Archibald

Politique de confidentialité d'Archibald

Dernière mise à jour : 2 octobre 2026

Archibald raconte l'histoire des façades autour de vous. L'application ne crée aucun compte, ne demande aucune inscription, et n'envoie vos données sur aucun serveur nous appartenant : nous n'avons pas de base de données vous concernant. Ce document décrit précisément ce qui reste sur votre téléphone, ce qui en sort, et quand.

En résumé

La localisation

Archibald utilise votre position précise, pour deux usages :

• trouver les façades autour de vous quand vous appuyez sur « Chercher autour de moi » ;
• tracer votre trajet pendant une balade.

En arrière-plan. Pendant une balade, et seulement pendant une balade, le suivi continue si votre écran se verrouille, pour ne pas perdre le tracé. iOS affiche alors une pastille bleue. Le suivi s'arrête dès que vous terminez ou abandonnez la balade.

Ce qui est transmis. Pour chercher les lieux proches, l'application envoie vos coordonnées aux sources publiques listées plus bas, le temps de la requête. Elle interroge aussi le service de géocodage d'Apple pour afficher le nom de votre quartier en haut de l'écran d'accueil ; cela se produit automatiquement dès qu'une position est connue. Ces coordonnées ne sont associées à aucun identifiant de votre part.

Ce qui est conservé sur l'appareil. Le nom de quartier obtenu est mis en cache localement, indexé par la position arrondie à une centaine de mètres, afin de ne pas refaire la même requête. Ce cache et celui des adresses partagent un plafond de 500 entrées, et le surplus le plus ancien est retiré au lancement. Vos tracés de balade, eux, sont conservés tant que vous ne les supprimez pas.

Vous pouvez autoriser ou refuser la localisation à tout moment dans les Réglages de votre iPhone. Sans elle, l'application ne peut pas trouver les lieux autour de vous.

Ce qui est enregistré sur votre téléphone

• vos façades épinglées et leurs récits, copiés pour la relecture hors ligne ;
• vos carnets et les notes personnelles que vous y écrivez (jusqu'à 280 caractères) ;
• vos balades : tracé complet, distance, durée, façades croisées, et le nombre de pas que le podomètre de votre téléphone a comptés pendant la marche ;
• les étapes de parcours déjà atteintes ;
• votre profil de flânerie (habitante ou visiteuse, quartier de prédilection, date de fin de séjour si vous en avez indiqué une) ;
• l'état d'Archibald le chat (friandises, tenue portée) ;
• vos réglages (mode contemplatif, rendez-vous du matin, balades dans Santé, statistiques anonymes) ;
• des caches techniques : adresses, quartiers, itinéraires, adresses des photos ;
• les photographies déjà vues, gardées le temps qu'elles servent : au plus quarante mégaoctets, dans le dossier de caches que votre téléphone vide de lui-même quand il manque de place. C'est ce qui évite de retélécharger la même façade à chaque fois que vous rouvrez sa fiche, et donc de consommer votre forfait pour rien. Rien n'y est identifiant : un fichier par image, nommé par une empreinte de son adresse.

Sauvegarde. Ces informations vivent dans le stockage de l'application. Si vous avez activé la sauvegarde iCloud ou une sauvegarde par ordinateur, elles y sont incluses comme celles de vos autres applications, à l'exception des caches de photographies et d'itinéraires, que le système range dans un dossier qu'il ne sauvegarde pas, et sont alors soumises aux conditions du service de sauvegarde que vous utilisez.

Effacement. Vous pouvez supprimer une balade, un carnet ou une façade épinglée depuis l'application. Pour tout effacer d'un coup, désinstallez l'application : le stockage local part avec elle. Une sauvegarde iCloud antérieure, en revanche, subsiste jusqu'à ce que vous la supprimiez dans les réglages iCloud de votre iPhone.

