Privacy Policy — Zeppelin Map

Last updated: 25 October 2026 Version: 2.6

1. Who we are

Anaximae SASU — a single-shareholder simplified joint-stock company incorporated under French law, share capital €1,000, registered office at 173 Rue de Courcelles, 75017 Paris, France, SIREN 104 095 815, SIRET 104 095 815 00015, EU VAT FR31 104095815.

Anaximae is the publisher and the data controller (within the meaning of Article 4(7) of Regulation (EU) 2016/679, the "GDPR") of Zeppelin Map, an iOS mobile application for transit navigation in Paris and Île-de-France.

Contacts:

• General: contact@anaximae.com

• Privacy / GDPR rights: privacy@anaximae.com

• Commercial POI partners: partner@zeppelinmap.com

• Postal address: 173 Rue de Courcelles, 75017 Paris, France

We have not appointed a Data Protection Officer under Article 37 GDPR because our processing does not fall within the cases that require it (public authority, core large-scale systematic monitoring, large-scale processing of special categories).

2. Legal framework

This Policy complies with Regulation (EU) 2016/679 (GDPR, in force since 25 May 2018, with the corrigendum of 23 May 2018).

It aligns with Directive 2002/58/EC (ePrivacy — cookies and tracking on terminal devices) as transposed in France and Italy.

Anaximae actively monitors the proposal for a "Digital Omnibus" Regulation by the EU Commission (19 November 2025) and will update this Policy if adopted.

Position regarding Regulation (EU) 2024/1689 (AI Act): see §13.

3. Data we process

3.1 — Data that stays on your device

The following data is stored only on your iPhone. It is never sent to our servers and not even we can read it remotely.

• The avatar (an illustrated icon — not personal information) you pick during onboarding or in Settings

• Your Home and Work addresses if you registered them (stored in iOS Keychain with kSecAttrAccessibleWhenUnlockedThisDeviceOnly). The saved copy never leaves your device; when you type an address, the text is sent once to an address-search service to find it on the map (see §3.2)

• Trip history, favourite destinations, earned badges

• Saved trips: recurring trips and trips scheduled for a future date (name, stops, planned date and time)

• The trip in progress, so that you can resume it if the app is closed

• App preferences (map style, sounds, Live Activity, etc.)

• Diagnostic logs: in the App Store version they are kept only in memory while the app is running and are never written to storage. Log files written by earlier versions are deleted automatically

• GDPR consent flags (privacy policy accepted, T&C accepted, EULA accepted, telemetry opt-in)

During a trip, the Live Activity shows the next stop, the lines and the expected arrival time on your lock screen. It is generated on the device and can be turned off in iOS Settings.

Images you choose to share (itinerary card, badge card) are generated on the device and leave it only through the iOS share sheet, towards the destination you pick.

3.2 — Data that actually leaves your device

• Coordinates of your position and of your trip's stops, during route calculation and active navigation: sent to our proxy api.zeppelinmap.com (a Cloudflare Worker), which forwards them to the Navitia transit-routing service operated by Hove SAS via the IDFM API. Coordinates are never associated with your avatar or any identifier. Proxy logs are anonymised within 7 days per our Cloudflare configuration.

• Trip-stop count and route shape during route calculation: implicit in the routing request, same 7-day anonymisation.

• Next departures: for the public-transport steps shown in the trip panel, the identifiers of the departure stop and of the line (for trains, also of the arrival station) are sent to our proxy api.zeppelinmap.com, which forwards them to Île-de-France Mobilités (real-time next-departures service of the PRIM platform, or Navitia) to show the next departures. No position and no identifier are sent.

• Bike routes: when you choose the bike mode, the precise coordinates of your trip's stops and the cycling profile (average speed, type of bike) are sent to our proxy api.zeppelinmap.com, which forwards them to Geovelo through Île-de-France Mobilités' PRIM platform to calculate the route by bike. During the trip, if you leave the route and it has to be recalculated, your current GPS position is also sent, together with the stops still to reach. Your position is used only to calculate the route you asked for and is not stored: apart from a technical cache of a few minutes (see §5.2), it is not kept, it is not linked to your identity and it is not used for tracking or advertising. If Geovelo does not respond, the bike segment is drawn with Apple Maps (see §5.5).

