Confidentialité.

Qui nous sommes

Stepa est développée par Harry, Seb et Ollie — trois amis au Royaume-Uni qui construisent un compteur de pas pour marcher avec ceux que l’on aime. Le site getstepa.com et l’application Stepa sont exploités par SocialClimb Marketing Ltd, société immatriculée en Angleterre et au Pays de Galles (n° 16858678), dont le siège social est situé 67 Illingworth, Windsor, Royaume-Uni, SL4 4UP. SocialClimb Marketing Ltd est le responsable du traitement au sens du RGPD britannique (UK GDPR) et, lorsque nous proposons Stepa à des personnes situées dans l’Espace économique européen, au sens du RGPD de l’Union européenne.

Pour toute question relative à la confidentialité, contactez-nous à hello@getstepa.com. Nous nous efforçons de répondre sous 14 jours.

Ce que nous collectons — et pourquoi

Si vous rejoignez la liste d’attente

• Votre adresse e-mail. Pour pouvoir vous parler de Stepa et vous prévenir de sa disponibilité. Conservée de façon sécurisée dans Google Firestore.
• L’heure de votre inscription et la page d’origine (toujours website pour le moment).
• La chaîne user-agent de votre navigateur. Utilisée uniquement pour nous aider à diagnostiquer une éventuelle panne d’inscription sur un navigateur donné. Elle n’est pas utilisée à des fins de suivi.

C’est l’intégralité des données que nous conservons pour les inscriptions à la liste d’attente, ainsi que le lien d’invitation par lequel vous êtes arrivé le cas échéant. Votre adresse IP sert brièvement à limiter le débit du formulaire et n’est pas conservée.

Si vous utilisez l’application Stepa

• Votre nom et votre avatar — pour que vos amis puissent vous trouver.
• L’e-mail ou le compte Apple/Google avec lequel vous vous connectez — à des fins d’authentification uniquement.
• Votre nombre de pas — lu depuis le capteur de mouvement de votre téléphone (le podomètre intégré de Stepa) et, si vous en donnez l’autorisation, depuis Apple Health (HealthKit) sur iOS. Nous lisons uniquement les totaux de pas — nous ne lisons ni votre fréquence cardiaque, ni votre sommeil, ni vos entraînements, ni aucune autre donnée de santé.
• Votre localisation et vos itinéraires de marche. Stepa utilise la localisation de votre téléphone pour tracer les itinéraires que vous parcourez et pour reconnaître le début d’une marche. Avec votre autorisation (« Toujours » sur iOS), Stepa utilise bel et bien la localisation en arrière-plan afin de détecter le début d’une marche et de commencer l’enregistrement automatiquement, sans que vous ayez à ouvrir l’application. Vous pouvez modifier cette autorisation à tout moment dans les réglages de votre téléphone — la passer sur « Lorsque l’app est active » ou la désactiver entièrement. Stepa fonctionne toujours sans localisation en arrière-plan ; il vous faudra simplement toucher vous-même « Démarrer une marche ».
• Votre liste d’amis — le petit cercle de personnes avec lesquelles vous choisissez de marcher. Nous ne la consultons jamais, ne la partageons jamais et ne la rendons jamais publique.
• Vos duels — lorsque vous acceptez un duel, nous conservons sa date de début, sa date de fin et les totaux de pas des participants afin de pouvoir afficher le classement.

Le comptage des pas en lui-même ne nécessite aucune donnée de localisation. La localisation sert uniquement au tracé des itinéraires, à la détection des marches et à la bibliothèque de boucles.

Base légale (RGPD britannique et RGPD de l’UE)

• Contrat. La majeure partie de ce que nous collectons est nécessaire à la fourniture de Stepa (votre compte, vos pas, vos amis, vos duels).
• Intérêt légitime. L’e-mail de la liste d’attente et la chaîne user-agent sont conservés au titre de l’intérêt légitime — pour vous parler de Stepa et de sa disponibilité, et pour diagnostiquer les problèmes d’inscription. Nous vous écrivons aussi au sujet de votre propre activité sur Stepa : un résumé mensuel de vos marches, les résultats hebdomadaires si vous figurez dans le top trois, un message quand un ami vous défie ou qu’une personne que vous avez invitée s’inscrit, et un rappel occasionnel si vous n’êtes pas sorti depuis un moment. Chacun de ces e-mails contient un lien de désinscription immédiat, et vous pouvez les désactiver dans les Réglages à tout moment.
• Consentement. Les notifications push, la localisation pour les marches et les données de mouvement nécessitent toutes une autorisation explicite au niveau du système. Vous pouvez les révoquer à tout moment dans les réglages de votre appareil. Les actualités sur les nouveautés de Stepa relèvent aussi du consentement : nous ne les envoyons que si vous les avez demandées, et vous pouvez le retirer à tout moment sans que cela affecte quoi que ce soit d’autre.

Où vivent vos données

Nous faisons appel à une poignée de services de confiance pour faire fonctionner Stepa. Chacun est nommé ici afin que vous sachiez précisément qui a touché vos données.

