Politique de confidentialité

Texte de référence : version 2026-09-19 de la politique présentée dans l'application [date d'entrée en vigueur à fixer ; la version montera quand les sections 9 et les ajouts signalés seront intégrés au texte de référence]. ProxiBlu, application de rencontre fondée sur les croisements physiques réels détectés par Bluetooth.

1. Qui est responsable de vos données

Le responsable du traitement est Philippe Leblond — Technologies DareCrush inc., [adresse du siège social].

La personne responsable de la protection des renseignements personnels répond à toute question sur vos données et reçoit vos demandes et vos plaintes : philippe@leblond.info [confirmer l'adresse de contact « vie privée » à publier, et le nom ou le titre de la personne responsable].

Chaque pays, ou grande région, a ses propres serveurs. Pour le Canada, vos données de compte et de rencontre sont hébergées à Montréal, et relèvent de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) et de la LPRPDE. Certains traitements passent par des prestataires situés hors du Québec : ils sont énumérés à la section 10.

2. Les données que nous recueillons

2.1 Votre compte

Votre adresse courriel et votre numéro de téléphone, tous deux vérifiés par un code, et un mot de passe ; vos réglages de double authentification. Le courriel et le téléphone sont chiffrés dans notre base — nous n'en gardons, pour la recherche, qu'une empreinte à sens unique. Le mot de passe n'est conservé que haché, jamais lisible. Nous gardons aussi les versions de cette politique et des conditions que vous avez acceptées, et la date de chaque consentement.

2.2 Votre profil

Âge, genre, taille, poids, lunettes, couleur des cheveux et, facultativement et avec votre consentement distinct, couleur de peau ; une description ; une accroche courte, affichée aux personnes que vous croisez ; les coordonnées que vous choisissez de partager avec un match ; jusqu'à deux photos ; vos préférences de recherche (genres et âges recherchés) ; votre langue, votre pays et, pour un grand pays, votre province ou État — ils désignent la région où vos données sont hébergées.

Nous ne demandons ni votre nom, ni votre date de naissance. La description, l'accroche et vos coordonnées sont chiffrées dans notre base. Nous gardons l'historique des déclarations et des modifications de vos attributs physiques (valeur avant, valeur après, date), qui sert à la cohérence des profils ; il n'est jamais montré aux autres membres.

[ajout à intégrer au texte de référence] Votre surnom, facultatif : 30 caractères au plus, choisis à l'inscription ou dans votre profil. Vos matchs, vos amis et les membres de vos conversations à plusieurs le voient ; une personne seulement croisée, ou à qui un ami vous présente, ne le voit pas. Il est chiffré dans notre base, notre équipe de modération peut l'effacer, il figure dans la copie de vos données et il est effacé avec votre compte.

2.3 Votre âge et les contrôles de l'équipe

ProxiBlu est réservé aux adultes. À l'inscription, quand la plateforme le fournit, votre téléphone lit le signal d'âge de Google Play ou d'Apple : la tranche d'âge reste sur l'appareil, et seul un état (« adulte », « mineur », « indéterminé »…) nous est transmis. Un état « mineur » empêche l'inscription ; notre équipe peut aussi bloquer un compte soupçonné d'appartenir à une personne mineure.

Notre équipe peut vous demander un selfie pris avec l'appareil photo, avec un motif écrit que vous lisez dans l'application. Ce selfie est regardé par une personne de l'équipe, qui le compare à l'œil à vos photos — aucune reconnaissance faciale automatisée. Il est conservé chiffré et n'est jamais montré aux autres membres. S'il est certifié, il est conservé tant que votre compte existe, pour être comparé de la même façon à un selfie ultérieur ; seul le plus récent est gardé. S'il est refusé, il est détruit 30 jours après la décision.

