ThéoFacile — Politique de confidentialité

§ I.

Principe

ThéoFacile fonctionne exclusivement en local sur l’appareil. Le développeur ne dispose d’aucun serveur recevant les données des utilisateurs, n’a aucun accès aux contenus saisis, et ne collecte aucune information à des fins d’analyse, de mesure d’audience ou de profilage.

§ II.

Aucune donnée transmise au développeur

Aucune télémétrie, aucun analytics, aucun traceur publicitaire, aucun rapport d’erreur automatique, aucune statistique d’usage ne sont transmis au développeur ni à un tiers depuis l’application.

§ III.

Données traitées localement

Les informations saisies par l’utilisateur restent sur l’appareil.

membres, rôles et permissions,
programmes de réunion (S‑140),
rapports de prédication,
territoires et cartographie,
personnes rencontrées lors d’une recherche de langue (langue, emplacement, repère, suivi des visites) : la surdité relevant de la santé, ces fiches ne s’affichent qu’aux utilisateurs auxquels l’administrateur a accordé la langue concernée (dans la version actuelle, l’envoi de toute la base à un appareil y copie aussi ces fiches, même si son utilisateur ne peut pas les afficher ; une correction est en préparation), et n’apparaissent dans aucun export lisible (PDF, KML, archive ZIP) ni dans l’image de carte partagée,
présence aux réunions, campagnes, Mémorial,
documents S‑1, S‑10, S‑13, S‑21, S‑88, S‑89, visites du responsable de circonscription,
codes PIN des comptes et code de synchronisation de l’assemblée.

Ces données sont stockées dans une base SQLite chiffrée par SQLCipher (AES‑256). Dans la version actuelle, ce chiffrement ne protège pas encore contre une personne qui récupère les fichiers internes de l’application ; une clé propre à chaque appareil est en préparation.

§ IV.

Permissions Android utilisées

Chaque permission déclarée correspond à un usage strictement local. Aucune n’entraîne de transmission de données personnelles vers un tiers.

Permission	Finalité	Transmission externe
INTERNET	Téléchargement des fonds de carte OpenStreetMap pour l’affichage des territoires. Vérification de mise à jour de l’application.	Aucune donnée personnelle.
ACCESS_NETWORK_STATE	Détection de la disponibilité du réseau pour adapter le comportement de l’application.	Aucune.
ACCESS_FINE_LOCATION ACCESS_COARSE_LOCATION	Affichage facultatif de la position courante sur la cartographie des territoires, à la demande explicite de l’utilisateur. Lorsque l’utilisateur note une personne rencontrée « ici », la position du moment est enregistrée comme emplacement de cette fiche, et uniquement dans ce cas.	Aucune. La position n’est jamais suivie en arrière-plan ni transmise.
POST_NOTIFICATIONS	Affichage de rappels locaux dans le téléphone.	Aucune notification distante.

Pour associer un numéro de téléphone à un proclamateur, l’utilisateur choisit lui-même un numéro dans le sélecteur de contacts du système. L’application ne demande aucune autorisation d’accès aux contacts et ne lit que le numéro choisi, enregistré sur l’appareil ; le carnet d’adresses n’est ni lu ni copié.

§ V.

Sécurité

chiffrement local de la base de données (SQLCipher, AES‑256),
fichiers de sauvegarde .theo chiffrés avec le code de synchronisation de l’assemblée ; dans la version actuelle, ce chiffrement est faible : un fichier .theo ne doit être envoyé qu’aux personnes concernées et gardé comme un document confidentiel (un format plus sûr est en préparation),
connexion locale par un code PIN de 4 à 6 chiffres propre à chaque compte,
si la sauvegarde Android (Google) est activée sur le téléphone, elle peut copier les données de l’application dans le compte Google de l’utilisateur ; leur exclusion de cette sauvegarde est en préparation,
aucun canal d’accès distant exposé : ni connexion entrante, ni administration à distance,
l’export en documents lisibles (archive ZIP de PDF) n’est volontairement pas chiffré, pour rester lisible sans l’application : l’utilisateur est invité à le conserver en lieu sûr.

