Confidentialité

Cette page décrit ce que MOOZHA fait réellement de vos données. Elle est écrite à partir du code du service, pas d’un modèle.

En résumé

Aucun compte. Vous n’avez ni à vous inscrire, ni à donner d’adresse e-mail pour consulter la carte ou contribuer.
Aucune publicité, aucun traceur marketing, aucune mesure d’audience. Pas de Google Analytics, pas de pixel publicitaire, aucun script tiers de suivi.
Aucune revente, aucun partage commercial de quelque donnée que ce soit.
Votre position exacte n’est jamais enregistrée. Aucune table du service ne contient les coordonnées d’un utilisateur.
Les métadonnées de localisation des photos sont supprimées avant publication.

Consulter la carte

Consulter MOOZHA ne crée aucun profil et ne dépose aucun cookie. Le service n’enregistre rien à votre sujet tant que vous ne contribuez pas.

L’identité pseudonyme

Lorsque vous contribuez pour la première fois — publier un signalement, confirmer, commenter, créer une alerte —, le service crée un pseudonyme et dépose un cookie technique nommé flare_contributor.

Ce cookie contient un identifiant aléatoire. Il ne contient ni votre nom, ni votre adresse e-mail, ni aucune caractéristique de votre appareil.
Ce n’est pas une empreinte d’appareil : ni adresse IP, ni user-agent, ni résolution d’écran, ni aucun signal matériel n’entre dans cette identification.
Il sert à rattacher vos contributions entre elles, à faire respecter les limites anti-spam, et à vous permettre de retirer un vote que vous avez posé.
Il est valable un an et se renouvelle à chaque contribution. Vider les cookies de votre navigateur le supprime définitivement.

Un pseudonyme public de la forme flare_xxxxxxxxxxxx est affiché à côté de vos contributions. Il n’est dérivé d’aucune information vous concernant.

Base légale : intérêt légitime — faire fonctionner un service communautaire et le protéger des abus.

Le bilan de vos signalements

Les votes « toujours là » et « plus rien » reçus par un signalement sont effacés au bout de 90 jours, comme indiqué plus bas. Mais si nous n’en gardions aucune trace, il deviendrait impossible de savoir si votre contribution avait été confirmée — et donc de reconnaître votre travail plus tard, quand MOOZHA affichera une progression.

À la clôture de chaque signalement, nous conservons donc un bilan chiffré des votes qu’il a reçus.

Ce que ce bilan contient : des comptages (combien de votes de chaque sorte, sur place ou à distance), des délais en minutes, et les dates de publication et de clôture.
Ce qu’il ne contient pas : aucune identité des personnes ayant voté, aucune adresse e-mail, aucune position, aucun texte libre. Les votes eux-mêmes restent effacés à 90 jours — ce bilan ne les ressuscite pas et ne permet pas de les reconstituer.
Il reste rattaché à vous. Nous ne prétendons pas qu’il soit anonyme : il est lié au pseudonyme qui a publié le signalement, comme le signalement lui-même l’était. Il est conservé aussi longtemps que ce pseudonyme, et supprimé avec lui.

Le compte MOOZHA

Créer un compte est facultatif. Consulter la carte et contribuer restent possibles sans compte, exactement comme avant.

Ce que nous conservons : votre adresse e-mail, le pseudo que vous choisissez, la date de création du compte et son état. Rien d’autre — pas de mot de passe, pas de nom réel, pas de téléphone, pas de date de naissance.
Il n’y a pas de mot de passe. Vous vous connectez avec un code à six chiffres envoyé par e-mail. Ce code est conservé sous forme d’empreinte, jamais en clair, et il expire au bout de dix minutes.
Vos sessions sont enregistrées pour vous garder connecté : une empreinte du jeton, une date de création et une date de dernière activité. Aucune adresse IP, aucun user-agent, aucune ville n’y est associée. Vous pouvez les révoquer une par une, ou toutes à la fois, depuis votre compte.
Les e-mails que nous envoyons à ce titre sont strictement transactionnels : un code de connexion, et rien d’autre. Aucune newsletter, aucun contenu commercial, aucun pixel de suivi.

