Données et confidentialité

Version des textes : 2026-10-11

Sakalm enregistre des sorties de course, de marche et de vélo. Pour le faire, l’application traite des données qui te concernent. Voici lesquelles, pourquoi, et ce que tu peux exiger à tout moment. Ce que Sakalm garde sur ton téléphone et dans ton navigateur est détaillé dans le document « Cookies et traceurs ».

QUI EST RESPONSABLE

Sakalm, société par actions simplifiée à associé unique au capital de 500 euros, RCS Paris 131 251 845, 47 rue Vivienne, 75002 Paris, France. Pour toute question ou pour exercer tes droits : hello@sakalm.com.

CE QUE L’APPLICATION COLLECTE

Ton compte : adresse e-mail, pseudo, prénom et nom. Sans eux, pas de compte.

Ton profil : date de naissance, sexe, pays et ville, l’État pour les États-Unis, et pour la France la région, déduite de la ville. Si tu les renseignes, taille et poids. La date de naissance sert à vérifier l’âge minimum. Taille et poids sont facultatifs et servent uniquement à estimer une dépense en calories. Tu donnes aussi à l’inscription les sports que tu pratiques et ton sport préféré, ton niveau, ton rythme habituel, en séances et en kilomètres par semaine, et si tu as une montre connectée : ils servent à régler l’application sur ta pratique.

Tes sorties : le tracé GPS, la date, l’heure, la durée, la distance et le dénivelé. C’est le cœur de l’application. S’y ajoute le nom de la ville la plus proche de ton point de départ : notre serveur le déduit de sa propre liste de villes, sans rien demander à Apple, à Google ni à personne d’autre. Sur iPhone, le nombre de pas comptés entre le départ et l’arrivée part aussi avec la sortie, si tu as ouvert l’accès aux pas. Et si tu réponds à « Comment tu te sens ? » à la fin d’une sortie, ton ressenti, de un à cinq, est gardé avec elle. Aucun autre membre ne le voit, ni tes amis, ni ton groupe, ni ton coach : il ne s’affiche que pour toi, et pour l’équipe de Sakalm sur la fiche d’une sortie qu’elle vérifie.

Ta fréquence cardiaque, si et seulement si tu y as consenti séparément. C’est une donnée de santé, elle a son propre interrupteur dans cet écran, et tu peux le couper quand tu veux.

Tes pas, quand tu appuies sur « Valider mes pas ». Tant que l’écran d’accueil est ouvert, ton compteur du jour est lu dans le podomètre du téléphone et, si tu as donné ton accord santé, dans Apple Santé : le plus grand des deux s’affiche. Ce compteur ne quitte pas l’appareil : rien n’est envoyé ni gardé tant que tu n’as pas validé toi-même. Une seule exception, celle dite juste au-dessus : sur iPhone, les pas comptés pendant une sortie partent avec elle.

Ce que Sakalm lit dans Apple Santé, si tu donnes ton accord santé. Plusieurs usages, et le même accord pour tous.

L’écran d’import lit tes séances de course, de marche et de vélo pour les ajouter à ton historique : leur tracé GPS quand il en existe un, leur distance, leurs calories, leur fréquence cardiaque, et les mesures de foulée que certaines montres enregistrent : le temps de contact au sol, l’oscillation verticale, la longueur de foulée et la vitesse de course.

Et l’application complète tes sorties déjà enregistrées avec ces mêmes mesures, que le téléphone seul ne sait pas prendre. Cette lecture-là se fait toute seule, au lancement de l’application, à la fin d’une sortie et à l’ouverture d’une fiche de sortie.

Ton nombre de pas du jour y est lu aussi, à côté du podomètre, comme dit plus haut.

Une dernière lecture se fait sans que l’application soit ouverte. Quand une nouvelle séance de course, de marche ou de vélo est enregistrée dans Apple Santé, par ta montre ou par une autre application, iOS réveille Sakalm le temps de la repérer, même si tu ne l’as pas ouverte. C’est là pour qu’une sortie que tu as oublié de lancer dans Sakalm ne soit pas perdue.

Cette lecture ne fait que te la PROPOSER. Rien n’est ajouté à ton historique, rien n’entre dans un classement tant que tu n’as pas dit oui. Une notification te demande si tu veux l’ajouter, si tu les as acceptées, et dans tous les cas un écran te pose la question à ta prochaine visite : il te montre la séance, d’où elle vient, et si elle comptera ou non pour la semaine. Tu ajoutes, ou tu ignores, et une séance ignorée ne t’est plus reproposée.

Ce réveil ne lit que tes séances de sport, et rien d’autre. Il n’a lieu que tant que l’interrupteur Apple Santé est allumé : dès que tu le coupes, iOS cesse de réveiller l’application.

En dehors de tes séances de sport et de ton nombre de pas, rien n’y est lu : ni poids, ni sommeil, ni pouls au repos, ni aucune autre donnée médicale. Rien n’est jamais écrit dans Apple Santé. Et rien n’est lu du tout tant que tu n’as pas donné ton accord santé, qui est distinct de l’acceptation des présents textes et se retire quand tu veux.

Sur un téléphone Android, Apple Santé est remplacé par Health Connect, avec le même accord santé et les mêmes règles. Sakalm y lit tes pas, tes séances de course, de marche et de vélo, leur tracé GPS, leur distance, leurs calories actives, et ta fréquence cardiaque pendant ces séances. Rien d’autre, et pas les mesures de foulée. Le podomètre du téléphone n’y est pas utilisé : ton nombre de pas vient de Health Connect seulement. Health Connect n’est lu que lorsque l’application est ouverte, il n’y a pas de réveil en arrière-plan sur Android. Rien n’y est jamais écrit, et tu retires l’accès quand tu veux, dans les réglages de Sakalm ou dans Health Connect lui-même. Les données lues dans Health Connect servent uniquement aux usages décrits ici : elles ne sont ni vendues, ni utilisées pour de la publicité, ni transmises à qui que ce soit hors les hébergeurs qui les stockent pour nous, cités plus bas, et leur usage respecte la politique d’accès aux données de Health Connect, exigences d’usage limité comprises.

Ta photo de profil, si tu en mets une. Elle est facultative, l’application n’ouvre ta photothèque qu’au moment où tu le demandes, et elle ne lit aucune autre image. Les données de prise de vue, dont le lieu, sont retirées avant l’envoi. Tu peux la retirer quand tu veux depuis le menu de ton compte : le fichier est alors supprimé.

Les photos que tu joins à une sortie partagée, prises sur le moment avec l’appareil ou choisies dans ta photothèque. L’appareil photo ne s’ouvre que quand tu appuies sur « Prendre une photo », il ne s’allume jamais tout seul, et rien n’est enregistré tant que tu n’as pas déclenché toi-même. Là aussi, le lieu et l’heure inscrits dans l’image sont retirés avant l’envoi.

Un identifiant d’envoi de notifications, si tu les acceptes. Il désigne ton téléphone, pas toi, il ne dit rien de ce que tu fais, et il s’efface avec ton compte. Sans lui, aucune notification ne peut t’atteindre. Refuser les notifications n’empêche rien d’autre de fonctionner.