• Address and place searches: the text you type in the search fields is sent to Apple Maps and, for street addresses in France, to the French national address database (Base Adresse Nationale), to find the place on the map. When you long-press a point on the map, its coordinates are sent to Apple Maps to show the name of the place. See §5.5.

• Walking directions: when you leave the dotted walking route during a trip, your current position and the end point of that walking segment are sent to Apple Maps to redraw the route. See §5.5.

• Weather: the coordinates of the place for which weather is displayed are sent to Open-Meteo. See §5.5.

• Map display: the map tiles for the area on screen are loaded from Apple Maps.

• Aggregate usage statistics via TelemetryDeck — only if you have toggled "Anonymous statistics" ON, which is OFF by default. See §5.4.

As with any internet connection, each service contacted technically receives your device's IP address for the duration of the request.

Location in the background is used only while a trip is in progress and is switched off shortly after you arrive.

3.3 — Data synced to iCloud

Your cumulative stats (kilometres travelled, number of trips, unlocked badges) are synced via NSUbiquitousKeyValueStore to your personal iCloud account. They are visible only to you, across all your Apple devices logged in with the same Apple ID. Anaximae has no access to your iCloud.

3.4 — Special categories (Article 9 GDPR)

We do not collect data falling under the special categories listed in Article 9 GDPR (racial or ethnic origin, political opinions, religious beliefs, biometric data, health data, sexual life or sexual orientation). We do not carry out any profiling.

4. Purposes and legal bases

5. Who we send your data to

Anaximae does not share your personal data with anyone except as follows.

5.1 — Technical subprocessors (Art. 28 GDPR)

The following providers process data on our behalf, under a Data Processing Agreement (DPA) or — for access to public-transit data — under the General Terms of Use of Île-de-France Mobilités' PRIM platform:

Note on the IDFM/Navitia relationship. Anaximae accesses public-transit data through the Île-de-France Mobilités API (PRIM platform), using its own API key, in compliance with the PRIM Terms of Use and the Licence Mobilités. The Navitia service is technically operated by Hove SAS on behalf of IDFM: Anaximae has no direct contractual relationship with Hove and does not transfer data to it as its own Art. 28 processor. The coordinates sent are used solely for route calculation, the stop and line identifiers solely to show next departures; neither carries user identifiers. Bike routes are calculated by Geovelo (La Compagnie des Mobilités SAS), reached through the same PRIM platform: Anaximae has no direct contractual relationship with that company, and the coordinates sent are used solely to calculate the bike route.

5.2 — Proxy api.zeppelinmap.com (Cloudflare Worker)

The Worker forwards the app's requests to Navitia/IDFM, accepts only the requests the app needs and caches some responses (real-time next departures for at most 10 seconds). For bike routes, the proxy forwards to PRIM only the content needed for the calculation (coordinates and cycling profile): never your IP address or any identifier, so upstream PRIM and Geovelo only see our server. The proxy does not keep these requests and does not log the coordinates they contain (they travel in the body of the request, which is not recorded); it keeps each calculated route in a temporary technical cache for up to 10 minutes, identified by an irreversible fingerprint (hash) of the request, so that an identical request is not sent twice, and then deletes it. Cloudflare logs the caller's IP and request URL for 7 days, after which the data is anonymised per Cloudflare's own policy. Logs are not exported from Cloudflare to Anaximae. We do not build nor retain profiles linkable to individual users.

5.3 — Third-party services linked as external destinations

When you tap a "Book" or "Open" button on a POI card, you are redirected to a third-party booking service (restaurant booking platforms, hotel booking platforms, museum-ticket platforms) via Safari. From that moment on, you are subject to that service's privacy policy. Anaximae has no control over and is not responsible for their processing. Some links may contain affiliate-tracking parameters that allow Anaximae to receive a commission (see T&C §10 — Affiliate Disclosure).

5.4 — TelemetryDeck — internal use

When you toggle "Anonymous statistics" ON in Settings (default OFF), we send TelemetryDeck anonymous events such as:

• categorical counters (e.g. "itinerary calculated")

• usage distributions (e.g. "preferred departure time slot")

• aggregated error flags

We never send:

• precise GPS coordinates

• avatar, addresses

• content of custom trip-stops or saved trips

• identifiers traceable back to you

Data lands on TelemetryDeck's EU servers. It is used solely to improve the app.

