Version du 2 novembre 2026
Cette page dit ce qu'AltosTrip enregistre, où, pourquoi, qui peut le voir, et comment tout effacer. Elle est écrite à partir du fonctionnement réel de l'application, pas d'un modèle : quand quelque chose ne peut pas être garanti, c'est écrit noir sur blanc.
Ce qui change par rapport à la version du 5 octobre 2026
Ce qui avait changé par rapport à la version du 30 septembre 2026
AltosTrip est édité depuis la Suisse par un développeur indépendant, qui décide seul de ce qui est enregistré et pourquoi. Pour toute question ou demande concernant tes données, une seule adresse : info@altostrip.ch.
Le traitement relève de la loi fédérale suisse sur la protection des données (nLPD) et, pour les personnes résidant dans l'Union européenne, du RGPD.
Pas besoin de t'inscrire pour commencer. À la première ouverture, l'application crée un compte sans inscription : un identifiant technique (un code aléatoire), le prénom et la couleur que tu tapes, et la langue de l'app. Ni adresse e-mail, ni mot de passe.
Dès ce moment, les données de tes voyages sont enregistrées sur nos serveurs, comme celles d'un compte, et non seulement sur ton téléphone. Mais seul ce téléphone y accède : si tu le perds, si tu changes de téléphone ou si tu supprimes l'application, tes voyages deviennent inaccessibles — personne, pas même nous, ne peut te les rendre, faute de savoir que ce compte est le tien. Et s'il reste 6 mois sans être ouvert, il est effacé (point 7).
Créer un compte — par e-mail et mot de passe, avec Apple ou avec Google — est gratuit. Il est nécessaire pour partager un voyage — par une invitation ou par le lien web de son programme —, t'abonner à AltosTrip Pro ou retrouver tes voyages sur un autre appareil. Ce n'est pas un nouveau compte : c'est le même, auquel s'ajoute ton identité de connexion ; tout ce que tu as saisi est gardé, rien n'est recopié. Pour rejoindre un voyage reçu par lien, ton prénom suffit.
Si tu as déjà un compte, « J'ai déjà un compte » rattache à ce compte les voyages créés sur ce téléphone, puis efface le compte sans inscription.
L'application continue de fonctionner hors ligne : les saisies sont conservées sur l'appareil et envoyées dès que la connexion revient.
| Catégorie | Détail |
|---|---|
| Compte | Adresse e-mail, mot de passe (jamais en clair : seule une empreinte est conservée), ou identité Google / Apple si tu passes par eux. Prénom, nom, pseudo et couleur d'avatar. Pour un compte sans inscription : ni e-mail ni mot de passe, seulement un identifiant technique, le prénom, la couleur et la langue de l'app (point 2). |
| Dernière ouverture | Pour un compte sans inscription seulement : la date de dernière ouverture de l'application, envoyée par l'app quand elle s'ouvre avec une connexion à Internet. Elle sert uniquement à effacer le compte au bout de 6 mois sans ouverture (point 7). |
| Voyages | Nom, description, emoji, dates, devises, budget. |
| Participants | Prénom, nom et, si tu les saisis, adresses e-mail des personnes que tu ajoutes à un voyage. Foyers auxquels tu les rattaches. |
| Dépenses | Montant, devise, taux de change utilisé, catégorie, date et heure, lieu, ville, pays et coordonnées GPS si tu les enregistres, notes libres, répartition entre participants, qui a payé. |
| Photos de reçus | Les images que tu joins à une dépense. Un reçu montre souvent le commerçant, son adresse, la date, le détail des achats, parfois les derniers chiffres d'une carte. |
| Moyens de paiement | Libellé que tu choisis, type, couleur, et les 4 derniers chiffres si tu les saisis. Jamais de numéro de carte complet, de code de sécurité ni d'IBAN : l'application ne les demande pas. |
| Liquide et cartes | Enveloppes de liquide, cartes du voyage, titulaires, mouvements — dont, pour un retrait au distributeur, le montant débité, la devise, les frais et le taux que tu saisis —, et la note libre d'un mouvement, avec le compte de la personne qui l'a écrite. |
