Politique de confidentialité

Confidentialité de l’app Cher Ami

Cher Ami est en phase de test alpha. Ce qui suit décrit l’implémentation actuelle de l’app et du relais ; les fonctionnalités peuvent varier selon la plateforme et la version alpha.

Discussions et appels privés

Les messages privés, photos, messages vocaux, stickers, réactions, notes de paiement, ainsi que les noms et photos de profil sont chiffrés sur votre appareil à l’aide du protocole Signal. Les destinataires prévus peuvent les déchiffrer ; notre relais de messages ne peut pas lire leur contenu. Les appels utilisent un chiffrement de bout en bout, avec des clés échangées via des sessions chiffrées. Les sondages, les signalements que vous envoyez à l’équipe Cher Ami et les informations de profil (chacune partagée uniquement avec le public que vous choisissez) sont également chiffrés de bout en bout.

Messages programmés (Envoyer plus tard) : pour un texte individuel que vous programmez, notre relais conserve le message chiffré de bout en bout (une copie par appareil du destinataire) jusqu’à l’heure choisie, 30 jours au maximum. Il garde l’expéditeur et le destinataire, l’heure d’envoi à la minute, l’éventuel minuteur de disparition et le moment de la programmation, mais ne peut pas lire le message. Vous pouvez le modifier ou l’annuler d’ici là ; l’annuler le supprime du relais. Une fois envoyé, il est traité comme n’importe quel autre message. S’il ne peut pas être livré, il est supprimé aussitôt et seule une note « non envoyé », sans contenu, est conservée 7 jours. Les messages de groupe, les photos et les premiers messages à une nouvelle personne attendent sur votre téléphone.

Appels sur iPhone : pour faire sonner votre iPhone quand l’appli est fermée, notre relais envoie à Apple un réveil d’appel qui ne contient qu’un identifiant d’appel aléatoire, jamais le nom, le numéro ni le compte de l’appelant. Il expire au bout de 45 secondes, et votre iPhone n’affiche qui appelle qu’après avoir déchiffré l’appel. Notre relais voit qu’un compte a demandé à en faire sonner un autre à ce moment, comme il voit déjà l’appel s’établir.

Messages éphémères : quand un message a un minuteur, notre relais sait quand il expire (à la minute), pas ce qu’il dit ni le réglage de votre minuteur. Il cesse de le livrer à cette heure et le supprime en une minute environ. Les photos et vidéos à vue unique sont supprimées du relais juste après leur ouverture. Les copies conservées par les Pigeonniers de secours suivent la même heure de disparition quand les deux Pigeonniers utilisent la version actuelle ; les Pigeonniers sur d’anciennes versions peuvent les garder jusqu’à 30 jours, et un Pigeonnier modifié pourrait ignorer cette heure.

Appels : les appels individuels et de groupe passent par des serveurs d’appel que nous exploitons nous-mêmes (LiveKit et un serveur TURN) sur notre serveur hébergé par Hetzner à Hillsboro, dans l’Oregon (États-Unis) ; aucun service d’appel extérieur n’intervient. Les appels sont chiffrés de bout en bout avec une clé que les participants échangent dans leurs messages chiffrés : le serveur d’appel ne fait que relayer de l’audio et de la vidéo chiffrés. Pendant un appel, il voit les adresses IP des participants (avec Masquer mon IP, les appels passent par Tor), un nom de salle aléatoire (pas le nom de la discussion ou du groupe), l’identifiant de compte aléatoire de chaque participant (pas son nom d’utilisateur), quand chacun arrive et repart, et le volume de données échangé. Il ne conserve pas de journal des appels : seuls les avertissements et les erreurs sont consignés, dans de petits fichiers renouvelés, et les salles se ferment deux minutes après le départ de la dernière personne.