• Google Firestore (hébergé dans la région europe-west2 / Londres) — stocke votre compte, vos pas, votre liste d’amis, vos duels et les inscriptions à la liste d’attente.
• Resend — notre prestataire d’e-mail. Envoie les e-mails liés au compte (vérification, confirmation de suppression), les e-mails de service concernant votre propre activité sur Stepa, et les actualités produit si vous les avez acceptées. Resend traite votre adresse e-mail selon nos instructions et ne l’utilise pour rien d’autre.
• Vercel — héberge getstepa.com. Vercel peut journaliser des données de requête basiques (IP, user-agent, URL) en périphérie de réseau, à des fins de sécurité et de protection contre les attaques DDoS. Vercel Analytics et Speed Insights ne se chargent que si vous les acceptez dans le bandeau cookies (voir ci-dessous).
• Apple App Store et Google Play — distribuent l’application Stepa et gèrent l’authentification lorsque vous vous connectez avec Apple ou Google.
• Sentry — reçoit des rapports de plantage anonymisés et des données de performance lorsqu’un problème survient dans l’application ou sur le site. Nous désactivons la collecte des adresses IP et supprimons les données personnelles (y compris les coordonnées de localisation) avant l’envoi. Sentry conserve les rapports dans l’Union européenne et est conforme au RGPD.
• RevenueCat — gère les abonnements Stepa Pro. Il reçoit votre identifiant utilisateur Stepa et l’achat lui-même (quelle formule, à quelle date, s’il a été renouvelé) afin que nous puissions débloquer Pro et honorer les restaurations sur vos différents appareils. Il ne reçoit jamais votre nom, votre e-mail, votre localisation ni vos données de pas. Les coordonnées de carte bancaire sont transmises à Apple ou Google et ne sont jamais vues ni par nous, ni par RevenueCat.
• Hetzner — héberge le service d’itinéraires qui construit vos boucles de marche, sur des serveurs situés en Allemagne. Lorsque vous demandez une marche, il reçoit les coordonnées de votre point de départ afin de générer des itinéraires autour de vous. Les requêtes ne sont pas rattachées à votre compte au-delà de la vérification de connexion, et les coordonnées ne sont pas conservées pour constituer un historique de vos déplacements.
• Meta (Facebook) — l’application Stepa intègre le SDK Meta, qui signale les installations de l’application afin que nous puissions savoir lesquelles de nos propres publicités et publications ont amené des personnes vers Stepa. Sur iOS, nous demandons d’abord votre accord via l’invite App Tracking Transparency d’Apple, et votre identifiant publicitaire n’est utilisé que si vous l’autorisez. Il ne reçoit ni vos données de pas, ni vos itinéraires, ni vos amis, ni votre localisation.

Nous utilisons Vercel Analytics et Vercel Speed Insights pour suivre les performances des pages (temps de chargement, Web Vitals). Ce sont des outils respectueux de la vie privée, sans cookies, qui ne suivent pas les utilisateurs individuellement et ne constituent pas de profils. Nous n’utilisons pas Google Analytics, Mixpanel, Segment, le Pixel Facebook ni Hotjar sur ce site.

L’application Stepa intègre le SDK Meta pour l’attribution des installations, décrit ci-dessus — c’est le seul outil lié à la publicité que nous utilisons, et sur iOS il n’utilise votre identifiant publicitaire que si vous acceptez l’invite App Tracking Transparency. Nous ne diffusons pas de publicités dans Stepa et nous ne vendons pas d’espace publicitaire. Nous n’avons aucun annonceur à satisfaire.

Avec qui nous partageons vos données

Personne. Nous ne vendons, ne louons, ne concédons sous licence, ne partageons ni ne transférons d’aucune autre manière vos données personnelles à des tiers à des fins de marketing. Jamais.

Les seules personnes qui voient vos données sont : vous, les amis que vous ajoutez explicitement à votre cercle, et les prestataires d’infrastructure de confiance énumérés ci-dessus (qui les traitent sur nos instructions et uniquement pour faire fonctionner le service).

Combien de temps nous conservons vos données

• E-mail de liste d’attente : jusqu’à 12 mois à compter de la date de votre inscription sur la liste d’attente, après quoi nous le supprimons — sauf si vous avez créé un compte Stepa, auquel cas ce sont les durées prévues pour les comptes, ci-dessous, qui s’appliquent. Nous le supprimons plus tôt si vous nous le demandez ou si vous vous désinscrivez.
• Liste de désinscription : si vous vous désinscrivez, nous conservons votre adresse e-mail (l’adresse elle-même, pas une version codée) et la date de votre désinscription, et nous les utilisons uniquement pour nous assurer de ne plus jamais vous envoyer d’e-mails marketing. Nous conservons cet enregistrement tant que nous envoyons des e-mails.
• Comptes actifs : aussi longtemps que votre compte existe. Les données de pas sont conservées sans limite de durée afin que votre historique reste intact.
• Comptes supprimés : nous supprimons définitivement votre compte, vos données de pas, votre liste d’amis et vos duels dans les 30 jours suivant la suppression. Certaines sauvegardes peuvent subsister 60 jours supplémentaires avant d’être écrasées.

