Politique de confidentialité

CComment est édité par Xenovia Labs, établi à Abidjan, Côte d’Ivoire. Xenovia Labs est responsable du traitement des données décrites ici.

Cette politique couvre l’application mobile CComment, CComment Business et ce site. Elle ne couvre pas les services de tiers que vous pourriez atteindre depuis l’application — un opérateur de mobile money, une boutique, un lien partagé dans une conversation — qui appliquent leurs propres règles.

Pour toute question relative à vos données, écrivez à confidentialite@ccomment.app.

Un compte CComment repose sur un numéro de téléphone et sur le compte Google ou Apple avec lequel vous entrez, et sur presque rien d’autre. Nous ne demandons ni nom légal, ni pièce d’identité pour ouvrir un compte.

• Votre numéro de téléphone, par lequel vos proches vous retrouvent. Il est prouvé une fois, à l’inscription, par un code envoyé par SMS. Ce code n’est jamais conservé en clair : nous n’en gardons qu’une empreinte cryptographique, le temps de la vérification.
• Votre compte Google ou Apple de connexion : l’identifiant que Google ou Apple attribue à votre compte pour CComment, l’adresse électronique qu’ils ont vérifiée, et le nom qu’ils transmettent à la première connexion, qui devient votre nom affiché tant que vous ne le changez pas. Avec Apple, cette adresse peut être une adresse relais. Nous ne recevons jamais votre mot de passe. Pour un compte Apple, nous gardons aussi le jeton qui permet de demander à Apple de révoquer l’accès de CComment quand vous supprimez votre compte.
• Votre profil : le nom que vous affichez, votre photo si vous en mettez une, votre phrase de présentation, et les réglages de visibilité que vous choisissez.
• Votre date de naissance, uniquement si vous choisissez de la renseigner. Elle reste dans les données privées de votre compte. Nous conservons aussi vos choix séparés de recevoir un souhait de CComment ou d’autoriser une communauté précise à annoncer votre anniversaire.
• Votre adresse électronique de récupération, seulement si vous activez la vérification en deux étapes et choisissez d’en donner une. Elle sert uniquement à vous rendre l’accès si vous oubliez votre code personnel. Ce code, lui, n’est conservé que sous forme d’empreinte.
• Vos appareils : modèle, système, sessions ouvertes et jeton de notification. Chaque session est liée à son appareil, ce qui permet d’en révoquer un sans déconnecter les autres.
• Vos conversations, dans les limites strictes de la section 4, ainsi que les médias que vous envoyez.
• L’historique de vos appels : qui a appelé qui, quand, en audio ou en vidéo, et combien de temps. Jamais leur contenu (section 5).
• Vos statuts, et la liste des personnes qui les ont vus (section 6).
• Vos communautés et vos groupes : appartenances, rôles, annonces, événements, sondages, décisions et cahiers de cotisation (section 9).
• Vos données professionnelles, si vous ouvrez un profil CComment Business : catalogue, stock, clients, commandes et factures. Et les avis que vous laissez sur une boutique après une commande.
• Des données techniques d’usage : journaux de connexion, adresse IP, rapports de plantage de l’application et indicateurs agrégés, qui servent à faire fonctionner le service, à le réparer et à repérer les abus.

Nous ne recueillons pas votre position permanente, ne lisons pas vos SMS, et n’achetons de données sur vous à personne.

Chaque traitement sert une finalité précise et repose sur un fondement juridique identifié.

Nous ne pratiquons aucune publicité ciblée et ne vendons vos données à personne. Le contenu de vos conversations privées ne sert ni au profilage, ni à la recommandation, ni à un autre produit de Xenovia Labs.

CComment n’archive pas vos conversations privées. Le serveur est une boîte aux lettres : il détient un message le temps de le livrer, puis l’efface.

• Un message d’une conversation privée, d’un groupe personnel ou de vos notes est effacé du serveur dès que tous les destinataires actifs l’ont reçu, ou au plus tard trente jours après son envoi si personne ne l’a reçu.
• Exception à cette règle : les cinq derniers messages d’une conversation restent sur le serveur jusqu’à ce que de nouveaux messages les remplacent. Ils alimentent l’aperçu de votre liste de discussions et évitent qu’une réinstallation n’ouvre un fil vide. Dans une conversation qui s’arrête, ils restent donc sur le serveur, sans autre limite à ce jour.
• Un média part avec le dernier message qui le cite, puisqu’un fichier transféré peut être référencé par plusieurs messages.
• Les messages de service — « untel a rejoint le groupe », « cette conversation est suivie » — sont conservés : ils expliquent ce qui est arrivé à la conversation elle-même.

