Avis de confidentialité

Ce que nous recueillons

• Pour identifier ton compte : ton numéro de téléphone, un PIN et un code de récupération à usage unique (le PIN et le code ne sont conservés que sous forme d'empreintes irréversibles — nous ne pouvons jamais les lire).
• Les informations d'urgence et de santé que tu saisis : nom facultatif, groupe sanguin, allergies, médicaments, problèmes de santé, implants, prise d'anticoagulants, poids et notes libres.
• Les tiens : jusqu'à deux contacts d'urgence, et si tu autorises un secouriste à écrire à chacun d'eux.
• Ta moto et ton assurance : les détails de la motocyclette et de l'assurance que tu choisis d'ajouter.
• Ton adresse courriel, qui est obligatoire. Elle a deux fonctions, les deux au sujet de ce compte et aucune de marketing : te redonner accès si tu perds ton PIN, et t'avertir quand quelque chose change les clés de ton compte — un nouveau PIN, un nouveau code de récupération, un changement de téléphone, de courriel ou de nom, une copie de ton compte téléchargée, un nouveau code de tag, ou ton tag mis en pause. Elle n'apparaît pas quand quelqu'un scanne ton tag à moins que tu ne l'actives toi-même — elle part éteinte, comme chaque champ, et l'interrupteur précise à côté que c'est l'adresse où va ton lien de récupération. Elle est chiffrée là où nous la gardons. Elle reçoit un message de plus : à l'inscription ou quand tu la changes, un lien pour confirmer que l'adresse est bien la tienne, car un lien de récupération ne part que vers une adresse confirmée. Rien d'autre ne lui est envoyé à moins que tu ne le demandes — pas de lettre d'information, pas de courriel produit. La seule chose que tu peux demander est l'alerte de scan décrite plus bas, éteinte tant que tu ne l'actives pas.
• Facultatif : ta date de naissance, si tu la fournis.
• Facultatif : un témoignage pour notre page d'accueil, et le nom avec lequel tu le signes. Les deux sont conservés chiffrés. Il n'est affiché que si tu l'actives ET que nous l'avons lu et approuvé — si tu changes le texte, il attend de nouveau notre relecture — et à côté nous affichons ce nom et ton pays. L'activer ou l'éteindre est enregistré dans l'activité de ton compte.
• Quand tu as vérifié tes données médicales pour la dernière fois : la date à laquelle tu as ouvert ta page d'urgence et l'as enregistrée. Elle s'affiche sur la page de ton tag, sous tes informations médicales, pour que la personne qui la lit puisse juger si elle est à jour — une liste d'allergies enregistrée la semaine dernière et une enregistrée il y a quatre ans ne disent pas la même chose. Elle indique que tu as vérifié, pas que quelque chose a changé, et elle n'apparaît que si tu as activé au moins un champ médical. Rien d'autre ne la déplace : changer un contact, une moto, ton courriel ou ton PIN ne la modifie pas.
• Si tu associes un autocollant pré-imprimé : le groupe sanguin imprimé dessus, gardé avec ton compte pour te prévenir si le groupe que tu as enregistré ne correspond plus. Changer le code de ton tag l'efface. La fiche de l'autocollant lui-même — son code, le groupe imprimé, la date d'association — est conservée même si tu supprimes ton compte, sans rien sur toi, pour que ce code ne soit jamais redonné ; mais comme son code était celui de ton tag, qui détient les deux fiches peut les relier.
• Les scans : nous ne gardons que l'heure de la dernière ouverture de ton tag, et rien sur la personne qui l'a ouvert — ni adresse IP, ni position, ni quoi que ce soit de son téléphone ou de son navigateur. Il n'y a pas d'historique : chaque ouverture remplace la précédente, il n'existe donc qu'un seul moment par motocycliste. Notre hébergeur, Vercel, est l'exception : comme chaque requête vers le site, une ouverture passe par le journal des requêtes de Vercel, qui note l'adresse ouverte — pour une page de tag, son code — et la description du navigateur (user agent), et peut inclure l'adresse IP. Nous pouvons lire ce journal pendant une heure après la requête.
• L'alerte de scan, seulement si tu l'actives : elle est éteinte tant que tu ne l'actives pas depuis ton tableau de bord. Ensuite, quand ton tag est ouvert, nous t'envoyons un courriel qui dit qu'il a été ouvert et quand (la date et l'heure, en UTC) — rien sur qui l'a ouvert, et rien de ton compte sauf l'adresse où il part. Nous en envoyons au plus une toutes les 6 heures ; pour savoir quand la suivante peut partir, nous gardons l'heure de la dernière alerte envoyée, sur ton compte, remplacée à chaque fois. Notre prestataire de courriel, Resend, achemine chaque alerte et garde son propre registre de chaque message qu'il achemine : avec les alertes activées, Resend détient donc un registre des moments où chaque alerte est partie (voir les prestataires plus bas).
• L'activité du compte : quand quelqu'un se connecte sous ton nom, et quand les clés de ton compte changent — un nouveau PIN, un nouveau code de récupération, un changement de téléphone, de courriel ou de nom, une copie de ton compte téléchargée, un nouveau code de tag, ton tag mis en pause ou rallumé, l'alerte de scan activée ou désactivée. Chaque entrée, c'est ce qui s'est passé et quand, et rien d'autre : ni adresse IP, ni position, ni quoi que ce soit de ton téléphone ou de ton navigateur. Elle est là pour que tu voies une activité qui n'était pas la tienne ; tu la lis sur la page de ton compte et elle part avec toi quand tu exportes. Se connecter laisse aussi une trace chez Supabase, décrite plus bas avec les prestataires.

