Juridique

Politique de confidentialité.

Cette politique s’adresse à toutes les personnes qui utilisent Murmur, visitent ce site ou nous écrivent. Elle dit ce que nous pouvons voir, ce que nous gardons, pourquoi, pendant combien de temps, et ce que vous pouvez y faire.

Aller à la politique

Sommaire22 sections

En bref

Nous ne pouvons pas lire vos messages, vos photos ni vos fichiers. Ils sont chiffrés de bout en bout sur vos appareils, donc seules les personnes de la discussion peuvent les ouvrir.
Nos serveurs ne savent pas qui envoie un message, à qui vous parlez, ni qui fait partie de vos groupes.
Nous ne demandons jamais votre numéro de téléphone, votre adresse courriel ni votre vrai nom, et nous ne gardons pas les adresses IP.
Ce que nos serveurs gardent pour faire fonctionner Murmur tient en peu de choses, et chaque élément est décrit plus bas, avec sa durée de conservation. Une ordonnance valide peut nous obliger à le remettre, et c’est pourquoi nous gardons le moins possible.
Aucune publicité, aucune vente ni aucun partage de vos données, et aucun traqueur ni aucune mesure d’audience, ni dans les applications ni sur ce site.
Vous pouvez consulter, exporter, corriger et supprimer vos données, pour l’essentiel directement dans l’application. Vos questions : [email protected].

Qui nous sommes

Murmur Labs LLC conçoit les applications Murmur pour iPhone, Android, Windows et Mac, et exploite les serveurs qu’elles utilisent. C’est cette entreprise qui est responsable de vos renseignements personnels.

Dans cette politique, « Murmur » et « nous » désignent Murmur Labs LLC, 30 N Gould St, STE R, Sheridan, WY 82801, États-Unis (murmurlabs.llc).
Cette politique couvre les applications, nos serveurs, ce site et les courriels que vous nous envoyez.
Apple et Google exploitent leurs propres magasins d’applications et services de notifications, selon leurs propres politiques de confidentialité. Nous expliquons plus bas ce qu’ils voient.

La personne responsable de la protection des renseignements personnels

Murmur a une personne responsable de la protection des renseignements personnels. Cette personne veille à ce que nous respections cette politique et la loi, approuve nos règles de protection des renseignements personnels, et répond à vos demandes et à vos plaintes.

Écrivez-lui à [email protected].

Là où la loi demande à une entreprise comme la nôtre d’avoir un représentant local, ce représentant peut aussi recevoir vos questions. Écrivez à la même adresse, et nous vous mettrons en contact.

Ce que nous ne voyons jamais

Ce que vous dites, et à qui vous le dites, est scellé sur vos appareils. Nos serveurs le transmettent sans avoir de clé pour l’ouvrir.

Scellé, donc illisible pour nous

Vos messages (programmés compris), messages vocaux, photos et fichiers, leurs noms et leurs types, les réactions, les modifications, les accusés de lecture, les votes aux sondages et les listes de tâches.
Votre profil, avec votre nom, votre photo et votre bio.
Vos contacts, les personnes que vous bloquez, et vos autres réglages (les quelques réglages qu’appliquent nos serveurs sont énumérés plus bas).
Le Coffre, avec les notes, les photos et les fichiers que vous gardez pour vous.
Votre statut en ligne, que vos appareils envoient sous scellé, seulement aux personnes à qui vous permettez de les voir.
Le nom, la photo, la description, les messages épinglés et les sujets des groupes.
Qui envoie chaque message. Le nom de la personne qui écrit ne voyage qu’à l’intérieur de l’enveloppe scellée.
À qui vous parlez, qui fait partie de vos groupes, leurs rôles, et qui a ajouté ou retiré qui.

Jamais gardé

Votre numéro de téléphone, votre adresse courriel (sauf si vous nous écrivez), votre vrai nom ou votre date de naissance. Nous ne les demandons jamais.
Votre position, le modèle de votre appareil ou votre carnet d’adresses. Murmur ne téléverse jamais vos contacts.
Votre adresse IP ou tout journal de vos connexions. Votre adresse IP sert seulement à acheminer votre connexion.
Un journal de qui a envoyé quoi, ou de qui parle à qui.
Qui a invité qui à rejoindre Murmur.
Le résultat de la vérification de l’appareil à l’inscription.
Votre identité de paiement.
Votre mot de passe, votre clé de récupération, et toute clé qui nous permettrait d’ouvrir vos messages.

Nous ne détenons aucun contenu de message et aucune clé. Nous détenons les quelques renseignements décrits dans cette politique et dans notre tableau public des données, et ils peuvent être exigés en justice. Autrement dit, une ordonnance valide, d’un tribunal par exemple, peut nous obliger à les remettre.

Les données que nous traitons

Pour faire fonctionner votre compte et livrer vos messages, nos serveurs traitent quelques éléments. Les voici, un par un, avec ce que c’est, pourquoi nous en avons besoin, où ils se trouvent et combien de temps nous les gardons.

C’est la même liste que notre tableau public des données, en mots simples. Ce tableau est vérifié par rapport à notre code à chaque version, et un champ que nos serveurs stockeraient sans qu’il y figure fait échouer la compilation. « Nos serveurs » veut dire les serveurs que nous exploitons pour Murmur, chez notre hébergeur.

Votre compte

Quoi	Pourquoi	Où	Combien de temps
L’identifiant de votre compteUn nombre aléatoire qui ne change jamais	Pour livrer à vos appareils et réunir les éléments de votre compte	Nos serveurs, vos appareils et ceux de vos contacts	Jusqu’à la suppression de votre compte
Votre nom d’utilisateurLe nom que vous avez choisi et les deux chiffres que Murmur a ajoutés, comme alibaba.46. Il ne peut pas être changé. Gardé seulement sous une forme brouillée que seul notre serveur peut vérifier, avec une seconde forme brouillée qui repère les noms trop ressemblants	Pour que vous puissiez vous connecter, et que les gens puissent vous trouver, sauf si vous désactivez cela	Nos serveurs. Il n’apparaît en clair qu’un instant, à la connexion et quand quelqu’un le cherche	Jusqu’à la suppression de votre compte, puis 90 jours de quarantaine, sans lien avec vous
Votre fiche de connexion	Pour vérifier que c’est bien vous sans jamais voir votre mot de passe	Nos serveurs. Elle ne révèle pas votre mot de passe	Jusqu’à la suppression de votre compte
Les données de votre clé de récupérationVotre clé d’identité et la clé de l’état de votre compte, scellées pour que seule votre clé de récupération puisse les ouvrir, et la partie publique d’une clé de connexion qui en est dérivée	Pour que votre clé de récupération fonctionne si vous perdez vos appareils	Nos serveurs, sous scellé. Rien de ce qui est dérivé de votre clé ne nous parvient avant que vous l’ayez enregistrée	Jusqu’à la suppression de votre compte. Nous gardons aussi ses 2 versions précédentes, et tout changement prévient tous vos appareils
Les choix que nos serveurs appliquentSi l’on peut vous trouver par votre nom d’utilisateur, qui peut vous envoyer une demande, la protection renforcée, si un nouveau départ avec le mot de passe seul est permis, si la connexion par mot de passe est activée, si vous avez enregistré une clé de récupération, et quand supprimer votre compte si vous vous absentez	Pour faire ce que vous avez choisi	Nos serveurs	Jusqu’à ce que vous les changiez ou supprimiez votre compte
Le jour de création de votre compte	Pour avertir les gens quand un compte créé il y a moins d’une semaine leur écrit	Nos serveurs	Avec votre compte. Après 12 mois, il devient seulement le mois
Le niveau de confiance et les limitesVotre niveau de confiance et toute restriction, les compteurs de connexions échouées, les compteurs quotidiens (nouvelles discussions lancées, recherches de noms d’utilisateur, entrées dans des groupes, téléversements et invitations) et le nombre de signalements retenus contre le compte	Pour freiner le pourriel, les faux comptes et les tentatives de deviner les mots de passe	Nos serveurs	Compteurs : 30 jours au plus. Signalements retenus : 180 jours. Niveau de confiance et restrictions : avec votre compte
Les conditions et l’âgeLa version des conditions que vous avez acceptée, et avec elle le fait que vous avez 16 ans ou plus. Jamais votre date de naissance	Pour montrer que vous avez accepté les conditions et que vous avez l’âge requis	Nos serveurs	Avec votre compte
Les délais en coursComme les 72 premières heures d’un nouvel appareil, les 7 premiers jours d’un compte inscrit avec un casse-tête, ou une réinitialisation en attente	Pour faire fonctionner les périodes d’attente	Nos serveurs	Jusqu’à la fin du délai. Une réinitialisation : jusqu’à 30 jours après sa fin ou son annulation
Un compteur de blocagesUn seul nombre, qui change quand vous bloquez quelqu’un ou limitez qui peut vous ajouter	Pour que les invitations émises avant cessent de fonctionner	Nos serveurs. Ce n’est jamais une liste des personnes que vous avez bloquées	Avec votre compte

