Politique de confidentialité (app)

Principes

L’app n’a aucun serveur et ne demande aucune création de compte. Elle n’intègre ni SDK publicitaire, ni mécanisme de pistage. Vos fiches goshuin, vos photos, vos notes et les noms de sanctuaires et de temples ne quittent pas l’appareil, quels que soient les réglages décrits ci-dessous.

Il existe deux exceptions, et vous pouvez arrêter l’une comme l’autre dans les Réglages. Depuis la version 1.3, vous choisissez si un relevé de l’endroit où l’app s’est arrêtée (un rapport d’incident) est envoyé au développeur et, depuis la version 1.6, si l’utilisation que vous faites de l’app (l’analyse produit : quels écrans vous ouvrez, et combien de fois) l’est également. Les deux se règlent séparément dans « Réglages → Confidentialité » de l’app. L’état de départ dépend de la version de l’app : dans les versions récentes, tous deux sont sur « envoyer ». Si vous en désactivez un dans les Réglages, l’envoi s’arrête à cet instant, et le mécanisme correspondant ne démarre plus ensuite. Ce qui est envoyé, et à qui, est décrit dans les sections « Rapports d’incident » et « Utilisation de l’app ».

La présente politique régit l’app elle-même. Le site qui présente l’app (goshuinbako.com, y compris la page que vous lisez) utilise des statistiques de consultation pour améliorer sa lecture. Pour le traitement des informations côté site, voir Politique de confidentialité (site). Dans l’app elle-même, l’analyse de l’utilisation (quels écrans vous avez consultés, et combien de temps) est un mécanisme distinct des statistiques du site, et vous pouvez l’arrêter à tout moment dans les Réglages de l’app. Les seules communications que l’app émet sont l’affichage de la carte, les achats et leur restauration sur l’App Store et, tant que les réglages ci-dessus sont activés, les rapports d’incident et l’utilisation de l’app.

Informations recueillies

L’app ne recueille ni votre nom, ni votre adresse e-mail, ni les identifiants de votre appareil, et n’envoie jamais votre position au développeur (le traitement de votre position actuelle est décrit sous « Position »). Les dates de visite, les noms de sanctuaires et de temples, les notes et les photos que vous saisissez sont enregistrés dans une base de données sur l’appareil, et aucun tiers — le développeur compris — ne peut les lire. Cela ne change pas lorsque « Envoyer les rapports d’incident » ou « Envoyer l’utilisation de l’app » est activé. Toutefois, lors des communications qui envoient les « Rapports d’incident » et l’« Utilisation de l’app », l’adresse IP de l’appareil parvient à leur destinataire (son traitement est décrit dans la section consacrée à chacun). Si vous nous écrivez par e-mail depuis « Réglages → Avis et contact », le développeur reçoit votre adresse e-mail, votre message, ainsi que la version de l’app, la version d’iOS, le modèle d’appareil et la langue d’affichage ajoutés à la fin du message, et ne les utilise que pour vous répondre et améliorer l’app. Cet e-mail part de votre propre app de messagerie ; l’app elle-même ne l’envoie jamais.