Pourquoi nous la gardons

Nous traitons ces informations uniquement pour fournir le service d'information d'urgence que tu as demandé. Nous te demandons un consentement explicite pour conserver des informations de santé au moment de l'inscription, et tu peux le retirer à tout moment en supprimant ton compte.

Ton courriel est la seule exception à cette phrase, et elle est encore plus étroite : il existe pour que tu puisses récupérer ton compte et pour t'avertir quand les clés de celui-ci changent, et il sert à cela et à rien d'autre, plus l'alerte de scan si tu l'actives. C'est pourquoi nous te demandons de le confirmer. Un compte n'est pas actif tant que tu n'as pas confirmé ton adresse : nous t'envoyons un lien par courriel, tu l'ouvres et tu écris ton PIN. Une inscription jamais confirmée est supprimée, avec tout ce que tu as saisi, 24 heures après son début. Si tu changes d'adresse plus tard, la nouvelle ne reçoit aucun lien de récupération tant que tu n'as pas ouvert le lien envoyé et appuyé sur Confirmer en étant connecté. Les adresses des comptes qui existaient le 13 octobre 2026 ont été considérées comme confirmées sans cette étape. Si tu demandes un lien de récupération et que ton adresse est confirmée, nous t'envoyons un seul message contenant un lien qui fonctionne une fois et expire dans 30 minutes.

Ce qu'un scan peut afficher

Chaque champ commence privé. Rien de toi n'est affiché tant que tu ne l'actives pas dans tes réglages de Confidentialité. C'est désormais vrai de tous les champs que nous détenons, sans aucune exception. Certains t'identifient plus qu'ils n'aident à te soigner — ton courriel, ta date de naissance, ton poids, tes numéros complets d'assurance, de police ou d'assuré, et le NIV de ta moto — et ça sert plus aux voleurs d'identité qu'aux secouristes. Dans la page Confidentialité, chacun porte une marque, avec une ligne qui dit clairement ce qu'elle signifie, et comme tout le reste ils partent éteints. La décision t'appartient. Jusqu'au 12 septembre 2026 elle était la nôtre : ces champs ne pouvaient pas être publiés, quels que soient tes réglages, et, pour le dire honnêtement, nous décidions à ta place.