Trois catégories font exception et sont conservées : les canaux de communauté, les groupes créés au sein d’une communauté, et les fils clients d’une boutique CComment Business. Dans ce dernier cas, ce n’est jamais deviné à partir de ce que vous écrivez. Une conversation n’est suivie qu’à partir d’un fait commercial déclaré — une fiche produit envoyée, une commande, une facture — ou sur décision de la boutique, et un message de service prévient dans la conversation quand le suivi commence et quand il s’arrête. Les deux parties peuvent consulter la liste des périodes conservées.

Ce suivi ne vaut que pour la suite. Ce qui a été échangé avant qu’il ne commence garde son sort et reste effacé ; un membre de l’équipe ajouté plus tard ne voit que les périodes conservées, et rien entre elles.

La fiche de chaque contact et de chaque groupe indique, dans l’application, ce que le serveur garde de la conversation.

La contrepartie doit être dite clairement : un serveur qui oublie vos conversations est un serveur qui ne peut pas vous les rendre. Si vous changez de téléphone sans avoir activé la sauvegarde, vos discussions privées ne suivent pas. Elles ne sont ni perdues par accident ni retenues : elles n’existaient plus que sur votre appareil.

Les notifications. Pour vous prévenir d’un nouveau message, notre serveur envoie une notification par l’intermédiaire de Google (Android) ou d’Apple (iPhone). Elle contient le nom de l’expéditeur, celui du groupe le cas échéant, et le début du message — jusqu’à deux cents caractères pour un texte, sa nature pour une photo, une vidéo ou une note vocale. Ce contenu traverse donc leurs services pour être affiché sur votre téléphone.

Vos messages sont chiffrés en transit entre votre appareil et nos serveurs. Nous ne proposons pas encore de chiffrement de bout en bout ; nous préférons l’écrire que le laisser croire.

Nous n’enregistrons ni la voix ni l’image de vos appels. Quand le réseau le permet, le son et la vidéo passent directement d’un téléphone à l’autre, chiffrés par le protocole des appels lui-même. Quand le réseau d’un opérateur l’empêche, ils passent par un relais que nous exploitons, qui transmet le flux chiffré sans le déchiffrer.

• Un appel direct suppose que chaque téléphone connaisse l’adresse IP de l’autre. Votre correspondant, ou les participants d’un appel de groupe, peuvent donc la voir, comme dans toute application d’appel de ce type. Le relais, lui, voit les adresses des deux côtés le temps de l’appel.
• Le serveur garde l’historique de vos appels : qui a appelé qui, en audio ou en vidéo, à quelle heure, si l’appel a été pris et quand il s’est terminé. Pour un appel de groupe, la liste des participants. Cet historique n’a pas de durée limite à ce jour ; il cesse d’être rattaché à vous quand vous supprimez votre compte.
• Un appel entrant vous est annoncé par Google ou Apple, avec le nom de la personne ou du groupe qui appelle.

• Votre profil — nom, photo, présentation — est visible selon les réglages de confidentialité que vous choisissez.
• Votre date de naissance complète et votre âge ne figurent jamais dans votre profil public. Si vous l’autorisez pour une communauté, ses membres reçoivent seulement votre nom et l’indication que votre anniversaire est demain ou aujourd’hui. Cette autorisation est désactivée par défaut et se règle séparément dans chaque communauté.
• Un statut est montré au public que vous choisissez : vos contacts, vos contacts sauf certains, quelques personnes seulement, ou tout le monde. Nous enregistrons qui l’a vu, et cette liste n’est montrée qu’à vous. Au bout de vingt-quatre heures, il n’est plus affiché ; il reste toutefois sur le serveur jusqu’à ce que vous le supprimiez ou supprimiez votre compte.
• Une communauté publique peut être trouvée par n’importe qui : son nom, sa description et son image. Ses discussions restent réservées à ses membres.
• Une boutique présente sur la Marketplace est publique, comme une vitrine. Un avis que vous y laissez, après une commande réelle, est affiché avec votre nom et votre photo de profil ; le commerçant peut y répondre. Vos favoris ne sont visibles que par vous.