We do not sell or transfer telemetry data to third parties. Data collected via TelemetryDeck is not sold, transferred or otherwise disclosed to commercial partners, brokers or any third party. It is used only as an internal product-improvement tool.

5.5 — Public services the app queries directly

To provide some functions, the app contacts the following services directly. They act as independent providers under their own terms and privacy policies; the requests carry no identifier from Zeppelin Map.

6. Commercial POI partners

Anaximae offers a selection of commercial POI partners (restaurants, hotels, museums under a partnership agreement managed via partner@zeppelinmap.com) qualified visibility in the app.

In performance of those B2B contracts, we send active partners, quarterly via email to a dedicated mailing list (partner@zeppelinmap.com), an aggregated report of app usage metrics (Active Devices over 30 days, quarterly average). The official source is Apple App Analytics, a dataset Apple provides already in aggregated and anonymised form.

This is aggregated non-personal data within the meaning of Recital 26 GDPR: it is never linked to individual users, never reveals routes, habits or identity of any specific user. It falls outside the scope of the Regulation.

Importantly: Anaximae does not publish these metrics on public pages of its website. The communication remains reserved to commercial partners under contract.

7. Retention

8. Your rights

You have the rights set out in Articles 15-22 GDPR:

• Access (Art. 15)

• Rectification (Art. 16)

• Erasure / "right to be forgotten" (Art. 17)

• Restriction (Art. 18)

• Portability (Art. 20)

• Objection (Art. 21) — to processing based on legitimate interest

• Withdrawal of consent (Art. 7(3)) — at any time, without prejudice to past lawful processing

How to exercise them

Directly in the app, in Settings → Data & Privacy:

• "Export my data" → generates a JSON file with the data the app stores on your device, shareable via ShareSheet

• "Delete all my data" → immediate local erasure (see §9 for what is deleted)

• "Anonymous statistics" toggle → withdraw telemetry consent any time

Via email at privacy@anaximae.com if you want to:

• Request erasure of data already sent to TelemetryDeck before your local erasure (see §9)

• Exercise a right not covered by the in-app flow

• Get clarification on this Policy

Response time: within 30 days per Art. 12(3) GDPR; complex requests may be extended by up to 60 additional days with notice.

Complaint to a supervisory authority: you are entitled to file a complaint with CNIL (Commission Nationale de l'Informatique et des Libertés, France's data protection authority, cnil.fr) or with the supervisory authority of your EU country of residence.

9. "Delete all my data" — what we actually delete

When you tap "Delete all my data" in Settings, we immediately delete from your device:

✅ Avatar ✅ Home and Work addresses in Keychain ✅ Trip history, favourites, badges ✅ Saved trips (recurring and scheduled) and the trip in progress ✅ iCloud KV statistics ✅ Diagnostic logs ✅ All app preferences ✅ All GDPR consent flags (you'll see the onboarding panel again at next launch) ✅ "Anonymous statistics" toggle → forced to OFF

The copies of this data held in memory by the running app are cleared at the same time, so nothing is written back afterwards.

Any name or gender values saved by earlier versions of the app are automatically deleted on first launch of the current version, which no longer collects this information.

Things the app CANNOT delete by itself, requiring separate action:

10. Security

Technical and organisational measures (Art. 32 GDPR):

• At-rest encryption: addresses in iOS Keychain with kSecAttrAccessibleWhenUnlockedThisDeviceOnly; sandboxed iOS database; iCloud end-to-end encrypted by Apple

• In-transit encryption: TLS 1.2+ for all network connections made by the app (iOS App Transport Security, with no exceptions)

• API keys for backend services: held server-side in a dedicated infrastructure vault, never bundled in the app binary

• Backend protection: our proxy only accepts the requests the app needs and rejects everything else

• Minimisation: the app collects only data strictly necessary for the service; diagnostic logs are not written to storage in the App Store version

• Pseudonymisation: TelemetryDeck does not receive user identifiers

• Access control: only the founder of Anaximae has administrative access to backends; two-factor authentication (TOTP) active on all administration panels

• Breach procedure: in case of a breach that poses a risk to your rights, we will notify you within 72 hours per Art. 33 GDPR

11. Transfers outside the EU

Your personal data may be transferred outside the European Economic Area in the following cases:

• Cloudflare, Inc. (USA): based on Standard Contractual Clauses approved by the EU Commission

• Apple Inc. (USA), including Apple Maps: based on the Apple Developer Program DPA and Apple's own terms

• TelemetryDeck (Germany, EU): no extra-EU transfer

• Infomaniak (Switzerland): Swiss adequacy recognised by the EU Commission (Decision 2000/518/EC confirmed)

12. Minors

Zeppelin Map is intended for users aged 16 and over. We do not knowingly collect data from children under 16. If you become aware that a minor under 16 has used the app, email privacy@anaximae.com and we will erase immediately.

