Politique de confidentialité — Reluvoa

Version : 1.2

Dernière mise à jour : 6 octobre 2026

Entrée en vigueur : 6 octobre 2026

Reluvoa est un copilote relationnel privé. L’application aide l’utilisateur à comprendre un contenu qu’il choisit, à conserver une mémoire relationnelle locale et à préparer trois suggestions modifiables. Elle ne lit pas les notifications, ne se connecte pas aux comptes de messagerie ou de rencontre, ne remplit aucun champ externe et n’envoie aucun message.

1. Responsable et contacts

Responsable du traitement et éditeur Google Play : 2J LAMBRE, organisation éditrice affichée par Google Play, établie en France.

Confidentialité et exercice des droits : contactsnormal@gmail.com

Support et sécurité : contactsnormal@gmail.com

Aucun délégué à la protection des données distinct n’est désigné à ce jour.

La forme juridique, le numéro d’immatriculation et l’adresse postale ne sont pas déduits de la seule Console Play dans cette version. Les informations légales vérifiées qui doivent être rendues publiques par Google restent celles du profil développeur Google Play.

2. Données traitées sur l’appareil

Lorsque l’utilisateur le décide, Reluvoa peut traiter localement :

• un nom, pseudonyme ou libellé de personne ;
• des textes et captures volontairement partagés ;
• le texte extrait localement d’une image par OCR ;
• un brouillon dicté volontairement, transcrit uniquement par le moteur de reconnaissance vocale sur l’appareil lorsque celui-ci est disponible ;
• la source, le type de relation et l’objectif confirmés par l’utilisateur ;
• des résumés, faits, incertitudes, suggestions et corrections ;
• des résultats et préférences de style sans contenu brut ;
• les paramètres de langue, de conservation et de mesure locale ;
• des reçus et tombstones techniques de suppression sans contenu ;
• le profil de communication et les préférences que l’utilisateur choisit ;
• une archive chiffrée créée volontairement.

Sur Android, la base locale est chiffrée avec SQLCipher et sa clé est protégée par Android Keystore. Android Auto Backup est désactivé. Sur iOS, la base locale utilise iOS Data Protection avec la classe NSFileProtectionCompleteUntilFirstUserAuthentication ; ce n’est pas SQLCipher. Les exports et l’inbox de partage iOS utilisent les mécanismes système Apple et CryptoKit. Les images temporaires sont chiffrées puis purgées après OCR, refus ou expiration. L’audio n’est pas enregistré durablement. La mesure produit locale est désactivée par défaut et ne transmet rien.

Ces traitements exclusivement locaux ne constituent pas une collecte hors appareil dans le formulaire Data safety de Google Play.

3. Analyse distante facultative

Le parcours local reste disponible sans analyse distante. Lorsque l’utilisateur active explicitement l’analyse distante pour une action, Reluvoa transmet par HTTPS à son proxy :

• le dernier texte sélectionné ;
• la langue, la source, le type de relation et l’objectif ;
• si elle est pertinente, une mémoire minimale composée d’un résumé, de faits confirmés et d’incertitudes ;
• un identifiant de requête, un identifiant d’installation pseudonyme, une preuve d’intégrité et les éléments techniques nécessaires à la sécurité et aux quotas.

Le consentement est horodaté et doit dater de moins de cinq minutes. Le proxy ne conserve pas le texte envoyé ni la réponse dans sa base applicative et ses logs applicatifs sont conçus sans contenu. Il transmet la demande à OpenAI au moyen de l’API Responses avec store: false. OpenAI fournit le service d’analyse distante demandé selon les conditions applicables à son API.

Par défaut, les API OpenAI peuvent conserver des journaux de prévention des abus contenant les entrées et sorties jusqu’à 30 jours, sauf obligation légale plus longue. Les données API ne sont pas utilisées pour entraîner les modèles sauf accord explicite du client API. Reluvoa ne doit pas activer ce partage. Une éventuelle approbation « Zero Data Retention » devra être vérifiée dans le projet OpenAI avant de raccourcir cette information.

Sources : contrôles de données de l’API OpenAI, OpenAI Services Agreement.