Base légale : exécution du service pour la fourniture du compte, intérêt légitime pour la sécurité des connexions.

Votre compte est distinct de votre pseudonyme de contribution. À ce stade, créer un compte ne rattache pas vos contributions passées : elles restent liées au cookie décrit plus haut. Le rapprochement des deux fera l’objet d’une évolution annoncée.

Limiter les abus automatisés

Pour empêcher les créations de comptes en rafale et l’envoi massif d’e-mails, nous comptons les requêtes par réseau pendant une heure au maximum.

Votre adresse IP n’est jamais enregistrée. Nous n’en conservons qu’une empreinte calculée avec une clé aléatoire qui change toutes les heures, et l’ancienne clé est détruite : deux heures ne peuvent pas être rapprochées.
Ces compteurs vivent en mémoire du serveur, ne sont écrits dans aucune base, ne partent dans aucune sauvegarde et disparaissent au redémarrage.
Ils ne servent qu’à ralentir ou à demander une confirmation. Aucun d’eux ne peut à lui seul entraîner une sanction, et ils ne sont utilisés ni pour vous identifier, ni pour la publicité, ni pour un quelconque profilage.

Base légale : intérêt légitime — protéger le service et les boîtes aux lettres de nos utilisateurs contre les envois automatisés.

La géolocalisation

Votre position n’est demandée que si vous l’autorisez, et elle sert à deux choses différentes qu’il faut distinguer.

1. Centrer la carte

La position reste dans votre navigateur. Elle n’est envoyée nulle part. Seul le centre de la carte que vous regardez est mémorisé localement, pour ne pas vous ramener au point de départ à chaque ouverture — ce n’est pas votre position, c’est votre cadrage.

2. Les actions de terrain

Publier un signalement, voter « toujours là » ou « plus rien », déclarer « rien vu », ou lister les magasins autour de vous : chacune de ces actions transmet temporairement votre position au serveur, dans le corps de la requête.

Ce que le serveur en fait, exactement :

il calcule une distance entre vous et le magasin concerné ;
il n’en conserve qu’une conclusion oui/non : étiez-vous à moins de 250 mètres ? Cette conclusion sert à pondérer la crédibilité de la contribution ;
la position elle-même n’est écrite nulle part et n’est plus lue au-delà de ce calcul ;
elle n’est pas journalisée : les journaux d’erreur du service ne contiennent que le message de l’erreur, jamais la requête ni ses paramètres.

La position associée à un signalement sur la carte est celle du magasin, recopiée par la base de données — jamais la vôtre. Aucune trace de vos déplacements n’existe.

Les alertes de zone font exception, et de façon encadrée : le centre que vous choisissez est arrondi par le serveur à une grille d’environ 200 mètres avant d’être enregistré. La valeur exacte n’est jamais conservée.

Base légale : votre consentement, donné au navigateur, et révocable à tout moment dans ses réglages. Un refus n’empêche pas de consulter la carte.

Les photos

Une photo jointe à un signalement est ré-encodée deux fois — dans votre navigateur, puis sur le serveur, qui ne fait jamais confiance au premier.
Toutes les métadonnées sont supprimées : EXIF, XMP, IPTC, profil couleur — et donc les coordonnées GPS que votre appareil y avait inscrites. Cette suppression est vérifiée automatiquement à chaque modification du code.
Le nom du fichier est remplacé par un identifiant aléatoire généré par le serveur. Le nom que portait votre fichier n’est jamais conservé.
La photo est publiée avec votre signalement et accessible par son adresse. Cette adresse n’est pas devinable, mais elle n’est pas protégée par mot de passe.

Vos contributions

Signalements, confirmations, commentaires, passages « rien vu » et photos sont publics et rattachés à votre pseudonyme. Un passage « rien vu » atteste que quelqu’un est allé dans un magasin ; il est enregistré par tranches de six heures, sans aucune coordonnée.

Les alertes que vous créez sont privées : elles ne sont visibles que depuis le navigateur qui les a créées.

