Ce que nous faisons de vos sorties

Dernière mise à jour : 19 septembre 2026. Responsable du traitement : StreetLens, représentée par Corneliu Croitoru, président, 47 rue Vivienne, 75002 Paris, France. Contact : bonjour@bloaz.bzh.

En un tableau

1. Ce que nous recevons, et pourquoi

Tout part d'un fichier que vous déposez vous-même : l'archive de votre compte sportif, ou le fichier d'une seule course (.gpx, .tcx, .fit). Ce fichier est lu dans votre navigateur, sur votre ordinateur. Il ne nous est jamais envoyé.

De cette lecture sort un résumé, et c'est la seule chose qui monte jusqu'à nous :

• Pour l'année que vous avez choisie : la date, le nom, le type de sport, la distance, la durée, le dénivelé de chaque sortie, la description que vous lui avez donnée, et sa trace simplifiée.
• Pour les autres années de l'archive : seulement les sorties qui ont une trace, pour que vous puissiez les choisir sur un poster — sans description ni matériel.
• Un point de départ approximatif (la médiane de vos départs), pour centrer la carte de l'année.

Aucune donnée de santé. Aucune donnée de santé ne quitte votre ordinateur : fréquence cardiaque, puissance et cadence sont refusées, côté navigateur comme côté serveur.

Nous ne demandons ni compte, ni e-mail, ni numéro de téléphone pour voir votre année. L'adresse et l'e-mail ne sont collectés qu'au moment du paiement, par Stripe, pour livrer votre commande, vous envoyer sa confirmation avec le lien de suivi (il n'y a pas de compte) et vous écrire en cas de problème.

2. Où c'est stocké

Le résumé et les fichiers d'impression sont stockés chez Supabase (base de données Postgres et stockage de fichiers), sur des serveurs hébergés dans l'Union européenne (région eu-west-1, Irlande). Le site lui-même est servi par Vercel : le code s'exécute à Paris (région cdg1), mais Vercel Inc. est une société américaine, certifiée Data Privacy Framework (voir les mentions légales). L'accès à la base se fait uniquement depuis nos serveurs, avec une clé qui n'est jamais transmise au navigateur.

Votre aperçu vit sous une adresse impossible à deviner (seize caractères tirés au hasard), sans compte : ce lien privé est la seule clé. Il n'est pas indexé par les moteurs de recherche.

3. Qui reçoit quoi

Aucun tiers ne reçoit l'ensemble de vos données. Chaque prestataire reçoit ce dont il a besoin pour sa tâche, et rien de plus.

• Supabase (hébergement de la base et des fichiers, dans l'Union européenne, région eu-west-1, Irlande) stocke pour notre compte tout ce qui est décrit au point 2. C'est un sous-traitant : il n'utilise pas ces données.
• Vercel (Vercel Inc., États-Unis) fait tourner le site : ses serveurs de Paris (région cdg1) exécutent le code qui lit et écrit chez Supabase, et son réseau mondial sert les pages. Il voit donc passer les requêtes (adresse IP, pages demandées) et, le temps du traitement, les données décrites au point 2 ; il ne les conserve pas. Sous-traitant hors Union européenne, couvert par le cadre Data Privacy Framework UE–États-Unis et son accord de traitement des données.
• Gelato (Gelato AS, Oslo, Norvège ; impression des posters à la demande, en Europe) reçoit le fichier du poster, le nom, l'adresse de livraison, l'e-mail et, s'il a été donné, le téléphone du destinataire. Rien d'autre de votre année.
• Stripe (paiement) reçoit le montant, l'e-mail, l'adresse de livraison et les données de carte, que nous ne voyons jamais. Stripe nous renvoie l'adresse pour l'expédition et le statut du paiement. C'est aussi le cas pour l'achat d'une carte cadeau : Stripe reçoit l'e-mail de la personne qui l'achète, et nous gardons l'e-mail du destinataire le temps d'envoyer le code.
• Resend (envoi des e-mails, société américaine) reçoit l'adresse e-mail et le texte du message, et rien d'autre : la confirmation de commande, avec le lien pour la suivre, l'avis d'expédition, les cartes cadeaux, et le lien d'une page quand vous cliquez sur « M'envoyer le lien par e-mail ». Ce dernier ne contient que le lien : l'adresse saisie n'est pas enregistrée chez nous, et ne sert à rien d'autre. Nous n'envoyons aucune lettre d'information.

