Politique de confidentialité

0. En bref

Le texte de vos messages est chiffré sur votre appareil et ne peut être lu que par les personnes à qui vous l'envoyez. Nous ne pouvons pas le lire, et Google, dont nous louons les serveurs, non plus.

Ce que nous pouvons voir, c'est qu'une conversation a eu lieu : quels comptes y participent, et quand ils ont été actifs. Supprimer cela est plus difficile que chiffrer les contenus, et nous n'avons pas terminé. Cette politique dit exactement où passe la limite aujourd'hui.

1. Ce qui est chiffré de bout en bout

Chiffré sur votre appareil, illisible pour nous comme pour Google :

• Le texte de vos messages.
• Le contenu des fichiers, photos, audios et vidéos que vous joignez.
• Les aperçus de liens.
• Les appels audio et vidéo, qui utilisent le DTLS-SRTP obligatoire de WebRTC entre les deux appareils.

La plupart des messages individuels et de groupe utilisent en plus un cliquet : chaque message a sa propre clé, si bien qu'un appareil compromis n'expose pas les messages précédents. Les conversations où le client de quelqu'un n'a pas publié le matériel de clé plus récent retombent sur une seule clé de longue durée, qui n'a pas cette propriété. La mention sous un message vous dit lequel il a réellement emprunté.

Une seule chose franchit cette ligne, et uniquement lorsque vous le demandez : chercher un nom sur Wikipédia envoie ce nom, pas le message dont il vient. La section 6 dit qui le reçoit, et la requête a lieu au moment où vous touchez et pas autrement, il n’y a donc rien à désactiver. Résumer, traduire et transcrire la franchiraient aussi : ces fonctions sont désactivées dans cette version, et aucune commande de l’application ne les active.

2. Ce qui n'est pas chiffré, et ce que nous voyons

Le chiffrement protège les contenus, pas le fait qu'une conversation existe. Ceci figure en clair sur nos serveurs :

• Qui participe à chaque conversation, quand elle a été créée et quand elle a été active pour la dernière fois.
• L'horodatage de chaque message et le nombre de messages non lus.
• Le nom, le type et la taille d'une pièce jointe. Les octets sont chiffrés ; leur description ne l'est pas, et la longueur du chiffré borne celle de l'original.
• Vos amis et vos demandes d'ami.
• La signalisation des appels — qu'un appel a eu lieu, avec qui et quand. Ni son audio ni sa vidéo.

Les indicateurs de saisie et les accusés de lecture sont désactivés tant que vous ne les activez pas, et tant qu'ils le sont, rien n'est écrit.

Ce qui n’y est plus : votre adresse e-mail et votre nom. Depuis septembre 2026, la fiche de compte ne contient qu’un identifiant de compte — et depuis, il n’y a plus d’adresse nulle part. L’inscription ne demande rien sur vous : votre compte est une phrase de récupération de 24 mots, et l’identifiant que vérifie Firebase Authentication en est dérivé. Ce qui y est conservé est une étiquette aléatoire sous un domaine incapable de recevoir du courrier.

Par ailleurs : comme l'application tourne sur Google Firebase, Google peut voir l'adresse IP et l'heure de chaque connexion que votre appareil y établit. C'est une propriété de l'hébergement, pas de l'application, et nous ne pouvons pas la faire disparaître par du chiffrement.

3. Comment on vous trouve

On ne peut pas vous rechercher. Il n'existe pas d'annuaire — pas de recherche par e-mail, téléphone ou nom — et le serveur refuse toute requête qui essaie.

Vous joignez quelqu'un en lui envoyant un lien d'invitation en dehors de l'application, par le moyen que vous utilisez déjà. Un lien fonctionne une fois, expire au bout de 24 heures et peut être retiré. Le nom que vous donnez à quelqu'un est votre propre étiquette, conservée pour vous ; s'il s'est présenté, ce nom vous est parvenu chiffré.

4. Ce que nous collectons

• Données de compte : un identifiant de compte et un secret dérivé de votre phrase de récupération, conservés dans Firebase Authentication. Pas d’adresse e-mail, pas de numéro de téléphone, pas de nom — l’inscription n’en demande aucun.
• Le chiffré des messages et des pièces jointes, plus les métadonnées de la section 2.

