RELAY

Confidentialité

Dernière mise à jour : 22 octobre 2026

RELAY minimise les données : identifiant d’appareil anonyme, prénom optionnel, ville approximative uniquement si tu l’acceptes, jeton de notification si tu les autorises, et les contenus que tu choisis de partager. L’expérience est conçue pour commencer sans compte forcé.

Pourquoi ces données sont utilisées

Elles servent à recevoir, révéler, transmettre et revoir une étincelle, à garder la lignée lisible et à faire fonctionner les préférences utiles. RELAY ne fait aucun ciblage publicitaire et ne revend aucune donnée. Les étincelles sponsorisées, réservées aux adultes, sont toujours signalées ; l’annonceur ne reçoit que des chiffres agrégés. Les événements d’analyse sont conçus sans PII directe ; ils utilisent l’identifiant aléatoire et pseudonyme de la session anonyme, stocké sous forme opaque, pas une adresse email ou un numéro de téléphone.

Localisation approximative

La ville est un choix opt-in, par saisie ou estimation grossière. Elle peut donner du contexte au trajet d’une étincelle. RELAY ne demande pas de GPS précis et ne fait pas de suivi en arrière-plan. Tu peux refuser cette permission sans renoncer au principe de l’expérience.

Traces, photos et notes

Une photo ou une note est facultative. Les traces restent sur ton téléphone par défaut. Quand tu choisis explicitement de partager une photo ou une note, elle est stockée sur nos serveurs : une note partagée est visible par la personne qui t’a passé l’étincelle et par ceux qui suivent, et tu peux l’effacer à tout moment. Les médias sont traités comme des contenus privés et les informations sensibles intégrées aux images sont retirées avant stockage. Le partage ne transforme pas une trace en publication ou en feed. Un contenu signalé est conservé pour la modération.

Notifications et identifiants d’appareil

Un jeton de notification peut être enregistré seulement pour t’avertir lorsqu’une étincelle te concerne. Il est révocable depuis les contrôles de l’application. Le rappel du jour, si tu l’actives, est programmé localement sur ton téléphone. Les identifiants servent à sécuriser une session anonyme et à éviter les abus ; les jetons d’invitation ne sont pas conservés en clair dans les journaux.

Notifications dans le navigateur

Si tu vis une étincelle dans le navigateur, sans l’app, RELAY peut te proposer, après ton geste (une étincelle passée ou un écho laissé), d’être prévenu quand quelqu’un te laisse un écho. « Plus tard » la cache 14 jours, et un refus n’est jamais redemandé. Si tu acceptes, ton navigateur crée une adresse de notification : nous gardons cette adresse et ses clés chiffrées, la langue de la page et des dates, rattachées à l’identifiant anonyme de ce navigateur. Jamais de prénom, d’adresse IP ni de nom de navigateur. Elles servent uniquement pour te prévenir d’un écho : jamais de rappel, de publicité ni d’autre message, et la notification ne contient ni la réaction ni la phrase de l’écho ; elle peut afficher le prénom de la personne qui a laissé l’écho, si elle en a donné un. Le message passe par le service de notification de ton navigateur (Google, Apple, Mozilla ou Microsoft), qui reçoit un contenu chiffré qu’il ne peut pas lire. Tu arrêtes quand tu veux avec « Ne plus me prévenir » sur ta page, ou dans les réglages du navigateur. L’abonnement est supprimé à ce moment-là, quand le service de notification nous dit qu’il n’existe plus, quand tu passes dans l’app, avec ton compte, ou après 180 jours sans usage.

Analyse et sécurité

Les mesures agrégées aident à comprendre le fonctionnement du rituel, sans profiler une audience ni vendre des données. Pour limiter les abus, ton adresse IP sert de clé de limitation de débit et est supprimée par le nettoyage quotidien, en général sous 48 heures. La carte du trajet charge ses fonds de carte depuis OpenFreeMap : comme pour toute page web, ton adresse IP leur est transmise. RELAY applique des contrôles de taille et de type sur les contenus, garde les objets média privés et utilise des liens temporaires autorisés pour les afficher. Les données sensibles ne sont pas supposées être placées dans les logs.

