Politique de confidentialité

Qui est responsable

Lunaway est éditée par AxiomTeam, responsable des traitements décrits ici. Pour une question ou pour exercer vos droits : contact@lunaway.net. L'adresse postale de l'éditeur figure dans les mentions légales.

Cette politique couvre l'app Lunaway (Android, et la version web sur lunaway.net/app), ce site, et nos serveurs : api.lunaway.net pour les données et les photos, tiles.lunaway.net pour le fond de carte.

Sur votre appareil

L'app range ses données dans son propre espace de stockage, que les autres apps ne peuvent pas lire :

• Les lieux, copiés depuis notre serveur pour toute la France, afin que la carte, la recherche et les fiches marchent sans réseau, avec les photos et la première page d'avis des fiches que vous avez ouvertes.
• Vos propres données : vos listes de favoris, vos réglages (langue, filtres, thème, app de navigation préférée) et le profil de votre véhicule (type, remorque, hauteur, largeur, longueur, poids).
• Une position approximative, arrondie au dixième de degré (une dizaine de kilomètres), pour que le thème clair ou sombre suive le coucher du soleil dès le lancement suivant.
• La clé privée de votre compte, si vous en avez un, dans le stockage protégé que fournit le système (le Keystore d'Android, par exemple). Elle ne quitte jamais l'appareil.

Sur Android, la sauvegarde de votre appareil, qui part sur votre compte Google, peut contenir vos favoris, vos réglages et votre véhicule, et rien d'autre de Lunaway. L'app ne l'autorise que si cette sauvegarde est chiffrée de bout en bout, ce qu'Android propose à partir de la version 9 quand l'écran est verrouillé ; Android 7 et 8 ne connaissent pas cette condition et suivent leurs propres réglages de sauvegarde. Le transfert vers un nouveau téléphone emporte les mêmes données. Sur un ordinateur, vos sauvegardes peuvent aussi contenir les données de l'app, selon leurs réglages.

Dans l'app web, ces données sont dans le stockage que votre navigateur réserve à lunaway.net. Désinstaller l'app, ou effacer les données du site dans le navigateur, efface tout.

Ce qui passe par nos serveurs

L'app ne se connecte qu'à nos serveurs, toujours en HTTPS. Elle n'intègre aucun service tiers : ni publicité, ni mesure d'audience, ni service de rapport de plantage, ni fond de carte ou police de caractères chargés ailleurs. Seuls les liens que vous choisissez d'ouvrir (OpenStreetMap, votre app de navigation, le code source) mènent à d'autres sites.

Avec ou sans compte :

• La synchronisation des lieux demande les changements d'une région entière, la France aujourd'hui. Elle ne dit rien de l'endroit où vous êtes.
• L'ouverture d'une fiche demande ses avis et ses photos. Le contenu de ces requêtes n'est ni enregistré ni journalisé ; le journal d'accès garde l'adresse des fichiers photo téléchargés (voir Journaux).
• Le fond de carte vient de tiles.lunaway.net. Chaque morceau de carte affiché correspond à une zone : le journal n'en garde que le niveau de zoom, jamais la zone.
• Un itinéraire, fonction en préparation : le départ, l'arrivée, les étapes et les dimensions du véhicule partent dans le corps de la requête. Notre propre moteur calcule la route sur notre serveur, et ni la requête ni la route ne sont enregistrées ou journalisées.
• Les travaux et fermetures de routes, fonction en préparation : pendant le guidage, l'app télécharge toutes les trois minutes les changements de toute la France. La requête ne contient aucune position.
• La recherche de lieux et de communes se fait sur l'appareil. Quand l'app web interroge notre serveur, le texte cherché et le centre de la carte, qui sert à classer les résultats, partent dans le corps de la requête, sans être enregistrés ni journalisés.
• La recherche de commerces et de services interroge notre serveur : le texte cherché et le centre de la carte, arrondi à environ 5 km pour classer les résultats, partent dans le corps de la requête, sans être enregistrés ni journalisés. Votre position n'en fait pas partie : les distances affichées sont calculées sur l'appareil.

Votre compte, sans e-mail

Consulter la carte ne demande pas de compte. L'app en crée un la première fois que vous contribuez (une note, un avis, une photo, une confirmation, un signalement, un lieu) ou que vous choisissez de synchroniser vos favoris, qui y sont alors importés.