Il nous sert à deux choses différentes, et tu peux refuser la seconde sans perdre la première. Les MESSAGES DE SERVICE répondent à quelque chose : une question que tu nous as posée, une sortie que tu as contestée, un problème sur ton compte. Ils arrivent quoi qu’il arrive, parce que les faire disparaître en silence serait pire que de les faire arriver. Les ANNONCES, elles, ne répondent à rien : ce sont les nouveautés que nous écrivons de nous-mêmes. Elles se coupent d’un geste, dans Réglages puis Notifications, ligne « Les annonces », et couper cette ligne ne coupe aucune réponse à une question que tu nous poses. Une annonce peut être envoyée à tout le monde, ou à une partie seulement, choisie d’après cinq choses et rien d’autre : si tu es abonné, si ton compte a moins d’une semaine, si tu as ouvert l’application dans les sept derniers jours, si tu ne l’as pas ouverte depuis un mois, ou si tu n’as encore enregistré aucune sortie. C’est ce qui nous permet, par exemple, d’écrire seulement à ceux qui ne sont pas revenus depuis longtemps, sans déranger les autres.

Les réactions et les encouragements : ceux que tu poses sur les sorties des autres, et ceux qu’on pose sur les tiennes, avec le nom de qui les a envoyés. Ce sont des symboles, jamais du texte.

Tes achats, si tu en fais : ton abonnement Premium et les thèmes payés en argent réel, avec pour chacun la formule ou le thème, les dates, le montant et la référence du paiement que nous transmet Apple ou Google. Ils servent à t’ouvrir ce que tu as payé, à le rétablir sur un nouveau téléphone, à calculer une commission de parrainage, et à savoir si tu es abonné quand une annonce est réservée aux abonnés ou aux autres, comme dit plus haut. Ton moyen de paiement, lui, reste chez Apple ou Google : nous ne voyons jamais tes coordonnées bancaires.

Tes gains de parrainage, si tu parraines : le montant de chaque gain, sa date, son état et les versements demandés.

Ta liste d’amis : tes amis, les demandes d’amis que tu as envoyées ou reçues, et les comptes que tu as bloqués. Elle se construit uniquement avec les pseudos que tu cherches dans l’application : Sakalm ne demande pas l’accès au carnet de contacts de ton téléphone, et ne le lit jamais.

Les messages que tu écris ou que tu enregistres dans la discussion d’un groupe, avec ton pseudo, l’heure, et les pseudos que tu y appelles par un « @ ». Avec les commentaires sous les sorties, décrits plus bas, ce sont les seuls mots qui vont de toi vers d’autres membres. Ils ne sont lisibles ou écoutables que des membres de ce groupe, et ils s’effacent au bout de vingt-quatre heures.

Ta voix, si tu laisses un message vocal dans un groupe. Le micro ne s’ouvre que quand tu touches son bouton, et il se ferme quand tu le touches de nouveau, ce qui envoie le message, ou tout seul au bout de dix secondes : un message vocal dure donc dix secondes au plus. Il ne s’allume jamais tout seul, et jamais en arrière-plan. Il n’est ni transcrit ni analysé : il est seulement rangé dans un espace fermé, que seuls les membres du groupe peuvent écouter, et le fichier est effacé du serveur au plus tard une heure après ces vingt-quatre heures.

Les commentaires que tu écris sous une sortie publiée, avec ton pseudo et leur date, et la légende que tu joins à tes publications. Qui les lit, et combien de temps ils restent, est dit plus bas, dans « Deux endroits où l’on s’adresse la parole » et « Sur ton fil ».

Ta voix aussi, si tu laisses un commentaire vocal sous une sortie. Même micro, mêmes dix secondes au plus, ni transcription ni analyse. Ce commentaire est rangé dans un espace fermé, que seuls l’auteur de la sortie et ses amis peuvent écouter, et il reste tant que le commentaire reste, comme un commentaire écrit. Quand tu le retires, le remplaces ou que la sortie disparaît, le fichier est effacé du serveur dans l’heure. S’il a été signalé, une copie est gardée pour l’équipe jusqu’à la décision, puis trente jours au plus.

Les parcours que tu gardes, vingt au plus : un tracé importé d’un fichier, ou celui d’une de tes sorties que tu choisis de garder à la fin. Chacun porte son nom, sa longueur, son dénivelé et sa date. Ils ne sont visibles que de toi, et restent jusqu’à ce que tu les supprimes ou que tu supprimes ton compte.

Les messages que tu nous envoies par « Signaler un problème », avec ce qui les accompagne pour que nous puissions comprendre : l’écran où tu étais, la version de l’application, ton système et ton modèle d’appareil. Et les contestations que tu déposes sur une sortie, avec leur motif et notre réponse.

Des données techniques minimales : version de l’application, modèle d’appareil, et les erreurs rencontrées, pour pouvoir les corriger. Et l’état des autorisations que tu as données sur ton téléphone : localisation et sa précision, podomètre, accès aux pas, connexion à Apple Santé ou Health Connect. Oui ou non, rien de plus : cela nous sert à comprendre pourquoi une sortie ou des pas ne remontent pas, quand tu nous écris. Enfin, la date à laquelle tu as ouvert l’application pour la dernière fois, et celle de ta dernière visite dans chaque groupe et chaque partie : elles servent à ne pas te notifier de ce que tu viens de voir, à marquer ce qui est nouveau depuis ton dernier passage, à savoir si un compte est resté inactif trois ans, et à choisir à qui envoyer une annonce, comme dit plus haut. Seule la dernière date est gardée, pas un historique de tes visites. Quand tu te connectes, notre service de comptes note aussi l’adresse IP et le logiciel d’où vient la connexion : il les garde le temps de ta session de connexion, c’est-à-dire jusqu’à ce que tu te déconnectes ou qu’elle expire, et ils servent à la sécurité de ton compte.

Ton nom, ton prénom et ton adresse postale complète, UNIQUEMENT le jour où tu gagnes un lot à te faire livrer. Ils te sont alors demandés par e-mail, jamais avant, et ils ne servent qu’à l’expédition : aucun autre membre ne les voit, et l’application ne les affiche nulle part. Tant qu’aucun lot n’est mis en jeu, cette demande n’a lieu pour personne.

Ton nom complet et ton adresse postale, UNIQUEMENT si tu es parrain et que tes gains dépassent 2 400 € sur une même année civile. En dessous de ce seuil, nous ne les demandons pas et nous ne les avons pas. Au-delà, la loi nous impose de déclarer ces versements à l’administration fiscale avec l’identité du bénéficiaire : c’est une obligation légale, pas un choix de notre part, et le versement ne peut pas partir sans elle. Ces deux informations vivent dans une table séparée, que l’application ne relit jamais, et elles ne sont visibles d’aucun autre membre.

TA POSITION, ET QUAND ELLE EST LUE

C’est la donnée la plus sensible que l’application manipule, alors voici précisément ce qui se passe.

Sakalm demande l’autorisation de localisation « Lorsque l’app est active », et rien de plus. L’autorisation « Toujours » n’est pas demandée, parce que l’enregistrement d’une sortie n’en a pas besoin : quand tu lances une sortie, application ouverte, le système accorde à Sakalm de continuer à lire le GPS pendant que tu ranges le téléphone dans ta poche, que l’écran s’éteint ou que tu passes à une autre application. Le tracé ne s’arrête pas, et tes kilomètres ne sont pas perdus.

Cette autorisation ne veut pas dire « tout le temps ». Ta position est lue dans trois cas seulement, les deux premiers application ouverte à l’écran : quand tu affiches l’onglet GO, pour centrer la carte, poser les coffres du jour autour de toi et préparer les parcours proches ; quand tu ouvres une carte de territoire ou demandes un parcours ; et pendant une sortie lancée avec GO, jusqu’à STOP, écran éteint compris.