13. AI Act (Reg. EU 2024/1689) — out of scope

Anaximae's proprietary route-calculation algorithm Bibomap™ does not fall within the definition of an "AI system" under Art. 3(1) of the AI Act.

Bibomap™ is a classical deterministic algorithm (graph search + static pre-computed heuristics over a permanent map), which the European Commission's Guidelines of 6 February 2025 on Recital 12 of the AI Act explicitly cite as an example of a system excluded from scope ("a static route planner that always calculates the shortest route based on a permanently stored map").

The app uses no machine learning, generative models or adaptive systems.

14. Consumer mediation

In accordance with Art. L.616-1 of the French Consumer Code, in case of an unresolved complaint you may use the mediator designated by Anaximae free of charge:

CM2C — Centre de la Médiation de la Consommation de Conciliateurs de Justice

• Address: 49 rue de Ponthieu, 75008 Paris, France

• Website: www.cm2c.net

15. Changes

We may amend this Policy. The current version is always published on this page, with its date and version number. Where the law requires your consent again (for example for a new purpose based on consent), we will ask for it in the app before applying the change.

16. Language

This document is published in English, Italian and French on the website zeppelinmap.com/legal/privacy. In case of interpretive divergence, the deposited French version prevails under the applicable French jurisdiction.

——————————————————

Politique de confidentialité — Zeppelin Map

Dernière mise à jour : 25 octobre 2026 Version : 2.6

1. Qui sommes-nous

Anaximae SASU — société par actions simplifiée unipersonnelle de droit français, capital social 1 000 €, siège social 173 Rue de Courcelles, 75017 Paris, France, SIREN 104 095 815, SIRET 104 095 815 00015, n° TVA intracommunautaire FR31 104095815.

Anaximae est l'éditeur et le responsable de traitement (au sens de l'art. 4(7) du Règlement (UE) 2016/679, le « RGPD ») de Zeppelin Map, application mobile iOS de navigation transit pour Paris et l'Île-de-France.

Contacts :

• Général : contact@anaximae.com

• Vie privée / exercice des droits RGPD : privacy@anaximae.com

• Partenaires POI commerciaux : partner@zeppelinmap.com

• Adresse postale : 173 Rue de Courcelles, 75017 Paris, France

Nous n'avons pas désigné de Délégué à la Protection des Données (DPO) au sens de l'art. 37 RGPD, notre traitement ne relevant pas des cas qui imposent sa nomination (autorité publique, activité de base de surveillance systématique à grande échelle, traitement à grande échelle de catégories particulières de données).

2. Cadre juridique

La présente politique se conforme au Règlement (UE) 2016/679 (RGPD, en vigueur depuis le 25 mai 2018, rectificatif du 23 mai 2018).

Elle s'aligne sur la Directive 2002/58/CE « vie privée et communications électroniques » (cookies et traceurs sur appareil terminal) telle que transposée en France et en Italie.

Anaximae suit activement l'évolution de la proposition de Règlement « Digital Omnibus » de la Commission UE (19 novembre 2025) et adaptera la présente politique en cas d'adoption.

Positionnement par rapport au Règlement (UE) 2024/1689 (AI Act) : voir §13.

3. Données que nous traitons

3.1 — Données qui restent sur votre appareil

Les données suivantes sont conservées uniquement sur votre iPhone. Elles ne sont jamais transmises à nos serveurs et nous-mêmes ne pouvons pas les lire à distance.