Durées de conservation

Ces durées sont celles que le service applique réellement : le tableau ci-dessous est produit à partir des constantes qu’exécute la purge automatique, pas d’un texte recopié à la main. Elles ne peuvent donc pas diverger du code.

Donnée	Durée	Pourquoi	Suppression
Signalements clos (expirés, archivés ou retirés)	3 mois à compter de la date d’archivage ou de retrait	Permet de revenir sur une décision de modération et de traiter une réclamation. Au-delà, un signalement périmé n’informe plus personne.	Le signalement, ses articles, ses votes et ses commentaires sont supprimés définitivement. La photo est supprimée du stockage AVANT la ligne.
Détail des articles d’un signalement	3 mois à compter de la suppression du signalement porteur	Un article n’existe pas sans son signalement.	Supprimé en cascade avec le signalement, par la base de données.
Photos publiées	Tant que le contenu est en ligne	Une photo n’a pas de durée propre : elle vit et meurt avec le signalement auquel elle est jointe.	Supprimée du stockage lors du retrait du signalement par son auteur ou par la modération, et au plus tard lors de la purge de celui-ci. Une photo ne survit jamais à son signalement.
Photos envoyées mais jamais publiées	24 heures à compter de l’envoi	Une photo dont le signalement n’a jamais été publié n’est rattachée à rien et n’est visible de personne.	Supprimée du stockage.
Commentaires	3 mois à compter de leur publication	Un fil de commentaires attaché à un stock périmé n’a plus d’objet. Quatre-vingt-dix jours laissent le temps d’un signalement de contenu tardif.	Supprimés définitivement. Un commentaire est aussi supprimé, plus tôt, avec le signalement qu’il commente.
Votes « toujours là » / « plus rien »	3 mois à compter de le vote	Un vote ne pèse que sur la fraîcheur d’un signalement, laquelle est éteinte au bout de 24 heures.	Supprimés définitivement.
Passages « je suis passé, rien vu »	30 jours à compter de le passage	C’est la donnée la plus proche d’une présence physique que le service détienne. Elle ne porte aucune coordonnée, et on la garde le moins longtemps possible.	Supprimés définitivement.
Votes sur l’existence d’un magasin	6 mois à compter de le vote	Contrairement aux votes de stock, ceux-ci n’expirent pas : ils décident la publication d’un lieu. Les supprimer trop tôt rouvrirait des magasins déjà tranchés.	Supprimés définitivement. Le statut du magasin, lui, est conservé.
Règles d’alerte	12 mois à compter de leur création ou dernière modification	Une règle qu’on ne modifie plus depuis un an suit un besoin qui n’existe plus.	Supprimées définitivement, avec les entrées et les envois qui s’y rattachent.
Entrées d’alerte (le journal « ça a matché »)	30 jours à compter de leur création	Une alerte porte sur un stock qui expire en 24 heures. Un mois suffit largement à la consulter.	Supprimées définitivement.
File d’envoi des notifications	30 jours à compter de leur traitement	Une ligne traitée ne sert plus qu’au diagnostic d’un incident récent.	Supprimée définitivement. Les lignes NON traitées ne sont jamais purgées : les supprimer perdrait une notification due.
Signalements de contenu (et l’adresse e-mail éventuellement laissée)	12 mois à compter de la décision finale	Permet de constater qu’un contenu déjà examiné est re-signalé, et de justifier une décision contestée. Le compte à rebours part de la DÉCISION, pas de la réception : un dossier ouvert n’est jamais purgé.	La ligne entière est supprimée, y compris l’adresse e-mail. Rien n’est conservé à part.