Pour avoir un compte, il vous faut un nom d’utilisateur, un mot de passe et les clés de votre appareil, et vous acceptez les conditions et déclarez avoir 16 ans ou plus. Tout ce qui est marqué « seulement si vous l’activez » ou « seulement quand vous le choisissez » est facultatif.

La forme brouillée de votre nom d’utilisateur nous permet de répondre à une recherche sans garder le nom en clair. Mais comme c’est nous qui détenons la clé qui la produit, nous pourrions vérifier si un nom d’utilisateur donné existe, ou tester une liste de noms.

Vos appareils

Quoi	Pourquoi	Où	Combien de temps
Votre clé d’identité et votre liste d’appareilsVotre clé d’identité, les certificats de vos appareils et leur liste, avec les versions signées précédentes de cette liste et de votre clé d’identité, gardées pour qu’on puisse vérifier les changements de clés. Nous savons donc combien d’appareils vous avez et leur type de plateforme (iPhone, Android, Windows ou Mac), mais jamais leur modèle	Pour vérifier que chaque appareil est bien le vôtre, et livrer à chacun	Nos serveurs	Jusqu’à la suppression de votre compte
Chaque appareilDes clés publiques qui permettent de commencer une discussion avec vous, si sa clé de connexion est gardée dans une puce sécurisée, un identifiant de notification aléatoire, le jour de son ajout, son dernier jour d’activité, la fin de ses 72 premières heures, et la version de l’app avec laquelle il s’est connecté la dernière fois (pour qu’un message programmé n’arrive jamais à une app trop ancienne pour l’ouvrir)	Pour livrer les messages, vous protéger d’un appareil ajouté par quelqu’un d’autre, et retirer les appareils et les comptes qui ne servent plus	Nos serveurs	Jusqu’au retrait de l’appareil. Son dernier jour d’activité est remplacé chaque fois. Un appareil qui reste hors ligne pendant 90 jours est retiré, après un avis au jour 75. Votre dernier appareil ne l’est jamais
Les appareils partisPour chaque appareil retiré, y compris lors d’un nouveau départ ou de la suppression de votre compte, son identifiant, votre nom d’utilisateur, la raison de son départ et le jour. Jamais ce qu’il contenait	Pour qu’une personne qui écrit encore à cet appareil apprenne qu’il n’existe plus, au lieu de perdre son message	Nos serveurs	180 jours au plus, même après la suppression de votre compte
Les sessions de connexion et d’associationUne connexion en cours, un casse-tête que votre appareil est en train de résoudre, et la boîte scellée qui remet vos clés, et le chemin vers votre historique, à un nouvel appareil que vous associez	Pour vous connecter et associer vos appareils	Nos serveurs, en mémoire. La boîte est scellée pour votre nouvel appareil	Une connexion : 1 minute. Un casse-tête : 5 minutes. Une boîte d’association : 10 minutes

Messages, fichiers et groupes

Quoi	Pourquoi	Où	Combien de temps
Les messages scellésPour une boîte aux lettres que nos serveurs ne peuvent pas relier à vous, l’heure d’arrivée de chacun, une taille arrondie, la version des clés de la discussion (elle augmente quand quelqu’un se joint à la discussion, la quitte ou renouvelle ses clés), s’il faut réveiller un appareil, et s’il s’agit d’une discussion à deux ou d’un groupe	Pour les livrer	Nos serveurs, sous forme chiffrée	Jusqu’à ce que chaque appareil l’ait récupéré, 30 jours au plus. Dans les grands groupes (plus de 256 appareils), un message reste jusqu’à la fin de ses 30 jours, même après sa livraison. Une copie chiffrée peut rester jusqu’à 14 jours dans les sauvegardes de nos serveurs
Les messages programmésUn message que vous programmez, scellé sur votre appareil pour chaque appareil qui le recevra, avec l’heure de son envoi, ces appareils, une taille arrondie, s’il réveille un téléphone, et une forme brouillée du droit de l’annuler. Jamais qui l’a programmé, ni ce qu’il dit	Pour qu’il parte à son heure, même si votre téléphone est éteint	Nos serveurs, sous forme chiffrée	Jusqu’à son heure, soit un an au plus, ou une semaine avec une photo, un fichier ou un message vocal. Il est alors livré comme tout message. Une fiche qui dit qu’il est parti ou qu’il a été annulé reste encore 30 jours, sans le message
Les photos, les fichiers et les messages vocaux scellésUne taille arrondie, l’heure du téléversement, et si un fichier est épinglé. Un message vocal est complété jusqu’au prochain de quelques paliers de taille, donc tous ceux d’environ 15 secondes ou moins pèsent pareil, et un plus long ne laisse voir qu’une durée approximative. Aucun fichier n’est lié à la personne qui l’envoie. Ni à une discussion, sauf qu’un fichier épinglé est rattaché à son groupe (jamais aux membres du groupe), pour compter le quota du groupe	Pour les livrer, et garder les fichiers épinglés	Nos serveurs, sous forme chiffrée	30 jours. Les fichiers épinglés restent tant qu’ils sont épinglés, dans la limite du quota du groupe
L’historique pour les nouveaux appareils et membresL’historique chiffré que vous envoyez à votre nouvel appareil, ou l’historique récent qu’un groupe montre à ses nouveaux membres, si le groupe l’a activé	Pour transférer l’historique	Nos serveurs, sous forme chiffrée	24 heures au plus
Les fiches chiffréesVotre profil, l’état de votre compte (contacts, blocages et réglages) et l’état de vos groupes. Nous n’en voyons que la taille et le moment où elles changent	Pour garder vos appareils et vos groupes synchronisés	Nos serveurs, sous forme chiffrée	Tant qu’elles existent
Les modifications des groupesPour une boîte aux lettres de groupe que nos serveurs ne peuvent pas relier à ses membres, chaque modification du groupe, scellée pour ses membres, avec son numéro d’ordre ; combien de modifications le groupe a faites aujourd’hui ; et s’il compte plus de 256 appareils	Pour que la copie du groupe de chaque membre reste à jour, et empêcher les avalanches de modifications	Nos serveurs, sous forme chiffrée	Les modifications : 30 jours. Le décompte du jour : 1 jour. S’il compte plus de 256 appareils : tant que le groupe existe
Les liens de contact, les invitations et les passesUne carte chiffrée pour votre lien de contact, l’utilisation des liens d’invitation et, pour une passe communautaire créée par les admins d’un groupe, ses limites, son expiration et son nombre d’utilisations (jamais qui l’a utilisée)	Pour que les liens et les passes fonctionnent	Nos serveurs	Tant que le lien ou la passe existe. Vous pouvez réinitialiser votre lien de contact en tout temps
Les demandes de discussionSi une demande a reçu une réponse, et combien de messages elle contient (3 au plus). Jamais qui l’a envoyée	Pour qu’une personne inconnue ne puisse envoyer que 3 messages tant que vous n’avez pas répondu	Nos serveurs	Jusqu’à votre réponse. Une demande restée sans réponse disparaît après 30 jours
La présenceSi votre appareil a une connexion ouverte	Pour livrer les messages tout de suite	Nos serveurs, en mémoire	Environ 90 secondes. Votre statut en ligne voyage scellé entre les appareils, et nous n’en gardons rien
Votre marque quotidienne de présenceUne fois par jour, votre appareil envoie une marque scellée qui ne porte que le jour, jamais une heure. Elle permet à vos contacts de voir « en ligne récemment » quand ils ne peuvent pas voir votre heure. Aucune avec la protection renforcée	Pour la livrer à un moment tiré au hasard, afin qu’elle ne dise jamais quand vous avez utilisé Murmur	Nos serveurs, sous forme chiffrée	De 1 à 12 heures, au hasard, puis elle est livrée comme tout message
Les recherches et les premiers contactsUn nom d’utilisateur que quelqu’un cherche, et les clés qu’un nouveau contact va chercher pour commencer une discussion avec vous	Pour trouver une personne qui est trouvable, et commencer une discussion	Nos serveurs, un instant seulement	Pas gardés. Seulement des compteurs qui les limitent
Le nom d’utilisateur que vous choisissezLes deux chiffres qu’on vous montre pendant l’inscription, gardés avec une forme brouillée du nom que vous avez tapé. Jamais avec votre adresse IP	Pour que votre compte reçoive les chiffres que vous avez vus	Nos serveurs, en mémoire seulement	10 minutes après que vous les avez vus pour la dernière fois, 30 minutes au plus, puis oubliés dans la minute

