Preuves et transparence

En octobre 2026, deux choses sont établies par d'autres que nous :

• L'éditeur. TRASIMENE SAS est inscrite au registre national des entreprises sous le SIREN 103 240 560 : société par actions simplifiée créée le 30 mars 2026, siège 61 rue de Lyon, 75012 Paris, présidée par Mohamed Essid. Apple identifie la même société par son numéro DUNS 286714569 sur la fiche App Store. Consulter le registre : annuaire-entreprises.data.gouv.fr.
• Les applications publiées. Chaque version de l'application est examinée par Apple avant sa mise en ligne sur l'App Store, et par Google avant sa mise en ligne sur Google Play. L'application Android est sortie le 9 juillet 2026, l'application iPhone le 4 août 2026.

• Fiche App Store
• Fiche Google Play
• Registre national des entreprises

Une évaluation indépendante n'entre sur cette page qu'avec le nom de l'organisme, sa date et son rapport complet.

Trasimène travaille sans bouton à presser. Votre téléphone mesure ses réglages, son réseau et, sur Android, ses applications ; nos serveurs comparent ces mesures à des règles et à des listes de menaces mises à jour chaque jour, puis renvoient un résultat vert, rouge ou gris, expliqué dans votre langue. Sur Android, l'analyse a lieu toutes les 30 minutes par défaut. Sur iPhone, elle a lieu quand iOS le permet.

En octobre 2026, l'application fait jusqu'à 157 contrôles sur Android et 48 sur iPhone. Nos contrôles suivent le référentiel public MITRE ATT&CK Mobile, qui décrit les techniques d'attaque visant les téléphones (attack.mitre.org). Chaque alerte dit ce qui a été vu et ce qu'il faut faire.

Un résultat gris veut dire que la mesure n'a pas pu avoir lieu : une autorisation manque, le VPN est coupé, ou le système ne le permet pas. Un gris n'est jamais présenté comme un vert.

Quand une règle se trompe, nous la corrigeons sur le serveur. La correction prend effet en quelques minutes et votre téléphone la reçoit à son analyse suivante, sans mise à jour de l'application.

Nos informations sur les menaces viennent de sources publiques et reconnues : URLhaus, ThreatFox, MalwareBazaar et Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal en dernier recours (qui reçoit l'empreinte d'un fichier ou un nom de site, jamais le fichier), Have I Been Pwned pour les fuites d'adresses, la liste des failles exploitées de la CISA et la base NVD. La liste complète, par usage, est sur la page Comment fonctionne Trasimène.

Fichiers de test reconnus

L'industrie antivirus utilise des fichiers de test inoffensifs pour vérifier qu'une protection réagit : le fichier EICAR, publié par l'organisme européen du même nom, et les fichiers de l'AMTSO, l'association des éditeurs et des laboratoires de test, dont une application Android de test. Depuis le 22 octobre 2026, nos serveurs reconnaissent les empreintes de ces fichiers, sous toutes leurs formes publiées, et les traitent comme n'importe quelle menace connue. Télécharger ces fichiers : eicar.org et amtso.org.

• Trasimène se concentre sur ce qui expose vraiment un téléphone : ses réglages, son réseau, ses liens et, sur Android, ses applications.
• Quand une application pose problème, Trasimène vous dit laquelle, pourquoi, et comment la désinstaller. La décision reste la vôtre.
• Le VPN vous signale les sites dangereux que vous contactez, sans couper votre connexion à votre place. La résolution des noms est confiée à Quad9, un service suisse qui écarte de son côté les domaines malveillants qu'il connaît.
• Sur iPhone, iOS isole chaque application des autres : aucune application ne voit la liste des autres, leurs fichiers, vos SMS ou leurs notifications. Trasimène travaille dans ce cadre, avec 48 contrôles : jailbreak, version d'iOS, profils et gestion à distance, réseau et Wi-Fi, liens des QR codes, fuites de votre adresse e-mail.

• VPN. Le contenu de votre trafic n'est ni lu ni enregistré. Nos serveurs gardent l'historique de vos connexions au VPN (serveur, adresse attribuée dans le tunnel, heures de connexion et de déconnexion), effacé 72 heures après la fin de l'accès, et le volume de données échangé chaque mois, gardé 13 mois. Pendant 48 heures, ils gardent aussi les sites de nos listes de menaces et de publicité que vous avez contactés, avec leur nombre, les noms de sites inexistants les plus demandés, et des chiffres sur vos connexions et les noms demandés (nombre, ports, durée, longueur), sans adresse ni nom de site.
• Coffre-fort. Vos mots de passe, notes et fichiers sont chiffrés sur nos serveurs en AES-256-GCM, avec une clé propre à votre compte, conservée dans un gestionnaire de secrets à accès restreint, où chaque lecture d'une clé est journalisée. Cette clé n'est pas dérivée de votre mot de passe : vous retrouvez votre coffre en vous connectant sur un nouveau téléphone, sans phrase de récupération à garder. Nos serveurs déchiffrent le contenu pour vous l'afficher dans l'application. Capacité : 5 Go, jusqu'à 30 Mo par fichier, 10 000 mots de passe et 10 000 notes. La clé et le coffre sont détruits 30 jours après la suppression de votre compte.
• Résultats des contrôles. Le résultat de chaque contrôle (vert, rouge ou gris, avec son explication) est gardé 30 jours, pour afficher l'historique et les rapports. Le détail d'une anomalie peut nommer un site ou une application ; il disparaît avec l'anomalie.
• Applications Android. Pour juger vos applications, nos serveurs gardent, pour chacune, son nom technique, l'empreinte de son fichier, la signature de son éditeur et son origine, 30 jours après la dernière analyse qui l'a vue. Les fichiers des applications eux-mêmes ne quittent jamais votre téléphone.
• Mesure d'usage. L'application envoie des mesures d'usage (écrans ouverts, étapes du parcours) à Firebase Analytics et à PostHog, pour améliorer le produit. Elles sont actives au départ et se coupent dans les réglages de l'application, interrupteur « Statistiques d'utilisation ». Les rapports d'erreurs vont à Sentry et à Firebase Crashlytics.

