Confidentialité

Sans compte, rien ne sort de ton téléphone

Tant que tu n’as pas créé de compte, STOPR fonctionne entièrement sur ton appareil. Le questionnaire, ta série et tes rechutes n’en sortent pas et disparaissent si tu désinstalles l’application. Ton journal et tes raisons ne sont pas enregistrés sur l’appareil : ils s’effacent quand l’application se ferme complètement.

Créer un compte est un choix, jamais une obligation : l’application entière fonctionne sans.

Avec un compte, ce qui est envoyé

Si tu crées un compte, ces données sont enregistrées sur nos serveurs pour que tu les retrouves après un changement de téléphone : ton adresse e-mail, ton mot de passe si tu en choisis un, la langue de l’application, tes accords et leur date, ta série et tes rechutes, tes pointages quotidiens, ton journal, tes raisons, et le résultat de ton questionnaire d’entrée — un seul nombre, qui sert à te situer par rapport à la moyenne des autres. Si tu publies dans le fil, sur ton accord : ton pseudonyme ; tes publications (texte, étiquette, date, et palier de ta série au moment de publier : 0, 7, 30, 60, 90, 180 ou 365 jours) ; les cœurs que tu donnes ; les membres que tu bloques ; les signalements que tu fais, avec leur motif. Ton compte, ton adresse, les e-mails de confirmation et la vérification de ton abonnement reposent sur l’exécution du contrat que tu acceptes en créant le compte ; tout ce qui touche à ta santé et à ta vie intime repose sur ton accord, demandé à part.

Elles sont hébergées dans l’Union européenne (Irlande), transmises en HTTPS et chiffrées au repos. L’accès est cloisonné par compte au niveau de la base : aucun autre membre ne peut lire tes données, jamais.

Une précision qui compte, et que la loi nous demande de te donner : si tes données sont stockées en Irlande, l’entreprise qui les traite pour nous, Supabase Pte. Ltd., est établie à Singapour. C’est donc un transfert hors de l’Union européenne. Il est encadré par les clauses contractuelles types adoptées par la Commission européenne (décision (UE) 2021/914), qui sont la garantie prévue par le RGPD pour ce cas. Écris-nous et nous t’en envoyons une copie.

Soyons précis sur ce que ça ne veut pas dire : ce n’est pas du chiffrement de bout en bout. Techniquement, l’éditeur peut accéder à la base. Nous ne lisons pas ton journal, mais nous préférons te le dire plutôt que de te laisser croire l’inverse.

Ton accord, et comment le retirer

Ton journal, tes raisons, ta série et tes rechutes portent sur ta santé et ta vie intime. La loi les range dans une catégorie à part (article 9 du RGPD) dont la liste des justifications est fermée : « c’est nécessaire au service » n’en fait pas partie. Nous ne pouvons donc les enregistrer que si tu nous le dis explicitement.

C’est pour ça que nous te le demandons sur un écran à part, après la connexion, et séparément pour ta progression et pour ton journal. Rien n’est coché d’avance. Lunar a sa propre question, posée dans la conversation, et rien de ce que tu lui écris ne part vers un modèle avant que tu l’aies acceptée. Si tu l’acceptes, ton message part vers nos serveurs, relié à ton compte pour vérifier ton accord et limiter le nombre d’échanges. Nos serveurs le transmettent, sans rien qui dise qui tu es, à un modèle hébergé en France par Scaleway, avec nos consignes, qui décrivent le cadre de STOPR, et quelques extraits de nos leçons ; c’est ce modèle qui rédige la réponse. Nous ne gardons pas tes conversations avec Lunar. Scaleway ne les garde pas non plus, sauf une exception prévue par sa politique : quand une requête provoque une erreur ou paraît malveillante, il peut en conserver le contenu jusqu’à deux semaines pour en chercher la cause. Nous gardons seulement un compteur d’échanges, une ligne par jour d’utilisation, rattachée à ton compte et effacée au bout de sept jours. Retirer ton accord ne l’efface pas plus tôt : sinon, retirer puis redonner l’accord remettrait le compteur à zéro, et la limite ne limiterait plus rien. Si tu refuses, ou sans compte, Lunar répond avec des textes écrits à l’avance, et tes messages ne quittent pas ton téléphone.

Refuser ne te coûte rien d’autre que la sauvegarde : tout continue de fonctionner sur ton téléphone, exactement comme sans compte. C’est ce que la loi appelle un consentement libre, et nous préférons que ce soit vrai plutôt que seulement écrit.