Votre sauvegarde chiffrée du texte, seulement si vous l’activez

Quoi: Une copie de votre historique texte, c’est-à-dire les messages, les réactions, les modifications, les messages épinglés, et les archives Telegram que vous avez importées. Ni photos, ni fichiers, ni messages vocaux, ni listes de tâches, et jamais de messages éphémères. Seule votre clé de récupération l’ouvre, et nous ne le pouvons pas. Nous n’en voyons que la taille et le moment où elle change
Pourquoi: Pour que votre historique puisse revenir sur un nouvel appareil
Où: Nos serveurs, sous forme chiffrée
Combien de temps: Les 2 dernières copies, supprimées quand vous supprimez votre compte

Toute personne qui détient votre clé de récupération pourrait lire cette sauvegarde, donc gardez la clé en lieu sûr.

Les notifications

Quoi	Pourquoi	Où	Combien de temps
Les jetons de notificationUn jeton pour chaque appareil, le moment où il est réveillé, si les discussions à deux et les groupes lui envoient des notifications, et si ses notifications portent le message (pas avec « Ni nom ni contenu », ni avec la protection renforcée)	Pour réveiller votre appareil quand un message arrive	Seulement sur notre relais de notifications, une machine distincte, sous un identifiant aléatoire	Supprimés après 30 jours sans activité sur cet appareil
Les discussions en sourdineLe fait que vous avez mis une discussion en sourdine, quand votre appareil ne peut pas écarter lui-même ses notifications (cela peut arriver sur iPhone), ou si vous le choisissez pour un très grand groupe	Pour ne pas réveiller votre appareil pour cette discussion	Nos serveurs, pour la boîte aux lettres de cette discussion, qu’ils ne peuvent pas relier à vous	Jusqu’à ce que vous retiriez la sourdine. Quand vous supprimez votre compte, votre appareil efface cette indication ; sinon, elle disparaît quand la boîte aux lettres de cette discussion ne sert plus

L’inscription

Quoi: Un jeton à usage unique qui montre que votre application a réussi la vérification de l’appareil d’Apple ou de Google ou, sur ordinateur et pour qui le préfère, a résolu un petit casse-tête
Pourquoi: Pour freiner les faux comptes, sans demander de numéro de téléphone
Où: Nos serveurs vérifient le jeton, mais ne peuvent pas le relier à l’appareil qui l’a obtenu. Un service distinct émet les jetons, sans accès aux comptes. Pour limiter le nombre de jetons par appareil, il garde une forme brouillée de la clé de vérification de l’appareil, et un décompte
Combien de temps: Le résultat de la vérification n’est jamais stocké. Le service émetteur garde son registre des jetons utilisés jusqu’au changement de ses clés, chaque mois, et le décompte, 30 jours

Les aperçus de liens

Quoi: L’adresse d’un lien que vous envoyez, sans la partie qui suit le #
Pourquoi: Pour montrer un aperçu de la page dans votre message
Où: Une fois le lien envoyé, votre appareil demande la page à notre relais, sur une connexion distincte qui n’est pas liée à votre compte. Le site voit notre relais, pas vous. L’aperçu voyage scellé, dans votre message
Combien de temps: Jamais stocké ni journalisé. Nous comptons seulement combien d’aperçus sont faits chaque jour, jamais lesquels

Les aperçus de liens sont activés au départ, et ne sont jamais faits pendant que vous écrivez, dans une demande de discussion, ni pour les propres liens de Murmur. Désactivez-les dans Réglages › Confidentialité › Aperçus de liens.

Les achats

Quoi	Pourquoi	Où	Combien de temps
Un indicateur « soutien »Sur votre compte, si vous avez acheté un article de soutien facultatif. Pour l’activer, nos serveurs vérifient le reçu du magasin, qui ne contient ni nom ni carte	Pour vous donner ce que vous avez acheté	Nos serveurs, sans votre identité de paiement	Tant que dure l’avantage
Un indicateur « forfait communauté »Sur un groupe. Pour l’activer et suivre ses renouvellements, nos serveurs vérifient le reçu du magasin, qui ne contient ni nom ni carte	Pour donner au groupe plus d’espace pour ses fichiers	Nos serveurs	Tant que le forfait est actif

Signalements et sécurité

Quoi	Pourquoi	Où	Combien de temps
Les signalements d’abusLa catégorie, les messages que la personne qui signale a choisi d’envoyer (avec leurs signatures d’origine et le certificat de la personne qui les a écrits), le statut du signalement, et une forme brouillée du compte qui signale	Pour vérifier les signalements, agir contre les abus, protéger les enfants et remplir nos obligations légales	Nos serveurs, sous forme chiffrée, pour notre équipe de sécurité	90 jours après la fermeture du dossier. Si nous agissons contre un compte, au moins 1 an après cette décision, pour qu’elle puisse être vérifiée et contestée. Un an quand la loi nous oblige à le signaler aux autorités. Plus longtemps seulement en cas d’obligation légale de conservation (une ordonnance de garder des données précises)
Le registre des actions du personnelCe que notre personnel a fait sur un compte	Pour vérifier notre propre travail	Nos serveurs, dans un journal que personne ne peut réécrire	2 ans, plus longtemps seulement en cas d’obligation légale de conservation. Après la suppression de votre compte, sans lien avec lui

Certaines données sur vous peuvent venir d’autres personnes. Si quelqu’un vous signale, nous recevons les messages que cette personne a choisis, avec votre signature et votre certificat.

