Politique de confidentialité

Nous collectons les informations que vous fournissez directement : votre nom, votre adresse e-mail, votre nom d’utilisateur public (@handle), votre photo de profil, vos préférences de voyage et l’année de naissance que vous saisissez lors de l’inscription afin de vérifier l’âge minimum de 14 ans. Nous collectons également le contenu que vous créez (plans de voyage, destinations enregistrées, photos, commentaires, messages, signalements d’affluence, conversations avec l’assistant IA) et les données d’utilisation (schémas d’interaction avec l’application) pour exploiter et améliorer votre expérience.

Vos données sont utilisées pour personnaliser votre expérience de voyage, fournir des informations sur le niveau d’affluence, générer des recommandations, alimenter l’assistant de voyage IA, assurer la sécurité du service et améliorer nos services. Nous ne vendons pas vos informations personnelles à des tiers. Les communications marketing ne sont envoyées qu’avec votre consentement explicite (opt-in) et vous pouvez le retirer à tout moment via les préférences de notification dans les Réglages.

Nous traitons vos données sur les bases légales suivantes, telles que définies par le Règlement général sur la protection des données : • Données de compte (nom, e-mail, nom d’utilisateur, profil) et contenu que vous créez : exécution du contrat — le traitement est nécessaire pour vous fournir nos services (Art. 6(1)(b)). • Assistant de voyage IA : exécution du contrat pour fournir l’assistant (Art. 6(1)(b)) ; intérêt légitime pour l’évaluer et l’améliorer (Art. 6(1)(f)). • Données de localisation : consentement — nous ne traitons votre localisation que lorsque vous accordez explicitement l’autorisation (Art. 6(1)(a)). Vous pouvez retirer votre consentement à tout moment via les Réglages ou les réglages de votre appareil. • Données analytiques et d’utilisation : intérêt légitime — nous analysons les schémas d’utilisation afin d’améliorer les performances de l’application et l’expérience utilisateur, et nous produisons des statistiques agrégées anonymes (Art. 6(1)(f)). • Sécurité et prévention des abus (vérification de l’e-mail, attestation d’appareil, limites de fréquence anti-spam, modération des contenus) : intérêt légitime (Art. 6(1)(f)). • Marketing et notifications push : consentement — nous n’envoyons de communications promotionnelles qu’avec votre consentement (opt-in) (Art. 6(1)(a)). Vous pouvez retirer votre consentement à tout moment via les préférences de notification dans les Réglages. • Profil « Votre façon de voyager » : exécution du contrat pour les éléments que vous définissez vous-même (Art. 6(1)(b)) ; intérêt légitime pour les préférences apprises de vos conversations (Art. 6(1)(f)). Données sensibles que vous choisissez d’ajouter (besoins alimentaires et d’accessibilité) : consentement explicite (Art. 9(2)(a)), que vous pouvez retirer à tout moment ; les données sont alors supprimées immédiatement. • Mémoire du voyage (« L’assistant se souvient ») : intérêt légitime (Art. 6(1)(f)) ; vous pouvez vous y opposer comme décrit dans « Mémoire du voyage ».

Chaque compte possède un nom d’utilisateur public unique (@handle). Les données de votre profil public — nom affiché, photo de profil et nom d’utilisateur — sont visibles par les autres utilisateurs sur votre profil et à côté du contenu que vous publiez. Vous pouvez modifier votre nom d’utilisateur depuis les Réglages, sous réserve des limites anti-abus ; le nom d’utilisateur précédent devient alors disponible pour d’autres utilisateurs. Votre nom d’utilisateur est inclus dans l’export de vos données et est supprimé lorsque vous supprimez votre compte. Base légale : exécution du contrat.

Chaque photo ou vidéo que vous ajoutez à un voyage a une visibilité que vous choisissez : « Tout le monde », « Abonnés » ou « Moi uniquement ». Vous pouvez la modifier à tout moment : le changement s’applique immédiatement, mais les captures d’écran ou copies déjà faites par d’autres ne peuvent pas être récupérées. • Compagnons de voyage : dans l’album du voyage, ils voient vos photos « Tout le monde » et « Abonnés ». Les photos « Moi uniquement » ne sont visibles que par vous. • Personnes extérieures au voyage : elles ne peuvent voir l’une de vos photos que si elles peuvent aussi voir le voyage, et jamais au-delà de ce que permettent votre choix et votre compte. En pratique : – « Tout le monde » : toute personne sur Wandermi peut la voir si le voyage est public ; si le voyage n’est visible que par les abonnés, au plus les abonnés de la personne qui a créé le voyage ; – « Abonnés » : vos abonnés peuvent la voir si le voyage est public, ou s’il s’agit de votre voyage et qu’il est visible par les abonnés ; dans les autres cas, seulement vos compagnons ; – les photos d’un voyage privé, en brouillon ou dans la corbeille ne sont visibles par personne en dehors du voyage ; – si votre compte est privé, vos photos ne vont jamais au-delà de vos compagnons et de vos abonnés. • Où elles apparaissent : les photos visibles en dehors du voyage peuvent apparaître sur votre profil et dans l’accueil des personnes qui peuvent les voir, avec votre nom. Sur les pages des lieux, dans la section « Par ceux qui y sont allés », nous ne montrons que des photos (pas de vidéos) « Tout le monde » issues de voyages publics de comptes non privés ; s’il n’existe pas de photo du lieu exact, nous pouvons montrer des photos prises à environ 1,5 km au plus, signalées par « Prise dans les environs ». Pour l’accueil et votre profil, nous utilisons une copie de la photo qui la suit : elle change lorsque vous modifiez la visibilité et elle est supprimée lorsque vous supprimez la photo. • Blocages : les personnes que vous avez bloquées, ou qui vous ont bloqué, ne voient pas vos photos sur votre profil, dans l’accueil, sur les pages des lieux ni en ouvrant une photo. • Localisation : avec chaque photo, nous enregistrons uniquement une localisation approximative (environ 1 km) et le nom du lieu, tirés des données de la photo ou choisis par vous. Les versions actuelles de l’application n’enregistrent jamais la position exacte ; si une ancienne version l’envoie, notre serveur l’arrondit immédiatement à environ 1 km. Les fichiers des photos ne contiennent pas de coordonnées GPS. Les personnes qui peuvent voir l’une de vos photos (compagnons, abonnés ou tout le monde, selon vos choix) peuvent aussi recevoir le nom du lieu, la localisation approximative (environ 1 km) et une référence au lieu ; les personnes qui ne peuvent pas la voir ne reçoivent rien de tout cela. Les pages des lieux n’affichent jamais de coordonnées. • Personnes figurant sur vos photos : si vous publiez des photos où apparaissent d’autres personnes, assurez-vous d’en avoir le droit. Base légale : exécution du contrat (Art. 6(1)(b)). Conservation : comme les données des voyages (voir « Durées de conservation des données »).