Pour vous montrer qui, parmi vos contacts, utilise déjà CComment, l’application compare les numéros de votre répertoire à ceux des comptes existants. Cette comparaison n’a lieu que si vous autorisez l’accès aux contacts.

Ce qui se passe ensuite est le point important : les numéros qui ne correspondent à aucun compte ne sont pas conservés. Ils vous sont renvoyés comme « invitables », puis ils sont jetés. Personne ne se retrouve fiché chez nous pour avoir été enregistré dans le téléphone de quelqu’un d’autre.

Si vous invitez quelqu’un, nous gardons la trace de l’invitation le temps de la faire aboutir. Vous pouvez à tout moment couper la synchronisation dans les réglages du téléphone ; les correspondances déjà enregistrées disparaissent avec votre compte.

À l’inscription, l’application présente les autorisations utiles, chacune avec sa raison, et propose « Plus tard » aussi clairement que « Autoriser ». La position, elle, n’est demandée qu’au moment de la partager. Refuser n’empêche jamais d’utiliser CComment ; cela désactive seulement ce qui en dépend.

La position n’est lue qu’au moment où vous la partagez. Elle n’est pas suivie en arrière-plan, et l’adresse exacte d’un domicile n’est jamais exposée automatiquement dans une communauté de quartier.

Aucun paiement ne passe par CComment. Nous ne recevons pas votre argent, ne le transférons pas et ne détenons aucune cagnotte. Les contributions se font comme aujourd’hui, en espèces, par virement ou par mobile money, directement entre les personnes. Nous ne demandons jamais vos identifiants de paiement ni le code de votre portefeuille mobile.

Ce que nous enregistrons, c’est le cahier :

• Pour une cotisation : les échéances, ce qui est dû, les déclarations « J’ai payé » des membres, leur confirmation ou leur refus par un responsable, les exemptions, les contestations, et les justificatifs que vous choisissez de joindre — une photo de reçu, par exemple. Seules les lignes confirmées comptent dans les totaux.
• Pour une cagnotte : son motif, son organisateur, le numéro de réception qu’il annonce, et les contributions qu’il note à la main — membre ou nom libre, moyen, date, justificatif. Une contribution peut être notée comme anonyme : son nom n’est alors affiché à personne dans l’application.

Ces informations sont visibles selon les règles fixées par votre communauté — c’est le principe même d’une cotisation, où chacun doit pouvoir vérifier qui est à jour. Chaque changement sensible est conservé dans un journal : qui a fait quoi, et quand.

La sauvegarde de vos conversations est une fonction de votre téléphone, pas de nos serveurs. Si vous l’activez, la copie part vers votre propre espace Google Drive, sous votre compte et dans votre quota. Vous pouvez aussi enregistrer le fichier de sauvegarde où vous voulez.

• La sauvegarde est chiffrée sur votre téléphone, avant de partir, avec une phrase secrète que vous choisissez et que nous ne connaissons pas. Sans elle, personne ne peut la lire — ni nous, ni Google. Si vous l’oubliez, nous ne pouvons pas la retrouver pour vous.
• L’application n’accède qu’aux fichiers qu’elle a elle-même créés dans votre Drive, jamais au reste de son contenu.
• Les photos et vidéos ne sont sauvegardées que si vous le demandez, et seulement en Wi-Fi.

Nous n’avons pas accès à cette sauvegarde. En revanche, elle est soumise aux conditions de Google, et supprimer votre compte CComment n’efface pas une sauvegarde qui se trouve chez eux : vous devez la retirer vous-même.

Lorsque vous signalez un contenu, une copie de ce que vous signalez est jointe au signalement, avec son auteur et sa date : les messages choisis que le serveur détient encore, un commentaire, un événement ou une cagnotte. C’est ce qui permet de juger sur pièces.

Les signalements sont examinés par les membres habilités de l’équipe CComment, depuis un espace réservé. Chaque décision qu’ils prennent — avertissement, retrait, suspension — est journalisée.

Nous ne vendons aucune donnée. Nous faisons appel à un petit nombre de prestataires techniques, chacun pour une tâche précise, et aucun n’est autorisé à s’en servir pour son propre compte.

Nous communiquons également des données lorsqu’une autorité judiciaire compétente nous l’ordonne dans les formes prévues par la loi. Nous ne remettons que ce que nous détenons réellement — ce qui, pour une conversation privée, se limite aux quelques derniers messages décrits à la section 4.

