Ce document s’applique à Package Tracker (l’application et package-tracker.starthrop.com). La mesure des visites sur les pages de starthrop.com, y compris celle-ci, est décrite dans la politique de confidentialité de Starthrop Dynamics.
Cette politique décrit ce que Package Tracker, un produit de Starthrop Dynamics, fait de vos données. Elle est écrite pour être lue, pas pour remplir une formalité.
1. Qui est responsable
- Entité
- Starthrop Dynamics, Unipessoal Lda
- NIPC
- 519488261
- Siège social
- Rua da Sociedade, n.º 4, 2695-567 São João da Talha, Loures, Portugal
- Contact vie privée
- support@starthrop.com
2. Quelles données nous traitons, et pourquoi
Nous collectons ce dont le service a besoin pour fonctionner et, à part, ce que vous voulez bien nous donner : le nom et le numéro de mobile sont facultatifs, et le tableau indique lequel est lequel. Rien n’est collecté « au cas où cela servirait ». Vous pouvez aussi utiliser le service sans créer de compte : dans ce cas, nous ne vous demandons ni e-mail, ni nom, ni numéro de mobile, ni mot de passe, et les colis que vous suivez sont liés à votre appareil (point 5).
| Donnée | Pour quoi | Base |
|---|---|---|
| identifier le compte, vous authentifier et envoyer les messages du service. Nous ne le demandons que si vous créez un compte | exécution du contrat | |
| Votre nom | identification et personnalisation de votre compte, si vous souhaitez le donner. ⚠️ Il est FACULTATIF : le compte se crée et le service fonctionne sans lui | intérêt légitime |
| Votre numéro de mobile | conserver dans le Profil un numéro de contact, si vous voulez l’indiquer, et pouvoir le voir, le corriger ou le supprimer. ⚠️ Il est FACULTATIF : il ne sert pas à se connecter, nous ne le vérifions pas, nous n’y envoyons ni SMS ni messages et nous ne le communiquons à personne | consentement (article 6, paragraphe 1, point a, du RGPD) : votre choix de l’indiquer |
| Mot de passe | authentification, si vous créez un compte avec un e-mail. Jamais conservé tel que vous l’avez saisi : nous ne gardons qu’une dérivation cryptographique | exécution du contrat |
| Votre identité Google ou Apple, si vous vous connectez avec elles | vous connecter sans mot de passe : l’identifiant que Google ou Apple vous attribue, l’e-mail qu’ils nous communiquent et, pour Apple, un justificatif chiffré qui sert uniquement à révoquer la liaison (point 5) | exécution du contrat |
| Le code de votre appareil, si vous utilisez le service sans compte | retrouver, sur cet appareil, les colis que vous suivez sans compte. Nous n’en gardons qu’une empreinte cryptographique (point 5) | exécution du contrat |
| Adresse de livraison, et ses versions antérieures | c’est la fonction du produit : conserver l’adresse où vous recevez vos colis. Les versions antérieures restent parce qu’un colis déjà en route a été envoyé à l’adresse qui existait alors | exécution du contrat |
| Code du compte | code aléatoire que le service attribue à votre compte lors de sa création ; il identifie le compte dans l’export de vos données. Il n’est dérivé d’aucune de vos données | exécution du contrat |
| Numéros de suivi, transporteur, nom de l’expéditeur et surnom donné au colis | suivre les colis que vous ajoutez | exécution du contrat |
| Événements de suivi | montrer le parcours du colis : statut, lieu et date communiqués par le transporteur | exécution du contrat |
| Sessions | vous garder authentifié et vous permettre de fermer des sessions | exécution du contrat |
| Identifiant de notifications de votre appareil | vous envoyer les avis de changement de statut des colis que vous suivez (point 6) | exécution du contrat |
| Si vous avez eu une formule payante — BASIC ou PLUS, qui ne sont plus vendues — : la formule, l’état de l’abonnement, les dates de la période et la référence de l’achat dans la boutique | respecter la période que vous avez payée, résilier et traiter les remboursements (point 7) | exécution du contrat |
| Statistiques et diagnostic liés au compte — seulement si vous acceptez | comprendre où le produit échoue : pour chaque étape d’une liste fermée, la première fois, la dernière fois et le nombre de fois (point 4) | consentement (article 6, paragraphe 1, point a, du RGPD) |
| Adresse IP et identifiant de votre compte, dans les journaux du serveur | voir le point 3 | intérêt légitime |
Note à propos du nom. Le nom est facultatif : le compte se crée et le service fonctionne entièrement sans lui. Nous le traitons sur le fondement de l’intérêt légitime (article 6, paragraphe 1, point f, du RGPD), et non de l’exécution du contrat — car il est prouvé que le service fonctionne sans nom, et un champ que le produit décide de demander ne crée pas la nécessité objective qu’exigerait cette base. Finalité : identifier et personnaliser votre compte, afin que le produit s’adresse à vous par un nom plutôt que par une adresse e-mail. Nécessité : le nom ne sert ni à livrer, ni à suivre, ni à facturer, ni à notifier — aucune de ces fonctions ne s’en sert et aucune ne l’exige. Mise en balance : c’est un champ unique, écrit par vous, que nous ne vérifions contre aucun document, que nous ne divulguons ni aux boutiques, ni aux transporteurs, ni aux autres utilisateurs, ni à des annonceurs, et que nous n’utilisons ni pour du profilage ni pour de la publicité ; seuls les prestataires d’infrastructure indiqués au point 8 le traitent techniquement, comme le reste de votre compte. L’incidence sur votre vie privée est minime, et le bénéfice est pour vous. Opposition : vous pouvez vous opposer à ce traitement à tout moment en écrivant à support@starthrop.com — le nom est supprimé de votre compte, qui continue de fonctionner sans lui. Dans le Profil, vous pouvez corriger le nom ou le retirer, sans nous écrire. La demande par e-mail reste possible pour qui la préfère.
