Aller au contenu

JURIDIQUE

Politique de confidentialité

Ceci est une traduction de courtoisie ; la version allemande est celle qui fait foi.

Dernière mise à jour : octobre 2026

KindChat, une messagerie chiffrée de bout en bout avec protection par IA sur l'appareil. Hébergée dans l'UE, sans pistage, sans profilage.

Responsable du traitement : sonrisa ventures GmbH, Kleiststraße 35, 10787 Berlin, Allemagne · hi@kindchat.app

Délégué à la protection des données : MIRUS Aktiengesellschaft, Unternehmensberatung, Ziegelfichtenweg 44, 14974 Ludwigsfelde, Allemagne, tél. +49 3378 2080727; e-mail via hi@kindchat.app (objet « Datenschutzbeauftragter »)

1. Généralités et principes

Notre traitement suit les principes suivants :

  • Sur l'appareil d'abord : la modération par IA s'exécute d'abord sur votre appareil, à l'envoi et à la réception. Si l'appareil a un doute, et dans certaines langues (par exemple le français et le turc) pour la plupart des messages, il envoie aussi le texte à notre deuxième niveau de vérification, sur notre propre serveur dans l'UE (2.3), sans votre identifiant de compte ; il n'est conservé qu'avec votre consentement (2.2).
  • Chiffrement de bout en bout (E2EE) : les messages et les médias sont chiffrés de bout en bout, et les appels lorsque les deux personnes ont KindChat 1.1.14 ou plus récent (avec une version plus ancienne, chiffrés sans confirmation des clés). Les informations que nous pouvons malgré tout lire figurent surtout aux points 2.1, 2.2, 2.3, 2.6 et 2.8.
  • Aucun pistage, aucun profilage.
  • Transparence et minimisation des données.
  • Hébergement dans l'UE.

La présente politique se réfère aux art. 13/14 du RGPD, à l'art. 50 du règlement sur l'IA et au règlement sur les services numériques (DSA).

2. Quelles données nous traitons et pourquoi

2.1 Inscription et compte (données obligatoires)

  • Numéro de téléphone (identification et E2EE avec le protocole Signal)
  • Jeton d'appareil pour les notifications push (APNs/FCM, contrat de sous-traitance standard)
  • Version de l'app, système d'exploitation, modèle d'appareil
  • Données de profil et de groupe : nous enregistrons actuellement de manière lisible votre nom affiché, le choix de votre avatar prédéfini, votre texte « Info », le nom, la description, le texte d'accueil et l'image d'un groupe, ainsi que les réactions aux messages. À partir de la version 1.1.14, l'app n'enregistre plus le texte « Info » que sur votre appareil. Les autres données, nous les chiffrons de bout en bout, chacune dès que nous l'activerons. Ensuite, nous ne les lisons plus, avec trois exceptions : le nom d'un groupe, nous le conservons lisible jusqu'à ce que toutes les versions d'app prises en charge puissent le lire chiffré, et les données qu'aucune app actuelle n'a encore chiffrées, jusque-là ; un nom que quelqu'un transmet avec un signalement, nous le voyons dans ce signalement ; si un appareil a un doute sur un nom, notre deuxième niveau de vérification le contrôle sans identifiant (voir 2.3). Restent lisibles pour nous : qui se trouve dans quel groupe, avec quel rôle, depuis quand et ajouté par qui, le nombre de membres et les paramètres d'un groupe.

Finalité : fourniture du service, authentification, remise des messages. Base juridique : art. 6, par. 1, point b) du RGPD. Durée de conservation : jusqu'à la suppression du compte, plus les délais légaux.

2.2 Modération par IA sur l'appareil (fonction principale)

Les textes et (à partir de la version 1.1.14) les documents sont vérifiés sur votre appareil, y compris le texte qui figure dans une image, une image extraite d'une vidéo ou un document. Les images et les vidéos sont vérifiées sur l'appareil pour détecter la nudité, à l'envoi et à la réception ; pour les vidéos, des images fixes isolées, pas le son. Le contenu des appels n'est pas vérifié. Les messages vocaux sont en pause (voir 2.4). Les modèles résident sur l'appareil. En cas de doute, et dans certaines langues (par exemple le français et le turc) pour la plupart des messages, votre appareil interroge le deuxième niveau de vérification (voir 2.3).

