Ta vie privée
La plupart des applis demandent d’abord qui tu es. Nous avons construit MotoNavigator pour que la question ne se pose jamais. Pas par politesse — par architecture. Le principe derrière tout : aussi anonyme que la technique le permet. Voici ce que ça veut dire, en mots simples.
Nous ne savons pas qui tu es
Pas de compte. Pas d’inscription. Pas d’e-mail, pas de nom, pas de photo de profil, pas de « se connecter avec quoi que ce soit ». Au premier lancement, ton téléphone tire un identifiant aléatoire — une longue chaîne de coups de dés, un identifiant purement technique, quasi anonyme. Ce numéro ne nomme personne — et la plupart de nos serveurs ne le voient même pas.
On ne pourrait pas t’envoyer une newsletter même si on le voulait. Il n’y a pas d’adresse où l’envoyer — l’appli n’en connaît aucune et ne la demande jamais. Si un formulaire apparaît un jour ici sur le site et que tu t’y inscris, alors c’est toi qui nous auras donné l’adresse. De nous-mêmes, on ne peut pas t’atteindre. Si tu écris au support, tu devras nous donner ton identifiant toi-même — l’appli te le montre, parce que nous, on ne peut pas te chercher. Il n’y a pas d’annuaire où tu figures en tant que personne.
Il y a une exception, et celle-là, c’est toi qui la fabriques : ton mail. Lui, on le garde, comme tout garage qui se respecte garde ses ordres de réparation — et si ton identifiant est dedans, il se retrouve là, à côté de ton adresse. Tu n’y tiens pas ? Dis-le-nous ; on l’efface, à moins qu’une loi ne nous oblige à le garder.
Payer ne te démasque pas
Pro passe par la boutique de ton téléphone : nous ne voyons jamais de numéro de carte. Ce qui nous parvient, c’est une seule chose : « payé jusqu’à la date X ». Le reçu derrière ne porte ni nom, ni e-mail, ni compte Apple ou Google — les boutiques ne transmettent tout simplement pas ces données aux développeurs. Chez nous arrive la date de validité, dans une ligne rattachée à ton identifiant tiré aux dés. La même ligne retient quand tu as lancé l’appli la première fois et quel jour tu l’as utilisée en dernier — rien de plus. Pas de nom, pas d’adresse, pas de numéro de carte. Si un jour tu tires un identifiant neuf, le reçu reporte simplement sa date sur le nouveau numéro — aucune autre connexion n’existe. Ton argent et tes virées ne sont jamais dans la même ligne.
Zones privées : ce qui n’est jamais écrit ne peut jamais fuiter
Trace un cercle autour de chez toi. À l’intérieur, rien n’est enregistré — pas envoyé-puis-caché, pas supprimé-plus-tard. Jamais écrit tout court, pas même sur ton propre téléphone. Et pas seulement la position : vitesse, cap, altitude, angle, pression — chaque mesure reste vide.
Ça ne creuse pas de trou pour autant : la virée continue, l’horloge tourne avec, seules les valeurs manquent. Celui qui met un jour la main sur une de tes virées ne voit pas où elle finit vraiment — et sinon seulement ce qui a été roulé : distance, vitesse, angle. Pas de nom, pas d’adresse, pas de destination.
Ça vaut aussi vis-à-vis de nous : dans les virées envoyées, la position à l’intérieur de ta zone n’existe pas non plus. Nous ne savons pas où, dans ce cercle, se trouve ton chez-toi — et nous ne pouvons pas le savoir. Ce qui n’existe pas, personne ne peut le prendre. Nous compris.
Tes virées vivent sur ton téléphone
Chaque enregistrement — GPS, capteurs, angle — s’écrit localement, brut, et y reste. Rien ne quitte ce téléphone sans que tu aies dit que c’était permis — et tu peux le reprendre n’importe quel jour. Ton archive de virées est à toi comme ton garage est à toi.
Les envois sont opt-in — et pour nous, juste des numéros
Si tu apportes tes enregistrements — trace, valeurs des capteurs et ce que l’appli a remarqué en route, avec ta réponse —, l’envoi porte ton identifiant tiré aux dés. Rien de plus. Ta virée atterrit sur une pile avec plein d’autres, et c’est de la pile qu’on apprend : quel virage donne le sourire, où les motards se retrouvent, ce que l’appli reconnaîtra mieux la prochaine fois. Itinéraires fluides. Cartes justes. Appli futée. C’est notre fonds de commerce, et on préfère le dire que le taire.
Ce qu’on ne fait pas : t’analyser individuellement. Pas de bulletin de conduite, pas de fichier des chauffards, pas de permis à points. Ce qui nous intéresse, c’est la pile, pas la feuille prise à part. Pour nous, ton identifiant veut dire exactement une chose : ces virées viennent du même appareil, celles-là d’un autre. Il n’y a ni nom, ni e-mail, ni compte vers lequel le numéro mènerait. Remonter à la personne n’est ni prévu ni possible : le chemin n’existe tout simplement pas.
Chaque virée est en plus rangée sous son propre identifiant aléatoire en guise de nom de fichier — ton numéro est dans le fichier, pas sur l’étagère. C’est le seul fil entre tes virées, et il reste ce qu’il est : un numéro qui ne nomme personne.
Où tout ça se trouve
Tes virées envoyées sont dans l’UE. Point — et tout ce qu’on en calcule aussi, tant que ça pointe encore vers un appareil.