§ VI.

Conservation et suppression

Les données sont conservées aussi longtemps que l’utilisateur le souhaite. Pour les supprimer définitivement, deux moyens :

désinstaller l’application via les paramètres Android, ce qui efface l’intégralité des données locales ;
supprimer un enregistrement spécifique (membre, programme, etc.) depuis l’interface de l’application.

§ VII.

Responsable de traitement

Le développeur n’étant pas destinataire des données, le responsable de traitement au sens du RGPD est l’utilisateur de l’application qui saisit et conserve ces données. C’est à lui de s’assurer du respect des obligations applicables vis-à-vis des personnes dont les informations sont enregistrées.

L’application produit à tout moment des exports standards (PDF, Excel, fichier .theo) qui permettent à l’utilisateur de répondre aux demandes éventuelles d’accès, de rectification, d’effacement ou de portabilité.

§ VIII.

Sous-traitants

Le développeur n’utilise aucun sous-traitant qui aurait accès aux données des utilisateurs — aucune donnée n’étant transmise, il n’y a pas de service tiers à qui elle pourrait l’être.

Les fonds de carte sont servis par les serveurs OpenStreetMap ; la vue satellite, si l’utilisateur la choisit, par le service d’imagerie d’Esri (ArcGIS). Ces serveurs ne reçoivent que la zone de carte affichée, sans donnée personnelle. Lorsque l’utilisateur demande le découpage automatique d’un territoire, l’application envoie au service public Overpass d’OpenStreetMap (ou, s’il ne répond pas, à un serveur miroir de ce service) les seules coordonnées de la zone concernée, afin d’obtenir les rues et les noms de localités qui s’y trouvent : ni nom, ni position de l’appareil, ni autre donnée de l’assemblée ne sont transmis. Lorsqu’un lien court Google Maps (maps.app.goo.gl) est partagé vers l’application, celle-ci interroge ce lien auprès de Google pour en lire les coordonnées : seul le lien reçu est transmis. Une position partagée depuis WhatsApp est lue sur l’appareil, sans aucune requête. Les vidéos de démonstration présentes sur ce site sont hébergées par le site lui-même, sans service tiers.

Certaines fonctions proposent d’envoyer un document ou un message : relance d’un rapport de prédication, fiche de devoir S‑89, adresses de personnes à visiter (langue, repère et emplacement seulement, chaque envoi étant noté dans la fiche), partage d’un programme ou d’une sauvegarde. ThéoFacile n’envoie rien lui-même : il ouvre, à la demande de l’utilisateur, l’application de messagerie de son choix (par exemple WhatsApp) avec le message ou le fichier préparé, et c’est l’utilisateur qui décide de l’envoyer. Ce qui est alors transmis l’est par cette application, selon ses propres conditions.

Pour proposer une nouvelle version, l’application demande à Google Play, sur l’appareil, si une mise à jour existe ; cette vérification passe par le service Google Play déjà utilisé pour l’installation et ne transmet aucune donnée de l’assemblée. Le bouton « ? » et le menu Aide ouvrent les pages de ce site dans le navigateur de l’appareil, sans aucune information sur l’utilisateur. À chaque nouvelle version, une copie de sécurité de la base, chiffrée comme elle, est gardée dans le dossier privé de l’application (les deux plus récentes seulement) ; elle ne quitte l’appareil que par la sauvegarde Android, si l’utilisateur l’a activée (voir § V), et disparaît de l’appareil avec la désinstallation. Les polices de caractères de l’application sont téléchargées par les services Google Play du téléphone, sans aucune donnée de l’assemblée.

§ IX.

Mises à jour de la politique

Cette politique peut être ajustée pour refléter une évolution de l’application. La date de dernière révision figure en tête de page.

§ X.

Contact

Pour toute question relative à cette politique.

Courriel: theofacile.contact@gmail.com — réponse sous quelques jours