Diagnostics et assistance, seulement quand vous le choisissez

Quoi	Pourquoi	Où	Combien de temps
Les rapports de plantageSeulement si vous activez les rapports de plantage. Nettoyés d’abord sur votre appareil, et vous voyez un aperçu exact de ce qui en sort	Pour corriger les plantages	Nos propres serveurs, jamais un service externe de rapports de plantage	Jusqu’à la correction du problème, puis supprimés
Les rapports de débogageSeulement si vous en envoyez un. Il contient une liste fixe de champs et un identifiant de diagnostic valable 24 heures, pendant lesquelles notre équipe peut consulter les fiches scellées de ce seul groupe, qu’elle ne peut toujours pas ouvrir	Pour vous aider à régler un problème que vous nous avez soumis	Nos serveurs	Jusqu’à la correction du problème, puis supprimés
Les messages au compte officielCe que vous écrivez au compte officiel de Murmur dans l’application. Notre équipe d’assistance ne voit que ce que vous lui envoyez, jamais vos autres discussions ni vos clés	Pour vous répondre	Nos serveurs et notre équipe d’assistance	Tant que nous en avons besoin pour vous aider
Les courriels que vous nous envoyezAvec votre adresse courriel	Pour vous répondre	Notre fournisseur de courriel et notre équipe	Tant que nous en avons besoin pour vous répondre, sauf si la loi nous oblige à les garder plus longtemps
Les rapports des communautés et du panelDes totaux que les admins d’un groupe, ou les personnes qui se joignent à notre panel de recherche, choisissent de nous transmettre, comme le nombre de membres actifs	Pour savoir si les communautés s’installent sur Murmur	Nos serveurs, seulement sous forme de totaux	13 mois

Connexions et décomptes

Quoi	Pourquoi	Où	Combien de temps
Votre adresse IPUne forme brouillée en est comptée en mémoire pour freiner les abus. Cela demande seulement un peu de travail supplémentaire à votre appareil, sans jamais vous bloquer	Pour acheminer votre connexion, et freiner les abus	Nos serveurs, en mémoire seulement	Jamais stockée ni journalisée, et jamais liée à votre compte. La forme brouillée : 1 heure au plus
Les journaux des serveursUne liste fermée de champs, sans jamais d’identifiants de compte, d’appareil ou de groupe, d’adresses IP ni de jetons	Pour garder nos serveurs en marche	Nos propres machines	7 jours
Les traces de panneLe trajet d’une requête dans nos serveurs, pour un petit échantillon de requêtes, et seulement pendant que nous réglons une panne. La même liste fermée de champs que les journaux des serveurs	Pour trouver et corriger le problème	Nos propres machines	72 heures

Votre réseau (votre fournisseur Internet, un réseau Wi-Fi) peut quand même voir que vous utilisez Murmur, quand, et à peu près combien de données vous envoyez. Murmur ne le cache pas, mais vous pouvez vous connecter par un réseau privé virtuel (VPN) ou par Tor, et les personnes qui le font sont les bienvenues.

Les totaux

Quoi: Des décomptes qui montrent que Murmur fonctionne ; combien il y a de comptes et d’appareils, et combien sont actifs ; combien de messages, de photos et de fichiers passent par nos serveurs chaque jour, et leur volume ; les notifications envoyées et celles qui ont échoué ; les aperçus de liens ; les recherches de noms d’utilisateur ; les inscriptions selon le type de vérification, et les invitations à s’inscrire ; les comptes supprimés ; combien de nouveaux comptes sont encore actifs après 4 semaines et après 30 jours ; les signalements reçus, et les signalements de pourriel par tranche de 1 000 nouveaux comptes ; le déroulement des récupérations de compte ; les tentatives bloquées par nos limites ; combien de personnes utilisent plusieurs appareils, un ordinateur ou une sauvegarde du texte ; la rapidité et les erreurs. Les comptes actifs du jour sont comptés en mémoire, d’une façon qui ne permet pas de remonter jusqu’à vous et qui est remise à zéro chaque jour ; sur une semaine ou un mois, nous nous fions au dernier jour où chaque appareil a été actif, et nous ne gardons que le total. Les appareils connectés en ce moment, et les appareils selon leur service de notifications (Apple, Google, un autre service ou aucun), sont comptés sur le moment, sans rien garder de plus
Pourquoi: Pour savoir que Murmur fonctionne et quelle est sa taille, sans suivre personne
Où: Nos serveurs, seulement des totaux, jamais liés à une personne
Combien de temps: Totaux : 13 mois. Appareils connectés en ce moment et par service de notifications : jamais enregistrés

Comment nous utilisons vos données

Seulement pour faire fonctionner Murmur et assurer sa sécurité. Jamais pour de la publicité, et elles ne sont jamais vendues.

Pour vous donner un compte, livrer vos messages et vos fichiers, et garder vos appareils synchronisés.
Pour assurer la sécurité de Murmur, en freinant le pourriel, les faux comptes et les tentatives de deviner les mots de passe, en vérifiant les signalements, et en protégeant les enfants.
Pour respecter la loi, y compris les ordonnances valides et les signalements que la loi exige.
Pour corriger les problèmes que vous nous signalez, et les plantages que vous choisissez de nous envoyer.
Pour compter des totaux, jamais des personnes.

Nous ne vendons pas vos renseignements personnels, et nous ne les communiquons pas à des fins publicitaires. Aucune publicité, aucun traqueur, aucune trousse de mesure d’audience ou de rapports de plantage d’autres entreprises, et aucun profil de vous à des fins de marketing. Aucune IA ne lit vos conversations sur nos serveurs, et les signalements ne passent jamais par un outil d’IA.

Des limites qui s’appliquent d’elles-mêmes

Certaines limites contre les abus s’appliquent automatiquement. Elles reposent sur des données du compte, jamais sur ce que vous écrivez. Ces données sont l’ancienneté du compte, le nombre de nouvelles discussions qu’il lance, les recherches de noms d’utilisateur qui échouent, le rythme auquel il entre dans des groupes, les signalements retenus, les restrictions passées, et s’il s’est inscrit avec une vérification de l’appareil ou un casse-tête. C’est ce que nous appelons les niveaux de confiance. Elles sont toujours actives, parce qu’elles protègent tout le monde. Nous ne vous évaluons d’aucune autre façon, et nous ne faisons aucun profil de vos intérêts, de vos habitudes ou de vos préférences.
Quand une limite ou une restriction s’applique à vous, l’application vous le dit, et vous dit pourquoi.
Vous pouvez nous demander quels renseignements ont servi, les principales raisons et les principaux facteurs qui ont mené à la décision, et faire corriger ces renseignements. Vous pouvez faire appel dans l’application dans les 7 jours. En tout temps, vous pouvez aussi demander qu’une personne de notre équipe revoie une décision automatique en écrivant à [email protected].

Ce qui reste sur votre appareil

L’essentiel de Murmur vit sur vos appareils, pas chez nous.