Dans les deux premiers cas, ta position part vers notre serveur le temps de choisir les coffres ou les boucles proches, et n’est pas enregistrée. Tout au plus, quand ton quartier n’a pas encore de coffres ou de boucles, le serveur note ce quartier, sans ton nom, pour les y préparer. Sont enregistrés les coffres posés pour toi ce jour-là : ceux que tu ne ramasses pas sont effacés au bout de deux jours, ceux que tu ramasses sont gardés douze mois avec l’heure du ramassage.

En dehors de ces moments, faute de l’autorisation « Toujours », iOS empêche Sakalm de lire ta position dès qu’elle quitte l’écran, sauf pendant une sortie lancée.

Pendant une sortie, iOS affiche en permanence un indicateur de localisation en haut de ton écran. Il est là pour toi : tant qu’il est allumé, l’application lit ta position ; quand il s’éteint, elle ne la lit plus.

Pendant une sortie, ton iPhone affiche aussi la sortie en cours sur l’écran verrouillé, et en haut de l’écran sur les modèles qui le permettent : le sport, la distance, le temps, l’allure et les coffres ramassés, avec de quoi la mettre en pause, la reprendre ou la terminer. Ces chiffres sont calculés par ton téléphone et affichés par lui : rien n’est envoyé à Apple pour cela, et l’affichage disparaît à la fin de la sortie. Sur Android, une notification fixe montre les mêmes chiffres le temps de la sortie. Tu peux couper cet affichage dans les réglages de ton téléphone, et l’enregistrement continue sans lui.

Le tracé enregistré reste privé par défaut. Personne dans ton groupe de la semaine ne le voit, jamais. Il ne sort que par deux chemins, et les deux demandent un geste de ta part : un groupe privé, où il faut à la fois ton autorisation dans ce groupe et l’amitié ; ton fil, où tu publies une sortie à la fois et décides pour chacune de montrer le parcours ou non. Une image que tu partages toi-même hors de l’application, coupée aux deux bouts, en est un troisième, aujourd’hui réservé à quelques comptes de test. Au-dessus de ces deux chemins, un interrupteur unique, dans Réglages puis « Mes tracés » : éteint, il les ferme tous les deux à la fois, sans avoir à y repenser groupe par groupe. Trois sections, plus bas, disent exactement comment : « Dans un groupe privé », « Sur ton fil » et « La coupe du tracé ».

Tu peux retirer cette autorisation à tout moment dans les réglages de ton téléphone. L’application continuera de fonctionner, mais elle ne pourra plus enregistrer de sortie.

POURQUOI

Faire fonctionner l’application et ton compte. C’est l’exécution du contrat qui nous lie : sans ces données, il n’y a pas de service.

Établir le classement hebdomadaire et vérifier que les sorties sont authentiques. C’est l’intérêt légitime d’une compétition : sans contrôle, elle n’a aucune valeur pour ceux qui jouent honnêtement.

Traiter ta fréquence cardiaque, uniquement sur ton consentement explicite, que tu peux retirer à tout moment sans avoir à te justifier.

CE QUE LA MACHINE DÉCIDE SEULE

Chaque sortie enregistrée passe par un contrôle automatique. Personne ne la regarde à ce moment-là : c’est un programme, et il décide seul.

Voici comment il travaille, parce que tu as le droit de le savoir. Il note chaque sortie de zéro à cent en cherchant six familles d’indices : la vitesse, l’accélération, la qualité du signal GPS, les sauts de position, la répétition de ces anomalies dans une même sortie, et la présence d’une position simulée. Toutes décrivent le déplacement d’un appareil ; aucune ne dit rien de ton corps. Plus la note est haute, plus la sortie ressemble à une mesure fabriquée plutôt qu’à un parcours réel.

Il y avait une septième famille jusqu’au 10 septembre 2026 : la cohérence avec le podomètre, c’est-à-dire ton nombre de pas comparé à la distance. Elle a été retirée du calcul. La loi interdit de fonder une décision entièrement automatique sur une donnée de santé, et ton nombre de pas en est une ici, parce qu’il est croisé ailleurs avec ta taille, ton poids et ton cardio. L’écart continue d’être relevé, mais il ne décide plus rien tout seul : c’est une personne qui le regarde.

En dessous de cinquante, la sortie passe. À partir de cinquante, elle est signalée et affichée « à vérifier ». À partir de soixante-dix, elle n’est pas retenue. Une position simulée détectée vaut cent à elle seule, donc un refus immédiat.

Une sortie non retenue reste dans ton historique et tu la vois toujours, mais elle ne rapporte ni Goldies ni place au classement. C’est aussi le cas d’une sortie trop courte pour être mesurée : elle reste dans ton historique, mais elle ne compte pas.

Avant même ce contrôle, le serveur vérifie qu’une sortie peut être enregistrée. Il la refuse à l’envoi quand l’heure du téléphone n’est pas cohérente, quand elle en chevauche une autre déjà enregistrée, quand son tracé déborde de sa durée, ou quand sa durée sort des limites. Une sortie refusée ainsi ne rejoint pas ton historique, et l’application te dit qu’elle n’a pas pu être enregistrée.

Ces décisions automatiques ne portent que sur une sortie, et elles ne ferment jamais un compte : une suspension est toujours décidée par une personne.

Ce contrôle décide au lieu de se contenter d’observer, parce que le classement rapporte des Dossards et des coffres, et qu’un lot réel sera en jeu au lancement. Une sortie fabriquée avec soin ferait alors livrer un colis chez quelqu’un qui n’a pas couru.

Tu peux contester une décision de ce contrôle et demander qu’une personne regarde ta sortie : écris à hello@sakalm.com avec la date de la sortie. Nous répondons sous 72 heures ouvrées, et au plus tard sous un mois, qui est le délai que la loi nous accorde.

CE QUE LES AUTRES VOIENT DE TOI

Il y a trois cercles autour de toi, et ils ne montrent pas les mêmes choses.

PREMIER CERCLE, TOUS LES MEMBRES. Ton pseudo et ta photo de profil sont visibles de n’importe quel membre qui te cherche. C’est ainsi qu’on ajoute un ami, en tapant les premières lettres d’un pseudo, et il n’y a pas d’autre chemin : quelqu’un qui tape les tiennes te trouve donc, avec ta photo, sans être ton ami et sans que tu le saches. Rien d’autre ne lui est montré : ni tes sorties, ni tes chiffres, ni ton tracé.

DEUXIÈME CERCLE, TON GROUPE DE LA SEMAINE, en Challenge comme en Challenge +. Dix personnes que tu n’as pas choisies, six pendant tes deux premières semaines, réunies parce que leur niveau est proche du tien, et que tu ne connais pas. Elles voient ton pseudo, ta photo de profil et son cadre, ton titre, ton sport préféré, la pastille Premium si tu es abonné, ton total de kilomètres, ton rang, ton niveau déclaré, tes jours actifs, ta série, et le nombre d’encouragements que tu as reçus dans la semaine. Rien de plus : jamais ton tracé, jamais le lieu, jamais l’heure de tes sorties. Ce n’est pas un oubli, c’est une décision : savoir quand quelqu’un court revient à savoir quand son logement est vide.

TROISIÈME CERCLE, TES AMIS ET TES GROUPES PRIVÉS. Un ami est quelqu’un que tu es allé chercher par son pseudo et que tu as ajouté toi-même, ou dont tu as accepté la demande. C’est le seul cercle où ton tracé peut apparaître, et jamais sans que tu l’aies décidé. Un point à connaître : dans un groupe privé, les autres membres ne sont pas forcément tes amis. Un groupe se remplit avec les amis de celui qui l’a créé, et rien n’oblige les invités à se connaître entre eux. Un club, lui, se rejoint sur ta demande, validée par un coach de ta catégorie (ou par l’admin du club si elle n’a pas encore de coach), et rien de tes sorties n’y va sans un interrupteur que tu allumes toi-même. Les sections qui suivent disent exactement ce que chacun voit.

