Confidentialité — Ritrovo

Dernière mise à jour le 14 octobre 2026

Le principe

Ritrovo trouve la date d’un groupe : vous proposez des créneaux en voyant vos calendriers, les invités répondent avec ou sans l’app, et vous confirmez. Pas de publicité, pas de compte, aucun pistage. Les invités sans l’app votent dans leur navigateur : contrairement à la plupart des apps Nidello, Ritrovo a donc un service à nous pour les sondages partagés par lien. Il garde le sondage, les noms que tapent les invités et leurs votes, et les efface 30 jours après la date ; tout est détaillé plus bas. Il ne tient aucun journal des requêtes et ne connaît le courriel de personne. Vos calendriers ne quittent jamais votre appareil.

Ce que l’app garde

Ritrovo enregistre ce que vous y mettez :

vos sondages : titre, lieu, note, ambiance ou code vestimentaire, créneaux, réglages et réponses
qui apporte quoi, le thème et l’image d’un événement
votre prénom, tel que les invités le voient, et vos réglages

Où ça vit

Sur votre appareil et, si iCloud est activé, dans votre base iCloud privée (CloudKit, chez Apple), que nous ne pouvons pas ouvrir. Les clés qui vous permettent de gérer un sondage partagé par lien restent dans le trousseau de votre appareil. Un sondage partagé avec un cercle Cerchia dont tous les membres ont Ritrovo passe par iCloud seulement, entre vous et eux : notre service n’en voit rien.

Ce qu’elle demande comme autorisations

Chacune est facultative. Refusez-en une et le reste de l’app continue de fonctionner.

Calendriers, accès complet: Demandé la première fois que vous voulez voir votre semaine, recevoir des suggestions ou répondre selon votre agenda, après une explication. Ritrovo lit vos occupations dans les calendriers que vous choisissez, sur l’appareil seulement ; seules vos réponses partent, jamais votre agenda. Refusé, Ritrovo fonctionne quand même : vous placez les créneaux à la main.
Calendriers, ajout seulement: Pour ajouter la date confirmée à votre calendrier, avec le lieu et la note, quand vous le demandez.
Notifications: Des rappels faits sur l’appareil : une date limite, la veille d’un rendez-vous, le nouveau sondage d’une série. Rien ne passe par un serveur.
iCloud: Pour synchroniser vos sondages entre vos appareils, et partager un sondage avec un cercle, par votre propre compte iCloud.

Ce qui sort de l’appareil

L’app n’a aucune statistique, aucun rapport de plantage, aucune publicité et aucune trousse tierce. Ce qu’elle envoie, elle ne l’envoie qu’aux services ci-dessous, et seulement pour ce que vous lui avez demandé :

Notre service de vote, ritrovo.nidello.ca: Un Worker Cloudflare et sa base (D1), au forfait gratuit de Cloudflare, sans journal des requêtes et sans télémétrie. Cloudflare l’héberge et traite les données pour notre compte. Il ne sert qu’à un sondage partagé par lien, et ne garde que ce qui suit.
Le sondage: Son titre, son lieu, sa note, son ambiance ou code vestimentaire, sa durée, son fuseau, ses créneaux et ses réglages, et le prénom que vous montrez comme organisateur. Qui apporte quoi, le thème et l’image de l’événement ne quittent jamais votre appareil.
Les réponses: Le nom que tape chaque invité, sa réponse pour chaque créneau et son commentaire. Aucun compte, aucun courriel, aucun numéro de téléphone, aucune position, aucun calendrier.
Les clés: Seulement une empreinte (SHA-256) des clés qui permettent à l’organisateur de gérer le sondage et à un invité de changer son vote. Les clés elles-mêmes restent dans votre trousseau, ou dans le navigateur de l’invité.
L’effacement: Un sondage confirmé est effacé 30 jours après sa date ; un autre, 30 jours après son dernier changement. L’organisateur peut l’effacer tout de suite, depuis l’app.
Les signalements: Tout le monde peut signaler un sondage ou une réponse. Le signalement nous parvient par courriel — l’identifiant du sondage, son titre, la réponse signalée, le motif et les précisions tapées — et le service n’en garde rien. L’organisateur peut masquer une réponse.
Les limites contre les abus: Pour freiner les abus, Cloudflare compte les requêtes par adresse pendant un court moment, sous une clé hachée que nous ne gardons jamais.
Les invités dans un navigateur: La page de vote est une app web servie par le même service : aucun témoin, aucun pistage, aucun identifiant, aucun script externe. Elle garde la clé de l’invité dans son navigateur pour qu’il puisse changer son vote. Ses liens pour ajouter la date à Google Agenda ou à Outlook n’ouvrent ces sites qu’au toucher de l’invité ; leurs propres politiques s’appliquent alors.

Seul ce qui est décrit plus haut sous notre service de vote nous parvient. Notre seul sous-traitant est Cloudflare, qui héberge le service. Votre abonnement est géré par Apple ; nous ne recevons aucun renseignement de paiement.

Vos données vous appartiennent

Exportez les réponses d’un sondage en CSV ou en PDF avec Ritrovo Pro. Effacez un sondage dans l’app et il disparaît de vos appareils, de votre iCloud et de notre service. Quitter un sondage le retire de votre liste. Si Pro prend fin, rien n’est supprimé : les sondages plus anciens sont seulement cachés de l’historique gratuit.

Les enfants

Ritrovo ne s’adresse pas aux enfants. Notre service ne connaît l’âge ou le courriel de personne ; il ne garde que les noms que les invités choisissent de taper.

Les modifications de cette page

Si l’app se met à faire quelque chose que cette page ne décrit pas, c’est cette page qui change en premier. La date en haut dit quand elle l’a fait.

Vos droits

La Loi 25 au Québec, la LPRPDE au Canada, et des lois semblables ailleurs, vous donnent le droit d’accéder aux renseignements personnels qu’une entreprise détient sur vous, de les corriger et de les faire supprimer. Pour Ritrovo, un invité change ou retire son vote depuis la page de vote, l’organisateur peut effacer le sondage tout de suite, et tout est effacé 30 jours après la date de toute façon. Pour toute question : [email protected].

Contact

Nidello — Canada — [email protected]