Photos

L’app ne reçoit que les photos que vous avez choisies dans le sélecteur du système iOS et en enregistre une copie réduite sur l’appareil. Elle ne demande pas l’autorisation de lire toute votre photothèque. Une photo que vous prenez avec l’appareil photo dans l’app est elle aussi enregistrée uniquement sur l’appareil, et n’est pas écrite dans votre photothèque ; l’autorisation d’utiliser l’appareil photo est demandée la première fois que vous vous en servez dans l’app. Pour une photo enregistrée avec « Ajouter un goshuin » ou « Photographier les pages », l’app enregistre aussi, uniquement sur l’appareil et séparément de la copie réduite, une copie de travail de 4096 px au plus sur le grand côté (sans informations telles que la date et l’heure ou le lieu de prise de vue), pour que vous puissiez refaire plus tard le recadrage ou l’ajustement. Pour une photo réajustée avec « Réajuster la photo », l’app garde sur l’appareil la photo telle qu’elle était avant la retouche, ou la copie de travail, afin de pouvoir la recréer à partir de la photo initiale. La copie de travail et la photo d’avant la retouche sont supprimées avec la fiche quand vous la supprimez, ou avec la photo quand vous la retirez de « Photos importées » (celles qui sont restées parce que l’app s’est fermée en cours de route sont supprimées à la prochaine ouverture de l’app), et ne sont pas incluses dans le fichier de sauvegarde chiffré. Les photos que vous gardez dans une visite notée sont elles aussi enregistrées uniquement sur l’appareil, en copie réduite (sans informations telles que la date et l’heure ou le lieu de prise de vue), et sont incluses dans le fichier de sauvegarde chiffré. Si vous supprimez la visite, ou si vous en retirez la photo puis enregistrez, la copie est supprimée elle aussi. Une photo envoyée à « Goshuin Ledger » depuis le menu de partage de l’app Photos ou d’une autre app est déposée, sous forme de fichier, dans un emplacement de l’appareil que seules cette app et son extension de partage peuvent utiliser (un App Group) ; à la prochaine ouverture de l’app, elle y est importée en copie réduite et le fichier d’origine est supprimé. Tant que vous gardez le widget de cette app sur l’écran d’accueil, le nom du sanctuaire ou du temple et la date d’un goshuin reçu le même jour d’une année précédente sont écrits dans ce même emplacement (si vous retirez le widget, ils sont supprimés à la prochaine ouverture puis fermeture de l’app), et seulement si vous choisissez « Afficher les photos dans le widget » dans les Réglages, une copie réduite de la photo affichée y est déposée également (une photo qui n’est plus affichée est supprimée). Les dates inscrites sur une photo sont lues sur l’appareil par la reconnaissance de texte (Vision d’iOS) comme propositions de date de visite ; le texte reconnu n’est pas enregistré et ne quitte pas l’appareil. Dans les versions qui ont « Retrouver le sanctuaire ou temple sur la photo », quand vous appuyez dessus, le texte écrit sur cette photo est lui aussi lu par la même reconnaissance de texte et comparé à la liste des sanctuaires et temples fournie avec l’app et aux noms des sanctuaires et temples que vous avez ajoutés vous-même, pour vous proposer des sanctuaires et temples (si la photo contient le lieu de prise de vue, les sanctuaires et temples proches de ce lieu peuvent eux aussi être ajoutés aux propositions. Le lieu de prise de vue d’une photo prise avec l’appareil photo de l’app n’est pas utilisé). Le texte reconnu n’est pas enregistré et ne quitte pas l’appareil. Dans les versions où « Photos importées » a une ligne « Suggestions tirées des photos », les photos placées dans « Photos importées » sont elles aussi lues une par une par la reconnaissance de texte sur l’appareil, pendant que l’app est ouverte, pour proposer une date de visite et un sanctuaire ou temple. Comme résultat de cette lecture, l’app ne garde sur l’appareil que la date qui a pu être lue, le numéro désignant le sanctuaire ou temple dont le nom correspond (une entrée de la liste fournie avec l’app, ou un sanctuaire ou temple que vous avez ajouté vous-même), des indices sur la lecture (la façon dont la date est écrite, la netteté des caractères, la page de gauche ou de droite d’une double page, le nombre de caractères du nom, le nombre de lignes lues), votre choix d’appliquer une proposition ou de ne pas l’utiliser, ainsi que la version de la méthode de lecture, la date et l’heure de la lecture, le nombre de fois où la lecture a échoué et le fait que la lecture a réussi ou non ; le texte reconnu lui-même n’est pas conservé. Si une photo importée depuis le sélecteur de photos ou depuis le menu de partage contient le lieu de prise de vue, l’app calcule sur l’appareil, une seule fois au moment de l’import, les numéros (10 au maximum) désignant les sanctuaires et temples situés à 500 m au plus de ce lieu, et les garde, sans garder la latitude ni la longitude du lieu de prise de vue. Ces données ne restent sur l’appareil que tant que la photo se trouve dans « Photos importées » ; elles sont supprimées au moment où vous l’ajoutez à un carnet ou la retirez de « Photos importées », ne sont pas incluses dans le fichier de sauvegarde chiffré et ne quittent pas l’appareil (lorsque le réglage « Utilisation de l’app » est activé, seuls sont envoyés des nombres exprimés sous forme de plages, comme le nombre de photos lues et le nombre de photos auxquelles une proposition a été appliquée, ainsi que la réussite ou l’échec de la lecture). Pour pouvoir vous signaler « Peut-être le même goshuin », l’app crée sur l’appareil, à partir des photos importées et des photos de vos fiches, une courte valeur qui représente les caractéristiques visuelles de chaque photo, et la garde ; si vous choisissez « Garder comme un autre goshuin », elle garde aussi la paire formée par ces deux photos. Ni l’une ni l’autre ne contient les photos elles-mêmes ; elles ne sont pas incluses dans le fichier de sauvegarde chiffré et ne quittent pas l’appareil (lorsque le réglage « Utilisation de l’app » est activé, seuls sont envoyés la réponse que vous avez donnée à ce signalement et le degré de ressemblance, réparti en deux niveaux). La date et l’heure de prise de vue contenues dans une photo servent de valeur de départ pour la date de visite. Si une photo contient le lieu de la prise de vue, celui-ci est lu sur l’appareil comme proposition pour placer un repère sur la carte du sanctuaire ou du temple. Il n’est pas utilisé sur la carte avant que vous ne choisissiez la proposition : le repère n’est placé, et la carte environnante affichée, qu’à ce moment-là (les communications avec Apple liées à l’affichage d’une carte sont celles décrites sous « Position »). Dans une fiche en cours de rédaction (un brouillon), le lieu de prise de vue reste aussi sur l’appareil jusqu’à ce que vous l’enregistriez ou l’abandonniez. Si vous choisissez de ne pas inclure les informations de localisation sous « Options » dans le sélecteur de photos d’iOS, le lieu de prise de vue n’est pas lu du tout.