Uniquement avec votre consentement : contributions à l'amélioration de la modération. Dans les paramètres de l'app, sous Confidentialité, vous pouvez activer « Aider à améliorer la modération ». Lorsque l'option est activée, nous conservons, pour les décisions du deuxième niveau de vérification, le texte vérifié sous une forme pseudonymisée, ainsi que la langue, la catégorie et la décision. Ces enregistrements ne contiennent aucun identifiant de votre compte. Les noms, numéros de téléphone et adresses e-mail sont remplacés avant l'enregistrement, dans la mesure où notre procédé les reconnaît. Les enregistrements sont pseudonymisés, non anonymes. Ils servent à évaluer et à faire évoluer notre propre modèle de modération. L'option est désactivée par défaut, et vous pouvez la désactiver à nouveau à tout moment ; plus rien n'est alors conservé concernant vos messages. Sans ce consentement, le texte vérifié est supprimé après la décision.

Finalité : évaluation et amélioration de la qualité de la modération. Base juridique : art. 6, par. 1, point a) du RGPD (consentement), révocable. Durée de conservation : 36 mois, puis suppression automatique. Lieu de stockage : exclusivement dans l'UE.

Signaler une retenue comme erronée. Si vous estimez que l'app retient à tort votre propre message, votre publication ou votre commentaire, vous pouvez le signaler dans la plupart des cas, mais pas pour les photos, les vidéos et les documents, ni lorsqu'il s'agit de la sécurité des enfants ou d'automutilation. L'app n'envoie le signalement que si « Aider à améliorer la modération » est activé. Si l'option est désactivée, vous pouvez l'activer au moment du signalement ; elle reste alors activée (voir ci-dessus). Pour les membres protégés, l'app n'envoie aucun signalement (voir 2.8).

Avec le signalement, nous recevons les mots retenus que vous avez écrits, déjà pseudonymisés sur votre appareil. Pour un message de conversation s'y ajoutent jusqu'à cinq de vos propres lignes précédentes de cette conversation ; pour une publication Pulse, le cas échéant, du texte tiré des descriptions de ses photos et vidéos. S'y ajoutent des indications sur la règle et le niveau de vérification qui ont retenu les mots et sur la manière dont le modèle de vérification les a évalués, sur la langue dans laquelle ils sont écrits et sur la version de l'app, les règles de vérification et les packs de langue qu'utilise votre appareil. Notre serveur pseudonymise les textes une seconde fois. Nous n'ajoutons ni votre nom ni votre numéro ; les noms, numéros de téléphone et adresses e-mail figurant dans vos mots, nous les remplaçons dans la mesure où notre procédé les reconnaît. Le signalement est pseudonymisé, non anonyme. Les photos et vidéos elles-mêmes et tout ce que d'autres personnes ont écrit n'en font pas partie. Le signalement est conservé sans identifiant de votre compte ; à la réception, nous ne vérifions votre compte que pour limiter les abus et fixer la durée de conservation. Les personnes chargées de la vérification chez KindChat voient le signalement.

Finalité : détection et correction des décisions erronées de la modération, en ajustant des règles ou en utilisant le signalement comme exemple pour l'entraînement de notre propre modèle de modération. Base juridique : art. 6, par. 1, point a) du RGPD (votre signalement exprès dans le cas d'espèce). Durée de conservation : 36 mois, puis suppression automatique ; si le signalement d'un membre protégé nous parvient malgré tout, nous le supprimons au bout de 12 mois. Comme le signalement ne porte aucun identifiant de votre compte, nous ne pouvons plus vous l'attribuer par la suite ; il est conservé jusqu'à la fin du délai, même si vous désactivez l'option ou supprimez votre compte. Lieu de stockage : exclusivement dans l'UE.

Finalité : protection contre les contenus nuisibles. Base juridique : art. 6, par. 1, point f) du RGPD ainsi que art. 6, par. 1, point a) (consentement pour le Cercle de protection). Voir Transparence de l'IA.

2.3 Deuxième niveau de vérification sur une infrastructure de l'UE (cas de doute et, dans certaines langues comme le français et le turc, la plupart des messages)