Provenance et liens de voyage

Un code court dans certains liens publics (par exemple ?src=a01) nous dit par quel objet tu es arrivé : affiche, ligne partagée, kit. Il n’est gardé ni dans ton navigateur ni dans un cookie, et sert à compter les visites en agrégat. Si tu commences une étincelle ou la Vague depuis un tel lien, le code est noté avec cet événement, sous l’identifiant anonyme de ton appareil, et conservé 13 mois au plus, comme les autres mesures. Si tu partages le voyage de ton étincelle, le lien ouvre une page et une image d’aperçu. Elles s’affichent de deux façons, selon l’état de RELAY. Avec l’affichage animé, une fois activé, elles ne montrent que des formes et des tranches : des points par génération (1, 2 ou « 3 ou plus », jamais une taille exacte), une tranche de personnes (« 3 à 5 », « 6 à 10 » ou « plus de 10 ») et, seulement si au moins trois villes ont chacune été portées par au moins trois personnes, le nom de ces villes. Jamais de prénom, de note, de jour, de nombre exact ni de lieu précis, et aucun chiffre en dessous de trois personnes qui ont fait le geste (l’image d’aperçu reste alors sans nombre). Tant que l’affichage animé n’est pas activé, et pour les liens créés avant son activation jusqu’à leur expiration au bout de 30 jours, c’est l’ancienne carte : des nombres exacts de personnes, de villes et de jours, quel que soit le nombre de personnes ; une fois l’affichage animé activé, un tel lien garde l’ancienne page à partir de trois personnes (une page sans chiffre en dessous) et son image d’aperçu n’a plus de nombre. Pour cela, le serveur garde avec le lien : l’identifiant anonyme de l’appareil de l’auteur (pour le retrait et la suppression du compte), la langue, des nombres calculés à sa création (personnes qui ont fait le geste, villes, jours ; la page animée ne les affiche pas), les noms de villes admis par la règle ci-dessus et un instantané de la forme du voyage : au plus huit nombres valant 1, 2 ou 3, un par génération, sans jour. La création du lien est comptée avec l’identifiant anonyme de l’appareil de l’auteur ; les visites de la page sont comptées en agrégat, sans jeton, adresse IP ni navigateur ; ces mesures sont conservées 13 mois au plus, comme les autres. Le lien n’est pas indexé, expire après 30 jours, et tu peux le retirer à tout moment depuis l’app ou depuis la page web où tu l’as partagé : il est alors supprimé avec son instantané. L’image d’aperçu peut rester en cache jusqu’à 10 minutes après un retrait, et plus longtemps dans l’application qui l’a déjà affichée. Le lien est aussi supprimé avec ton compte, à la fin de la période de réflexion de 30 jours, et un lien expiré l’est lors du nettoyage quotidien.

Liens de groupe (La Bande)

Une des deux transmissions d’une étincelle peut être un lien de groupe, réservé aux adultes (18 ans ou plus, âge déclaré) : jusqu’à 8 personnes peuvent le rejoindre et il se ferme 24 heures après son dépôt. Chaque personne qui rejoint crée, comme pour une invitation personnelle, son propre geste rattaché à la personne qui a déposé le lien ; son prénom, si elle en donne un, suit les mêmes règles que dans la lignée. Pour chaque place, RELAY garde le lien de groupe, ce geste, l’ordre d’arrivée et la date d’arrivée. Si tu supprimes ton compte, ce qui est écrit plus haut s’applique : pendant les 30 jours, si tu as déposé le lien, tu ne comptes plus dans son récapitulatif (et tu y reviens si tu annules) ; à leur terme, les événements du groupe rattachés à ton appareil, à tes gestes ou à tes invitations (lien déposé, arrivée, groupe complet, geste fait, geste passé) sont supprimés, ta place reste comme repère anonyme pour que le lien n’admette jamais plus de personnes que prévu (cette ligne ne contient ni nom ni prénom et elle est supprimée 13 mois plus tard, une fois le lien clos), et ton geste reste dans la lignée, sans ville, sous un identifiant d’appareil aléatoire dont le profil est vidé. Les événements des autres membres restent 13 mois au plus dans les mesures. Le récapitulatif montré au groupe tient en deux nombres (« 2 sur 5 l’ont vécue ») et un état ouvert ou fermé, qui ne dépendent d’aucun blocage : jamais qui l’a fait ou non, ni heure ni ordre. La fonction n’ajoute ni liste de membres ni messagerie.

