Deux téléphones se croisent. Rien d'autre ne circule.

1. Ton téléphone émet un jeton anonyme

En arrière-plan, ProxiBlu diffuse en Bluetooth une balise de seize octets. Ce n'est ni ton nom, ni ton numéro de compte, ni une position : c'est un bloc chiffré, illisible pour quiconque n'a pas la clé du serveur.

Cette balise change tous les quarts d'heure. Un appareil malveillant qui se posterait dans une rue ne pourrait donc pas te suivre : d'une fenêtre à l'autre, rien ne permet de dire que c'est deux fois le même téléphone. L'application télécharge d'avance une semaine de balises, ce qui lui permet de fonctionner même sans réseau.

2. Il écoute, et note ce qu'il entend

En parallèle, l'appli écoute les balises des autres. Pour qu'une rencontre soit retenue, le signal doit être assez fort : on fait la moyenne de plusieurs mesures sur quelques secondes, ce qui correspond en gros à quelques mètres, dans la même pièce ou sur le même trottoir — pas à travers un mur, pas d'un étage à l'autre.

Ces observations s'accumulent dans une file locale, sur ton téléphone. Elles sont envoyées au serveur par paquets, toutes les quelques minutes, en HTTPS. Si tu es dans le métro sans réseau, elles attendent tranquillement leur tour.

Il suffit qu'un seul des deux téléphones ait vu l'autre pour que le croisement existe. Ça évite les rencontres manquées quand l'un des deux appareils était dans une poche ou en veille profonde.

3. Le serveur reconstitue qui a croisé qui

Seul le serveur peut déchiffrer une balise et retrouver le compte derrière. Il vérifie au passage que la balise est authentique, qu'elle date bien de la bonne fenêtre horaire, et qu'aucun des deux comptes n'a bloqué l'autre. Puis il crée le croisement des deux côtés et vous notifie.

Un délai d'attente empêche de recroiser sans cesse la même personne : si vous vous voyez tous les matins dans le même autobus, l'appli espace ces croisements, et la carte de la personne indique simplement combien de fois vous vous êtes croisés.

Les observations brutes sont détruites dès qu'elles sont traitées. Il ne reste que le croisement lui-même.

4. Tes filtres s'appliquent avant que tu voies quoi que ce soit

Le genre recherché et la tranche d'âge sont appliqués sur le serveur, au moment de créer le croisement. Une personne qui ne correspond pas à tes critères n'est pas « masquée » : elle n'entre pas dans ta liste. Le genre recherché n'est jamais contourné, par aucun forfait ; un forfait payant peut seulement élargir de quelques années la tranche d'âge où l'on apparaît.

Cette visibilité est figée de chaque côté, et peut donc être asymétrique : il est possible que tu voies quelqu'un qui ne te voit pas, parce que ses critères à elle ne t'incluent pas.

Un croisement que les filtres écartent reste connu du serveur quelques jours, sans position. Il ne t'est montré que si tu le demandes toi-même : dans « Retrouver une gang croisée par Bluetooth », qui te propose les personnes avec qui tu as passé une soirée, quels que soient tes critères de rencontre, et dans « En direct », qui montre pour 10 minutes à 1 heure, sans tes filtres, les personnes présentes autour de toi.

5. Le pouce, le match, puis les coordonnées

Récents ou En direct. En haut de l'onglet Croisés, « Récents » affiche la liste habituelle, selon tes filtres de recherche. « En direct » ne montre que les personnes présentes autour de toi en ce moment, détectées par Bluetooth ces dernières minutes, et sans tes filtres de recherche : pour 10, 20 ou 30 minutes ou 1 heure, au choix. À la fin, l'écran revient seul aux Récents. C'est fait pour un bar, une soirée ou un festival : la liste se met à jour toute seule, et une personne partie reste affichée jusqu'à 5 minutes après sa dernière détection. Le pouce, l'étoile et la corbeille y marchent comme d'habitude. Le troisième onglet, « Mes lieux », est expliqué plus bas, et chaque onglet s'ouvre sur une courte explication, « À quoi sert cet onglet ? », que tu peux replier.