2.4 Votre localisation

• Croisements : seulement si vous avez donné votre consentement de géolocalisation, révocable à tout moment, la position d'un croisement est arrondie sur votre téléphone à une cellule d'environ 100 mètres avant tout envoi, et de nouveau à l'entrée de nos serveurs. L'application n'affiche jamais ni le lieu ni l'heure d'un croisement.
• Partage de position avec un proche : pendant un partage que vous déclenchez vous-même (de 1 à 12 heures, arrêtable à tout moment), votre position précise est transmise à la personne de confiance par un lien secret. Nous gardons son numéro de téléphone et, si vous le donnez, son nom — chiffrés.
• Re-rencontre d'un match : si vous et votre match avez tous deux accepté d'être prévenus quand vous vous recroisez, la reconnaissance se fait sur les téléphones ; une protection de sécurité, que vous activez séparément, peut enregistrer la position précise d'une re-rencontre.
• Messages de l'équipe ciblés sur une zone et campagnes de préinscription : c'est votre téléphone qui juge s'il se trouve dans la zone, avec votre position GPS si vous y avez consenti, sinon avec la localisation approximative de votre adresse IP qu'il demande lui-même à un service public (section 10). Nous n'apprenons que le résultat — « dans la zone » pour une campagne, afin de vous préinscrire et de vous prévenir du lancement —, jamais votre position.
• Carte « Où ça bouge » : elle est calculée à partir de cellules agrégées d'une centaine de mètres, publiées seulement quand au moins trois personnes différentes y sont passées, sans jamais exposer le point d'une personne.
• [ajout à intégrer au texte de référence] « Autour de mes lieux » : fonction facultative, qui n'est pas un suivi GPS ; rien n'est posé d'avance. Vous posez vous-même jusqu'à trois lieux que vous fréquentez, chacun avec un rayon. Leur centre est arrondi par nos serveurs, sur une grille de 500 mètres par défaut, avant d'être conservé : l'adresse exacte n'est jamais gardée. Pour chaque lieu, nous conservons ce centre arrondi — en clair, parce que c'est notre serveur qui compare les lieux —, son rayon, son nom, privé et chiffré sur nos serveurs, et ses dates de pose et de confirmation ; s'y ajoutent la liste des profils qui vous sont montrés chaque jour, et les likes et les « passer » que vous donnez. Les personnes dont un lieu correspond à l'un des vôtres peuvent voir votre profil public, et vous, le leur ; personne ne voit vos lieux, ni à quelle distance ; chacun sait seulement lequel de ses propres lieux correspond. Notre équipe ne voit, sur la fiche de votre compte, que le nombre de vos lieux et leurs dates, jamais où ils se trouvent. Désactiver la fonction efface tous vos lieux de nos serveurs, comme la suppression de votre compte ; ils figurent dans la copie de vos données (section 11), et leurs durées de conservation à la section 7. [Lieux fréquentés, même arrondis : caractère sensible à faire valider.]
• [ajout à intégrer au texte de référence] Le lieu dynamique d'« Autour de mes lieux » : facultatif, posé par vous, d'un geste, au plus une fois par jour. « Mettre à jour mon lieu dynamique » nous envoie la position précise de votre téléphone, mesurée par le GPS, avec sa marge d'erreur — refusée au-delà de 20 mètres, ou si le téléphone la dit simulée — ; « Choisir sur la carte ou par adresse » nous envoie le point que vous choisissez. Le centre est arrondi à 10 mètres, puis conservé en clair, avec un rayon de 50 mètres, la marge mesurée et ses heures de pose et de fin, parce que c'est notre serveur qui le compare aux lieux dynamiques des autres : il ne correspond qu'à eux, à moins de 50 mètres. Personne ne le voit, ni ne sait qu'un profil vient de lui ; notre équipe voit seulement, sur la fiche de votre compte, s'il est actif et jusqu'à quand. Il cesse de compter après 24 heures, et ses coordonnées sont effacées dans l'heure qui suit, ou dès que vous le retirez ; seule reste la date de sa dernière mise à jour, qui limite celle-ci à une par jour. Il figure dans la copie de vos données tant que ses coordonnées sont gardées (section 11). [Position précise d'une personne, même pour 24 heures : caractère sensible et ÉFVP à faire valider.]
• [ajout à intégrer au texte de référence] « Go à la rencontre » : quand vous déclarez une rencontre avec un match — lieu, date et heure, commentaire —, et seulement avec votre consentement de géolocalisation, votre téléphone nous envoie sa position précise tout de suite, puis 1 heure, 30, 10 et 5 minutes avant, à l'heure de la rencontre, et toutes les 15 minutes pendant 6 heures ; « Terminer le suivi » y met fin à tout moment. Sans ce consentement, la rencontre est déclarée sans position. Ces positions sont en clair sur nos serveurs : elles ne sont pas chiffrées de bout en bout. Notre équipe peut les consulter sur la fiche de votre compte, comme trace de sécurité. Les amis que vous choisissez de prévenir reçoivent un message avec le lieu et l'heure, puis voient la rencontre et vos positions sur votre fiche d'ami, jusqu'à 24 heures après la fin du suivi. La personne que vous rencontrez n'en est pas informée. « Retirer » la rencontre l'efface ; elle figure dans la copie de vos données (section 11), et sa durée de conservation à la section 7.

