Données et confidentialité

Version des textes : 2026-09-04

Sakalm enregistre des sorties de course, de marche et de vélo. Pour le faire, l'application traite des données qui te concernent. Voici lesquelles, pourquoi, et ce que tu peux exiger à tout moment.

QUI EST RESPONSABLE

Sakalm, 10 place Souham, Hall 3, 75013 Paris, France. Pour toute question ou pour exercer tes droits : hello@sakalm.com.

CE QUE L'APPLICATION COLLECTE

Ton compte : adresse e-mail, pseudo, prénom et nom. Sans eux, pas de compte.

Ton profil : date de naissance, sexe, région et ville, et si tu le renseignes taille et poids. La date de naissance sert à vérifier l'âge minimum. Taille et poids sont facultatifs et servent uniquement à estimer une dépense en calories.

Tes sorties : le tracé GPS, la date, l'heure, la durée, la distance et le dénivelé. C'est le coeur de l'application.

Ta fréquence cardiaque, si et seulement si tu y as consenti séparément. C'est une donnée de santé, elle a son propre interrupteur dans cet écran, et tu peux le couper quand tu veux.

Tes pas, quand tu appuies sur « Valider mes pas ». Tant que l'écran d'accueil est ouvert, le podomètre du téléphone est lu pour t'afficher ton compteur du jour, et ce compteur ne quitte pas l'appareil : rien n'est envoyé ni gardé tant que tu n'as pas validé toi-même.

Ce que Sakalm lit dans Apple Santé, si tu donnes ton accord santé. Deux usages, et le même accord pour les deux.

L'écran d'import lit tes séances de course, de marche et de vélo pour les ajouter à ton historique : leur tracé GPS quand il en existe un, leur distance, leurs calories, leur fréquence cardiaque, et les mesures de foulée que certaines montres enregistrent, le temps de contact au sol, l'oscillation verticale et la longueur de foulée.

Et l'application complète tes sorties déjà enregistrées avec ces mêmes mesures, que le téléphone seul ne sait pas prendre. Cette lecture-là se fait toute seule, au lancement de l'application, à la fin d'une sortie et à l'ouverture d'une fiche de sortie. Elle ne se fait jamais en arrière-plan : l'application doit être ouverte devant toi.

Rien d'autre n'y est lu : ni poids, ni sommeil, ni pouls au repos, ni aucune autre donnée médicale. Rien n'est jamais écrit dans Apple Santé. Et rien n'est lu du tout tant que tu n'as pas donné ton accord santé, qui est distinct de l'acceptation des présents textes et se retire quand tu veux.

Ta photo de profil, si tu en mets une. Elle est facultative, l'application n'ouvre ta photothèque qu'au moment où tu le demandes, et elle ne lit aucune autre image. Les données de prise de vue, dont le lieu, sont retirées avant l'envoi. Tu peux la retirer quand tu veux depuis le menu de ton compte : le fichier est alors supprimé.

Les photos que tu joins à une sortie partagée, prises sur le moment avec l'appareil ou choisies dans ta photothèque. L'appareil photo ne s'ouvre que quand tu appuies sur « Prendre une photo », il ne s'allume jamais tout seul, et rien n'est enregistré tant que tu n'as pas déclenché toi-même. Là aussi, le lieu et l'heure inscrits dans l'image sont retirés avant l'envoi.

Un identifiant d'envoi de notifications, si tu les acceptes. Il désigne ton téléphone, pas toi, il ne dit rien de ce que tu fais, et il s'efface avec ton compte. Sans lui, aucune notification ne peut t'atteindre. Refuser les notifications n'empêche rien d'autre de fonctionner.

Les réactions et les bravos : ceux que tu poses sur les sorties des autres, et ceux qu'on pose sur les tiennes, avec le nom de qui les a envoyés. Ce sont des symboles, jamais du texte.

Des données techniques minimales : version de l'application, modèle d'appareil, et les erreurs rencontrées, pour pouvoir les corriger.

Ton nom, ton prénom et ton adresse postale complète, UNIQUEMENT le jour où tu gagnes un lot à te faire livrer. Ils te sont alors demandés par e-mail, jamais avant, et ils ne servent qu'à l'expédition : aucun autre membre ne les voit, et l'application ne les affiche nulle part. Tant qu'aucun lot n'est mis en jeu, cette demande n'a lieu pour personne.