Note sur le numéro de mobile. Il est facultatif : le service fonctionne entièrement sans lui, et nous ne le conservons que si vous l’indiquez dans le Profil. La base est donc votre consentement (article 6, paragraphe 1, point a, du RGPD), que vous donnez en l’indiquant. Finalité : conserver, à votre demande, un numéro de contact avec les autres données du Profil, pour que vous puissiez le consulter, le corriger ou l’exporter. Ce que nous n’en faisons pas : nous ne l’utilisons ni pour vous connecter, ni pour une vérification en deux étapes, ni pour livrer, suivre, facturer ou notifier ; nous ne le vérifions pas, nous n’y envoyons ni SMS, ni appels, ni messages que vous n’avez pas demandés, et nous ne le divulguons à aucune boutique, aucun transporteur, aucun autre utilisateur ni aucun annonceur. Retrait : le supprimer dans le Profil retire votre consentement et l’efface du compte ; vous pouvez aussi nous demander de le supprimer. L’utiliser à une autre fin serait une modification de cette politique (point 15).
Ce que nous ne collectons pas
Nous ne vous envoyons pas de SMS, nous ne vérifions pas votre numéro de mobile et nous ne l’utilisons ni pour vous connecter ni pour une vérification en deux étapes. Le numéro que vous indiquez est conservé tel que vous l’avez saisi. Entre le 20 août 2026 et la version 1.1.0, le profil ne le demandait pas ; ceux qui l’avaient rempli auparavant l’ont gardé sur leur compte. Dans tous les cas, il figure dans l’export et vous pouvez le corriger ou le supprimer dans le Profil.
Nous ne collectons plus d’instructions de livraison. Jusqu’au 21 août 2026, l’adresse comportait un champ facultatif pour les écrire. Il a été retiré pour la même raison que le téléphone : elles ne servaient à rien — elles n’allaient pas au transporteur, n’apparaissaient sur aucun écran et n’étaient communiquées à personne. Celles que vous aviez déjà écrites restent avec votre adresse, figurent dans l’export de vos données et disparaissent si vous supprimez votre compte.
Nous ne collectons pas vos données de paiement — ni le numéro de carte, ni le nom du titulaire, ni l’adresse de facturation, y compris lorsque vous contribuez volontairement. Voir le point 7.
Nous ne collectons pas ce que vous avez acheté dans les boutiques où vous commandez, le prix payé, ni le motif de l’achat. Rien de tout cela n’est nécessaire pour suivre une livraison.
Nous n’utilisons aucun identifiant publicitaire, nous ne faisons aucun suivi entre applications et il n’y a pas de publicité dans le service. Les statistiques anonymes et la mesure facultative avec Google Analytics/Firebase, décrites au point 4, mesurent l’utilisation et la qualité ; elles ne reçoivent ni votre e-mail, ni votre nom, ni votre numéro de mobile, ni votre adresse.
Le choix de mesure sur les pages de starthrop.com et le choix Statistiques et diagnostic dans l’application sont indépendants. Refuser la mesure facultative n’empêche ni le service, ni l’utilisation sans compte, ni la session, ni les paiements, ni les notifications demandées.
3. Journaux du serveur, et à quoi ils servent
Comme tout service sur Internet, notre serveur conserve un journal des requêtes qu’il reçoit. Ce journal contient l’adresse IP d’origine, l’identifiant de votre compte lorsque vous êtes connecté, le chemin demandé et le résultat. Ce journal reste chez le fournisseur qui héberge le service et est remplacé au bout d’environ sept jours — nous ne le conservons pas au-delà et ne l’utilisons pour rien d’autre.
Nous l’utilisons pour deux choses concrètes, et pas pour d’autres :
- Limiter les tentatives. La connexion est freinée par deux décomptes indépendants : l’un sur l’origine de la requête, c’est-à-dire l’adresse IP, l’autre sur l’adresse e-mail saisie dans le formulaire. Cinq tentatives échouées en quinze minutes bloquent ce décompte pendant quinze autres, et une connexion réussie remet les deux à zéro. Le décompte par e-mail s’applique à l’adresse saisie, qu’un compte existe ou non pour elle — s’il ne comptait que pour les comptes réels, le blocage lui-même révélerait lesquels existent. Le système ne sait pas à qui appartient le compte : il compte des tentatives, il ne distingue pas les titulaires.