Position

L’app ne demande l’autorisation d’utiliser votre position que dans les versions qui ont un bouton « Position actuelle » sur la carte ou sur l’écran des fiches, et uniquement quand vous appuyez sur ce bouton (seulement « Lorsque l’app est active » ; jamais à l’ouverture de l’app ni quand vous enregistrez une fiche). Si vous l’autorisez, votre position actuelle sert uniquement, sur l’appareil, à l’afficher sur la carte et à déplacer la carte autour, ainsi qu’à afficher les sanctuaires et temples proches sur la carte ou dans une liste, du plus proche au plus lointain, avec leur distance ; elle n’est jamais enregistrée ni envoyée. Le bouton « Position actuelle » de l’écran des fiches lit votre position une seule fois quand vous appuyez dessus et ne la suit jamais en continu. Un repère sur la carte n’est que le point que vous avez touché vous-même, le point choisi parmi les lieux de prise de vue d’une photo, ou la position d’un sanctuaire ou d’un temple choisi dans la liste fournie avec l’app (des données de Wikidata) ; rien d’autre n’est enregistré sur l’appareil, et l’app n’effectue ni recherche d’adresse ni géocodage inverse. Les sanctuaires et temples de cette liste affichés sur la carte sont eux aussi cherchés dans les données fournies, sur l’appareil, sans aucune requête réseau.

Les cartes sont affichées avec MapKit d’Apple, qui communique avec les serveurs d’Apple pour récupérer les tuiles de la carte. Les informations qui accompagnent ces communications, comme la zone affichée, sont traitées selon la politique de confidentialité d’Apple, et l’app ne les enregistre pas.

Dans les versions où les sanctuaires et temples de la carte ont le bouton « Itinéraire dans Google Maps » (l’icône d’itinéraire), l’app transmet le repère de ce lieu à Google Maps seulement quand vous appuyez sur ce bouton, pour qu’il affiche l’itinéraire. Dans les versions où l’écran d’un projet, sous « Projets de visite », a le même bouton, l’app transmet, seulement quand vous appuyez dessus, parmi les sanctuaires et temples rangés dans le projet, ceux dont la position est connue, au plus 4 lieux à la fois, dans l’ordre où vous les avez rangés. Elle ne transmet que la latitude et la longitude (et l’ordre des lieux), y compris pour un repère que vous avez placé à partir du lieu de prise de vue d’une photo. Elle ouvre normalement l’app Google Maps si elle est installée, sinon votre navigateur par défaut (en général Safari). Votre position actuelle, le nom du lieu, le nom ou la date du projet, les notes et vos fiches ne sont pas transmis, et Google Maps choisit le point de départ. La position transmise est traitée selon la politique de confidentialité de Google, et l’app ne l’enregistre pas.