[ajout à intégrer au texte de référence, qui disait : « Nos serveurs ne déduisent jamais votre position de votre adresse IP. »] Centrer une carte : quand vous ouvrez une carte pour choisir un lieu et que la position de votre téléphone n'est pas disponible, la carte part du premier de vos lieux (« Autour de mes lieux ») ; à défaut, nos serveurs estiment la ville de votre adresse IP dans une base installée chez nous — aucun service tiers ne la reçoit —, puis, à défaut, votre région. C'est le seul usage qu'ils font de votre adresse IP pour vous situer : le résultat sert à cette carte, et rien n'est conservé. Base « IP Geolocation by DB-IP » (db-ip.com), sous licence Creative Commons Attribution 4.0.

[ajout à intégrer au texte de référence] Chercher une adresse : au-dessus des cartes où vous posez un lieu, le texte que vous tapez part à nos serveurs, qui le relaient vers un service de recherche d'adresse (section 10) avec, au plus, un voisinage arrondi à environ 1 km — jamais votre compte ni votre adresse IP. Ce texte n'est écrit dans aucun journal ; nos serveurs gardent la réponse 24 heures, sous une clé hachée, pour ne pas reposer la même question.

2.5 Vos croisements et votre activité

Votre téléphone émet et écoute des balises Bluetooth éphémères (voir la section 3) ; quand deux téléphones se croisent, chacun nous envoie la balise de l'autre, avec la force du signal et la durée de la présence. Nous en déduisons les croisements — qui a croisé qui, quand.

Nous enregistrons aussi vos likes et Super Likes, vos matchs, vos messages sans match, vos favoris, vos blocages, les profils que vous ignorez ou supprimez, vos signalements, les rendez-vous que vous déclarez, et les métadonnées de vos messages (qui, quand, quel match) — jamais leur texte, voir la section 8.

Pour diagnostiquer la détection entre téléphones, notre équipe peut placer temporairement un compte sous observation (30 jours au plus) : les vues qu'il échange sont alors tracées en détail et conservées 14 jours. [À réserver aux comptes de test ou à annoncer à la personne concernée.]

2.6 Paiements

Un abonnement acheté dans l'App Store ou sur Google Play est facturé par Apple ou Google : nous recevons la preuve d'achat (produit, dates, identifiant de transaction), que nous vérifions. Si un paiement par carte sur notre site vous est proposé, la carte est saisie chez la passerelle de paiement, jamais chez nous : nous ne gardons que la marque, les quatre derniers chiffres et, pour certaines passerelles, un jeton qui permet la reconduction. Nous gardons aussi vos crédits, et les codes de parrainage, de promotion ou d'ambassadeur utilisés.