Si la vérification sur l'appareil ne peut pas trancher avec certitude, et dans certaines langues (par exemple le français et le turc) pour la plupart des messages, votre appareil envoie le texte concerné (y compris le texte que votre appareil a reconnu dans une image, une image extraite d'une vidéo ou (à partir de la version 1.1.14) un document, jamais l'image ou le fichier lui-même) et jusqu'à cinq messages précédents de la conversation à notre propre service de modération, hébergé sur une infrastructure de l'UE. Cela se fait avant le chiffrement et par votre appareil lui-même. Nous ne déchiffrons aucun message en transit ou stocké ; les clés nécessaires à cet effet se trouvent sur les appareils. Il existe deux exceptions. Les messages que vous écrivez vous-même au support de KindChat sont déchiffrés par notre serveur, et notre équipe de support les lit afin de vous aider. Et si vous signalez un message et donnez votre consentement dans la fenêtre de signalement, votre appareil nous remet le contenu ou la clé de ce seul et unique message ; avec cette clé, nous ouvrons tout au plus ce seul message. La requête adressée au deuxième niveau de vérification est authentifiée pour prévenir les abus ; à son arrivée, notre serveur reconnaît votre compte, mais ne transmet au modèle de vérification que le texte et les messages précédents, sans aucun identifiant des personnes participant à la conversation. Le texte et le compte ne sont pas stockés ensemble, et le texte transmis est supprimé après la décision.

Finalité : protection contre les préjudices graves ; obligations de signalement en cas d'infractions pénales. Base juridique : art. 6, par. 1, point f) et, le cas échéant, point c). Délai de suppression : le texte vérifié est supprimé après la décision. Une version pseudonymisée n'est conservée qu'avec votre consentement (voir 2.2). Journaux techniques de notre serveur d’application, sans contenu de message : 30 jours au maximum, sauf obligation légale de conservation ; pour certains services auxiliaires, nous sommes en train de passer à la limite de 30 jours, d’ici là ils sont écrasés selon leur taille. Le journal de notre serveur d’application ne contient ni votre adresse IP ni votre compte, à deux exceptions près, elles aussi supprimées au plus tard après 30 jours : si vous déclenchez vous-même un diagnostic pour notre équipe de support, il contient l’identifiant de votre compte, sans adresse, afin que l’équipe de support puisse le rattacher à votre compte ; et si une communication à une autorité ne peut pas être consignée dans notre journal de responsabilité, le journal enregistre qu’elle a eu lieu, avec l’identifiant de compte de la personne concernée, afin qu’une demande d’accès de cette personne la retrouve malgré tout. Aucune transmission, sauf à des sous-traitants liés par un contrat de sous-traitance, uniquement dans l'UE.

2.4 Messages vocaux / transcription vocale

Les messages vocaux sont actuellement suspendus : les versions actuelles de l'app (à partir de la 1.1.1) ne peuvent plus enregistrer, envoyer ni lire de messages vocaux. Tant que des versions antérieures de l'app contiennent encore la fonction, ce qui suit s'y applique : transcription automatisée exclusivement sur l'appareil ; en cas d'escalade, seul le texte transcrit est vérifié sur une infrastructure de l'UE aux fins de classification du contenu, jamais le fichier audio. Reconnaissance du contenu uniquement, aucune reconnaissance des émotions (art. 50, par. 3 du règlement sur l'IA) ; aucune donnée biométrique n'est stockée. Base juridique comme aux points 2.2/2.3.

2.5 Fonction Cercle de protection (facultative)

  • Consentement de la personne protégée
  • Paramètres et métadonnées de la relation de protection (pas les contenus !)
  • Notifications relatives aux mesures de protection

Finalité : aide à la gestion des contacts et des mesures de protection. Base juridique : art. 6, par. 1, point a) (consentement, révocable). Les personnes du Cercle de protection n'obtiennent pas d'accès au contenu des messages ; ce que nous pouvons lire figure au point 2.1.

2.6 Données techniques et de sécurité

  • Adresse IP (à court terme, pour la sécurité et la prévention des abus)
  • Rapports de plantage et d'erreur vers notre propre outil de suivi des erreurs en Allemagne, sans contenu de messages. Une exception concerne les versions 1.1.1 à 1.1.10 de l'app : dans un rapport, elles pouvaient transmettre le texte des éléments touchés, donc pour un message de chat son texte et, dans les groupes, aussi le nom affiché de la personne qui l'a envoyé. Elles pouvaient en outre transmettre des identifiants techniques d'interlocuteurs et de messages figurant dans des requêtes à notre serveur. Depuis le 22 septembre 2026, notre serveur n'accepte plus les rapports de ces versions ; ceux déjà reçus restent enregistrés. À partir de la version 1.1.11, l'app n'envoie ni texte touché ni ces identifiants. Sur iPhone, au premier démarrage et avant tout envoi, elle supprime une fois tous les rapports des versions antérieures qui n'avaient pas encore été envoyés.
  • statistiques d'utilisation agrégées

Base juridique : art. 6, par. 1, point f).