Sauvegardes

Les données présentes sur l’appareil sont incluses dans la sauvegarde standard d’iOS (sauvegarde iCloud et démarrage rapide). Le fichier de sauvegarde (.goshuin) exporté par l’app est chiffré par la phrase secrète que vous définissez, et cette phrase secrète n’est ni enregistrée ni envoyée où que ce soit. Si vous l’oubliez, même le développeur ne peut pas déchiffrer le fichier.

Informations d’achat

L’achat intégré est traité par l’App Store d’Apple. L’app reçoit uniquement l’état de l’achat, et ne recueille ni n’enregistre d’informations de paiement telles que votre nom ou votre moyen de paiement.

Rapports d’incident (désactivables dans les Réglages)

Lorsque « Réglages → Confidentialité → Envoyer les rapports d’incident » est activé dans l’app, les informations suivantes sont envoyées, et seulement quand l’app s’arrête. Ce qui se passe quand vous le désactivez est décrit à la fin de cette section.

L’endroit de l’arrêt (la position dans le programme) et le type de l’erreur (quand l’app elle-même plante ou se fige, avec la description du motif enregistrée par iOS)
Le modèle de l’appareil et la version du système, la version et le numéro de build de l’app

Vos fiches goshuin, vos photos, vos notes, les noms et les positions des sanctuaires et des temples, le nom de votre appareil et votre adresse IP n’y figurent pas. Ce qui peut être envoyé est inscrit dans le code sous forme de liste d’autorisation, et des rapports d’erreurs interceptées dans l’app, tout ce qui ne s’y trouve pas est retiré avant l’envoi, quel qu’en soit le type. Le rapport d’un plantage ou d’un figement de l’app elle-même est envoyé directement par le composant de Sentry et ne passe donc pas par cette liste d’autorisation, mais il est configuré pour ne joindre ni le nom de l’appareil, ni l’adresse IP, ni capture d’écran, ni structure de l’écran, ni historique des actions. Comme il n’y a aucun compte, ce qui est envoyé n’est jamais rattaché à votre personne. Quant aux lancements, aux passages d’un écran à l’autre et à ce genre d’événements — l’utilisation elle-même n’est pas envoyée par les rapports d’incident (l’utilisation relève du réglage « Utilisation de l’app » ci-dessous, que vous choisissez à part).

Le sous-traitant est Functional Software, Inc. (« Sentry », aux États-Unis ; les données y sont également conservées). Pour son traitement des informations, voir la politique de confidentialité de Sentry (en anglais). Lors de l’envoi, l’adresse IP de l’appareil parvient à cette société, mais elle n’est pas jointe aux rapports, et nous avons paramétré son service pour que cette société n’inscrive pas dans les rapports l’adresse IP d’origine des connexions qu’elle reçoit. Si vous désactivez à nouveau le réglage, l’envoi depuis l’intérieur de l’app s’arrête à cet instant, et plus rien n’est envoyé à partir du lancement suivant. Toutefois, pendant le lancement même au cours duquel vous l’avez désactivé, le rapport d’un plantage ou d’un figement de l’app elle-même peut encore être envoyé. Par ailleurs, les rapports restés sur l’appareil avant que vous ne le désactiviez peuvent être envoyés plus tard, si vous le réactivez.

Utilisation de l’app (désactivable dans les Réglages)

Lorsque « Réglages → Confidentialité → Envoyer l’utilisation de l’app » est activé dans l’app, afin de corriger les fonctions difficiles à utiliser et de savoir à quel endroit cela se produit, l’app envoie l’ordre dans lequel vous avez ouvert les écrans et le fait qu’une opération soit allée ou non à son terme. Tant que le réglage est désactivé, aucune donnée n’est envoyée.