Ta photo de profil est donc visible de tes amis, des membres de tes groupes privés, amis ou non, des personnes de ton groupe de la semaine, et de qui te cherche par ton pseudo. C’est le seul but d’une photo de profil, elle est facultative, et tu peux la retirer quand tu veux.

DANS UN GROUPE PRIVÉ

Un groupe privé se remplit à la main, avec les amis de celui qui l’a créé. Seul un ami peut donc t’y ajouter, et il ne le peut que parce que tu as accepté son amitié. Un groupe joué en deux équipes suit la même règle : les deux équipes sont dans le même groupe et lisent le même classement.

Une seule exception est prévue, et tu la choisiras toi-même : le matchmaking aléatoire, réservé aux abonnés. IL N’EST PAS ENCORE OUVERT : aujourd’hui, personne ne peut le demander, et aucun groupe ne se forme de cette façon. Voici ce qu’il fera quand il ouvrira. Si tu le demandes, seul, cinq personnes de ton niveau que tu ne connais pas complètent un groupe de six pour sept jours ; en équipe de deux à cinq amis, votre équipe affronte une équipe de même taille et de même niveau. Le niveau, c’est ce que tu parcours chaque semaine. Pendant la recherche, les autres personnes qui cherchent la même chose voient ton pseudo et ta photo de profil, et depuis combien de temps tu cherches. Dans un groupe de six, les autres voient de tes sorties ce qu’un membre qui n’est pas ton ami voit : le sport, la distance, la durée, le dénivelé et le jour, jamais le tracé ni les photos. Dans un match, l’équipe d’en face voit ton pseudo, la distance, la durée et le rythme de chaque sortie, et rien d’autre, même si vous êtes amis. Il n’y a pas de messagerie dans un groupe de six ni entre deux équipes, seulement les réactions sous les sorties ; une équipe d’amis garde la discussion de son propre groupe tant qu’elle cherche. Rien à gagner que des titres.

Quand tu rejoins un groupe privé, tes sorties du sport de ce groupe y apparaissent automatiquement, dans le classement et dans le fil du groupe. Les membres voient ta photo de profil, le sport, la distance, la durée, le dénivelé et le jour. Si tu as publié la sortie sur ton fil avec des photos ou une légende, elles restent réservées à tes amis : un membre qui n’est pas ton ami ne les voit pas. Jamais l’heure, et jamais ton nom, ton prénom, ton âge, ta taille, ton poids, ta ville ni ton adresse e-mail.

C’est le sens même d’un challenge entre amis : on ne peut pas se mesurer à quelqu’un dont on ne voit pas les sorties. Tu peux quitter un groupe à tout moment, et tes sorties cessent aussitôt d’y apparaître. Tu peux aussi retirer quelqu’un de tes amis, ou le bloquer, depuis l’onglet Amis.

Une sortie d’un AUTRE sport que celui du groupe n’y va jamais toute seule. Tu peux l’y mettre à la main si tu veux, depuis le détail de la sortie. Tes journées de pas suivent la même règle dans les groupes qui se jouent aux pas.

LE TRACÉ, LUI, NE PART JAMAIS TOUT SEUL. Il faut deux conditions pour qu’un membre puisse ouvrir la carte d’une de tes sorties : que tu l’aies autorisé dans ce groupe précis, avec l’interrupteur en haut de son écran, et que vous soyez amis. Les deux, pas l’une des deux. Un membre qui n’est pas ton ami ne l’ouvrira donc jamais, même dans un groupe où tu as dit oui.

Et même alors, il arrive selon la règle décrite plus bas : coupé de ses deux bouts, ou entier si c’est ce que tu as choisi dans « Mes tracés ».

DANS UN GROUPE DE CLUB

Un groupe de club est un groupe d’un genre à part, tenu par un coach. Un coach est une personne dont le compte a été activé par nous, à la demande d’un club, d’une association sportive, d’une commune ou d’un établissement scolaire avec qui nous avons signé. Une entreprise ne peut pas en avoir : ce n’est pas prévu, et la base de données le refuse.

Le compte du coach est créé par nous, ou par l’admin du club (voir plus bas) : le club donne son prénom, son nom, son adresse e-mail et la ou les catégories qu’il suivra, et une invitation lui est envoyée pour choisir son mot de passe. Nous pouvons aussi créer son compte directement avec un mot de passe que nous lui transmettons. Il remplit ensuite une fiche courte, où son prénom et son nom sont déjà ceux que le club a donnés, en y ajoutant un pseudo, et accepte ces textes. On ne lui demande pas sa date de naissance. On ne lui demande ni sa taille, ni son poids, ni ses habitudes sportives, et son compte n’a que l’espace coach : pas de challenge, pas de fil d’amis. Une invitation qui n’est jamais ouverte est effacée au bout de trente jours, avec l’adresse qu’elle contenait.

Un club peut aussi avoir un admin : une personne du club, qui est aussi notre contact au club, dont nous créons le compte à la demande du club, avec son prénom, son nom, son adresse e-mail et un mot de passe que nous lui transmettons ; son pseudo de départ est « Admin_ » suivi du nom du club, et il remplit à sa première connexion dans l’application la même fiche courte que le coach (prénom, nom, pseudo) et accepte ces textes. L’admin organise le club et ne voit jamais une sortie, ni distance, ni temps, ni horaire. Il coche les catégories du club dans une liste que nous tenons (par exemple U17, U18, U20, Seniors, jamais en dessous de seize ans) et peut en créer d’autres pour son club, met un ou plusieurs coachs dans chaque catégorie, crée lui-même les comptes de ses coachs, peut changer un membre de catégorie (le membre quitte alors les groupes de son ancienne catégorie, et il en est prévenu) ou le retirer du club, voit la liste des membres du club (pseudo, prénom, nom et catégorie), le code et le lien du club, le nombre d’arrivées par semaine et ce que le parrainage du club lui a rapporté, et sur chaque coach : ses groupes (nom et nombre de membres), les consignes qu’il a envoyées, jamais qui les a faites, et le nombre de demandes qu’il a validées. L’admin et le coach travaillent depuis l’application ou depuis un site web, admin.sakalm.com pour l’admin et coach.sakalm.com pour le coach, avec les mêmes comptes et les mêmes règles : le site ne montre rien de plus que l’application.

Tu n’entres jamais dans un club sans l’avoir demandé toi-même. Il n’existe ni lien ni code pour y entrer. Depuis « Mon club », tu cherches ton club par son nom, tu choisis ta catégorie si le club en a, et tu demandes à le rejoindre. Le ou les coachs de ta catégorie reçoivent alors ton pseudo, ton prénom et ton nom, pour te reconnaître parmi leurs licenciés, et rien d’autre. L’un d’eux accepte ou refuse. Si ta catégorie n’a pas encore de coach, c’est l’admin du club qui valide. Ton prénom et ton nom vont aux coachs de ta catégorie et à l’admin du club, et à aucun autre membre du club.

Être membre du club ne montre rien de tes sorties, à personne. Ce que ton coach voit dépend d’un interrupteur, « Mon coach voit mes chiffres », dans « Mon club ». Il est éteint tant que tu ne l’as pas allumé, et l’écran qui le porte dit ce que le coach verra et ne verra pas. L’allumer est daté, et c’est ce geste qui vaut accord. Allumé, il vaut pour tout le club : le coach te place dans le ou les groupes du club qu’il choisit, et tes sorties du sport du club y arrivent comme dans un groupe privé.

