Privacy

Cailloux volgt atleten in de bergen. Dat betekent namen en GPS-posities — dan zeggen we maar beter duidelijk wat we ermee doen.

Laatst bijgewerkt: 17 oktober 2026 — de positie die de iPhone- en Android-apps lezen bij vergrendeld scherm; de meldingen die via Apple en Google gaan; de kaarten van OpenStreetMap, de QR-code en de anonieme aanmelding bij Google; wat een bugmelding bewaart; de aanmoedigingen van het publiek; je account verwijderen in de app 1.2; je verzoek om de Android- of iPhone-app te testen; de telefoon-ID van versie 1.2 en van de iPhone-app; onmogelijke steentjes en check-ins, apart gezet; het versienummer van elke app, genoteerd wanneer je account zich aanmeldt; en de automatische inschrijving voor het testprogramma van een account dat op de bèta is aangemaakt. Op 7 oktober: je taal, bewaard op je account. Op 5 oktober: versie 1.1 staat open voor iedereen: wat voorbehouden was aan de testversies — De Kast, het adresboek, de pro-accounts, het volgen van de positie tijdens een SOS-alarm — komt in de hoofdlijsten terecht. Op 19 september: de GPS-posities die de app verstuurt zonder dat je iets aanraakt (het automatische steentje, en het SOS-alarm), het automatisch online zetten van een wedstrijd 24 u voor de start, de organisaties die een wedstrijdfiche voorstellen, het adresboek, wat een pro extra ontvangt, en de diensten waarop de site echt draait en die de e-mails versturen. Op 13 september: de bevestiging van je e-mailadres, de link van 48 u wanneer je het wijzigt, en de vraag over nieuws bij de registratie. Op 27 augustus: de pro-accounts, volledig: de 2 deuren, wat een pro ontvangt van een wedstrijd die voor die pro wordt opengezet, de 3 dingen die nooit naar die pro worden gestuurd, waarom de ervaringen met voeding bij de voedingsstrategie horen, en wat dat betekent voor de atleten in je wedstrijd, die niets gevraagd hebben. Daarvoor, op 23 augustus: volledige inventaris, veld per veld opnieuw nagekeken tegenover de code, datum van de laatste aanmelding, en een sectie over de testversies

Wie is verantwoordelijk

Cailloux wordt ontwikkeld en gehost door Pierre Miné Delplanque, als privépersoon. Er zit geen bedrijf achter, geen team, geen investeerder. In de App Store staat de naam « Pierre Mine »: dat is dezelfde persoon.

Voor elke vraag of elk verzoek: admin@cailloux.app.