4. Données techniques et commerciales côté serveur

Pour sécuriser le service, appliquer les quotas et gérer Plus, le serveur conserve actuellement :

• un identifiant de compte Reluvoa pseudonyme et une empreinte irréversible de l’identifiant Firebase, l’état du compte et les dates techniques d’authentification ;
• les identifiants pseudonymes des appareils liés au compte ;
• un identifiant d’installation pseudonyme, la clé publique de l’appareil, le sujet d’attestation, la plateforme, le statut et la date d’enregistrement ;
• une archive de récupération chiffrée sur l’appareil, son empreinte, sa taille, sa révision et sa date de mise à jour. Le serveur ne reçoit pas le code de récupération et ne peut pas lire le contenu de cette archive ;
• des nonces anti-rejeu éphémères et des compteurs de quotas ;
• le produit, le plan, l’état et l’échéance du droit Plus, ainsi qu’une empreinte du jeton d’achat — jamais le jeton brut dans la base ;
• les identifiants d’événements RTDN nécessaires à l’anti-doublon ;
• les métadonnées de requête consignées automatiquement par l’hébergeur Google Cloud Run : adresse IP, agent utilisateur, statut et latence. L’adresse IP peut révéler une position approximative ; Reluvoa ne demande aucune autorisation de localisation et n’utilise pas ces métadonnées pour la publicité ;
• pour un signalement volontaire : un identifiant, la catégorie, la langue, le type de suggestion et le moteur, sans conversation ni texte de suggestion.

Le signalement peut être retiré depuis l’application ; sa ligne est alors supprimée. Un endpoint signé permet aussi d’effacer les données serveur de l’installation. Le runtime PostgreSQL managé, ses migrations et une restauration PITR sont déployés et vérifiés. Le 29 août 2026, le parcours d’effacement a été exercé deux fois depuis la copie Google Play 1.0.92/code94 : le serveur a répondu HTTP 200, l’application a affiché son reçu, puis une nouvelle analyse distante a créé une nouvelle inscription technique avant qu’un second effacement soit confirmé. Les copies chiffrées de reprise après incident peuvent conserver temporairement l’état antérieur jusqu’à l’expiration de la politique publiée : huit sauvegardes quotidiennes et sept jours de journaux de transactions. Elles ne sont pas utilisées pour un autre usage.

Google Play traite les achats selon les conditions et politiques de Google. Le proxy utilise Android Publisher et RTDN uniquement pour vérifier, restaurer, révoquer ou rembourser un droit.

5. SDK et destinataires

Le composant OCR ML Kit intégré peut transmettre à Google des informations sur l’appareil et l’application, un identifiant par installation, des mesures de performance, la configuration d’API, la taille des entrées/sorties, la version de fonction, le type d’événement et des codes d’erreur à des fins de diagnostic et de mesure d’usage. Google indique chiffrer ces données en transit et ne pas les partager avec des tiers. Le contenu des captures et le texte reconnu ne sont pas listés comme collectés pour Text Recognition.

Source : déclaration de données ML Kit.

Destinataires prévus :

• 2J LAMBRE et ses personnes autorisées ;
• Google Cloud, comme hébergeur/sous-traitant du proxy ;
• Firebase Authentication, opéré par Google, pour la connexion et la gestion du compte. Selon la méthode choisie, Firebase peut traiter l’adresse e-mail, l’identifiant du fournisseur, l’adresse IP et l’agent utilisateur ;
• OpenAI, comme fournisseur d’analyse distante facultative ;
• Google Play, comme vendeur et gestionnaire des abonnements ;
• Apple, pour Sign in with Apple et les achats/abonnements App Store sur iOS ;
• Google/ML Kit pour les diagnostics du SDK décrits ci-dessus.

Les régions, sous-traitants ultérieurs, transferts hors EEE et garanties sont tenus dans le registre interne de traitement et doivent être revus à chaque changement de fournisseur.

6. Finalités et bases de traitement

7. Conservation et sécurité

Les messages confirmés ont une conservation locale initiale de 90 jours. L’utilisateur peut choisir 30 jours, 90 jours, 365 jours ou sans expiration. La mémoire dérivée a un choix distinct. Les archives .relubak restent sous le contrôle de l’utilisateur et de son fournisseur de fichiers après export.

Les transmissions applicatives utilisent HTTPS. Le proxy exige une preuve d’intégrité, une signature de requête, des nonces et des quotas. Les secrets OpenAI et HMAC restent exclusivement côté serveur.