2.7 Aucune autre donnée

Votre carnet d'adresses n'est pas téléversé. Si vous souhaitez inviter des amis via la fonction d'invitation, l'app peut, à votre demande, lire votre liste de contacts, exclusivement en local sur votre appareil et uniquement pour que vous puissiez choisir les personnes à inviter. Le carnet d'adresses n'est ni téléversé ni stocké ; seuls les numéros des destinataires que vous confirmez expressément sont transmis à notre serveur en Allemagne et utilisés uniquement pour l'envoi du SMS d'invitation ; le numéro lui-même n'est pas conservé. Pour prévenir les abus (au maximum trois invitations de votre part au même numéro par jour), nous conservons des valeurs de contrôle du numéro, formées avec une clé secrète, dont l'une avec votre compte, pendant 24 heures au plus. Base juridique : art. 6, par. 1, point f, RGPD. Aucune donnée de localisation, aucun contenu à des fins publicitaires ni pour l'entraînement de modèles externes.

2.8 Enfants et adolescents dans un Cercle de protection

Les personnes de moins de 16 ans peuvent utiliser KindChat en tant que membre protégé d'un Cercle de protection ; la clause 1.4 des Conditions d'utilisation précise dans quels pays. La base juridique du compte est le contrat d'utilisation du membre protégé, que la personne majeure titulaire du Cercle de protection conclut pour le membre protégé (art. 6, par. 1, point b, RGPD). Les fonctions d’assistance, c'est-à-dire la validation des nouveaux contacts et des adhésions à des groupes, font partie de ce contrat (art. 6, par. 1, point b, RGPD). Lorsqu'un traitement repose sur un consentement, la personne titulaire le donne pour le membre protégé et le déclare expressément lors de la création du code parental (art. 6, par. 1, point a, en liaison avec l'art. 8 RGPD). Une tranche d’âge est demandée, et non une date de naissance : lors de l'inscription et lors d'une connexion sur un nouvel appareil, si la tranche d'âge du compte n'est pas déjà enregistrée. Seuls la tranche d'âge qui en découle, la date de la déclaration et le pays sont conservés. Pour les membres protégés s'y ajoutent la date et la version de la déclaration de la personne titulaire, les identifiants du Cercle de protection et de son titulaire, l'état de l'obligation de validation et, le cas échéant, la date de mise en veille. Tranche d'âge issue du système d'exploitation : pour les comptes aux États-Unis (la référence est le numéro de téléphone ou le lieu de résidence indiqué), l'application demande en outre la tranche d'âge que fournit le système d'exploitation ou la boutique d'applications de l'appareil, lorsqu'une tranche y est enregistrée ; dans plusieurs États américains, une telle demande est obligatoire depuis 2026. Seule la tranche d'âge elle-même nous est transmise : ni date de naissance, ni nom d'un représentant légal, ni identifiant de la plateforme. Elle n'est pas conservée séparément, mais entre dans la tranche d'âge du compte et n'a d'effet que si elle est inférieure à la déclaration de la personne elle-même ; elle ne peut jamais relever une tranche d'âge. La finalité est la protection des mineurs. La base juridique est l'art. 6, par. 1, point f, RGPD (intérêt légitime à une protection efficace des mineurs) et, lorsqu'une obligation légale de demande existe, l'art. 6, par. 1, point c, RGPD. La personne titulaire valide les nouveaux contacts et les adhésions à des groupes. Elle voit alors le nom affiché de la personne demandeuse ; pour les groupes, le nom du groupe, la personne qui invite et le nombre de membres. Elle n'a accès ni aux messages, ni aux appels, ni à la position. Le membre protégé voit à tout moment dans l'application que l'obligation de validation est active et quelles fonctions d'assistance la personne titulaire a accordées ; il n'existe aucune surveillance dissimulée. Toute personne qui envoie une demande de contact à un membre protégé ou l'invite dans un groupe doit le savoir : son nom affiché, et pour les groupes le nom du groupe et le nombre de membres, sont montrés à la personne titulaire du cercle de protection pour validation ; elle n'apprend rien d'autre sur la personne qui demande. Les demandes de validation traitées sont supprimées 90 jours après la décision. Si la personne titulaire refuse une demande, le nom du groupe ou de la communauté est supprimé immédiatement. La base juridique pour montrer les informations de la personne qui demande est l'art. 6, par. 1, point f, RGPD (intérêt légitime à protéger le membre protégé). Le consentement facultatif « Aider à améliorer la modération » n'est pas disponible pour les membres protégés. Au premier lancement, les membres protégés reçoivent un résumé adapté de la présente politique (art. 12 RGPD).