Wat er verzameld wordt

Als je een account aanmaakt om je wedstrijden uit te zetten

Voornaam, naam, e-mail, gebruikersnaam — om je te herkennen en opnieuw contact met je op te nemen.
Je wachtwoord, nooit in leesbare vorm — alleen een hash wordt bewaard, berekend met een methode die bewust traag is en veel geheugen vraagt (scrypt). Niemand, zelfs ik niet, kan het teruglezen, en een gestolen kopie van de database zou heel duur blijven om te kraken.
Je toestemming om nieuws te ontvangen, als je die bij de registratie gaf — door het vakje aan te vinken, of door ja te antwoorden op de vraag, afhankelijk van de versie. Je kunt je op elk moment afmelden.
De datum waarop je account is aangemaakt.
Je taal — Frans, Engels of Nederlands: de taal waarin de app je aansprak toen je je registreerde, of de taal die je sindsdien koos. Zo spreekt Cailloux je taal op elk van je toestellen.
De bevestiging van je e-mailadres — als je account sinds versie 1.1 is aangemaakt. Bij de registratie krijg je een link, en de datum waarop je die opent, wordt bewaard. Van de link wordt alleen een hash bewaard, met het tijdstip van de laatste verzending, om er niet een hele reeks kort na elkaar te sturen. Als je van adres verandert, wordt het nieuwe naast het oude bewaard tot je klikt, en vervangt het dan het oude. De link daarvan is maar 48 u geldig: zonder klik wordt het nieuwe adres gewist bij je volgende aanmelding.
De publicatiedata van je wedstrijden — wanneer een wedstrijd voor het eerst online wordt gezet, en wanneer voor het laatst. 2 getallen, op de wedstrijd, niet op jou. Ik gebruik ze om « online sinds… » te kunnen antwoorden als je me een probleem meldt, en om te weten of er een vergeten wedstrijd live blijft hangen.
De datum waarop je de app het laatst gebruikte — de dag waarop je Cailloux voor het laatst opende. Daarmee weet ik of de app nog gebruikt wordt, en naar wie ik moet schrijven voor ik ergens aan kom. Ze wordt hoogstens 1 keer per uur genoteerd. Het is geen logboek — er is maar 1 datum, die van de laatste keer, en de vorige wordt overschreven.
Het versienummer van elke app die je met je account opent: de app, Le Cairn of de app die op je telefoon geïnstalleerd is (iPhone of Android). Voor elke app: het exacte nummer (bijvoorbeeld 1.2.24), het kanaal (de gewone versie, de bèta of de alfaversie), en de dag en het uur. Het kanaal wordt afgelezen uit het adres van de pagina; de geïnstalleerde app heeft geen adres, dus het kanaal ervan wordt niet genoteerd. Het nummer wordt genoteerd wanneer je je aanmeldt, wanneer je je account aanmaakt en wanneer Le Cairn opengaat: hoogstens 1 keer per uur, behalve als het veranderd is. Daarmee weet ik wie welke versie gebruikt, voor de bèta en voor de updates. Ook dit is geen logboek: 1 waarde per app, de laatste, bij elk bezoek vervangen en samen met je account gewist. Een oudere app geeft geen nummer door: dan wordt de versie genoteerd die uit het adres is afgelezen (1.1 of 1.2), gemarkeerd als afgeleid. Die versie uit het adres wordt ook apart bewaard, 1 voor het hele account, zoals vroeger. Voor iemand die alleen met een 6-cijferige code binnenkomt, wordt niets genoteerd: geen account, geen spoor.
Je inschrijving voor het testprogramma, als je die gevraagd hebt, met de datum en de weg waarlangs je kwam: je profiel, de link in een mail, of het aanmaken van je account op een adres van de bèta (beta.cairn.cailloux.app of beta.app.cailloux.app). Een account dat daar wordt aangemaakt, met Le Cairn of met de app, is meteen ingeschreven voor het testprogramma. Net als bij de andere wegen kun je die inschrijving uitvinken in je profiel in Le Cairn.
Je verzoek om de Android- of iPhone-app te testen, als je op « Ik wil testen op Android » of « Ik wil testen op iPhone » tikt: het platform, de datum, de stand van het verzoek (gevraagd, uitnodiging verstuurd, ingetrokken) en het e-mailadres waarop je de uitnodiging krijgt. Dat is het adres van je account, tenzij je me een ander geeft. Dit verzoek schrijft je ook in voor het testprogramma.
Je aanvraag voor een pro-account, als je er een indient: het beroep dat je opgeeft, je referenties — diploma, instelling, website, registratienummer bij de beroepsorde — en het berichtje dat je schrijft. Met die gegevens beslis ik of ik het account open, en voor niets anders: ze worden aan niemand getoond, niet aan je klanten, niet op de site. Ze blijven bewaard zolang het account bestaat; je kunt vragen om ze te wissen, of je account verwijderen.

Als een pro je wedstrijden volgt

Een trainer of een diëtist kan binnen je wedstrijd werken. Dat gaat via 2 deuren, nooit 1: ik open het pro-account op basis van de opgegeven referenties, en jij kiest welke wedstrijden voor die pro worden opengezet. Wat het account erin mag wijzigen — informatie, materiaal, voedingsstrategie, doorkomsttijden… — wordt vastgelegd bij het openen, en getoond voordat je accepteert. Wedstrijd per wedstrijd. Het pro-account is gratis. Je kunt op elk moment weer dichtdoen.

