Politique de confidentialité

Compte utilisateur : adresse e-mail, prénom et nom, mot de passe haché (bcrypt, non lisible par Trasimène), date d'inscription, identifiant unique.

Utilisation du service : journaux d'accès (IP, user-agent, horodatage, 30 jours), événements de scan pseudonymisés (identifiant appareil pseudonymisé, résultats agrégés), notifications push (token Firebase, révocable). Pour la protection en temps réel, nos serveurs vérifient aussi : le domaine des liens repérés dans vos notifications et vos SMS, ainsi que, pour chaque notification retenue, l'application qui l'a émise, son heure et les mots d'une liste d'arnaques connues qu'elle contient (jamais le texte du message ; résultat conservé au plus 30 jours avec les résultats de scan), le code opérateur de vos cartes SIM (jamais votre numéro) afin de détecter un changement de carte, et le nom de paquet des applications inconnues auprès de la fiche publique du Play Store (sans lien avec votre identité).

Scanner d'adresses (QR code ou adresse saisie) : chaque adresse que vous vérifiez est envoyée à nos serveurs, qui la comparent à leur liste de menaces et à Google Safe Browsing. Sur iPhone, pour les contrôles « Scanner QR code sécurisé » et « Sites imitant des marques connues », nos serveurs conservent pendant 30 jours, rattachés à votre appareil, la date et le résultat de chaque vérification, avec une empreinte du nom du site calculée à l'aide d'une clé secrète : sans cette clé, l'empreinte ne permet pas de retrouver le site. Il s'agit d'une pseudonymisation : Trasimène détient cette clé, et ces empreintes restent des données personnelles. Lorsqu'une adresse est jugée dangereuse, l'adresse complète est conservée en clair pendant la même durée, pour vous être affichée dans le résultat du contrôle. Une adresse pouvant contenir une information personnelle (par exemple un identifiant placé dans un lien reçu), seules les adresses jugées dangereuses sont conservées ainsi. Ces données sont effacées au bout de 30 jours, et à la suppression de votre compte. Base légale : exécution du contrat.

Applications installées (Android) : pour rendre le verdict des contrôles qui portent sur vos applications, l'application envoie à nos serveurs, à chaque analyse et pour chaque application concernée, son nom de paquet et son nom affiché, l'application qui l'a installée, l'empreinte de son certificat de signature et sa date de première installation. À partir de la version 1.2.1, elle envoie aussi, pour chaque application concernée : des caractéristiques techniques (version de l'application, version d'Android visée, catégorie déclarée, par exemple « jeu », taille de son code natif) ; l'état de certaines autorisations sensibles, c'est-à-dire si elles lui sont réellement accordées (affichage par-dessus les autres applications, accès à tous les fichiers, lecture et écriture du stockage partagé) ; et, si vous avez accordé l'accès aux données d'utilisation, son temps d'utilisation sur les dernières 24 heures (temps à l'écran, temps visible et temps passé à travailler en arrière-plan). Nos serveurs s'en servent pour rendre le verdict et ne conservent que le résultat des contrôles, au plus 30 jours après la dernière analyse transmise par le téléphone. Base légale : exécution du contrat ; pour le temps d'utilisation, votre consentement, donné en accordant l'accès aux données d'utilisation et retirable à tout moment dans les réglages du téléphone, le contrôle « Activité suspecte en arrière-plan » restant alors inactif.

Fichiers du stockage (Android) : pour repérer les fichiers dangereux, l'application examine les fichiers d'installation d'applications, les archives et les fichiers aux extensions suspectes (selon une liste tenue par nos serveurs) présents dans vos dossiers Téléchargements et Documents, à la racine du stockage du téléphone et sur une carte mémoire ou une clé USB branchée. Pour chacun de ces fichiers, elle envoie à nos serveurs son nom, sa taille, sa date de dernière modification et le dossier où il se trouve ; pour un fichier d'installation, elle envoie aussi le nom de l'application qu'il contient et l'empreinte de son certificat de signature. À partir de la version 1.2.1, elle envoie également une empreinte numérique (SHA-256) du contenu de chaque fichier, calculée sur le téléphone, pour la comparer à notre base de logiciels malveillants connus. Le contenu des fichiers et leur emplacement complet ne sont jamais envoyés. Une empreinte désigne un fichier précis : deux personnes qui détiennent le même fichier obtiennent la même empreinte. Ces empreintes ne sont transmises à aucun tiers. Nos serveurs ne conservent jamais celle d'un fichier sain ; pour un fichier jugé dangereux, ils gardent son empreinte avec le résultat du contrôle, qui peut le nommer, afin que l'alerte reste affichée tant que le fichier est sur votre appareil, et au plus 30 jours après la dernière analyse transmise par le téléphone. Un fichier déjà examiné n'est pas renvoyé tant qu'il ne change pas. Base légale : exécution du contrat.