Depuis la page d’un lieu, vous pouvez publier votre propre photo de cet endroit si vous avez au moins 16 ans et un compte créé depuis au moins 7 jours. Les photos de lieux sont publiques : tous les utilisateurs et toute personne qui ouvre la page du lieu, y compris via un lien, peuvent les voir, avec votre nom d’utilisateur comme auteur ; les utilisateurs que vous avez bloqués peuvent aussi les voir. Les « Conditions pour les photos de lieux », acceptées lors de la première publication, s’appliquent. La fonctionnalité est activée progressivement : tant qu’elle est désactivée, les photos de lieux ne sont pas affichées. • Ce que nous collectons : – la photo. Avant l’envoi, l’application supprime du fichier toutes les métadonnées, y compris la position GPS ; notre serveur réencode ensuite la photo, en supprimant toute métadonnée restante, et en crée les tailles réduites. Nous conservons trois tailles, la plus grande d’au plus 1600 pixels sur le grand côté ; – votre nom d’utilisateur et le lieu auquel la photo est associée ; – uniquement si vous choisissez « Prise sur place » (désactivé par défaut) : l’indication « prise à moins de 300 m environ du lieu » et le mois et l’année de la prise de vue (jamais le jour ni l’heure). L’application lit la position et la date de la photo sur votre téléphone et envoie seulement si la photo est proche du lieu et le mois/l’année ; la position de la photo n’est jamais envoyée. Le mois et l’année ne sont affichés publiquement que 30 jours après la publication ; la date de mise en ligne n’est jamais affichée. Nous les utilisons uniquement pour l’étiquette : si vous la retirez, nous les supprimons et ils ne peuvent plus être rajoutés. Sans l’étiquette, nous ne recevons ni proximité ni date ; – le résultat du contrôle automatique et, si la photo n’est pas publiée, le motif ; – l’enregistrement de votre acceptation : identifiant d’utilisateur, empreinte numérique du fichier (pas la photo), date et heure, version et langue des Conditions avec l’empreinte du texte accepté, méthode de connexion à votre compte (par exemple e-mail, Google ou Apple). Après votre première photo publiée, nous vous envoyons un e-mail de confirmation avec le lien vers la version acceptée ; – pour vérifier votre âge, nous utilisons votre année de naissance (voir « Année de naissance, âge minimum et mineurs »). • Si vous signalez une photo : votre identifiant d’utilisateur et l’e-mail de votre compte, le motif, le texte facultatif que vous écrivez et votre déclaration de bonne foi. Nous ne révélons pas à l’auteur qui a signalé, sauf obligation légale ou injonction d’une autorité. • Finalités et bases juridiques : – publier la photo sur la page du lieu avec votre nom d’utilisateur, et afficher l’étiquette « Prise sur place » et le mois lorsque vous les choisissez : exécution du contrat (art. 6(1)(b) RGPD). La position et la date de la photo sont lues sur votre téléphone, uniquement dans la mesure strictement nécessaire pour fournir l’étiquette ou la date demandée (art. 5(3) directive ePrivacy ; art. 122 du Code italien de la protection des données) ; – traiter les signalements, suspensions et retraits, et informer l’auteur et la personne qui signale : obligation légale (art. 6(1)(c) RGPD ; art. 16 et 17 du règlement (UE) 2022/2065, « règlement sur les services numériques ») ; – le contrôle automatique et les limites de publication pour éviter les abus, ainsi que la conservation du registre d’acceptation après le retrait : notre intérêt légitime à protéger les autres utilisateurs et à pouvoir prouver la licence en cas de litige (art. 6(1)(f) RGPD). Vous pouvez vous y opposer en écrivant à privacy@wandermi.com. • Contrôle automatique : avant publication, un système d’intelligence artificielle examine la photo, déjà réencodée par notre serveur, et vérifie qu’elle montre le lieu et ne contient ni personnes reconnaissables (dans les lieux de culte et les établissements de santé, pas même par leur silhouette), ni plaques d’immatriculation, ni données personnelles lisibles (documents, écrans, noms sur des panneaux, interphones, boîtes aux lettres), ni contenu inapproprié. En cas de doute, la photo n’est pas publiée. – Le modèle est exécuté sur Google Cloud Vertex AI dans l’Union européenne (région europe-west1). Google agit en tant que sous-traitant (art. 28 RGPD) et n’utilise pas les photos pour entraîner ses modèles. – Si la photo ne passe pas le contrôle, elle n’est pas publiée : nous vous indiquons le motif et que le contrôle est automatique. Vous pouvez demander un réexamen par une personne de notre équipe en écrivant à legal@wandermi.com. – Si le contrôle ne peut pas être effectué, la photo reste en attente et n’est pas publiée ; au bout de 7 jours, elle est écartée. – Le contrôle ne concerne que la publication de cette photo et ne produit pas d’effets juridiques vous concernant (ce n’est pas une décision au sens de l’art. 22 RGPD). • Signalements et modération : en principe, un signalement depuis l’application suspend immédiatement la photo ; nous ne la suspendons pas automatiquement si la même personne l’avait déjà signalée, si la photo avait déjà été vérifiée et rétablie (sauf « je suis sur cette photo », droits d’auteur et demandes de l’organisme gardien du bien) ou si le compte de la personne qui signale a moins de 7 jours. Dans tous les cas, une personne de notre équipe décide, en principe sous 48 heures. L’auteur reçoit dans l’application et, si l’adresse est vérifiée, par e-mail les motifs de chaque suspension ou retrait ; la personne qui signale reçoit un accusé de réception et le résultat. Pour les e-mails, nous faisons appel à Microsoft Ireland Operations Ltd (Microsoft 365), qui agit en tant que sous-traitant. • Personnes photographiées : si vous apparaissez sur une photo publiée, utilisez « Signaler cette photo » → « Je suis sur cette photo » (en principe la photo est masquée tout de suite). Si vous n’avez pas de compte, écrivez à privacy@wandermi.com (données personnelles, « je suis sur cette photo ») ou à legal@wandermi.com (droits d’auteur) avec le lien de la photo, le motif, votre nom et votre e-mail : une personne de l’équipe examinera la demande, en principe sous 48 heures. • Conservation : – photos publiées : jusqu’à ce que vous les retiriez de « Mes photos de lieux » (elles ne sont plus affichées dans un délai d’un jour) ou supprimiez votre compte ; – photos non publiées après le contrôle : fichiers supprimés immédiatement, le reste sous 24 heures ; – photos suspendues : jusqu’à la décision ; si elles sont retirées, les fichiers sont supprimés immédiatement ; – signalements et décisions : 12 mois à compter de la décision ; – e-mails de service (avis et accusés de réception) : 30 jours après l’envoi ; – registre d’acceptation : tant que la photo est publiée et jusqu’à 10 ans après son retrait, uniquement pour prouver la licence ; – si vous supprimez votre compte, nous supprimons vos photos de lieux et les signalements que vous avez faits ; seul le registre d’acceptation subsiste. • Destinataires : Google Cloud (Firebase et Vertex AI, dans l’UE) et Microsoft (e-mails), en tant que sous-traitants ; le public, pour les photos publiées. Nous n’utilisons pas vos photos dans des publicités ou des produits payants sans votre consentement distinct. • Vos droits : accès, rectification, effacement (y compris en retirant la photo d’un geste), opposition, limitation et portabilité. Les photos de lieux et le registre sont inclus dans « Exporter mes données ». Voir « Vos droits ».