Ce que vous choisissez de partager

Rien de ce que vous écrivez, tracez ou photographiez ne sort de votre téléphone sans un geste de votre part. Quand vous en faites un :

• Cartes et stories de balade : l'image produite contient votre tracé, mais les 200 premiers et derniers mètres sont systématiquement retirés pour ne pas révéler votre point de départ ni d'arrivée. Une balade de moins de 500 mètres ne montre aucun tracé.
• Story avec votre photo : la photo que vous choisissez est lue dans votre photothèque, utilisée pour composer l'image, et ne part que là où vous l'envoyez.
• Carnet Voyageur : le carnet partagé (titre, façades, vos notes) voyage dans le QR code ou dans le lien. Dans un lien, il est placé après le #, une partie de l'adresse que les navigateurs n'envoient jamais au serveur : notre site ne le reçoit pas.
• Livre de façades (PDF) et signalement d'erreur (courriel prérempli) : envoyés par vous, à qui vous décidez.

Mesure d'audience

L'application intègre TelemetryDeck, un outil de mesure anonyme hébergé dans l'Union européenne, sans identifiant publicitaire et sans profil individuel. Il sert à savoir quelles fonctions sont utilisées, et rien d'autre.

Depuis le 13 septembre 2026, cette mesure est active. Voici exactement ce qui part :

• le nom de la fonction qui vient de servir, et lui seul : « un récit a été lu », « une balade a démarré », « une carte a été partagée ». Jamais quel récit, jamais quelle adresse, jamais quel texte vous avez écrit ;
• un identifiant d'appareil, que l'outil de mesure produit de lui-même à chaque session pour ne pas compter deux fois la même ouverture. Nous ne le demandons pas et nous ne le lisons pas.

Ni l'un ni l'autre n'est rattaché à votre identité, et ni l'un ni l'autre ne sert à vous suivre : rien n'est recoupé avec des données venues d'autres sociétés, et il n'existe nulle part de profil vous concernant. Ce qui ne part jamais, et cela ne changera pas : votre position, vos trajets, vos carnets, vos notes, vos photographies.

Vous pouvez couper cette mesure à tout moment, par l'interrupteur « Partager des statistiques anonymes » de l'écran À propos. Le refus est respecté à la racine, et dans les deux sens du terme : l'outil de mesure est arrêté immédiatement, et non pas simplement empêché de parler ; et aux lancements suivants, il n'est plus démarré du tout. C'est la seule façon sûre de tenir cette promesse, parce qu'un outil de mesure encore en marche émet des signaux de session qui ne passeraient pas par nous.

Sources externes consultées

Pour afficher le contenu patrimonial, l'application contacte des services publics de données ouvertes. Ils reçoivent les coordonnées nécessaires à la requête, et leurs traitements relèvent de leurs propres politiques :

• Wikipédia et Wikimedia Commons (Wikimedia Foundation) : résumés et photographies ;
• Paris Musées (Ville de Paris) : photographies anciennes des collections municipales (Carnavalet, Petit Palais), pour le volet « Autrefois » des fiches ;
• Plans (Apple) : fonds de carte, itinéraires piétons, géocodage inverse.

Conformément aux règles d'usage de Wikimedia, chaque requête est signée par une adresse de contact, afin que ces services puissent nous joindre.

À l'ouverture de l'accueil, l'application charge la photographie de la façade du jour depuis Wikimedia Commons, sans attendre un geste de votre part : c'est une image qui entre, et rien de vous qui sort. Mais la source voit passer la requête, et votre fournisseur d'accès votre adresse IP, comme pour n'importe quelle page consultée. Vous pouvez couper tout cela en mode avion ; l'app fonctionne alors sur ses récits embarqués, photographies, nom de quartier, fond de carte et itinéraires exceptés.

Le jour où les vignettes du widget seront activées, l'application les préparera au retour dans l'app, pour les matins à venir. Ces photographies-là viendront de Wikimedia Commons ou de Paris Musées, selon la façade tirée ; c'est l'application qui les déposera, le widget ne demandera jamais rien au réseau. Aujourd'hui, le widget n'affiche que du texte et ne charge aucune image.

