Comment nous protégeons vos données

Couple’s Weekly Check-in conserve certaines des informations les plus personnelles que deux personnes puissent confier à un logiciel : appréciations, frictions, ce que vous portez chacun. La confidentialité n’est pas un argument marketing pour nous, c’est une contrainte de conception. Cette page décrit précisément ce que nous faisons, pour que vous puissiez vérifier nos affirmations.

Chiffrement au repos

Chaque réponse de check-in, chaque récap apaisé, chaque accord hebdomadaire, chaque rejet d’accord et chaque mémoire partagée est chiffré en AES-256-GCM (un algorithme de chiffrement authentifié) avant d’atteindre la base de données. La clé de chiffrement reste dans l’application et n’est jamais écrite en base. Même un export complet de la base ne livrerait que du texte chiffré.

Chiffrement en transit

Tout le trafic passe par HTTPS. Nous envoyons un en-tête Strict-Transport-Security qui force votre navigateur à utiliser HTTPS pendant deux ans, sous-domaines compris.

Authentification à deux facteurs à chaque connexion

Chaque connexion par adresse e-mail et mot de passe nécessite un second facteur. Il n’est pas possible de se connecter avec un mot de passe seul. Par défaut, nous envoyons à chaque fois un code à 6 chiffres à votre adresse, pour que le second facteur fonctionne pour tout le monde sans configuration, sans application supplémentaire et sans codes de récupération à ne pas perdre. Si vous préférez des connexions plus rapides, vous pouvez configurer une application d’authentification (TOTP) dans les Paramètres, et même dans ce cas vous pouvez toujours retomber sur le code par e-mail si votre téléphone n’est pas à portée de main.

Suppression automatique sous votre contrôle

Dans les Paramètres, vous pouvez activer la suppression automatique et choisir une durée comprise entre 14 et 730 jours (deux ans). Une fois activée, une tâche quotidienne supprime définitivement tous les check-ins plus anciens que la durée choisie, y compris les réponses, les accords et l’historique de rejets. La suppression automatique est désactivée par défaut. L’activer ou modifier sa valeur nécessite l’accord des deux partenaires.

Suppression à la demande

Vous pouvez aussi supprimer un check-in, quitter le couple ou supprimer votre compte à tout moment. Les suppressions sont immédiates et en cascade. Rien ne reste dans un état intermédiaire.

Export de données (article 20 du RGPD)

Paramètres → « Télécharger mes données » exporte tout votre historique au format JSON déchiffré, à conserver, archiver ou transférer ailleurs. Nous ne facturons jamais cet export et il n’est jamais conditionné.

Aucune analytique, aucun entraînement IA

Nous n’utilisons ni Google Analytics, ni PostHog, ni Sentry, ni Segment, ni aucun autre traceur comportemental. Nous ne posons pas de cookies publicitaires. Vos contenus de check-in ne servent jamais à entraîner un modèle d’IA, ni le nôtre ni celui de quiconque.

Exception : la mesure des inscriptions Google Ads. Si vous arrivez depuis une annonce Google payante, nous vous demandons votre consentement via un bandeau. Uniquement si vous acceptez, nous lisons l’identifiant de clic dans votre URL et envoyons un signal de conversion serveur-à-serveur à Google. Pas de cookie, pas de balise côté client, aucun pistage inter-sites. Vous pouvez retirer votre consentement à tout moment via « Préférences de confidentialité » dans le pied de page. Détails dans la politique de confidentialité.

Sous-traitants

Les tiers suivants reçoivent des données limitées pour faire fonctionner le produit :

• Railwayhéberge l’application et la base PostgreSQL. Les champs sensibles sont chiffrés avant d’être écrits, donc Railway ne voit que du texte chiffré pour ces colonnes.
• OpenAIreçoit les réponses déchiffrées au moment de générer votre récap hebdomadaire ou votre accord. Les conditions de l’API d’OpenAI interdisent l’utilisation des entrées API pour entraîner leurs modèles.
• Resendenvoie les e-mails transactionnels (codes de connexion, rappels, confirmations de suppression, notifications partenaire). Il reçoit votre adresse e-mail, votre nom et le contenu de l’e-mail, et ne reçoit jamais le contenu des check-ins.
• Google Ireland Limited (Google Ads) n’intervient que pour les visiteurs arrivant via une annonce Google payante et ayant accepté le bandeau de consentement. Reçoit soit l’identifiant de clic (gclid, gbraid ou wbraid) soit un hash SHA-256 de votre adresse e-mail vérifiée, plus le nom de la conversion et un horodatage, envoyés serveur-à-serveur à la vérification d’e-mail ou à la création d’un espace de check-in. Ne reçoit jamais le contenu des check-ins, votre adresse e-mail en clair, ni aucune donnée de navigation.

Lorsque nous activerons les abonnements payants, un prestataire de paiement sera ajouté et nommé ici ainsi que dans la politique de confidentialité.

Protections au niveau du navigateur

Chaque réponse définit une Content-Security-Policy, X-Frame-Options : DENY (pour empêcher l’intégration dans un autre site à des fins de phishing), X-Content-Type-Options, Referrer-Policy et Permissions-Policy interdisant la caméra, le microphone et la géolocalisation.

Journaux d’erreurs sans données personnelles

Les journaux d’erreurs côté serveur ne sérialisent jamais le contenu des check-ins, accords, risques privés ou autres champs sensibles. Nous n’enregistrons que le nom de l’erreur, un message court et une petite liste blanche d’identifiants (par ex. l’ID du couple) afin de pouvoir déboguer sans fuite.

Signaler une vulnérabilité

Si vous découvrez un problème de sécurité, écrivez à weeklycheckinapp@gmail.com plutôt que d’ouvrir un ticket public. Nous accusons réception sous deux jours ouvrés.