Traduction et IA personnelle sur votre téléphone : la traduction des discussions et l’IA personnelle (aide à l’écriture) fonctionnent sur votre téléphone ; vos messages, vos demandes et les réponses de l’IA ne sont jamais envoyés à nous ni à aucun service d’IA ou de traduction, et rien n’est consigné. Sur Android, les packs de langue pour la traduction (environ 73 Mo chacun) se téléchargent depuis les serveurs de Mozilla seulement quand vous touchez Télécharger, et le modèle ouvert de l’IA personnelle se télécharge une fois depuis Hugging Face quand vous le demandez ; ces serveurs voient qu’un fichier a été téléchargé depuis votre réseau, mais aucun compte ni contenu de message. Sur iPhone, les langues de traduction sont fournies par le système d’Apple, et l’IA personnelle utilise le modèle d’Apple sur l’appareil ou un modèle ouvert facultatif téléchargé une fois depuis Hugging Face. Votre profil de style de l’IA personnelle est chiffré sur votre téléphone avec une clé qui ne le quitte jamais, n’est pas inclus dans les sauvegardes, peut être consulté, exporté ou effacé, et est supprimé avec votre compte. Les packs et les modèles restent sur votre téléphone et peuvent être supprimés dans l’appli. Les messages envoyés par le Pilote automatique facultatif de l’iPhone indiquent toujours aux destinataires qu’un assistant IA répond.

Maillage hors ligne (aperçu, désactivé par défaut) : quand vous l’activez et que l’appli est ouverte, les messages pour des personnes avec qui vous discutez déjà (textes, et photos, messages vocaux et fichiers jusqu’à 3 Mo) peuvent passer par des téléphones Cher Ami proches via Bluetooth ou Wi-Fi quand il n’y a pas d’internet. Les téléphones qui transportent un message le gardent uniquement en mémoire, 72 heures au maximum, et ne l’enregistrent jamais. Ils ne peuvent pas le lire ni savoir qui l’a envoyé, mais ils peuvent voir qu’un message existe, sa taille, quand il expire, par combien de téléphones il est passé, et une étiquette de destinataire qui change à chaque message. Limites : quelqu’un qui a déjà la clé publique d’une personne pourrait vérifier si un message lui est destiné ; un téléphone porteur peut voir que deux messages appartiennent à la même conversation (pas laquelle) ; le premier téléphone qui reçoit un message peut savoir que le téléphone dont il vient l’a écrit ; et les appareils proches peuvent voir qu’un téléphone Cher Ami avec le maillage activé se trouve à proximité. Les premiers messages à une nouvelle personne, les vidéos plus lourdes, les médias à vue unique, les médias de groupe et les Actus n’utilisent jamais le maillage. Rien du maillage n’est envoyé à nos serveurs.

Appels hors ligne et Se rencontrer en personne : les appels vocaux hors ligne relient directement deux téléphones proches par Wi-Fi, sans serveur d’appel. L’autre téléphone voit l’adresse réseau locale de votre téléphone, et le réseau Wi-Fi peut voir que deux appareils échangent de l’audio chiffré, pas ce qui est dit. Se rencontrer en personne affiche un QR code avec vos clés publiques ; quiconque voit votre écran peut y lire votre identifiant de compte et votre @nom. Rien de tout cela n’est envoyé à nos serveurs.

Actus

Vous choisissez qui voit chaque actu et combien de temps elle dure : 24 heures (par défaut), 36 ou 48 heures au maximum.

Les actus partagées avec vos contacts, ou seulement certains d’entre eux, sont chiffrées de bout en bout comme les messages privés : chaque personne reçoit sa propre copie chiffrée, et notre relais ne peut pas les lire. L’appli de chaque destinataire supprime l’actu quand son temps est écoulé (les anciennes versions de l’appli la suppriment après 24 heures). Ce sont les applis qui s’en chargent : une appli modifiée pourrait donc en garder une copie. En supprimer une la retire de votre téléphone ; les copies déjà livrées restent sur les téléphones des destinataires jusqu’à la fin de leur temps. Les copies non livrées et leurs pièces jointes sont retirées du relais à la livraison ou après 30 jours.