Vos messages, photos, fichiers et contacts sont stockés dans une base de données chiffrée sur vos appareils. Sa clé est aléatoire, jamais tirée de votre mot de passe, et protégée par le stockage sécurisé de votre système. Cette base est exclue des sauvegardes propres à votre téléphone ou à votre ordinateur. Vous pouvez aussi verrouiller Murmur avec un NIP ou le déverrouillage de votre appareil.
Vos clés privées restent sur vos appareils. Nos serveurs ne les détiennent jamais autrement que scellées, dans les données de votre clé de récupération et pendant quelques minutes quand vous associez un nouvel appareil, donc nous ne pouvons pas nous en servir. Votre clé de récupération reste avec vous. Nous n’en gardons aucune copie, et nous ne vous la demanderons jamais.
Le Coffre, votre propre discussion pour les notes, les photos et les fichiers que vous gardez, vit sur vos appareils. Avec plusieurs appareils, il passe scellé par nos serveurs comme n’importe quel message, et y est supprimé une fois qu’ils l’ont reçu.
La recherche se fait uniquement sur vos appareils.
Le message vocal en texte, dans l’application iPhone, se fait sur votre iPhone, avec la reconnaissance vocale d’Apple. Le texte n’est jamais envoyé, pas même à vos autres appareils.
Votre journal de sécurité (nouveaux appareils, connexions échouées, changements de mot de passe ou de clé) est chiffré de bout en bout sur vos appareils.
Les messages que vous gardez pour plus tard restent sur vos appareils, synchronisés sous scellé entre eux, et ne vont nulle part ailleurs. Un message programmé, lui, attend sous scellé sur nos serveurs, pour partir à son heure même si votre téléphone est éteint (voir « Messages, fichiers et groupes »).
Les sondages et les listes de tâches sont comptés et gardés par l’application de chaque membre, jamais par nous.
Mes statistiques sont comptées sur vos appareils, et le nom et la photo privés que vous donnez à un contact avec Modifier le contact y restent aussi.
Les aperçus de liens sont faits par l’appareil de la personne qui envoie le lien.
Les outils d’admin, soit la modération automatique légère d’un groupe et ses statistiques, fonctionnent sur l’appareil même de l’admin.
L’import Telegram se fait sur ordinateur, à partir de l’export de Telegram Desktop. L’archive est en lecture seule, visible par vous seulement, chiffrée sur votre appareil et synchronisée avec vos propres appareils (et avec votre sauvegarde du texte, si elle est activée). Les identifiants Telegram sont retirés ; les noms affichés sont gardés. Nos serveurs ne la traitent pas. Elle contient les noms et les mots d’autres personnes, donc elle est réservée à votre usage personnel.
Les messages éphémères et les photos à vue unique sont supprimés par les appareils de la discussion. Les messages éphémères ne sont jamais sauvegardés, exportés ni transférés vers un nouvel appareil, et les photos à vue unique ne sont jamais exportées.

Ce que cela ne peut pas protéger, c’est un appareil déverrouillé ou infecté par un logiciel espion, et les copies que garde le système de votre téléphone, comme l’historique des notifications.

Ce que les autres personnes peuvent voir

Les personnes à qui vous parlez voient ce que vous leur envoyez. Voici ce que cela comprend.

Les personnes d’une discussion ou d’un groupe voient ce que vous y envoyez, et peuvent l’enregistrer, en faire une capture d’écran ou le transférer.
Les personnes avec qui vous discutez, et les membres de vos groupes, peuvent voir votre nom. Par défaut, votre photo de profil n’est montrée qu’à vos contacts. Dans Réglages › Confidentialité › Photo de profil, vous pouvez la montrer à toutes les personnes avec qui vous discutez, ou à personne. Votre bio fonctionne de la même façon, dans Réglages › Confidentialité › Bio.
Quand quelqu’un transfère un message que vous avez écrit, ce message indique seulement « Transféré », sauf si vous permettez que votre nom y paraisse dans Réglages › Confidentialité › Messages transférés.
Les personnes avec qui vous discutez, à deux et en groupe, voient quand vous êtes en ligne, ou depuis quand vous ne l’êtes plus. Dans Réglages › Confidentialité › Statut en ligne, vous pouvez le réserver à vos contacts, ou le désactiver, et vos contacts voient alors seulement « en ligne récemment » ou « en ligne il y a longtemps ». Les personnes inconnues ne le voient jamais, même après vous avoir envoyé une demande, et la protection renforcée désactive tout.
Dans un groupe, tout le monde peut voir qui d’autre en fait partie. Vous pouvez y cacher votre nom d’utilisateur aux membres qui ne sont pas vos contacts.
Votre appareil signe vos messages, donc les personnes qui les reçoivent peuvent prouver qu’ils viennent de vous. Vous ne pouvez pas nier avoir écrit un message. C’est aussi ce qui rend les signalements dignes de confiance.
Quand vous écrivez à quelqu’un pour la première fois, votre message attend dans ses Demandes de discussion. Tant que cette personne n’a pas accepté, rien ne vous montre que le message a été livré ou lu. Si votre compte a été créé il y a moins d’une semaine, elle voit un avertissement qui dit qu’il est nouveau.
Les accusés de lecture et l’indicateur « écrit… » sont activés par défaut. Si vous désactivez l’indicateur de saisie, vous ne voyez pas non plus quand les autres écrivent. Ni l’un ni l’autre n’est jamais montré dans les demandes, et ils sont désactivés dans les groupes de plus de 100 membres.
Toute personne qui tape votre nom d’utilisateur exact, chiffres compris, peut vous trouver et vous envoyer une demande. C’est activé par défaut. Vous pouvez le désactiver dans Réglages › Confidentialité › Par nom d’utilisateur, et choisir qui peut vous envoyer une demande dans « Demandes de », soit tout le monde, soit les personnes avec qui vous partagez un groupe, soit personne.
Quand vous marquez comme vérifié le code de sécurité d’un contact, votre appareil le dit au sien, sous scellé. Une fois le code marqué des deux côtés, le cadenas de votre discussion passe au vert pour vous deux.
Les admins d’un groupe voient les réponses que vous donnez à leurs questions d’adhésion, et les signalements que les membres leur envoient.
Si les admins d’un groupe activent l’historique pour les nouveaux membres, les personnes qui se joignent au groupe peuvent lire les messages récents.
Toute personne qui a le lien d’invitation d’un groupe peut s’y joindre et lire les nouveaux messages, sauf si la personne qui a créé le lien approuve d’abord chaque nouveau membre.

Ce que voient Apple et Google

Ils acheminent les notifications et vendent des applications. Ils ne voient jamais vos messages, mais ils peuvent relier votre appareil à votre compte Apple ou Google.

Les notifications

Sur iPhone, les notifications passent par Apple. Sur Android, elles passent par Google. Une notification porte au plus le nouveau message, scellé pour que seul votre appareil puisse l’ouvrir, donc ni Apple, ni Google, ni nous ne pouvons le lire, ni savoir qui l’a envoyé. Mais Apple ou Google voient un jeton et le moment où votre appareil est réveillé, et peuvent relier cet appareil à votre compte Apple ou Google. Les autorités peuvent le leur demander.
Votre appareil ouvre le message et écrit lui-même la notification. Ce qui s’affiche à l’écran, c’est vous qui le choisissez, dans Réglages › Notifications › Aperçus, entre « Nom et message », « Nom seulement » (le choix par défaut) ou « Ni nom ni contenu ». Avec « Ni nom ni contenu », la notification ne porte aucun message.
Sur Windows et Mac, les notifications arrivent seulement pendant que Murmur est ouvert, par notre propre connexion. Aucun service de notifications d’une autre entreprise n’intervient.
Dans l’application Android offerte sur murmur.free, vous pouvez utiliser UnifiedPush au lieu de Google. Le service UnifiedPush que vous choisissez voit alors quand votre appareil est réveillé.
Avec la protection renforcée, les notifications ne montrent jamais de nom ni de message, et n’en portent aucun.