Pendant le direct, des réglages qui lui sont propres resserrent la liste si tu le veux, sans toucher à tes filtres de recherche :

• trois puces, « Homme », « Femme » et « Autre » — aucune cochée, c'est tout le monde ;
• un curseur d'âge, à part de celui des Récents ;
• « Jusqu'à N personnes », de 10 jusqu'à la limite de ton forfait, marquée d'un cadenas : 50 avec le compte gratuit, 100 avec un forfait payant. Le serveur garde les plus proches, sans jamais dire qui l'est.

Tes amis ne sont pas des croisements. Tant que vous êtes amis, un ami n'apparaît pas dans tes Récents, et le croiser ne t'envoie aucune notification. En direct, un ami présent s'affiche quand même, marqué « Ami », sans pouce : on ne like pas un ami.

Tu peux aussi tout couper. L'interrupteur « Activer les croisements », dans l'engrenage de l'onglet Croisés et dans les Paramètres, arrête les croisements : coupé, tu ne croises personne et personne ne te croise, même avec le Bluetooth allumé. Un bandeau rouge, « Croisements désactivés », te le rappelle, et les croisements déjà reçus restent. Le réglage vaut pour ce téléphone.

Sans réciprocité, le croisement quitte ta liste de lui-même — au bout de 36 heures environ avec un compte gratuit, de 4 à 10 jours avec un forfait payant. L'appli ne dit jamais à quelqu'un qui l'a liké tant que ce n'est pas réciproque. Une seule exception, assumée : le Super Like des forfaits payants fait remonter ton like dans la liste de la personne, qui peut alors deviner qu'il vient de toi.

Deux pouces font un match. Il ouvre la description complète et la conversation. Mais pas les coordonnées.

6. Autour de mes lieux : les gens qui fréquentent tes secteurs

Un croisement demande d'avoir été au même endroit, au même moment. « Autour de mes lieux » te montre aussi des personnes qui fréquentent les mêmes secteurs que toi, sans croisement. Tu le trouves dans l'onglet Croisés, sous « Mes lieux », le troisième onglet du haut, à côté de « Récents » et « En direct » ; l'engrenage de l'onglet et les Paramètres y mènent aussi.

Ce n'est pas un suivi GPS : tu poses à la main jusqu'à trois lieux que tu fréquentes, comme le travail, le gym ou un café, chacun avec un rayon que tu choisis — entre 1 et 5 km par défaut, des bornes que l'équipe règle. Le forfait gratuit permet deux lieux, les forfaits payants, trois.

Quand deux lieux correspondent-ils ? Quand la distance entre leurs centres est inférieure au plus petit des deux rayons. Un lieu de 1 km et un lieu de 5 km ne correspondent donc que si leurs centres sont à moins de 1 km l'un de l'autre. Chacun garde la main sur la distance : de petits cercles ne te montrent que des gens vraiment proches, et de grands cercles n'imposent personne à quelqu'un qui en a choisi de petits.

Les filtres (l'âge et le genre recherchés), les blocages et les personnes passées ou déjà matchées s'appliquent des deux côtés, et tes amis n'y apparaissent pas. Depuis la fiche d'un profil de la liste, tu peux signaler ou bloquer, comme ailleurs.

Le lieu dynamique, pour un festival. Dans un festival ou un gros événement, des lieux d'au moins 1 km de rayon, qu'on ne déplace qu'une fois par semaine, ne servent à rien. En plus d'eux, tu as donc un lieu dynamique, qui ne compte pas dans les lieux de ton forfait :

• « Mettre à jour mon lieu dynamique » le pose là où tu es, d'après le GPS du téléphone, avec une précision de 20 m au plus — sinon, rien n'est envoyé ; « Choisir sur la carte ou par adresse » le pose au point que tu choisis ;
• son rayon est de 50 m, il dure 24 heures, et tu peux le mettre à jour une fois par jour ;
• il ne correspond qu'aux lieux dynamiques des autres : tu vois, dans la même liste du jour, les personnes dont le lieu dynamique est à moins de 50 m du tien, et elles te voient.

Tu le trouves dans « Modifier mes lieux », sous tes lieux, et par son icône — une cible — dans la rangée d'outils des Récents et à droite de « Lieux posés », en tête de l'onglet « Mes lieux ». Son centre est arrondi à 10 m près ; personne ne le voit, et ses coordonnées sont effacées du serveur dans l'heure qui suit sa fin — tout de suite si tu le retires.