• L'avatar (une icône illustrée — aucune donnée personnelle) choisi lors de l'onboarding ou dans les Réglages

• Les adresses Domicile et Travail éventuellement enregistrées (stockées dans le Keychain iOS avec le niveau de protection kSecAttrAccessibleWhenUnlockedThisDeviceOnly). La copie enregistrée ne quitte jamais votre appareil ; lorsque vous saisissez une adresse, le texte est envoyé une fois à un service de recherche d'adresses pour la situer sur la carte (voir §3.2)

• L'historique de trajets, les destinations favorites, les badges obtenus

• Les voyages enregistrés : voyages récurrents et voyages programmés pour une date future (nom, étapes, date et heure prévues)

• Le voyage en cours, afin de pouvoir le reprendre si l'app est fermée

• Les préférences d'utilisation (mode carte, sons, Live Activity, etc.)

• Les logs de diagnostic : dans la version App Store, ils sont conservés uniquement en mémoire pendant l'utilisation de l'app et ne sont jamais écrits sur le stockage. Les fichiers de log écrits par les versions précédentes sont supprimés automatiquement

• Les drapeaux de consentement RGPD (acceptation de la politique, acceptation des CGU, acceptation du CLUF, opt-in télémétrie)

Pendant un voyage, la Live Activity affiche sur l'écran verrouillé la prochaine étape, les lignes et l'heure d'arrivée prévue. Elle est générée sur l'appareil et peut être désactivée dans les Réglages iOS.

Les images que vous choisissez de partager (carte d'itinéraire, carte de badge) sont générées sur l'appareil et n'en sortent que par la feuille de partage iOS, vers la destination que vous choisissez.

3.2 — Données qui sortent effectivement de votre appareil

• Coordonnées de votre position et des étapes de votre voyage, lors du calcul d'itinéraire et de la navigation active : envoyées à notre proxy api.zeppelinmap.com (un Cloudflare Worker), qui les transmet au service de routage transit Navitia opéré par Hove SAS via l'API IDFM. Les coordonnées ne sont jamais associées à votre avatar ou à un identifiant. Les logs du proxy sont anonymisés sous 7 jours selon notre configuration Cloudflare.

• Comptage et forme géométrique des étapes lors du calcul d'itinéraire : implicite dans la requête de routage, même anonymisation à 7 jours.

• Prochains passages : pour les étapes en transport public affichées dans le panneau du voyage, les identifiants de l'arrêt de départ et de la ligne (pour les trains, aussi de la gare d'arrivée) sont envoyés à notre proxy api.zeppelinmap.com, qui les transmet à Île-de-France Mobilités (service de prochains passages en temps réel de la plateforme PRIM, ou Navitia) pour afficher les prochains passages. Aucune position et aucun identifiant ne sont envoyés.

• Itinéraires à vélo : lorsque vous choisissez le mode vélo, les coordonnées précises des étapes de votre voyage et le profil de cycliste (vitesse moyenne, type de vélo) sont envoyés à notre proxy api.zeppelinmap.com, qui les transmet à Geovelo via la plateforme PRIM d'Île-de-France Mobilités pour calculer l'itinéraire à vélo. Pendant le voyage, si vous quittez l'itinéraire et qu'il doit être recalculé, votre position GPS actuelle est également envoyée, avec les étapes qui restent à atteindre. Votre position sert uniquement à calculer l'itinéraire demandé et n'est pas conservée : en dehors d'un cache technique de quelques minutes (voir §5.2), elle n'est pas gardée, n'est pas associée à votre identité et n'est utilisée ni pour du suivi ni pour de la publicité. Si Geovelo ne répond pas, le tronçon à vélo est tracé avec Apple Plans (voir §5.5).

• Recherches d'adresses et de lieux : le texte saisi dans les champs de recherche est envoyé à Apple Plans et, pour les adresses postales en France, à la Base Adresse Nationale, afin de situer le lieu sur la carte. Lorsque vous appuyez longuement sur un point de la carte, ses coordonnées sont envoyées à Apple Plans pour afficher le nom du lieu. Voir §5.5.

• Itinéraires à pied : lorsque vous quittez le tracé piéton en pointillés pendant un voyage, votre position actuelle et le point d'arrivée de ce tronçon à pied sont envoyés à Apple Plans pour redessiner le tracé. Voir §5.5.

• Météo : les coordonnées du lieu dont la météo est affichée sont envoyées à Open-Meteo. Voir §5.5.

• Affichage de la carte : les tuiles cartographiques de la zone affichée sont chargées depuis Apple Plans.

• Statistiques agrégées d'utilisation via TelemetryDeck — uniquement si vous avez activé le toggle « Statistiques anonymes », qui est OFF par défaut. Voir §5.4.

