Politique de confidentialité

1. Qui est responsable de vos données

Le responsable du traitement est [ÉDITEUR À COMPLÉTER], éditeur de l’application Duende, dont les coordonnées figurent dans les mentions légales. Pour toute question relative à vos données, l’adresse de contact est duende-dating+support@gmail.com.

2. Ce que nous collectons

Quand vous rejoignez la liste d’attente sur le site

• Votre adresse de courriel, ainsi que la date de votre inscription. Nous ne conservons ni votre adresse IP, ni le score transmis par reCAPTCHA.

À la création du compte

• Un identifiant de connexion, fourni par Apple ou par Google selon le bouton utilisé, accompagné d’une adresse de courriel. Si vous choisissez « Masquer mon adresse » chez Apple, nous ne recevons qu’une adresse relais et jamais la vôtre. Nous ne recevons ni votre mot de passe, ni le contenu de votre compte Apple ou Google.
• Le prénom affiché que vous choisissez. Un prénom seulement : il n’y a pas de champ pour un nom de famille.

Sur votre profil

• Votre date de naissance. Stockée comme une date, pas comme un âge : c’est ce qui permet de vérifier la règle des 18 ans, appliquée par la base de données elle-même. Seul l’âge calculé est affiché aux autres.
• Votre genre et votre taille, si vous les renseignez. Ces deux champs servent aussi aux filtres de recherche des autres personnes.
• Jusqu’à trois photos, plus la première qui sert d’avatar. Elles sont visibles des personnes connectées, à l’exception de celles que vous avez bloquées ou qui vous ont bloqué. Chaque nouvelle photo est analysée avant publication pour détecter du contenu sexuellement explicite ; son état de modération et les résultats techniques de cette analyse sont conservés avec elle.
• La date à laquelle vous avez validé les consignes de sécurité. Sans elle, l’application refuse de créer une activité ou d’envoyer une demande.

Si vous choisissez de vérifier votre profil

• Un court selfie vidéo et des données biométriques, transmis directement depuis votre appareil à Amazon Rekognition après votre accord explicite. La vidéo ne transite pas par les serveurs de Duende.
• Le résultat de présence et les scores de similarité utilisés pour comparer le selfie à vos photos de profil et détecter un possible compte multiple.
• Une image de référence et une représentation biométrique du visage, conservées uniquement si la vérification aboutit afin de contrôler vos futures photos.

Quand vous proposez une activité

• Un titre, une heure et une durée.
• L’adresse exacte du lieu et son point sur la carte. Enregistrés dans une table distincte du reste de l’activité, dont l’accès est restreint à l’hôte et à la personne acceptée.
• Un point approximatif, calculé par le serveur : le point exact décalé d’une distance et d’une direction dérivées de l’identifiant de l’activité, dans un rayon de 150 mètres. C’est la seule position que reçoivent les autres personnes. Le décalage est déterministe. Recalculé au hasard à chaque lecture, il finirait par révéler le vrai point par moyenne.
• Une note vocale. Elle est obligatoire : une activité sans enregistrement n’est pas publiée.

Quand vous demandez à rejoindre quelqu’un

• Une note vocale, obligatoire elle aussi, et éventuellement un court message écrit.
• L’état de la demande (en attente, acceptée, refusée, annulée) et la date de la décision.

Pendant et autour de la rencontre

• Les messages de la conversation qui s’ouvre après acceptation, et l’indication de la dernière fois où vous l’avez ouverte, pour marquer ce qui est non lu.
• Vos blocages et vos signalements : qui, quand, pour quel motif, et le détail que vous ajoutez éventuellement.

Techniquement

• Un jeton de notification par appareil, avec la plateforme (iOS ou Android). Il permet de vous prévenir d’une demande, d’une acceptation ou d’un message. Il n’existe que si vous avez accepté les notifications.
• Votre position, en transit uniquement. Elle est transmise comme paramètre de la recherche pour trouver les activités proches, et n’est écrite nulle part. La permission demandée est limitée à l’usage de l’application ; l’application ne suit personne en arrière-plan.
• Des données d’usage dans les versions distribuées. Microsoft Clarity reçoit l’identifiant technique du compte, des événements prédéfinis, les écrans consultés, les interactions, le modèle de l’appareil, son système et le pays approximatif. Les textes, images, profils, cartes et adresses sont masqués ; les conversations ne sont jamais enregistrées.