Nous ne vendons, ne louons et ne partageons vos données avec personne d'autre. Pas de régie publicitaire, pas de courtier en données, pas de « partenaires ».

4. Combien de temps

Les règles sont simples, et les mêmes pour tout le monde :

• L'archive et les fichiers de trace bruts ne sont jamais conservés, puisqu'ils ne nous parviennent pas.
• Le résumé reste 30 jours sans visite, ou jusqu'à ce que vous cliquiez sur « Supprimer cet aperçu ». Chaque visite de la page de vos posters remet le compteur à zéro. Sans visite pendant 30 jours, un nettoyage automatique efface l'aperçu et ses fichiers.
• Les données de commande (adresse, montant, statut) sont conservées le temps légal des obligations comptables.
• Quand vous vous envoyez un lien par e-mail, nous ne gardons pas votre adresse : seulement son empreinte (un code calculé à partir de l'adresse, qui ne se relit pas en clair), pendant 24 heures, pour limiter le nombre d'envois et empêcher qu'on se serve du bouton pour inonder une boîte.

5. Tout supprimer

Sur la page de vos posters, un bouton « Supprimer cet aperçu » efface immédiatement le résumé et les fichiers qui en dépendent. Il n'y a pas de délai de grâce ni de corbeille. Une seule exception : tant qu'une commande payée est en cours de fabrication, la suppression est refusée, le temps que l'imprimeur ait fini. Si vous avez perdu le lien, écrivez à bonjour@bloaz.bzh en indiquant l'e-mail utilisé et la date approximative du dépôt ; nous confirmons la suppression par retour de mail.

6. Personne ne lit vos données

Toute la chaîne est automatique : la lecture de l'archive dans votre navigateur, le calcul des chiffres, le dessin du poster, la génération du fichier d'impression, la transmission à l'imprimeur. Aucun humain chez nous n'ouvre vos données, sauf si vous nous le demandez explicitement pour résoudre un problème. Cette exception, c'est une demande explicite de votre part, par exemple pour comprendre pourquoi un fichier n'est pas reconnu ; nous vous le dirons avant, et nous ne regarderons que ce qui est nécessaire.

Pour être honnêtes jusqu'au bout : Bloaz est en bêta. L'équipe est petite, les outils aussi. Si vous constatez un comportement qui ne correspond pas à cette page, dites-le nous, nous corrigerons.

7. Sur quelle base légale

Le traitement repose sur l'exécution du service que vous demandez : voir votre année, composer un poster, le commander. Les envois aux prestataires nommés au point 3 reposent sur ce même contrat. Vous pouvez y mettre fin à tout moment avec « Supprimer cet aperçu ».

8. Aucune mesure d'audience

Nous ne mesurons pas l'audience de ce site : aucun outil de statistiques n'est chargé, aucune page vue n'est comptée, aucun profil n'est construit. C'est pourquoi il n'y a pas de bandeau à accepter. Si nous en ajoutons un un jour, ce sera un outil sans cookie ni identifiant, et cette page le nommera avant qu'il ne serve.

9. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition sur les données qui vous concernent, ainsi que d'un droit à la portabilité. Le plus direct est « Supprimer cet aperçu » ; pour le reste, écrivez-nous. Vous pouvez aussi déposer une réclamation auprès de la CNIL.

10. Contact

Pour toute question sur vos données, une demande d'effacement ou d'accès : bonjour@bloaz.bzh. Nous répondons sous quelques jours. Vous trouverez aussi sur la page contact ce qu'il est utile d'indiquer dans votre message pour que nous retrouvions le bon aperçu.