Durées serveur publiées :

8. Contrôles et effacement

Reluvoa distingue :

1. Retirer de l’historique : supprime les messages ; la mémoire ne reste que si l’utilisateur le choisit.
2. Réinitialiser l’apprentissage : supprime mémoire, résultats et checkpoints dérivés, mais conserve la personne et ses messages.
3. Oublier complètement cette personne : supprime la personne, ses messages, sa mémoire, ses résultats et checkpoints, avec un tombstone sans contenu empêchant une restauration involontaire.

La désinstallation efface le stockage géré par l’application, mais pas une archive exportée, un texte copié ailleurs, un abonnement Google Play ni les données déjà détenues par un prestataire.

Les nouvelles versions proposent Google sur Android, et Google ou Apple sur iOS, après la démonstration et avant la première analyse privée. Il n’y a pas de connexion par mot de passe Reluvoa ni de code examinateur comme moyen de connexion. L’ancien lien e-mail peut rester disponible dans les anciennes versions Android pendant leur remplacement ; cette compatibilité ne le rend pas disponible dans le nouveau candidat iOS. Dans Menu de votre espace > Confidentialité, la commande Supprimer mon compte Reluvoa supprime le compte Firebase, les liens serveur, l’archive de récupération chiffrée et les données privées gérées par l’application. L’effacement local n’intervient qu’après un reçu du serveur, afin qu’une interruption réseau ne donne pas une fausse confirmation.

Une demande peut aussi être initiée sans réinstaller l’application à l’adresse : https://reluvoa-ai-proxy-p6f43gxasa-ew.a.run.app/legal/delete-data.html. La suppression du compte n’annule pas l’abonnement géré séparément par Google Play ou l’App Store.

9. Droits

Les fonctions locales permettent de consulter, corriger, exporter et supprimer les données relationnelles. L’éditeur ne peut pas retrouver à distance les données restées uniquement sur l’appareil.

Pour les données effectivement détenues par l’éditeur, l’utilisateur peut exercer les droits applicables d’accès, rectification, effacement, limitation, portabilité et opposition auprès de contactsnormal@gmail.com. Une réponse est apportée en principe dans un délai d’un mois, sous réserve des vérifications et extensions autorisées. L’utilisateur peut saisir la CNIL ou son autorité de contrôle compétente.

10. Adultes, tiers et limites

Reluvoa est destiné exclusivement aux personnes de 18 ans ou plus. Il traite potentiellement des informations intimes relatives à des tiers. L’utilisateur doit limiter l’import au strict nécessaire, respecter les droits et les refus, et ne jamais utiliser Reluvoa pour harceler, surveiller, contraindre ou usurper.

Les personnes dont les propos ou informations sont importés peuvent être des personnes concernées au sens du RGPD, même si elles n’utilisent pas Reluvoa. Selon le contexte, l’article 14 du RGPD peut imposer une information relative aux données obtenues indirectement. L’éditeur documente au cas par cas les obligations applicables, les éventuelles exceptions légales, leur proportionnalité et les garanties mises en place. Reluvoa ne présente pas l’absence de notification individuelle comme automatiquement acquise.

Reluvoa ne réutilise pas les conversations pour entraîner un modèle général, constituer un annuaire de tiers, vendre des profils ou prendre une décision automatisée produisant un effet juridique. Le local-first, le chiffrement, la minimisation, le consentement à chaque analyse distante et l’effacement réduisent le risque ; ils ne permettent pas d’affirmer que le produit est sans risque juridique.

Les suggestions peuvent être inexactes. Elles ne révèlent pas l’intention réelle d’un tiers et ne remplacent aucun professionnel de santé, juriste ou service d’urgence. L’utilisateur relit, modifie et copie lui-même toute suggestion.

11. Support et modifications

N’envoyez au support aucune conversation réelle, capture personnelle, archive, base, mot de passe, code MFA ou code de récupération. Utilisez un exemple synthétique et un code d’erreur sans contenu.

Toute modification matérielle de l’authentification, de la synchronisation, de la télémétrie, du fournisseur IA ou de la transcription exige une mise à jour préalable de cette politique, du formulaire Data safety et de l’AIPD.

Références Google Play : User Data, Data safety.