3. Destinataires / sous-traitants

  • Hébergement : Hetzner Online GmbH en Allemagne, avec contrat de sous-traitance ; aucun transfert vers des pays tiers pour les données de contenu
  • Push : Apple/Google (contrat de sous-traitance standard, minimisation des données). Ce qui est transmis est un signal de réveil vers l’adresse push de l’appareil. Selon le type, il porte un texte fixe comme « Nouveau message », le nombre de messages non lus, des identifiants que seul KindChat peut rattacher et, pour un appel entrant, le type d’appel (audio ou vidéo) et son heure de début. Si un appareil est déconnecté, le signal n’indique le motif que sous forme de catégorie (sécurité, inactivité ou déconnexion ou nouvelle connexion sur un autre appareil). Si, dans une discussion à deux, un contact que vous avez marqué d’une étoile vous écrit, le signal le porte comme indication (trois étoiles dans le texte de notification ou, lorsqu’Android réveille l’app, un repère) ; l’indication elle-même ne nomme personne. Apple ou Google reçoivent ces informations et apprennent qu’un appareil a été réveillé et à quel moment. Ils ne reçoivent pas le contenu des messages.
  • Vérification de l’appareil à la connexion et lors des SMS d’invitation (à partir de la version 1.1.11 de l’app ; pour les SMS d’invitation, à partir de la 1.1.13 et seulement une fois que nous l’aurons activée) : lorsque vous demandez un code de connexion, l’app fait confirmer par Apple (App Attest) ou par Google (Play Integrity) que la demande provient de la véritable app KindChat sur un véritable appareil. Sous iOS, si elle n’en a pas encore, l’app génère à cet effet une clé d’appareil au début de la connexion et la fait confirmer une fois par Apple. Une clé de plus de 80 jours est remplacée lors de la connexion suivante ; tant que la nouvelle n’est pas confirmée, l’ancienne reste valable. Apple apprend ainsi qu’une clé pour KindChat a été générée sur l’appareil, et à quel moment, et reçoit une valeur de contrôle issue d’un nombre aléatoire de notre serveur, sans votre numéro de téléphone. Sous Android, à chaque demande de code de connexion, Google vérifie l’appareil, l’app et son statut de licence pour les comptes Google connectés sur l’appareil, et reçoit une valeur de contrôle issue d’un nombre aléatoire de notre serveur, du type de demande et de votre numéro de téléphone. Comme Google ne reçoit jamais le nombre aléatoire, votre numéro ne peut pas être retrouvé à partir de cette valeur. Si votre compte n’a pas encore de preuve d’appareil, par exemple parce que vous n’avez pas effectué de nouvelle connexion depuis l’introduction de la vérification de l’appareil, l’app vérifie l’appareil de la même manière lorsque vous invitez quelqu’un par SMS ; sous iOS, elle génère à cet effet une clé d’appareil s’il n’en existe pas encore. Sous Android, Google reçoit alors une valeur de contrôle formée à nouveau à chaque demande à partir du nombre aléatoire de notre serveur et qui ne contient aucun numéro de téléphone, pas même celui de la personne invitée ; elle ne permet pas de remonter à votre compte et ne peut pas être reliée à d’autres demandes. Google conserve pendant une durée fixe les données collectées à cette occasion, la valeur de contrôle aussi, selon ses propres indications. Apple et Google ne reçoivent ni le contenu des messages ni les identifiants de votre compte KindChat. Le traitement par Apple et Google peut avoir lieu aux États-Unis ; notre serveur vérifie lui-même la réponse, dans l’UE. La base juridique est l’art. 6, par. 1, point f) du RGPD (intérêt légitime à lutter contre l’usage abusif des SMS de connexion et d’invitation).
  • en cas d'escalade, uniquement du personnel interne formé ou des prestataires spécialisés de l'UE liés par un contrat de sous-traitance
  • aucune transmission à des réseaux publicitaires ou à des courtiers en données, ni pour l'entraînement d'IA générative
  • SMS : les numéros de mobile et le consentement à recevoir des SMS ne sont jamais transmis à des tiers ou à des sociétés affiliées à des fins de marketing ou de publicité, et votre consentement à recevoir des SMS n’est communiqué à personne. KindChat n’envoie à votre numéro que des SMS contenant des codes de connexion et des avis de service ; les prestataires qui les acheminent agissent pour notre compte dans le cadre d’un contrat de sous-traitance. Il s’agit en règle générale de seven.io (Kiel, Allemagne) ; il reçoit le numéro de mobile et le texte du SMS pour les codes de connexion, les avis de service et les SMS d’invitation, et conserve les journaux d’envoi selon ses propres délais. Pour certains pays (d’abord la Turquie), le SMS est acheminé par Twilio Inc., établie aux États-Unis, qui reçoit à cette fin le numéro de mobile et le texte du SMS ; cela vaut aussi pour les SMS d’invitation vers des numéros de ces pays. Le transfert vers les États-Unis repose sur le cadre de protection des données UE-États-Unis (Data Privacy Framework), dans lequel Twilio est certifiée, et à défaut sur les clauses contractuelles types de l’UE ; une copie est disponible sur demande à hi@kindchat.app.