De wedstrijd wordt naar de pro gestuurd — het traject, de doorkomstpunten, het materiaal, het bevoorradingsplan, en de naam, het borstnummer en het gewicht van elke persoon die erin staat — het gewicht als het is ingevuld, want daarop worden de behoeften berekend. Zonder die gegevens is het onmogelijk te weten voor wie je een plan schrijft.
3 dingen worden nooit naar de pro gestuurd: de persoonlijke 6-cijferige codes, je telefoonnummer en dat van je noodcontact. Niet verborgen op het scherm — helemaal niet verstuurd. Wat in een browser aankomt, kan gelezen worden door wie die browser in handen heeft.
De ervaringen met voeding horen bij de voedingsstrategie, en bij niets anders — net als de producten die elke persoon als favoriet heeft gemarkeerd, verstuurd om een plan te schrijven met wat die persoon echt eet. Wat iemand misselijkmakend, zwaar of slecht gevallen vond, is alleen leesbaar voor een pro voor wie jij dat onderdeel hebt opengezet. Een trainer voor wie je alleen de doorkomsttijden hebt opengezet, ziet ze niet. Het zijn gegevens die het lichaam en de gezondheid raken: daarom horen ze bij dat onderdeel, en niet bij een apart recht.
Niets wordt gewijzigd zonder jou. De pro stelt voor; jij accepteert of weigert, wijziging per wijziging, en bij elk voorstel hoort een verplichte notitie die uitlegt waarom. Zolang je geen ja hebt gezegd, is er in je wedstrijd geen cijfer veranderd — bij een weigering valt er niets te herstellen.
Wat naast je wedstrijd bewaard wordt: de koppeling tussen jullie 2 accounts — wie wie volgt, sinds wanneer, en welke wedstrijden opengezet zijn — en de voorstellen van de pro: de voorgestelde waarden, de notitie, jouw beslissing. Zodat elk van de 2 partijen ernaar kan verwijzen. Als de toegang van de pro wordt gesloten, worden de openstaande voorstellen gewist.

⚠️ En het punt dat je 2 keer moet lezen: je atleten hebben niets gevraagd. Als er in je wedstrijd andere mensen staan dan jijzelf, dan krijgt een pro voor wie je die wedstrijd openzet hun namen, hun borstnummers, hun gewicht, en — als het account van die pro de voedingsstrategie heeft — hun favoriete producten, wat ze gegeten hebben en hoe dat ging. Ze maken geen account aan, ze hebben geen enkel vakje aangevinkt, en de app vraagt hen niet om hun mening. Het is aan jou om hen in te lichten, precies zoals voor het volgen van een wedstrijd. Twijfel je of ze akkoord gaan, zet die wedstrijd dan niet open voor een pro die de voeding heeft.

Als je loopt, en je wedstrijd wordt gevolgd

Je naam en je borstnummer, zoals ze in Le Cairn zijn ingevuld.
Je doorkomsttijden aan de controleposten.
Je GPS-posities wanneer je een steentje legt: breedtegraad, lengtegraad, tijdstip, de km waar je op het parcours bent, je afstand tot de track en de nauwkeurigheid van de GPS. En als het automatische steentje voor jou aanstaat, legt de app er zelf een elke 20 minuten, en wanneer je de app opnieuw opent. Dat gebeurt alleen tussen je ingecheckte start en je ingecheckte finish. In de webapp alleen zolang de app open op het scherm staat.
In de iPhone-app en de Android-app gaat het automatische steentje door bij vergrendeld scherm. Daarvoor leest de telefoon je positie voortdurend, telkens als je 25 m verplaatst bent. Hij vraagt je de toestemming « Altijd », en hij toont het: een blauwe aanduiding bovenaan het scherm op iPhone, een melding op Android. Die posities verlaten de telefoon niet, en hij bewaart alleen de laatste: er vertrekt alleen een steentje, ongeveer elke 20 minuten. Voor je ingecheckte start, na je ingecheckte finish en na een opgave staat die GPS uit. Een steentje met de hand leggen en een crew-alarm werken altijd.
Met een Garmin-horloge gekoppeld aan de iPhone-app (in test): een druk op de rondeknop van het horloge legt een steentje, en het horloge stuurt zijn positie naar je iPhone, één punt per 250 m (hooguit één keer per minuut) tijdens de wedstrijd, elke 2 minuten vóór je start. Die uitwisseling loopt via Bluetooth door de Garmin Connect-app op je telefoon; de iPhone plaatst de positie op het parcours en bewaart alleen het steentje. Het horloge bewaart niets van de wedstrijd zodra de activiteit is afgelopen. Je zet de verbinding uit in het menu ☰ › Horloge.
Apart gezette steentjes en check-ins. Een onmogelijk steentje of een onmogelijke check-in komt niet in het live volgen terecht. Onmogelijk betekent: verder dan wat iemand sinds de start kan afleggen aan 20 km/u, plus 3 km marge. Bijvoorbeeld een finish die 39 minuten na de start wordt ingecheckt, door een telefoon die aan de finish is blijven liggen. De server bewaart die apart, in een afgesloten ruimte, met wat erin stond — het uur, en de positie bij een steentje — en de reden. Je crew en het publiek zien die niet, en er vertrekt geen enkele melding. Ik kan die lezen, om na te gaan dat een echte doorkomst niet per vergissing apart gezet werd. Wanneer de wedstrijd offline wordt gezet, wordt die gearchiveerd, nog altijd afgesloten; komt de wedstrijd weer online, dan krijgt die opnieuw een plek apart. Wanneer de wedstrijd wordt afgesloten of verwijderd, wordt die gewist.
Je positie tijdens een crew-alarm. Zolang het alarm actief is, volgt de app je positie en stuurt die naar je crew zodra je 50 m verplaatst bent, en minstens elke 2 minuten: een positie van 10 minuten oud zou je crew naar de verkeerde plek sturen. Het volgen stopt wanneer het alarm wordt opgeheven. Het is het enige moment waarop Cailloux je positie voortdurend verstuurt.
De waarschuwing « Te snelle start », als die voor je wedstrijd aanstaat en je ze bij de start hebt geaccepteerd: de app leest je positie 1 keer per minuut tijdens de eerste 20 minuten, om je tempo te berekenen. Er wordt niets verstuurd: die posities dienen alleen voor de berekening, op je telefoon.
De berichten die je met je crew uitwisselt.
De aanmoedigingen die het publiek je stuurt, in versie 1.1, tot 16 november 2026, en alleen als de wedstrijd ze toelaat: een voornaam en een bericht van hoogstens 200 tekens, geschreven door iemand die je wedstrijd volgt. Ze worden bewaard bij de berichten van de wedstrijd. Versie 1.2 en de iPhone- en Android-apps bieden niet meer aan om ze te sturen.
Je telefoonnummer, als het is ingevuld. Je crew ziet het wanneer je alarm slaat: het is het eerste waar ze naar zoekt, en ze zou er niet naar moeten hoeven zoeken.
De naam en het nummer van je noodcontact die je aan de organisatie hebt gegeven. Ze worden aan jou getoond, op je telefoon, als je opgeeft of alarm slaat.
Een abonnement op meldingen, als je ze hebt geaccepteerd. Het verwijst naar je browser, of naar je telefoon in de iPhone- of Android-app. Het bewaart ook je rol, de atleet die je volgt, je taal, en een naam om het terug te vinden: die van de atleet in de atleten-app, anders die van je account als het op dit toestel is aangemeld.