Comme pour toute connexion internet, chaque service contacté reçoit techniquement l'adresse IP de votre appareil le temps de la requête.

La localisation en arrière-plan n'est utilisée que pendant un voyage en cours et est désactivée peu après votre arrivée.

3.3 — Données synchronisées sur iCloud

Vos statistiques cumulatives (kilomètres parcourus, nombre de voyages, badges débloqués) sont synchronisées via NSUbiquitousKeyValueStore sur votre compte iCloud personnel. Elles sont visibles uniquement par vous, sur tous vos appareils Apple connectés au même Apple ID. Anaximae n'a aucun accès à votre iCloud.

3.4 — Catégories particulières de données (art. 9 RGPD)

Nous ne collectons pas de données relevant des catégories particulières énumérées à l'art. 9 RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses, données biométriques, données de santé, vie sexuelle ou orientation sexuelle). Nous ne réalisons aucun profilage.

4. Finalités et bases juridiques

5. À qui nous transmettons vos données

Anaximae ne partage vos données personnelles avec personne, sauf dans les cas suivants.

5.1 — Sous-traitants techniques (art. 28 RGPD)

Les fournisseurs suivants traitent des données pour notre compte, sur la base d'un Data Processing Agreement (DPA) ou — pour l'accès aux données de transport public — des Conditions Générales d'Utilisation de la plateforme PRIM d'Île-de-France Mobilités :

Note sur la relation IDFM/Navitia. Anaximae accède aux données de transport public via l'API d'Île-de-France Mobilités (plateforme PRIM), avec sa propre clé API, dans le respect des CGU PRIM et de la Licence Mobilités. Le service Navitia est exploité techniquement par Hove SAS *pour le compte d'*IDFM : Anaximae n'a pas de relation contractuelle directe avec Hove et ne lui transfère pas de données en qualité de sous-traitant au sens de l'art. 28. Les coordonnées envoyées servent uniquement au calcul d'itinéraire, les identifiants d'arrêt et de ligne uniquement à l'affichage des prochains passages ; aucun n'est accompagné d'un identifiant utilisateur. Les itinéraires à vélo sont calculés par Geovelo (La Compagnie des Mobilités SAS), accessible via la même plateforme PRIM : Anaximae n'a pas de relation contractuelle directe avec cette société, et les coordonnées envoyées servent uniquement au calcul de l'itinéraire à vélo.

5.2 — Proxy api.zeppelinmap.com (Cloudflare Worker)

Le Worker transmet les requêtes de l'app vers Navitia/IDFM, n'accepte que les requêtes dont l'app a besoin et met en cache certaines réponses (les prochains passages en temps réel pendant 10 secondes au plus). Pour les itinéraires à vélo, le proxy ne transmet à PRIM que le contenu nécessaire au calcul (coordonnées et profil de cycliste) : jamais votre adresse IP ni aucun identifiant, de sorte qu'en amont PRIM et Geovelo ne voient que notre serveur. Le proxy ne conserve pas ces requêtes et n'enregistre pas les coordonnées qu'elles contiennent (elles circulent dans le corps de la requête, qui n'est pas enregistré) ; il garde chaque itinéraire calculé dans un cache technique temporaire de 10 minutes au plus, identifié par une empreinte irréversible (hash) de la requête, pour ne pas envoyer deux fois la même requête, puis le supprime. Cloudflare conserve l'IP de l'appelant et l'URL pendant 7 jours, puis anonymise selon sa propre politique. Les logs ne sont pas exportés de Cloudflare vers Anaximae. Nous ne construisons ni ne conservons aucun profil rattachable à un utilisateur identifié.

5.3 — Services tiers liés en tant que destinations externes

Lorsque vous touchez un bouton « Réserver » ou « Ouvrir » sur une fiche POI, vous êtes redirigé vers un service de réservation tiers (plateformes de réservation de restaurants, plateformes de réservation d'hôtels, plateformes de billets de musées) via Safari. À partir de ce moment, vous êtes soumis à la politique de confidentialité de ce service tiers. Anaximae ne contrôle ni n'est responsable de leurs traitements. Certains liens peuvent contenir des paramètres d'affiliation permettant à Anaximae de recevoir une commission (voir CGU §10 — Disclosure affiliée).