| Remboursements | Qui a remboursé qui, combien, par quel moyen, et la note libre éventuelle. |
| Journal d'activité | Qui a créé, modifié ou supprimé quoi, et quand, avec le nom et le compte de l'auteur et un instantané avant/après de la modification. |
| Abonnement | Si tu souscris AltosTrip Pro : le fait que l'abonnement est actif, sa date d'échéance, la plateforme, et la référence d'achat fournie par la boutique — sur iPhone, l'identifiant de transaction d'Apple ; sur Android, le jeton d'achat Google Play. Aucune donnée bancaire : c'est Apple ou Google qui encaisse. |
| Invitations | Les liens de partage que tu émets (rôle donné, date d'expiration), et qui les a acceptés. Si tu invites quelqu'un par e-mail : son adresse, inscrite au registre des envois — à quelle adresse, par qui, quand, et si l'envoi a réussi —, qui sert à limiter les envois répétés et à savoir ce qui est parti. Ce registre est gardé 30 jours ; l'adresse n'est pas conservée dans le lien lui-même. |
| Programme | Les activités prévues d'une sortie : titre, jour et heure de début et de fin, lieu, prix ou estimation, organisateur, et la réponse de chacun (« je viens », « pas cette fois », payé). Pour un hébergement, si tu les saisis : repas, parking, chambres et lits, équipements, téléphone, plateforme, référence et lien de réservation, date d'annulation gratuite, code d'accès (porte, boîte à clés) et notes. Pour un trajet : moyen de transport, destination, compagnie, numéro, terminal, porte, bagages, places attribuées à chacun, rendez-vous du groupe, référence et lien de réservation, notes. |
| Sondages | La question, les choix, la date limite, le vote de chaque participant, le choix retenu et le participant qui a lancé le sondage. |
| Type de sortie et invité d'honneur | Le type d'une sortie (voyage, EVG, anniversaire, week-end), le participant désigné invité d'honneur et ce que le groupe lui offre. |
| Lien du programme | Pour un voyage dont le programme se partage par lien web : un code aléatoire, sa date de création et le compte qui l'a créé (point 5). |
| Suppressions | Quand une ligne est supprimée (dépense, part, voyage…), son identifiant — un code aléatoire —, le nom du tableau et la date. Rien d'autre : ni contenu, ni auteur. Ces identifiants empêchent qu'un appareil resté hors ligne ne la fasse réapparaître. |
Aucune publicité, aucun pistage, aucun identifiant publicitaire, aucune mesure d'audience, aucun rapport de plantage envoyé à un tiers. Il n'y a aucun outil de ce genre dans l'application — à la réserve près décrite juste en dessous —, et l'app Android ne demande même pas la permission d'accéder à l'identifiant publicitaire.
Une réserve, sur Android seulement : les deux modules de Google que l'app embarque — ML Kit, qui lit le montant d'un reçu, et le lecteur de QR code des services Google Play — envoient d'eux-mêmes à Google des métriques techniques : fabricant, modèle et version du téléphone, nom et version de l'app, un identifiant propre à l'installation (qui ne désigne pas une personne), format et taille de l'image traitée, durées de traitement et codes d'erreur. Jamais l'image, ni le texte du reçu, ni le contenu du QR code. Google s'en sert pour le diagnostic et les statistiques d'usage de ses modules ; nous ne recevons rien de ces métriques, et ces modules ne permettent pas de les couper.
La lecture automatique du montant sur une photo de reçu se fait entièrement sur ton téléphone. L'image n'est envoyée à personne pour être analysée.
La base de données et les photos de reçus sont hébergées chez Supabase, dans son centre de données d'Irlande — donc dans l'Union européenne. Il n'y a pas de transfert de la base vers un pays tiers.