Ce que nous ne collectons pas

• Aucun traceur publicitaire ni identifiant publicitaire.
• Aucun accès à vos contacts, à votre agenda ni à votre pellicule photo complète : seule la photo que vous choisissez est lue.
• Aucun accès permanent à la caméra : elle n’est demandée que si vous lancez volontairement la vérification facultative du profil.
• Aucun historique de rencontres, aucune note, aucun score de réputation.
• Aucune donnée revendue, à personne, jamais.

3. Pourquoi, et sur quelle base légale

• Vous tenir informé du lancement : un courriel de bienvenue puis un courriel lorsque Duende ouvrira à Paris. Base légale : votre consentement, donné lorsque vous rejoignez la liste d’attente et retirable à tout moment en répondant au message reçu ou en nous écrivant.
• Faire fonctionner le service : compte, profil, activités, demandes, messages, notes vocales. Base légale : l’exécution du contrat qui nous lie, c’est-à-dire les conditions d’utilisation.
• Protéger les personnes : dégradation de la position, blocages, signalements, limites de volume, expiration automatique des activités, vérification de la majorité. Base légale : notre intérêt légitime à ce que des inconnus puissent se rencontrer sans danger, et le respect de nos obligations.
• Vous prévenir : notifications push. Base légale : votre consentement, donné par l’autorisation système et retirable à tout moment dans les réglages de votre téléphone.
• Chercher autour de vous : accès à votre position. Base légale : votre consentement, retirable de la même manière. Sans lui, la carte ne peut rien afficher.
• Modérer les photos : détection automatisée du contenu sexuellement explicite avant publication. Base légale : notre intérêt légitime à protéger les personnes et à faire respecter les conditions d’utilisation.
• Vérifier facultativement votre profil : contrôle de présence, comparaison avec vos photos et détection de comptes multiples. Base légale : votre consentement explicite, demandé juste avant d’utiliser la caméra.
• Comprendre et améliorer l’application : mesure des parcours, interactions et erreurs techniques sans envoyer le contenu saisi ou publié. Base légale : notre intérêt légitime à améliorer le service et à détecter ce qui empêche son fonctionnement.

Vos photos, vos notes vocales et votre genre relèvent de catégories de données sensibles au sens du RGPD, dès lors que l’usage du service révèle une orientation. Elles sont traitées sur la base de votre consentement explicite, matérialisé par le fait de les fournir, et sont supprimées avec votre compte. Les données biométriques de la vérification facultative sont traitées sur la base du consentement explicite donné sur l’écran qui précède le selfie.

4. Qui y a accès

Les autres personnes

• Toute personne connectée voit votre prénom, votre âge, vos photos, votre genre et votre taille, ainsi que le titre, l’heure, la zone approximative et la note vocale de vos activités ouvertes.
• La personne que vous acceptez reçoit en plus l’adresse exacte et le point de rendez-vous, et peut vous écrire.
• Une personne bloquée ne voit plus rien : ni votre profil, ni vos activités, dans les deux sens.

Nos prestataires

• Amazon Web Services (AWS) : hébergement de l’API et de PostgreSQL, stockage privé des photos, notes vocales, sauvegardes et références biométriques dans l’Union européenne. AWS conserve aussi la liste d’attente dans DynamoDB et remet ses courriels avec SES. Amazon Rekognition analyse les photos et réalise la vérification facultative du profil.
• Google reCAPTCHA : vérifie qu’une demande d’inscription à la liste d’attente provient vraisemblablement d’une personne. Google reçoit à cette occasion des données techniques liées à la navigation selon ses propres conditions.
• Apple et Google : l’authentification. Ils savent que vous vous connectez à Duende ; ils ne reçoivent rien de son contenu.
• Expo (Expo Push Notifications), puis Apple (APNs) et Google (FCM) : la remise des notifications. Elles transportent un intitulé court, jamais le contenu d’un message.
• Google Maps Platform : l’affichage de la carte sur Android, et la suggestion d’adresses lorsque vous créez une activité. Les requêtes de suggestion passent par notre serveur, qui détient la clé : votre appareil n’interroge pas directement cette API.
• Apple Plans et les services de géocodage du téléphone : affichage de la carte sur iOS et, lorsque la suggestion choisie ne suffit pas, conversion d’une adresse en coordonnées par le service fourni avec iOS ou Android.
• Microsoft Clarity : enregistrements de sessions masqués et mesure de l’usage dans les versions distribuées. Microsoft reçoit les interactions, des informations techniques sur l’appareil, le pays approximatif et l’identifiant du compte, mais jamais la position, une adresse, un message, une note vocale, une photo, un prénom ou un âge.