• Année de naissance : nous vous demandons votre année de naissance lors de l’inscription (ou, si vous vous êtes inscrit avec Google ou Apple sans l’indiquer, à la prochaine ouverture de l’application). Nous l’utilisons uniquement pour appliquer les règles d’âge prévues par la loi : au moins 14 ans pour utiliser Wandermi, au moins 16 ans pour publier des photos de lieux, et les protections pour les 14-15 ans décrites ci-dessous. Lorsque l’année seule ne suffit pas (l’année de vos 14 ou 16 ans), nous vous posons une question supplémentaire (par exemple votre mois de naissance) et ne conservons que le résultat, pas votre réponse. Votre année de naissance n’est pas visible par les autres utilisateurs. – Base juridique : obligation légale (art. 6(1)(c) RGPD, pour respecter l’âge minimum fixé par l’art. 8 RGPD et l’art. 2-quinquies du Code italien de la protection des données) et exécution du contrat (art. 6(1)(b) RGPD), car les règles d’âge font partie des Conditions Générales d’Utilisation. – Conservation : pendant toute la durée de vie du compte ; elle est supprimée lorsque vous supprimez votre compte. – Elle ne peut pas être modifiée : une fois enregistrée, votre année de naissance ne peut pas être changée depuis l’application, afin que les règles d’âge ne puissent pas être contournées. En cas d’erreur, écrivez à privacy@wandermi.com et nous la corrigerons (droit de rectification, art. 16 RGPD) ; nous pourrons vous demander quelques éléments pour vérifier la demande. • Si vous avez moins de 14 ans : Wandermi ne vous est pas accessible. – Si vous l’indiquez lors de l’inscription, le compte n’est pas créé et les données saisies sont supprimées. – S’il s’avère qu’un compte existant appartient à une personne de moins de 14 ans, le compte est suspendu : tous ses contenus publics et ceux visibles par les abonnés sont masqués, et l’assistant IA et les notifications push ne sont plus disponibles. Nous l’indiquons dans l’application et par e-mail. S’il s’agit d’une erreur, écrivez à privacy@wandermi.com dans ces 30 jours : la contestation arrête la suppression, une personne de notre équipe réexamine le cas et, si l’erreur est confirmée, rétablit le compte et rend à nouveau visibles ses contenus. Sans contestation, le compte et ses données sont supprimés automatiquement au bout de 30 jours, selon la même procédure que « Supprimer le compte ». – Pour éviter une nouvelle inscription immédiate, nous conservons pendant 90 jours uniquement une empreinte à clé (HMAC, non réversible) de l’identifiant du compte Google/Apple ou de l’adresse e-mail vérifiée, puis nous la supprimons ; si l’erreur sur l’âge est confirmée, nous la supprimons immédiatement. Base juridique : notre intérêt légitime à faire respecter l’âge minimum prévu par la loi (art. 6(1)(f) RGPD). • Si vous avez 14 ou 15 ans : – votre profil et vos voyages ne sont pas publics par défaut (vous pouvez toutefois les partager avec vos abonnés) ; si vous le souhaitez, vous pouvez les rendre publics vous-même d’un geste. Si vous avez déjà un compte, seuls le profil et les voyages qui étaient publics deviennent non publics : ceux partagés avec vos abonnés restent tels que vous les avez choisis. Nous vous prévenons dans l’application et vous pouvez les rendre à nouveau publics d’un geste ; – vous ne pouvez pas publier de photos de lieux (il faut avoir 16 ans) ; – la licence limitée décrite dans les Conditions Générales d’Utilisation s’applique à vos contenus : nous les affichons uniquement au sein du Service, au public que vous choisissez, et nous ne les utilisons pas pour des promotions en dehors du Service. • Sections mises en avant : d’après l’année de naissance que vous nous avez indiquée, si vous pouvez avoir moins de 18 ans, vos contenus ne sont pas sélectionnés pour les sections mises en avant (voyages mis en avant, Découvrir, photos de la communauté sur les pages des lieux et des pays). Les photos publiées avec « J’ai une photo de ce lieu » (dès 16 ans) ne sont pas concernées par cette exclusion : elles suivent les « Conditions pour les photos de lieux ». Si vous êtes mineur, nous vous invitons à lire cette politique avec un parent ou la personne qui exerce l’autorité parentale.