Nous ne la vendons ni ne la partageons jamais

Nous ne vendons, ne louons ni ne partageons tes informations à des fins publicitaires. Il n'y a aucun traceur publicitaire sur nos pages ni aucun script de mesure d'audience de qui que ce soit d'autre — les visites de nos pages publiques sont comptées par notre propre serveur, sans cookie, comme expliqué plus bas — et nous ne posons que les cookies strictement nécessaires pour te garder connecté, conserver une inscription que tu n'as pas encore terminée, retenir ta langue et retenir si tu as choisi l'affichage clair ou sombre. Le seul script tiers de tout le produit est la vérification anti-robot, et elle s'exécute sur exactement quatre pages : celle de contact, celle d'inscription, celle de connexion et celle de récupération de compte. Elle ne pose aucun cookie. Cloudflare déclare qu'elle n'en pose aucun et qu'elle n'utilise jamais ce qu'elle voit pour te profiler, et c'est ainsi qu'il faut le lire : le défi s'exécute dans un cadre à lui, mais le petit script qui le charge s'exécute dans la page comme le reste du code de la page. C'est donc un engagement de Cloudflare au sujet de ton téléphone, ton courriel, ton nom et ton PIN — pas quelque chose que la page rend impossible. Ce que Cloudflare apprend, c'est qu'un visiteur a chargé l'une de ces quatre pages, avec son adresse IP, la description de son navigateur et une empreinte technique de la connexion sécurisée ; Cloudflare indique s'en servir aussi pour améliorer la vérification. Elle ne s'exécute nulle part ailleurs et, surtout, jamais sur la page qu'un secouriste ouvre en scannant ton tag : cette page ne fait aucune requête externe.

Quand tu nous écris

Si tu utilises le formulaire de contact, ton nom, ton adresse et ton message nous sont envoyés par courriel dans notre boîte. KINTAG est gratuit, donc les messages sont traités quand nous le pouvons : ça peut prendre longtemps, et nous ne promettons rien sur le quand. Rien n'est conservé sur le site : il n'existe aucune table de messages, donc il n'y a rien à exporter, à effacer, ni rien qui puisse fuiter. Le seul enregistrement qu'un message laisse est un horodatage rattaché à une clé hachée et non identifiante, gardée une heure pour que personne n'inonde le formulaire. Le message lui-même reste dans notre boîte jusqu'à ce que nous le supprimions, et nous le faisons à la main : une fois par mois, nous supprimons chaque conversation fermée depuis plus de 30 jours, et nous vidons le dossier des éléments supprimés de la boîte dans la foulée. Si tu nous demandes d'effacer un message plus tôt, nous le faisons, dès qu'une réponse envoyée depuis l'adresse avec laquelle tu as écrit confirme qu'il est à toi.

