Politique de confidentialité

En bref

• Aucun compte, aucun numéro de téléphone, aucune adresse e-mail.
• Messages, photos, messages vocaux et positions sont chiffrés de bout en bout sur votre téléphone. Nos serveurs ne voient ni leur contenu ni qui parle à qui.
• Toutes les connexions passent par Tor : nos serveurs ne voient pas votre adresse IP.
• Aucune publicité, aucun traceur, aucune statistique d'usage, aucun journal de connexion.

Ce qui reste sur votre téléphone

Conversations, contacts et réglages sont stockés dans une base chiffrée par votre code, avec des clés gardées dans la puce sécurisée du téléphone. Rien n'est sauvegardé dans le cloud. Les messages s'effacent après la durée choisie (7 jours par défaut, 1 heure en mode manifestation).

Ce que voient nos serveurs

• Relais : ils transportent des paquets chiffrés, tous de même taille, mélangés et retardés. Un message attend dans la file du destinataire, illisible, jusqu'à ce qu'il le relève, puis il est effacé. Les relais ne tiennent aucun journal.
• Annuaire des @ : si vous prenez un @, l'annuaire garde ce @ et les clés publiques qui permettent de vous envoyer une demande de contact. Il ne sait rien d'autre de vous. Le @ reste jusqu'à ce que vous le supprimiez (Réglages, « Supprimer mon @ »).
• Abonnement : votre téléphone présente au guichet la preuve d'achat fournie par Apple ou Google, et reçoit des jetons anonymes (signatures aveugles). Le guichet garde seulement une empreinte salée de chaque période déjà servie, pour ne pas la servir deux fois. Il ne peut pas relier un jeton dépensé à l'achat qui l'a fourni.
• Carte : les fonds de carte sont téléchargés par Tor depuis notre serveur, qui voit quelles zones sont demandées mais pas par qui.

Apple et Google

Apple (App Store) ou Google (Google Play) savent que votre compte a installé l'app et, le cas échéant, souscrit l'abonnement, comme pour toute app. Leurs propres politiques s'appliquent à ces données.

Permissions du téléphone

• Caméra : lire le QR d'un contact. Aucune image n'est gardée.
• Micro : enregistrer un message vocal quand vous maintenez le bouton ; sur Android, écouter la phrase d'effacement si vous l'activez, avec une reconnaissance faite sur le téléphone.
• Position : seulement quand vous la partagez avec un contact, floutée à 100 m sauf choix contraire, chiffrée de bout en bout.
• Bluetooth : échanger les messages chiffrés avec les téléphones proches quand il n'y a pas d'Internet.

Signalements

Si vous signalez un message, vous nous l'envoyez par courriel, depuis votre propre messagerie. Nous recevons alors ce message et votre adresse e-mail, que nous gardons le temps de traiter le signalement.

Hébergement

Les serveurs sont hébergés par Contabo GmbH, en Allemagne.

Le site chuchote.org passe par Cloudflare, qui voit l'adresse IP des visiteurs du site, comme tout hébergeur web. L'app, elle, ne passe jamais par Cloudflare : ses connexions passent par Tor. Notre serveur ne tient aucun journal des visites du site.

Vos droits

Responsable du traitement : Victor Aubague. Conformément au RGPD, vous pouvez demander l'accès, la rectification ou l'effacement des rares données vous concernant en écrivant à [email protected]. Vous pouvez aussi saisir la CNIL (cnil.fr).