Politique de confidentialité

La confidentialité, expliquée simplement

Votre vie privée est la raison d’être de Hidesay.

Chaque message est chiffré directement sur votre appareil avant d’être envoyé. Nos serveurs ne reçoivent que des données déjà chiffrées et ne possèdent pas la clé privée nécessaire pour les lire.

Hidesay est conçue selon un principe très simple : le serveur doit en savoir le moins possible. Il ne conserve que les informations strictement nécessaires au fonctionnement du service, et rien de plus.

Ce que le serveur doit savoir

Pour que Hidesay fonctionne, le serveur doit gérer certaines informations techniques.

Votre compte

Quand vous créez un compte, un identifiant aléatoire est généré et vous recevez un jeton d’accès.

Ce jeton est la seule information d’identification nécessaire pour accéder à votre compte.

Le serveur n’enregistre jamais le jeton en clair. Il ne mémorise qu’un hachage calculé avec Argon2id, suffisant pour vérifier sa validité mais impossible à utiliser pour reconstituer le jeton d’origine. En pratique, votre jeton n’est connu que de vous et de vos appareils.

Si vous choisissez de compléter votre profil, le serveur conserve aussi :

• votre nom d’utilisateur et vos éventuels noms d’utilisateur supplémentaires ;
• prénom, nom et biographie ;
• votre clé PGP publique et son empreinte (fingerprint) ;
• photo de profil et image de couverture.

La clé privée, en revanche, ne quitte jamais votre appareil.

Les sessions

Pour que vous puissiez voir quels appareils sont connectés à votre compte et les déconnecter quand vous le souhaitez, le serveur tient la liste des sessions actives.

Pour chaque session sont conservés :

• le hachage du jeton de session ;
• la date de création ;
• la dernière utilisation ;
• la date d’expiration ;
• le nom de l’appareil ;
• la plateforme ;
• la version de l’appli ;
• la version du système d’exploitation.

Si vous activez la validation en deux étapes, le serveur ne conserve que les informations indispensables à la méthode choisie :

• le secret TOTP, si vous utilisez une appli d’authentification ;
• ou le hachage du mot de passe supplémentaire ;
• ou l’adresse e-mail, si vous choisissez de recevoir les codes par e-mail.

Les codes de récupération sont eux aussi mémorisés uniquement sous forme de hachage.

Les messages

Les messages sont chiffrés sur votre appareil avant même d’être envoyés.

Le serveur ne reçoit que :

• le message déjà chiffré avec OpenPGP ;
• les métadonnées indispensables à la livraison (expéditeur, destinataire ou conversation, date et heure, éventuelle réponse à un autre message) ;
• les informations nécessaires pour gérer les réactions, les messages épinglés et les vues des canaux.

Les pièces jointes sont traitées de la même manière : elles arrivent au serveur déjà chiffrées et le serveur ne peut pas en lire le contenu.

Groupes et conversations

Pour gérer les groupes et les canaux, le serveur doit connaître certaines informations organisationnelles, par exemple :

• les membres ;
• les rôles ;
• les autorisations ;
• les éventuelles restrictions ou exclusions ;
• les invitations et les demandes d’adhésion ;
• les discussions archivées, épinglées ou en sourdine ;
• les dossiers ;
• les marque-pages de lecture ;
• les utilisateurs bloqués ;
• les noms personnalisés attribués aux contacts.

Ces informations n’existent que pour permettre à l’appli de fonctionner.

Notifications push

Pour recevoir les notifications, nous utilisons Firebase Cloud Messaging (FCM).

Le serveur conserve le jeton FCM de votre appareil, nécessaire uniquement pour pouvoir le joindre quand un nouveau message arrive.

Quand quelqu’un vous écrit, Google ne reçoit pas le contenu du message.

Seule une petite notification technique et invisible est envoyée via Firebase, et elle sert uniquement à réveiller l’appli quand elle est en arrière-plan.

Cette notification ne contient pas :

• le texte du message ;
• l’expéditeur ;
• la conversation ;
• les pièces jointes ;
• aucune information permettant de reconstituer le contenu de la communication.

Quand l’appli se réveille, elle se connecte directement aux serveurs de Hidesay, télécharge le message déjà chiffré, le déchiffre uniquement sur votre appareil et n’affiche qu’ensuite la notification visible.

Autrement dit, le contenu de vos conversations ne passe pas par Firebase.

Ce qui n’arrive jamais sur nos serveurs

Il y a des informations que nous ne demandons pas et que nous ne recevons jamais.

Parmi elles :

• le numéro de téléphone ;
• le carnet d’adresses ;
• la position ;
• les identifiants publicitaires ;
• les données biométriques ;
• les adresses IP.

Ces informations restent elles aussi toujours sur votre appareil :

• votre clé privée OpenPGP ;
• la phrase de passe de la clé ;
• le code PIN de l’appli ;
• les éventuelles données biométriques utilisées pour la déverrouiller.

Nous n’avons accès à aucune de ces informations.

Pourquoi ces données sont nécessaires

Les informations gérées par le serveur servent uniquement à :

• authentifier votre compte ;
• livrer les messages ;
• synchroniser plusieurs appareils ;
• gérer les groupes et les canaux ;
• vous envoyer des notifications push ;
• protéger votre compte contre les accès non autorisés.

Nous n’utilisons pas vos données pour :

• la publicité ;
• le profilage ;
• le marketing ;
• entraîner des modèles d’intelligence artificielle.

Nous ne vendons, ne louons et ne cédons les données des utilisateurs à personne.

Quand vous supprimez quelque chose, c’est vraiment supprimé

Sur Hidesay, la notion de "supprimé de l’appli mais conservé sur le serveur" n’existe pas.