Codes de connexion	0 mois à compter de leur utilisation ou leur expiration	Un code de connexion vit dix minutes et ne sert qu’une fois. Passé ce délai il ne prouve plus rien, et le conserver reviendrait à garder la trace durable du fait qu’une adresse a été saisie — y compris une adresse sans compte.	Supprimés dès qu’ils sont consommés ou expirés, au premier passage de la purge. Le code lui-même n’est jamais stocké : seule une empreinte lente l’est.
Sessions de connexion terminées	30 jours à compter de leur révocation ou leur expiration	Une session révoquée est la trace d’un « déconnecter tous mes appareils » — exactement ce qu’on veut pouvoir constater après un doute sur son compte. Au-delà d’un mois, elle ne renseigne plus personne.	Supprimées définitivement. Elles ne contiennent ni adresse IP, ni user-agent, ni localisation.
Inscriptions jamais terminées	30 jours à compter de la vérification de l’adresse	Un compte dont le pseudonyme n’a jamais été choisi n’est qu’une adresse e-mail vérifiée. Le conserver reviendrait à tenir la liste des personnes ayant commencé une inscription puis renoncé.	Le compte est supprimé, ainsi que ses sessions. Revenir avec la même adresse recrée simplement un compte : rien n’est perdu.
Bilan agrégé de vos signalements	Tant que le contenu est en ligne	Les votes reçus par un signalement sont effacés au bout de 90 jours. Sans un bilan chiffré conservé au moment de sa clôture, il deviendrait impossible de savoir si une contribution avait été confirmée — et donc de reconnaître le travail de quelqu’un plus tard.	Conservé aussi longtemps que le pseudonyme auquel il se rattache, et supprimé avec lui. Il ne contient ni identité des personnes ayant voté, ni adresse, ni position, ni texte libre : uniquement des comptages, des délais et des dates.
Verdicts rendus sur vos signalements	Tant que le contenu est en ligne	Un verdict dit si une contribution a été confirmée par d’autres. Il doit rester consultable aussi longtemps que la contribution elle-même, sinon la progression d’une personne s’effacerait toute seule.	Conservé aussi longtemps que le pseudonyme auquel il se rattache, et supprimé avec lui. Il ne contient qu’une décision, un score et deux dates : ni adresse, ni position, ni texte, ni identité des personnes ayant voté.
Vos gains d’expérience	Tant que le contenu est en ligne	Votre progression est la somme de vos gains passés. Leur donner une durée de vie ferait redescendre un niveau tout seul, sans que personne n’ait rien fait — l’inverse exact de ce qu’une progression signifie.	Conservé aussi longtemps que le pseudonyme auquel il se rattache, et supprimé avec lui. Chaque ligne ne contient qu’un type de gain, un nombre de points et deux dates : ni adresse, ni position, ni texte, ni identité de qui que ce soit d’autre.
Pseudonyme de contribution	12 mois à compter de votre dernière contribution — publication, vote, commentaire, passage « rien vu », règle d’alerte ou magasin proposé	Un pseudonyme sans aucune contribution ne rattache plus rien. Douze mois correspondent à la durée de vie du cookie : au-delà, la personne l’a de toute façon perdu.	Supprimé, mais UNIQUEMENT s’il ne reste rattaché à aucun contenu et à aucune règle d’alerte. Le compte à rebours repart de zéro à CHAQUE contribution : il ne dépend pas de la durée de vie de vos contenus, qui peuvent disparaître plus tôt. Un pseudonyme n’ayant jamais rien publié est compté depuis sa création. Un pseudonyme encore référencé n’est jamais supprimé — cela effacerait la contribution d’autrui.