Les e-mails que le service envoie passent en revanche par Resend, aux États-Unis : ce qu'il reçoit, et sur quelle base, est au point 6.
Une copie des données de tes voyages reste sur ton téléphone, pour que l'application fonctionne hors ligne.
Un voyage partagé l'est vraiment : les personnes qui en sont membres voient les dépenses du voyage avec leurs montants, leurs lieux et leurs coordonnées, tes notes libres, les photos de reçus attachées, la répartition, les remboursements, les cartes et enveloppes du voyage avec leurs mouvements et leurs notes, et le journal d'activité avec ton nom. Elles voient aussi ton prénom, ton nom, ton pseudo et ta couleur d'avatar, et le programme avec les détails des hébergements et des trajets — codes d'accès, références de réservation et notes compris —, les réponses de chacun, les sondages et le vote de chacun.
Les administrateurs d'un voyage voient en plus le registre des invitations envoyées par e-mail pour ce voyage : l'adresse, la date et le résultat de chaque envoi.
C'est le principe de l'outil, mais il vaut d'être dit clairement : n'écris pas dans une note — d'une dépense, d'un remboursement, d'un mouvement de liquide ou du programme — ce que tu ne dirais pas au groupe, et n'y mets un code d'accès que si tout le groupe peut le voir.
Un membre qui peut modifier le voyage, avec un compte, peut partager le programme par un lien web (altostrip.ch/programme/…), par exemple dans le groupe de discussion de la sortie. AltosTrip n'envoie ce lien à personne : il circule seulement si un membre le transmet. Toute personne qui a ce lien, même sans l'app et sans compte, voit :
Elle ne voit jamais les adresses e-mail, les noms de famille, les dépenses, les soldes, ni les autres détails d'un hébergement ou d'un trajet : codes d'accès, références et liens de réservation, téléphone, chambres et lits, places attribuées, rendez-vous et notes. Une fiche devenue « Voyageur » (point 8) n'y apparaît plus, ni ses réponses, ni ses votes.
Elle peut répondre « je viens » ou « pas cette fois » à une activité et voter à un sondage au nom de n'importe quel participant du voyage : comme un tableau affiché dans un groupe, le lien ne vérifie pas qui répond. Le prénom qu'elle choisit est gardé dans son navigateur, rien d'autre.
Le lien n'expire pas. S'il est parti trop loin, ou si quelqu'un quitte le groupe, un membre qui peut modifier le voyage le révoque en tirant un nouveau lien (« Nouveau lien web », dans le menu de partage du programme sur iPhone, sous le bouton de partage sur Android) : l'ancien cesse aussitôt de fonctionner.
Il faut le dire franchement : l'administration technique du service donne un accès à l'ensemble de la base et du stockage, y compris aux dépenses privées et aux photos de reçus. C'est inhérent à l'exploitation d'un service hébergé. Cet accès n'est utilisé que pour faire fonctionner le service, corriger une panne et répondre à tes demandes de support. Nous ne consultons pas les données des voyages pour d'autres raisons, nous ne les vendons pas et nous ne les communiquons à personne, sauf obligation légale.
Un seul de ces tiers détient l'ensemble de tes données : l'hébergeur, parce qu'héberger le service, c'est précisément détenir la base et le stockage. Tous les autres ne reçoivent qu'un élément précis — une position exacte ou approchée, deux codes de devise, un lieu que tu tapes, une identité de connexion, un paiement, un e-mail à acheminer, des métriques techniques — et aucun d'eux ne reçoit le détail de tes dépenses : ni tes montants, ni tes notes, ni tes photos de reçus. Voici, précisément, ce que chacun reçoit et pourquoi.