Ton nom complet et ton adresse postale, UNIQUEMENT si tu es parrain et que tes gains dépassent 2 400 € sur une même année civile. En dessous de ce seuil, nous ne les demandons pas et nous ne les avons pas. Au-delà, la loi nous impose de déclarer ces versements à l'administration fiscale avec l'identité du bénéficiaire : c'est une obligation légale, pas un choix de notre part, et le versement ne peut pas partir sans elle. Ces deux informations vivent dans une table séparée, que l'application ne relit jamais, et elles ne sont visibles d'aucun autre membre.

TA POSITION, ET QUAND ELLE EST LUE

C'est la donnée la plus sensible que l'application manipule, alors voici précisément ce qui se passe.

Sakalm demande l'autorisation de localisation « Toujours ». Cette autorisation est indispensable, et pas par confort : sans elle, iOS coupe la lecture du GPS dès que tu ranges le téléphone dans ta poche, que l'écran s'éteint ou que tu passes à une autre application. Le tracé s'arrête net, et tous les kilomètres parcourus ensuite sont perdus. Une application de course qui ne fonctionne qu'écran allumé, la main tendue devant soi, ne sert à rien.

« Toujours » ne veut pas dire « tout le temps ». Ta position n'est lue QUE pendant une sortie que tu as démarrée toi-même en appuyant sur GO, et la lecture cesse dès que tu appuies sur STOP. Entre deux sorties, l'application ne demande pas ta position, ne la reçoit pas, et n'en garde aucune trace.

Pendant une sortie, iOS affiche en permanence un indicateur de localisation en haut de ton écran. Il est là pour toi : tant qu'il est allumé, l'application lit ta position ; quand il s'éteint, elle ne la lit plus.

Le tracé enregistré reste privé par défaut. Personne dans ton groupe de la semaine ne le voit, jamais. Il ne sort que par deux chemins, et les deux demandent un geste de ta part : un groupe privé, où il faut à la fois ton autorisation dans ce groupe et l'amitié, et où le tracé arrive toujours coupé ; ton fil, où tu publies une sortie à la fois et décides pour chacune de montrer le parcours coupé, entier, ou pas du tout. Trois sections plus bas disent exactement comment : « Dans un groupe privé », « Sur ton fil » et « La coupe du tracé ».

Tu peux retirer cette autorisation à tout moment dans les réglages de ton téléphone. L'application continuera de fonctionner, mais elle ne pourra plus enregistrer de sortie.

POURQUOI

Faire fonctionner l'application et ton compte. C'est l'exécution du contrat qui nous lie : sans ces données, il n'y a pas de service.

Établir le classement hebdomadaire et vérifier que les sorties sont authentiques. C'est l'intérêt légitime d'une compétition : sans contrôle, elle n'a aucune valeur pour ceux qui jouent honnêtement.

Traiter ta fréquence cardiaque, uniquement sur ton consentement explicite, que tu peux retirer à tout moment sans avoir à te justifier.

CE QUE LA MACHINE DÉCIDE SEULE

Chaque sortie enregistrée passe par un contrôle automatique. Personne ne la regarde à ce moment-là : c'est un programme, et il décide seul.

Voici comment il travaille, parce que tu as le droit de le savoir. Il note chaque sortie de zéro à cent en cherchant sept familles d'indices : la vitesse, l'accélération, la qualité du signal GPS, les sauts de position, la cohérence entre les capteurs, la répétition d'un même parcours, et la présence d'une position simulée. Plus la note est haute, plus la sortie ressemble à une mesure fabriquée plutôt qu'à un parcours réel.

En dessous de cinquante, la sortie passe. À partir de cinquante, elle est signalée et affichée « à vérifier ». À partir de soixante-dix, elle n'est pas retenue. Une position simulée détectée vaut cent à elle seule, donc un refus immédiat.

Une sortie non retenue reste dans ton historique et tu la vois toujours, mais elle ne rapporte ni Goldies ni place au classement. C'est la seule décision de ce genre dans l'application, elle ne porte que sur une sortie, et elle ne ferme jamais un compte : une suspension est toujours décidée par une personne.