De noodnummers van de wedstrijd

De wedstrijd zelf bevat 2 nummers die in Le Cairn zijn ingevuld: dat van de wedstrijdleiding en een noodnummer van de organisatie. Ze worden getoond aan wie loopt, op het moment van opgeven of alarm slaan — het moment waarop wie loopt niet in de eigen contacten naar een nummer hoeft te zoeken. Die 2 velden zijn optioneel.

Als je een bug meldt

Wat je schrijft in het formulier, zoals het is.
De technische context: de app, de versie ervan, de grootte van je scherm, de beschrijving van je browser (naam, versie, je systeem, soms het model van je telefoon), de wedstrijdcode van de betrokken wedstrijd, en of het om een bèta gaat. Daarmee kan ik het probleem nabootsen. De app stuurt ook de sleutel van je account en de ID van de geopende atleet mee: de server bewaart die niet.
Je naam, of anders je gebruikersnaam, als de app die op dat moment kent.

Die meldingen worden alleen door mij gelezen, en dienen alleen om fouten te verbeteren. Je kunt me natuurlijk vragen ze te verwijderen.

Als je een correctie voorstelt op een productfiche

Het voorstel bewaart je naam en de link naar je account, zodat ik bij je kan terugkomen als een waarde discussie verdient. Het is alleen voor mij zichtbaar, nooit voor de andere mensen die Cailloux gebruiken.

Als je een wedstrijd organiseert en de fiche ervan voorstelt

De pagina om fiches in te dienen bewaart je naam, je e-mailadres en, als je het opgeeft, je telefoonnummer, met de taal waarin je de pagina hebt ingevuld en het adres van de website van je wedstrijd. Ze dienen om na te gaan of het voorstel wel degelijk van de organisatie komt, om je te schrijven — om het voorstel te bevestigen, en daarna om je te laten weten of de fiche is gepubliceerd — en om je de link te sturen waarmee je de fiche kunt corrigeren. Ze worden nooit gepubliceerd: alleen de fiche wordt gepubliceerd — het parcours, de doorkomstpunten, de tijdslimieten. Ze blijven bewaard zolang de fiche bestaat, en een geweigerd voorstel wordt samen met de beslissing bewaard. Je kunt op elk moment vragen om ze te wissen.

