Confidentialité KiloEcho : local d'abord, RGPD

1 · Responsable

Qui est responsable de vos données.

SARL ITAM, 65c chemin du Méou, 84360 Lauris, France. SIRET 802 602 920 00034, RCS Avignon 802 602 920. Représentée par Nuno Castro, gérant. C'est moi qui développe KiloEcho et qui lis vos messages.

Contact pour tout ce qui touche à vos données : nuno.castro@kilodelta.fr.

2 · Le schéma

Ce qui reste chez vous, ce qui part.

Reste sur le téléphone

Votre position au fil du temps : elle sert à centrer la carte, elle n'est pas enregistrée avec un identifiant
Les zones hors ligne téléchargées : fonds de carte, aléas Géorisques, profondeurs de crue
Vos réglages, si vous n'êtes pas connecté

FRkilodelta.fro2switch, Clermont-Ferrand

DECalcul et cartesOVH, Limburg

FRScalewayenvoi des e-mails

hors UE possibleGoogle Firebasenotifications

hors UETelegramalerte support vers l'éditeur

variableServices publicsVigicrues, Hub'Eau, IGN…

En jaune, les destinations qui peuvent se trouver hors de l'Union européenne, ou qui appliquent leurs propres règles à votre adresse IP.

3 · Ce qui part

Chaque flux, un par un.

Quand vous le décidez

Rien ne part tant que vous n'avez pas agi.

Seuil personnel sur une station → kiloecho.fr

Quand: Quand vous réglez une hauteur d'alerte sur une station.
Ce qui part: Le code de la station, la hauteur choisie (entre 0,05 et 30 m), l'état de l'alerte (armée ou déjà déclenchée) et la date du dernier déclenchement. Le seuil est rattaché au jeton de notification de votre appareil, pas à votre nom.
Pourquoi: Vous prévenir quand la hauteur mesurée par Hub'Eau atteint votre seuil, puis réarmer l'alerte quand l'eau est redescendue de 10 cm.
Base légale: Votre consentement, donné en réglant le seuil (art. 6.1.a du RGPD). Vous le retirez en supprimant le seuil.
Combien de temps: Jusqu'à ce que vous supprimiez le seuil dans l'application. Pas d'effacement automatique à ce jour : durée maximale à préciser.
Où, et qui le voit: Serveur kilodelta.fr, qui sert aussi kiloecho.fr (o2switch, France). Personne d'autre n'y a accès.

Message au support → kiloecho.fr

Quand: Quand vous envoyez le formulaire de support du site.
Ce qui part: Nom, e-mail, sujet, message, nature de la demande, module concerné et, si vous les remplissez, étapes pour reproduire, comportement attendu et observé, version de l'app, appareil et système. En plus : adresse IP et navigateur, pour lutter contre le spam.
Pourquoi: Vous répondre et corriger les bugs.
Base légale: Votre consentement, donné en envoyant le formulaire (art. 6.1.a).
Combien de temps: 3 ans à compter du dernier échange. Un message qui n'est pas confirmé par e-mail est supprimé au bout de 24 heures.
Où, et qui le voit: Serveur kilodelta.fr (o2switch, France). Le code de confirmation part par e-mail (Scaleway, France). Une fois le message confirmé, je reçois une alerte Telegram avec votre nom, votre e-mail et le début du message. Un message au support n'est jamais publié.

Avec un compte

Seulement si vous vous êtes inscrit et connecté.

Votre compte → kiloecho.fr

Quand: Si vous créez un compte. Il est facultatif : sans compte, l'application fonctionne.
Ce qui part: E-mail, nom, prénom, dates d'inscription et de dernière activité, adresse IP au moment de l'inscription. Journaux de connexion : adresse IP, appareil ou navigateur, e-mail. Le compte est commun aux applications de la SARL ITAM (KiloEcho et KiloDelta) : un même e-mail donne un seul compte.
Pourquoi: Retrouver vos stations et vos réglages sur un autre appareil, et ouvrir les fonds IGN réservés aux structures autorisées.
Base légale: L'exécution du service que vous demandez (art. 6.1.b).
Combien de temps: Tant que le compte existe. Un compte jamais activé est effacé au bout de 72 heures. Journaux de connexion : 12 mois. Liens de validation périmés : 90 jours.
Où, et qui le voit: Serveur kilodelta.fr (o2switch, France). Les e-mails de connexion partent par Scaleway (France).

Stations et réglages synchronisés → kiloecho.fr

Quand: Seulement si vous êtes connecté.
Ce qui part: Vos stations suivies et les réglages que l'application choisit de synchroniser, rangés par application.
Pourquoi: Les retrouver après une réinstallation ou sur un autre appareil.
Base légale: L'exécution du service (art. 6.1.b).
Combien de temps: Jusqu'à la suppression du compte, qui les efface avec lui.
Où, et qui le voit: Serveur kilodelta.fr (o2switch, France). Personne d'autre n'y a accès.