2.7 Données techniques

Un identifiant d'appareil et le jeton qui permet de vous envoyer des notifications ; la version de l'application et le modèle d'appareil. Sur Android, des rapports de plantage et de diagnostic pseudonymes (sans identifiant de compte) partent vers notre propre serveur d'erreurs ; vous pouvez les désactiver et les effacer dans l'application, et ils ne sont jamais versés à une enquête.

L'application nous dit aussi, par jour et pour votre compte, combien de temps le Bluetooth a été ouvert et combien de temps l'application a pu mesurer — deux durées, rien d'autre : ni ce qu'elle a détecté, ni où vous étiez. Sans cette mesure, une application qui ne détecte plus rien ressemble exactement à une journée sans personne autour, et nous ne pourrions pas vous prévenir que la détection ne tourne pas chez vous. Elle est conservée six mois, puis détruite.

Nous ne conservons pas votre adresse IP dans votre profil, ni à l'inscription, ni à chaque croisement. Elle est enregistrée dans des cas bornés, à seule fin de sécurité : l'adresse de chaque connexion est rattachée à la session qu'elle ouvre — c'est elle qui alimente la liste de vos « sessions actives » et l'alerte « nouvelle connexion » — et disparaît avec la session ; elle est aussi notée avec un rendez-vous que vous déclarez, avec une re-rencontre enregistrée par la protection de sécurité, et avec la demande de suppression de votre compte (section 7).

2.8 Support

Si vous écrivez à notre support, depuis l'application ou depuis le site : le sujet choisi dans une liste, les identifiants du compte concerné et le courriel ou le numéro où vous répondre — chiffrés dans notre base — et, depuis l'application, la version de l'app et le modèle d'appareil. Le formulaire n'a aucun champ de texte libre.

2.9 Ce que nous ne recueillons pas

Ni votre nom, ni votre date de naissance, ni votre adresse postale, ni le carnet d'adresses de votre téléphone, ni votre historique de navigation, ni votre numéro de carte complet, ni aucune empreinte biométrique de votre visage.

3. Ce que le Bluetooth transporte

La détection des croisements repose uniquement sur le Bluetooth, jamais sur le GPS. Votre appareil diffuse une balise chiffrée de seize octets, renouvelée toutes les quinze minutes, que seul notre serveur peut résoudre.

Aucune donnée de profil, aucune photo, aucun identifiant de compte et aucune coordonnée géographique ne circulent par la radio. Un appareil tiers qui capterait ces balises ne pourrait ni vous identifier, ni établir que deux balises successives proviennent du même téléphone.

Les observations brutes remontées par votre téléphone sont détruites dès qu'elles sont traitées ; seul subsiste le croisement.

4. Pourquoi, et sur quelle base

Nous traitons ces données pour :

• vous fournir le service — vous montrer les personnes que vous avez réellement croisées, gérer likes, matchs et messages, appliquer vos préférences de recherche et votre forfait ;
• assurer la sécurité de nos membres — modération, signalements, âge, partage de position, coopération avec les autorités sur demande légale valide ;
• facturer vos achats ;
• améliorer l'application — diagnostics que vous pouvez désactiver.

La base légale retenue est [le contrat, le consentement, et l'intérêt légitime pour la sécurité — répartition à préciser par un juriste selon la juridiction]. Les données sensibles (section 5) ne reposent que sur votre consentement.

Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires. ProxiBlu n'affiche aucune publicité.

5. Données sensibles et biométrie

La couleur de peau, facultative, peut révéler une origine : elle n'est enregistrée qu'avec votre consentement explicite et distinct, daté ; vous pouvez le retirer à tout moment dans l'application, et la donnée est alors effacée de votre profil et de son historique.