Aucun cookie. Wikimedia dépose, sur toute requête d'image ou de résumé, un identifiant unique valable un an (WMF-Uniq) et une localisation grossière déduite de votre adresse IP (GeoIP). Jusqu'au 24 août 2026, l'application les acceptait et les renvoyait à chaque requête suivante : douze mois de consultations pouvaient être reliées entre elles. Ce n'est plus le cas. L'application n'accepte plus aucun cookie, n'en renvoie plus aucun, et efface au lancement ceux qui auraient été déposés avant cette date. Un test refuse tout appel réseau qui contournerait ce réglage, afin que la phrase ci-dessus reste vraie des versions à venir et pas seulement de celle-ci.

Les 4 901 récits de l'application, eux, sont embarqués, avec leurs traductions en anglais, espagnol, japonais et chinois : ils ont été rédigés et vérifiés en amont, et se lisent sans aucune connexion. Les 714 récits de jardins et de lieux nouveaux ajoutés à cette version se lisent en français dans toutes les langues, en attendant leur traduction.

L'appareil photo

L'écran « Alors et aujourd'hui » superpose la photographie ancienne d'une façade et ce que l'appareil photo arrière a sous les yeux, avec un rideau que vous tirez du doigt. C'est le seul endroit de l'application qui ouvre l'appareil photo.

• La caméra s'allume à l'ouverture de cet écran et s'éteint dès que vous le quittez, ou dès que l'application passe en arrière-plan. Jamais en fond, jamais ailleurs.
• Rien n'est enregistré. Aucune image n'est écrite sur le disque, et aucune ne part d'elle-même. Une seule prise de vue a lieu, et seulement si vous demandez à préparer l'image à partager : elle sert à composer cette image, qui reste en mémoire et disparaît avec l'écran.
• Une image ne sort que si vous la partagez. Le partage se fait en deux gestes : « Préparer l'image à partager » compose l'image, puis le bouton de partage ouvre la feuille du système, où vous choisissez vous-même la destination. Archibald n'envoie cette image nulle part de son côté, et n'en garde aucune trace.
• Vous pouvez refuser l'autorisation : l'écran montre alors la photographie ancienne seule, vous le dit en une phrase, et ne repose pas la question.

Vos pas

Pendant une balade, Archibald demande au podomètre de votre téléphone (Core Motion) combien de pas vous avez faits depuis le départ. iOS vous demande alors l'autorisation « Mouvement et forme » ; vous pouvez la refuser, et l'application fonctionne exactement pareil, sans compte de pas. Ce nombre est calculé sur l'appareil et enregistré avec la balade : il ne part sur aucun serveur, ni chez nous (nous n'en avons pas), ni ailleurs.

L'app Santé

Le réglage « Mes balades dans Santé » est éteint par défaut. Si vous l'allumez, iOS vous demande d'autoriser l'écriture, et chaque balade terminée est alors ajoutée à Santé comme une marche : son heure, sa durée et sa distance. C'est tout.

Trois choses méritent d'être dites clairement :

• Archibald demande uniquement le droit d'écrire. Il ne lit rien dans Santé : ni vos pas, ni votre poids, ni quoi que ce soit d'autre, et le système ne lui en donne d'ailleurs pas la permission, puisqu'il ne la demande pas.
• Vos pas ne sont pas réécrits dans Santé : votre téléphone les y enregistre déjà lui-même, et les ajouter une seconde fois fausserait vos totaux.
• Santé est un coffre local de votre iPhone. Écrire dedans ne fait rien sortir de l'appareil ; ce qu'il advient ensuite de ces données dépend de vos propres réglages Santé et iCloud, pas de nous. Vous pouvez retirer l'autorisation à tout moment dans Réglages › Santé, et supprimer les marches déjà écrites depuis l'app Santé elle-même.

Notifications

Le « rendez-vous du matin » est une notification locale, quotidienne, désactivée par défaut et activable dans l'écran À propos. Elle est produite par votre téléphone : rien ne transite par un serveur.