Ce que ton coach voit, interrupteur allumé, à partir du jour où tu l’as allumé et pour le sport du club seulement : le jour, la distance, la durée, l’allure, le dénivelé de chaque sortie, ton total de la semaine, ton objectif de la semaine s’il t’en a donné un, ta progression semaine par semaine, la date de ta dernière sortie, et si une séance qu’il avait demandée a été faite. Il retrouve ces chiffres dans un bilan chaque lundi et peut les exporter. Un groupe peut avoir plusieurs coachs, tous du même club, qui voient la même chose. Les autres membres du groupe du club voient le jour, le sport, la distance, la durée, l’allure et le dénivelé de tes sorties, sans photo, sans légende et sans tracé, ton total de la semaine si le coach a allumé le classement, et, pour chaque consigne, combien de membres l’ont faite, sans dire qui.

Ce que ton coach ne voit jamais : l’heure de tes sorties, ton tracé, le lieu, ta fréquence cardiaque et tout ce qui vient d’un capteur de santé, ton poids, ta taille, ton âge, ton adresse e-mail. Ni les sorties d’avant l’interrupteur, ni celles d’un autre sport.

Le coach peut t’écrire des consignes, par exemple « jeudi, 10 km en endurance », qui te sont envoyées par notification. Une consigne est un texte qu’il écrit : ce n’est pas un avis médical, et rien dans l’application n’ajuste tes séances à partir de ta santé.

Le coach peut aussi poser une question à un groupe, par exemple « Présent à l’entraînement ce soir ? ». Y répondre n’est jamais obligatoire, et ne dépend pas de l’interrupteur. Le coach voit la réponse de chaque membre avec son pseudo, et qui n’a pas répondu. Les autres membres du groupe ne voient que le nombre de réponses de chaque sorte, sans dire qui, et l’admin du club ne voit ni les questions ni les réponses. Les réponses sont effacées au bout de trente jours.

Tu éteins l’interrupteur quand tu veux : le coach ne voit plus rien de toi à l’instant même, y compris tes sorties passées, et tu restes membre du club. Tu peux aussi quitter le club, d’un geste, depuis « Mon club », et un coach de ta catégorie ou l’admin du club peut te retirer. Le club, lui, ne reçoit de nous aucun chiffre : son admin voit la liste de ses membres, jamais leurs sorties, et ni l’admin ni le coach n’ont accès à nos outils internes.

La base légale de ce partage est ton consentement (article 6.1.a du règlement européen). Le retirer, c’est éteindre l’interrupteur.

DANS UNE ENTREPRISE

CET ESPACE N’EST PAS ENCORE OUVERT. Ce passage décrit ce qui s’appliquera le jour où il ouvrira.

Une entreprise qui a signé avec nous peut avoir un référent : une personne de l’entreprise dont nous avons activé le compte pour cela. Un référent n’est pas un coach, et une entreprise ne peut pas avoir de coach : la base de données le refuse. Le référent ne voit jamais une sortie, une distance, une allure, un horaire, un lieu ni un tracé, ni de toi, ni de personne.

Tu entres dans ton entreprise comme dans un club : depuis « Mon entreprise », tu la cherches par son nom et tu demandes. Le référent reçoit ton pseudo, ton prénom et ton nom, pour te reconnaître, et il accepte ou il refuse. Il sait donc que tu es membre, parce que tu le lui as demandé. C’est tout ce qu’il sait : être membre ne montre rien de ton usage de l’application, ni si tu l’ouvres, ni si tu cours, ni quand.

Ce que le référent voit, c’est la section suivante qui le dit : des totaux, dans les défis où tu as choisi d’être, et jamais toi. Tu peux quitter ton entreprise d’un geste, depuis « Mon entreprise », et le référent peut te retirer. Si ton employeur t’a offert un abonnement, ce rattachement-là est autre chose : il ne fait pas de toi un membre, et il ne lui montre rien.

LES DÉFIS ENTRE CLUBS ET ENTRE ENTREPRISES

Les défis entre entreprises ne sont pas encore ouverts, pas plus que l’espace entreprise : ce qui en est dit ici, référent compris, s’appliquera le jour où il ouvrira.

Chaque semaine, du lundi au dimanche, un club peut être opposé à un autre club, et une entreprise à une autre entreprise, sur le sport de l’organisation. On compte en kilomètres par participant, pas en total brut, pour qu’un petit club puisse battre un gros.

Tu n’y es jamais d’office. Dans « Mon club » ou « Mon entreprise », chaque défi a son interrupteur, éteint tant que tu ne l’as pas allumé, et il ne vaut que pour cette semaine-là : la semaine suivante, la question se pose à nouveau. L’écran dit ce qui est partagé avant que tu allumes.

Ce qui est partagé quand tu participes : tes kilomètres validés à partir du moment où tu allumes l’interrupteur et jusqu’à ce que tu l’éteignes, dans le sport du défi, additionnés à ceux des autres participants. Ce que voient le coach ou le référent, l’organisation adverse et ses participants : un total, une moyenne par participant, un nombre de participants, un score par jour. Jamais ton nom, jamais une sortie, jamais ta part à toi. Un défi ne se joue pas en dessous de cinq participants pour un club et de dix pour une entreprise : en dessous, un total en dirait trop sur chacun.

Éteindre l’interrupteur arrête tout, et « Ne rien partager », au bas de la même page, te sort de tous les défis à l’instant : plus rien de toi n’est compté. Ce qui l’a déjà été reste dans les totaux, sans ton nom. Le retirer ferait bouger le total exactement de ta part, et quelqu’un qui l’aurait noté avant et après la lirait. Personne n’en est prévenu, ni le coach, ni le référent, ni ton employeur. Hors d’un défi où tu es, rien n’est compté.

La base légale est ton consentement (article 6.1.a), donné défi par défi. Le retirer, c’est éteindre l’interrupteur.

DANS UNE PARTIE DE TERRITOIRE

La Prise de territoire se joue à part, entre les membres d’un groupe privé. Là, les autres joueurs voient les zones que tu tiens, avec ta couleur, et la surface que tu as prise ou perdue depuis leur dernier passage.

Ils ne voient ni ton tracé, ni tes horaires, ni par où tu es passé pour refermer une boucle. Quand quelqu’un te prend du terrain, tu es prévenu, et la carte ne te montre que ce qui était à toi et ne l’est plus : jamais le parcours de celui qui te l’a pris.

Une partie ne réunit que des personnes que tu as acceptées en ami ou dont tu as rejoint le groupe, et chacune y apparaît sous son pseudo, ou sous le nom de son équipe. Il n’y a pas de joueur anonyme, et personne ne peut te chercher par ton pseudo pour regarder tes zones.

SUR TON FIL

À côté des groupes, il y a le fil de tes amis. Rien n’y arrive tout seul : une publication part d’une sortie terminée, au moment où tu appuies toi-même sur Publier. Tant que tu ne le fais pas, aucune de tes sorties n’y figure.

Au moment de publier, tu décides de ce qui part avec : une légende si tu en écris une, jusqu’à six photos si tu en joins, l’annonce de ta distance ou de ton territoire, et ce que tu montres du parcours. Chaque photo est nettoyée avant l’envoi : ses données de prise de vue, dont le lieu et l’heure, sont retirées. Comme dans un groupe, c’est le jour qui s’affiche, jamais l’heure.