Ce contrôle décide au lieu de se contenter d'observer depuis que le Challenge + met un lot réel en jeu. Une sortie fabriquée avec soin ferait livrer un colis chez quelqu'un qui n'a pas couru.

Tu peux la contester et demander qu'une personne la regarde : écris à hello@sakalm.com avec la date de la sortie. Nous répondons sous un mois.

CE QUE LES AUTRES VOIENT DE TOI

Il y a trois cercles autour de toi, et ils ne montrent pas les mêmes choses.

PREMIER CERCLE, TOUS LES MEMBRES. Ton pseudo et ta photo de profil sont visibles de n'importe quel membre qui te cherche. C'est ainsi qu'on ajoute un ami, en tapant les premières lettres d'un pseudo, et il n'y a pas d'autre chemin : quelqu'un qui tape les tiennes te trouve donc, avec ta photo, sans être ton ami et sans que tu le saches. Rien d'autre ne lui est montré : ni tes sorties, ni tes chiffres, ni ton tracé.

DEUXIÈME CERCLE, TON GROUPE DE LA SEMAINE, en Challenge comme en Challenge +. Dix personnes que tu n'as pas choisies, six pendant tes deux premières semaines, réunies parce que leur niveau est proche du tien, et que tu ne connais pas. Elles voient ton pseudo, ton total de kilomètres, ton rang, ton niveau déclaré, ton nombre de jours actifs et ta série en cours. Rien de plus qu'une ligne de classement : jamais ton tracé, jamais le lieu, jamais l'heure de tes sorties. Ce n'est pas un oubli, c'est une décision : savoir quand quelqu'un court revient à savoir quand son logement est vide.

TROISIÈME CERCLE, TES AMIS ET TES GROUPES PRIVÉS. Un ami est quelqu'un que tu es allé chercher par son pseudo et que tu as ajouté toi-même, ou dont tu as accepté la demande. C'est le seul cercle où ton tracé peut apparaître, et jamais sans que tu l'aies décidé. Un point à connaître : dans un groupe privé, les autres membres ne sont pas forcément tes amis. Un groupe se remplit avec les amis de celui qui l'a créé, et rien n'oblige les invités à se connaître entre eux. Les deux sections qui suivent disent exactement ce que chacun voit.

Ta photo de profil est donc visible de tes amis, des membres de tes groupes privés, amis ou non, et de qui te cherche par ton pseudo. C'est le seul but d'une photo de profil, elle est facultative, et tu peux la retirer quand tu veux.

DANS UN GROUPE PRIVÉ

Un groupe privé ne se forme jamais par appariement : il se remplit à la main, avec les amis de celui qui l'a créé. Seul un ami peut donc t'y ajouter, et il ne le peut que parce que tu as accepté son amitié. Un groupe joué en deux équipes suit la même règle : les deux équipes sont dans le même groupe et lisent le même classement.

Quand tu rejoins un groupe privé, tes sorties du sport de ce groupe y apparaissent automatiquement, dans le classement et dans le fil du groupe. Les membres voient le sport, la distance, la durée et le jour. Jamais l'heure, et jamais ton nom, ton prénom, ton âge, ta taille, ton poids, ta région ni ton adresse e-mail.

C'est le sens même d'un challenge entre amis : on ne peut pas se mesurer à quelqu'un dont on ne voit pas les sorties. Tu peux quitter un groupe à tout moment, et tes sorties cessent aussitôt d'y apparaître. Tu peux aussi retirer quelqu'un de tes amis, ou le bloquer, depuis l'onglet Amis.

Une sortie d'un AUTRE sport que celui du groupe n'y va jamais toute seule. Tu peux l'y mettre à la main si tu veux, depuis le détail de la sortie. Tes journées de pas suivent la même règle dans les groupes qui se jouent aux pas.

LE TRACÉ, LUI, NE PART JAMAIS TOUT SEUL. Il faut deux conditions pour qu'un membre puisse ouvrir la carte d'une de tes sorties : que tu l'aies autorisé dans ce groupe précis, avec l'interrupteur en haut de son écran, et que vous soyez amis. Les deux, pas l'une des deux. Un membre qui n'est pas ton ami ne l'ouvrira donc jamais, même dans un groupe où tu as dit oui.

