Politique de confidentialité

Données collectées

Lorsque vous soumettez une mesure, nous enregistrons : la valeur mesurée (en Bq/m³), le type et la durée du test, et — si vous les renseignez — le niveau du bâtiment, le type de logement, un quartier approximatif et un commentaire. Aucun compte n’est créé, aucune adresse courriel n’est demandée, aucun nom n’est collecté.

L’adresse que vous saisissez pour situer votre mesure sert uniquement au géocodage : elle n’est jamais enregistrée. Seules les coordonnées qui en résultent — déjà brouillées, voir ci-dessous — sont conservées.

Position affichée

La position publiée sur la carte est brouillée une seule fois, au moment de la soumission, puis figée définitivement — elle n’est jamais recalculée et ne peut pas être inversée à partir des données publiées.

Le rayon de brouillage s’adapte à la densité locale des mesures déjà publiées, mais reste toujours compris entre environ 100 mètres et 1000 mètres : un point isolé en zone rurale ne se résout jamais à une adresse précise.

Géolocalisation de navigation : si vous l’autorisez, votre navigateur transmet votre position à cette page pour centrer la carte sur votre quartier et, dans le formulaire de soumission, pour proposer l’emplacement de l’épingle lorsque la position est assez précise. Cette position reste dans votre navigateur — elle n’est ni envoyée à nos serveurs, ni enregistrée, ni journalisée. Si vous choisissez ensuite de soumettre une mesure, seule la coordonnée brouillée décrite plus haut est transmise, jamais la position exacte que votre appareil a calculée. Le refus n’empêche aucune fonctionnalité : l’épingle se place aussi bien à la main ou par recherche d’adresse.

Limitation de débit

Pour limiter les abus, le système identifie l’origine d’une soumission par un HMAC de l’adresse IP — jamais l’adresse IP elle-même — combiné à un sel qui change automatiquement chaque jour. Les anciens sels ne sont conservés que 48 heures, puis supprimés. La limite appliquée est de 3 soumissions par tranche de 15 minutes pour une même identité dérivée.

Les enregistrements de limitation de débit (le résultat du HMAC, pas l’adresse IP) sont purgés après 24 heures. Aucun enregistrement permanent ne relie une soumission à une adresse IP.

Lien de modification

Après votre soumission, un lien secret contenant un jeton cryptographiquement aléatoire de 256 bits vous permet, plus tard, d’ajouter une mesure post-mitigation ou de supprimer votre soumission. Seul un hachage de ce jeton est conservé sur nos serveurs — le jeton lui-même vous est montré une seule fois, sur l’écran de confirmation.

Si vous perdez ce lien, votre soumission ne peut plus être modifiée ni supprimée par vous-même : il n’existe aucune récupération de compte, par conception.

Accès public

La carte publique n’expose jamais les coordonnées exactes (non brouillées) d’une soumission, ni le hachage de votre jeton de modification. Seules les coordonnées déjà brouillées et les champs de mesure sont accessibles publiquement.

Durée de conservation

• Identifiants de limitation de débit : au plus 24 heures (le sel de rotation lui-même : 48 heures).
• Adresse saisie pour le géocodage : jamais conservée.
• Mesure publiée et position brouillée : conservées jusqu’à ce que vous les supprimiez via votre lien de modification, ou que vous en demandiez la suppression via le contact ci-dessous.

Droit à l’effacement

Vous pouvez supprimer définitivement votre propre soumission à tout moment via votre lien secret de modification. Si vous avez perdu ce lien, vous pouvez demander la suppression en nous contactant ci-dessous — mais sans le jeton ni aucune autre information permettant de retrouver votre soumission, il se peut que nous ne puissions pas localiser la ligne concernée. Nous ne garantissons donc pas une suppression manuelle en l’absence du jeton.

Responsable désigné