Le parcours a trois réponses possibles, et la question se pose à CHAQUE publication, jamais une fois pour toutes. Tu peux ne pas le montrer. Tu peux le montrer coupé. Tu peux le montrer entier, et dans ce cas rien n’est retiré : ton point de départ et ton point d’arrivée sont visibles de ceux qui voient la publication. Ce choix-là ne vaut que pour cette sortie ; le choix général, lui, se pose dans « Mes tracés ».

Une publication est visible de tes amis, et d’eux seuls : il faut l’amitié, et l’absence de blocage entre vous. Tu la vois toi-même exactement comme eux la voient, coupe comprise : ce que tu crois montrer doit être ce qui est montré.

Tu peux retirer une publication à tout moment. Elle quitte alors le fil, et les photos qui l’accompagnaient sont supprimées.

LA COUPE DU TRACÉ

Une seule règle, la même partout. Une longueur est retirée au départ et à l’arrivée de tout parcours qui part : ce n’est pas le trajet qui révèle une adresse, ce sont ses deux bouts.

Elle vaut cent mètres par défaut, et se règle dans Réglages puis « Mes tracés » : cent, cent cinquante ou deux cents mètres. Le même endroit porte le quatrième choix, « Tracé complet », qui ne retire rien : tes points de départ et d’arrivée sont alors visibles de ceux qui voient tes parcours. Ton choix vaut aussitôt pour tout, y compris pour ce que tu as déjà partagé.

En dessous de trois fois cette longueur, aucun tracé n’est montré du tout : il ne resterait rien après avoir retiré les deux bouts.

Pour ce que voient les autres, la coupe est faite par le serveur, jamais par leur téléphone : un découpage calculé sur leur appareil supposerait de lui avoir envoyé ton tracé entier, donc de l’avoir déjà divulgué. Seule exception, l’image d’une de tes sorties que tu partages toi-même hors de l’application (un partage aujourd’hui réservé à quelques comptes de test) : ton téléphone, qui a déjà ton tracé, le coupe aux deux bouts de la même façon avant de dessiner l’image, et rien ne part tant que tu ne l’as pas envoyée.

Un tracé ne part donc sans coupe que si tu l’as demandé, et de deux façons qui se voient : « Tracé complet » dans « Mes tracés », qui vaut pour tout, ou le tracé entier choisi publication par publication sur ton fil, qui ne vaut que pour celle-là. Jamais par défaut.

DEUX ENDROITS OÙ L’ON S’ADRESSE LA PAROLE

Sakalm n’a pas de messagerie. Personne ne peut t’envoyer un message privé, il n’existe aucune boîte de réception, et personne ne peut t’écrire en tête à tête. Le texte qui va d’une personne à une autre passe par deux endroits, et dans les deux il est lu par tous ceux qui sont là. Un troisième chemin existe dans un groupe de club seulement : les consignes du coach, décrites plus haut, un texte que seul le coach écrit, pour tout le groupe, et que chaque membre reçoit par notification.

LA DISCUSSION D’UN GROUPE PRIVÉ OU D’UN GROUPE DE CLUB. Elle n’existe pas ailleurs, et en particulier pas dans ton groupe de la semaine, qui est formé par appariement. Elle n’est ouverte qu’aux membres du groupe : dans un groupe privé, les amis de celui qui l’a créé, qui ont accepté son invitation ; dans un groupe de club, le ou les coachs du groupe et les membres du club qu’ils y ont placés, qui ne sont pas forcément tes amis. Tu quittes le groupe quand tu veux, et tu cesses alors de la lire comme d’y écrire.

On y écrit du texte, cinq cents caractères au plus, ou on y laisse un message vocal : on touche le micro une fois pour parler et une fois pour envoyer, et le message part tout seul au bout de dix secondes. Vingt messages par minute au plus. Chaque message prévient les autres membres par une seule notification par groupe : elle sonne au premier message, puis se met à jour en silence avec le dernier, tant que tu n’as pas ouvert la discussion. Un « @ » suivi d’un pseudo appelle un membre DE CE GROUPE et personne d’autre : on ne se fait pas appeler depuis un groupe où l’on n’est pas. Tu reçois au plus une notification d’appel par heure et par groupe, que ton pseudo y soit écrit une fois ou quarante.

Le filtre qui refuse certains mots lit le texte, il ne peut pas écouter un message vocal. Si un message vocal te paraît déplacé, bloque son auteur, ou écris-nous depuis l’application.

CES MESSAGES NE VIVENT QUE VINGT-QUATRE HEURES. Passé ce délai ils sont effacés pour de bon, sans démarche de ta part, et les appels par pseudo partent avec eux. Une discussion de groupe sert à se dire quelque chose maintenant, pas à constituer des archives. Tu peux aussi retirer un de tes messages avant ce terme : il cesse aussitôt d’être affiché.

LES COMMENTAIRES SOUS UNE SORTIE PUBLIÉE, ouverts le 24 septembre 2026. Sur ton fil, un ami peut écrire sous une sortie que tu as publiée, cinq cents caractères au plus, ou y laisser un commentaire vocal de dix secondes au plus. Le filtre de mots ne lit que le texte : un commentaire vocal déplacé se signale ou se retire, comme les autres. Un seul commentaire par personne et par sortie : on modifie le sien, on ne l’empile pas. Il est lu par exactement ceux qui voient la sortie, c’est-à-dire toi et tes amis, et par personne d’autre. Il reste tant que la sortie reste, et il part avec elle.

CHEZ TOI, C’EST TOI QUI DÉCIDES. Tu retires n’importe quel commentaire écrit sous une de tes sorties, tout de suite, sans motif à donner ni délai à attendre, et celui qui se fait retirer ainsi ne peut pas en écrire un second. Le tien, tu le retires où qu’il soit.

En dehors de ces deux endroits, deux gestes seulement vont d’une personne à une autre, et aucun des deux ne porte de texte. Les quatre réactions (bravo, feu, force, waouh) qu’un membre peut poser sur une de tes sorties partagées. Et l’encouragement du challenge, qu’une personne de ton groupe de la semaine peut t’envoyer une fois par semaine : tu reçois alors une notification qui porte son pseudo, et rien d’autre.

Le serveur refuse tout le reste.

CE QUI S’ÉCRIT SUR TON FIL SE SIGNALE. Une publication, un commentaire : le signalement le retire aussitôt de ta vue, avant même que nous l’ayons lu, et nous tranchons sous vingt-quatre heures. Tu peux aussi bloquer quelqu’un, ce qui vous rend invisibles l’un à l’autre.

ET TOUT TEXTE ADRESSÉ À QUELQU’UN PASSE UN FILTRE AVANT D’ÊTRE PUBLIÉ. Un commentaire, un message de groupe, une légende : le serveur y cherche une liste de mots, et refuse le texte entier plutôt que d’en publier une partie. Les insultes légères passent, c’est voulu ; ce qui vise une personne pour ce qu’elle est ne passe pas. Quand un texte est refusé, nous gardons la date, le mot trouvé et les cent premiers caractères pendant douze mois, pour voir si quelqu’un recommence ; ils s’effacent ensuite d’eux-mêmes. Rien n’est décidé automatiquement à partir de ce compte : un bannissement se prononce par une personne.

Le seul autre texte libre qui circule est celui que tu écris sur tes propres affaires : ton pseudo, le nom d’un groupe que tu crées, et la légende de tes publications. Rien de tout cela ne s’adresse à quelqu’un en particulier.

QUI D’AUTRE Y A ACCÈS

Personne en dehors de Sakalm, hormis les prestataires et les destinataires cités plus bas dans cette section, chacun pour ce qui le concerne et rien de plus. Tes données ne sont ni vendues, ni louées, ni transmises à des annonceurs. Il n’y a aucune publicité dans l’application.