Certains de ces prestataires sont établis aux États-Unis. Les transferts correspondants s’appuient sur les clauses contractuelles types de la Commission européenne et, le cas échéant, sur la certification de l’entreprise au cadre de protection des données entre l’Union européenne et les États-Unis.

Nous ne communiquons vos données à une autorité que sur réquisition régulière, et dans la limite de ce qui est demandé.

5. Combien de temps

• Adresse de la liste d’attente : jusqu’au lancement de Duende à Paris ou jusqu’au retrait de votre consentement si vous le demandez avant.
• Votre compte, votre profil et vos photos : tant que le compte existe.
• Une activité et sa note vocale : jusqu’à son expiration, qui suit le créneau proposé. Une activité ne survit pas à la rencontre.
• Les demandes et les conversations : tant que l’activité existe.
• Blocages : tant que les deux comptes concernés existent. Un signalement vous concernant peut être conservé après la suppression du compte aussi longtemps que nécessaire à la modération et à la protection des personnes.
• Données de vérification d’identité : les images brutes d’une tentative expirent sous un jour. En cas de réussite, l’image de référence et la représentation du visage sont conservées jusqu’à la suppression du compte ; elles sont supprimées plus tôt si la vérification échoue.
• Données Microsoft Clarity : les enregistrements ordinaires sont conservés 30 jours ; les enregistrements marqués et les données d’interaction agrégées peuvent l’être jusqu’à 13 mois.
• Jetons de notification : tant que l’appareil reste enregistré.
• Sauvegardes techniques : 30 jours au plus, après quoi elles expirent d’elles-mêmes.

La suppression du compte efface immédiatement les données nécessaires au service, y compris les références biométriques. Les signalements vous concernant et les données d’analyse déjà transmises suivent les durées ci-dessus. La procédure et la liste détaillée sont sur la page supprimer mon compte.

6. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, et du droit de retirer votre consentement. Une partie s’exerce directement depuis l’application (modifier votre profil, remplacer une photo, annuler une activité, supprimer votre compte), ce qui est généralement plus rapide que de nous écrire.

Pour le reste, écrivez à duende-dating+support@gmail.com. Nous répondons sous un mois. Nous ne demandons pas de pièce d’identité : écrire depuis l’adresse associée à votre connexion suffit.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

7. Sécurité

L’application mobile ne se connecte jamais directement à la base de données. Toutes les lectures et écritures passent par l’API Duende, qui vérifie l’identité du compte et les droits associés à chaque opération. L’adresse exacte est stockée séparément et l’API ne l’envoie qu’à l’hôte et à la personne acceptée. Ces règles sont couvertes par des tests automatisés rejoués à chaque modification.

Les échanges sont chiffrés en transit, les photos et les notes vocales ne sont accessibles que par des liens signés à durée limitée, et les clés des services tiers ne quittent jamais le serveur.

8. Âge minimum

Duende est interdit aux mineurs. La règle des 18 ans est vérifiée par la base de données à l’enregistrement de la date de naissance, et un compte dont nous apprenons qu’il appartient à un mineur est supprimé sans délai. Signalez-nous un tel compte à duende-dating+support@gmail.com.

9. Modifications

Cette politique peut évoluer avec l’application. La date de dernière mise à jour figure en haut de la page, et un changement significatif vous sera signalé dans l’application avant de prendre effet.