5.4 — TelemetryDeck — usage interne

Lorsque vous activez le toggle « Statistiques anonymes » dans les Réglages (défaut OFF), nous envoyons à TelemetryDeck des événements anonymes de type :

• compteurs catégoriels (ex. « itinéraire calculé »)

• distributions d'usage (ex. « créneau horaire de départ préféré »)

• drapeaux d'erreur agrégés

Nous n'envoyons jamais :

• coordonnées GPS précises

• avatar, adresses

• contenu d'étapes personnalisées ou de voyages enregistrés

• identifiants permettant de remonter à vous

Les données arrivent sur les serveurs UE de TelemetryDeck. Elles sont utilisées exclusivement pour améliorer l'app.

Nous ne vendons ni ne cédons à des tiers les données de télémétrie. Les données collectées via TelemetryDeck ne font l'objet d'aucune vente, cession ou transfert à des partenaires commerciaux, courtiers ou tiers quels qu'ils soient. Elles sont utilisées uniquement comme outil interne d'amélioration du produit.

5.5 — Services publics interrogés directement par l'app

Pour certaines fonctions, l'app contacte directement les services suivants. Ils agissent en tant que prestataires indépendants, selon leurs propres conditions et politiques de confidentialité ; les requêtes ne contiennent aucun identifiant de Zeppelin Map.

6. Partenaires POI commerciaux

Anaximae offre à une sélection de partenaires POI commerciaux (restaurants, hôtels, musées sous accord de partenariat géré via partner@zeppelinmap.com) une visibilité qualifiée dans l'app.

En exécution de ces contrats B2B, nous transmettons aux partenaires actifs, trimestriellement par email à une mailing list dédiée (partner@zeppelinmap.com), un rapport agrégé des métriques d'usage de l'app (Active Devices sur 30 jours, moyenne trimestrielle). La source officielle est Apple App Analytics, donnée fournie par Apple sous forme déjà agrégée et anonymisée.

Cette donnée est agrégée et non personnelle au sens du Considérant 26 du RGPD : elle n'est jamais associée à un utilisateur particulier, ne révèle ni trajets, ni habitudes, ni identité d'aucun utilisateur spécifique. Elle est hors champ du Règlement.

Important : Anaximae ne publie pas ces métriques sur des pages publiques de son site. La communication reste réservée aux partenaires commerciaux sous contrat.

7. Durées de conservation

8. Vos droits

Vous disposez des droits prévus aux articles 15-22 du RGPD :

• Accès (art. 15)

• Rectification (art. 16)

• Effacement / « droit à l'oubli » (art. 17)

• Limitation du traitement (art. 18)

• Portabilité (art. 20)

• Opposition (art. 21) — au traitement fondé sur l'intérêt légitime

• Retrait du consentement (art. 7(3)) — à tout moment, sans préjudice de la licéité du traitement antérieur

Comment les exercer

Directement dans l'app, dans Réglages → Données et Confidentialité :

• « Exporter mes données » → génère un fichier JSON contenant les données que l'app conserve sur votre appareil, partageable via ShareSheet

• « Supprimer toutes mes données » → effacement local immédiat (voir §9 pour le détail)

• Toggle « Statistiques anonymes » → permet de retirer le consentement télémétrie à tout moment

Par email à privacy@anaximae.com si vous souhaitez :

• Demander l'effacement de données déjà envoyées à TelemetryDeck avant votre effacement local (voir §9)

• Exercer un droit non couvert par le flux in-app

• Obtenir des clarifications sur la présente politique

Délais de réponse : sous 30 jours conformément à l'art. 12(3) RGPD ; demandes complexes prolongeables de 60 jours supplémentaires avec notification.

Réclamation à l'autorité de contrôle : vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés, cnil.fr) ou de l'autorité de votre pays de résidence dans l'UE.

9. « Supprimer toutes mes données » — ce que nous effaçons réellement

Lorsque vous touchez « Supprimer toutes mes données » dans les Réglages, nous effaçons immédiatement de votre appareil :

✅ Avatar ✅ Adresses Domicile et Travail dans le Keychain ✅ Historique de trajets, favoris, badges ✅ Voyages enregistrés (récurrents et programmés) et voyage en cours ✅ Statistiques iCloud KV ✅ Logs de diagnostic ✅ Toutes les préférences d'utilisation de l'app ✅ Tous les drapeaux de consentement RGPD (le panneau d'onboarding s'affichera de nouveau au lancement suivant) ✅ Toggle « Statistiques anonymes » → forcé à OFF

Les copies de ces données conservées en mémoire par l'app en cours d'exécution sont effacées en même temps : rien n'est réécrit ensuite.