C’est toute la liste. Il n’y a ni analytique ni rapports de plantage. L’application envoyait les vues d’écran à Firebase Analytics et les plantages à Firebase Crashlytics, les deux portant votre identifiant de compte, donc aucun n’était anonyme ; les deux ont disparu, avec les bibliothèques qui les envoyaient. Les erreurs s’affichent sur la machine du développeur pendant le développement et ne vont nulle part ailleurs.

5. Où c'est stocké

Sur Google Firebase — Firestore, Storage et Authentication — sous des règles de sécurité qui décident qui peut lire et écrire chaque document.

Sur votre appareil, les messages en cache, les réglages et votre code de verrouillage sont chiffrés avec une clé propre à l'appareil, conservée dans le trousseau de la plateforme (Keychain sur iOS, Keystore sur Android) plutôt que dans le stockage ordinaire de l'application.

La clé privée qui déchiffre vos messages ne quitte jamais votre appareil, sauf sous la forme de la phrase de récupération que vous choisissez de noter. Nous ne la détenons pas et ne pouvons pas la récupérer pour vous. Si vous la perdez, les messages envoyés à cet appareil ne seront plus jamais lisibles — par personne, nous compris.

Les versions 1.2.0 et antérieures enregistraient aussi une copie de la phrase dans Google Block Store, la sauvegarde propre à Android, à chaque connexion. Si votre téléphone avait un verrouillage d'écran, cette copie était synchronisée avec votre compte Google, chiffrée de bout en bout. Depuis la version 1.2.1, l'app ne le fait plus et supprime cette copie à chaque démarrage.

6. Qui d'autre reçoit des données

Nous ne vendons, n'échangeons ni ne louons vos informations personnelles. Des données parviennent à :

• Google Firebase — notre hébergeur, comme décrit ci-dessus.
• Cloudflare Realtime — l'audio et la vidéo d'un appel, lorsque votre appareil et celui de l'autre personne ne peuvent pas se joindre directement.
• La Fondation Wikimedia — un seul nom, lorsque vous le touchez pour le chercher sur Wikipédia.
• Google Cloud Speech-to-Text — l’audio d’un message vocal, lorsque vous demandez une transcription.
• Google Cloud Translation — le texte d’un message, lorsque vous demandez une traduction.
• Cloudflare Workers AI — jusqu’aux 50 derniers messages d’une conversation, lorsque vous demandez un résumé ou posez une question à son sujet.

Les trois derniers sont désactivés dans cette version. Aucune commande de l’application n’active la transcription, la traduction ou les résumés, donc rien ne parvient à ces trois services. Ils sont listés plutôt que supprimés parce que le code est toujours là et que ces fonctions sont censées revenir — et quand elles reviendront, elles reviendront avec cette déclaration et avec une demande avant la première utilisation. Ce qui serait alors envoyé l’est pour produire votre résultat, pas pour entraîner quoi que ce soit ; ni une transcription ni une traduction ne sont conservées sur nos serveurs.

Cette recherche n’a pas d’interrupteur, parce qu’il n’y a rien de permanent à éteindre : elle s’exécute au moment du geste et pas autrement. Wikipédia reçoit ce nom et votre adresse IP, exactement comme si vous l’aviez tapé dans sa barre de recherche — aucun compte, aucun message, aucune conversation. Ce qui revient est affiché et non conservé, et rien n’en est écrit dans la conversation.

Cloudflare Realtime n'a pas d'interrupteur non plus. La plupart des appels n'en ont pas besoin : deux appareils qui peuvent se joindre directement — la plupart des appels sur le même réseau — se connectent sans lui, et rien n'est relayé. Lorsque ce n'est pas possible, souvent parce que vous êtes sur des réseaux mobiles différents, l'appel déjà chiffré est relayé plutôt que de rester sans connexion. Ce que Cloudflare voit, ce sont les deux adresses IP, l'heure de l'appel et approximativement la quantité de données échangées ; l'audio et la vidéo restent sous le même chiffrement DTLS-SRTP décrit à la section 2, donc le relais ne les déchiffre pas.

