Politique de confidentialité

Fenzly repose sur une promesse simple : les seules personnes pouvant voir votre position sont celles avec qui vous la partagez. Cette politique explique le peu de données que nous traitons, ce que nous ne pouvons délibérément pas voir, et les droits dont vous disposez.

1. Responsable du traitement

Le responsable du traitement de Fenzly est Logil Sàrl (« nous »), Chemin de l’Eglise 4, 1233 Bernex, Suisse (n° d’entreprise CHE-435.741.642).

Pour toute question relative à la confidentialité : [email protected].

2. Notre principe fondateur : chiffrement de bout en bout et serveur « aveugle »

Fenzly chiffre vos positions, vos lieux et vos messages sur votre appareil, au moyen du protocole Double Ratchet (Olm), individuellement pour chaque destinataire. Nos serveurs ne font que relayer des données chiffrées opaques. Par conséquent, nous ne pouvons pas lire :

• vos coordonnées GPS ni vos déplacements ;
• le nom, les coordonnées ou le rayon de vos lieux ;
• le contenu de vos messages ;
• les membres de vos cercles, ni votre carnet d’adresses.

C’est une propriété de conception, pas une simple promesse : même contraints, nous ne pouvons pas produire des données que nous sommes techniquement incapables de lire.

3. Données que nous traitons

Données de compte. Pour créer un compte, vous fournissez soit une adresse e-mail, soit un numéro de téléphone (l’un suffit). Fenzly n’utilise pas de mot de passe : chaque connexion est vérifiée par un code à usage unique envoyé par e-mail ou SMS, nous n’avons donc aucun mot de passe à stocker, et aucun à perdre. Nous conservons aussi un nom d’affichage et votre langue (utilisée pour localiser les e-mails et SMS que nous vous envoyons). Les numéros de téléphone sont stockés au format international et vérifiés par un code à usage unique. Pour la découverte de contacts (optionnelle), nous stockons des hachages SHA-256 à sens unique des e-mails/numéros, jamais les valeurs en clair.

Dernière connexion. Nous enregistrons le moment où votre appareil a contacté nos serveurs pour la dernière fois, sous la forme d’un horodatage unique que chaque nouveau contact remplace. Les personnes qui connaissent déjà l’identifiant technique de votre compte, en pratique vos contacts et les membres de vos cercles, peuvent le lire : leur application s’en sert pour les prévenir quand votre téléphone est resté sans connexion pendant plusieurs heures. C’est un signal de sécurité : masquer votre statut en ligne dans les discussions ne le masque pas.

Données de connexion et données techniques. Comme tout service en ligne, nos serveurs voient l’adresse IP de chaque connexion. Nous l’utilisons, avec l’identifiant de votre compte, pour limiter les abus (par exemple le nombre de codes pouvant être demandés par heure). Les journaux de nos serveurs enregistrent des événements techniques (heure, chemin de la requête, statut de la réponse, erreurs, identifiants de compte, adresses IP) pour assurer le bon fonctionnement et la sécurité du service ; les requêtes y sont journalisées sans leurs paramètres, et ces journaux ne contiennent jamais une position, un lieu, une recherche d’adresse ni le contenu d’un message. L’application indique aussi à nos serveurs sa plateforme et son numéro de version, afin que nous puissions vous signaler une mise à jour obligatoire ; nous comptons seulement combien d’utilisateurs utilisent chaque version, jamais quelle version est la vôtre.

Données d’appareil. Un jeton de notification push (Firebase Cloud Messaging) et des informations techniques de base, utilisés uniquement pour vous délivrer les notifications. Les notifications parviennent à votre téléphone par Google Firebase Cloud Messaging et, sur iPhone, par le service de notifications push d’Apple : une notification de message contient le nom d’affichage de l’expéditeur et un texte générique, une notification SOS le nom d’affichage de l’émetteur ; les positions et le contenu des messages ne circulent jamais en clair dans une notification. Si vous activez les notifications d’arrivée/départ pour un lieu partagé, nous conservons en plus une préférence de notification grossière (quel lieu, et si vous souhaitez les arrivées ou les départs) afin de pouvoir réveiller votre appareil, jamais quel membre vous suivez ; ce filtre reste sur votre appareil.

Matériel cryptographique. Vos clés de chiffrement publiques (clé d’identité Curve25519, clé de signature Ed25519, clés signées et clés à usage unique), nécessaires pour que d’autres puissent établir une session chiffrée avec vous. Elles sont publiques par nature et ne révèlent rien de votre activité.