Les magasins d’applications et les achats

Si vous obtenez Murmur dans l’App Store ou sur Google Play, le magasin sait que vous l’avez téléchargé.
Si vous achetez quelque chose dans l’application, le magasin s’occupe du paiement et sait qui a payé. Nous ne voyons jamais votre carte, et nous ne gardons aucune identité de paiement, seulement l’indicateur décrit plus haut. Pour l’activer, nos serveurs vérifient le reçu du magasin, qui ne contient ni nom ni carte.

Leurs propres politiques de confidentialité encadrent ce qu’ils font.

Qui d’autre reçoit des données

Seulement les quelques entreprises et organismes dont Murmur a besoin. Jamais d’annonceurs ni de courtiers en données.

Qui	Dans quel but	Ce qu’ils reçoivent
Notre hébergeur, une entreprise de centres de données	Faire fonctionner nos serveurs, notre base de données et notre stockage, et garder nos sauvegardes chiffrées dans un deuxième centre de données	Du contenu chiffré et les données décrites dans cette politique, sur des disques chiffrés
Apple et Google	Les notifications, la vérification à l’inscription, leurs magasins d’applications	Voir « Ce que voient Apple et Google »
Le service UnifiedPush que vous choisissez, sur Android	Les notifications sans Google	Le moment où votre appareil est réveillé
Cloudflare, qui héberge ce siteJamais l’application Murmur, qui ne parle qu’à nos propres serveurs	Vous envoyer les pages de ce site, et protéger le site contre les attaques	Votre adresse IP et la page que vous demandez
Notre fournisseur de courriel	Nos boîtes de courriel, comme [email protected]	Les courriels que vous nous envoyez
Les organismes de protection de l’enfance que la loi désigneComme la CyberTipline du National Center for Missing & Exploited Children (NCMEC)	Les signalements d’abus sexuels envers des enfants qu’exige la loi	Ce qui a été signalé, et ce que nous détenons sur le compte (nos Normes de protection des enfants)
Les autoritésAvec une ordonnance valide, ou sans ordonnance seulement quand la vie d’une personne est en danger immédiat (le minimum seulement)	Les demandes juridiques	Ce que nous détenons, tel que décrit dans cette politique (nos Lignes directrices pour les forces de l’ordre)
Nos représentants locaux, là où la loi en demande un	Recevoir les questions des personnes et des autorités sur place	Seulement ce que vous, ces personnes ou ces autorités envoyez, et ce dont nous avons besoin pour répondre
Des spécialistes en sécurité qui nous aident pendant un incident	La gestion de l’incident	Seulement ce que l’incident exige, sous engagement de confidentialité

Nos fournisseurs de services signent une entente écrite selon laquelle ils n’utilisent les données que pour nous, les protègent au moins aussi bien que le prévoit cette politique, et ne les gardent pas à la fin du travail.
Apple et Google agissent selon leurs propres politiques.
Si Murmur est un jour vendu ou fusionné, l’entreprise qui l’acquiert doit reprendre les mêmes engagements. Une action spéciale de notre entreprise a un droit de vote sur tout changement de contrôle, et peut le bloquer, à moins que l’acquéreur adopte nos règles, soit pas de publicité ni de pistage, aucune vente ni aucun partage de vos données, et aucun affaiblissement du chiffrement de bout en bout.

Où vivent vos données

Sur les serveurs que nous exploitons pour Murmur, avec des sauvegardes chiffrées dans un deuxième centre de données.

L’endroit où se trouve un serveur ne change rien à ce qu’il peut révéler. Ce qui vous protège, c’est la conception. Nous ne détenons aucun contenu de message et aucune clé, et nous publions le reste.
Certaines données sont traitées par d’autres, où qu’ils se trouvent :
- ce qu’Apple et Google traitent pour les notifications, les vérifications à l’inscription et leurs magasins ;
- les courriels que vous nous envoyez, par notre fournisseur de courriel ;
- vos visites sur ce site, par Cloudflare, qui l’héberge ;
- ce que vous envoyez à nos représentants locaux ;
- sur Android, ce que reçoit le service UnifiedPush que vous avez choisi ;
- les signalements de protection des enfants qu’exige la loi.
Avant de confier des renseignements personnels à un fournisseur de services, ou de les envoyer dans un autre pays, nous évaluons les risques pour votre vie privée, et chaque fournisseur signe une entente écrite avec nous.
Quand vos données vont dans un pays dont la loi les protège moins que celle de l’endroit où vous vivez, elles sont protégées par les garanties que cette loi exige pour ces transferts, comme des clauses contractuelles types. Écrivez à [email protected] pour en obtenir une copie.

La raison légale de chaque utilisation

Certaines lois sur la protection des renseignements personnels nous demandent d’indiquer la raison légale de chaque utilisation de vos données. Les voici.

Ce que nous faisons	Base légale
Faire fonctionner votre compte, livrer vos messages et vos fichiers, synchroniser vos appareils, et fournir les fonctions que vous activez (sauvegarde du texte, aperçus de liens, achats)	Notre contrat avec vous, soit les Conditions d’utilisation
Assurer la sécurité de Murmur, avec les limites contre les abus, les niveaux de confiance, les vérifications à l’inscription, les journaux des serveurs, le registre des actions du personnel, le traitement des signalements et des incidents, et l’application de nos règles	Nos intérêts légitimes, soit la sécurité de Murmur et des personnes qui l’utilisent
Compter des totaux	Nos intérêts légitimes, soit savoir que le service fonctionne, sans suivre personne
Répondre aux courriels que vous nous envoyez et à vos messages au compte officiel	Nos intérêts légitimes, soit vous répondre (notre contrat avec vous, quand il s’agit de votre compte)
Diffuser ce site, par Cloudflare, et le protéger contre les attaques	Nos intérêts légitimes, soit un site qui fonctionne et reste sûr
Répondre aux ordonnances valides, et faire les signalements de protection des enfants qu’exige la loi	Obligation légale, là où la loi qui s’applique à vous l’exige. Sinon, nos intérêts légitimes, soit remplir nos obligations légales, et protéger les enfants
Remplir nos autres obligations légales, comme répondre à vos demandes, déclarer les incidents et travailler avec nos représentants locaux	Obligation légale
Les rapports de plantage, les rapports de débogage, et les rapports que vous choisissez de nous transmettre comme membre du panel ou admin d’un groupe	Votre consentement. Vous pouvez le retirer en tout temps, dans l’application
Communiquer le minimum que nous détenons quand la vie d’une personne est en danger immédiat	Intérêts vitaux

Vous pouvez vous opposer à toute utilisation fondée sur nos intérêts légitimes en écrivant à [email protected].

Combien de temps nous gardons les données

Le moins longtemps possible. Chaque élément de la section « Les données que nous traitons » indique sa durée. Voici les règles qui la fixent.