- Comprendre les pannes. Quand quelque chose tourne mal, c’est dans ces journaux qu’on voit ce qui s’est passé.
Ce qui ne figure pas dans ces journaux, par configuration explicite du serveur : mots de passe, votre e-mail, votre nom, votre numéro de mobile, votre adresse, le contenu des cookies et les codes de récupération.
Nous n’utilisons pas ces journaux pour établir des profils, mesurer des audiences ou à des fins commerciales.
Les statistiques anonymes du point 4 ne conservent pas votre adresse IP : les requêtes qui transportent les décomptes ne laissent pas l’IP dans les journaux de l’application et, pour limiter le nombre d’envois, le serveur n’utilise qu’une empreinte cryptographique de l’IP, en mémoire, qui n’est pas enregistrée.
5. Authentification et sessions
Vous pouvez utiliser le service sans compte, créer un compte avec votre e-mail et un mot de passe, ou vous connecter avec « Continuer avec Google » ou « Continuer avec Apple ». Il n’y a pas d’autre moyen de se connecter.
La session prend fin après 30 jours sans utilisation. Chaque utilisation du service relance ce décompte — celui qui utilise l’application régulièrement n’a pas à se reconnecter.
Il existe une limite que l’usage ne prolonge pas : aucune session ne dure plus de 180 jours à compter de sa création. Passé ce délai, une nouvelle authentification est demandée, même à qui utilise le service tous les jours.
La session prend fin immédiatement lorsque :
- vous vous déconnectez ;
- vous changez votre mot de passe — les sessions des autres appareils prennent alors fin, et celle que vous utilisez continue ;
- vous récupérez votre mot de passe — toutes prennent alors fin, y compris celle que vous utilisez ;
- vous supprimez votre compte.
Se connecter avec Google ou Apple
Si vous choisissez l’un d’eux, c’est Google ou Apple qui confirme qui vous êtes ; nous ne voyons jamais le mot de passe de ces comptes. Nous recevons d’eux l’identifiant de votre compte chez eux et l’e-mail — chez Apple, il peut s’agir d’une adresse de relais privée, si vous la choisissez. Apple nous donne aussi un justificatif, que nous conservons chiffré et qui sert uniquement à lui demander de révoquer la liaison lorsque vous supprimez votre compte ou déconnectez Apple. Si vous avez déjà un compte avec le même e-mail, nous ne les fusionnons pas de notre propre initiative : vous vous connectez avec votre mot de passe et liez Google ou Apple dans le Profil. Vous pouvez les déconnecter dans le Profil, à condition qu’il reste un autre moyen de vous connecter.
Utiliser le service sans compte
Sans compte, le service crée pour votre appareil un compte visiteur, qui n’est créé qu’à la première recherche. Pour suivre un colis en tant que visiteur, nous ne vous demandons ni nom, ni e-mail, ni numéro de mobile, ni mot de passe. Cela ne veut pas dire qu’il n’y a pas de données personnelles : les numéros de suivi que vous suivez, l’historique de ces colis, le code de l’appareil, le cookie de session et les journaux du serveur (point 3) peuvent vous concerner, et c’est pourquoi nous les traitons comme des données personnelles, avec les mêmes droits (points 11 et 12). Le compte visiteur est un compte interne — sans véritable e-mail et sans mot de passe connu de quiconque —, pas une anonymisation de vos données. L’appareil reçoit un code aléatoire, conservé sur lui (point 4) ; nous n’en gardons qu’une empreinte cryptographique, qui est un pseudonyme et non une donnée anonyme. Ce code sert à deux choses : retrouver vos colis quand la session se termine, et les réunir dans un compte, si vous en créez un ou vous connectez à un compte existant — nous vous demandons alors de confirmer, et les colis en double ne sont pas dupliqués.
Bon à savoir : les colis du visiteur sont liés à cet appareil. Nous ne supprimons ni colis, ni événements, ni comptes visiteurs en raison de leur ancienneté ou de l’inactivité : tant que le compte visiteur existe sur le serveur, l’historique reste. Mais si le code est perdu — par exemple en effaçant les données de l’application, en la désinstallant ou en vidant le navigateur —, vous ne pouvez plus les ouvrir, et nous ne pouvons pas savoir à qui ils appartiennent pour vous les rendre ; ce qui était conservé reste conservé, et nous ne le supprimons pas pour cette raison. Pour les supprimer, utilisez « Effacer les données de cet appareil », dans le Profil, avant de supprimer l’application. Pour pouvoir récupérer votre historique et l’utiliser sur d’autres appareils, créez un compte gratuit — c’est facultatif.