Et même alors, il arrive coupé, selon la règle décrite plus bas. Un fil de groupe ne montre jamais un tracé entier.

SUR TON FIL

À côté des groupes, il y a le fil de tes amis. Rien n'y arrive tout seul : une publication part d'une sortie terminée, au moment où tu appuies toi-même sur Publier. Tant que tu ne le fais pas, aucune de tes sorties n'y figure.

Au moment de publier, tu décides de ce qui part avec : une légende si tu en écris une, une photo si tu en joins une, l'annonce de ta distance ou de ton territoire, et ce que tu montres du parcours. La photo est nettoyée avant l'envoi : ses données de prise de vue, dont le lieu et l'heure, sont retirées. Comme dans un groupe, c'est le jour qui s'affiche, jamais l'heure.

Le parcours a trois réponses possibles, et la question se pose à CHAQUE publication, jamais une fois pour toutes. Tu peux ne pas le montrer. Tu peux le montrer coupé. Tu peux le montrer entier, et dans ce cas rien n'est retiré : ton point de départ et ton point d'arrivée sont visibles de ceux qui voient la publication. C'est le seul cas, dans toute l'application, où un tracé part sans coupe, et il demande ce geste explicite sur cette sortie-là.

Une publication est visible de tes amis, et d'eux seuls : il faut l'amitié, et l'absence de blocage entre vous. Tu la vois toi-même exactement comme eux la voient, coupe comprise : ce que tu crois montrer doit être ce qui est montré.

Tu peux retirer une publication à tout moment. Elle quitte alors le fil, et la photo qui l'accompagnait est supprimée.

LA COUPE DU TRACÉ

Une seule règle, la même partout. Une longueur est retirée au départ et à l'arrivée de tout parcours qui part : ce n'est pas le trajet qui révèle une adresse, ce sont ses deux bouts.

Elle vaut cent mètres par défaut, et tu peux la porter à cent cinquante, deux cents ou trois cents dans Réglages puis Mes données. Ton choix vaut aussitôt pour tout, y compris pour ce que tu as déjà partagé.

En dessous de trois fois cette longueur, aucun tracé n'est montré du tout : il ne resterait rien après avoir retiré les deux bouts.

La coupe est faite par le serveur, jamais par ton téléphone : un découpage calculé sur l'appareil supposerait de lui avoir envoyé le tracé entier, donc de l'avoir déjà divulgué.

Elle ne connaît qu'une exception, celle de la section précédente : le tracé entier que tu choisis toi-même, publication par publication, sur ton fil.

AUCUN MESSAGE, NULLE PART

Sakalm n'a pas de messagerie. Personne ne peut t'envoyer un message privé, et personne ne peut écrire sous une de tes sorties : il n'y a ni commentaire, ni réponse, ni discussion, nulle part dans l'application, ni dans ton groupe de la semaine, ni dans un groupe privé, ni sur ton fil.

Deux gestes seulement vont d'une personne à une autre, et aucun des deux ne porte de texte. Les quatre réactions, bravo, feu, force, waouh, qu'un membre peut poser sur une de tes sorties partagées. Et le bravo du challenge, qu'une personne de ton groupe de la semaine peut t'envoyer une fois par semaine : tu reçois alors une notification qui porte son pseudo, et rien d'autre.

Le serveur refuse tout le reste. Personne ne peut donc t'adresser un mot, et tu ne peux en adresser un à personne.

Le seul texte libre qui circule est celui que tu écris toi-même sur tes propres affaires : ton pseudo, le nom d'un groupe que tu crées, et la légende de tes publications. Rien de tout cela ne s'adresse à quelqu'un en particulier.

QUI D'AUTRE Y A ACCÈS

Personne d'autre. Tes données ne sont ni vendues, ni louées, ni transmises à des annonceurs. Il n'y a aucune publicité dans l'application.

Deux prestataires techniques les hébergent pour notre compte, sans droit de les utiliser : Supabase Inc. (970 Toa Payoh North, Singapour) et Amazon Web Services, région Europe.