Vos préférences de recherche (genres recherchés) sont facultatives — laissées vides, elles valent « tout le monde » —, ne servent qu'à choisir qui apparaît dans vos croisements, ne sont jamais montrées à personne, et se modifient ou s'effacent à tout moment.

Aucune donnée biométrique n'est traitée. Quand la vérification des photos est active, chaque photo de profil est analysée à l'envoi pour vérifier qu'elle montre bien un visage : c'est une détection (y a-t-il un visage ?), sans aucune empreinte du visage ni comparaison. Le selfie exigé par l'équipe (section 2.3) est comparé à l'œil par une personne. Si une vérification d'identité automatisée (comparaison de visages) était proposée un jour, elle serait facultative, ferait l'objet d'un consentement exprès, des formalités exigées par la loi et d'une mise à jour de cette politique avant son lancement.

6. Décisions automatisées

Certaines décisions de modération s'appuient sur un traitement automatisé, toujours sous le contrôle d'une personne :

• une photo de profil jugée choquante (nudité, violence) par l'analyse automatique est refusée à l'envoi ;
• votre description et votre accroche sont relues par un classifieur de texte : il peut approuver une accroche ou la renvoyer à une personne, et signaler une description à l'équipe — il ne retire jamais rien seul ;
• quand un compte fait l'objet de nombreux signalements, il cesse d'apparaître dans les croisements des autres en attendant la revue d'une personne de l'équipe ;
• [ajout à intégrer au texte de référence] une image jointe à un message, et un texte écrit dans l'onglet Social, sont analysés automatiquement à l'envoi et peuvent être refusés sans intervention humaine (section 9).

Vous pouvez demander à connaître les raisons d'une décision qui vous concerne et présenter vos observations à une personne de l'équipe, par le support ou à l'adresse de la section 1. [Loi 25, art. 12.1 : prévenir la personne au moment de la décision — à construire.]

7. Combien de temps nous les gardons

Les durées propres aux amis, à l'onglet Social et à la sauvegarde figurent à la section 9.

À la suppression de votre compte, dans l'application ou sur le portail web, votre profil — description, accroche, coordonnées, attributs, préférences, photos, selfies, partages de position, historique du profil, sessions et appareils — est réellement effacé, vos matchs sont fermés, et vos identifiants de connexion sont libérés. Un abonnement acheté dans l'App Store ou sur Google Play, lui, se résilie dans le magasin : la suppression du compte ne le résilie pas.

Un minimum d'enquête — votre téléphone et votre courriel (chiffrés), la dernière position connue d'une rencontre, et l'adresse IP de la requête de suppression — est déposé dans un magasin séparé, à accès restreint, conservé six mois puis détruit. Il ne sert qu'à répondre à une demande légale valide des autorités à la suite d'un incident.

8. Messages : chiffrement de bout en bout

Le texte de vos conversations privées — avec un match, avec un ami, ou à plusieurs — est chiffré de bout en bout : nous ne pouvons pas le lire. La clé qui permet de le déchiffrer reste sur votre téléphone ; votre téléphone vous prévient si la clé de votre interlocuteur change.

Si vous activez la sauvegarde, votre clé est d'abord chiffrée sur votre téléphone par un mot de passe que vous seul connaissez, avant de nous être confiée : nous ne pouvons pas l'ouvrir.

[ajout à intégrer au texte de référence] Une image jointe à un message fait exception sur un point : elle est analysée automatiquement une fois, en clair, avant d'être chiffrée, pour écarter la nudité et la violence. Elle n'est pas écrite sur nos serveurs à cette occasion ; seuls le verdict et une empreinte de l'image sont gardés 30 jours. L'image est ensuite chiffrée de bout en bout comme le texte.