Où en sont tes lieux. En tête de l'onglet, « Lieux posés : 1 sur 2 » dit combien de lieux sont posés sur ceux que ton forfait permet, puis, ligne par ligne, chacun — « Posé », « Pas posé » ou « En pause » — et ton lieu dynamique. Touche « Pas posé » : l'appli t'ouvre ce lieu-là, prêt à poser. Une liste vide vient souvent de là : pour que deux personnes se voient, il faut que chacune ait posé ses lieux.

La fonction est facultative : rien n'est posé d'avance. Désactiver « Autour de mes lieux », en bas de l'écran « Mes lieux », efface tous tes lieux du serveur ; supprimer ton compte les efface aussi.

7. Les messages, que nous ne pouvons pas lire

La conversation est chiffrée de bout en bout. Le message est chiffré sur ton téléphone avec la clé publique de l'autre personne, et ne peut être déchiffré que par son appareil. Ta clé privée reste dans ton téléphone, et ton appli te prévient si la clé de ton interlocuteur change.

Concrètement : nos serveurs stockent un bloc chiffré opaque, qu'ils font suivre. En cas de demande légale des autorités, nous ne pouvons fournir que des métadonnées — qui a écrit à qui, et quand — jamais le texte, parce que nous ne l'avons pas. Il n'y a aucun quota : une fois le match fait, vous vous écrivez sans compter.

Les photos font exception sur un point. Une image jointe à un message est analysée automatiquement une fois, avant d'être chiffrée, pour écarter la nudité et la violence. L'image n'est pas conservée par ce contrôle ; elle voyage ensuite chiffrée, comme le reste.

Le serveur est une file d'attente, pas une archive : un message livré est purgé sous 30 jours. La vraie archive de tes conversations, c'est ton téléphone.

Un seul téléphone à la fois lit tes messages. Si un message t'arrive chiffré pour une autre clé de ton compte — ouvert sur un autre appareil, ou réinstallé —, l'appli le reconnaît et le redemande d'elle-même à la personne qui l'a écrit : son téléphone le chiffre de nouveau pour le tien — après sa confirmation, si ta clé a changé — et il redevient lisible. Cela vaut pour les messages de moins de 7 jours, un délai que l'équipe règle. Nous ne pouvons pas le faire à sa place : nous n'avons aucune clé qui ouvre tes messages.

Une faute de frappe ? Dans les 15 minutes qui suivent l'envoi — un délai que l'équipe règle —, un appui long sur un de tes messages propose « Modifier » et « Supprimer pour tous », avec un match, un ami ou à plusieurs. La correction voyage chiffrée de bout en bout, comme un message : l'autre voit le nouveau texte, marqué « modifié », ou « Ce message a été supprimé. » à sa place. Une image ne se modifie pas : elle se supprime pour tous, puis se renvoie. Et l'autre a pu lire le message avant.

Pour ne pas tout perdre en changeant d'appareil, tu peux activer la sauvegarde du compte : conversations, images et clé de chiffrement sont chiffrées sur ton téléphone avec un mot de passe que toi seul connais, puis déposées sur nos serveurs. Ni nous ni personne d'autre ne pouvons l'ouvrir — et si tu oublies ce mot de passe, elle est perdue pour de bon.

8. Avant de se voir en vrai

Une rencontre en ligne finit par devenir une rencontre tout court. L'application prévoit ce moment :

• Go à la rencontre — depuis la fiche d'un match, tu remplis le lieu, la date et l'heure, et un commentaire si tu veux. Si tu as accepté la géolocalisation, ton téléphone envoie ta position précise au serveur tout de suite, puis 1 h, 30 min, 10 min et 5 min avant, à l'heure de la rencontre, et toutes les 15 minutes pendant 6 heures ; « Terminer le suivi » l'arrête à tout moment. Tu peux prévenir un ou plusieurs amis de l'application : ils reçoivent un message avec le lieu et l'heure, puis voient la rencontre et ta position, aux mêmes moments, sur ta fiche, jusqu'à 24 heures après la fin du suivi. La personne que tu rencontres n'en sait rien. Sans ton consentement à la géolocalisation (« Plus tard »), la rencontre est déclarée sans position.
• Partage de position de sécurité — indépendamment de « Go à la rencontre », tu envoies à un proche un lien valable de 1 à 12 heures qui suit ta position en direct. Le lien montre une position et des heures, jamais ton identité ni celle de l'autre personne, et s'éteint tout seul à l'échéance.
• Bloquer — immédiat, silencieux, valable des deux côtés, et il périme les balises des deux comptes pour que vous ne puissiez plus jamais vous croiser.
• Signaler — depuis un match ou depuis un simple croisement. Chaque signalement est lu par une personne de l'équipe, et un compte qui en accumule est retiré automatiquement des croisements des autres en attendant la revue.