Soms schrijf ik ook zelf naar de organisatie van een wedstrijd die al in Cailloux staat, om voor te stellen dat ze haar parcours nakijkt en certificeert. Ik gebruik dan het contactadres van de organisatie; het wordt bij de fiche bewaard, voor de mails die volgen.

Om misbruik te voorkomen

Wanneer iemand probeert in te loggen, een account aan te maken of een melding te versturen, telt de server de pogingen per netwerk om geautomatiseerde aanvallen af te remmen. Hij registreert je IP-adres niet: hij bewaart er een onomkeerbare hash van, samen met een gewone teller. Die tellers wissen zichzelf na enkele tientallen minuten en zijn aan geen enkel account gekoppeld.

Als je gewoon de site bezoekt

Een bezoekersmeting zonder cookie of ID (Cloudflare Web Analytics) telt de bekeken pagina's. Daarmee ben je niet te herkennen van het ene bezoek op het andere — daarom heeft deze site geen toestemmingsbanner.

In de apps: tellers, geen tracking

Om te weten welke functies echt gebruikt worden, verhoogt de app globale tellers: « gedeelde finisherkaarten: 12 in augustus ». Dat is alles wat er geregistreerd wordt — een getal.

Geen ID, geen tijdstip, geen link met jou, je wedstrijd of je toestel. Het is technisch onmogelijk om van een teller naar een persoon terug te gaan, en de regels van de database laten alleen toe dat er 1 bij wordt opgeteld: die tellers kunnen vanuit de app zelfs niet op nul worden gezet.

De Kast, het adresboek, en wat het lichaam raakt

Sinds versie 1.1 bewaart Cailloux ook wat nodig is voor de Kast van wie loopt en voor het adresboek van wie wedstrijden uitzet — voor iedereen, en niet meer alleen in de testversies.

Hier is de lijst, volledig:

Een persoonlijke 6-cijferige code per persoon in je adresboek, en het spoor van de sessies die ermee zijn geopend — om ze allemaal tegelijk te kunnen sluiten als je die code verandert.
Wat elke persoon thuis in voorraad heeft: de als favoriet gemarkeerde producten, hoeveel er nog over zijn, en de drempel waaronder De Kast waarschuwt.
Het materiaal van die persoon: categorie, omschrijving, gewicht, aantal — en, voor de houders, hun type en hun inhoud.
Wat die persoon heeft genuttigd, product per product, met de datum, de wedstrijd, en wat die persoon ervan vond: lekker of niet, misselijkheid, vertering, en een vrije notitie. Daardoor stelt de app niet meer voor wat slecht gevallen is.
De innames van die persoon tijdens de wedstrijd: ze worden vanzelf aangevinkt naarmate het plan vordert, en elke persoon vinkt vanaf de eigen telefoon de innames uit die niet gegeten zijn. En de dosissen drank die bij elke bevoorrading worden klaargemaakt.
Een vrije notitie, in het adresboek geschreven over een atleet — « fragiele knie », « verdraagt geen gels met cafeïne ». Ze is alleen leesbaar voor de persoon die ze schrijft.
Het delen van een lade tussen meerdere personen, wanneer ze in het adresboek samengebracht zijn — een koppel of een crew die de voorraad samen bijhoudt.
De accounts waarmee je de voorbereiding van een wedstrijd deelt, als je iemand uitnodigt om die samen met jou te bewerken.
Je adresboek: voor elke persoon de naam, het gewicht, de wedstrijdinstellingen — D+-kost, drempel, verval —, het telefoonnummer, en de naam en het nummer van het noodcontact. Ze worden van wedstrijd tot wedstrijd bewaard, zodat je ze niet opnieuw hoeft in te tikken.

2 van die gegevens verdienen het om genoemd te worden voor wat ze zijn. De ervaringen met voeding en de notities over een persoon raken het lichaam en de gezondheid. Ze verlaten het account waarin ze staan maar in 1 geval, en dat beslis jij: een pro voor wie je de voedingsstrategie hebt opengezet, leest de ervaringen — nooit de notities. Niemand anders ziet ze, ze dienen voor geen enkele globale berekening, en ze staan niet in het openbare deel van een wedstrijd. In een crew deel je de voorraadtelling, nooit de ervaringen — wat een maag verdraagt, gaat alleen die maag aan.