CHEZ SAKALM, EN REVANCHE, DES PERSONNES PEUVENT LES LIRE, et il faut le dire clairement. Nous avons un outil interne, sur une adresse séparée, où une poignée de personnes nommées répondent aux questions, vérifient une sortie contestée, posent un abonnement qui n’est pas arrivé ou suivent un client qui a acheté des licences pour ses salariés.

Ce qu’elles y voient dépend de ce qu’elles ont à y faire, et de rien d’autre : chacune a un rôle qui ouvre certaines pages et en ferme d’autres. Les adresses e-mail y sont masquées pour qui n’a pas à les lire. Personne n’y écrit dans les tables : chaque geste passe par une porte qui vérifie le droit avant d’agir.

TOUT CE QUI S’Y FAIT EST INSCRIT, y compris le simple fait d’ouvrir ta fiche : qui, quoi, quand. Ce registre ne se modifie pas et ne s’efface pas avant deux ans, même par nous. C’est ce qui permet de répondre à la question « qui a regardé mon compte, et quand » plutôt que d’y croire sur parole.

Ces personnes peuvent aussi écrire une note interne sur ton compte, par exemple pour qu’une réclamation en cours ne soit pas reprise de zéro par quelqu’un d’autre. CES NOTES TE SONT DUES : elles partent dans « Exporter mes données », avec leur date, comme le reste. Le nom de la personne de l’équipe qui les a écrites n’y figure pas ; écris-nous si tu veux le savoir, la question se traite au cas par cas.

Deux prestataires techniques les hébergent pour notre compte, sans droit de les utiliser : Supabase Inc. (970 Toa Payoh North, Singapour) et Amazon Web Services, région Europe.

Le jour où tu gagnes un lot à te faire livrer, ton nom et ton adresse sont transmis au transporteur chargé de l’envoi, pour cet envoi et rien d’autre. Sans cela, le colis ne peut pas partir.

Les notifications que tu reçois passent par le service d’envoi d’Expo (650 Industries, Inc., États-Unis). Il reçoit l’identifiant de ton téléphone et le texte du message, le temps de le remettre à Apple ou à Google. C’est le chemin obligé d’une notification : aucune n’arrive sans passer par là. Si tu les refuses, rien de tout cela n’a lieu.

À chaque lancement, l’application demande au service de mises à jour d’Expo (650 Industries, Inc., États-Unis) s’il existe une nouvelle version de son code. Cette demande porte l’adresse IP de ton téléphone, son système, la version de l’application et un identifiant tiré au hasard à l’installation, qui ne désigne que cette installation. Elle ne porte ni ton compte, ni ta position, ni rien de ce que tu fais dans l’application.

Les cartes affichées dans l’application sont fournies par Apple Plans sur iPhone, et par Google Maps sur Android (Google LLC, États-Unis). Pour dessiner une carte, ton téléphone leur demande les morceaux de la zone affichée : ils reçoivent donc l’adresse IP de ton téléphone et la zone que tu regardes, mais ni ton compte ni ton tracé, que l’application dessine elle-même par-dessus. Sur Android, la brique de Google qui dessine la carte peut aussi lui envoyer ses propres données techniques, selon les règles de confidentialité de Google.

Les courriels que nous t’envoyons passent par Resend (Resend, Inc., États-Unis) : le lien pour confirmer ton adresse ou changer ton mot de passe, et les rares messages sur ton compte, comme l’avis de sa suppression ou d’un changement dans ton parrainage. Il reçoit ton adresse e-mail et le contenu du courriel, pour le remettre à ta messagerie. Sans lui, aucun courriel ne peut t’atteindre.

Le site sakalm.com et l’outil interne de l’équipe sont hébergés par Cloudflare (Cloudflare, Inc., États-Unis). Quand tu visites le site, Cloudflare reçoit l’adresse IP de ton appareil et la page demandée, le temps de te la servir. Quand une personne de l’équipe ouvre ta fiche dans l’outil interne, ce qu’elle lit passe par les serveurs de Cloudflare pour arriver jusqu’à son écran. Cloudflare n’a pas le droit d’utiliser ces données pour lui-même.

Les coffres se posent sur de vrais chemins piétons, et notre serveur va chercher la carte de ces chemins chez Overpass, un service public d’OpenStreetMap hébergé en Allemagne. Ce qui part est un rectangle de carte d’environ cinq kilomètres sur quatre, sans identifiant, sans compte et sans position précise : Overpass ne peut pas savoir qui a ouvert la carte. C’est notre serveur qui demande, jamais ton téléphone, et une seule fois par zone.

LES PARCOURS PROPOSÉS SONT DESSINÉS SUR LA CARTE, PAS SUR TES SORTIES. Quand tu demandes un parcours, l’application te propose une boucle fabriquée à l’avance sur les chemins d’OpenStreetMap, jamais le tracé de quelqu’un d’autre. Tes sorties y contribuent de deux façons, toutes deux en nombre et sans identifiant. Elles disent dans quels quartiers préparer des boucles, sur une grille d’environ cinq cents mètres qui ne garde ni le point de départ ni le point d’arrivée de personne. Et elles comptent, chemin par chemin, combien de comptes différents y sont passés : ce compte n’existe qu’à partir de trois comptes, il ne dit ni qui ni quand, et il rend un chemin un peu plus probable dans les boucles proposées. Une sortie n’entre dans ce compte que si le contrôle automatique l’a validée et si ton interrupteur « Mes tracés » est allumé : l’éteindre t’en retire, sorties passées comprises, au recomptage suivant, et c’est aussi ta façon de t’y opposer. Ce traitement repose sur notre intérêt légitime à proposer des parcours utiles là où l’on court vraiment.

LE DÉNIVELÉ AFFICHÉ SUR UN PARCOURS PROPOSÉ VIENT DE L’IGN. Notre serveur interroge le service d’altitude de l’Institut géographique national avec les coordonnées de la boucle elle-même, jamais les tiennes : cette question se pose une fois par boucle proposée, pas une fois par personne qui la suit, et rien ne relie cette requête à ton compte.

SI TON ABONNEMENT EST PAYÉ PAR QUELQU’UN D’AUTRE

Une entreprise, un club ou une association peut acheter des licences Sakalm pour ses membres. Si c’est ton cas, il y a des choses que tu dois savoir, et nous te les envoyons aussi par notification le jour où le rattachement est fait.

C’est cette organisation qui nous a donné ton adresse, pas toi. Nous n’avons d’elle que ce qu’il faut pour appliquer la licence : le lien entre ton compte et elle, et la date. Rien de plus.

ELLE NE VOIT RIEN DE CE QUE TU FAIS ICI. Ni tes sorties, ni tes distances, ni tes lieux, ni tes horaires, ni ton classement, ni même si tu ouvres l’application. Aucun espace, ni dans l’application ni ailleurs, ne lui montre ton usage, et ce n’est pas une question de réglage : il n’y a rien à régler, cet accès n’existe pas.

Tu peux refuser ce rattachement. Écris-nous et nous le retirons. La seule conséquence est que tu perds l’abonnement qu’elle payait pour toi ; ton compte, tes sorties et tout le reste ne bougent pas.

Ce rattachement figure dans « Exporter mes données », avec le nom de l’organisation et la date.