Le compte repose sur une paire de clés créée sur votre appareil. Notre serveur garde :

• la clé publique de chaque appareil lié au compte, avec ses dates de création et de dernière utilisation ;
• un pseudonyme tiré au hasard, comme « Hérisson curieux du Vercors », que vous pouvez changer et qui est public ;
• vos sessions : un jeton aléatoire dont nous ne gardons que l'empreinte (SHA-256), valable 60 jours après sa dernière utilisation, effacé dans l'heure qui suit son expiration ;
• l'empreinte de votre code de secours (argon2id), si vous en avez créé un. Le code n'est affiché qu'une fois, sur votre appareil, et nous ne pouvons pas le retrouver ;
• votre niveau de confiance, de 0 à 4, calculé d'après l'âge du compte, le nombre de jours où il a servi, ses contributions publiées et les retraits décidés par la modération, ainsi que les parrainages donnés ou reçus ;
• vos listes de favoris synchronisées et les auteurs que vous avez choisi de masquer.

Si un compte est banni pour abus, la raison du bannissement est notée avec lui.

Ce que vous publiez

Les lieux, avec leurs ajouts et leurs modifications, forment une base de données ouverte sous licence ODbL 1.0, comme OpenStreetMap dont elle reprend des données. Les avis et les photos sont publiés sous licence CC BY 4.0, crédités à votre pseudonyme. Notre serveur garde aussi, pour chaque ajout ou modification de lieu, une révision qui le relie à votre compte ; elle n'est pas publique.

Photos. Une photo part vers notre serveur telle qu'elle est sur votre appareil, avec ses métadonnées, dont la position GPS si l'appareil l'a notée. Le serveur la décode, puis la réencode à partir des seuls pixels en deux fichiers WebP (2048 et 512 pixels de côté) : aucune métadonnée ne survit, ni position, ni date, ni modèle d'appareil. L'original n'est pas conservé.

Signalements routiers. Un signalement enregistre, relié à votre compte, l'endroit signalé, votre sens de circulation, le type d'évènement, la hauteur ou la largeur indiquée et l'heure. Ces enregistrements ne sont pas publics. Ils servent à décider si l'évènement bloque les itinéraires de tous, ce qui demande deux comptes de niveau 1 ou plus, et à la modération. Ils sont effacés au bout de 14 jours, ou avec votre compte. Mis bout à bout, ceux d'un même compte montreraient par où il est passé : l'évènement publié ne porte donc ni votre nom, ni l'endroit exact, ni l'heure exacte.

Ce que vos contributions montrent. Vos avis et vos photos sont publics avec votre pseudonyme, et un identifiant de compte stable les relie entre eux. Mis bout à bout, avec leurs dates, ils peuvent montrer par où vous êtes passé. La date de visite d'un avis est facultative.

Modération. Les textes passent par des règles automatiques simples (liens, coordonnées de contact, répétitions, liste de mots). Un texte qui les déclenche attend un modérateur avant d'être publié. Un avis ou une photo signalé par trois comptes de confiance est masqué jusqu'à la décision d'un modérateur. Les modérateurs, l'éditeur et les contributeurs qu'il désigne, lisent les contenus signalés et les notes jointes aux confirmations et aux signalements.

Vous pouvez supprimer chacune de vos contributions, ou tout votre compte : la page Supprimer mon compte détaille ce qui part et ce qui reste.

Votre position

Si vous l'autorisez, l'app lit la position de l'appareil pour vous situer sur la carte, calculer les distances et suivre le coucher du soleil. Ces calculs se font sur l'appareil, qui ne garde qu'une position arrondie à une dizaine de kilomètres. L'app ne demande pas l'accès à la position en arrière-plan.

Votre position ne quitte l'appareil que dans deux cas. Un itinéraire demandé depuis l'endroit où vous êtes l'emporte dans cette seule requête, qui n'est ni enregistrée ni journalisée. Un signalement routier l'enregistre, comme décrit dans Ce que vous publiez. Les confirmations « toujours là ? » ne contiennent aucune position. Vous pouvez retirer l'autorisation à tout moment dans les réglages du système.

Journaux et limites anti-abus

Comme tout serveur web, les nôtres notent les requêtes reçues, pour la sécurité et le dépannage :

• Le journal d'accès note la date, la méthode, le chemin demandé sans ses paramètres, la réponse, et les en-têtes envoyés par l'app ou le navigateur (sa version, sa langue), avec une adresse IP tronquée : les deux premiers nombres d'une adresse IPv4 (203.0.113.7 devient 203.0.0.0), les 32 premiers bits d'une adresse IPv6. Il ne note ni le port, ni les cookies, ni les jetons de session, ni le contenu des requêtes, ni la zone des morceaux de carte. Il est effacé au bout de 14 jours.
• Le journal système des serveurs (démarrages, erreurs) tronque les adresses de la même façon et se vide au bout d'un mois au plus. Notre API n'y écrit, pour chaque requête, que la méthode et le chemin.
• Les limites anti-abus (nombre de requêtes, de connexions, de créations de compte, d'essais de code de secours) comptent par adresse IP, ou par bloc d'adresses en IPv6, dans la mémoire du serveur seulement : elles ne sont jamais écrites, et un redémarrage les remet à zéro.