Als je het exacte detail wilt — de namen van de velden, waar ze opgeslagen zijn, wat elk veld bevat — schrijf me en ik stuur het je: admin@cailloux.app. Die gegevens worden gewist zoals de andere, met de knop « Mijn account verwijderen » of op eenvoudig verzoek.

De volgende testversies kunnen nieuwe dingen registreren voordat ze voor iedereen worden opengesteld: deze pagina zal het zeggen, zoals ze dat voor versie 1.1 deed.

Het belangrijke punt over de mensen die lopen

Wie gevolgd wordt, maakt geen account aan: wie de wedstrijd uitzet, vult naam en borstnummer in en geeft daarna een persoonlijke 6-cijferige code door waarmee de app opengaat. Geen wachtwoord, geen e-mailadres, geen registratie. Het is dus aan wie de wedstrijd uitzet om na te gaan of dat mag, en om de mensen die gevolgd zullen worden in te lichten.

⚠️ Een wedstrijd met een datum gaat 24 u voor de start vanzelf online, als ze niet met de hand gepubliceerd is: het is een vangnet voor wie het vergeet, en een e-mail waarschuwt ervoor. Om dat te vermijden, volstaat het de schakelaar « Automatisch online zetten » van de wedstrijd uit te zetten. Met andere woorden: mensen kunnen gevolgd worden zonder dat iemand op « Publiceren » heeft geklikt — licht ze vooraf in, niet op de wedstrijddag.

Van mijn kant lever ik de tool en host ik de gegevens. Als je loopt en wilt dat je gegevens verdwijnen, kun je langs de persoon gaan die je wedstrijd uitzet, of me rechtstreeks schrijven — ik regel het.

Wat je moet weten over telefoonnummers

Je nummer, dat van je noodcontact en die van de organisatie staan niet bij het openbare deel van de wedstrijd. Ze zitten in een afgesloten ruimte, die niemand rechtstreeks kan lezen — zelfs niet met de wedstrijdcode. Om ze te krijgen moet je een persoonlijke 6-cijferige code voorleggen, die wie de wedstrijd uitzet aan elke persoon doorgeeft, en dan beslist de server wat er getoond wordt: je crew krijgt de nummers die ze nodig heeft, wie loopt krijgt alleen de eigen contacten, en wie als publiek meekijkt krijgt er geen enkel.

De wedstrijdcode is wel gemaakt om rond te gaan: je dicteert hem, schrijft hem over en deelt hem. Hij opent het volgen — hij opent de nummers niet.

2 eerlijke kanttekeningen. Ten eerste: ik kan die gegevens technisch lezen, omdat ik de database beheer — dat geldt voor elke hostingprovider, en ik schrijf het liever op dan het te laten raden. Ten tweede: wie een wedstrijd uitzet en er liever zonder doet, kan altijd die velden leeg laten: het volgen, de alarmen en de meldingen werken zonder.