Wandermi comprend un assistant de voyage fondé sur l’IA générative (fournisseur du modèle : Google). • Données envoyées au modèle : le texte de vos messages, le contexte du voyage que vous planifiez (destinations, dates, centres d’intérêt) et un profil de préférences de voyage construit à partir de vos conversations précédentes. Nous n’envoyons ni votre adresse e-mail ni votre position GPS exacte. • Où le modèle s’exécute : l’assistant s’exécute sur Google Cloud Vertex AI dans l’Union européenne (région europe-west1). Google agit en tant que sous-traitant au sens de l’Art. 28 du RGPD sur la base du Google Cloud Data Processing Addendum, et n’utilise ni vos requêtes (prompts) ni les sorties du modèle pour entraîner ses propres modèles. Vos conversations sont traitées au sein de l’UE. • Mémoire : nous conservons (i) l’historique de vos conversations, (ii) un profil de voyageur persistant construit à partir de vos conversations au fil des voyages et (iii) une mémoire propre à chaque voyage (voir « Mémoire du voyage » ci-dessous), afin que l’assistant conserve le contexte d’une session à l’autre. Vous pouvez archiver ou renommer des sessions dans l’application. • Conservation et suppression : les conversations et le profil de voyageur sont conservés tant que votre compte est actif et sont supprimés lorsque vous supprimez votre compte ; la mémoire du voyage suit ses propres règles de conservation (voir « Mémoire du voyage »). L’ensemble est inclus dans l’export de vos données. Séparément, des copies pseudonymisées (sans identifiants directs) sont conservées afin d’évaluer et d’améliorer l’assistant : le texte des conversations pendant 12 mois au maximum, les métriques techniques pendant 24 mois au maximum — voir « Entrepôt de données analytiques » pour savoir ce qu’il advient de ces copies lorsque vous supprimez votre compte. • Exactitude : les réponses sont générées automatiquement et peuvent contenir des erreurs ou des informations obsolètes. Vous pouvez signaler toute réponse par un appui long sur le message dans la conversation. • Base légale : exécution du contrat (fourniture de l’assistant) et intérêt légitime (l’évaluer et l’améliorer). Vous pouvez vous opposer au traitement à des fins d’amélioration en écrivant à privacy@wandermi.com.

L’assistant IA conserve un profil de vos préférences de voyage, que vous pouvez consulter et gérer dans l’application sous « Votre façon de voyager » (depuis le panneau des conversations ou depuis Profil → Préférences). • Ce qu’il contient : avec qui vous voyagez habituellement, style de voyage, centres d’intérêt, rythme, budget, votre rapport à la foule, lieux que vous aimez ou préférez éviter, préférences d’hébergement et de transport. Pour chaque élément, l’application indique son origine : les questions initiales, défini par vous ou appris de vos conversations (avec la date). • Comment il se construit : l’assistant n’enregistre que des préférences de voyage durables qui ressortent clairement de vos conversations, et vous le signale à chaque fois dans le chat (« Je retiendrai que… »), avec un bouton « Annuler ». Ce que vous définissez vous-même prime toujours et n’est jamais écrasé par l’assistant ; un élément que vous supprimez ne revient pas. • Votre contrôle : vous pouvez modifier ou supprimer chaque élément à tout moment. Si vous désactivez « Apprendre de nos échanges », l’assistant n’ajoute plus rien ; ce qui figure déjà dans le profil reste et continue d’être utilisé pour adapter les suggestions jusqu’à ce que vous le modifiiez ou l’effaciez. Pour vous opposer complètement, supprimez aussi les éléments appris ou utilisez « Tout effacer », qui supprime l’intégralité du profil. Désactiver « Apprendre de nos échanges » met aussi en pause la mémoire du voyage : aucun nouvel élément et aucune utilisation des éléments enregistrés (voir « Mémoire du voyage »). Ces choix prennent effet immédiatement. Vous pouvez aussi écrire à privacy@wandermi.com. • Données sensibles (Art. 9 RGPD) : les besoins alimentaires (par exemple allergies, intolérances ou régimes, qui peuvent révéler des informations sur votre santé ou vos convictions religieuses) et les besoins d’accessibilité ne sont enregistrés que si vous les saisissez vous-même dans « Votre façon de voyager » et donnez votre consentement explicite au moyen de la case prévue. Nous conservons une trace de votre consentement (date et version). L’assistant a pour instruction de ne pas déduire ces informations de vos conversations et ne peut pas les enregistrer dans votre profil. Nous les utilisons uniquement pour adapter les suggestions de voyage : elles sont envoyées au modèle d’IA (Vertex AI, UE) uniquement dans le cadre de vos demandes et ne sont pas copiées dans l’entrepôt de données analytiques. Google agit en tant que sous-traitant et n’utilise pas ces données pour entraîner ses modèles. Vous pouvez retirer votre consentement à tout moment avec « Retirer mon consentement et effacer mes besoins » : les données sont supprimées immédiatement. Le retrait ne remet pas en cause la licéité du traitement effectué auparavant. • Informations de santé ou religieuses écrites dans le chat : si vous les mentionnez dans un message, elles restent dans cette conversation et dans les copies pseudonymisées que nous conservons à des fins d’analyse pendant 12 mois au maximum, mais elles ne sont pas enregistrées dans votre profil. Nous vous demandons d’éviter de les partager dans le chat et d’utiliser plutôt « Votre façon de voyager ». • Aucune décision automatisée : le profil sert uniquement à suggérer des lieux et des itinéraires, jamais à prendre des décisions produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. • Conservation : le profil est conservé tant que votre compte est actif ou jusqu’à ce que vous l’effaciez, et il est supprimé lorsque vous supprimez votre compte. Il est inclus dans « Exporter mes données ». • Base juridique : exécution du contrat pour les éléments que vous définissez vous-même ou indiquez dans les questions initiales (Art. 6(1)(b)) ; intérêt légitime pour les préférences apprises de vos conversations (Art. 6(1)(f)), auquel vous pouvez vous opposer comme décrit ci-dessus ; consentement explicite pour les données sensibles (Art. 9(2)(a)).