Le mot de passe enregistré sur votre appareil
Si votre système — iPhone, iPad, Mac ou Android — vous propose d’enregistrer le mot de passe, c’est lui qui l’enregistre, dans le gestionnaire d’identifiants du système, parce que vous l’y avez autorisé. Cette copie appartient au système : elle reste sous son contrôle, elle peut être effacée dans ses réglages, et quand il demande Face ID, Touch ID ou le code de l’appareil pour la remplir, c’est votre système d’exploitation qui protège un mot de passe qu’il détient. De notre côté, l’affirmation porte sur nous : ni l’application ni nos serveurs ne conservent votre mot de passe lisible. Sur le serveur il n’existe qu’une dérivation cryptographique, qui ne permet pas de le reconstituer ; l’application s’en sert pour vous authentifier et ne le garde pas.
6. Notifications
Si vous l’autorisez, nous vous alertons lorsqu’un colis que vous avez ajouté change de statut. C’est la fonction du service, et c’est pourquoi la base est l’exécution du contrat — la même que dans le tableau du point 2.
Chaque notification que nous envoyons naît d’un événement de l’une de vos livraisons. C’est le seul chemin qui existe dans le service pour créer une alerte : il n’y a pas de mécanisme de notifications promotionnelles.
Pour pouvoir vous envoyer un avis, votre appareil génère un identifiant de notifications que nous conservons, lié à votre compte. Cet identifiant est remis au service de notifications de la plateforme : Apple, sur les appareils Apple ; Google, sur Android.
La notification porte deux choses et rien d’autre : l’état du colis, déjà traduit par nous, et le nom que vous lui avez donné — ou, si vous ne lui en avez pas donné, celui du transporteur ou « Votre colis ». Elle ne porte ni votre nom, ni votre e-mail, ni votre numéro de mobile, ni votre adresse, ni le numéro de suivi, ni le texte rédigé par le transporteur. Ce texte reste enregistré mais n’apparaît sur aucun écran : le parcours de la livraison affiche l’état traduit par nos soins, la date et le lieu indiqués par le transporteur — pas la phrase qu’il a rédigée. Si vous demandez vos données dans l’application, cette phrase figure dans l’export, parce qu’elle concerne votre colis et que vous avez le droit de la voir.
L’autorisation que votre appareil demande pour afficher des notifications est un contrôle technique du système, retirable à tout moment dans ses réglages. La retirer n’affecte ni vos droits ni le reste du service, et ce n’est pas elle le fondement du traitement.
7. Gratuit, contributions volontaires et anciennes formules
Package Tracker est gratuit : suivre un colis, l’utiliser sans compte, créer un compte, enregistrer votre adresse, exporter vos données et supprimer votre compte ne coûtent rien. Il n’y a ni publicité ni formule en vente.
Ce qui ne nous parvient pas
Si vous contribuez volontairement, la transaction est traitée par la boutique où vous le faites — l’App Store ou Google Play — ou, sur le Web, par Stripe. Il en va de même pour les anciens abonnements. Nous ne recevons ni ne traitons votre numéro de carte, les identifiants du moyen de paiement, le nom du titulaire ou l’adresse de facturation. Ces données restent chez la boutique, ou chez Stripe, et chez ceux que chacune utilise pour les traiter. Pour les paiements sur le Web, Starthrop Dynamics est le marchand officiel et Stripe est le prestataire de paiement.
Les contributions ne sont pas liées à votre compte
Une contribution est un soutien volontaire au développement du service : un paiement à Starthrop Dynamics, qui est une entreprise — pas un don à un organisme sans but lucratif. Elle ne débloque rien, ne donne aucun avantage, n’est pas un abonnement et ne change pas ce que fait le service. Dans les applications, l’achat est effectué dans la boutique sans que nous y joignions un identifiant vous concernant, et notre serveur n’enregistre pas que vous avez contribué. Nous comptons seulement, de façon anonyme et agrégée, combien de fois l’écran de soutien a été vu et combien de contributions ont abouti, ont été annulées ou ont échoué (point 4). Si vous contribuez sur le Web, Stripe collecte sur sa propre page l’e-mail et les données de paiement ; Starthrop Dynamics, en tant que marchand, a accès à l’enregistrement de ce paiement chez Stripe — montant, date, e-mail et pays — et le conserve pendant la durée qu’exige la loi fiscale et comptable.
Les anciennes formules, BASIC et PLUS
Jusqu’à la version 1.1.0, nous vendions les formules BASIC et PLUS. Elles ne sont plus vendues. Pour ceux qui ont encore ou ont eu un abonnement, nous savons et conservons : quelle formule ; l’état de l’abonnement — actif, en période de grâce, avec un paiement en échec, résilié, terminé ou remboursé ; les dates de la période payée ; et la référence que la boutique attribue à l’achat, pour reconnaître les messages qu’elle nous envoie ensuite. Sans cela, il n’est pas possible de respecter la période payée, une résiliation ou un remboursement.