Waarom, en hoe lang

Gegeven	Waarvoor het dient	Bewaard
Account voor Le Cairn	Zodat je je wedstrijden kunt aanmaken en beheren	Zolang het account bestaat
Wedstrijd, check-ins, posities	Het live volgen tonen aan de crew en aan naasten	Zolang de wedstrijd niet verwijderd is
Apart gezette steentjes en check-ins	Een onmogelijke doorkomst apart houden, zonder ze te tonen en zonder ze te verliezen	Gearchiveerd wanneer de wedstrijd offline wordt gezet. Gewist wanneer ze wordt afgesloten of verwijderd
Crewberichten — en, in versie 1.1, de aanmoedigingen van het publiek	Communiceren tijdens de wedstrijd	Samen met de wedstrijd
Telefoonnummers — persoon die loopt, noodcontact, wedstrijdleiding, noodnummer	Elkaar kunnen bellen wanneer de wedstrijd niet loopt zoals gepland	Samen met de wedstrijd. Optioneel: een leeg veld wordt niet geregistreerd
Persoonlijke 6-cijferige codes — 1 per persoon, 1 voor de crew	De app openen op het juiste toegangsniveau, zonder een account te moeten aanmaken	De crewcode samen met de wedstrijd; die van een persoon samen met het adresboek, zolang die persoon erin staat
Telefoon-ID — versie 1.2, de iPhone- en Android-apps	Zodat maar 1 atleten-app tegelijk je steentjes en check-ins verstuurt	Op je telefoon, tot je de gegevens ervan wist of de app verwijdert. Op de server gewist wanneer de wedstrijd offline wordt gezet, afgesloten of verwijderd
Abonnement op meldingen	De doorkomstmeldingen versturen	Tot je de meldingen uitzet, of tot de wedstrijd offline wordt gezet, afgesloten of verwijderd. Ook gewist wanneer de meldingsdienst zegt dat het verlopen is
Aanmeldsessie	Zodat je je wachtwoord niet opnieuw hoeft in te tikken	30 dagen — en je wachtwoord wijzigen meldt je andere toestellen onmiddellijk af
Datum van laatste gebruik	Weten of de app nog gebruikt wordt, en naar wie ik moet schrijven voor ik iets verander	1 datum, telkens vervangen. Verdwijnt samen met het account
Versienummer — van de app, van Le Cairn, van de iPhone- of Android-app	Weten wie welke versie gebruikt, voor de bèta en de updates	De laatste waarde per app, en de versie uit het adres, bij elk bezoek vervangen. Verdwijnen samen met het account
Verzoek om een app te testen — Android of iPhone	Je de uitnodiging sturen om de testapp te installeren	Tot je vraagt het in te trekken, of met het account
Voorraad, materiaal, verbruik en ervaringen	De bevoorradingen voorbereiden, en niet meer voorstellen wat slecht gevallen is	Zolang het account bestaat. Gewist op verzoek, of samen met het account
Adresboek	Niet bij elke wedstrijd dezelfde personen opnieuw moeten intikken	Zolang het account bestaat. Gewist op verzoek, of samen met het account
Contact van een organisatie — naam, e-mail, telefoon	Een wedstrijdfiche nakijken, naar de organisatie schrijven, haar de fiche laten corrigeren	Zolang de fiche bestaat. Een geweigerd voorstel wordt samen met de beslissing bewaard. Gewist op verzoek
Bugmeldingen	Een probleem nabootsen en verhelpen	Tot ik het afgehandeld heb, of tot je me vraagt het te wissen
Tellers tegen misbruik	Geautomatiseerde pogingen afremmen	Enkele tientallen minuten, daarna gewist
Bezoekersmeting	Weten of de site gelezen wordt	Geaggregeerd, zonder ID

Er is nog geen automatische opruiming van oude wedstrijden. Schrijf me en ik verwijder ze, dat gebeurt meteen.

Waar de gegevens staan, en wie er nog aan komt

De database wordt gehost door Firebase (Google) in een datacenter in België. De site, Le Cairn en de webapp komen van de servers van OVH, in Frankrijk, dat ook de domeinnaam beheert. De iPhone- en Android-apps dragen hun code in zich mee: ze worden verspreid door Apple en door Google. De server die de berekeningen maakt en de meldingen verstuurt, draait bij Netlify. De e-mails vertrekken via Brevo, een Frans bedrijf. De bezoekersmeting gebeurt door Cloudflare.

Vraag je om een app te testen, dan wordt je e-mailadres doorgegeven, en alleen in dat geval, aan Google (Firebase App Distribution) voor de Android-app, of aan Apple (TestFlight) voor de iPhone-app. Zij sturen je de uitnodiging en installeren de testapp.

De meldingen gaan via de meldingsdienst van je toestel. Op het web is dat die van je browser (Google, Apple of Mozilla, afhankelijk van de browser), en de tekst gaat er versleuteld door. In de iPhone-app is het Apple (APNs); in de Android-app Google (Firebase Cloud Messaging). Zij krijgen de ID van je telefoon en de tekst van elke melding, waarin de naam van een atleet kan staan.

Google, Apple, Netlify en Cloudflare zijn Amerikaanse bedrijven: zelfs met servers in Europa is toegang vanuit de Verenigde Staten theoretisch niet uitgesloten. Dat geldt voor bijna alle diensten van dit type, en je moet het weten.

Andere diensten worden rechtstreeks vanaf je toestel aangeroepen, en zien dus je IP-adres. OpenTopoData zoekt de hoogte van een track wanneer je die importeert, en Open-Meteo geeft het weer op het uur waarop je er voorbijkomt: ze krijgen alleen punten van het parcours, en een datum voor het weer. OpenStreetMap levert de stukjes kaart: het ziet het deel van de kaart dat je bekijkt. QR Server tekent, in Le Cairn, de QR-code van een link om te volgen: het krijgt die link, met de wedstrijdcode en een atleten-ID, zonder naam. Geen van hen krijgt je naam.