Tu peux revenir sur ta décision à tout moment, dans Réglages puis Mes accords ; l’accord de Lunar se retire aussi d’un seul geste depuis la conversation, là où tu l’as donné. Retirer un accord efface du serveur ce qu’il couvrait, sauf le compteur d’échanges de Lunar, pour la raison dite plus haut ; ce qui est sur ton téléphone y reste.

Nous conservons la date de ta décision et la version du texte qui t’a été présentée, parce que la loi nous demande de pouvoir démontrer que nous te l’avons demandé. Rien d’autre, et pas plus longtemps que ton compte : supprimer ton compte efface aussi cette trace.

Après ta mort

La loi française te permet de définir des directives sur ce que deviennent tes données après ton décès (loi du 6 janvier 1978, article 85). Tu peux nous les adresser à tout moment, et désigner qui pourra les faire appliquer.

Ce n’est pas une clause de forme ici. Sans directives, tes proches pourraient, en qualité d’héritiers, obtenir l’accès à un journal que tu n’as jamais écrit pour eux. Si tu veux que tes pages soient effacées à ta mort plutôt que transmises, écris-le nous : nous l’enregistrerons.

Des directives générales peuvent aussi être confiées à un tiers de confiance, par exemple un notaire.

Supprimer ton compte

Réglages → Compte → Supprimer mon compte efface ton compte et tout ce qui y est rattaché : journal, raisons, progression, publications, signalements, et la trace de tes accords. C’est immédiat et définitif : rien ne peut être restauré.

Ton abonnement n’est pas concerné : il est encaissé par Apple ou Google, jamais par nous, et se résilie chez eux. Les reçus d’achat passent par RevenueCat, Inc., notre sous-traitant pour l’abonnement, qui ne reçoit que l’identifiant de ton compte et les reçus du magasin, jamais ton journal ni ta progression. Il est établi aux États-Unis ; ce transfert est encadré par les clauses contractuelles types de la Commission européenne, que nous t’envoyons sur demande. Écris-nous pour que ces données soient effacées chez lui aussi.

Combien de temps

Aussi longtemps que ton compte existe, et pas un jour de plus : nous ne fixons pas d’autre durée que celles écrites ici, tout ce qui est rattaché au compte disparaît avec lui, et un compte inactif n’est pas supprimé d’office. Sans compte, rien n’est conservé chez nous. Ce qui est sur ton téléphone y reste jusqu’à ce que tu désinstalles l’application, sauf le journal et les raisons non sauvegardés, effacés à la fermeture. Quelques exceptions, et nous préférons les écrire : le prestataire qui achemine nos e-mails garde une trace technique de chaque message envoyé — la date, ton adresse et l’objet — et cette trace survit à la suppression de ton compte. Il n’en publie pas la durée de conservation ; nous la lui demandons, et ce texte sera corrigé dès que nous l’aurons. Le compteur d’échanges de Lunar est effacé au bout de sept jours, et Scaleway peut garder jusqu’à deux semaines une requête à Lunar en erreur, comme dit plus haut. Les e-mails que tu nous écris sont gardés le temps de traiter ta demande et de pouvoir justifier notre réponse, puis supprimés.

Ce que STOPR ne fait pas

Aucune publicité et aucun profilage publicitaire.

Aucune revente ni partage de tes données à un tiers.

Aucun suivi entre applications.

Aucun contenu explicite dans les notifications.

Caméra

Le Mode Urgence affiche un aperçu de la caméra frontale. L’image reste à l’écran : rien n’est capturé, rien n’est enregistré, rien n’est envoyé. Refuser la permission ne bloque rien.

Photos

STOPR ne demande aucun accès à tes photos. Le fil de la communauté est uniquement textuel : on n’y joint pas d’image, et l’application ne touche jamais à ta pellicule.

Le bloqueur, et ton DNS

Sur iPhone, le bloqueur passe par Temps d’écran : les réglages restent sur l’appareil, et rien de ce que tu désignes ne nous est transmis - pas même le nombre d’applications choisies.

Sur Android, le filtre passe par le DNS privé du système, que tu règles toi-même. Il faut le dire clairement : tant qu’il est actif, TOUTES les requêtes DNS de ton téléphone - pas seulement celles de STOPR - passent par le résolveur que tu as saisi, family.cloudflare-dns.com, opéré par Cloudflare. C’est ce qui permet au filtre de couvrir toutes les applications, et c’est aussi ce que ça coûte. Cloudflare publie sa propre politique pour ce service. Tu peux retirer ce réglage quand tu veux, au même endroit.