Le jour où tu gagnes un lot à te faire livrer, ton nom et ton adresse sont transmis au transporteur chargé de l'envoi, pour cet envoi et rien d'autre. Sans cela, le colis ne peut pas partir.

Les notifications que tu reçois passent par le service d'envoi d'Expo (650 Industries, Inc., États-Unis). Il reçoit l'identifiant de ton téléphone et le texte du message, le temps de le remettre à Apple ou à Google. C'est le chemin obligé d'une notification : aucune n'arrive sans passer par là. Si tu les refuses, rien de tout cela n'a lieu.

OÙ VONT CES DONNÉES

Elles sont hébergées en Europe. Deux choses en sortent : le siège de Supabase est à Singapour, et ses équipes techniques peuvent accéder à l'infrastructure pour la maintenir ; le service d'envoi des notifications est aux États-Unis. Ces deux transferts sont encadrés par les clauses contractuelles types de la Commission européenne, que ces deux prestataires intègrent à leurs conditions.

Une seule exception, et elle est imposée par la loi : le nom et l'adresse d'un parrain ayant dépassé 2 400 € dans l'année sont transmis à l'administration fiscale française, une fois par an, avec le montant versé. Rien d'autre n'est transmis, à personne.

COMBIEN DE TEMPS

Tes sorties et ton compte sont conservés tant que le compte existe. Si tu le supprimes, tout est effacé sous trente jours, sans copie de sauvegarde au-delà.

Les pièces liées au parrainage font exception, et la loi l'impose aussi : les gains versés, leur date et l'identité fiscale du parrain sont conservés six ans, même après la suppression du compte, parce que ce sont des pièces comptables. Rien d'autre ne survit à la suppression.

L'adresse que tu donnes pour recevoir un lot est conservée quatre-vingt-dix jours après l'envoi, le temps qu'un colis perdu, un retour ou une réclamation se règle. Passé ce délai, elle est effacée. Tu peux aussi en demander l'effacement avant ce terme, dès que le lot est arrivé, en écrivant à hello@sakalm.com.

Le tracé GPS d'une sortie, c'est-à-dire la suite de tes positions, est conservé douze mois. Passé ce délai il est effacé automatiquement, et la sortie reste : sa distance, sa durée, son allure, ses temps au kilomètre et sa place dans les classements ne bougent pas. C'est la carte qui disparaît, pas le souvenir. Douze mois parce que c'est le temps qu'il faut pour comparer une sortie à celle de l'an dernier, et parce qu'une position est la donnée la plus sensible que cette application manipule.

Les rapports d'erreur, le journal des tâches automatiques et les traces d'envoi de notifications sont effacés au bout de trois mois. Passé un trimestre et deux versions, un plantage ne sert plus à corriger quoi que ce soit.

Ces effacements sont faits par une tâche automatique, le premier de chaque mois. Ils ne demandent aucune démarche de ta part.

Un compte resté inactif pendant trois ans est supprimé, après un e-mail d'avertissement.

TES DROITS

Tu peux à tout moment consulter tes données, les corriger, les emporter et les faire effacer. Tu peux aussi demander que leur usage soit gelé le temps qu'un désaccord se règle, et t'opposer à un traitement que nous fondons sur notre intérêt légitime, comme le contrôle des sorties.

Tout accord que tu as donné se retire aussi simplement qu'il s'est donné, sans avoir à te justifier : l'accord santé se coupe dans cet écran, les notifications dans les réglages de ton téléphone. Le retrait vaut pour la suite, il ne défait pas ce qui a été fait avant.

Deux boutons le font directement, sans avoir à écrire à personne : « Exporter mes données » dans cet écran, et « Supprimer mon compte » en bas de l'onglet Moi.

Pour le reste, écris à hello@sakalm.com. Nous répondons sous un mois. Si la réponse ne te convient pas, tu peux saisir la CNIL, 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

L'ÂGE MINIMUM

Sakalm est interdite aux moins de 16 ans. La loi française autoriserait 15 ans, l'âge auquel on peut y consentir seul ; nous avons retenu 16, l'âge de référence du règlement européen sur les données personnelles.