L’identifiant que nous envoyions à la boutique
Lors de l’achat d’une formule, nous envoyions à la boutique un identifiant aléatoire, généré par nous, qui ne contient ni votre nom, ni votre e-mail, ni votre adresse, ni le code de votre compte. Il sert à relier l’achat à votre compte lorsque la boutique nous informe d’un renouvellement, d’une résiliation ou d’un remboursement. Nous n’envoyons pas aux boutiques l’identifiant interne de votre compte.
Cet identifiant reste une donnée personnelle : il ne porte pas votre nom, mais il peut être rattaché à un de vos achats. C’est pourquoi il a une durée de conservation et c’est pourquoi il est décrit ici. Nous ne le disons pas anonyme, car il ne l’est pas.
8. Avec qui les données sont partagées
Nous ne vendons pas de données et ne les partageons pas à des fins publicitaires. Pour que le service fonctionne, nous recourons aux prestataires suivants, chacun avec un rôle strict :
| Prestataire | Ce qu’il fait | Ce qu’il reçoit |
|---|---|---|
| Netlify | héberge les pages de starthrop.com, y compris ce document (point 4) | l’adresse IP et la requête de chaque visite à ces pages |
| Google (Google Ireland Limited) | mesure les visites des pages de starthrop.com avec Google Analytics, seulement si vous l’acceptez sur ces pages, selon la politique de confidentialité de Starthrop Dynamics (point 4) | les données décrites dans cette politique, associées à un identifiant aléatoire conservé dans un cookie |
| Render | héberge le service et la base de données | les données de votre compte, au repos et en transit |
| Google Cloud | conserve l’une des sauvegardes de la base de données, en Belgique, et la copie des statistiques anonymes du point 4, dans BigQuery, dans l’Union européenne | le fichier de sauvegarde, déjà chiffré — il n’a pas la clé pour l’ouvrir —, et les décomptes anonymes, qui ne contiennent aucune donnée personnelle |
| Stripe | traite les paiements par carte effectués sur le Web : les anciens abonnements et, lorsqu’elles sont disponibles, les contributions | votre e-mail et les données de paiement que vous saisissez dans son formulaire — le numéro de carte ne nous parvient jamais |
| Google Workspace | achemine le courrier du service | votre adresse e-mail et le contenu de ces messages |
| Transporteurs et réseaux postaux dont nous interrogeons les interfaces officielles — par exemple La Poste, Poczta Polska et Bring | nous donnent directement l’état des colis | le numéro de suivi. Lorsque c’est la personne elle-même qui demande la mise à jour d’un colis La Poste, nous envoyons aussi à La Poste l’adresse IP d’où vient cette demande, car la documentation de son interface prévoit ce champ pour les recherches faites au nom d’une personne ; la base est la même que celle de la recherche que vous avez demandée (exécution du contrat). Nous ne l’envoyons pas lors d’autres recherches, nous ne la conservons pas et nous ne l’utilisons à rien d’autre. Nous demandons aussi à Bring de nous prévenir des changements d’un colis, en indiquant le numéro et l’adresse de notre serveur. Aucun ne reçoit votre nom, votre e-mail, votre numéro de mobile ou votre adresse |
| AfterShip | interroge l’état des colis auprès des transporteurs jusqu’à la bascule, qui a lieu avant le 12 novembre 2026, date à laquelle le compte de l’entreprise chez AfterShip prend fin ; à partir de la bascule il ne reçoit plus de nouvelles demandes, et l’historique déjà obtenu reste chez nous | uniquement le numéro de suivi et, s’il est indiqué, le transporteur — il ne reçoit ni votre nom, ni votre e-mail, ni votre adresse |
| Google et Apple, pour se connecter | confirment votre identité lorsque vous choisissez « Continuer avec Google » ou « Continuer avec Apple » (point 5) | la demande de connexion que vous faites chez eux ; ils nous renvoient l’identifiant et l’e-mail. Lorsque vous supprimez votre compte ou déconnectez Apple, nous demandons à Apple de révoquer la liaison |
| Apple, service de notifications | remet les notifications aux appareils Apple | l’identifiant de notifications de l’appareil et le contenu de l’avis |
| Google, service de notifications | remet les notifications aux appareils Android | l’identifiant de notifications de l’appareil et le contenu de l’avis |
| App Store et Google Play | traitent les contributions, les anciens abonnements et la transaction financière | les données de paiement, qui ne passent jamais par nous, et, pour les anciens abonnements, l’identifiant aléatoire décrit au point 7 |
Package Tracker n’envoie votre adresse, votre nom, votre e-mail ni votre numéro de mobile ni aux transporteurs, ni à AfterShip, ni aux boutiques d’applications. L’adresse n’est pas non plus montrée aux autres utilisateurs. Elle est conservée dans votre compte, dans la base de données du service — hébergée par le fournisseur indiqué dans le tableau ci-dessus, comme le reste de vos données. L’endroit où se trouve cette base, et ce que cela ne garantit pas, figure au point 9.