Localisation (Android) : si vous l'autorisez, l'application accède à la position précise et approximative, sur toutes les versions d'Android prises en charge, y compris lorsqu'elle n'est pas affichée, par son service de surveillance signalé par sa notification permanente. Android réserve à cet accès la lecture des antennes relais et des bornes Wi-Fi, qui sert à deux contrôles. « Fausse antenne relais détectée » : à chaque analyse, l'application envoie à nos serveurs, pour chaque antenne à laquelle le téléphone est rattaché, le type de réseau, la puissance du signal et l'identité de l'antenne (LAC/CID, TAC/CI ou NCI). « Faux réseau Wi-Fi pirate » : lorsque plusieurs bornes diffusent le nom du réseau auquel vous êtes connecté, l'application envoie leurs identifiants matériels (BSSID) et leur type de sécurité. L'application ne lit jamais la latitude ni la longitude du téléphone, mais ces identifiants, rapprochés de bases publiques d'antennes et de bornes Wi-Fi, peuvent permettre de situer le téléphone approximativement, parfois précisément : nous les traitons donc comme des données de localisation, dans le seul but de détecter ces deux attaques. Nos serveurs ne les enregistrent pas ; seul le résultat du contrôle est conservé, au plus 30 jours après la dernière analyse transmise par le téléphone. Lorsqu'une anomalie est relevée, ce résultat mentionne, pour vous l'afficher, l'antenne en cause (type de réseau, puissance et, le cas échéant, identité), ou le nom du réseau Wi-Fi et les BSSID des bornes en cause. Ce détail est effacé dès que le contrôle ne relève plus l'anomalie. En cas d'erreur technique pendant un envoi, ces identifiants peuvent figurer dans le rapport d'erreur transmis à notre sous-traitant Sentry. Base légale : votre consentement, donné en accordant l'accès. Vous pouvez le refuser ou le retirer à tout moment dans les réglages du téléphone : ces deux contrôles restent alors inactifs, comme lorsque la localisation du téléphone est désactivée, sans effet sur les autres contrôles.

Notifications de messagerie (Android) : si vous accordez à l'application l'accès aux notifications, elle examine, pour le contrôle « Appareil inconnu lié au compte », les notifications des messageries surveillées (Signal, WhatsApp et Telegram, liste tenue par nos serveurs), afin de repérer l'alerte qu'une messagerie affiche lorsqu'un nouvel appareil est lié à votre compte. Du titre et du texte de chaque notification, l'application ne garde que des empreintes : chaque suite de un à quatre mots est transformée par une fonction de hachage (SHA-256 tronqué), et le texte n'est ni conservé ni envoyé. Ces empreintes, gardées en mémoire pour les 200 dernières notifications de ces messageries, sont envoyées à nos serveurs à chaque analyse, avec la messagerie émettrice et l'heure de chaque notification. Nos serveurs les comparent aux empreintes d'une liste de phrases annonçant la liaison d'un appareil, puis les effacent aussitôt, sans les journaliser ni les conserver. Le résultat conservé (au plus 30 jours après la dernière analyse) indique seulement le nombre de notifications examinées, le nombre de phrases reconnues et, si l'accès aux données d'utilisation est accordé, les messageries surveillées utilisées récemment. Une empreinte n'est pas un chiffrement : une suite de mots courants peut être retrouvée en calculant les empreintes de mots connus. Il s'agit d'une pseudonymisation, et ces empreintes restent des données personnelles. Base légale : votre consentement, donné en accordant l'accès aux notifications ; vous pouvez le retirer à tout moment dans les réglages du téléphone, ce contrôle restant alors inactif. Pour les personnes dont les messages apparaissent dans ces notifications (vos correspondants), la base légale est l'intérêt légitime (art. 6.1.f RGPD) : la sécurité de votre compte contre la liaison d'un appareil à votre insu. Garanties : pseudonymisation par empreintes, aucun texte envoyé, effacement des empreintes aussitôt après la comparaison.

Coffre-fort numérique : vos fichiers, notes et mots de passe sont chiffrés au repos en AES-256-GCM. La clé de chiffrement est unique par compte et gérée côté serveur dans Google Secret Manager, sous contrôle d'accès strict. Nous ne vendons ni ne partageons jamais le contenu de votre coffre-fort.

Paiement : aucune donnée de carte bancaire n'est stockée par Trasimène. Les transactions sont intégralement gérées par notre prestataire de paiement certifié PCI-DSS.

No-log : nous n'enregistrons, n'inspectons ni ne stockons le contenu de votre trafic. Seul le statut de connexion (connecté/déconnecté) est journalisé pour le fonctionnement du service.

Filtrage DNS de sécurité : en tant que fonctionnalité de sécurité, les requêtes DNS émises dans le tunnel sont résolues par nos propres serveurs et comparées à une liste de menaces catégorisée (malware, phishing, command-and-control, traceurs). Uniquement lorsqu'un domaine figure dans cette liste, nous enregistrons ce domaine et sa catégorie, liés à votre compte pendant 48 heures, à seule fin d'afficher l'alerte de sécurité correspondante dans l'application. Les domaines bénins ne sont jamais enregistrés et aucun historique de navigation n'est conservé. La résolution amont est assurée par Quad9, un résolveur respectueux de la vie privée.