Les actus partagées avec Tout le monde sont des publications publiques et ne sont pas chiffrées de bout en bout : le texte, le style, la légende et les médias sont stockés sur le serveur Cher Ami qui est votre relais d’origine, et notre relais peut les lire. Seuls les utilisateurs de Cher Ami connectés peuvent les voir, jamais les personnes que vous avez bloquées, et elles ne sont pas sur le web. Elles durent le temps que vous choisissez : 24, 36 ou 48 heures. Quand l’une expire (retirée en une dizaine de minutes), quand vous la supprimez ou quand vous supprimez votre compte, la publication et ses médias sont retirés du serveur. Les copies déjà téléchargées sur un téléphone ne peuvent pas être rappelées.

À la une : vous pouvez ajouter une actu à votre profil en à la une et choisir qui la voit (« Tous ceux avec qui je discute », « Intérêt mutuel et plus » ou « Contacts uniquement »). Cela ne suit pas l’audience de l’actu d’origine. Les inconnus et les personnes que vous avez bloquées ne voient jamais les actus à la une. Elles sont conservées sur votre téléphone (12 au maximum) et partagées uniquement dans votre profil chiffré de bout en bout : notre serveur ne peut pas les ouvrir, même pour une actu qui était publique. Les actus à la une n’expirent pas. Vous pouvez en retirer une à tout moment, mais quelqu’un qui l’a déjà vue peut en avoir gardé une copie. L’ancien fichier chiffré sur notre serveur n’est plus utilisé et est supprimé sous 30 jours.

Les sauvegardes quotidiennes de notre serveur sont conservées 7 jours. Les copies de sécurité ponctuelles faites avant les mises à jour du serveur sont conservées jusqu’à ce que nous les supprimions, et peuvent d’ici là contenir des actus supprimées.

Nous ne gardons pas de liste de qui a vu une actu ; les marques « vu » n’existent que sur les téléphones. Les réponses à une actu sont des messages ordinaires chiffrés de bout en bout. Le flou de confidentialité fonctionne sur votre téléphone et masque les visages avant qu’une photo soit chiffrée ou publiée ; il peut manquer un visage, alors vérifiez avant de partager.

Informations conservées par nos services de relais

Informations réseau, contacts et localisation

L’application de relais de messages n’écrit pas de journaux d’adresses IP. Les limites de débit contre les abus utilisent des compteurs temporaires en mémoire. Les services d’infrastructure et d’appel doivent traiter les adresses réseau pour connecter les appareils. Pendant un appel, le serveur d’appel et son relais d’appel voient votre adresse réseau et la salle d’appel, sauf si Masquer mon IP est activé, auquel cas ils voient une adresse Tor. Ils ne peuvent pas déchiffrer l’audio ou la vidéo chiffrés de bout en bout, et le relais d’appel ne conserve aucun journal. Cette politique ne promet pas que toute l’infrastructure est exempte de journaux opérationnels.

Masquer mon IP (facultatif, désactivé par défaut) : l’app peut exécuter Tor sur votre téléphone et faire passer son trafic de relais, d’appels, du portefeuille de test Midnight et d’aperçus de liens par le réseau Tor public, de sorte que nos Pigeonniers et nos serveurs d’appel voient une adresse Tor au lieu de la vôtre. Votre réseau peut voir que vous utilisez Tor. Les tuiles de carte, les consultations de portefeuille Cardano, les liens que vous ouvrez dans votre navigateur et les notifications push Apple ne passent pas par Tor. Une option « Par les Pigeonniers » (pas encore disponible ; elle nécessite un deuxième Pigeonnier public) fait passer le trafic des messages par un deuxième Pigeonnier, qui voit votre adresse IP mais uniquement des données chiffrées. Dans ce mode, les appels et le portefeuille de test Midnight se connectent directement, et aucun aperçu de lien n’est généré ; seule l’option Tor couvre les appels. Masquer mon IP ne vous rend pas anonyme.

Hôtes IA des communautés : les communautés officielles ont un hôte IA, toujours identifié comme IA. Les messages publiés dans ces communautés sont lus par l’hôte afin qu’il puisse répondre. L’IA de l’hôte fonctionne en informatique confidentielle via Chutes sur le réseau Bittensor, dont l’étanchéité est vérifiée avant chaque utilisation, ou sur un modèle ouvert hébergé sur un Pigeonnier Cher Ami. Vos discussions privées et vos autres communautés ne sont jamais envoyées à un hôte IA.