Les données de votre compte (adresse e-mail, nom, préférences) restent tant que votre compte existe. Le détail de chaque donnée, de sa durée et de sa base légale est dans la politique de confidentialité.

Vos données ne sont vendues à personne. L'application n'affiche aucune publicité et n'embarque aucun outil de Meta, TikTok, Snapchat ou LinkedIn. Toute la sécurité est gratuite, sans période d'essai ni limite de durée ; seul le VPN est payant : 3,99 €/mois ou 39,99 €/an.

Pour faire tourner le service, nous confions des données à des prestataires, chacun pour une tâche précise :

• Hébergement : Google Cloud, région europe-west1 (Union européenne), pour l'API, le site, les bases de données et les fichiers du coffre ; les clés du coffre sont dans le gestionnaire de secrets de Google Cloud. Les 19 serveurs du VPN sont des machines Google Cloud, une par pays, installées et administrées par Trasimène.
• Mesure d'usage, désactivable : Firebase Analytics (Google) et PostHog (serveurs en Union européenne).
• Rapports d'erreurs : Sentry (serveurs en Union européenne pour les applications et le site) et Firebase Crashlytics.
• Paiement : Apple dans l'application iPhone, Google dans l'application Android ; RevenueCat et Stripe sur trasimene.com. Nous ne voyons ni ne conservons aucune donnée de carte bancaire.
• Courriels : Resend, pour les messages de confirmation, d'alerte et de facturation, et pour l'infolettre si vous y êtes inscrit.
• Veille des fuites : Have I Been Pwned reçoit chaque adresse e-mail que vous choisissez de surveiller et nous dit si elle figure dans une fuite connue ; vérification à l'ajout, puis toutes les 24 heures.
• Réputation des liens et des fichiers : Google Safe Browsing et VirusTotal, qui reçoivent l'adresse d'un lien ou l'empreinte d'un fichier, jamais le fichier.

Mesure de nos campagnes, avec votre accord : quand vous créez un compte avec votre adresse e-mail sur Android ou sur trasimene.com, une case, non cochée, vous propose de nous aider à savoir quelles campagnes amènent de vrais utilisateurs. Si vous l'acceptez, la création du compte et un abonnement sont signalés à nos régies publicitaires (Meta, TikTok, Snapchat, LinkedIn) avec une empreinte de votre adresse e-mail. Meta, TikTok et Snapchat reçoivent aussi, à l'inscription, votre adresse IP et la description technique de votre navigateur ou de votre téléphone (user-agent). Google Analytics reçoit un identifiant de compte, jamais votre adresse. Sans votre accord, rien n'est envoyé, et rien ne part jamais d'un iPhone. Vous retirez votre accord à tout moment dans les réglages de votre compte.

Nos déclarations aux magasins. L'étiquette Confidentialité de l'App Store et la fiche Sécurité des données de Google Play reprennent, dans le format imposé par chaque magasin, ce que l'application collecte et partage. Nous les rédigeons nous-mêmes et les relisons à chaque changement, pour qu'elles correspondent à notre politique de confidentialité et à cette page.

Chaque prestataire, les transferts hors Union européenne et vos droits sont détaillés dans la politique de confidentialité.

Vous avez trouvé une faille dans l'application, le site ou l'API ? Écrivez à contact@trasimene.com. Notre fichier security.txt, à l'adresse /.well-known/security.txt, indique ce contact et renvoie à cette politique.

Nous accusons réception sous 5 jours ouvrés et vous donnons un premier avis sous 15 jours ouvrés. Nous corrigeons les failles confirmées en priorité et vous tenons informé jusqu'à la publication du correctif.

Nous n'engageons aucune poursuite contre une personne qui agit de bonne foi : qui ne lit, ne modifie ni ne conserve les données d'autres utilisateurs, qui ne perturbe pas le service, et qui nous laisse le temps de corriger avant de publier.

Remerciements

Avec son accord, chaque personne qui nous a signalé une faille confirmée est nommée ici, avec la date.

• Comment fonctionne Trasimène
• Sécurité et chiffrement
• Politique de confidentialité
• Société et presse
• Fichier security.txt