Neuf prestataires interviennent, et les voici nommés. Vercel fait tourner l'application. Supabase héberge la base de données. À eux deux, ils détiennent tout ce que décrit cet avis, c'est ce qu'héberger veut dire — et ils le détiennent dans l'état où nous le détenons : les champs sensibles y sont le même texte chiffré qu'ailleurs, et la clé qui les ouvre est gardée là où ils ne sont pas. Supabase vérifie aussi ton PIN quand tu te connectes, et pour cela il conserve quatre éléments qui lui sont propres : un identifiant de compte que nous générons, qui n'est ni ton numéro de téléphone ni ton adresse courriel ; une empreinte irréversible tirée de ton PIN, décrite dans « Comment nous la protégeons » ; un enregistrement de chaque session ouverte, avec l'adresse IP et la description du navigateur (user agent) d'où elle a commencé ; et son propre journal des connexions et des changements de compte, qui peut inclure l'adresse IP. Nous ne les montrons jamais à personne et ne nous en servons pour rien d'autre. L'enregistrement d'une session est supprimé quand tu déconnectes les autres appareils, changes ton PIN ou effaces ton compte, et ceux de plus de 30 jours sont retirés à ta prochaine connexion. Supabase conserve ce journal selon ses propres règles, et il n'est pas effacé quand tu effaces ton compte ; il ne te désigne que par l'identifiant généré, qui ne renvoie plus à rien une fois ton compte disparu. Resend achemine le lien de récupération de compte, le lien qui confirme ton adresse, les avis de compte décrits plus haut et, si tu l'actives, l'alerte de scan, il traite donc ton adresse courriel pour ces messages. Il achemine aussi vers notre boîte chaque message du formulaire de contact, avec ton nom, ton adresse et ce que tu as écrit. Il ne voit jamais les informations d'urgence ou de santé de ton compte — seulement ce que tu choisis d'écrire dans un message. Resend conserve une copie de chaque message qu'il achemine pendant 30 jours. Cloudflare Turnstile effectue la vérification anti-robot sans cookies sur les quatre pages citées plus haut. Il voit l'adresse IP du visiteur, la description de son navigateur et une empreinte de la connexion sécurisée, et s'en sert pour distinguer les personnes des robots et, selon Cloudflare, pour améliorer la vérification — jamais un champ du formulaire, et jamais rien de ton tag. Cloudflare reçoit aussi le courriel qui nous est adressé, messages du formulaire de contact compris, et le transmet directement à notre boîte ; elle indique ne pas le lire ni le conserver. Help Scout est la boîte où arrive un message du formulaire de contact, elle conserve donc ce que tu as écrit et l'adresse d'où tu l'as écrit. Upstash conserve les compteurs qui limitent le nombre d'essais possibles — se connecter, s'inscrire, récupérer un compte, envoyer un message, ouvrir des adresses de tag qui ne mènent à aucun tag — sous forme de clés brouillées et d'heures. Quand un compteur appartient à ton compte (tentatives de connexion, confirmations de PIN, liens de récupération, avis de compte), sa clé est brouillée à partir de l'identifiant interne de ton compte avec un secret qu'Upstash ne détient pas, donc elle ne peut pas être reliée à toi sans ce secret ; aucun compteur ne contient ton nom, ton numéro de téléphone, ton adresse courriel ni rien de ton tag. Quand il n'est pas disponible, ces compteurs sont gardés dans notre propre base de données. Sentry reçoit un rapport quand notre serveur rencontre une erreur : ce qui a échoué et à quel endroit de notre code, après retrait des numéros, adresses de courriel, codes et liens. Il ne reçoit jamais tes informations, l'adresse de la page où tu étais (seulement son type général, comme « une page de tag »), ton adresse IP ni rien de ce que ton navigateur a envoyé. PostHog, sur ses serveurs aux États-Unis, compte les visites de nos pages publiques — l'accueil, l'inscription, la connexion, la récupération de compte, le contact, les dons, le plan du site et ces pages légales — et jamais la page de ton tag, jamais les pages de ton compte, et jamais pendant que tu es connecté. Ton navigateur ne lui parle jamais : notre serveur lui indique laquelle de ces pages a été ouverte, le site d'où tu venais s'il s'agit d'un autre et ton adresse IP raccourcie (le dernier bloc d'une IPv4, la plus grande partie d'une IPv6), de sorte qu'elle désigne une plage de connexions et non la tienne. Chaque visite est envoyée avec une nouvelle étiquette aléatoire qui n'est jamais réutilisée, donc aucune visite ne peut être reliée à une autre ni à toi. Aucun cookie n'est posé pour cela et rien n'est enregistré sur ton appareil. Buy Me a Coffee reçoit les dons : il traite le paiement et nous signale qu'il a eu lieu. De ce qu'il envoie, nous ne gardons que le premier mot du nom que la personne lui a donné, le numéro du paiement, sa date et une forme brouillée, à sens unique, de son numéro de donateur — jamais son adresse courriel, le montant, la devise ou son message — et nous affichons ce premier mot sur notre page d'accueil, puis le retirons si le paiement est remboursé. Si la personne nous demande de retirer son nom, nous l'effaçons et ne gardons que ce numéro brouillé, pour qu'un don ultérieur n'apparaisse pas non plus. Si le nom arrive sous une forme inhabituelle, ou pas du tout, nous ne gardons rien. Il n'intervient d'aucune façon dans ton compte ni dans ton tag. C'est la liste complète. Aucun d'eux ne se trouve sur la page qu'un secouriste ouvre en scannant ton tag, et deux peuvent en apprendre quelque chose, tous deux seulement depuis notre serveur : Upstash, à qui notre serveur demande si la connexion qui ouvre une page de tag a ouvert des adresses qui ne mènent à aucun tag — une clé brouillée et une heure, jamais quel tag —, et Sentry, seulement si notre serveur échoue en la préparant — un rapport qui dit qu'une page de tag a échoué, jamais laquelle. Upstash est le deuxième depuis le 17 septembre 2026. Et si tu actives l'alerte de scan, un troisième apprend que ton tag a été ouvert : Resend, seulement depuis notre serveur et seulement une fois la page servie — un courriel pour toi qui dit quand, jamais qui. Upstash, Sentry et Plausible s'y sont ajoutés le 16 septembre 2026. PostHog a remplacé Plausible pour compter les visites le 24 septembre 2026, et depuis, l'agent utilisateur de ton navigateur n'est plus envoyé. Jusqu'au 12 septembre 2026, nous décrivions Vercel et Supabase par leur rôle plutôt que par leur nom, au motif que nous n'étions liés à aucun. Les nommer est la meilleure réponse : si nous changeons, c'est une modification de cet avis, et non quelque chose que tu devrais penser à demander.