Il s’agit d’une affirmation sur ce que nous faisons. Un transporteur qui vous livre un colis connaît naturellement l’adresse de livraison — il l’a reçue de celui qui vous a envoyé le colis, pas de nous.
Google Ireland Limited fournit également les services facultatifs Google Analytics/Firebase, Crashlytics et Performance de l’application. Ce choix sert aux statistiques d’utilisation et au diagnostic ; l’identité du compte n’est pas partagée avec ces services. Les 14 mois concernent la conservation configurée dans Analytics et ne constituent pas une promesse uniforme d’effacement de toutes les copies ou de tous les services Google.
9. Où les données sont traitées
L’infrastructure qui héberge le service et la base de données se trouve dans l’Union européenne, dans la région de Francfort, en Allemagne. C’est là que sont conservés votre compte, votre adresse et vos colis, et c’est là que sont conservés les journaux du serveur décrits au point 3.
Une partie des sauvegardes décrites au point 10 reste chez le même prestataire, dans la même région. Le reste est constitué de copies chiffrées conservées par l’entreprise elle-même, hors du prestataire : sur ses propres équipements et dans le stockage Google Cloud, en Belgique, également dans l’Union européenne. La copie des statistiques anonymes du point 4 est conservée dans BigQuery de Google Cloud, dans l’emplacement multirégional de l’Union européenne.
Cela dit où les données sont conservées, et ce n’est pas la même chose que de dire que rien ne quitte l’Allemagne. Il vaut la peine de distinguer trois choses que l’on confond souvent : où les données sont conservées, où sont conservées les sauvegardes, et qui peut y accéder pour maintenir le service en marche. L’hébergement est assuré par une entreprise à activité internationale : la console et l’interface d’administration avec lesquelles nous exploitons l’infrastructure ne sont pas limitées à cette région, et l’accès technique de maintenance peut se faire depuis l’extérieur.
Les autres fournisseurs indiqués au point 8 sont des entreprises ayant une activité internationale, et le traitement qu’ils effectuent peut impliquer des transferts de données hors de l’Espace économique européen — notamment l’interrogation des transporteurs, la connexion avec Google ou Apple, l’acheminement des notifications, le courrier du service et les paiements dans les boutiques. Chacun publie ses propres conditions de traitement des données, qui s’appliquent à ce traitement et indiquent les garanties sur lesquelles il repose.
Si vous souhaitez savoir, pour un prestataire précis, quelle garantie s’applique et où la consulter, écrivez à support@starthrop.com et nous répondrons avec la référence exacte.
10. Pendant combien de temps
Tant que votre compte existe — avec un compte ou en tant que visiteur. Nous ne supprimons ni colis ni événements en raison de leur ancienneté ou de l’inactivité : l’historique reste jusqu’à ce que vous supprimiez le colis ou le compte. Il y a une seule exception, et pour une seule source : DHL n’est pas aujourd’hui une source utilisée par le service ; si et tant que l’interface officielle de DHL est utilisée, les informations obtenues d’elle sont supprimées 30 jours après la livraison, à la condition de DHL elle-même — le colis, l’historique venu d’autres sources et tout le reste demeurent. Ce délai ne s’applique à aucun autre transporteur.
Lorsque vous supprimez votre compte, vos données sont effacées de la base qui fait fonctionner le service — compte, numéro de mobile, adresses et leur historique, colis, événements de suivi, sessions, demandes de récupération, identifiants de notification, liaisons avec Google et Apple, repères statistiques du compte et l’enregistrement de la formule — en une seule opération qui s’exécute entièrement ou pas du tout. C’est immédiat, et c’est de la base active que nous le disons. Tout ne s’arrête pas à cet instant, et ce qui reste se répartit en deux catégories, pas plus : les enregistrements résiduels, au nombre de quatre et listés dans le tableau ci-dessous, et les sauvegardes techniques, qui sont autre chose et sont expliquées à la fin de ce point.