Aperçus de liens (activés par défaut ; Confidentialité & sécurité) : lorsque vous envoyez un lien avec les aperçus activés, votre téléphone récupère le titre et l’image de la page pour créer l’aperçu. Avec Masquer mon IP via Tor, cela passe par Tor ; sinon, le site web voit votre connexion. Si Masquer mon IP est activé mais non connecté, aucun aperçu n’est généré. Les personnes à qui vous l’envoyez ne contactent jamais le site web ; elles ne voient que ce que votre téléphone a inclus. Vous pouvez désactiver les aperçus dans Confidentialité & sécurité.

Si vous l’autorisez, l’app lit les contacts de votre téléphone, par exemple pour afficher les noms sur les SMS. Les contacts ne sont jamais téléversés, et il n’y a aucune découverte de contacts côté serveur. Les SMS d’invitation sont rédigés et envoyés par vous depuis votre téléphone ; nous ne les envoyons jamais à votre place. Nous ne téléversons pas la localisation de votre appareil. Les fonctionnalités « Près de moi » et de carte fonctionnent sur votre appareil. L’éligibilité par zone repose sur une réponse oui/non que vous sélectionnez ; la zone que vous choisissez lors de la publication d’une communauté Discover est publique. Nous n’ajoutons ni publicité ni outils d’analyse tiers à l’app, et nous ne vendons pas les informations personnelles de l’app.

Portefeuille et blockchain

Le portefeuille est non dépositaire : les clés privées restent sur votre appareil, et nous ne pouvons pas déplacer vos fonds. Le portefeuille alpha utilise uniquement les réseaux de test de Midnight, sans actifs en argent réel. La visibilité des transactions dépend du caractère protégé (shielded) ou non protégé (unshielded) de l’actif et de la transaction pris en charge, selon les règles de Midnight. Les enregistrements publics de la blockchain ne peuvent pas être effacés par la suppression du compte de l’app. La suppression du compte n’est pas un transfert des actifs du portefeuille. Si vous partagez une adresse de portefeuille, dans votre profil ou lorsque quelqu’un utilise « Demander son adresse », les personnes avec qui vous la partagez peuvent voir cette adresse, et les paiements vers une adresse publique (non protégée) peuvent être vus par n’importe qui sur le réseau de test.

SMS et MMS ordinaires

Si vous choisissez Cher Ami comme app de SMS par défaut sur Android, les SMS/MMS ordinaires sont stockés sur votre téléphone et acheminés par votre opérateur mobile. Ce ne sont pas des discussions privées chiffrées de bout en bout et ils ne sont pas envoyés à notre relais de messages privés. Chaque message est identifié : « Shield » pour un message Cher Ami chiffré de bout en bout, « SMS » ou « MMS » pour un message de l’opérateur. L’app ne bascule jamais d’elle-même un message Shield en SMS.

Programme Founding et prestataires de services

Si vous liez un compte de l’app à une inscription sur le site web, le relais demande au site web votre code d’invitation, votre place Founding, le statut de confirmation de votre e-mail et le nombre de vos parrainages confirmés, afin de déterminer votre éligibilité au programme Founding. Votre adresse e-mail n’est jamais partagée avec l’app. Le traitement des e-mails par le site web est décrit ci-dessous. Nos infrastructures de relais et d’appel traitent les informations techniques nécessaires à la fourniture de leurs services. Les alertes push sont facultatives. Sur iPhone, c’est Apple qui les livre : notre relais envoie à Apple toujours la même alerte générique (« Cher Ami », « Nouveau message ») avec le son d’alerte que vous avez choisi, jamais l’expéditeur, le texte du message ni la discussion : Apple peut donc voir qu’une alerte a été envoyée, quand, et le nom du son. Sur Android, si vous choisissez une appli UnifiedPush (comme ntfy), notre relais envoie un réveil vide à l’adresse que cette appli vous a donnée, au plus une fois toutes les 10 secondes ; le service push que vous avez choisi peut voir qu’un réveil a été envoyé et quand. Les services Google ne sont pas utilisés pour cela. Votre téléphone récupère ensuite vos messages chiffrés et les déchiffre lui-même. Si vous ne configurez pas le push, rien concernant vos alertes n’est envoyé à qui que ce soit d’autre. Les opérateurs acheminent les SMS/MMS. Le réseau Tor transporte votre trafic uniquement lorsque vous activez Masquer mon IP. L’infrastructure de Midnight traite les transactions blockchain soumises conformément aux règles du réseau.