Où elles sont conservées

Ton compte est conservé aux États-Unis. Vercel fait tourner l'application sur des serveurs aux États-Unis, dans la région de Washington, D.C., et Supabase héberge la base de données aux États-Unis, en Ohio ; ton navigateur atteint l'application par le réseau mondial de Vercel. Tes informations, y compris les données de santé que tu saisis, sont donc conservées et traitées aux États-Unis, qui peuvent être un autre pays que celui où tu vis, avec des lois de protection des données différentes.

Là-bas, ce qui les protège est la même chose que partout ailleurs : les champs sensibles sont conservés sous forme de texte chiffré, et la clé qui les ouvre est gardée là où la base de données n'est pas. Cela protège contre quelqu'un qui obtient la base de données seule ; cela ne protège pas contre notre propre serveur, qui doit déchiffrer pour afficher ton tag, comme l'explique « Comment nous la protégeons ».

Accepter cet avis à l'inscription, c'est consentir à ce transfert : à ce que tes informations, y compris tes données de santé, soient conservées et traitées aux États-Unis comme décrit ici. Si tu n'es pas d'accord, ne crée pas de compte ; si tu en as déjà un, le supprimer retire ce consentement et efface les données, comme l'explique « Combien de temps nous la gardons ».

Combien de temps nous la gardons

Nous conservons tes informations aussi longtemps que ton compte existe. Quand tu supprimes ton compte, il est effacé de notre base de données immédiatement — le dossier entier, pas un indicateur qui le cache.

Notre base de données est sauvegardée, comme toute base de données, et un compte supprimé subsiste dans ces sauvegardes jusqu'à leur expiration. Cela prend 30 jours au maximum. Les sauvegardes ne servent jamais à ramener un compte supprimé ; si nous devions restaurer une sauvegarde après une panne, les suppressions sont réappliquées. Et les champs sensibles dans une sauvegarde sont le même texte chiffré que dans la base — la clé qui les ouvre est gardée là où les sauvegardes ne sont pas.

Tes droits

Tout cela est en libre-service — sans demande ni attente. Selon l'endroit où tu vis (par exemple sous la CCPA/CPRA, la My Health My Data Act de Washington, la Loi 25 du Québec, la LFPDPPP du Mexique, la LGPD du Brésil et des lois semblables à travers les Amériques), tu peux avoir des droits supplémentaires.

Pour en demander un, écris-nous depuis le formulaire de contact. Nous répondons dans un délai de 10 jours ouvrables, sans prolongation. Une rectification que tu nous demandes est faite dans un délai de 5 jours ouvrables.

Il faut d'abord que nous sachions que le compte est le tien, et il n'y a qu'une façon. Tout ce qui est dans la liste ci-dessus est en libre-service parce que c'est derrière ton PIN — c'est ça, la vérification. Un message qui arrive par courriel ne porte aucun PIN : donc si tu nous écris pour que nous remettions ou effacions un compte et que nous ne pouvons pas rattacher la demande à ce compte, nous la refuserons. Ce refus te protège : agir sur un courriel non vérifié, c'est exactement ainsi que quelqu'un d'autre effacerait ton compte ou en obtiendrait une copie. Si tu as perdu ton PIN, la page de récupération te redonne l'accès, et une fois dans ton compte, chaque droit de cette liste est à un clic, sans rien à prouver.