Clé d'accès IGN → IGN

Quand: Seulement si votre compte a obtenu le droit IGN, réservé aux structures autorisées.
Ce qui part: Le serveur remet une clé à votre téléphone. Pour afficher les fonds réservés, l'application l'envoie à la Géoplateforme de l'IGN avec chaque demande de tuile, avec votre adresse IP. Votre nom ne part pas chez l'IGN.
Pourquoi: Afficher les fonds de carte IGN réservés.
Base légale: L'exécution du service (art. 6.1.b). La trace de qui a eu accès aux fonds réservés, et quand, répond à une obligation envers l'IGN.
Combien de temps: Côté serveur, la trace du droit est gardée tant qu'il est actif, et le temps nécessaire pour en justifier auprès de l'IGN.
Où, et qui le voit: Serveur kilodelta.fr (o2switch, France) et Géoplateforme de l'IGN (France).

En arrière-plan

Technique, sans action de votre part.

Jeton de notification et stations suivies → Google Firebase

Quand: Si vous autorisez les notifications.
Ce qui part: Le jeton technique Firebase de l'appareil, la plateforme (iOS ou Android), la version de l'app, l'état des notifications (activées ou non), la liste des codes des stations que vous suivez (200 au plus) et la date de dernière activité. Rattaché à votre compte si vous êtes connecté ; le rattachement est retiré quand l'application le demande à la déconnexion.
Pourquoi: Vous envoyer les alertes des stations que vous suivez, et seulement celles-là : changement de vigilance Vigicrues, seuil personnel, vigilance Météo-France orange ou rouge du département, alerte anticipée. Afficher aussi le journal des alertes de ces stations sur 90 jours.
Base légale: Votre consentement, donné en autorisant les notifications (art. 6.1.a). Vous le retirez dans les réglages de l'application ou du téléphone.
Combien de temps: Effacé du serveur 90 jours après sa dernière activité. Un jeton refusé par Google est désactivé tout de suite, puis suit la même règle.
Où, et qui le voit: Serveur kilodelta.fr (o2switch, France) et Firebase Cloud Messaging (Google Ireland Ltd, projet « kiloecho »), qui peut traiter le jeton hors de l'Union européenne. Les notifications contiennent le nom de la station, la rivière, les niveaux et les hauteurs : aucune donnée personnelle.

Inventaire des installations → kiloecho.fr

Quand: Au démarrage de l'application, avec ou sans compte.
Ce qui part: Un identifiant d'installation tiré au hasard (il disparaît avec l'app), la plateforme, la version de l'app et du système, l'état de l'autorisation de notifications et la présence d'un jeton, avec les dates de première et de dernière apparition, et chaque jour où l'application s'est signalée. Rattaché à votre compte si vous êtes connecté. Ni adresse IP, ni modèle d'appareil, ni position ne sont enregistrés.
Pourquoi: Savoir quelles versions tournent encore, combien d'installations peuvent recevoir une alerte et combien utilisent l'application au fil des jours. Certaines actions (ouvrir la fiche d'une station, la pluie intense au point, les marégraphes) sont aussi comptées, sous forme d'un simple total par jour, sans identifiant.
Base légale: L'intérêt légitime à suivre le parc et la sécurité de l'application (art. 6.1.f).
Combien de temps: Les jours d'activité sont effacés au bout de 13 mois. L'inventaire lui-même : durée à préciser, pas d'effacement automatique à ce jour. Si votre compte est supprimé, l'installation n'y est plus rattachée.
Où, et qui le voit: Serveur kilodelta.fr (o2switch, France).

Cartes, vigilance et calculs → mes serveurs

Quand: Quand l'application charge une carte, la vigilance de votre secteur, les repères de crues ou une alerte anticipée.
Ce qui part: Des coordonnées ou une zone, des codes de stations, et l'adresse IP de votre connexion, sans identifiant de compte. Pour la vigilance du département, mon serveur retrouve la commune à partir des coordonnées auprès de geo.api.gouv.fr, et garde en cache le résultat sous le nom d'une maille d'environ 1 km, sans lien avec vous. Pour les repères de crues, la maille fait environ 5 km et le cache dure 30 jours.
Pourquoi: Afficher les cartes, la vigilance, les repères de crues et calculer l'alerte anticipée.
Base légale: L'exécution du service (art. 6.1.b). Journaux des serveurs : intérêt légitime à les protéger (art. 6.1.f).
Combien de temps: Les journaux techniques (adresse IP, date, adresse demandée, qui peut contenir des coordonnées) sont gardés 30 jours sur mes serveurs de calcul, un an au plus chez o2switch.
Où, et qui le voit: Mes serveurs : kilodelta.fr chez o2switch (France), calcul et cartes chez OVH (Limburg, Allemagne). L'application interroge aussi directement des services publics (Vigicrues, Hub'Eau, Géorisques, Copernicus, IGN, OpenStreetMap) qui voient votre adresse IP.

Le compte, en pratique. La connexion se fait sans mot de passe, par un lien ou un code envoyé à votre adresse e-mail. Tant qu'elle n'est pas confirmée, le compte ne sert à rien et il est effacé au bout de 72 heures.

4 · Le site kiloecho.fr

Ce que le site voit de vous.