Catégorie un — les quatre enregistrements résiduels :
| Ce qui reste | Combien de temps | Ce que c’est, et pourquoi |
|---|---|---|
| Trace de la suppression | 30 jours | Elle contient l’identifiant interne du compte supprimé et la date. Elle ne contient ni nom, ni e-mail, ni adresse, ni colis — mais elle reste une donnée personnelle pseudonymisée, car elle se rapporte à vous. Elle existe pour garantir que votre compte ne soit pas rétabli s’il faut restaurer une sauvegarde du système |
| Identifiants de notification déjà révoqués | sept jours | Quand un appareil cesse de recevoir des avis, l’identifiant ne sert plus. Il reste sept jours pour permettre de diagnostiquer les échecs d’envoi, puis il est effacé |
| Identifiant de paiement aléatoire, si vous aviez un forfait payant | voir ci-dessous | L’identifiant du point 7. Également pseudonymisé |
| Justificatif chiffré d’Apple, si vous vous êtes connecté avec Apple | jusqu’à ce qu’Apple confirme la révocation, 90 jours au plus | Le justificatif du point 5. Il ne reste que pour demander à Apple de révoquer la liaison : nous essayons juste après la suppression et recommençons, à intervalles croissants, jusqu’à la confirmation d’Apple — il est alors effacé. Si la révocation ne peut pas aboutir, le justificatif est effacé au bout de 90 jours au plus, ou dès qu’il ne peut plus servir ; il n’est pas conservé sans finalité. Cela ne retarde ni n’empêche la suppression de votre compte, qui a déjà eu lieu ; vous pouvez aussi retirer la liaison dans votre propre compte Apple |
À propos de l’identifiant de paiement : nous le conservons tant que votre compte existe — y compris après la fin de l’abonnement, car sans lui un achat antérieur cesserait d’être reconnaissable — et nous l’effaçons 180 jours après la suppression du compte. Ce délai n’est pas arbitraire : il couvre les fenêtres pendant lesquelles la boutique peut encore nous écrire au sujet de votre achat — Apple relance le prélèvement jusqu’à 60 jours, et un remboursement ou une contestation peut arriver après. Les 180 jours écoulés, il est supprimé. Nous ne le conservons pas à des fins comptables : la boutique traite l’encaissement et les enregistrements financiers de la transaction restent chez elle — il ne nous parvient que cet identifiant et l’état de l’abonnement.
Les sauvegardes
La base de données fait l’objet de sauvegardes qui existent dans un seul but : reconstruire le service si quelque chose tourne très mal. Elles ne servent ni à la consultation courante ni à récupérer sélectivement les données d’une personne. Il en existe quatre types :
| Copie | Où elle est conservée | Pendant combien de temps |
|---|---|---|
| Copie continue, qui permet de reconstruire la base à un instant passé | chez le prestataire qui héberge le service, dans la même région | environ trois jours — c’est le prestataire qui en détermine la taille exacte ; nous la mesurons et elle avoisine cette valeur |
| Copie complète quotidienne de la base | chez le même prestataire, dans la même région | sept jours |
| Copie quotidienne chiffrée | sur les équipements de l’entreprise, hors du prestataire | environ 30 jours |
| Copie chiffrée dans le cloud | dans le stockage Google Cloud, en Belgique, qui reçoit le fichier déjà chiffré et n’a pas la clé pour l’ouvrir | environ 30 jours, comme la copie quotidienne chiffrée ; utilisée seulement si les autres copies font défaut |
Les copies conservées par l’entreprise sont chiffrées dès leur arrivée sur ses équipements et ne peuvent être ouvertes qu’avec une clé que ni l’hébergeur ni Google Cloud ne possèdent. Lorsque vous supprimez votre compte, vos données quittent immédiatement la base active, mais restent dans ces copies jusqu’à l’expiration de chacune. S’il fallait un jour reconstruire le service à partir d’une copie, nous supprimerions à nouveau les comptes dont la suppression figure dans la trace décrite plus haut, que nous conservons 30 jours. C’est pourquoi aucune copie conservée par l’entreprise ne dure plus longtemps que cette trace : une copie plus ancienne ne pourrait plus être restaurée sans ramener dans le service des comptes supprimés, et elle est supprimée.
Des copies ponctuelles peuvent aussi exister, créées avant une opération de maintenance — avant une modification de la structure de la base, par exemple — pour pouvoir revenir en arrière si l’opération tourne mal. Elles restent chez le prestataire ou, chiffrées, auprès de l’entreprise, et ont la même finalité, la même protection et la même durée de conservation que les autres copies conservées au même endroit.
Les demandes de récupération de mot de passe expirent au bout d’une heure et sont invalidées dès qu’elles sont utilisées, ou lorsque vous en faites une nouvelle.
11. Supprimer votre compte
Vous pouvez supprimer le compte depuis votre Profil, avec une double confirmation. C’est définitif. Sans compte, « Effacer les données de cet appareil », dans le Profil, supprime de la même façon le compte visiteur et ses colis.
Avoir une ancienne formule payante n’empêche pas la suppression. Votre droit d’effacer vos données ne dépend d’aucune question commerciale.
Mais supprimer le compte ne résilie pas un ancien abonnement. La formule a été achetée sur l’App Store, sur Google Play ou sur le Web, et se résilie là où elle a été achetée : dans l’App Store, dans Google Play, ou dans le portail client depuis votre compte. Un abonnement de boutique, nous ne pouvons pas le résilier à votre place.
Si vous supprimez le compte sans résilier, vous continuerez à être facturé par celui qui vous facture. L’application vous en avertit avant la confirmation et affiche le lien vers l’endroit où vous avez acheté.
12. Vos droits
En tant que personne concernée, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Une partie s’exerce dans le produit, sans nous écrire, et la voici :
- Exporter — téléchargez vos données dans un fichier, depuis votre profil, y compris sans compte. C’est le droit d’accès et le droit à la portabilité.
- Supprimer le compte — dans le profil, avec une double confirmation. C’est définitif.