Si nous refusons une demande, nous dirons pourquoi, et tu peux nous demander de la reconsidérer en répondant à cette réponse. Nous la réexaminerons et te donnerons une décision. Si cela ne te convient toujours pas, tu peux porter plainte auprès de l'autorité de protection des données de chez toi ; la réponse que nous t'enverrons ne prétendra pas le contraire.

• Accès et portabilité : télécharge tout ton compte sous forme de fichier JSON depuis tes réglages de Compte.
• Effacement : supprime ton compte et toutes ses données à l'instant, depuis le même écran.
• Rectification : modifie n'importe quel champ dans ton tableau de bord, quand tu veux.
• Retrait du consentement : supprimer ton compte retire le consentement et efface les données.

Comment nous la protégeons

Ton PIN n'est jamais conservé tel que tu l'as tapé, ni ici ni ailleurs : notre serveur le transforme d'abord en un code SHA-256 à clé, mêlé à une clé secrète qui n'est pas dans la base de données, et Supabase, qui le vérifie quand tu te connectes, ne garde qu'une empreinte irréversible de ce code. Ton code de récupération et tout lien de récupération sont conservés sous forme d'empreintes SHA-256 à clé, mêlées au même secret. Jamais en clair, et aucun ne peut être relu : sans ce secret, même une copie complète de la base de données n'aide pas à retrouver ton PIN. Le trafic est chiffré en HTTPS, la connexion est limitée en nombre d'essais, nous réduisons au minimum ce que nous recueillons, et un enregistrement de scan ne contient rien de plus que ton tag et un horodatage.

Les champs les plus sensibles sont aussi chiffrés dans la base de données elle-même : ton nom, tes allergies, médicaments, problèmes de santé, implants, notes, poids, courriel et date de naissance, ainsi que le nom, le numéro et le lien avec toi de chacun de tes contacts d'urgence, tes numéros d'assuré et de police d'assurance et le NIV de ta moto. Chaque valeur est chiffrée avec une clé que détient notre serveur et reste liée à ton dossier, donc elle ne peut pas être déplacée vers celui de quelqu'un d'autre. Contre quoi cela protège, précisément : quelqu'un qui obtient la base de données seule — une copie de sauvegarde ou un instantané volé, ou un accès trop large chez notre hébergeur — obtient du texte chiffré, pas tes informations. Contre quoi cela ne protège pas : notre serveur lui-même. Il doit pouvoir déchiffrer, parce que ton tag doit s'ouvrir pour un inconnu qui tient un téléphone et n'a aucune clé. Nous préférons le dire clairement plutôt que de laisser entendre une protection que nous n'avons pas.

Enfants

KINTAG s'adresse aux adultes : tu dois avoir 18 ans ou plus pour avoir un compte, et c'est ce que tu confirmes à l'inscription. Ne crée pas de compte pour quelqu'un en dessous de cet âge. Si tu penses qu'une personne mineure a un compte, écris-nous et nous le supprimerons.

Modifications

Si nous modifions cet avis de façon importante, nous publierons une nouvelle version ici, et une note en haut de ton tableau de bord le signalera jusqu'à ce que tu la fermes. Cette note t'informe ; elle ne te demande pas d'accepter à nouveau. Ton compte enregistre la version que tu as acceptée et, à part, la dernière version qui t'a été montrée.

Qui répond de tes informations

KINTAG est exploité par une personne, pas par une entreprise : celle qui est nommée dans nos mentions légales. C'est elle qui décide de ce qu'il advient de tes informations et qui répond de leur protection. La Loi 25 du Québec appelle ce rôle la personne responsable de la protection des renseignements personnels, et la LGPD du Brésil l'appelle encarregado. Ici, c'est la même personne, et il n'y a personne d'autre à qui le confier.

Pour lui écrire au sujet de tes informations — une question, un droit que tu veux exercer, une plainte —, utilise le formulaire de contact et choisis le sujet « Mes données ». Ça arrive dans la même boîte que tout le reste, et le sujet indique que ça concerne tes données ; il n'y a pas d'adresse à part pour ça. Une demande pour exercer un de tes droits reçoit la réponse décrite dans « Tes droits ».

Contact

Questions ou demandes : écris-nous.