Quand une période prend fin, les données sont supprimées automatiquement.
Les sauvegardes de nos serveurs se renouvellent en 14 jours au plus, donc les données supprimées en disparaissent aussi.
Nous ne gardons quelque chose plus longtemps que si la loi l’exige, soit un signalement que la loi nous oblige à faire aux autorités (1 an), les renseignements qui nous ont servi à prendre une décision sur un compte (au moins 1 an après la décision, pour qu’elle puisse être vérifiée et contestée), ou des données visées par une obligation légale de conservation (une ordonnance de garder des données précises). Cette obligation ne vise que les données concernées.
Quand vous supprimez votre compte, presque tout disparaît d’un coup.
Si vous cessez d’utiliser Murmur, votre compte est supprimé après 12 mois sans utilisation. Vous pouvez plutôt choisir 1, 3, 6, 12, 18 ou 24 mois, et Murmur vous prévient d’abord.

Vos droits

Vous pouvez consulter, emporter, corriger et supprimer vos données. Vous pouvez faire l’essentiel vous-même, dans l’application.

Vous avez le droit :

de savoir ce que nous détenons sur vous, et d’en obtenir une copie ;
de l’obtenir dans un format structuré et couramment utilisé, ou de le faire transmettre à une autre organisation, quand la loi le permet ;
de corriger ce qui est inexact ou incomplet ;
de supprimer votre compte et vos données ;
de retirer votre consentement, par exemple en désactivant les rapports de plantage ;
de nous demander de cesser de diffuser des renseignements sur vous, quand la loi le permet ;
de savoir quand une décision à votre sujet a été prise automatiquement, et pourquoi, et de la faire revoir par une personne ;
là où la loi vous donne ces droits, aussi de limiter la façon dont nous utilisons vos données, et de vous opposer aux utilisations fondées sur nos intérêts légitimes.

Comment les exercer

Dans l’application. Changez votre profil et vos réglages en tout temps. Sur ordinateur, la fonction « Exporter mes données » vous donne toutes vos discussions et les données que nos serveurs détiennent sur votre compte, dans un format que vous pouvez importer de nouveau (les messages éphémères et les photos à vue unique ne sont jamais exportés). Sans ordinateur, écrivez à [email protected] pour obtenir une copie de ce que nos serveurs détiennent. Pour supprimer votre compte, allez dans Réglages › Compte › Supprimer le compte.
En nous écrivant. Écrivez à [email protected] avec votre nom d’utilisateur et ce que vous souhaitez. Comme nous ne connaissons ni votre adresse courriel ni votre numéro de téléphone, nous vous demanderons de confirmer la demande depuis un de vos appareils, dans l’application. Nous ne vous demanderons jamais votre mot de passe ni votre clé de récupération. Pour supprimer votre compte, passez par l’application. Nous n’en supprimons jamais un à la suite d’un courriel.
Nous répondons dans les 30 jours, et c’est gratuit.
S’il ne vous reste aucun appareil, nous ne pouvons pas savoir qu’un compte est le vôtre, car nous ne détenons rien d’autre qui pourrait le prouver. C’est le prix à payer pour détenir si peu.

Où que vous viviez

Nous ne vendons aucun renseignement personnel, et nous n’en communiquons aucun à des fins de publicité ciblée, quel que soit le sens qu’une loi donne à ces mots, y compris sur des personnes de moins de 16 ans, et nous n’utilisons pas de renseignements sensibles pour tirer des conclusions sur vous.
Exercer vos droits ne change rien à la façon dont nous vous traitons.
Une personne que vous autorisez peut faire une demande pour vous. Nous vous demanderons quand même de la confirmer depuis un de vos appareils.
Si nous refusons une demande, vous pouvez faire appel en écrivant à [email protected] avec « Appel » dans l’objet. Nous répondons par écrit. Si la réponse ne vous satisfait toujours pas, vous pouvez vous adresser à l’autorité qui protège les renseignements personnels là où vous vivez.

Les plaintes

Dites-le-nous d’abord. Si la réponse ne vous satisfait pas, une autorité de protection de la vie privée peut vous aider.

Écrivez à [email protected]. La personne responsable de la protection des renseignements personnels examine chaque plainte, et nous vous répondons par écrit, avec ce que nous avons constaté et ce que nous avons fait.
La réponse ne vous satisfait pas ? Adressez-vous à l’autorité qui protège les renseignements personnels là où vous vivez ou travaillez.

Vous pouvez aussi vous adresser directement à cette autorité, sans nous écrire d’abord.

Les enfants et l’âge de 16 ans

Murmur s’adresse aux personnes de 16 ans et plus.

En créant votre compte, vous confirmez avoir 16 ans ou plus, comme l’exigent nos conditions. Nous ne vous demandons jamais votre date de naissance, et nos serveurs ne gardent que la version des conditions que vous avez acceptée.
Quand votre magasin d’applications communique votre tranche d’âge aux applications, Murmur s’en sert sur votre appareil pour appliquer la règle des 16 ans et plus, et ne la garde pas.
Nous ne détenons pas sciemment de données sur une personne de moins de 16 ans. Si nous apprenons qu’un compte appartient à une personne plus jeune, nous le fermons.
Si vous êtes parent, tutrice ou tuteur et que vous pensez que votre enfant de moins de 16 ans a un compte Murmur, écrivez à [email protected] en indiquant le nom d’utilisateur. Notre équipe examine la demande, et ne ferme le compte que si elle constate qu’il appartient à une personne de moins de 16 ans. Un message seul ne suffit jamais, donc personne ne peut faire fermer le compte de quelqu’un d’autre simplement en nous écrivant.
Nos Normes de protection des enfants disent comment nous protégeons les enfants, et comment nous agissons contre les abus.

La sécurité

Nous protégeons vos données en détenant le moins possible, et en scellant le reste.

Chaque discussion et chaque groupe est chiffré de bout en bout avec MLS, une norme ouverte. Chaque appareil a ses propres clés.
Votre mot de passe ne quitte jamais votre appareil, pas même quand vous le créez. Il prouve que c’est vous, et il ne déverrouille jamais vos messages.
Vos appareils stockent les données de Murmur sous forme chiffrée, avec les clés dans le stockage sécurisé de votre système.
Votre connexion va directement à nos serveurs, chiffrée, sans intermédiaire qui la déchiffre. La taille des messages est arrondie, pour qu’ils se ressemblent.
Nos serveurs utilisent des disques chiffrés et des sauvegardes chiffrées. Notre personnel n’y accède que par un réseau privé, avec des clés de sécurité physiques. Les actions en masse ou juridiques exigent deux personnes, et chaque action du personnel est inscrite dans un journal que personne ne peut réécrire.
Le code qui scelle vos messages, c’est-à-dire le chiffrement, le protocole et le serveur, est publié. Tout le monde peut le lire et vérifier comment vos messages sont protégés. Des firmes de sécurité indépendantes ont examiné la conception, audité le code et tenté de s’y introduire, et chaque rapport est publié.
Vous avez trouvé un problème de sécurité ? Écrivez à [email protected].

Aucun système n’est parfait. En cas de problème, voici ce que nous faisons. Les détails techniques sont dans « Comment ça marche ».

Les demandes des autorités

Nous ne détenons aucun contenu de message et aucune clé, donc ils ne peuvent pas être remis. Ce que nous détenons peut être exigé par une ordonnance valide.