En cas d'obligation légale (par ex. décision de justice), la communication n'a lieu que dans la mesure autorisée.

4. Durée de conservation et suppression

  • Compte/profil jusqu'à la suppression, plus 30 jours
  • Signalements d'une retenue comme erronée (voir 2.2) : 36 mois ; signalements de membres protégés qui nous parviennent malgré tout : 12 mois
  • Le contenu des messages est stocké sur nos serveurs chiffré de bout en bout (exceptions : le chat du support et les signalements, voir 2.3). Nous l'y supprimons, avec ses pièces jointes, 30 jours après l'envoi ; si, dans une discussion à deux, l'une des deux personnes ou, dans un groupe, un membre actuel est membre de Plus ou d'un Cercle de protection, il y reste tant que cela dure, sauf dans les discussions avec des organisations. Un message d'une discussion à deux qui n'a pas pu être distribué dans les 30 jours est supprimé par nos soins, avec ses pièces jointes, 30 jours après l'envoi, même si l'une des deux personnes est membre de Plus ou d'un Cercle de protection ; font exception les messages qu'un signalement conserve comme preuve et les messages adressés au support KindChat, tant que notre équipe ne les a pas reçus. Une sauvegarde chiffrée de l'historique a été développée, mais elle n'est pas encore disponible ; à ce jour, nous ne conservons aucune copie de sauvegarde de votre historique sur nos serveurs. Nous compléterons la présente politique avant d'activer la sauvegarde
  • Le texte envoyé au deuxième niveau de vérification est supprimé après la décision ; ce n'est qu'avec votre consentement qu'une version pseudonymisée est conservée pendant 36 mois (voir 2.2)
  • Clé de la vérification de l’appareil à la connexion (iOS) : sont conservés son identifiant, sa clé publique, un compteur, l’environnement (développement ou production) et trois dates sans heure, sans identifiant de compte ni adresse IP ; pour le lien avec le numéro de téléphone, voir le point suivant. Une clé jamais utilisée est supprimée 7 jours après que nous l’avons stockée, une clé utilisée 90 jours après sa dernière utilisation ; comme nous ne conservons que des jours et supprimons une fois par jour, cela peut prendre jusqu’à environ deux jours de plus. Sous Android, la réponse de Google est vérifiée et n’est pas conservée.
  • Lien entre la clé de l’appareil et le numéro de téléphone (iOS, seulement une fois que nous l’aurons activé) : lorsqu’un code de connexion ou de récupération est demandé sous iOS, nous conservons une valeur de contrôle de l’identifiant de la clé de l’appareil, une valeur de contrôle du numéro de téléphone pour lequel le code est demandé, le type de demande (connexion ou récupération), si elle a été admise ou renvoyée vers un contingent limité, et le jour (sans heure). Nous calculons ces valeurs de contrôle avec une clé secrète qui leur est propre. Il s’agit d’une pseudonymisation, non d’une anonymisation : quiconque détiendrait ces entrées avec cette clé pourrait retrouver les numéros ; la clé est donc conservée uniquement dans notre coffre de secrets, jamais dans la base de données ni dans ses sauvegardes. Nous ne conservons ni le numéro en clair, ni adresse IP, ni identifiant de votre compte. Nous utilisons ces entrées uniquement pour prévenir l’abus des SMS et les faux comptes : nous limitons le nombre de numéros pour lesquels un appareil peut demander des codes par jour. Au-delà, un numéro sans compte KindChat ne reçoit son code que sur un contingent très limité, donc éventuellement plus tard ou plus du tout ce jour-là ; un numéro lié à un compte continue de recevoir son code. Il en va de même pour un numéro sans compte si notre propre vérification échoue. En cas d’abus confirmé, nous pouvons soumettre une clé d’appareil à ce contingent pendant 180 jours au plus et retrouver les numéros concernés ; nous supprimons cette affectation (valeur de contrôle de la clé, jour, fin et référence du dossier) lorsqu’elle prend fin. Toute mesure contre un compte est toujours décidée par une personne. Les entrées sont supprimées au bout de 30 jours ; comme nous ne conservons que des jours, cela peut prendre jusqu’à environ un jour de plus. Si une entrée relève d’un cas d’abus que nous avons confirmé, nous la conservons comme preuve pendant 180 jours au plus. Si vous supprimez votre compte, nous supprimons les entrées liées au numéro de votre compte, sauf si elles relèvent d’un tel cas. Sous Android, aucun lien de ce type n’est créé. Base juridique : art. 6, par. 1, point f) du RGPD (prévention de l’abus des SMS de connexion et des faux comptes).
  • Preuve d’appareil de votre compte : nous enregistrons sur votre compte le moment où il a fourni pour la première fois une preuve d’appareil valide, à la connexion ou, à partir de la version 1.1.13 de l’app, lors d’un SMS d’invitation. Les SMS d’invitation des comptes sans cette preuve sont retenus ; les invitations par lien ou via le menu de partage ne sont pas concernées. Ce moment est supprimé avec votre compte, et les informations que vous recevez sur demande d’accès (art. 15 du RGPD) l’incluent. Base juridique : art. 6, par. 1, point f) du RGPD (prévention de l’abus des SMS d’invitation).