Communauté

Pseudonymes uniquement, aucune photo de profil, aucun classement dans le fil. Ce que tu publies y est visible par les autres membres : n’y écris rien qui puisse t’identifier. Quand une publication est signalée, nous en sommes prévenus par un e-mail qui ne contient ni son texte ni rien sur son auteur, et nous l’examinons sur une page protégée. Signalée par trois membres différents, elle est masquée pour tous en attendant cet examen, et son auteur en est prévenu par e-mail.

Santé

STOPR est une application d’auto-accompagnement. Ce n’est pas un dispositif médical, elle ne pose aucun diagnostic et ne remplace aucun professionnel de santé.

Tes droits

Le responsable de traitement est l’éditeur nommé ci-dessous. Écris à son adresse de contact pour exercer tes droits d’accès, de rectification, d’effacement, de portabilité et d’opposition : la réponse est due dans le mois, et elle est gratuite. Ce que nous enregistrons de ta santé et de ta vie intime ne repose que sur ton accord, demandé séparément et retirable à tout moment ; supprimer ton compte efface le reste. Nos sous-traitants au sens du RGPD sont Supabase, qui héberge la base en Irlande, RevenueCat, qui traite les reçus d’abonnement, et Scaleway, société française, qui achemine les e-mails que nous envoyons - la confirmation de ton adresse, la réinitialisation de ton mot de passe, les avis sur la modération de tes publications, et nos alertes de signalement, qui ne contiennent aucune donnée sur toi - et qui héberge en France le modèle qui rédige les réponses de Lunar, si tu l’as accepté. Pour ces e-mails, Scaleway reçoit l’adresse du destinataire, l’objet et le contenu des messages, rien d’autre ; ses serveurs sont en France et, selon lui, aucune donnée personnelle ne quitte l’Union européenne. Pour Lunar, il reçoit ton message, nos consignes et des extraits de nos leçons, et rien qui t’identifie. Si tu nous écris, à notre adresse de contact ou en répondant à l’un de nos e-mails, ton message passe par OVH, qui gère cette adresse, puis arrive dans une messagerie Gmail, hébergée par Google, qui peut la traiter hors de l’Union européenne. Si tu entres par « Continuer avec Apple » ou « Continuer avec Google », le fournisseur que tu choisis nous transmet ton adresse e-mail pour créer ou retrouver ton compte. Google y joint ton nom et ta photo de profil : nous les effaçons dès leur arrivée, et ils ne sont pas enregistrés avec ton compte. Le fournisseur agit comme fournisseur d’identité, et ce qu’il fait de son côté relève de sa propre politique. Personne d’autre.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (cnil.fr) ou à l’autorité de protection des données de ton pays.

Benoît Arizzi EI

Adresse professionnelle : 4 chemin des Combes, 63500 Issoire, France

Immatriculation : 934 035 569

Directeur de la publication : Benoît Arizzi

Téléphone : +33 4 73 55 19 54

Contact : contact@stoprapp.com

Cookies et mesure d’audience sur le site

Ce qui précède décrit l’application. Le site stoprapp.com, lui, fait appel à un sous-traitant de plus, et seulement si tu l’acceptes : Google Ireland Limited, pour Google Analytics 4, qui mesure l’audience du site (pages consultées, boutons utilisés, profondeur de lecture, type d’appareil, pays approximatif). Les cookies correspondants (_ga, _ga_*) ne sont déposés qu’après ton accord, donné dans le bandeau affiché à la première visite. Rien n’est chargé avant, rien n’est chargé si tu refuses, et le site fonctionne intégralement sans.

Ton choix est conservé six mois dans le stockage local de ton navigateur (clé stopr-consentement) et tu peux le modifier à tout moment via « Gérer les cookies », en bas de chaque page. Les cookies de mesure ont une durée de vie maximale de treize mois. Google peut transférer ces données hors de l’Union européenne dans le cadre de clauses contractuelles types ; l’adresse IP est tronquée par Google avant tout stockage. Aucune donnée n’est utilisée à des fins publicitaires ni revendue.

Le signal Global Privacy Control envoyé par certains navigateurs est respecté : il vaut refus, sans bandeau.