Confidentialité

Cette notice couvre le site et l'application. Elle décrit ce qui se passe aujourd'hui, pas ce que nous prévoyons de faire plus tard.

Ce que l'application enregistre

Ton adresse e-mail, chiffrée, avec une empreinte séparée qui nous permet de retrouver ton compte sans lire l'adresse. Ton mot de passe sous forme d'empreinte, jamais en clair. Ton nom affiché, ta ville et ton année de naissance. Ton genre, tes pronoms, ton orientation, ta note de transition, ta bio, ce que tu cherches et tes réponses aux questions, le tout chiffré au repos. Tes photos et, si tu en enregistres une, une seule note vocale. Tes messages, chiffrés au repos. Chaque champ porte son propre réglage de visibilité, enregistré à côté de lui. C'est aussi le cas de chacune de tes photos, sauf ta photo principale, celle qui montre ton visage, que tous les membres vérifiés peuvent voir.

Quand tu crées ton compte, nous notons aussi en un mot d'où venait ta visite, par exemple ChatGPT, un moteur de recherche, un réseau social ou une visite directe, pour savoir quels canaux amènent les personnes qui s'inscrivent : c'est une catégorie, jamais le lien que tu as suivi ni ton adresse IP, et ton navigateur ne la garde que jusqu'à ce que tu fermes l'onglet.

Ce que l'application n'enregistre jamais

Ton adresse IP. Une empreinte de ton navigateur ou de ton appareil. Ta position exacte. Il n'existe de colonne pour aucun des trois, et la suite de tests vérifie qu'il n'y en a toujours pas. Si tu actives les notifications, nous gardons en revanche quelque chose de lié à cet appareil : ce dont il a besoin pour les recevoir, c'est-à-dire l'adresse et les clés que ton navigateur crée pour cela ou, dans l'application installée sur ton téléphone, son jeton de notification. Couper les notifications sur cet appareil l'efface, et supprimer ton compte aussi.

La localisation

Nous enregistrons un point approximatif, jamais celui que ton téléphone indique. Il est décalé de 250 mètres au maximum, toujours de la même valeur pour toi, si bien que des relevés répétés ne peuvent pas être moyennés pour remonter à ton adresse. Il n'y a plus de carte : nous l'avons retirée parce que le point qu'elle affichait était assez stable pour cerner la zone autour de chez toi. Les distances sont mesurées depuis une cellule d'un kilomètre, pas depuis ton point. Les photos sont dépouillées de leurs métadonnées EXIF avant de toucher le disque, parce que la première photo prise à la maison défairait sinon tout le reste.

Les selfies de vérification

Un selfie envoyé pour la vérification est gardé à l'écart de tes photos, pour qu'il ne puisse pas apparaître sur ton profil par accident. Il est supprimé quand une personne de la modération a décidé, et dans tous les cas sous sept jours, par une tâche qui s'exécute que quelqu'un ouvre la file de modération ou non. Avant de décider, la personne de la modération compare le selfie à ta photo principale, uniquement pour vérifier que les deux montrent la même personne.

Qui d'autre voit quoi que ce soit

Cloudflare sert ce site et voit l'adresse de chaque visite, comme le ferait n'importe quel hébergeur. Nous comptons les visites avec Matomo, que nous hébergeons nous-mêmes : pas de cookie, adresse anonymisée, Do Not Track respecté. Google Analytics, Microsoft Clarity et notre outil d'envoi d'e-mails ne se chargent que si tu dis oui, et aucun des trois ne tourne jamais à l'intérieur de l'application. Les recherches de lieux passent par notre propre serveur, si bien que le service qui y répond n'apprend jamais qui cherche, ni où. Les notifications push transitent par l'éditeur de ton navigateur ou, dans l'application installée sur ton téléphone, par Expo puis Google, et elles ne contiennent jamais un nom, une photo, ni le texte d'un message.

La lettre d'information

Si tu as coché la case de la lettre et que ton adresse e-mail est confirmée, deux informations sont copiées dans Mautic, l'outil d'envoi que nous faisons tourner sur notre propre serveur, dans l'Union européenne : ton adresse et ta langue. Rien d'autre : ni nom, ni genre, ni profil. Les lettres partent de notre propre serveur de messagerie. Mautic compte les ouvertures et les clics pour que nous sachions si une lettre a été lue ; ces informations restent sur notre serveur. Chaque lettre contient un lien de désinscription, qui retire aussi ton consentement dans l'app et efface ton adresse de Mautic, et supprimer ton compte l'efface également.

Le consentement

Quand tu crées un compte, nous enregistrons les déclarations que tu as acceptées, leur formulation exacte, la date, et une empreinte de cette formulation. Traiter l'identité de genre exige un consentement explicite au titre de l'article 9 du RGPD, et c'est la base sur laquelle nous nous appuyons.

La suppression

Une seule action supprime ton compte. Elle efface les lignes au lieu de les marquer. Les sauvegardes chiffrées faites avant les contiennent encore jusqu'à ce qu'elles sortent de la rotation et soient effacées pour de bon, ce qui prend une quarantaine de jours au plus.

Tes droits

Demande une copie de tes données, ou leur suppression, à privacy@t4tspace.com depuis l'adresse liée à ton compte. Nous répondons sous 30 jours, en général plus vite.

Version faisant foi

Cette page est une traduction. En cas de divergence entre les versions linguistiques, la version anglaise fait foi.