  • Demandes de contact : une demande restée sans réponse est supprimée 30 jours après son envoi. Une demande acceptée est supprimée 30 jours après son acceptation si la personne fait alors partie de vos contacts. Si vous avez refusé une demande ou retiré un contact, ou si une demande acceptée n'a pas abouti à un contact, une mention est conservée tant que les deux comptes existent, afin que la même personne ne puisse pas vous solliciter à nouveau (art. 6, par. 1, point f) du RGPD, protection contre des prises de contact non souhaitées répétées). 30 jours après la décision, nous supprimons un éventuel texte d'accompagnement et l'indication du groupe par lequel la demande a été envoyée. Les entrées de journal indiquant qui a sollicité qui et comment la personne sollicitée a décidé, sans aucun contenu, sont supprimées après 12 mois.
  • Blocages : si vous bloquez quelqu'un, nous enregistrons aussi le moment du blocage. Il sert à vous indiquer, avant que vous rejoigniez un groupe d'une communauté, si une personne que vous avez bloquée avant votre demande s'y trouve ; cette fonction n'est pas encore activée. Si vous débloquez la personne, nous supprimons ce moment, mais conservons la période terminée (début et fin) tant que les deux comptes existent, de même après que vous avez ajouté à nouveau une personne retirée. Elle permet de vous cacher ce que la personne a commenté ou marqué dans Pulse pendant cette période, et de cacher à la personne ce que vous avez lu pendant cette période. Si vous retirez une personne bloquée de vos contacts, la mention du retrait conserve ce moment et est conservée comme décrit ci-dessus (art. 6, par. 1, point f) du RGPD, protection contre des prises de contact non souhaitées). Les informations que vous recevez sur demande d'accès (art. 15 du RGPD) l'incluent, ainsi que vos propres périodes terminées.
  • Messages à des personnes que vous ne pouvez plus joindre : si un message ne peut pas être distribué, par exemple parce que l'autre personne ne vous a pas (ou plus) comme contact ou que vous ne pouvez plus la joindre, nous n'enregistrons que ce que vous voyez vous-même de ce message : à qui il était destiné, quand, et s'il contenait une pièce jointe. Nous n'enregistrons pas son contenu, et l'autre personne n'en reçoit rien ; pour vous, il apparaît comme tout autre message pas encore distribué. Nous supprimons ces informations après 30 jours, au plus tard après 12 mois si l'une des parties est membre Plus, et immédiatement si l'un des deux comptes est supprimé. Jusque-là, une pièce jointe reste stockée chiffrée de bout en bout ; nous ne pouvons pas la lire et l'autre personne ne peut pas la récupérer (art. 6, par. 1, point f) du RGPD, intérêt légitime des deux parties à ce qu'un blocage ou un retrait ne soit pas reconnaissable).
  • Messages supprimés pour tous : si quelqu’un supprime un de ses propres messages pour tous ou si notre équipe retire un message, nous supprimons son contenu du serveur, sauf si un signalement le retient comme preuve. Nous conservons une preuve sans contenu : les sommes de contrôle d’un message de groupe chiffré et d’une pièce jointe, leurs étiquettes d’authentification, les données de distribution (qui l’a envoyé à qui et quand, et qui l’a reçu ou lu et quand) et qui l’a supprimé et quand (la personne elle-même ou notre équipe). Cela permet de vérifier qu’un signalement montre bien ce message. Sans signalement, nous supprimons la preuve à la fin du 90e jour après le jour de la suppression (UTC), en règle générale dans un délai d’un jour ; avec signalement, la conservation du signalement s’applique. Si l’historique d’une discussion reste sur le serveur à cause de Plus ou du Cercle de protection (voir ci-dessus), seul le message supprimé avec ses données de distribution y reste dans l’historique. Dès que l’app proposera de signaler des messages supprimés, pour un message que l’expéditeur a lui-même supprimé, l’appareil de chaque personne à qui il a été affiché en conserve une copie masquée pendant les mêmes 90 jours ; « Supprimer pour moi » la supprime définitivement. Un signalement qui ne peut pas être vérifié, nous ne l’attribuons à personne. Si l’expéditeur supprime son compte, nous supprimons ses messages avec la preuve ; pendant 90 jours, à compter de la suppression du message ou du compte, il ne reste qu’une note indiquant à qui ils étaient destinés, et un signalement ne peut alors plus être attribué à personne. La base juridique est l’art. 6, par. 1, point f, RGPD (protection des destinataires et traitement des signalements au titre de l’art. 16 DSA).
  • Journaux techniques de notre serveur d’application : 30 jours au maximum, sans contenu de messages ; pour certains services auxiliaires, nous sommes en train de passer à la limite de 30 jours, d’ici là ils sont écrasés selon leur taille.

