la vérification d’authenticité que l’appli demande à ton fournisseur de boutique quand elle se présente chez nous. La sauvegarde de ton téléphone emporte les données d’appli, comme pour toutes les autres. Et si tu tapes sur le site ou le numéro d’une station-service, tu es chez eux : l’info vient d’OpenStreetMap, pas de nous - et tant que tu n’as pas tapé, personne là-dehors n’en sait rien.
La version formelle, avec articles et paragraphes, vit dans la politique de confidentialité. Mêmes faits. Plus d’avocats.
Pour les techniciens parmi nous : L’« identifiant tiré aux dés » est un UUIDv7 - quelque chose comme ceci : 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. La partie avant est un horodatage du tirage - elle révèle donc tout au plus quand l’appli a été lancée pour la première fois. Le reste, ce sont 74 bits d’aléa cryptographiquement sûr, générés sur ton appareil, pas sur nos serveurs. Pas de numéro matériel, pas de hachage de ton e-mail, rien de dérivé - il n’y a rien dedans qu’on puisse remonter jusqu’à toi. Et comme dit : en tirer un neuf, c’est possible à tout moment. En virée de groupe, d’ailleurs, cet identifiant n’est même pas utilisé - c’en est un autre qui roule, tiré à neuf à chaque entrée dans un groupe.