| Tiers | Ce qu'il reçoit | Pourquoi |
|---|---|---|
| Supabase (Irlande, UE) | Toutes les données décrites au point 3 | Héberge la base, le stockage des reçus et l'authentification |
| Apple | Sur iPhone : les coordonnées GPS d'une dépense, pour retrouver l'adresse et les lieux proches ; la zone de carte affichée ; quand tu cherches un lieu ou une adresse, le texte que tu tapes, avec la zone de carte affichée pour le lieu d'une dépense, ou une zone autour de la sortie pour le lieu d'une activité du programme (la position d'une dépense localisée du voyage, ou la tienne si tu l'as déjà permise), pour proposer d'abord les lieux proches. Si tu utilises « Se connecter avec Apple » : ton identité Apple. Si tu t'abonnes sur iPhone : le paiement de l'abonnement. | Adresse à partir d'une position, recherche de lieu, fond de carte, connexion, encaissement de l'abonnement |
| Sur Android : les coordonnées GPS transmises au service d'adresses du téléphone. Si tu utilises « Continuer avec Google » : ton identité Google. Si tu t'abonnes sur Android : le paiement de l'abonnement, par Google Play. Les modules ML Kit (lecture du montant d'un reçu) et lecteur de QR code des services Google Play : les métriques techniques décrites au point 3 — jamais l'image, ni le texte du reçu, ni le contenu du QR code. | Adresse à partir d'une position, connexion, encaissement de l'abonnement, lecture d'un reçu ou d'un QR d'invitation ; les métriques servent à Google pour le diagnostic et les statistiques d'usage de ses modules | |
| Resend (États-Unis) | L'adresse e-mail du destinataire et le message. Pour la confirmation de ton adresse ou un mot de passe oublié : ton adresse et le lien. Pour une invitation : l'adresse de la personne invitée, son prénom si tu l'as saisi, ton nom tel qu'il figure sur ton profil (à défaut, la partie de ton adresse avant l'arobase), le nom du voyage, le lien d'invitation et sa date d'expiration. | Envoyer les e-mails d'AltosTrip. Resend conserve le message et son journal d'envoi 30 jours. Transfert encadré par les clauses contractuelles types de la Commission européenne, adaptées au droit suisse, et par le Data Privacy Framework UE–États-Unis |
| OpenStreetMap | Sur Android : la zone géographique que tu consultes sur la carte. Et, quand tu cherches un lieu au clavier, le texte que tu tapes. | Fond de carte et recherche d'adresse |
| komoot (Allemagne) — service Photon | Sur Android : les coordonnées d'une position, arrondies à environ 110 mètres — la tienne quand tu remplis le lieu d'une dépense ; quand tu cherches le lieu d'une activité du programme, celle de la dernière dépense localisée du voyage ou, à défaut, la dernière position connue de ton téléphone si tu l'as déjà permise —, le texte que tu tapes dans cette recherche, et ton adresse IP. Rien d'autre — ni compte, ni e-mail, ni montant, ni nom de voyage. | Te proposer les lieux autour de toi (restaurant, magasin, hôtel…) quand tu remplis le lieu d'une dépense, et trouver le lieu d'une activité du programme. Jamais en tâche de fond |
| Frankfurter et open.er-api.com | Deux codes de devise et une date. Aucun montant, aucun identifiant. | Taux de change du jour |
Dans tous les cas, le simple fait d'appeler un service depuis ton téléphone lui rend visible ton adresse IP ; c'est vrai de n'importe quelle application connectée.
Les rappels de remboursement et les rappels du programme sont des notifications locales : elles sont programmées par ton téléphone, rien n'est envoyé à un serveur de notifications. Leur texte — deux prénoms et un montant pour un remboursement ; le titre, l'heure, le lieu et le nom du voyage pour une activité, et pour un trajet l'heure et le lieu du rendez-vous — est en revanche confié au système d'exploitation, comme toute notification.
Tes données sont conservées aussi longtemps que ton compte existe, sauf ce qui a une durée propre, ci-dessous. Pour un compte avec inscription, il n'y a pas de suppression automatique au bout d'un délai : c'est toi qui décides, avec les boutons décrits au point suivant. Un compte sans inscription, lui, s'efface de lui-même s'il n'est plus utilisé.