Quand vous supprimez quelque chose, le serveur supprime aussi sa propre copie.

Cela vaut pour :

• les messages supprimés pour tous ;
• les discussions et les historiques ;
• les groupes et les canaux ;
• les pièces jointes ;
• les photos de profil ;
• les images de couverture ;
• les réactions ;
• les réglages ;
• les dossiers ;
• les blocages ;
• et toute autre donnée associée à votre compte.

Nous ne gardons ni copies cachées ni archives consultables du contenu supprimé.

La seule exception concerne ce qui a déjà été téléchargé sur les appareils d’autres utilisateurs. Si un message a déjà été reçu et enregistré sur l’appareil du destinataire, nous n’avons aucun moyen d’accéder à cet appareil ni d’en effacer le contenu.

Combien de temps les données sont conservées

Le serveur ne conserve les données que le temps nécessaire.

• Les messages chiffrés avec PGP restent jusqu’à leur suppression ou jusqu’à l’expiration d’un éventuel minuteur d’autodestruction.
• Les sessions restent jusqu’à la déconnexion ou jusqu’à leur expiration.
• Les codes temporaires de la validation en deux étapes sont supprimés automatiquement quelques minutes après une connexion échouée, ou instantanément après une connexion réussie.
• Les informations du profil restent tant que vous choisissez de garder votre compte.

Suppression du compte

Vous pouvez supprimer votre compte à tout moment, vous-même, dans l’appli : Accès et sécurité → Compte → Supprimer le compte. Inutile de nous écrire ou d’attendre que quelqu’un traite une demande. Vous trouverez chaque étape sur la page Supprimer le compte.

Pour confirmer, nous vous demandons le jeton d’accès complet, et pas seulement la session déjà ouverte sur le téléphone, ainsi que le second facteur si vous en avez activé un. Les codes de récupération ne suffisent pas : ils servent à revenir dans un compte, pas à le fermer.

Deux façons différentes de fermer le compte

Nous vous demandons quoi faire des messages que vous avez déjà envoyés, car le résultat sur les données est différent.

Si vous choisissez de les supprimer, la ligne de votre compte et tout ce qui y est lié sont effacés de la base de données, y compris les messages que vous avez écrits dans les discussions privées, les groupes et les canaux. Une discussion privée est faite de deux personnes : si vous supprimez aussi les messages, la copie de l’autre personne disparaît aussi, car une moitié de conversation ne peut pas exister.

Si vous choisissez de les laisser à ceux qui les ont reçus, le contenu des messages reste lisible pour ceux qui les ont reçus, mais votre compte cesse quand même d’être identifiable : nom, nom d’utilisateur, biographie, photo, clé publique, jeton et second facteur sont effacés et remplacés par un identifiant aléatoire qui ne mène pas à vous. Ce n’est pas un compte "conservé" : c’est un profil rendu anonyme, qui apparaît à ceux qui lisent ces messages comme "Compte supprimé" et auquel personne, vous compris, ne peut plus accéder. En matière de protection des données, vos données personnelles sont de toute façon effacées ; il ne reste que le contenu des messages, qui est aussi une donnée de l’autre personne et pas seulement la vôtre.

Groupes et canaux

Si vous êtes propriétaire de groupes ou de canaux, la suppression du compte les ferme pour tous les membres, quel que soit le choix fait pour les messages : ils vous appartiennent et ne passent automatiquement à personne d’autre. Dans les groupes dont vous êtes simplement membre, en revanche, supprimer le compte revient à les quitter : le groupe continue pour ceux qui restent.

Ce qui est supprimé dans tous les cas

• le profil ;
• les noms d’utilisateur ;
• la clé publique ;
• les images téléversées ;
• toutes les sessions, sur chaque appareil ;
• les jetons des notifications push ;
• les réglages ;
• l’appartenance aux groupes et aux canaux ;
• toute autre donnée associée à votre compte.

Les copies des messages déjà téléchargées sur les appareils des autres participants restent en revanche sur leurs appareils, car nous n’avons aucun accès aux appareils des utilisateurs.

La suppression est immédiate et définitive : le jeton cesse de fonctionner à l’instant même où vous confirmez, et nous ne conservons aucune sauvegarde permettant de restaurer un compte fermé par erreur. Justement parce qu’elle exige le jeton, si vous l’avez perdu en même temps qu’un éventuel second facteur, nous n’avons aucun moyen technique de vérifier que le compte est à vous, et nous ne pouvons donc pas le supprimer à votre place sur demande écrite.

Vos droits

Si le RGPD s’applique à vous, vous pouvez demander à tout moment :

• à accéder à vos données ;
• à les rectifier ;
• à les effacer ;
• à en limiter le traitement ;
• à vous opposer au traitement ;
• à les recevoir dans un format portable.

Nous pouvons vous fournir tout ce qui se trouve sur nos serveurs. Pour les messages, nous ne pouvons vous remettre que la version chiffrée, car c’est la seule forme sous laquelle ils existent sur nos systèmes.

Écrivez à [email protected] pour exercer l’un de ces droits. Vous avez aussi la possibilité d’introduire une réclamation auprès de l’autorité de contrôle de votre pays ; en Italie, il s’agit du Garante per la protezione dei dati personali.

En quelques mots

Hidesay est conçue pour en savoir le moins possible.

Vos messages sont chiffrés avant de quitter votre appareil.

Votre clé privée n’est jamais transmise.

Votre jeton d’accès n’est jamais enregistré en clair.

Firebase ne voit pas le contenu de vos conversations.

Et quand vous supprimez quelque chose, c’est aussi supprimé de nos serveurs.

Voir aussi les conditions d’utilisation et la page sur le modèle de sécurité.