Contenu chiffré que nous relayons (sans pouvoir le lire). Les mises à jour de position, définitions de lieux, événements de franchissement et messages chiffrés transitent temporairement par nos serveurs (p. ex. via des files éphémères) pour être livrés lorsqu’un destinataire revient en ligne. Ils sont stockés chiffrés et expirent automatiquement (voir Conservation). Les photos de profil (utilisateurs, cercles et lieux), les photos envoyées dans une discussion et le détail d’un trajet partagé (itinéraire, vitesses, altitude) sont stockés sous forme de blobs chiffrés opaques : la clé de déchiffrement circule chiffrée de bout en bout entre vos appareils et vos contacts : nous ne pouvons pas les voir. Lorsque vous invitez quelqu’un avec un code de cercle, nous conservons le code, son créateur, sa date d’expiration et son nombre d’utilisations, jamais le cercle qu’il ouvre.

Sauvegardes. Si vous activez les sauvegardes, vos données sont chiffrées sur votre appareil avant de le quitter, de l’une de deux manières :

• Dans votre propre cloud (Google Drive ou Apple iCloud) : nous utilisons un schéma à clé scindée. Nous ne détenons qu’une part de clé aléatoire ; votre cloud détient la sauvegarde chiffrée et l’autre part : aucune partie seule ne permet de déchiffrer quoi que ce soit. Si l’enregistrement dans votre cloud échoue de façon répétée, une petite copie chiffrée de la partie essentielle est aussi conservée sur notre stockage, que notre part seule ne permet toujours pas d’ouvrir.
• Sur le stockage de Fenzly, en Suisse : la clé est tirée d’un code de récupération généré sur votre appareil et montré à vous seul. Nous ne stockons que des données chiffrées et ne recevons jamais le code. Si vous l’autorisez, l’application conserve aussi le code dans votre compte Apple iCloud ou Google, pour qu’un nouveau téléphone puisse le retrouver.

Données de licence. Si vous souscrivez une formule, nous conservons des reçus minimaux : la formule, son statut et sa période de validité, et à qui vous avez attribué des licences (identifiants techniques). Les abonnements s’achètent sur l’App Store ou Google Play, qui se chargent du paiement : nous ne voyons jamais vos données de carte ou bancaires. Pour activer votre formule, nous vérifions l’achat auprès d’Apple ou de Google et conservons les identifiants qu’ils nous transmettent (identifiants de transaction et de produit, dates, état du renouvellement), liés à votre compte pour que l’abonnement vous suive d’un téléphone à l’autre. Ces reçus ne sont jamais reliés à des positions ni à des cercles. Pour un compte enfant, nous conservons un reçu de consentement parental (identifiants du tuteur et de l’enfant, méthode, date), la preuve légale du consentement, rien de plus.

Alertes SOS. Lorsque vous envoyez une alerte SOS, les membres qu’elle atteint reçoivent votre position puis la suivent en direct, chiffrée de bout en bout comme toute position. Ce partage en direct passe outre vos réglages de partage (« Partage de position » désactivé, un cercle réglé sur « Rien », « Géolocalisation » désactivée) et désactive le mode hors ligne, qui reste désactivé ensuite. Il s’arrête quand vous annulez l’alerte, 30 minutes après la prise en charge, ou 4 heures après l’alerte si personne ne la prend en charge ; hormis l’annulation de l’alerte, personne ne peut l’arrêter plus tôt. Pour que l’alerte sonne jusqu’à sa prise en charge, notre serveur conserve une session SOS pendant 30 minutes au plus : l’identifiant de l’alerte, votre identifiant et ceux des membres alertés, les horodatages, et qui l’a vue, prise en charge ou annulée ; jamais la position. Si un membre alerté n’a toujours pas vu l’alerte après environ deux minutes et dispose d’un numéro de téléphone vérifié, nous lui envoyons un SMS par notre prestataire SMS (voir section 6) : il contient votre nom d’affichage et indique que votre position se trouve dans l’application, jamais la position elle-même.

Données de diagnostic. Rapports de plantage et journaux techniques (via Firebase Crashlytics) pour détecter et corriger les bugs. Ils ne contiennent ni votre position ni le contenu de vos messages.

Demandes d’assistance. Lorsque vous nous écrivez par le formulaire de contact de help.fenzly.app ou par « Signaler un problème » dans l’application, nous recevons ce que vous saisissez et votre adresse e-mail. Un signalement depuis l’application y ajoute l’identifiant de votre compte si vous êtes connecté, une description technique de votre appareil (modèle, versions du système et de l’application, langue, connectivité, état des autorisations), le journal récent de l’application si vous laissez cette option activée, après que l’application a masqué les adresses e-mail et les numéros de téléphone, remplacé les noms des lieux et des membres et retiré les coordonnées, ainsi que les captures d’écran que vous choisissez de joindre (une capture peut montrer votre carte). Nos serveurs transmettent le tout sous la forme d’un seul e-mail à notre boîte d’assistance et n’en gardent aucune copie. Cet e-mail, pièces jointes comprises, reste dans la boîte d’assistance pendant 12 mois après la clôture de votre demande, puis il est supprimé.