Le reste a le droit d’être plus près de toi. Un téléchargement de cartes ou un serveur de groupe à l’autre bout du monde, techniquement c’est une mauvaise idée : chaque requête fait le détour, et tu le sens. Ces serveurs-là ne voient même pas ton identifiant tiré aux dés — le justificatif avec lequel l’appli s’y annonce ne le contient pas. Ils savent que quelqu’un veut des données cartographiques. Pas qui.
Une adresse IP, ça, ils la voient bien, comme n’importe quel serveur sur le Net. Elle reste deux semaines max dans le journal, au cas où quelqu’un ferait des siennes. Passé ce délai, elle dégage. Les stats qu’on en tire ne connaissent aucune adresse IP. Même chose pour ce site.
Le bouton du nouveau départ
Au fond des réglages, tu peux jeter ton identifiant et en tirer un neuf. L’ancien numéro s’arrête là — ce que nos serveurs avaient sous lui est orphelin pour de bon. On préférerait que tu n’en aies jamais besoin. Mais c’est ta poignée, donc c’est ton levier.
Pas de réseau social — exprès
Pas de fil, pas d’abonnés, pas de likes, pas d’onglet « Découvrir », pas de profil à entretenir. Ce n’est pas une fonction manquante, c’est une décision : tes itinéraires et tes POI sont à toi, et personne ne gagne d’argent parce que tu les montres.
Partager reste possible — comme tu le fais déjà. Une virée part en fichier : forum, mail, messagerie, clé USB, AirDrop à la station. Les formats d’échange courants entrent et sortent. Et si tu veux plus, il y a notre propre format ouvert : il ne porte pas que la trace, mais toute la recette — types de points de passage, profil de routage, POI, collections entières. Documenté ouvertement, lisible, pas de cage propriétaire. Dans les deux cas : un fichier dans ta main, pas un lien vers nos serveurs — sans ton identifiant dedans, et sans même qu’on apprenne que tu as partagé. La communauté se passe là où tu la mets, pas là où un algorithme te pousse.
Et oui, sur Facebook et Instagram, on a quand même un profil. Une vitrine, pas un comptoir de bistrot. On y renvoie tout au plus par un lien tout simple — pas de pixel mouchard, pas de bouton « J’aime », rien qui envoie d’avance des données à Meta. Qui clique dessus entre sur les terres de Meta ; ce que Meta y comptabilise sur les visiteurs figure dans la version formelle.
Les virées en groupe ? Là, tu n’as même pas besoin d’un fichier — l’itinéraire vient automatiquement du planificateur du groupe, et s’il le change, tout le monde a le nouveau. Un QR code, valable pour la virée, pseudo en option. Tant que vous roulez ensemble, le groupe se voit sur la carte — c’est fait pour ça. Et l’anonymat tient ici aussi : le groupe tourne sur son propre identifiant technique, sans rapport avec le tien, et ton pseudo n’est qu’une étiquette dessus. Après la virée, le code expire — il ne reste rien qui pointe vers quelqu’un.
Pourquoi nous disons « pseudonyme » — et pas « anonyme »
Une trace GPS est une trace GPS : où quelqu’un a roulé, et quand. Des chercheurs ont montré qu’une poignée de points de route peut suffire à distinguer le motif d’une personne d’un autre. C’est exactement pour ça que l’architecture ci-dessus existe — pas de nom attaché, des zones privées qui découpent le domicile, des envois qui ne mènent à personne. Nous appelons tes données « pseudonymes », pas « anonymes », parce que c’est le mot juste. Ce que nous rendons à la communauté — quels virages coulent, quels cols valent le détour — est agrégé sur beaucoup de motards jusqu’à ne plus pointer sur personne.
L’appli ne parle qu’à nous
MotoNavigator communique exclusivement avec nos propres systèmes sous motonavigator.app — cartes, routage, envois, virées en groupe : tout tourne contre nos serveurs. Pas de services d’analytics, pas de régies publicitaires, pas de SDK tiers qui téléphonent à la maison. Quand l’appli émet, elle émet vers nous. Trois exceptions, toutes évidentes : l’achat intégré passe forcément par la caisse de la boutique de ton téléphone. La sauvegarde de ton téléphone emporte les données d’appli, comme pour toutes les autres — les gros paquets de cartes, on les en a exclus. Et si tu tapes sur le site ou le numéro d’une station-service, tu es chez eux : l’info vient d’OpenStreetMap, pas de nous — et tant que tu n’as pas tapé, personne là-dehors n’en sait rien.
La version formelle, avec articles et paragraphes, vit dans la politique de confidentialité. Mêmes faits. Plus d’avocats.
Pour les techniciens parmi nous : L’« identifiant tiré aux dés » est un UUIDv7 — quelque chose comme ceci : 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. La partie avant est un horodatage du tirage — elle révèle donc tout au plus quand l’appli a été lancée pour la première fois. Le reste, ce sont 74 bits d’aléa cryptographiquement sûr, générés sur ton appareil, pas sur nos serveurs. Pas de numéro matériel, pas de hachage de ton e-mail, rien de dérivé — il n’y a rien dedans qu’on puisse remonter jusqu’à toi. Et comme dit : en tirer un neuf, c’est possible à tout moment. En virée de groupe, d’ailleurs, cet identifiant n’est même pas utilisé — c’en est un autre qui roule, tiré à neuf à chaque entrée dans un groupe.