- Corriger ou retirer le nom et le numéro de mobile — dans le profil. C’est le droit de rectification, pour la partie que nous pouvons vous donner directement.
- Corriger l’adresse — dans le profil. La version précédente reste conservée, comme indiqué au point 2.
- Déconnecter Google ou Apple — dans le profil, à condition qu’il reste un autre moyen de vous connecter.
- Retirer le consentement Statistiques et diagnostic — dans le profil, à tout moment. Le retrait n’affecte pas le traitement effectué avant lui. La même réponse « Non » vaut opposition aux statistiques anonymes sur l’appareil (point 4).
Ce qui dépend encore d’un message de votre part : changer l’adresse e-mail du compte, qui identifie le compte et n’est pas encore modifiable dans le produit ; vous opposer au traitement du nom, fondé sur l’intérêt légitime, ou nous demander de supprimer le numéro de mobile, si vous préférez cette voie au Profil ; et limiter le traitement. Pour cela, écrivez à support@starthrop.com. Vous avez aussi le droit d’introduire une réclamation auprès de l’autorité de contrôle — au Portugal, la Comissão Nacional de Proteção de Dados (CNPD).
13. Sécurité
Les connexions au service sont chiffrées en transit.
Les mots de passe ne sont conservés que sous forme de dérivation cryptographique — jamais tels que vous les avez saisis. Les demandes de récupération, les sessions et le code de l’appareil de ceux qui utilisent le service sans compte sont conservés sous forme d’empreinte cryptographique : la valeur qui se trouve dans votre cookie n’existe pas dans notre base de données, et une demande de récupération ne peut pas être reconstituée à partir de ce que nous conservons.
Le courrier que nous envoyons est signé cryptographiquement (DKIM) et le domaine est protégé par SPF et DMARC, afin qu’il soit plus difficile de se faire passer pour nous.
Les journaux du serveur sont configurés pour omettre les mots de passe, l’e-mail, le nom, le numéro de mobile, l’adresse, les cookies et les codes de récupération. Les identifiants d’accès aux fournisseurs ne se trouvent pas dans le code du service.
14. Mineurs
Le service est destiné aux personnes de 18 ans ou plus, avec ou sans compte. Nous ne demandons pas de documents pour le vérifier.
Nous ne collectons pas sciemment de données de mineurs.
15. Modifications
Cette politique porte une version et une date en haut, et la version en vigueur est toujours publiée sur cette page. À partir de la version 1.1.0, son adresse de référence est starthrop.com/package-tracker/privacy/, avec une version dans chaque langue. Les versions précédentes sont conservées et peuvent être demandées à support@starthrop.com.
En cas de modifications substantielles — qui changent de façon significative ce que nous faisons de vos données — nous informons les utilisateurs avant leur entrée en vigueur, par les moyens adaptés à la nature de la modification et chaque fois que la loi l’exige.
Ce qui change avec la version 6.14. Le service se présente uniquement comme Package Tracker, un produit de Starthrop Dynamics, sur starthrop.com/package-tracker/ et package-tracker.starthrop.com ; le contact est support@starthrop.com et la suppression du compte est décrite sur starthrop.com/fr/package-tracker/supprimer-compte/. L’ancien site public a été arrêté ; sa mesure n’est donc plus décrite ici ; la mesure sur les pages de starthrop.com figure dans la politique de confidentialité de Starthrop Dynamics (point 4). Le code du compte est désormais décrit selon son rôle réel (point 2), et la liste de ce qui reste sur votre appareil inclut le marqueur technique d’une déconnexion en attente de confirmation (point 4). Les nouvelles applications iOS et Android utilisent les mêmes fournisseurs — Apple et Google, y compris Firebase et la connexion avec Apple et avec Google — pour les mêmes finalités. Il n’y a pas de nouvelles catégories de données, finalités, bases juridiques, destinataires ni durées de conservation. Le paragraphe suivant décrit la version 6.13.
Ce qui change avec cette version, et depuis quand. Étaient déjà vrais avant la version 1.1.0 : la connexion avec Google ou Apple, disponible depuis le 14 octobre 2026 ; ce que contient une notification (point 6) ; et la fin de la vente des formules BASIC et PLUS, retirées de la vente le 21 octobre 2026. Deviennent vrais avec la version 1.1.0, le jour où cette politique entre en vigueur : l’utilisation sans compte, le service gratuit avec contributions volontaires, le numéro de mobile facultatif dans le Profil, l’interrogation directe des transporteurs, les statistiques anonymes et la nouvelle adresse de contact. AfterShip ne cesse de recevoir des demandes qu’à la bascule décrite au point 8.
Comment nous vous prévenons. Lorsque la modification l’exige, nous prévenons par e-mail ceux qui ont un compte avec e-mail et, dans l’application, par l’avis qui apparaît à l’ouverture d’une nouvelle version. Les délais de préavis des Conditions de service (point 13) continuent de s’appliquer à ce qu’elles régissent.
16. Contact
Toute question sur cette politique ou sur vos données : support@starthrop.com.