Le nom de l’écran (un nom fixe défini par cette app), l’ordre dans lequel il a été ouvert et la durée pendant laquelle il est resté affiché
Le nom de l’opération (importer des photos, ajouter au carnet, exporter, ouvrir la fenêtre d’achat, etc.) et son résultat
Le fait que l’app s’est figée ou s’est arrêtée en cours de route (le nom de l’écran à ce moment et une plage pour la durée de l’arrêt ; dans les versions récentes)
À propos de l’écran d’achat : combien de fois vous l’avez ouvert, combien d’enregistrements vous aviez et depuis combien de jours l’app est installée (chaque fois sous forme de plage, jamais les enregistrements eux-mêmes), et, à sa fermeture, si un prix était affiché, si vous avez appuyé sur acheter et comment il a été fermé. Si vous choisissez une « raison de ne pas acheter maintenant », ce choix (l’une de cinq options fixes). Dans les versions récentes
La version et le numéro de build de l’app, la version du système, le modèle de l’appareil et la taille de son écran, la langue choisie et le fuseau horaire
Un numéro aléatoire créé sur l’appareil au moment où l’envoi commence (ce n’est ni un compte ni un identifiant d’appareil ; il est jeté lorsque vous désactivez le réglage, et le réactiver ne fait pas revenir le précédent)
Si vous avez installé l’app depuis une publicité Apple (dans les versions récentes). C’est la réponse d’Apple à la requête de l’app ; si vous venez d’une publicité, elle comprend les numéros de campagne, de groupe d’annonces, de mot-clé et d’annonce (des chiffres attribués par Apple). La requête n’utilise qu’un code temporaire qu’Apple crée sur l’appareil ; ni les mots que vous avez recherchés ni l’identifiant publicitaire (IDFA) n’interviennent. Les communications liées à cette requête sont traitées conformément à la politique de confidentialité d’Apple

Vos fiches goshuin, vos photos, vos notes, les noms des sanctuaires et des temples, les dates de visite, les positions, le nom de votre appareil et le texte que vous saisissez n’y figurent pas. Ce qui peut être envoyé est inscrit dans le code sous forme de liste d’autorisation, et les valeurs se limitent à un choix prédéfini, à un nombre ou à un oui/non. Il n’existe aucun mécanisme permettant d’envoyer du texte saisi librement. L’app n’enregistre pas non plus ce qui se passe à l’écran, et le composant qui offrirait cette fonction n’est pas intégré à l’app. Seule exception : les numéros de publicité Apple ci-dessous, envoyés tels qu’Apple les attribue ; rien d’autre que des chiffres ne passe.

Ces informations ne servent pas au pistage publicitaire. Elles ne sont jamais rapprochées de données recueillies par les apps ou les sites d’autres entreprises, ni transmises à un courtier en données.

Le sous-traitant est PostHog, Inc. (« PostHog », aux États-Unis ; les données envoyées y sont également conservées). Pour son traitement des informations, voir la politique de confidentialité de PostHog (en anglais). Lors de l’envoi, l’adresse IP de l’appareil parvient à cette société. Nous avons paramétré son service pour qu’il n’enregistre pas les adresses IP reçues, mais ce paramétrage ne s’applique qu’à partir d’octobre 2026 : pour ce qui a été reçu avant, les adresses IP enregistrées à la réception sont toujours conservées (elles ne servent pas à estimer la région). Si vous désactivez à nouveau le réglage, l’envoi s’arrête à cet instant et ce qui n’a pas encore été envoyé est détruit sur l’appareil.

Communication à des tiers

Vos fiches, vos photos et vos notes ne sont jamais communiquées à un tiers. Les seuls acteurs extérieurs avec lesquels l’app communique sont Apple (le paiement App Store et les cartes MapKit, et, lorsque le réglage « Utilisation de l’app » est activé, la vérification d’une installation depuis une publicité Apple), Sentry lorsque les « Rapports d’incident » ci-dessus sont activés, et PostHog lorsque le réglage « Utilisation de l’app » est activé. Dans aucun de ces cas vos fiches goshuin, vos photos ou vos notes ne sont envoyées.

En dehors de cela, l’app n’ouvre une page web ou une autre app que lorsque vous appuyez sur un bouton ou un lien. Dans les versions qui ont les fiches des sanctuaires et temples, l’article Wikipédia cité comme source et la page de la licence de son texte (Creative Commons), ainsi que, dans les versions où un sanctuaire ou temple a la ligne « Site officiel », son site officiel enregistré dans Wikidata, s’ouvrent dans le navigateur intégré à l’app (Safari), et « Itinéraire dans Google Maps » ouvre Google Maps comme décrit dans « Position ». Les échanges avec la page ou l’app ouverte sont faits par ce navigateur ou cette app et traités selon la politique de qui l’exploite ; l’app ne reçoit pas ce que vous y consultez. Les fiches elles-mêmes (fondation, école, résumé de Wikipédia, etc.) sont des données fournies avec l’app et affichées sur l’appareil, sans échange pour elles.