Le compte peut être supprimé à tout moment dans les paramètres de l'app ; la suppression intervient alors dans un délai de 30 jours, sauf obligations légales contraires.

5. Transparence de l'IA conformément à l'art. 50 du règlement sur l'IA

L'IA est utilisée exclusivement pour la classification, non pour la génération ; principalement sur l'appareil. Nous vous informons lors de l'inscription, à chaque décision de modération (mention « Vérification automatisée » plus un lien vers la réclamation), ainsi que sur le site web et dans l'app. Comme aucun contenu synthétique n'est créé, il n'existe aucune obligation de marquage au titre de l'art. 50, par. 2.

Détails : page Transparence de l'IA et Conditions d'utilisation, clause 3.

6. Vos droits (art. 15 à 22 du RGPD)

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition et de retrait du consentement. Vous pouvez également introduire une réclamation auprès d'une autorité de contrôle, par ex. la Berliner Beauftragte für Datenschutz und Informationsfreiheit (autorité berlinoise de protection des données) (https://www.datenschutz-berlin.de).

Contact : hi@kindchat.app ; réponse dans un délai d'un mois (prolongeable de 2 mois).

7. Sécurité du traitement

Nous mettons en œuvre des mesures techniques et organisationnelles conformes à l'état de l'art (E2EE avec le protocole Signal, IA sur l'appareil, copie externe chiffrée de la base de données, chiffrement des champs particulièrement sensibles avec des clés dédiées, contrôles d'accès). Un risque résiduel ne peut être totalement exclu.

8. Modifications de la présente politique de confidentialité

Nous adaptons la présente politique en cas de besoin. Nous vous informons des modifications substantielles par notification dans l'app ou par e-mail, avec un préavis raisonnable. La version en vigueur est toujours disponible sur cette page (/fr/confidentialite/).

9. Traitement des données sur ce site web (kindchat.app)

Liste d'attente (clôturée) : la liste d'attente de la phase bêta n'est plus maintenue, et aucune inscription n'est plus possible via ce site web. Nous traitons les adresses encore présentes uniquement pour faire fonctionner le lien de désinscription contenu dans les e-mails déjà envoyés. Base juridique : consentement (art. 6, par. 1, point a) du RGPD). Vous pouvez le retirer à tout moment via ce lien ; l'adresse est alors supprimée.

Hébergement du site web : Hetzner Online GmbH en Allemagne (Falkenstein), avec contrat de sous-traitance.

E-mail : nos boîtes aux lettres sur kindchat.app, par exemple hi@kindchat.app, et les e-mails que nous envoyons passent par united-domains AG.

Mesure d'audience (analytics) : nous utilisons Umami, auto-hébergé dans l'UE et respectueux de la vie privée. Il ne dépose aucun cookie, ne stocke rien sur votre appareil, ne crée aucun profil personnel et ne permet aucun pistage entre sites. Seuls des nombres de visites agrégés et anonymes sont collectés. Google Analytics n'est pas utilisé. Base juridique : intérêt légitime (art. 6, par. 1, point f) du RGPD).

Autorité de contrôle : Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstraße 219, 10969 Berlin.

10. Contact

sonrisa ventures GmbH, Protection des données, e-mail hi@kindchat.app.

← Retour à l’accueil