Dans le Compagnon de voyage, l’assistant IA peut retenir de courtes informations que vous lui donnez sur un voyage précis, afin que vous n’ayez pas à les répéter à chaque conversation. Vous les retrouvez dans le menu du Compagnon de voyage, sous « L’assistant se souvient », ainsi que dans « Votre façon de voyager » → « Souvenirs de voyage ». • Ce qu’elle contient : uniquement de courtes informations que vous indiquez expressément pour ce voyage — une décision sur le programme (par exemple « pas de musées le jour 2 »), une contrainte pratique (« dîner avant 20 h », « pas de voiture »), une préférence pour ce voyage (« des plages plus calmes ») ou une proposition que vous avez écartée (« ne plus proposer la vieille ville »). Chaque élément compte au maximum 120 caractères, dans la limite de 30 éléments par personne et par voyage. • Comment elle se constitue : à la fin de chaque réponse, un modèle d’IA léger repère ces informations dans votre message et notre code les filtre avant de les enregistrer. Le modèle a pour instruction de ne pas enregistrer les questions ni les hypothèses. En général, l’assistant vous le signale dans le chat (« Je le retiens pour ce voyage… »), avec un bouton « Annuler », et vous pouvez toujours tout consulter dans « L’assistant se souvient ». Le modèle est exécuté sur Google Cloud Vertex AI dans l’UE (région europe-west1) ; Google agit en tant que sous-traitant au sens de l’Art. 28 RGPD et n’utilise pas ces données pour entraîner ses modèles. • Ce que nous n’enregistrons pas : des informations sur votre santé ; des besoins ou régimes alimentaires ; des besoins d’accessibilité (ils restent uniquement dans « Votre façon de voyager », avec votre consentement explicite) ; des convictions religieuses ; des informations sur d’autres personnes ; des documents ; des numéros d’identification, de contact ou de carte ; des adresses e-mail ou postales. Le modèle a pour instruction de ne pas proposer ces éléments et notre code écarte en outre les éléments contenant les termes les plus courants de ces catégories ; si quelque chose passe malgré tout, vous pouvez le supprimer immédiatement avec ✕. • Qui peut la voir : vous seul, et uniquement tant que vous êtes membre du voyage. Les autres membres du voyage, y compris son organisateur, ne peuvent pas voir vos éléments. Les éléments sont écrits uniquement par nos serveurs ; l’application peut seulement les lire. Dans cette version, la mémoire n’est jamais partagée avec les autres membres ; si nous introduisons des éléments partagés, nous mettrons à jour la présente Politique et vous en informerons au préalable dans l’application. • Finalité et base légale : assurer la continuité de l’assistant tout au long de votre voyage. Base légale : intérêt légitime (Art. 6(1)(f)). La mémoire se limite aux informations que vous avez données sur ce voyage, et vous pouvez la consulter et la supprimer à tout moment. • Comment vous opposer : désactivez « Apprendre de nos échanges » dans « Votre façon de voyager » : l’assistant n’ajoute alors plus rien, ni à votre profil ni à la mémoire du voyage. Les éléments déjà enregistrés restent visibles dans « L’assistant se souvient » mais ne sont pas utilisés tant que l’apprentissage est désactivé ; vous pouvez les supprimer avec ✕ ou « Tout effacer ». Ces choix prennent effet immédiatement. Vous pouvez aussi écrire à privacy@wandermi.com. • Conservation : les éléments sont supprimés automatiquement 90 jours après la fin du voyage (si le voyage n’a pas de dates, à compter de l’enregistrement du premier élément), et plus tôt si vous quittez le voyage ou en êtes retiré, si le voyage est définitivement supprimé (après la période de récupération de 30 jours) ou si vous supprimez votre compte. Lorsque vous supprimez un élément avec ✕ ou « Annuler », nous ne conservons qu’une empreinte (un hachage irréversible, pas le texte) afin que l’assistant ne l’enregistre pas de nouveau ; les empreintes sont supprimées si vous quittez le voyage, si le voyage est définitivement supprimé, si vous supprimez votre compte et, en tout état de cause, 90 jours après la fin du voyage. • Vos droits : les éléments sont inclus dans « Exporter mes données ». Vous pouvez y accéder, les supprimer et vous y opposer comme décrit ci-dessus et dans « Vos droits ». Les éléments sont conservés uniquement avec le voyage dans notre base de données et ne sont pas copiés dans l’entrepôt de données analytiques ; les messages dont ils proviennent font partie de vos conversations (voir « Assistant de voyage IA »). • Aucune décision automatisée : la mémoire sert uniquement à adapter les suggestions de l’assistant pour ce voyage.

Avec votre autorisation, nous utilisons votre localisation aux fins suivantes : • Signalements d’affluence : le signalement que voient les autres utilisateurs ne conserve que des coordonnées approximatives (arrondies à une précision d’environ ~1 km). Les coordonnées exactes du point que vous avez signalé sont conservées séparément, dans une collection à accès restreint que les applications clientes ne peuvent pas lire : elles ne sont jamais montrées aux autres utilisateurs et ne sont jamais partagées avec des tiers. Elles sont incluses dans l’export de vos données et sont supprimées lorsque vous supprimez votre compte. • Détection de séjour : nous en déduisons des valeurs agrégées de temps passé sur un lieu. Nous n’enregistrons pas votre trace GPS continue et nous ne suivons pas vos déplacements. • Les statistiques partagées avec les organismes publics sont uniquement anonymes et agrégées. Vous pouvez désactiver le partage de votre localisation à tout moment depuis Réglages → Localisation ou depuis les réglages de votre appareil ; l’application reste utilisable. Base légale : consentement (Art. 6(1)(a)), que vous pouvez retirer à tout moment ; intérêt légitime pour la production de statistiques agrégées.

Vous pouvez générer un lien public pour partager un itinéraire. Toute personne disposant du lien peut consulter le contenu partagé (itinéraire, étapes, photos éventuellement incluses), y compris des personnes sans compte Wandermi et en dehors de l’application, tant que le lien est actif. Réfléchissez attentivement à ce que vous partagez et avec qui. Vous pouvez désactiver le lien à tout moment depuis les réglages de partage : la désactivation rend le contenu immédiatement inaccessible via le lien, mais n’a aucun effet sur les copies déjà enregistrées par des tiers. Les liens actifs sont inclus dans l’export de vos données et sont supprimés lorsque vous supprimez votre compte. Base légale : exécution du contrat (une fonctionnalité que vous demandez).