Nous pouvons divulguer ce que nous détenons si la loi l'exige. Ce que nous détenons, c'est la liste de la section 2. Nous ne pouvons pas produire le contenu des messages, puisque nous ne pouvons pas le lire.

7. Notifications push

Firebase Cloud Messaging délivre les notifications. Le jeton de votre appareil est stocké dans une partie privée de votre compte, que vous seul pouvez lire.

Les notifications ne contiennent aucun texte de message. Votre appareil déchiffre le message localement et compose ce que vous voyez ; Google livre l'enveloppe, pas le contenu.

8. Ce que vous pouvez faire

• Supprimer votre compte depuis l'écran Profil. Le contenu qui appartient conjointement à une conversation — un enregistrement d'appel, par exemple — reste chez l'autre participant, car c'est aussi son historique.
• Exporter vos données depuis l'écran Profil.
• Faire expirer les messages par conversation : 1 heure, 24 heures, 7 jours ou 30 jours.
• Activer ou désactiver les indicateurs de saisie et les accusés de lecture. Les deux sont désactivés par défaut.
• Verrouiller l'application par code ou biométrie.
• Retirer un lien d'invitation que vous avez distribué.

Si vous préférez que nous supprimions quelque chose à la main, écrivez-nous.

9. Conservation

Nous conservons vos données tant que votre compte existe. Le supprimer les supprime, à l'exception du contenu détenu conjointement mentionné plus haut. L'expiration par conversation supprime les messages selon le délai que vous fixez.

10. Limites à connaître

Nous préférons vous les dire plutôt que vous les laisser découvrir.

• Les clés sont approuvées à la première rencontre. Si quelqu'un avait substitué une clé avant que vous n'échangiez le moindre message, la conversation serait chiffrée vers la mauvaise personne et paraîtrait tout à fait normale. L'application vous prévient lorsqu'une clé change ensuite, et affiche un numéro de sécurité que vous pouvez comparer hors ligne — mais rien ne vous oblige à le comparer.
• Un appareil à la fois. Votre phrase de récupération restaure la clé qui ouvre votre historique : se connecter sur un nouvel appareil ne perd donc rien de ce que vous avez déjà reçu. Les conversations à confidentialité persistante utilisent une seconde clé qui ne quitte jamais l'appareil qui l'a créée : c'est le dernier appareil connecté qu'elles atteignent, et ce qui a été scellé pour l'autre entre-temps ne peut pas être transféré.
• Les messages envoyés avant l'existence du chiffrement restent tels quels. Rien n'a été converti rétroactivement.
• Cette application n'a jamais fait l'objet d'un audit de sécurité indépendant.

11. Enfants

Chatterbox n'est pas destinée aux enfants de moins de 13 ans, et nous ne collectons pas sciemment leurs informations. Si vous pensez qu'un enfant nous a fourni des données personnelles, contactez-nous et nous les supprimerons.

12. Modifications

Nous pouvons mettre à jour cette politique. Les changements importants seront annoncés dans l'application, et la date en haut est celle de la dernière modification.

13. Contact

Questions sur cette politique : [email protected]

14. Rechercher une version plus récente de l'application

Google Play n'est pas le moyen par lequel cette application arrive sur votre téléphone Android. Elle est téléchargée depuis chatterbox.fans à la place, et un magasin qui n'est pas dans la boucle ne peut pas rechercher les mises à jour en votre nom — donc cette application le peut, si vous le lui demandez.

Toucher « Rechercher maintenant » envoie une seule requête à chatterbox.fans pour demander quelle est la version actuelle. Cette requête transporte votre adresse IP et rien d'autre — pas de compte, pas d'identifiant d'appareil, pas de message. Ce qui revient est un numéro de version, comparé sur votre téléphone à la version que vous utilisez ; rien n'est téléchargé automatiquement, et rien de cette vérification n'est écrit dans la conversation.

Cela n'a pas d'interrupteur car il n'y a rien à désactiver : cela ne s'exécute qu'au toucher, et pas autrement.

Si vous installez la mise à jour, elle remplace l'application sur place avec la même clé de signature, de la même façon qu'une mise à jour depuis Google Play le ferait.