Vos droits

En vertu du RGPD britannique et du RGPD de l’UE, vous avez le droit de :

• Accéder aux données personnelles que nous détenons à votre sujet.
• Rectifier toute donnée inexacte.
• Supprimer vos données (le « droit à l’oubli »).
• Exercer votre droit à la portabilité des données : transférer vos données vers un autre service, dans un format lisible par machine.
• Vous opposer à la manière dont nous traitons vos données.
• Limiter le traitement dans certaines circonstances.

Pour exercer l’un de ces droits, écrivez à hello@getstepa.com depuis l’adresse avec laquelle vous vous êtes inscrit. Nous nous efforçons de traiter les demandes sous 14 jours.

Si vous n’êtes pas satisfait de la manière dont nous avons traité vos données, vous avez le droit d’introduire une réclamation auprès de l’Information Commissioner’s Office du Royaume-Uni, à l’adresse ico.org.uk.

Cookies

Nous demandons votre accord avant de déposer quoi que ce soit de non essentiel. À votre première visite sur getstepa.com, une bannière propose Tout accepter ou Refuser le non-essentiel, et votre choix est conservé dans le stockage local de votre navigateur afin que nous ne le redemandions pas.

Essentiels — une petite quantité de stockage local mémorise le choix relatif aux cookies et, si vous êtes arrivé par un lien d’invitation ou de parrainage, lequel, pour que l’app puisse l’attribuer. Ils sont nécessaires au fonctionnement du site et ne sont pas facultatifs.

Mesure d’audience, uniquement si vous acceptez — Vercel Analytics et Vercel Speed Insights ne se chargent qu’après avoir appuyé sur Tout accepter, et pas du tout en cas de refus. Ils mesurent les pages vues et les performances de chargement. Ils fonctionnent sans cookies, n’établissent aucun profil et ne vous suivent pas sur d’autres sites.

Nous n’utilisons pas de cookies publicitaires ni de traceurs publicitaires tiers sur ce site, et nous ne l’avons jamais fait. Vous pouvez changer d’avis à tout moment en effaçant les données du site getstepa.com dans votre navigateur, ce qui fait réapparaître la bannière.

Enfants

Stepa est destinée aux personnes âgées de 16 ans et plus. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 16 ans. Si nous apprenons qu’un enfant de moins de 16 ans nous a fourni des données personnelles, nous les supprimerons immédiatement. Si vous êtes parent ou tuteur et pensez que votre enfant s’est inscrit, contactez-nous à hello@getstepa.com.

Transferts internationaux

Vos données sont stockées dans la région europe-west2 de Google Firestore (Londres, Royaume-Uni) : elles restent donc au Royaume-Uni. Resend et Vercel ont leur siège aux États-Unis et peuvent traiter certaines données aux États-Unis — toutes deux ont signé des clauses contractuelles types (CCT) et sont certifiées au titre du cadre de protection des données EU-US Data Privacy Framework, offrant une protection équivalente à celle du droit britannique de la protection des données. Le service d’itinéraires qui construit vos boucles de marche fonctionne sur des serveurs Hetzner en Allemagne.

Notre représentant dans l’Union européenne

Nous sommes établis au Royaume-Uni. Lorsque nous proposons Stepa à des personnes situées dans l’Espace économique européen, l’article 27 du RGPD de l’UE nous impose de désigner un représentant au sein de l’EEE que vous-même et les autorités de protection des données pouvez contacter au sujet de vos données.

Représentant dans l’UE : [TO BE APPOINTED — name and address before Stepa is marketed in the EEA]

Contacter notre représentant ne remplace pas votre droit d’introduire une réclamation auprès de l’autorité de protection des données de votre pays, et vous pouvez toujours nous joindre directement à hello@getstepa.com.

Modifications de la présente politique

Nous mettrons cette page à jour lorsque nos pratiques évolueront. La date de « dernière mise à jour » en haut de page indique quand. Si la modification est substantielle (par exemple si nous commençons à faire appel à un nouveau sous-traitant ou à collecter de nouvelles données), nous vous en informerons par e-mail au préalable.

Contact

Questions, demandes, réclamations, ou simple curiosité — écrivez à hello@getstepa.com. De vrais humains le lisent. Harry, Seb ou Ollie vous répondra.

Pour supprimer vos données ou votre compte, le plus rapide est le formulaire en libre-service à l’adresse getstepa.com/delete — saisissez votre e-mail, cliquez sur le lien de vérification que nous vous envoyons, et vos données disparaissent en quelques minutes. Vous pouvez aussi écrire à hello@getstepa.com avec pour objet « Delete my data » (depuis l’adresse avec laquelle vous vous êtes inscrit) et nous traiterons la demande sous 14 jours.