Achats

Les abonnements et achats éventuels passent par l'App Store d'Apple. Nous ne voyons ni votre moyen de paiement ni votre identité : l'application reçoit seulement l'information qu'un droit est actif. La restauration des achats s'appuie sur votre compte Apple.

Les mots qui viennent d'ailleurs

L'application n'a ni comptes, ni profils, ni fil d'actualité, ni messagerie : personne ne peut vous écrire dans Archibald. Une seule chose circule entre deux téléphones : un carnet voyageur, une liste de façades qu'une personne vous transmet par un lien ou un QR code. Ce carnet porte trois textes libres, écrits par elle : un nom, un sous-titre, et un mot par façade, de 280 signes au plus, qui voyage entier.

Ces textes ne sont pas les nôtres, et l'application le dit avant de vous les montrer, et continue de le dire après, une fois le carnet rangé chez vous : un mot reçu reste entre guillemets et se présente comme tel.

Avant de vous les montrer, elle en écarte ce qui n'a rien à faire dans une note de flânerie : les adresses web et les liens raccourcis, les adresses électroniques, les numéros de téléphone, les identifiants de portefeuille, les injures les moins équivoques, et les textes écrits tout en majuscules ou noyés sous la ponctuation. Elle vous indique ensuite combien de textes ont été mis de côté, jamais lesquels, ce qui reviendrait à vous les montrer quand même.

Ce filtre est un seuil, pas une garantie, et nous préférons le dire : il ne connaît que le français et l'anglais, il ne comprend pas ce qu'il lit, et quelqu'un de déterminé le contournera. C'est pourquoi le refus et le signalement sont à côté, sur le même écran.

Le contenu d'un carnet ne passe par aucun serveur : il voyage dans la partie du lien qui suit le #, que les navigateurs et les hébergeurs n'envoient jamais. Si le carnet vous arrive par un lien getarchibald.com, notre hébergeur voit passer la demande de la page : son adresse IP, son horodatage, mais jamais ce que le carnet contient. Par QR ou par AirDrop, il ne voit rien du tout.

Vous gardez la main. Chaque carnet reçu peut être refusé : il ne se rouvrira plus, même si le lien vous est renvoyé (les cinq cents derniers refus sont gardés), tant que vous ne videz pas vous-même la liste des refus. De ce carnet, l'application ne garde qu'une empreinte : une suite de seize signes calculée à partir de son contenu, d'où l'on ne peut retrouver ni le titre, ni les mots. Vous pouvez aussi fermer complètement la porte, dans « Régler Archibald › Les carnets qu'on vous envoie », et la rouvrir quand vous voulez. Enfin, tout carnet peut nous être signalé d'un geste : le message qui part contient l'empreinte du carnet, le nombre de façades, le nombre de mots déjà écartés et la version de l'application, jamais son contenu, et vous le relisez avant de l'envoyer.

Enfants

L'application ne demande aucune donnée personnelle. Elle ne comporte ni messagerie, ni publicité, ni achat déguisé. Le seul texte qu'elle affiche sans qu'il vienne d'elle ni d'une source publique identifiée est celui d'un carnet voyageur qu'on vous transmet ; voir la section ci-dessus pour ce qui en est filtré, et pour la façon de fermer cette porte.

Vos droits

Nous ne détenons aucune donnée qui vous désigne : ni compte, ni nom, ni adresse, ni contenu que vous ayez écrit. Il n'y a donc rien à consulter, corriger ou supprimer de notre côté, et vos données étant sur votre appareil, vous en gardez la maîtrise directe : voir « Effacement » ci-dessus.

La seule exception est décrite plus haut, section « Mesure d'audience » : des compteurs d'usage et un numéro de session partent chez TelemetryDeck. Ils ne sont rattachés à aucune identité, et nous n'avons aucun moyen de retrouver les vôtres parmi ceux des autres. Si cela vous gêne, l'interrupteur de l'écran À propos les arrête, et il les arrête dans la seconde. Pour toute question, écrivez-nous.

Modifications

Cette politique évoluera avec l'application ; la date en tête de document indique la version en vigueur.

Contact

contact@getarchibald.com