• Notifications push : avec votre autorisation, nous vous envoyons des notifications (messages, invitations, alertes d’affluence, activité sociale). Nous conservons un jeton de notification associé à votre appareil, transmis à notre prestataire Expo (États-Unis, sous couvert des Clauses contractuelles types de l’UE) ; le jeton est supprimé lorsque vous vous déconnectez. Vous pouvez gérer chaque catégorie depuis Réglages → Notifications ou désactiver les notifications depuis votre système d’exploitation. • Langue des notifications : nous conservons la langue de votre application afin que les notifications vous parviennent dans la langue que vous utilisez. • Vérification de l’e-mail : lorsque vous vous inscrivez avec une adresse e-mail, nous vous envoyons un message de vérification ; la vérification est nécessaire pour pouvoir utiliser le compte, à des fins de sécurité et de prévention des abus. Base légale : intérêt légitime (Art. 6(1)(f)).

Pour protéger le service contre les abus automatisés (bots, scripts, faux comptes), l’application utilise des mécanismes d’attestation d’appareil fournis par Apple (App Attest / DeviceCheck) et Google (Play Integrity) via Firebase App Check. Ces services vérifient que les requêtes proviennent d’une copie authentique de l’application exécutée sur un appareil authentique, en générant des jetons techniques qui ne sont pas utilisés pour vous profiler ni à des fins publicitaires. Base légale : intérêt légitime à la sécurité du service (Art. 6(1)(f)).

Nous partageons des données uniquement avec des prestataires de services de confiance qui nous aident à exploiter Wandermi. Tous les partenaires sont liés par des accords stricts de protection des données. Nous ne vendons pas vos données personnelles.

Nous recourons aux sous-traitants ultérieurs suivants pour fournir nos services : • Google Firebase (Cloud Firestore, Authentication, Cloud Storage, App Check) — États-Unis. Les transferts de données sont encadrés par les Clauses contractuelles types de l’UE (CCT). • Google Cloud Platform (Cloud Functions, région europe-west1) — Union européenne. • Google Cloud Vertex AI (région europe-west1) — Union européenne. Fournit le modèle génératif qui alimente l’assistant de voyage IA. Google agit en tant que sous-traitant au titre du Google Cloud Data Processing Addendum et n’utilise ni vos requêtes (prompts) ni les sorties du modèle pour entraîner ses propres modèles. Le traitement a lieu au sein de l’UE. • Google Cloud BigQuery (région europe-west1) — Union européenne. Utilisé comme entrepôt de données analytiques pour comprendre et améliorer l’application, évaluer et améliorer l’assistant de voyage IA, et produire des statistiques agrégées anonymes. Couvert par le Data Processing Addendum de Google et par les Clauses contractuelles types de l’UE. Les données sont traitées au sein de l’UE. • Expo (EAS) — États-Unis. Utilisé pour l’envoi des notifications push. Les transferts de données sont encadrés par les Clauses contractuelles types de l’UE (CCT). • Mapbox — États-Unis. Utilisé pour l’affichage des cartes et les services de géolocalisation. La collecte de données de télémétrie est facultative et peut être désactivée dans les Réglages de confidentialité. Les transferts de données sont encadrés par les Clauses contractuelles types de l’UE (CCT). • RevenueCat — États-Unis. Infrastructure de gestion des abonnements. Les abonnements payants ne sont pas actifs dans Wandermi (voir « Fonctionnalités payantes ») : le SDK est présent dans l’application mais aucune donnée de transaction ou de facturation n’est actuellement traitée. Si des fonctionnalités payantes étaient activées, RevenueCat ne recevrait qu’un identifiant utilisateur anonyme et les métadonnées de transaction Apple/Google — aucune adresse e-mail ni aucune autre donnée personnelle. Les transferts de données sont encadrés par les Clauses contractuelles types de l’UE (CCT). • Sentry — Allemagne (résidence des données dans l’UE). Utilisé pour la surveillance des erreurs et les rapports de plantage. Capture les traces d’appels, la version de l’application, la version du système d’exploitation et un identifiant d’appareil anonymisé ; aucune adresse e-mail ni aucune autre donnée personnelle n’est capturée, sauf si elle est explicitement jointe. • Microsoft 365 (Outlook — hébergé par Microsoft Ireland Operations Limited) — Union européenne. Utilisé pour héberger les boîtes aux lettres institutionnelles (support@, privacy@, legal@) et traiter les communications entrantes que vous nous adressez. Le DPA standard Microsoft Online Services s’applique. • Microsoft 365 (Exchange Online, via Microsoft Graph — Microsoft Ireland Operations Ltd). Agit également en tant que sous-traitant pour l’envoi des e-mails de service : avis à notre équipe de modération sur les signalements, résultats de la modération, confirmations et avis concernant votre compte (par exemple la suspension du compte d’une personne de moins de 14 ans). Les e-mails de service sont supprimés automatiquement 30 jours après l’envoi.

Nous conservons vos données pendant les durées suivantes : • Données de compte (nom, e-mail, nom d’utilisateur, photo de profil, préférences de voyage) : conservées tant que votre compte est actif. Supprimées lorsque vous supprimez votre compte. • Messages : conservés pendant 12 mois au maximum ; les messages de plus de 365 jours sont supprimés automatiquement. Les messages que vous avez envoyés sont également supprimés lorsque vous supprimez votre compte. • Données de voyage (plans de voyage, destinations enregistrées, photos) : conservées tant que votre compte est actif. Lorsque vous supprimez un voyage, celui-ci entre dans une période de récupération de 30 jours pendant laquelle il peut être restauré ; après 30 jours, le voyage et toutes les données associées sont définitivement supprimés. Toutes les données de voyage sont également supprimées lorsque vous supprimez votre compte. • Conversations et profil de voyageur de l’assistant IA : conservés tant que votre compte est actif. Supprimés lorsque vous supprimez votre compte. • Données de localisation : les coordonnées approximatives (~1 km) conservées avec les signalements d’affluence que vous soumettez, ainsi que les coordonnées exactes conservées séparément avec un accès restreint, sont conservées jusqu’à la suppression de votre compte. • Jeton de notification push : supprimé lorsque vous vous déconnectez. • Copies pseudonymisées dans l’entrepôt de données analytiques : le texte des conversations avec l’IA pendant 12 mois au maximum ; les métriques techniques de l’IA pendant 24 mois au maximum ; les autres événements analytiques pendant 26 mois au maximum. Voir « Entrepôt de données analytiques » ci-dessous. • Profil « Votre façon de voyager » : vous pouvez l’effacer à tout moment avec « Tout effacer » ; les données sensibles sont supprimées dès que vous retirez votre consentement. • Mémoire du voyage (« L’assistant se souvient ») : supprimée automatiquement 90 jours après la fin du voyage, ou plus tôt — voir « Mémoire du voyage ». • Année de naissance : pendant toute la durée de vie du compte. • Empreinte de l’identifiant de connexion d’une personne de moins de 14 ans : 90 jours. • E-mails de service envoyés via Microsoft 365 : 30 jours après l’envoi. • Photos de lieux, signalements et registre d’acceptation : voir « Photos de lieux ». • Copies de sauvegarde : les données supprimées de nos systèmes peuvent subsister dans les copies de sauvegarde de la base de données pendant 8 semaines au maximum (copies quotidiennes conservées 7 jours, copies hebdomadaires 8 semaines) ; ensuite, les copies sont supprimées automatiquement.