Nous répondons aux procédures judiciaires valides qui nous lient, de quelque pays qu’elles viennent. Une autorité dont l’ordonnance ne nous lie pas passe par les voies que la loi lui donne, comme l’entraide juridique entre États.
Nous prévenons la personne concernée, sauf si une loi ou un tribunal l’interdit, ou s’il s’agit d’exploitation sexuelle d’enfants.
Nous contestons les ordonnances trop larges. Sans ordonnance, nous ne communiquons des données que pour les signalements de protection des enfants qu’exige la loi, et quand la vie d’une personne est en danger immédiat (seulement le minimum).
Deux fois par année, nous publions un rapport de transparence, avec les demandes reçues et les données remises, par pays et par type.
Une ordonnance pourrait nous obliger à commencer à garder davantage de données sur un compte à partir de ce moment, et nous interdire de vous le dire. C’est pourquoi nous ne détenons aucun contenu ni aucune clé, et pourquoi nous publions ce que nos serveurs peuvent voir.
Nous ne gardons pas les adresses IP.

Les détails sont dans nos Lignes directrices pour les forces de l’ordre.

En cas de problème

Si un incident met vos données en danger, nous vous prévenons, ainsi que les autorités.

Nous tenons un registre de chaque incident de confidentialité, même mineur, pendant au moins 5 ans.
Nous agissons tout de suite pour limiter le préjudice, et pour éviter que cela se reproduise.
S’il y a un risque de préjudice sérieux, nous avisons avec diligence les personnes concernées, et les autorités qui protègent les renseignements personnels, dans le délai que fixe la loi.
Comme nous n’avons pas votre adresse courriel, nous vous prévenons dans l’application et sur ce site. Après un incident grave, nous publions ce qui s’est passé et ce que nous avons changé.

Notre gouvernance des renseignements personnels

Voici comment nous encadrons les renseignements personnels chez Murmur, en mots simples.

Les rôles

La personne responsable de la protection des renseignements personnels approuve ces règles, est consultée dès le début de tout projet qui touche des renseignements personnels, et traite vos demandes, vos plaintes et les incidents. Elle peut confier une partie de ce rôle à un autre membre de notre équipe, par écrit.
Chaque personne de notre équipe n’a que les accès dont son travail a besoin :
- Personne chez Murmur ne peut voir le contenu des messages ni les clés.
- Les personnes qui exploitent nos serveurs peuvent voir les données décrites dans cette politique, et rien de plus.
- Notre équipe d’assistance ne voit que ce que vous envoyez au compte officiel de Murmur, et les rapports de débogage que vous choisissez d’envoyer.
- Notre équipe de sécurité voit les signalements reçus, avec les messages choisis par les personnes qui signalent, et les données de compte nécessaires pour y donner suite. Les preuves liées à la protection des enfants sont gardées dans un coffre que seules deux personnes ensemble peuvent ouvrir, et chaque ouverture est journalisée.
- Les demandes juridiques et les actions en masse exigent deux personnes.

Les évaluations des facteurs relatifs à la vie privée

Avant de concevoir ou de modifier un système qui traite des renseignements personnels, et avant que des renseignements personnels aillent à un fournisseur de services ou dans un autre pays, nous évaluons les risques pour votre vie privée et la façon de les réduire. Nous mettons ces évaluations à jour chaque fois que Murmur change d’une façon qui compte.

La confidentialité par défaut

Les réglages par défaut de Murmur vous protègent sans que vous ayez à changer quoi que ce soit. Les notifications ne montrent que le nom de la personne qui écrit, votre photo de profil et votre bio ne sont montrées qu’à vos contacts, un transfert de votre message ne porte pas votre nom, et les rapports de plantage restent désactivés jusqu’à ce que vous choisissiez de les activer. Quand un réglage par défaut échange un peu de confidentialité contre du confort au quotidien, comme les accusés de lecture, les aperçus de liens, « Statut en ligne » ou le fait d’être trouvable par nom d’utilisateur, vous pouvez le désactiver dans Réglages › Confidentialité.

La formation

Chaque membre de notre équipe qui peut accéder à des renseignements personnels signe un engagement de confidentialité et reçoit une formation sur ces règles avant d’obtenir l’accès, puis régulièrement par la suite.

Le registre des incidents

Nous consignons chaque incident de confidentialité, même mineur, avec ce qui s’est passé et ce que nous avons fait, et nous gardons ce registre au moins 5 ans, comme l’explique « En cas de problème ».

La conservation et la destruction des données

Chaque type de données a une durée fixée, indiquée dans la section « Les données que nous traitons ». À la fin de cette durée, nous détruisons les données (sur vos appareils, en détruisant leur clé) ou nous ne gardons que des totaux, jamais liés à une personne. Les règles sont dans « Combien de temps nous gardons les données ».

Les fournisseurs de services

Chaque fournisseur de services signe une entente écrite avant de recevoir le moindre renseignement personnel, comme le décrit la section « Qui d’autre reçoit des données ».

Le traitement des plaintes

La personne responsable de la protection des renseignements personnels examine chaque plainte, mène les vérifications et répond par écrit, comme l’explique « Les plaintes ».

Ce site

Ce site est fait de simples fichiers. Aucun témoin (cookie), donc aucune bannière de témoins. Aucune mesure d’audience ni aucun traqueur, donc aucun visiteur n’est suivi, et rien n’est chargé depuis un autre site.

La seule chose que ce site enregistre dans votre navigateur, c’est votre thème (clair ou sombre), si vous le changez. Il reste dans votre navigateur.
La page de téléchargement lit, dans votre navigateur, le système que vous utilisez, pour l’afficher en premier. Rien n’est envoyé.
Les boutons des magasins d’applications sont de simples liens, donc rien ne se charge depuis un magasin avant que vous cliquiez.
Quand vous suivez un lien de ce site vers un autre site, votre navigateur ne dit pas à cet autre site de quelle page vous venez.
Ce site est hébergé par Cloudflare. Pour vous envoyer une page, Cloudflare reçoit votre adresse IP et la page demandée, et s’en sert seulement pour livrer la page et protéger le site contre les attaques. L’application Murmur ne passe jamais par Cloudflare, et elle ne parle qu’à nos propres serveurs.
Nous ne vous pistons pas, donc les signaux Do Not Track et Global Privacy Control n’ont rien à désactiver, et nous les respectons quand même.
Les liens de contact et d’invitation (app.murmur.free/add#… et app.murmur.free/join#…) ouvrent Murmur, directement depuis nos propres serveurs. La partie après le # n’atteint jamais un serveur web. Elle reste sur votre appareil, et votre application la lit.
Aucune page de ce site ne demande votre nom d’utilisateur, votre mot de passe ni votre clé de récupération, et aucune ne peut supprimer votre compte, car il n’y a que vous qui puissiez le faire, dans l’application.

Plus de détails dans « Comment ça marche », à la rubrique « Ce site ».

Les changements à cette politique

Quand nous changeons cette politique, nous vous prévenons dans l’application et sur ce site au moins 30 jours avant que le changement prenne effet, de la même façon que pour nos conditions. Nous n’avons pas d’adresse courriel où vous l’envoyer.
Pour un changement important, nous expliquons ce qui change et pourquoi, en mots simples.
Les versions précédentes restent accessibles. Écrivez-nous à [email protected], et nous vous enverrons celle dont vous avez besoin. Nous gardons la version des conditions que vous avez acceptée.

Nous joindre

La vie privée, vos droits et les plaintes (la personne responsable de la protection des renseignements personnels): [email protected]
La protection des enfants: [email protected]
Les demandes juridiques et celles des forces de l’ordre: [email protected]
Les problèmes de sécurité: [email protected]
Tout le reste: [email protected]

Murmur ne vous demandera jamais votre mot de passe ni votre clé de récupération sur un site web ou dans un message.

Retour en haut

Sommaire