[ajout à intégrer au texte de référence] Modifier un message, le supprimer pour tous : pendant un court délai après l'envoi (15 minutes par défaut), l'auteur d'un message peut le modifier ou le supprimer pour tous, avec un match, avec un ami ou dans une conversation à plusieurs. La nouvelle version est chiffrée de bout en bout comme un message et voyage comme lui : nous ne pouvons pas la lire. Nous savons seulement qu'un message a été modifié ou supprimé, et quand. Tant que le message attend encore sur nos serveurs, il y est remplacé par sa nouvelle version, ou vidé — image comprise — s'il est supprimé ; une suppression vide aussi ses versions modifiées. Sur les téléphones qui l'ont reçu, le texte est remplacé, ou effacé avec son image, et la personne voit « modifié », ou que le message a été supprimé ; elle a pu le lire, ou le copier, avant. Le nom qu'un membre donne à une conversation à plusieurs est chiffré de bout en bout de la même façon.

En cas de demande des autorités, nous ne pouvons fournir que les métadonnées — qui a écrit à qui, et quand — jamais le contenu.

9. Amis, onglet Social et sauvegarde

Amis et invitations

Nous enregistrons qui est ami avec qui, comment l'amitié est née (numéro, courriel, match, espace partagé) et ses dates. Une demande restée sans réponse est effacée au bout de 90 jours ; un ami retiré reste récupérable 24 heures.

Quand vous ajoutez ou invitez une personne par son numéro ou son courriel, cette valeur nous est transmise pour vérifier si elle correspond à un compte. Si elle n'est pas inscrite, nous n'en conservons qu'une empreinte : 60 jours pour faire suivre votre demande à son inscription, puis deux ans dans un registre, sans lien avec vous, qui évite de lui proposer une seconde invitation. « Inviter depuis mes contacts » passe par le sélecteur de contacts du système, qui ne nous remet que la personne que vous touchez : l'application ne lit pas le carnet d'adresses de votre téléphone.

Le carnet « Contacts » de l'application est rempli par vous et reste sur votre téléphone. Pour relier un contact à l'un de vos amis, son numéro et son courriel sont comparés par le serveur, qui n'en conserve rien. [Vous y saisissez des renseignements sur des tiers : traitement à faire valider.]

La position que vous montrez à un ami, une fois ou en direct pour une durée que vous fixez, est chiffrée pour lui seul : nous ne pouvons pas la lire. Quand vous montrez un match à vos amis, nous enregistrons votre demande et l'accord, ou le refus, de ce match pour chaque ami. Quand vous présentez à vos amis une personne croisée — seulement si elle l'a permis : ce réglage est désactivé par défaut — ou un autre de vos amis, nous enregistrons de même la demande, et l'accord ou le refus de la personne présentée pour chaque ami ; l'ami à qui elle est présentée voit sa carte et sa description. Vous voyez la réponse d'un ami, jamais celle d'une personne croisée. [Durée de conservation des présentations à fixer : aucune purge pour l'instant.]

Les invitations que vous envoyez par la feuille de partage de votre téléphone (WhatsApp, Messenger…) portent votre lien d'invitation et votre code de parrainage, jamais votre profil ; nous ne savons pas à qui vous les envoyez.

Événements, gangs et groupes privés

Nous enregistrons qui en est membre, qui a invité qui, les réponses aux invitations et les dates. Chaque texte que vous y écrivez — nom, description, message, question d'un sondage — est analysé automatiquement une fois, en clair, à l'envoi, par un classifieur de texte, puis conservé chiffré avec une clé que nos serveurs n'ont pas : nous ne pouvons plus le relire. Un événement privé est effacé une semaine après son début, avec ses messages : pour cela, votre téléphone indique à nos serveurs le jour de cet effacement — ils connaissent donc le jour approximatif de l'événement, jamais son contenu. [Durée de conservation des gangs et des groupes à fixer.]

Une personne sans compte que vous invitez par un lien personnel voit les détails de l'événement et y répond sur une page web ; la clé qui permet de les lire voyage dans le lien lui-même et ne parvient pas à nos serveurs.