Nous utilisons un entrepôt de données analytiques (Google Cloud BigQuery, région UE europe-west1) à trois fins : (a) comprendre comment l’application est utilisée et l’améliorer ; (b) évaluer et améliorer notre assistant de voyage IA ; et (c) produire des statistiques anonymes et agrégées sur les flux touristiques et le surtourisme. • Pseudonymisation et résidence : les enregistrements envoyés à l’entrepôt ne comportent ni votre nom, ni votre e-mail, ni l’identifiant brut de votre compte — l’identifiant est remplacé par un pseudonyme (un hachage à clé). L’ensemble du traitement a lieu au sein de l’UE, sous couvert du DPA de Google et des Clauses contractuelles types de l’UE. • Amélioration de l’IA : les conversations avec l’assistant IA peuvent être utilisées sous forme pseudonymisée afin d’évaluer et d’améliorer l’assistant. Base légale : intérêt légitime. Vous pouvez vous y opposer en écrivant à privacy@wandermi.com. • Statistiques agrégées (B2G) : les statistiques partagées avec des organismes publics ou des organisations de gestion de destination sont uniquement anonymes — elles ne contiennent aucune information permettant de vous identifier, et des seuils minimaux d’agrégation sont appliqués afin qu’aucune personne ne puisse être isolée. Nous ne vendons jamais vos données personnelles. • Suppression — ce qui se passe réellement lorsque vous supprimez votre compte : nous supprimons vos données de nos systèmes opérationnels (base de données et stockage de fichiers) — profil, nom d’utilisateur, voyages, photos, messages, conversations et mémoires de l’IA, liens de partage, et coordonnées exactes de vos signalements d’affluence. Les copies pseudonymisées déjà transférées vers l’entrepôt de données analytiques ne sont PAS supprimées individuellement à ce moment-là : elles ne comportent plus l’identifiant de votre compte et sont conservées jusqu’au terme de leur durée de conservation (texte des conversations avec l’IA jusqu’à 12 mois ; métriques techniques de l’IA jusqu’à 24 mois ; autres événements analytiques jusqu’à 26 mois), après quoi elles sont supprimées. Les agrégats anonymes déjà produits ne constituent pas des données personnelles et sont conservés. Si vous souhaitez que nous supprimions auparavant les enregistrements pseudonymisés vous concernant, écrivez à privacy@wandermi.com avant de supprimer votre compte, afin que nous soyons en mesure de les identifier.

Pour estimer l’affluence habituelle des lieux, nous utilisons notre propre modèle d’estimation. Il combine : le profil journalier typique de chaque catégorie de lieu ; la tendance saisonnière et la notoriété du lieu, déduites du nombre de consultations, public et agrégé, des articles Wikipédia correspondants (Wikimedia et Wikidata, données publiées sous CC0) ; les calendriers des jours fériés nationaux ; et, lorsqu’ils sont disponibles, les signalements d’affluence et le temps passé sur place envoyés par les utilisateurs de Wandermi, sous forme agrégée, comme décrit dans la présente Politique. Ces sources tierces sont agrégées et anonymes : elles ne contiennent aucune information personnelle vous concernant ni concernant toute autre personne identifiable. Nous n’utilisons pas les données « heures d’affluence » de Google Maps : nous avons cessé d’utiliser les données de ce type collectées par le passé et les avons supprimées des systèmes qui font fonctionner le service. Les estimations décrivent une journée type (« habituellement »), et non la situation en temps réel.

Wandermi comprend une fonctionnalité de messagerie intégrée qui vous permet de communiquer avec d’autres voyageurs et de partager des plans de voyage, des photos, des sondages et des localisations. • Chiffrement : tous les messages sont chiffrés en transit (TLS 1.2+) et au repos (AES-256). Le chiffrement de bout en bout n’est pas mis en œuvre actuellement ; cela permet la modération côté serveur et le signalement des contenus exigés par le règlement européen sur les services numériques (règlement (UE) 2022/2065). • Contenu conservé : le texte des messages, les médias joints (photos), les sondages, les localisations, les réactions, le contexte de réponse et les métadonnées de modification/épinglage. Les accusés de lecture sont conservés pour alimenter les compteurs de messages non lus des conversations. • Modération : nous appliquons des limites de fréquence automatisées (maximum 40 messages par minute et 300 par heure par expéditeur) et nous traitons les signalements des utilisateurs. Le contenu signalé est examiné et peut être retiré ; les comptes abusifs peuvent être suspendus. • Signalement de contenus illicites : vous pouvez signaler tout message via le menu d’appui long → Signaler. Les signalements sont examinés par notre modérateur, normalement dans un délai de 48 heures. • Modification et suppression : vous pouvez modifier vos messages dans les 15 minutes suivant leur envoi et les supprimer à tout moment. La suppression de votre compte supprime les messages que vous avez envoyés. • Notifications push : des aperçus de messages peuvent apparaître dans les notifications push. Vous pouvez désactiver les aperçus via Réglages → Notifications. • Mineurs : conformément à l’Art. 8 du RGPD et à la loi italienne de transposition, l’âge minimum pour utiliser la messagerie est de 14 ans.