Tot slot opent de app of Le Cairn bij elke start een anonieme sessie bij Google (Firebase): daarmee kan de database gelezen worden. Die sessie draagt je naam noch je account, en de ID ervan wordt nergens in de database bewaard.

Buiten die diensten heeft niemand toegang tot de gegevens. Ze worden niet verkocht, niet gedeeld en niet gebruikt voor iets anders dan de app te laten werken.

Wat Cailloux niet doet

Geen reclame, geen advertentietrackers.
Geen doorverkoop of delen van gegevens met derden.
Geen voortdurende GPS-tracking naar de server — een positie wanneer je een steentje legt, of ongeveer elke 20 minuten als het automatische steentje voor jou aanstaat. In de iPhone- en Android-apps leest de telefoon daarvoor je positie voortdurend, tussen je ingecheckte start en finish, maar die posities vertrekken niet. Enige uitzondering: tijdens een crew-alarm, tot het wordt opgeheven.
Geen trackingcookie, vandaar geen banner om op te klikken.
Geen profilering, geen geautomatiseerde beslissing over jou.
Geen enkele oproep, geen enkele sms naar de geregistreerde nummers: ze dienen alleen om je een knop te tonen; het is altijd een mens die beslist om te bellen.

Wat op je telefoon blijft

De app bewaart sommige dingen lokaal, op je toestel, en die verlaten het niet:

Je check-ins, de persoon die je volgt, je sessie.
De check-ins en de steentjes die wachten wanneer je zonder bereik zit — ze vertrekken zodra het netwerk terug is.
De aangevinkte vakjes van je checklist « Voor de start »: wat je in elke ziplock hebt gestoken, wat je hebt klaargemaakt. Niets daarvan wordt naar de server gestuurd — het is jouw lijst, op jouw telefoon.
Een kopie van de productcatalogus, zodat die niet telkens opnieuw gedownload moet worden als je de app opent. Er staat niets persoonlijks in.
De innames van je wedstrijd — die vanzelf aangevinkt worden — en de dosissen die je klaarmaakt: ze blijven op je telefoon als er geen netwerk is, en vertrekken zodra het terug is. Een kopie van je voorraad, zodat de app opent zonder op het netwerk te wachten.
Een telefoon-ID, in versie 1.2 en in de iPhone- en Android-apps. Het is een getal dat willekeurig gekozen wordt wanneer je de app voor het eerst opent. Het heeft geen enkel verband met je telefoon, je naam of je account. Het dient voor 1 ding: ervoor zorgen dat maar 1 atleten-app tegelijk je steentjes en check-ins verstuurt. Zonder die ID zou een telefoon die aan de finish is vergeten en met jouw code geopend werd, in jouw plaats steentjes kunnen leggen. De laatste telefoon die met jouw code binnenkomt, neemt het over. Op de andere blijft wat nog niet vertrokken is op die telefoon staan, tot je op « Hier overnemen » tikt.
Wat de server ervan bewaart. Die ID vertrekt wel, samen met je steentjes en check-ins. Zolang je wedstrijd online staat, onthoudt de server welke telefoon ze vasthoudt, sinds wanneer, het uur waarop die het laatst iets verstuurde, en of het om een geïnstalleerde app gaat, iPhone of Android. Dat staat in een afgesloten ruimte: je crew en het publiek zien het niet. Het wordt gewist zodra de wedstrijd offline wordt gezet, afgesloten of verwijderd.

Dat alles verdwijnt als je de browsergegevens wist of de app verwijdert.

Je rechten

De Europese verordening (AVG) geeft je het recht om je gegevens in te zien, ze te verbeteren, ze te laten wissen, ze in een leesbaar formaat terug te krijgen, en je tegen de verwerking ervan te verzetten.

Om ze te laten wissen, hoef je het me zelfs niet te vragen: de knop « Mijn account verwijderen » wist alles tegelijk — je account, je wedstrijden, de wedstrijd-ID's die ze reserveerden en de voorstellen die je had gestuurd. Je vindt hem in je profiel in Le Cairn. Vanaf versie 1.2 staat hij ook in de app, op het web, op iPhone en op Android. De productfiches die je hebt laten certificeren, blijven in de gedeelde catalogus, maar losgekoppeld van jou.

Voor de rest: schrijf me via admin@cailloux.app en ik behandel het verzoek. Het project is klein genoeg om dat met de hand te doen, snel, zonder formulier.

Als mijn antwoord je niet bevalt, kun je je wenden tot de CNIL.

Schrijf naar admin@cailloux.app