Signalements

Lorsque vous signalez quelqu’un, l’app envoie un message chiffré de bout en bout au compte officiel @midnightselect avec le motif, le nom d’utilisateur et l’identifiant de compte signalés, jusqu’à 10 messages que vous choisissez, et votre note. L’équipe Cher Ami (l’exploitant et les modérateurs qu’il désigne) lit les signalements pour les examiner et agir contre les abus. Nous conservons un signalement jusqu’à sa résolution et le supprimons dans les 90 jours qui suivent, sauf si nous devons le conserver plus longtemps, pendant un an au maximum, pour respecter une obligation légale ou mettre fin à des abus répétés. Le blocage s’effectue sur votre téléphone et ne nous est pas transmis.

Vos choix et la suppression

Vous pouvez supprimer des messages, définir des minuteurs de messages éphémères, bloquer ou signaler des personnes, quitter des communautés, créer une sauvegarde chiffrée de vos discussions que vous seul pouvez ouvrir avec son code (nous ne la recevons jamais), et demander la suppression de votre compte de discussions privées. Consultez Supprimer votre compte Cher Ami pour les étapes dans l’app, une demande externe par e-mail et les informations conservées après la suppression. Les messages déjà remis sur les appareils d’autres personnes échappent à notre contrôle. La désinscription de la newsletter et la suppression de l’inscription sont des choix distincts.

Sécurité et enfants

Le code de l’app est sous licence AGPL-3.0. La publication du code source est prévue pour le lancement. Un audit de sécurité indépendant est prévu avant le lancement public, et ses résultats seront publiés. Aucun système ne garantit une sécurité ou un anonymat absolus ; les appareils, les destinataires, les opérateurs et l’infrastructure peuvent tout de même révéler des informations.

Vous devez avoir 13 ans ou plus pour utiliser Cher Ami, et vous le confirmez en cochant une case lors de votre inscription ; nous ne demandons pas votre date de naissance. Nous n’autorisons pas sciemment de comptes pour des enfants de moins de 13 ans. Contactez-nous si vous pensez qu’un enfant de moins de 13 ans a fourni des informations personnelles. Adult Community 18+ nécessite une vérification de l’âge.

Confidentialité du site web et de la newsletter

Informations que vous fournissez

Nous collectons votre adresse e-mail, votre prénom (facultatif) et vos plateformes d’intérêt (facultatives : Android, iOS et Web) lorsque vous demandez à recevoir des nouvelles. Nous enregistrons la source de l’inscription, l’heure du consentement et la version de l’avis de consentement. Chaque inscription reçoit un code d’invitation aléatoire, et si vous vous êtes inscrit via le lien d’invitation de quelqu’un, nous enregistrons son code d’invitation afin que les parrainages puissent être comptabilisés. Nous ne collectons pas les noms ni les coordonnées des personnes que vous invitez ; les invitations sont envoyées depuis votre propre app d’e-mail ou de messagerie. Si vous liez l’app Cher Ami à votre inscription avec un code à usage unique, le site web partage uniquement votre code d’invitation, votre place Founding dans l’ordre des inscriptions confirmées, si votre e-mail est confirmé, le nombre de vos parrainages confirmés et le code d’invitation de la personne qui vous a invité. Votre adresse e-mail n’est jamais partagée avec l’app. Les enregistrements existants de la liste d’attente peuvent contenir une adresse e-mail, un nom, la source de l’inscription et l’heure de soumission.

