Signaler ne demande aucun compte
Pour signaler un problème, vous ne donnez ni nom, ni numéro de téléphone, ni adresse électronique. Il n’existe aucun formulaire d’inscription pour les habitants, et il n’en existera pas.
Ce n’est pas une facilité, c’est une protection : ce que nous ne détenons pas, nous ne pouvons ni le perdre, ni le vendre, ni le remettre à qui nous le réclamerait.
Ce que vous envoyez en signalant
- Votre description — le texte que vous écrivez. Il devient public tel quel : n’y mettez ni votre nom, ni votre numéro, ni celui de quelqu’un d’autre.
- La catégorie et le degré d’urgence — que vous choisissez.
- Votre position — si vous l’autorisez, ou le point que vous désignez sur la carte. Voir la section suivante : elle n’est jamais publiée telle quelle.
- Vos photos, vidéos ou message vocal — si vous en joignez.
- La date de prise de vue — lue dans la photo avant qu’elle ne soit effacée, pour repérer une image ancienne présentée comme un problème actuel.
Votre position est décalée avant d’être publiée
La carte publique n’affiche jamais l’endroit exact que vous avez indiqué. Au moment où votre signalement entre en base, sa position est déplacée au hasard dans un rayon qui dépend de la catégorie — de quelques dizaines de mètres pour un lampadaire à plusieurs centaines pour un sujet sensible. L’application vous annonce ce rayon avant que vous n’acceptiez de partager votre position.
La position exacte, elle, existe en base, et un seul cas permet de la lire : le service chargé du dossier, lorsqu’il doit se déplacer — et jamais sur une catégorie classée sensible, où personne ne la voit, pas même l’administrateur. Elle n’apparaît dans aucune exportation, dans aucun document imprimé, dans aucune réponse publique.
Vos photos ne portent pas votre adresse
Un appareil photo inscrit dans chaque image les coordonnées GPS de l’endroit où elle a été prise, à quelques mètres près. Publier une photo brute reviendrait donc à publier votre position exacte — exactement ce que le floutage cherche à empêcher.
Vos images sont donc réencodées sur votre téléphone, avant tout envoi. Le réencodage détruit ces métadonnées : elles ne quittent jamais votre appareil. Les vidéos sont nettoyées une seconde fois à l’arrivée, parce que le format MP4 range ces informations à un autre endroit.
Sur les catégories où le son pourrait vous trahir, votre message vocal est modifié avant l’envoi : la hauteur de la voix est déplacée, et la voix d’origine ne quitte pas le téléphone.
Nous n’enregistrons pas votre adresse IP
Le journal du serveur conserve l’heure, la page demandée, le code de réponse et le type de navigateur. Pas l’adresse. Le journal d’erreurs, dont le format ne se configure pas, est réglé pour ne rien écrire en dehors des pannes véritables.
Votre adresse existe en mémoire le temps de compter vos requêtes — c’est ce qui empêche un robot d’envoyer mille signalements — puis disparaît. Elle n’est écrite nulle part et ne peut donc être rapprochée d’aucun signalement, y compris par nous.
Le suivi de votre signalement
Après l’envoi, votre téléphone conserve un jeton qui lui permet de demander où en est le dossier. Ce jeton reste chez vous : la base n’en garde qu’une empreinte, qui ne permet pas de le reconstituer.
La conséquence est réelle et nous préférons la dire : si vous changez de téléphone, désinstallez l’application ou effacez les données du navigateur, vous perdez le suivi de vos signalements. Nous ne pouvons pas vous le rendre, parce que nous ne savons pas qu’ils étaient les vôtres. C’est le prix de l’anonymat, et nous n’avons pas trouvé de façon de l’éviter qui ne revienne pas à savoir qui vous êtes.
Les notifications que l’application affiche sont fabriquées par votre téléphone, qui interroge le serveur de temps en temps. Aucun jeton de notification n’est envoyé ni conservé chez nous : une table reliant un appareil à un signalement répondrait à la question « qui a signalé ceci ? », la seule à laquelle cette plateforme est construite pour ne pas pouvoir répondre.
Ce qui devient public, et pour combien de temps
Une fois vérifié par la modération, votre signalement est publié avec sa description, sa catégorie, sa position floutée, sa commune, sa date, et les médias que vous avez joints. Il reçoit une référence publique.
Il ne peut plus être supprimé ni masqué — ni par l’autorité concernée, ni par l’administrateur, ni par nous. La base de données refuse techniquement l’opération. C’est ce qui donne sa valeur à la plateforme : un service ne peut pas faire disparaître ce qu’on lui reproche. C’est aussi pourquoi la page de dépôt vous demande de ne rien écrire de personnel : ce que vous écrivez est définitif.