« Retrouver la gang » cherche parmi vos croisements, y compris ceux que vos filtres écartent de votre liste : ceux-là sont conservés quelques jours, sans position, à cette seule fin. La recherche ne révèle jamais l'heure d'un croisement.

Événements et groupes publics

Ces espaces ne sont pas chiffrés de bout en bout : leur nom, leur description, leur lieu, leur date et leurs messages sont lisibles par les membres de la région et par notre équipe de modération, et conservés chiffrés au repos seulement. Un événement public est effacé 7 jours après son début ; un brouillon jamais publié, au bout de 48 heures. Le lieu autour duquel vous cherchez part arrondi à une centaine de mètres et n'est pas conservé.

Retrouver une ou des personnes

Une recherche réunit un titre, une description, un point sur la carte avec un rayon de 50 mètres au plus, une date avec une plage d'au plus 3 heures, et la description de la personne cherchée : un genre, une tranche d'âge, une ou deux couleurs de peau et de cheveux, lunettes ou non, une tranche de taille. Elle dure 30 jours et se prolonge de 30 jours sur demande. [Conservation d'une recherche terminée, de son groupe et de sa discussion, et régime de chiffrement de leur texte : à confirmer.] [Une recherche décrit, couleur de peau comprise, une personne qui n'y a pas consenti, et cette description est comparée aux profils : traitement à faire valider.]

Vous pouvez noter les lieux où vous étiez, avec le jour et l'heure : personne d'autre ne les voit, et chacun s'efface après 30 jours. Si une recherche correspond à l'un de ces lieux et à votre profil, elle vous est montrée dans « On te cherche peut-être » — la personne qui cherche ne sait pas que vous y apparaissez. Vous pouvez y répondre par une courte demande ; si la personne qui cherche l'accepte, vous entrez dans le groupe de la recherche, où elle peut vous demander en ami.

Activités spontanées

Une activité réunit un lieu précis, une date et une heure, une durée, une description, le nombre de personnes attendues, la tranche d'âge et les genres recherchés. D'autres la trouvent par mots-clés, dans un rayon de 10 km par défaut et jusqu'à 50 km autour de leur position ou d'un autre point, s'ils répondent à ses critères. Les personnes qui se disent présentes sont visibles de tous ceux qui voient l'activité. Celle-ci est effacée 24 heures après sa fin.

Votre présence se prouve par votre position, pointée au début et à la fin, par un croisement Bluetooth sur place, ou par la confirmation d'un participant dont la présence est prouvée. Chacun a une fiabilité de participant — le rapport entre ses présences et ses engagements, sur un an —, qui ne repose jamais sur la seule absence d'un signal Bluetooth ; une déclaration qui vous concerne peut être contestée. L'organisateur a sa propre fiabilité, que personne ne voit en pourcentage : elle sert seulement à filtrer les activités par « organisateur fiable ». [Régime de chiffrement du texte et de la discussion d'une activité, et durées de conservation des pointages, des présences et de la fiabilité : à confirmer.]

Sondages

La question et les choix suivent la règle de leur espace. Les votes, eux, sont enregistrés en clair par le serveur avec le compte qui a voté, y compris dans un espace public où les autres membres ne voient que des totaux.

Sauvegarde du compte

Facultative. Elle réunit ce qui ne vit que sur votre téléphone — conversations et leurs images, clé de chiffrement, pseudonymes privés, notes, carnet de contacts — et le chiffre sur votre téléphone, avec un mot de passe qui ne nous est jamais transmis, avant de le déposer sur nos serveurs. Nous ne pouvons pas l'ouvrir ; nous en connaissons seulement la taille, la date et le modèle de l'appareil. Il n'en existe qu'une par compte : vous pouvez la supprimer quand vous voulez, et elle disparaît avec votre compte.