La purge tourne une fois par jour. Une donnée peut donc rester au plus 24 heures de plus que la durée annoncée, le temps du passage suivant.

Un signalement cesse d’être affiché au plus tard 24 heures après l’observation. C’est indépendant de sa conservation en base : il reste ensuite archivé pendant la durée indiquée ci-dessus, puis il est supprimé.

Une photo ne survit jamais à son signalement. Elle est supprimée du stockage au moment où le signalement est retiré — par vous ou par la modération — et, en tout état de cause, avant que la ligne ne soit purgée. Si le stockage refuse la suppression, le signalement n’est pas supprimé non plus : sa référence est ce qui permet de retrouver l’image, et la perdre rendrait la photo indestructible.

Retirer vos contributions

Vous n’avez pas à attendre ces durées ni à écrire à qui que ce soit. Depuis le navigateur qui a publié :

Retirer mon signalement, au bas de sa fiche. Il disparaît de la carte immédiatement, et la photo jointe est supprimée du stockage.
Supprimer mon commentaire, sous le commentaire.

La modification n’est pas possible, et c’est un choix : un signalement est un témoignage daté sur lequel d’autres personnes se sont peut-être déplacées. Le réécrire après coup retournerait l’historique contre ceux qui l’ont alimenté.

Signaler un contenu

Un bouton ⚑ Signaler est présent sur chaque signalement, chaque commentaire, chaque photo et chaque magasin. Il ne demande aucun compte. Voir Signaler un contenu.

Nous enregistrons alors : le type et l’identifiant du contenu, le motif choisi, votre explication éventuelle, et l’adresse e-mail que vous laissez si vous en laissez une. Aucune adresse IP n’est enregistrée, ni pour cette fonctionnalité ni pour aucune autre. Si vous aviez déjà contribué depuis ce navigateur, le signalement est rattaché à votre pseudonyme — ce rattachement sert uniquement à faire respecter une limite anti-spam.

Base légale : obligation légale (traitement des signalements de contenus illicites) et intérêt légitime (modération d’un service communautaire).

Qui reçoit des données

Prestataire	Rôle	Ce qu’il peut voir
Render	Hébergement de l’application et de la base	Les données du service, et les journaux d’accès techniques
Cloudflare	Nom de domaine et distribution	Les adresses IP des visiteurs transitant par son réseau
Cloudflare R2	Stockage des photos	Les photos publiées et les adresses IP qui les consultent
OpenFreeMap	Fond de carte, appelé directement par votre navigateur	Votre adresse IP et la zone de carte que vous consultez

OpenStreetMap est la source des données de magasins. Elles sont importées hors ligne : aucune donnée vous concernant n’est transmise à OpenStreetMap. MapLibre GL JS est une bibliothèque hébergée par nos soins, qui n’appelle aucun serveur tiers.

Transferts hors Union européenne : Render et Cloudflare sont des sociétés américaines susceptibles de traiter des données hors de l’Espace économique européen. Les deux publient un accord de traitement des données (DPA) qui encadre ces transferts, et auquel l’utilisation de leurs services nous soumet :

Render — son DPA prévoit les transferts au titre de l’EU-U.S. Data Privacy Framework lorsque celui-ci est applicable, et à défaut les clauses contractuelles types de la Commission européenne (CCT/SCC), réputées conclues par l’acceptation de ses conditions. La liste de ses sous-traitants est publiée sur render.com/trust.
Cloudflare (nom de domaine, distribution, et stockage R2 des photos) — son DPA client prévoit également les clauses contractuelles types et l’EU-U.S. Data Privacy Framework.

OpenFreeMap, qui sert le fond de carte, est édité par une société hongroise — donc établie dans l’Espace économique européen. Sa politique de confidentialité indique qu’il ne journalise pas les adresses IP par défaut, n’utilise ni cookie ni traceur, et n’active une journalisation temporaire (30 jours au maximum) qu’en cas d’incident de sécurité. Il s’appuie lui-même sur Cloudflare comme réseau de diffusion.

Ces informations décrivent les engagements publiés par ces prestataires à la date de dernière mise à jour de cette page. Nous n’avons négocié aucun accord particulier avec eux : nous relevons du contrat standard, comme tout client. Nous n’exerçons aucun contrôle sur l’évolution de ces engagements et vous invitons à consulter les liens ci-dessus, qui font foi.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition. Écrivez à contact@moozha.com.

Une limite qu’il faut connaître : le service ne vous identifie que par un cookie. Si vous l’avez effacé, nous n’avons aucun moyen de relier une demande à vos contributions passées, et donc aucun moyen d’y donner suite. Formuler une demande depuis le navigateur concerné est la seule façon de la rattacher.

Vous pouvez introduire une réclamation auprès de la CNIL.

Modifications

Cette page évoluera avec le service. Les évolutions substantielles seront signalées sur la page d’accueil.