Vous disposez d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité sur vos données. Deux de ces droits s’exercent directement dans l’application, sans nous écrire ni attendre :

• Emporter vos données. Paramètres → Exporter mes données. Vous recevez un fichier lisible contenant votre compte, vos appareils, vos contacts CComment, les conversations dont vous êtes membre, les personnes que vous avez bloquées, votre date de naissance, vos choix d’anniversaire et l’état de votre vérification en deux étapes. Le contenu de vos conversations se trouve sur votre téléphone et s’emporte par la sauvegarde. Pour une copie de vos données de communauté ou de boutique, écrivez-nous.
• Supprimer votre compte. Paramètres → Supprimer mon compte. Ce n’est pas une désactivation déguisée : il n’y a ni délai de grâce, ni période de trente jours pendant laquelle le compte survivrait. Votre identité est effacée, votre numéro est libéré pour une nouvelle inscription, et ce que vous avez publié cesse d’être rattaché à vous. Sans l’application, suivez la page Supprimer votre compte.

Deux limites, dites d’avance. Un message déjà reçu par quelqu’un d’autre se trouve sur son téléphone : il lui appartient, et nous ne pouvons pas l’y reprendre. Il s’affichera sous la mention « Compte supprimé ». Et une facture émise par une boutique reste due à son client autant qu’au commerçant : elle est conservée au titre de l’obligation comptable, sans être rattachée à un profil supprimé.

Pour tout autre droit, écrivez à confidentialite@ccomment.app. Nous répondons sous trente jours. Si notre réponse ne vous satisfait pas, vous pouvez saisir l’Autorité de régulation des télécommunications de Côte d’Ivoire (ARTCI), compétente en matière de protection des données à caractère personnel au titre de la loi n° 2013-450 du 19 juin 2013, ou l’autorité de contrôle de votre pays de résidence.

• Les échanges entre votre appareil et nos serveurs sont chiffrés en transit.
• Les codes de vérification ne sont stockés que sous forme d’empreinte, et les tentatives sont comptées même quand elles échouent.
• La vérification en deux étapes, si vous l’activez, demande votre code personnel sur tout nouvel appareil. Les codes trop faciles sont refusés, et les erreurs répétées bloquent le code de plus en plus longtemps.
• La connexion passe par Google ou Apple : le serveur vérifie leur signature sur le jeton d’identité, et nous ne voyons ni ne stockons aucun mot de passe.
• Chaque nouvelle connexion à votre compte est signalée sur vos autres appareils.
• Chaque session est liée à un appareil. Révoquer un appareil invalide ses jetons sans toucher à vos autres sessions.
• Les jetons de connexion tournent, et un jeton rejoué coupe l’appareil au lieu d’en délivrer un nouveau : un vol de jeton se voit au lieu de passer inaperçu.
• Les envois de code, de messages, de fichiers et d’invitations sont plafonnés, ce qui limite autant le spam que la facture.
• L’accès à une donnée est vérifié à chaque fois, par permission nommée, et non déduit d’un rôle.

Aucun système n’est infaillible. En cas de violation de données susceptible de vous porter atteinte, nous informons l’autorité compétente et les personnes concernées dans les délais prévus par la loi.

CComment n’est pas destiné aux personnes de moins de seize ans, et nous ne cherchons pas sciemment à recueillir leurs données. L’âge minimal est rappelé avant l’inscription, et une date de naissance qui indique moins de seize ans n’est pas enregistrée. Si vous êtes parent ou tuteur et que vous constatez qu’un enfant a ouvert un compte, écrivez-nous : le compte et ses données seront supprimés. Nos règles contre l’exploitation des enfants sont décrites sur la page Sécurité des enfants.

Certains de nos prestataires — messagerie, notifications, rapports de plantage, cartes, hébergement — opèrent depuis d’autres pays, ce qui suppose un transfert de données hors de Côte d’Ivoire. Nous n’y recourons qu’avec des prestataires qui présentent des garanties contractuelles appropriées, et pour les seules finalités décrites à la section 12.

Ce document évoluera avec le produit. La date de dernière mise à jour figure en tête de page. Lorsqu’un changement touche ce que nous recueillons ou ce que nous en faisons, nous vous en informons dans l’application avant qu’il ne prenne effet — pas après.