Serveurs propres : le trafic transite uniquement par les serveurs opérés par Trasimène (WireGuard), jamais par des tiers.

Aucune monétisation : nous ne vendons, ne partageons ni ne redirigeons votre trafic à des fins publicitaires ou commerciales.

Connexion automatique : pour les abonnés, la connexion automatique du VPN est activée par défaut. Sur Android, une fois le VPN autorisé une première fois, il se reconnecte au démarrage de la surveillance (par exemple au démarrage du téléphone) et à l'ouverture de l'écran VPN ; sur iPhone, une règle « à la demande » du système rétablit le tunnel dès qu'un réseau est disponible. Vous pouvez la désactiver à tout moment dans l'écran VPN. Sur iPhone, lorsque la fin de votre abonnement est constatée, l'application retire cette règle et la configuration VPN du téléphone.

Accès sur l'appareil : pour la protection, l'application utilise les accès suivants. Ceux que le téléphone vous demande d'autoriser peuvent être refusés ou retirés à tout moment dans ses réglages ; les contrôles qui en dépendent restent alors inactifs. Sur Android : liste des applications installées et état du Wi-Fi (accordés à l'installation) ; notifications (alertes et notification permanente de protection) ; caméra (scanner de QR codes uniquement) ; Bluetooth (état du Bluetooth, appareils connectés, attaques Bluetooth à proximité) ; localisation (antennes relais et bornes Wi-Fi, voir « Localisation » ci-dessus) ; contacts et agenda (comptage uniquement, pour détecter une suppression massive) ; état du téléphone (type de réseau mobile, changement de carte SIM) ; données d'utilisation (volume de données envoyé, nombre de connexions, applications de double compte, temps d'utilisation de chaque application sur les dernières 24 heures) ; accès aux notifications (liens des notifications et des SMS, empreintes des notifications de messagerie, voir ci-dessus) ; accès à tous les fichiers (fichiers d'installation, archives et fichiers suspects du stockage, voir « Fichiers du stockage » ci-dessus). Sur iPhone : notifications (alertes) ; caméra (scanner de QR codes uniquement) ; Bluetooth (appareils à proximité, pour repérer une attaque Bluetooth : pour chaque appareil vu, la puissance du signal et le fait qu'il diffuse ou non un nom ou des services ; ni son identifiant ni son nom ne sont envoyés) ; localisation pendant l'utilisation de l'app, uniquement pour lire le nom et le type de sécurité du réseau Wi-Fi auquel vous êtes connecté, ce nom étant conservé avec le résultat du contrôle ; Face ID (déverrouillage du coffre-fort, sur l'appareil). Ces données ne sont jamais revendues.

Exécution du contrat (art. 6.1.b RGPD) : compte utilisateur, fourniture du service de sécurité, gestion de l'abonnement.

Consentement (art. 6.1.a RGPD) : envoi de la newsletter, dépôt de cookies analytics et marketing, lecture des antennes relais et des bornes Wi-Fi permise par l'accès à la localisation (Android), empreintes des notifications de messagerie permises par l'accès aux notifications (Android), temps d'utilisation des applications permis par l'accès aux données d'utilisation (Android). Pour ces trois accès, le consentement se donne en accordant l'accès et se retire à tout moment en le retirant dans les réglages du téléphone.

Intérêt légitime (art. 6.1.f RGPD) : sécurité de la plateforme, prévention de la fraude, monitoring technique (Sentry).

Obligation légale (art. 6.1.c RGPD) : conservation des journaux de connexion (obligation légale française, 1 an).

Google Cloud (Google LLC), hébergement des données, région europe-west1 (UE), https://cloud.google.com/security/compliance/gdpr

PostHog Inc., analytics produit, serveurs EU, https://posthog.com/privacy

Sentry (Functional Software Inc.), monitoring des erreurs, https://sentry.io/privacy

Have I Been Pwned (Troy Hunt) : API de veille dark web, aucune donnée personnelle transmise (hachage partiel SHA-1)

RevenueCat Inc., gestion des abonnements in-app, https://www.revenuecat.com/privacy

VirusTotal (Google LLC), analyse antivirus APK et URL, https://support.virustotal.com/hc/en-us/articles/115002168385-Privacy-Policy

Google Safe Browsing (Google LLC), vérification d'URLs malveillantes, https://safebrowsing.google.com/

Resend Inc., envoi d'emails transactionnels, https://resend.com/legal/privacy-policy

Cookies essentiels (sans consentement) : session d'authentification (NextAuth.js), préférences de langue.

Cookies analytics (consentement requis) : PostHog, Google Analytics, mesure d'audience anonymisée, amélioration du service.

Cookies marketing (consentement requis) : Meta Pixel, TikTok, LinkedIn, X, publicité ciblée et mesure de campagnes.