Si vous demandez un compte
Les agents d’un service public, les membres d’une organisation et les sentinelles peuvent demander un accès. Eux donnent leur nom, leur fonction, leur numéro, leur adresse électronique, et joignent deux pièces justificatives — c’est la seule façon de s’assurer qu’un compte qui signe des réponses au nom d’une institution appartient bien à cette institution.
- Vos pièces justificatives — sont effacées dès que l’administrateur a tranché, que la demande soit acceptée ou refusée.
- Votre numéro de téléphone — est effacé de la demande à la décision, par la base elle-même. Il n’en reste qu’une empreinte, qui sert d’identifiant de connexion. Les courriels que nous vous envoyons ne le montrent que masqué.
- Votre adresse électronique — est prouvée par un code à six chiffres que nous y envoyons. Elle est ensuite rangée sur votre compte, chiffrée avec un secret qui vit hors de la base de données : une copie volée de la base ne la livre pas. Elle ne sert qu’à vous écrire — la réponse à votre demande, vos codes si vous oubliez votre mot de passe, et un avis quand votre mot de passe ou votre adresse changent. Elle disparaît avec le compte.
- Votre mot de passe — ne nous est jamais connu : il nous arrive déjà haché, et nous ne conservons que cette empreinte.
- La trace de la décision — reste — qui a demandé quoi, quand, et avec quelle suite. Un refus doit pouvoir être montré pour qu’on puisse vérifier qu’il n’a pas été arbitraire.
Les courriels, et qui les envoie
Nos courriels partent de l’adresse no-reply@uchunguzi.org par Brevo, un service d’envoi établi en France qui agit pour notre compte. Pour chaque message, Brevo reçoit l’adresse du destinataire et le contenu : un code, un avis d’ouverture ou de refus — avec son motif —, un avis de changement. Il ne s’en sert pas pour autre chose, et il garde un journal de ses envois pendant la durée que fixe sa propre politique. Un habitant qui signale ne reçoit jamais de courriel : nous n’avons pas d’adresse où lui écrire.
Qui voit quoi
- Tout le monde — les signalements publiés, avec leur position floutée.
- Un agent d’autorité — les dossiers de la zone de son service, et rien d’autre — jamais ceux des autres communes.
- Une organisation abonnée — les mêmes données publiques, exportables en masse. Aucune position exacte, aucune donnée qui ne soit déjà sur la carte.
- L’administrateur — l’ensemble, sauf la position exacte d’un signalement sensible, et sauf votre identité, qu’il n’existe nulle part.
Vos droits, et celui que nous ne pouvons pas honorer
Vous pouvez nous écrire pour demander ce que nous détenons sur vous. Pour un signalement anonyme, la réponse honnête est : rien qui vous désigne, et nous ne pouvons pas vous prouver qu’un signalement donné est le vôtre.
Vous pouvez demander la suppression d’un signalement publié ; nous ne pourrons pas l’exécuter, et la raison est écrite plus haut. Si le texte que vous avez écrit contient une information personnelle publiée par erreur — un nom, un numéro — écrivez-nous : la modération peut corriger le texte, ce qui est différent d’effacer le dossier.
Les autorisations de l’application
- Position — pour situer le problème. Facultative : vous pouvez désigner l’endroit sur la carte à la place.
- Appareil photo et micro — pour photographier, filmer ou décrire le problème. Uniquement quand vous appuyez sur le bouton correspondant.
- Accès aux fichiers — pour joindre une photo déjà prise.
- Notifications — pour vous signaler qu’un de vos dossiers a avancé. Elles sont fabriquées par votre téléphone, pas envoyées par un serveur.
Aucune de ces autorisations n’est demandée au lancement : chacune l’est au moment où elle sert, et refuser n’empêche pas de signaler.
Supprimer son compte
Les habitants n’en ont pas — signaler ne demande aucune inscription. Pour les comptes vérifiés des services et des organisations, la procédure, ce qui est effacé et ce qui ne peut pas l’être sont détaillés sur une page à part : Supprimer son compte.
Nous écrire
Pour toute question sur cette page, ou pour signaler une information personnelle publiée par erreur :
Cette page est tenue à jour avec le produit. Si vous y lisez quelque chose que la plateforme ne fait pas, dites-le-nous : une promesse qu’on ne tient pas est un défaut, pas une formule.