4. Données que nous n’avons pas

Nous ne recevons jamais votre carnet d’adresses, vos coordonnées ni les noms de vos lieux : ces éléments restent sur votre appareil ou sont chiffrés de bout en bout. Nous ne détenons pas la composition de vos cercles : pour livrer un message, nos serveurs ne voient que les identifiants de son expéditeur et de ses destinataires, le temps de la livraison.

5. Bases légales

Lorsque le RGPD s’applique, nous nous fondons sur : l’exécution d’un contrat (art. 6, §1, b) pour fournir le service ; votre consentement (art. 6, §1, a) pour les fonctions optionnelles telles que la découverte de contacts ou la découvrabilité par téléphone ; la sauvegarde des intérêts vitaux (art. 6, §1, d) de la personne qui envoie une alerte SOS, pour le partage en direct et le SMS qui la suivent ; et nos intérêts légitimes (art. 6, §1, f) à maintenir le service sûr et fonctionnel. Lorsque le droit suisse s’applique, le traitement est effectué conformément à la loi fédérale sur la protection des données (LPD/nLPD).

6. Prestataires de services (sous-traitants)

Nous faisons appel à un petit nombre de prestataires, choisis dans une logique de protection de la vie privée :

• Infomaniak (Suisse) : hébergement de nos serveurs, bases de données, stockage des médias et des sauvegardes chiffrés, et de leurs sauvegardes techniques ; envoi de nos e-mails (codes de connexion et de vérification, avis concernant le compte) ; notre boîte d’assistance. Données hébergées en Suisse.
• mailomat (mailXpert GmbH, Zurich, Suisse) : envoi d’e-mails de secours, utilisé uniquement lorsque l’envoi par Infomaniak échoue ; il reçoit alors l’adresse du destinataire et le contenu de l’e-mail.
• ASPSMS (Suisse) et Twilio (États-Unis) : envoi des SMS. Ils reçoivent le numéro de téléphone et le texte : un code de connexion ou de vérification, ou le SMS d’alerte SOS décrit à la section 3. ASPSMS envoie vers les numéros de Suisse et de la plupart des pays européens, Twilio vers le reste du monde ; chacun prend le relais quand l’autre ne parvient pas à remettre un message.
• Google Firebase (Cloud Messaging et Crashlytics) et, sur iPhone, le service de notifications push d’Apple : notifications push et rapports de plantage.
• MapTiler (Suisse) : cartes et recherche d’adresse. Votre appareil charge les tuiles de carte directement depuis le réseau de diffusion de MapTiler, qui voit donc votre adresse IP et la zone affichée ; MapTiler nous a confirmé par écrit que l’adresse IP reste au plus 20 minutes dans la mémoire de ce réseau et n’est pas transmise à ses serveurs. Les recherches d’adresse passent par nos serveurs : MapTiler reçoit le texte ou les coordonnées à rechercher, jamais votre adresse IP ni votre compte, et ni nous ni MapTiler ne les conservons.
• Grafana Labs (Grafana Cloud, données stockées en Suisse) : journaux techniques et métriques de nos serveurs (voir « Données de connexion et données techniques » à la section 3).
• Apple (App Store) et Google (Google Play) : vente et facturation des abonnements ; ils traitent votre paiement selon leurs propres conditions.
• Google Drive / Apple iCloud : uniquement si vous activez les sauvegardes ; votre sauvegarde chiffrée, ou le code de récupération si vous l’avez autorisé, est stockée dans votre propre compte cloud.
• Cloudflare (États-Unis) : hébergement de nos sites fenzly.app et help.fenzly.app et du domaine fenzly.app ; il voit l’adresse IP des visiteurs des sites. Nos sites ne déposent aucun cookie et n’utilisent aucune mesure d’audience.

7. Transferts internationaux

Notre infrastructure principale (serveurs, bases de données, stockage, journaux techniques) est hébergée en Suisse. Certains prestataires traitent des données limitées hors de Suisse et de l’UE, principalement aux États-Unis : Twilio (SMS vers les numéros hors d’Europe, ou en secours), Google (notifications, rapports de plantage, Google Drive, Google Play), Apple (notifications, iCloud, App Store) et Cloudflare (sites web) ; Grafana Labs, société américaine, stocke nos journaux en Suisse. Ces transferts sont encadrés par des garanties appropriées (p. ex. clauses contractuelles types de l’UE).