Comment nous utilisons les informations

Nous utilisons les informations d’inscription pour gérer l’intérêt pour l’alpha, envoyer les nouvelles que vous demandez et inviter les testeurs éligibles. Les plateformes d’intérêt nous aident à adapter les annonces par plateforme et les invitations aux tests. Les nouvelles générales sur le développement peuvent être envoyées à tous les abonnés confirmés. Nous ne vendons pas les informations d’inscription du site web. Les inscriptions confirmées reçoivent un lien de téléchargement pour les plateformes ouvertes aux testeurs, ainsi qu’un code d’invitation pour créer un compte.

Prestataires de services

Le site web est hébergé sur Cloudflare, y compris une base de données pour les enregistrements d’inscription. Resend envoie nos messages de confirmation et nos nouvelles ; nous conservons nous-mêmes vos enregistrements d’abonnement, de désinscription et de suppression (liste d’exclusion) sur Cloudflare. MailerLite était notre précédent fournisseur d’e-mails ; nous fermons ce compte et ne conservons que les enregistrements de désinscription et d’exclusion nécessaires pour respecter vos choix. Proton Mail fournit notre boîte de contact générale, hello@midnightselect.app, et notre boîte de réponse à la newsletter, update@midnightselect.app. Ces prestataires traitent les informations nécessaires au fonctionnement de leurs services et peuvent les traiter en dehors de votre pays.

Recherche de GIF : lorsque vous recherchez des GIF dans l’app, notre serveur envoie uniquement vos mots de recherche à GIPHY (Shutterstock) pour trouver les GIF correspondants. GIPHY ne reçoit jamais votre adresse IP, votre compte ni votre appareil. Les GIF que vous envoyez circulent sous forme de pièces jointes chiffrées, comme les photos.

Sécurité et informations techniques

Les hébergeurs peuvent traiter les adresses IP et les informations de requête à des fins d’acheminement et de sécurité. Notre protection des inscriptions utilise des hachages à clé temporaires de votre adresse IP et de votre e-mail pour limiter les abus ; elle ne stocke pas d’adresses IP brutes dans la base de données des inscriptions. Les enregistrements de limitation de débit expirés sont supprimés lors du traitement des inscriptions suivantes.

Statistiques et cookies

Ce site web n’ajoute ni traceurs publicitaires ni outils d’analyse facultatifs. Les contrôles d’accès de l’hébergement peuvent utiliser des cookies essentiels. Si vous ouvrez un lien d’invitation ou vous inscrivez, votre navigateur enregistre le code d’invitation concerné dans son stockage local afin qu’un parrainage puisse être crédité ; il n’est envoyé nulle part tant que vous n’avez pas soumis le formulaire d’inscription. Les informations de remise, de rebond et de désinscription des e-mails sont utilisées pour gérer la liste de diffusion. Le suivi facultatif des ouvertures et des clics dans les e-mails doit rester désactivé, sauf si nous mettons à jour cet avis et les choix correspondants.

Vos choix

Confirmez votre e-mail pour recevoir les nouvelles de la newsletter. Vous pouvez vous désinscrire à l’aide du lien présent dans chaque e-mail marketing. Pour demander l’accès, la rectification ou la suppression de vos informations d’inscription, écrivez à hello@midnightselect.app. La désinscription met fin aux messages marketing ; un minimum d’informations d’exclusion peut être conservé pour respecter ce choix.

Conservation

Nous conservons les informations d’inscription tant qu’elles sont nécessaires au programme de prélancement, aux nouvelles demandées ou aux enregistrements de consentement et d’exclusion. Vous pouvez nous demander de supprimer les informations qui ne sont plus nécessaires. Nous réexaminons les enregistrements à mesure que le programme évolue. Aucun service internet ne peut garantir une sécurité absolue.

Modifications et contact

Les mises à jour de cet avis apparaîtront ici avec une date révisée. Vos questions peuvent être envoyées à hello@midnightselect.app.