Les éventuelles valeurs de nom ou de genre enregistrées par les versions précédentes de l'app sont automatiquement supprimées au premier lancement de la version actuelle, qui ne collecte plus ces informations.

Ce que l'app NE PEUT PAS effacer seule, à votre charge :

10. Sécurité

Mesures techniques et organisationnelles (art. 32 RGPD) :

• Chiffrement au repos : adresses dans Keychain iOS avec kSecAttrAccessibleWhenUnlockedThisDeviceOnly ; base iOS sandboxée ; iCloud chiffré bout-en-bout par Apple

• Chiffrement en transit : TLS 1.2+ sur toutes les connexions réseau de l'app (App Transport Security d'iOS, sans exception)

• Clés API pour les services backend : gérées côté serveur dans un coffre-fort dédié de l'infrastructure, jamais embarquées dans le binaire de l'app

• Protection du backend : notre proxy n'accepte que les requêtes dont l'app a besoin et refuse toutes les autres

• Minimisation : l'app ne collecte que les données strictement nécessaires au service ; les logs de diagnostic ne sont pas écrits sur le stockage dans la version App Store

• Pseudonymisation : TelemetryDeck ne reçoit aucun identifiant utilisateur

• Contrôle d'accès : seul le fondateur d'Anaximae a un accès administrateur aux backends ; authentification à deux facteurs (TOTP) active sur tous les panneaux d'administration

• Procédure violation : en cas de violation présentant un risque pour vos droits, notification sous 72 heures conformément à l'art. 33 RGPD

11. Transferts hors UE

Vos données personnelles peuvent être transférées hors de l'Espace Économique Européen dans les cas suivants :

• Cloudflare, Inc. (USA) : transfert fondé sur les Clauses Contractuelles Types approuvées par la Commission UE

• Apple Inc. (USA), y compris Apple Plans : transfert fondé sur le DPA Apple Developer Program et les conditions propres d'Apple

• TelemetryDeck (Allemagne, UE) : pas de transfert hors UE

• Infomaniak (Suisse) : adéquation de la Suisse reconnue par la Commission UE (Décision 2000/518/CE confirmée)

12. Mineurs

Zeppelin Map s'adresse à un public âgé de 16 ans et plus. Nous ne collectons sciemment aucune donnée de mineur de moins de 16 ans. Si vous constatez qu'un mineur de moins de 16 ans a utilisé l'app, écrivez à privacy@anaximae.com et nous procéderons à l'effacement immédiat.

13. AI Act (Règl. UE 2024/1689) — hors champ

L'algorithme propriétaire de calcul d'itinéraire Bibomap™ d'Anaximae n'entre pas dans la définition de « système d'IA » de l'art. 3(1) de l'AI Act.

Bibomap™ est un algorithme déterministe classique (graph search + heuristiques statiques pré-calculées sur carte permanente), que les Guidelines de la Commission UE du 6 février 2025 sur le Considérant 12 de l'AI Act citent explicitement comme exemple de système exclu du champ (« a static route planner that always calculates the shortest route based on a permanently stored map »).

L'app n'utilise ni apprentissage automatique, ni modèles génératifs, ni systèmes adaptatifs.

14. Médiation de la consommation

Conformément à l'art. L.616-1 du Code de la consommation, en cas de litige non résolu vous pouvez recourir gratuitement au médiateur désigné par Anaximae :

CM2C — Centre de la Médiation de la Consommation de Conciliateurs de Justice

• Adresse : 49 rue de Ponthieu, 75008 Paris, France

• Site internet : www.cm2c.net

15. Modifications

Nous pouvons modifier la présente politique. La version en vigueur est toujours publiée sur cette page, avec sa date et son numéro de version. Lorsque la loi exige de recueillir à nouveau votre consentement (par exemple pour une nouvelle finalité fondée sur le consentement), nous vous le demanderons dans l'app avant d'appliquer la modification.

16. Langue

Le présent document est publié en anglais, en italien et en français sur le site zeppelinmap.com/legal/privacy. En cas de divergence d'interprétation, la version française déposée fait foi au titre du for français applicable.