Deux actions distinctes, dans les réglages de l'application. Si tu n'as plus l'application ou plus l'appareil, la page Supprimer ton compte ou tes données dit comment demander la même chose par e-mail.
Sans compte, il n'y a qu'un bouton : « Supprimer mes données » efface aussi le compte sans inscription. C'est donc la suppression complète décrite plus bas, sous « Supprimer mon compte », et l'application repart de zéro.
Tout part : voyages, dépenses (y compris privées), liquide, cartes, reçus, moyens de paiement, invitations émises — liens et registre des envois par e-mail —, adhésions aux voyages des autres, et la copie locale sur ton téléphone. Les photos de reçus sont effacées du stockage dans les minutes qui suivent. Tes autres appareils sont déconnectés ; la copie qu'ils gardent n'est pas effacée à distance, elle disparaît en désinstallant l'application. Ton compte et ton abonnement payé sont conservés — tu peux te reconnecter sur un espace vide.
Si quelqu'un avait saisi ton adresse e-mail sur une fiche de participant, ou t'avait invité par e-mail, cette adresse est effacée elle aussi.
Dans les voyages partagés qui restent, tes votes aux sondages encore ouverts sont retirés. Tes réponses au programme (« je viens », « pas cette fois », payé) et tes votes aux sondages déjà clos restent, sous ta fiche devenue « Voyageur » (voir plus bas) : une réponse compte dans la dépense que l'organisateur tirera de l'activité, comme tes parts comptent dans les dépenses. La page du lien web du programme ne les montre plus.
Trois choses ne peuvent pas simplement disparaître, parce qu'elles appartiennent aussi aux autres voyageurs :
Et cinq limites qu'il est honnête d'énoncer :
Enfin, si tu te reconnectes ensuite avec Google ou Apple, ton prénom et ton nom seront de nouveau transmis par eux : c'est inévitable puisque ton identité de connexion, elle, est conservée.
La même purge, plus la suppression définitive du compte : ton adresse ne permet plus de se connecter. Les mêmes trois exceptions s'appliquent, pour la même raison — ne pas détruire les comptes des autres voyageurs.
Tu peux demander l'accès à tes données, leur correction, leur suppression, leur portabilité, et t'opposer à un traitement.
Pour tout le reste, écris à info@altostrip.ch : nous répondons dans les 30 jours. Tu peux aussi adresser une réclamation au Préposé fédéral à la protection des données et à la transparence (Suisse) ou, si tu résides dans l'Union européenne, à l'autorité de contrôle de ton pays.
Les échanges entre l'application et nos serveurs sont chiffrés (HTTPS). Les jetons de session sont rangés dans le trousseau sécurisé du téléphone. Les photos de reçus sont dans un espace de stockage privé, dont l'accès est vérifié à chaque lecture. Le cloisonnement entre comptes et entre voyages est appliqué par le serveur, et non par l'application : un client modifié ne peut pas aller voir les données d'un autre voyage. Le lien du programme repose sur un code aléatoire long, impossible à deviner, placé après le « # » de l'adresse : le navigateur ne l'envoie pas au serveur du site, qui ne l'inscrit donc dans aucun journal.
Aucun système n'est infaillible. Utilise un mot de passe que tu n'utilises nulle part ailleurs, et exporte régulièrement ce qui t'importe.
AltosTrip n'est pas destinée aux enfants. Il faut avoir 16 ans révolus pour créer un compte. L'application ne demande pas de date de naissance et ne vérifie pas l'âge : cette limite est contractuelle. Si tu constates qu'un compte a été créé par un enfant, écris-nous, nous le supprimerons.
Cette politique évoluera avec l'application. La version en vigueur est celle publiée ici, avec sa date. Un changement qui touche à ce qui est enregistré ou à qui le reçoit sera annoncé dans l'application ou par e-mail avant d'entrer en vigueur.