OÙ VONT CES DONNÉES

Elles sont hébergées en Europe. Cinq choses en sortent : le siège de Supabase est à Singapour, et ses équipes techniques peuvent accéder à l’infrastructure pour la maintenir ; les services d’Expo, pour les notifications et les mises à jour de l’application, sont aux États-Unis ; celui des courriels aussi ; Cloudflare, qui héberge le site et l’outil interne de l’équipe, est américain lui aussi ; et les cartes viennent d’Apple et de Google, deux sociétés américaines. Les transferts vers Supabase, Expo, Resend et Cloudflare sont encadrés par les clauses contractuelles types de la Commission européenne, que ces quatre prestataires intègrent à leurs conditions. Apple et Google servent leurs cartes selon leurs propres règles de confidentialité, et ne reçoivent que ce qui est dit plus haut.

Une seule exception, et elle est imposée par la loi : le nom et l’adresse d’un parrain ayant dépassé 2 400 € dans l’année sont transmis à l’administration fiscale française, une fois par an, avec le montant versé. En dehors de ce que dit cette page, dont ton adresse remise au transporteur d’un lot, rien d’autre te concernant n’est transmis, à personne.

COMBIEN DE TEMPS

Tes sorties et ton compte sont conservés tant que le compte existe. Si tu le supprimes, l’effacement est immédiat : tes tracés, tes sorties, tes inscriptions, ton profil et ton compte d’accès partent à la seconde où tu confirmes, et toutes tes sessions ouvertes se ferment. Aucune copie de sauvegarde ne survit au-delà de trente jours.

Tes photos sont effacées par l’application au moment de la suppression. Si l’une d’elles résistait, parce que le réseau a coupé au mauvais moment, une tâche automatique passe chaque nuit et retire les fichiers qui n’appartiennent plus à personne. Aucune photo ne reste rattachable à toi.

Les pièces liées au parrainage font exception, et la loi l’impose aussi : les gains versés, leur date et l’identité fiscale du parrain sont conservés six ans, même après la suppression du compte, parce que ce sont des pièces comptables.

Quelques traces restent aussi un temps, sans plus être rattachées à un compte : le registre des accès de l’équipe, qui garde deux ans qui a ouvert ta fiche et quand ; les rapports d’erreur, détachés de ton compte et effacés au bout de trois mois comme les autres ; un courriel qui t’aurait été envoyé, avec ton adresse, gardé quatre-vingt-dix jours après l’envoi (un an s’il n’a pas pu partir) ; la trace d’un abonnement ou d’un achat payé (formule ou objet, dates, montant et référence du paiement), gardée dix ans pour nos obligations comptables ; et le motif de ton départ si tu en donnes un, gardé sans rien qui te désigne.

L’adresse que tu donnes pour recevoir un lot est conservée quatre-vingt-dix jours après l’envoi, le temps qu’un colis perdu, un retour ou une réclamation se règle. Passé ce délai, elle est effacée. Tu peux aussi en demander l’effacement avant ce terme, dès que le lot est arrivé, en écrivant à hello@sakalm.com.

Le tracé GPS d’une sortie, c’est-à-dire la suite de tes positions, est conservé douze mois. Passé ce délai il est effacé automatiquement, et la sortie reste : sa distance, sa durée, son allure, ses temps au kilomètre et sa place dans les classements ne bougent pas. C’est la carte qui disparaît, pas le souvenir. Douze mois parce que c’est le temps qu’il faut pour comparer une sortie à celle de l’an dernier, et parce qu’une position est la donnée la plus sensible que cette application manipule.

PASSÉ TROIS MOIS, TON TRACÉ PERD SES DEUX BOUTS, EN BASE AUSSI. La longueur que tu as choisie dans Réglages est retirée au départ et à l’arrivée, et jamais moins de cent mètres : « Tracé complet » dit ce que tu montres, pas ce que nous gardons. Ce n’est pas le trajet qui révèle une adresse, ce sont ses deux extrémités, et rien ne justifie de les garder un an quand elles ne servent plus à rien après un trimestre. Ta carte reste, elle commence et finit un peu plus loin. Tes temps au kilomètre, eux, ne bougent pas : ils sont mis de côté avant la coupe, tels qu’ils étaient.

Une sortie trop courte pour supporter cette coupe, moins de trois fois la longueur choisie, n’est faite que de ses deux bouts. Son tracé part en entier au bout de trois mois, et la sortie reste avec sa distance et sa durée.

LA NOTE DU CONTRÔLE S’EFFACE EN MÊME TEMPS. Au bout de douze mois, la note donnée à une sortie par le contrôle automatique, les signaux qui l’ont faite et l’indice de fiabilité disparaissent avec le tracé. C’est volontaire : cette note est une accusation, et le tracé en est la preuve. La garder après avoir effacé de quoi la vérifier reviendrait à laisser un jugement que plus personne, ni toi ni nous, ne pourrait contrôler. Ce qui reste, c’est l’état de la sortie ce jour-là, retenue ou non, parce que le réécrire après coup falsifierait ton historique.

Les messages d’une discussion de groupe, écrits ou vocaux, sont effacés vingt-quatre heures après avoir été envoyés, et les appels par pseudo partent avec eux. Le fichier d’un message vocal est effacé du stockage au plus tard une heure plus tard. C’est le délai le plus court de cette page, et c’est voulu : une discussion de groupe sert à se dire quelque chose maintenant. Aucune copie n’en est gardée ailleurs.

Les rapports d’erreur, le journal des tâches automatiques et les traces d’envoi de notifications sont effacés au bout de trois mois. Passé un trimestre et deux versions, un plantage ne sert plus à corriger quoi que ce soit.

Ces effacements sont faits par des tâches automatiques, le premier de chaque mois pour les durées ci-dessus, chaque heure pour les messages de groupe et chaque nuit pour les fichiers orphelins. Ils ne demandent aucune démarche de ta part.

Un compte resté inactif pendant trois ans est supprimé, après un e-mail d’avertissement envoyé à l’adresse du compte. Sakalm est ouverte depuis 2026 : aucun compte n’a encore pu atteindre ce délai.

TES DROITS

Tu peux à tout moment consulter tes données, les corriger, les emporter et les faire effacer.

Taille, poids, sexe, pays, État et ville, sports, niveau, rythme, adresse e-mail et mot de passe se modifient dans Réglages, puis « Mes informations ». Prénom, nom, pseudo et date de naissance y sont figés depuis l’inscription : pour en corriger un, écris à hello@sakalm.com.

Tu peux aussi demander que leur usage soit gelé le temps qu’un désaccord se règle, et t’opposer à un traitement que nous fondons sur notre intérêt légitime, comme le contrôle des sorties.

Tout accord que tu as donné se retire aussi simplement qu’il s’est donné, sans avoir à te justifier : l’accord santé se coupe dans cet écran, les notifications dans les réglages de ton téléphone. Le retrait vaut pour la suite, il ne défait pas ce qui a été fait avant.

Deux boutons le font directement, sans avoir à écrire à personne : « Exporter mes données » dans cet écran, et « Supprimer mon compte » tout en bas des Réglages. La suppression demande d’écrire le mot SUPPRIMER, pour qu’elle ne parte pas d’un appui malheureux. Sans l’application, tu peux aussi demander la suppression de ton compte et de tes données en écrivant à hello@sakalm.com depuis l’adresse de ton compte : elle est faite sous 72 heures ouvrées, et ce qui reste ensuite dans les sauvegardes s’efface dans les délais dits sur cette page.

Pour le reste, écris à hello@sakalm.com. Nous répondons sous 72 heures ouvrées, et au plus tard sous un mois, qui est le délai que la loi nous accorde. Si la réponse ne te convient pas, tu peux saisir la CNIL, 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

L’ÂGE MINIMUM

Sakalm est interdite aux moins de 16 ans, l’âge de référence du règlement européen sur les données personnelles.