Aucune mesure d'audience, aucun traceur tiers. Les pages de kiloecho.fr n'embarquent ni outil de statistiques, ni publicité, ni bouton de réseau social. Les polices sont celles de votre appareil : aucune requête vers Google Fonts.

Cookies techniques. Un cookie protège les formulaires contre la falsification de requêtes (CSRF), et un cookie de session peut s'y ajouter quand une page doit garder un message d'un écran à l'autre. Ils expirent au bout de 2 heures, sont strictement nécessaires et ne demandent donc pas de consentement préalable (article 82 de la loi Informatique et Libertés).

Carte de vigilance de l'accueil. Elle lit la vigilance Météo-France sur mon serveur. Votre navigateur n'envoie aucune position pour l'afficher.

Formulaire de support. Voir la fiche Message au support.

Journaux du serveur web. L'hébergeur o2switch conserve les journaux d'accès (adresse IP, date, adresse demandée) pendant la durée légale, un an au plus (article L34-1 du Code des postes et des communications électroniques). Ils ne sont consultés qu'en cas d'incident de sécurité ou de réquisition judiciaire.

5 · Combien de temps

Les durées, sur une seule page.

Donnée	Durée de conservation
Seuil personnel sur une station	Jusqu'à suppression du seuil (durée maximale à préciser)
Message au support	3 ans après le dernier échange ; 24 h s'il n'est pas confirmé
Votre compte	Tant que le compte existe ; 72 h s'il n'est jamais activé
Stations et réglages synchronisés	Jusqu'à suppression du compte
Clé d'accès IGN	Tant que le droit est actif
Jeton de notification et stations suivies	90 jours après la dernière activité
Inventaire des installations	Jours d'activité : 13 mois
Cartes, vigilance et calculs	Journaux : 30 jours (calcul), un an au plus (o2switch)
Journaux de connexion au compte	12 mois
Journaux d'accès au site (o2switch)	Un an au plus
Cookies du site	2 heures

Quand une durée est notée « à préciser », elle n'est pas encore fixée. Elle sera indiquée ici dès qu'elle le sera.

6 · Qui intervient

Hébergeurs, prestataires et services tiers.

Je ne transmets rien à ces sociétés pour de la publicité ou de la revente. Les services publics que l'application appelle directement appliquent leurs propres règles à votre adresse IP.

Qui	Rôle	Où
o2switch	Hébergement du site, de l'API, des comptes, des jetons de notification, des seuils et de l'inventaire	France (Clermont-Ferrand)
OVHcloud	Serveurs de calcul et de cartes	Allemagne (Limburg)
Google Firebase Google Ireland Ltd	Acheminement des notifications	UE, traitement hors UE possible (politique Firebase)
Scaleway	Envoi des e-mails (connexion, confirmation du support)	France
Telegram	Me prévient d'un message au support confirmé (nom, e-mail, début du message)	Hors Union européenne
IGN, Géoplateforme	Fonds de carte, dont les fonds réservés avec la clé IGN	France
Services publics appelés par l'app	Vigicrues, Hub'Eau, Géorisques, Copernicus (JRC), OpenStreetMap	Selon le service
geo.api.gouv.fr	Trouver la commune et le département d'un point, à la demande de mon serveur (sans votre adresse IP)	France
Sources lues par mon serveur	Météo-France, Vigicrues, Hub'Eau, plateforme des repères de crues, Open-Meteo : elles ne reçoivent rien de vous	Sans objet
Google Play, Apple App Store	Distribution de l'app, statistiques d'installation agrégées	Selon la boutique

7 · Vos droits

Vos droits, et comment vous en servir.

Les articles 15 à 22 du RGPD vous donnent un droit d'accès, de rectification, d'effacement, de limitation, d'opposition pour un motif légitime et de portabilité. Vous pouvez retirer votre consentement à tout moment, sans avoir à vous justifier, et dire ce que deviennent vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour exercer un droit, écrivez à nuno.castro@kilodelta.fr en précisant votre demande et, s'il y a lieu, l'adresse e-mail de votre compte. Je réponds sous un mois, délai qui peut être prolongé de deux mois si la demande est complexe (article 12.3).

Le plus simple pour les notifications : désactivez-les dans l'application ou dans les réglages du téléphone. Le jeton cesse alors de servir et il est effacé 90 jours après sa dernière activité. La suppression du compte se demande par e-mail.

En cas de désaccord, vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07).

8 · Ce qui a changé

Par rapport à la version d'août 2026.

Le jeton de notification n'est plus rattaché à l'e-mail du compte mais à l'identifiant interne du compte, et seulement si vous êtes connecté.
Ajout des seuils personnels, de l'alerte anticipée, de la vigilance Météo-France par département et du journal des alertes.
Ajout de l'inventaire des installations, qui existait déjà sans être décrit.
5 octobre 2026 : l'inventaire note aussi les jours où l'application s'est signalée (effacés après 13 mois), et certaines actions sont comptées en total par jour.
La position n'est pas enregistrée, mais des coordonnées partent bien vers mes serveurs pour la vigilance de votre secteur et les repères de crues. L'ancienne version disait le contraire.
Les durées de conservation sont désormais données pour chaque flux.