Conservation et suppression

Vos fiches (dates de visite, noms de sanctuaires et de temples, notes) et les copies de vos photos sont enregistrées uniquement sur l’appareil et y restent jusqu’à ce que vous les supprimiez. Le développeur n’a aucun serveur et ne reçoit jamais ces données : il ne conserve donc rien, et aucune durée de conservation n’est fixée de son côté. Ce qui est envoyé par les « Rapports d’incident » est supprimé par Sentry au bout de 30 jours. La durée de conservation de ce qui est envoyé par l’« Utilisation de l’app » est celle que fixe notre contrat avec PostHog (une fois cette durée fixée, nous l’indiquerons dans la présente politique).

Supprimer un goshuin supprime aussi de l’appareil la copie de sa photo. Une photo rangée dans « Photos importées » est supprimée, copie comprise, lorsque vous la retirez de cette liste (l’original dans votre photothèque reste).
Une sauvegarde exportée (.goshuin) peut être supprimée dans « Réglages → Sauvegarde et nouvel iPhone → Historique des exportations ». Un CSV ou un PDF est créé dans une zone temporaire de l’appareil à chaque exportation, puis remis à la destination que vous choisissez dans la feuille de partage.
Une copie que vous avez enregistrée ailleurs depuis la feuille de partage — l’app Fichiers, iCloud Drive, un e-mail — est sous votre responsabilité. Supprimez-la à cet endroit lorsque vous n’en avez plus besoin.
Lorsque vous supprimez l’app, iOS supprime avec elle la base de données présente sur l’appareil, les copies de vos photos et les fichiers d’exportation encore à l’intérieur de l’app.
Les données reprises dans la sauvegarde standard d’iOS sont sous la responsabilité d’Apple. Si vous n’en voulez pas, supprimez la sauvegarde iCloud depuis les Réglages d’iOS.
L’enregistrement de votre achat est conservé par Apple et subsiste après la suppression de l’app. Après une réinstallation, « Réglages → Restaurer l’achat » rétablit l’achat. L’appareil ne détient qu’une note indiquant si vous avez acheté, et elle disparaît avec l’app.

Retrait du consentement et demande de suppression

Comme ni vos fiches ni vos photos ne sont envoyées hors de l’appareil, le développeur ne détient pas ces données. Vous pouvez arrêter l’envoi des « Rapports d’incident » et de l’« Utilisation de l’app » en les désactivant dans les Réglages (l’envoi s’arrête à cet instant). Si vous souhaitez la suppression de ce qui a déjà été envoyé, écrivez-nous à l’adresse ci-dessous. Toutefois, ce qui a été envoyé n’étant rattaché ni à votre nom ni à vos coordonnées, il peut arriver que nous ne puissions pas identifier ce qui vous concerne, ni donc le supprimer individuellement. Dans ce cas, nous vous en informons et vous en indiquons la raison. Pour retirer votre consentement au traitement décrit dans la présente politique, supprimez les données présentes sur l’appareil comme indiqué ci-dessus, puis supprimez l’app. Les photos ne sont reçues que comme celles que vous désignez chaque fois dans le sélecteur du système iOS, de sorte qu’aucune autorisation durable sur votre photothèque ne subsiste.

Les questions sur la manière de supprimer, ainsi que les demandes de retrait du consentement ou de suppression, sont reçues à l’adresse de contact ci-dessous. Nous répondons sans délai dès votre message.

La suppression de l’adresse e-mail inscrite sur la liste d’attente du site (dont les inscriptions sont closes), et la manière d’arrêter les statistiques de consultation du site, sont décrites dans Politique de confidentialité (site).

Révisions

En cas de révision de la présente politique, la révision est publiée sur cette page et la date de dernière révision est mise à jour.

Contact

Questions sur la présente politique : tomodahinata@gmail.com