9. Et à plusieurs

Les croisements ne servent pas qu'à la rencontre amoureuse. L'onglet Social s'en sert pour reformer le groupe d'une soirée, organiser des événements et tenir des groupes, et l'onglet Relations réunit tes matchs et tes amis. Les règles de confidentialité n'y sont pas tout à fait les mêmes que dans une conversation privée : la page Social explique qui peut lire quoi.

Présenter une personne croisée à tes amis. Depuis la fiche d'un croisement, « Présenter à mes amis » propose cette personne aux amis que tu choisis — si elle l'a permis : le réglage « Permettre qu'on me présente à des amis », dans l'engrenage de l'onglet Croisés, est désactivé par défaut. Elle reçoit une demande pour chaque ami et décide ; accepter vaut un like envers cet ami, qui la voit alors dans « Croisements partagés avec toi », dans l'onglet Relations, et peut la liker à son tour : deux likes font un match « présenté par un ami ». Toi, tu vois seulement « Demande envoyée » : tu n'apprends jamais sa réponse. C'est le même principe que pour montrer un match à tes amis.

Présenter un ami à tes autres amis. Depuis la fiche d'un ami, « Présenter à mes amis » marche de la même façon, sans réglage à allumer : ton ami accepte ou refuse chaque présentation — et cette fois, tu sais ce qu'il a répondu. L'ami à qui tu le présentes le voit dans « Amis partagés avec toi », dans l'onglet Relations ; deux likes, et c'est un match « présenté par un ami ».

10. Et la batterie ?

L'écoute Bluetooth est conçue pour être économe : par défaut, la radio n'écoute qu'environ un quart du temps. Quatre réglages te permettent d'arbitrer toi-même entre réactivité et autonomie — du mode économique, qui se réveille dès qu'un autre téléphone ProxiBlu est repéré, à l'écoute en continu.

Pendant « En direct », c'est l'inverse : sur Android, la radio passe au maximum, en écoute comme en émission, pour que les personnes qui arrivent apparaissent vite. La batterie baisse plus vite le temps du direct, puis tout revient seul.

Une notification permanente t'indique que la détection tourne — c'est une obligation du système Android, et c'est aussi honnête : tu sais toujours quand l'appli travaille. Si la détection s'interrompt, un bandeau te prévient et t'explique quoi faire, avec une marche à suivre adaptée à ta marque de téléphone.

11. Ce que l'appli ne fait pas

• Elle ne dit à personne où tu es, sauf si tu le choisis. Si tu as accepté la géolocalisation, la zone approximative d'un croisement — une centaine de mètres — est enregistrée pour ta sécurité. Elle n'est montrée à personne, pas plus que l'heure. Ta position n'est montrée que si tu le décides : quand tu la partages avec un proche ou un ami, ou quand tu déclares une rencontre avec « Go à la rencontre ». Dans ce dernier cas, tes positions précises sont gardées en clair sur le serveur, consultables par l'équipe, et visibles des amis que tu préviens (voir plus haut).
• Elle ne pose aucun lieu à ta place. « Autour de mes lieux » est facultatif et n'est pas un suivi GPS : c'est toi qui poses tes lieux, à la main, et ton lieu dynamique, d'un geste, quand tu le décides. Le serveur arrondit leur centre, et personne ne les voit, ni à quelle distance : chacun sait seulement lequel de ses propres lieux correspond.
• Elle ne dit pas si l'autre t'a vu. Le fait qu'un croisement ait été constaté d'un seul côté ou des deux reste interne : te le montrer reviendrait à te dire « cette personne ne t'a jamais remarqué ».
• Elle ne vérifie pas l'identité ni les antécédents des gens. Un croisement prouve une proximité physique, pas une bonne intention. Reste prudent.
• Elle ne vend rien. Aucune donnée n'est cédée à des courtiers ni à des régies pour du ciblage.