Conservation

Les préférences et contenus nécessaires à une étincelle existent tant qu’ils sont nécessaires à son fonctionnement ou jusqu’à ton action de suppression. Les événements agrégés sont conservés 13 mois. Le nettoyage quotidien s’exécute à la première ouverture de l’app de chaque jour (UTC) ; sans ouverture ce jour-là, il est reporté. Une suppression demandée depuis Réglages ouvre une période de réflexion de 30 jours, annulable, puis entraîne la purge des données concernées ; la lignée en aval est anonymisée afin de préserver ses compteurs sans conserver l’identité retirée. Le détail est ci-dessous.

Suppression de ton compte

Quand tu demandes la suppression, ton compte est marqué et tu as 30 jours pour annuler. Pendant ces 30 jours, rien n’est effacé, mais tu disparais déjà pour les autres : tes échos, tes remerciements, tes notes partagées et les gestes que tu as passés n’apparaissent plus dans leur activité, leur cercle ni leurs échos reçus ; on ne peut plus t’envoyer d’écho ni de remerciement ; l’enregistrement d’un changement de profil est refusé ; et si tu as déposé un lien de groupe, tu ne comptes plus dans son récapitulatif. La lignée, elle, n’est pas modifiée avant la fin. Si tu annules, tout revient. À la fin des 30 jours, la suppression devient définitive (elle s’exécute lors d’une demande de suppression suivante ou du nettoyage quotidien). Sont alors supprimés : les événements de mesure rattachés à ton appareil, à tes gestes ou à tes invitations (groupe compris), tes notes, échos et remerciements envoyés ou reçus, tes photos partagées, tes abonnements et jetons de notification, tes préférences et retours, tes blocages, tes liens de voyage, tes reçus de requêtes et tes limites de débit ; ton prénom, ton avatar, ta ville, ton pays, ta plateforme, ta dernière activité et ta tranche d’âge déclarée sont effacés, l’appareil est révoqué, et les signalements que tu as faits ne portent plus ton identité. Restent, sans nom ni ville, sous ton identifiant d’appareil aléatoire : tes gestes dans la lignée (pour que ses compteurs restent justes), ta place anonyme dans un lien de groupe (supprimée 13 mois plus tard, une fois le lien clos) et quelques lignes de structure (verrous de transmission, racines du jour, de l’instant et du départ, décompte des gestes faits pour les campagnes, vues et refus d’étincelles sponsorisées, comptés en agrégat pour les annonceurs).

Sous-traitants et services tiers

Pour faire fonctionner RELAY, nous utilisons Cloudflare (hébergement du site et de l’API, base de données, stockage privé des photos partagées, modération automatique des notes et des photos par intelligence artificielle), Expo (envoi des notifications, ensuite remises à ton téléphone par Apple ou Google), le service de notification de ton navigateur si tu actives les notifications dans le navigateur (Google, Apple, Mozilla ou Microsoft, qui ne reçoivent qu’un contenu chiffré) et OpenFreeMap (fonds de la carte du trajet, qui reçoit ton adresse IP). Aucun de ces services ne reçoit tes données à des fins publicitaires, et les annonceurs n’y ont jamais accès.

Accès, export et suppression

RELAY prévoit un export JSON basique de ton profil, de tes nœuds, de la lignée qui te concerne, de tes traces et de tes préférences. Tu peux aussi demander l’accès, l’export ou la suppression via les réglages et l’adresse de contact ci-dessous. Bloquer une personne peut être annulé ; signaler un contenu ne doit pas exposer la personne qui signale.

Contact

Pour une question produit ou confidentialité : consulte la page contact ou écris à contact@relaymoment.fr. Cette page décrit le comportement actuellement établi dans le produit ; elle n’invente pas d’engagement légal absent de la documentation.