10. Avec qui elles sont partagées

Nous ne vendons pas vos données. Nous faisons appel à des prestataires qui les traitent pour notre compte, chacun lié par une entente écrite de protection des données [ententes à signer avant la mise en service] :

Les autres régions ProxiBlu. Si vous croisez une personne inscrite dans une autre région, votre profil public — celui que tout croisement montre — est transmis aux serveurs de sa région ; vos messages y transitent chiffrés, illisibles ; vos coordonnées seulement si vous les partagez avec elle ; et un signalement que vous déposez contre elle y est traité. Votre téléphone, votre courriel, votre position et vos préférences de recherche ne quittent jamais votre région.

Communications à l'extérieur du Québec. Twilio, OpenAI, Google et Apple traitent des données aux États-Unis, Amazon Rekognition en partie aussi ; Mistral AI dans l'Union européenne ; Swift SMS Gateway au Canada, hors Québec ; la Fondation OpenStreetMap au Royaume-Uni et dans l'Union européenne ; Laravel Cloud est une société américaine, qui déclare Cloudflare parmi ses sous-traitants [à confirmer par écrit : lieu des données, et si le trafic de l'application transite par Cloudflare]. Ces communications ont fait l'objet d'une évaluation des facteurs relatifs à la vie privée et sont encadrées par des engagements contractuels [ÉFVP à faire valider par un conseiller juridique]. [ajout à intégrer au texte de référence] La recherche d'adresse passe par komoot, en Allemagne.

Autorités. Nous pouvons communiquer des données aux autorités sur demande légale valide, et nous avons l'obligation de signaler tout contenu d'exploitation sexuelle d'enfants — voir nos normes de sécurité des enfants.

11. Vos droits

Vous pouvez, à tout moment :

• Accéder à vos données et en obtenir une copie dans un format structuré — « Télécharger mes données », dans l'application ou sur le portail web « Mon compte ».
• Rectifier vos informations en modifiant votre profil.
• Retirer un consentement — géolocalisation, couleur de peau, re-rencontre — un par un, sans perdre l'accès au service.
• Supprimer votre compte, dans l'application ou sur le portail web, même après avoir désinstallé l'application — la marche à suivre est sur la page « Supprimer mon compte ».
• Désactiver et effacer les données de diagnostic.
• Ne plus recevoir les avis de lancement d'une campagne de préinscription, par le lien que porte chaque avis. Les messages nécessaires au service — codes, sécurité du compte, facturation — ne sont pas concernés.

Pour toute autre demande, ou une plainte, écrivez à la personne responsable de la protection (section 1). Si notre réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec ou, ailleurs au Canada, au Commissariat à la protection de la vie privée du Canada [autorités des autres régions à ajouter à leur ouverture].

12. Sécurité et incidents

Les échanges avec nos serveurs sont chiffrés en transit (HTTPS). Vos messages sont chiffrés de bout en bout ; vos identifiants de connexion, votre description, votre accroche, vos coordonnées, le téléphone de votre personne de confiance et les selfies exigés sont chiffrés au repos ; les photos ne sont servies que par des liens signés et datés, aux seules personnes qui ont le droit de les voir ; le jeton de connexion est stocké chiffré sur votre appareil. Chaque consultation d'un compte par notre équipe est journalisée.

Aucun système n'est infaillible : nous tenons un registre des incidents de confidentialité et, en cas d'incident présentant un risque de préjudice sérieux, nous avisons la Commission d'accès à l'information et les personnes concernées avec diligence.

13. Âge

L'application est réservée aux personnes de 18 ans et plus (voir la section 2.3). Nous ne collectons pas sciemment de données de personnes mineures ; un compte qui en révèle une est bloqué. Nos normes de sécurité des enfants décrivent ce que nous faisons contre toute exploitation.

14. Modifications

Nous pouvons modifier cette politique ; la version courante est indiquée en tête. À chaque nouvelle version, l'application vous présente le texte et vous demande de l'accepter à nouveau avant de continuer.

Voir aussi nos conditions d'utilisation. Pour toute question, écrivez-nous.