8. Conservation

• Messages chiffrés en attente de livraison hors-ligne : jusqu’à 30 jours, puis suppression automatique. Événements de franchissement et accusés de remise/lecture chiffrés : jusqu’à 7 jours.
• Mises à jour de position chiffrées, y compris la position en direct d’une alerte SOS : conservées uniquement pour la durée du partage, puis expiration.
• Session SOS : 30 minutes au plus.
• Recherches d’adresse : non conservées, ni par nous ni par MapTiler.
• Photos chiffrées envoyées dans une discussion : 90 jours sur nos serveurs. Détail chiffré d’un trajet partagé : 30 jours. Les copies déjà reçues restent sur les appareils des destinataires.
• Photos de profil chiffrées : conservées jusqu’à leur remplacement ou suppression, ou la suppression de votre compte.
• Codes d’invitation à un cercle : supprimés au plus tard 30 jours après leur expiration.
• Sauvegardes : les versions les plus récentes sont conservées ; les versions antérieures sont purgées automatiquement.
• Journaux techniques et métriques de nos serveurs : 14 jours.
• Demandes d’assistance (formulaire de contact et signalements depuis l’application, avec leurs pièces jointes : journal, description de l’appareil, captures d’écran) : conservées dans notre boîte d’assistance pendant 12 mois après la clôture de la demande, puis supprimées.
• Données de compte : conservées jusqu’à la suppression de votre compte, qui est immédiate et définitive ; les copies présentes dans nos sauvegardes techniques disparaissent dans un délai de 30 jours. Nous gardons ensuite pendant 12 mois un enregistrement minimal de la suppression (identifiant technique + date, rien d’autre) : il permet à vos appareils de détecter la suppression et de s’auto-nettoyer, puis il est purgé à son tour.

9. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation et d’opposition au traitement de vos données, ainsi que d’un droit à la portabilité. Ces droits s’exercent directement dans l’application, sans intervention humaine et avec effet immédiat :

• Exporter vos données (Réglages → Données personnelles → Télécharger mes données) : une copie lisible de vos données locales (profil, lieux, trajets, historique, réglages, uniquement vos données, jamais celles des membres de vos cercles) ainsi que le volet serveur, quasi vide par conception, c’est la démonstration de notre architecture.
• Supprimer votre compte (Réglages → Données personnelles) : la suppression est vérifiée par un code à usage unique et efface immédiatement et définitivement vos données de nos serveurs et de votre appareil ; vos autres appareils se nettoient automatiquement à leur prochaine ouverture de Fenzly. Vous pouvez aussi supprimer votre compte sans l’application, sur fenzly.app/delete-account. La suppression d’un compte enfant requiert l’accord d’un tuteur (code envoyé sur son canal vérifié).

À noter : les données que vous avez déjà partagées avec vos contacts (p. ex. vos positions passées dans leur application) résident sur leurs appareils, hors de notre portée, c’est inhérent au chiffrement de bout en bout, comme un message déjà remis. Vous pouvez retirer votre consentement aux fonctions optionnelles à tout moment. Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) ; dans l’UE, votre autorité nationale de protection des données.

Pour exercer vos droits : [email protected].

10. Sécurité

Nous protégeons vos données par le chiffrement de bout en bout (Double Ratchet, Olm), un stockage des clés lié à l’appareil (Keychain/Keystore), le chiffrement TLS en transit et un hébergement suisse. Aucun système n’est parfaitement sûr, mais notre architecture est conçue pour que les données les plus sensibles ne nous soient jamais lisibles.

11. Enfants

Fenzly ne s’adresse pas aux enfants de moins de 13 ans en dehors du mode famille. Lorsque la loi l’exige, RGPD pour les mineurs sous l’âge du consentement numérique de leur pays (qui varie entre 13 et 16 ans) et COPPA aux États-Unis pour les moins de 13 ans, le traitement des données d’un mineur requiert un consentement parental vérifiable. Fenzly propose un mode famille géré par les tuteurs : un membre ne peut être désigné comme enfant qu’après un consentement parental vérifiable (code envoyé par SMS au numéro vérifié du tuteur), dont nous conservons un reçu minimal (identifiants, méthode, date). Les tuteurs peuvent consulter et retirer ce consentement à tout moment dans l’application, et la suppression d’un compte enfant requiert leur accord. Si vous pensez qu’un enfant nous a fourni des données sans le consentement requis, écrivez-nous à [email protected] et nous les supprimerons.

12. Modifications

Nous pouvons mettre à jour cette politique. Les changements importants seront annoncés dans l’application ou par e-mail. La date de « dernière mise à jour » ci-dessus reflète toujours la version en vigueur.

Cette politique est disponible en plusieurs langues. En cas de divergence entre les versions, la version française fait foi.

13. Contact

Logil Sàrl · Suisse · [email protected]