En vertu du Règlement général sur la protection des données, vous disposez des droits suivants concernant vos données personnelles : • Droit d’accès et à la portabilité des données (Art. 15 et 20) : utilisez « Exporter mes données » dans les Réglages pour télécharger un fichier JSON complet de vos données, y compris vos conversations avec l’assistant IA. • Droit de rectification (Art. 16) : corrigez vos données personnelles à tout moment via Modifier le profil. • Droit à l’effacement (Art. 17) : utilisez « Supprimer le compte » dans les Réglages. Cela supprime de nos systèmes opérationnels votre compte, vos contenus, vos messages, vos conversations et mémoires de l’IA, votre nom d’utilisateur, vos liens de partage et les coordonnées exactes de vos signalements d’affluence. Pour les copies pseudonymisées présentes dans l’entrepôt de données analytiques, voir « Entrepôt de données analytiques » ci-dessus. • Droit d’opposition et de retrait du consentement (Art. 21) : vous pouvez désactiver la localisation depuis Réglages → Localisation et les notifications depuis Réglages → Notifications à tout moment. Pour vous opposer au traitement des données pseudonymisées à des fins d’analyse et d’amélioration de l’IA, écrivez à privacy@wandermi.com. Pour vous opposer à la mémoire du voyage, désactivez « Apprendre de nos échanges » ou supprimez les éléments dans « L’assistant se souvient » (voir « Mémoire du voyage »). • Droit d’introduire une réclamation : vous pouvez introduire une réclamation auprès de l’autorité de contrôle italienne (Garante per la protezione dei dati personali) ou auprès de l’autorité de contrôle de votre pays de résidence. • Modifications de la présente Politique : en cas de modifications importantes, nous vous en informerons dans l’application avant leur entrée en vigueur. Nous vous demanderons une nouvelle acceptation lorsque la modification concerne les Conditions ou lorsque la loi l’exige (par exemple un nouveau traitement fondé sur votre consentement) ; si vous n’acceptez pas, l’accès au service est suspendu. • Droit d’opposition au profilage (Art. 21) : dans « Votre façon de voyager », vous pouvez désactiver « Apprendre de nos échanges » et supprimer les éléments appris ou effacer l’intégralité du profil. Pour exercer l’un de ces droits, contactez-nous à privacy@wandermi.com ou utilisez la fonctionnalité correspondante dans l’application.

Certaines de vos données personnelles peuvent être transférées vers les États-Unis et y être traitées, où se trouvent certains de nos prestataires de services (Firebase, Expo, Mapbox, RevenueCat). Ces transferts sont encadrés par les Clauses contractuelles types de l’UE (CCT) approuvées par la Commission européenne. Le traitement effectué par l’assistant IA et par l’entrepôt de données analytiques a lieu au sein de l’Union européenne (région europe-west1).

Responsable du traitement : WANDERMI S.R.L., siège social Viale Umbria 128, 20135 Milano (MI), Italie · n° de TVA et code fiscal (P.IVA e C.F.) 14880440962 · REA MI-2813220 (Registre des entreprises de Milano Monza Brianza Lodi n° 14880440962) · capital social de 5 000,00 € entièrement libéré · courriel certifié (PEC) wandermi@namirialpec.it · start-up innovante inscrite à la section spéciale du Registre des entreprises. Nous ne sommes pas tenus de désigner un délégué à la protection des données (DPD) au titre de l’article 37 du RGPD : nous ne sommes pas une autorité publique, nos activités de base n’impliquent pas de traitement à grande échelle de catégories particulières de données, et nous n’effectuons pas de suivi régulier et systématique à grande échelle des personnes concernées. Nous réexaminons régulièrement cette évaluation et désignerons un DPD si les conditions venaient à être réunies. Pour toute question sur la manière dont nous traitons vos données personnelles, ou pour exercer vos droits au titre du RGPD, écrivez à privacy@wandermi.com. Vous avez également le droit d’introduire une réclamation auprès de l’autorité de contrôle de votre pays de résidence.

Wandermi est actuellement gratuite : il n’y a aucun abonnement ni achat intégré actif, et nous ne traitons aucune donnée de paiement. Les fonctionnalités affichées dans l’application comme « bientôt disponibles » (par exemple un abonnement premium ou des albums photo imprimés) ne sont pas actives. Notre infrastructure de gestion des abonnements (RevenueCat) est présente dans l’application mais ne traite aucune transaction tant que les fonctionnalités payantes sont inactives. Si des fonctionnalités payantes sont activées, nous vous en informerons à l’avance et mettrons à jour la présente Politique. En tout état de cause, les paiements seraient traités exclusivement par Apple (App Store) sur iOS et Google (Play Store) sur Android : nous ne collecterions ni ne conserverions jamais les données de votre carte de paiement ni votre adresse de facturation.

Wandermi prévoit de proposer des albums photo imprimés facultatifs dans une version future. Lorsque cette fonctionnalité sera disponible : • Partage : seules les données strictement nécessaires à l’exécution de votre commande seront partagées avec notre partenaire d’impression Peecho (établi aux Pays-Bas, UE) : votre nom de livraison, votre adresse de livraison, les photos que vous sélectionnez explicitement pour l’album et les détails de la commande. • Aucune autre donnée partagée : nous ne partagerons pas avec Peecho l’adresse e-mail de votre compte, vos plans de voyage, ni aucune autre information personnelle. • Consentement explicite (opt-in) par commande : cette fonctionnalité requiert un consentement explicite à chaque commande. Aucune donnée n’est partagée sans commande active. • État actuel : dans la version actuelle, cette fonctionnalité n’est pas active. Aucune donnée n’a été ni n’est partagée avec Peecho. Nous mettrons à jour la présente Politique et informerons les utilisateurs dans l’application avant que la fonctionnalité ne devienne opérationnelle.

Nous mettons en œuvre des mesures de sécurité conformes aux standards du secteur, notamment le chiffrement en transit (TLS 1.2+) et au repos (AES-256), afin de protéger vos informations personnelles contre tout accès non autorisé. L’application joint à ses requêtes adressées à notre backend une attestation d’appareil (Firebase App Check), que nous utilisons pour reconnaître le trafic qui ne provient pas d’une copie authentique de l’application ; nous activons progressivement le rejet des requêtes dépourvues d’attestation valide. Les coordonnées exactes des signalements d’affluence sont conservées dans une collection à accès restreint que les applications clientes ne peuvent pas lire. L’accès aux systèmes de production est réservé au personnel autorisé et protégé par une authentification multifacteur.