Sauvegardes

Pour pouvoir remettre le service en marche après une panne, la base de données est copiée chaque nuit, de même que chaque nouvelle photo :

• sur le serveur principal pendant 7 jours, et dans les images de sauvegarde quotidiennes de ce serveur chez Hetzner, gardées 7 jours ;
• chiffrées avec age, sur un second serveur chez Hetzner à Nuremberg pendant 14 jours, puis sur un ordinateur de l'éditeur, seul à détenir la clé de déchiffrement, pendant 29 jours.

Une donnée supprimée de la base, ou une photo supprimée, disparaît ainsi de toutes les sauvegardes en 30 jours au plus.

La suppression d'un compte est aussi notée, avec l'identifiant du compte et l'heure, dans un journal tenu hors des copies de la base et gardé 45 jours au plus ; une copie chiffrée en est faite chaque heure et part chaque nuit avec les sauvegardes, où elle remplace la précédente (46 jours au plus). Si une panne nous oblige à remettre en service une sauvegarde, les suppressions de comptes faites depuis sa date sont appliquées de nouveau avant la remise en service. Une seule panne y échappe : la perte du disque de données du serveur lui-même. Les suppressions faites après la dernière copie recueillie hors de ce serveur (jusqu'à 25 heures environ) reviendraient alors avec la sauvegarde.

Hébergement et prestataires

• Hetzner Online GmbH (Allemagne) héberge nos serveurs dans ses centres de données de Falkenstein et de Nuremberg : l'API, la base de données, les photos, le fond de carte et ce site.
• Infomaniak Network SA (Suisse) reçoit les e-mails envoyés à contact@lunaway.net. La Suisse fait l'objet d'une décision d'adéquation de la Commission européenne.
• Cloudflare gère les noms de domaine de lunaway.net, en DNS seulement : il indique l'adresse de nos serveurs, puis le trafic va directement chez nous, sans passer par lui.

Le fond de carte est construit par Protomaps à partir d'OpenStreetMap, puis copié et servi par notre propre serveur. Ni l'app ni ce site ne chargent de carte, de police ou de script depuis un autre hôte. Si vous installez Lunaway par Google Play ou par F-Droid, ces services traitent les données du téléchargement selon leurs propres règles.

Nous ne vendons, ne louons et ne partageons aucune donnée, ni pour de la publicité ni pour un autre usage commercial.

Durées de conservation

Bases légales

• Fournir le service que vous demandez (article 6.1.b du RGPD) : la synchronisation des lieux, le compte, vos contributions, vos favoris synchronisés, les itinéraires.
• Notre intérêt légitime à protéger le service et ses utilisateurs (article 6.1.f) : les journaux, les limites anti-abus, la modération, les sauvegardes.
• Votre consentement, donné au système, pour la lecture de la position de l'appareil (article 6.1.a) : vous pouvez le retirer à tout moment.

Vos droits

Le RGPD vous donne le droit d'accéder à vos données, de les faire rectifier ou effacer, d'en limiter l'usage, de vous opposer à leur traitement et de les recevoir dans un format réutilisable.

• Dans l'app, votre profil montre votre pseudonyme, que vous pouvez changer, votre niveau et vos contributions, que vous pouvez supprimer une à une.
• Vous pouvez supprimer tout votre compte dans l'app ou avec votre code de secours.
• Pour toute autre demande, écrivez à contact@lunaway.net. Nous répondons dans un délai d'un mois.

Votre compte n'est lié à aucune adresse e-mail : avant de répondre à une demande, nous devons vérifier que le compte est bien le vôtre, par exemple en vous demandant de changer votre pseudonyme dans l'app pour un mot que nous vous indiquons.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, en ligne sur cnil.fr ou par courrier : CNIL, service des plaintes, 3 place de Fontenoy, 75007 Paris.

Public et modifications

Lunaway s'adresse aux adultes.

Quand cette politique change, la nouvelle version paraît sur cette page avec sa date. L'historique de la page est public dans le dépôt du code, au chemin infra/web/site/privacy.html.

Version du 6 octobre 2026.