Politique de confidentialité

État : 19 août 2026

La présente déclaration se compose de deux parties : la Partie A décrit ce qui se passe lors de la visite de ce site (hiy.ch). La Partie B décrit la manière dont la future application HIY traite les données — HIY n'est pas encore publiée, cette partie décrit l'architecture telle qu'elle a été construite et testée.

Partie A — Ce site (hiy.ch)

Aucune collecte active de données via des formulaires

Le bouton de téléchargement de ce site renvoie directement vers la page officielle de HIY sur Google Play — un lien externe soumis à la politique de confidentialité de Google. Ce site lui-même ne collecte aucune adresse e-mail ni autre donnée de contact via ce clic. L'ancienne liste interne de testeurs Android n'est plus tenue à jour, l'application étant désormais disponible publiquement sur le Play Store.

Paramètre de langue (localStorage)

La langue que vous avez choisie (DE/EN/FR/IT/ES) est enregistrée dans le localStorage de votre navigateur — uniquement en local sur votre appareil, pas sous forme de cookie, jamais transmise à un serveur. Elle sert uniquement à vous présenter la dernière langue choisie lors d'une nouvelle visite. Vous pouvez supprimer ce paramètre à tout moment via les réglages de votre navigateur.

Polices de caractères

Les polices utilisées sur cette page (Plus Jakarta Sans, Space Grotesk, JetBrains Mono) sont fournies par notre propre serveur et ne sont pas chargées depuis Google ou un autre fournisseur tiers. Aucune donnée n'est transmise à des tiers à cette occasion.

Chat d'aide

Le chat d'aide situé en bas à droite fonctionne entièrement en local dans votre navigateur (simple comparaison textuelle avec une liste fixe de questions et réponses). Vos saisies ne sont transmises à aucun serveur.

Journaux du serveur

Comme pour pratiquement tout serveur web, l'accès à cette page entraîne le traitement bref, dans les journaux (logs) de notre infrastructure d'hébergement (Suisse), de données d'accès techniques usuelles (adresse IP, horodatage, page consultée, type de navigateur). Ce traitement est techniquement nécessaire au fonctionnement sûr du site et n'est pas combiné avec d'autres données. Un système de sécurité automatisé et purement basé sur des règles (CrowdSec) analyse en plus ces journaux d'accès afin de reconnaître des schémas d'attaque connus et de bloquer automatiquement l'adresse IP concernée si nécessaire — sans profilage basé sur l'IA, exclusivement à des fins de protection contre les abus.

Aucun cookie, aucun traçage

Ce site n'utilise ni cookies d'analyse ou de traçage, ni cookies publicitaires, ni services tels que Google Analytics ou le pixel Meta.

Partie B — L'application HIY (dès sa disponibilité)

Les points suivants décrivent la manière dont l'application est actuellement construite sur le plan technique. Lorsqu'une fonctionnalité n'est pas encore achevée, cela est expressément mentionné — cette déclaration vise à refléter à tout moment l'état réel, et non l'état prévu.

Connexion

La connexion s'effectue via ortino.AUTH (OAuth2 avec PKCE). Le nom, la photo de profil et le statut de confirmation de l'e-mail proviennent de ce service ; HIY ne gère pas de mot de passe propre. La politique de confidentialité de ortino.AUTH s'applique en complément.

Signature matérielle et clés

Lors de la création de votre identité, votre appareil génère une paire de clés cryptographiques dans l'Android Keystore (lorsque disponible : dans la puce matérielle StrongBox). La clé privée ne quitte jamais votre appareil. Chaque publication, commentaire et signalement est signé avec celle-ci (ECDSA).

Mode appareil unique (facultatif)

Si vous activez le mode appareil unique dans les réglages, la connexion sur un nouvel appareil met automatiquement fin à la session sur l'appareil précédemment utilisé. Aucune donnée supplémentaire n'est enregistrée à ce sujet — la vérification utilise l'identifiant d'appareil déjà associé à votre session ortino.AUTH active.

Sauvegarde des ami·e·s (code PIN de sauvegarde)

Vous pouvez optionnellement sauvegarder votre liste d'ami·e·s, chiffrée, auprès du relais, afin de la restaurer après la perte d'un appareil. La clé correspondante est dérivée exclusivement d'un code PIN que vous choisissez (PBKDF2-HMAC-SHA256, 600'000 itérations) — le PIN lui-même ne quitte jamais votre appareil et ne nous est pas connu. Sans ce PIN, la liste sauvegardée est illisible, y compris pour nous.

Stockage local

Vos données (publications, contacts, paramètres) sont stockées localement sur votre appareil dans une base de données chiffrée avec SQLCipher (AES-256). La clé correspondante est elle-même chiffrée de manière liée au matériel dans l'Android Keystore.

Transmission à d'autres appareils

Selon le public cible choisi pour une publication :

• « Local » — la publication ne quitte votre appareil que par une connexion directe au sein du même réseau local (Wi-Fi) et n'atteint jamais Internet ni aucun serveur.
• « Amis » et « Tous » — la publication est en outre transmise via des serveurs relais (exploités sur l'infrastructure Infomaniak, Suisse), afin d'atteindre également les destinataires qui ne sont pas joignables en ligne simultanément. Les serveurs relais ne font que stocker temporairement les publications, jusqu'à leur livraison ou jusqu'à épuisement du budget de portée choisi.
• « Moi uniquement » — la publication ne quitte jamais votre appareil.

Les contenus dont la visibilité est réglée sur « Amis uniquement » reçoivent une clé de chiffrement propre, liée à l'appareil, distincte de la clé de signature, de sorte que personne d'autre que les destinataires ne peut les lire — pas même l'exploitant d'un relais. Ce chiffrement de bout en bout est mis en œuvre et actif (échange de clés X25519 + AES-256-GCM, implémenté à l'identique sur Android et iOS).

Données d'accès du relais

Lors de la réception de publications et de requêtes, les serveurs relais traitent aussi brièvement l'adresse IP de l'appareil demandeur — uniquement pour prévenir les abus (p. ex. attaques par surcharge). Ces données sont conservées uniquement en mémoire, supprimées automatiquement toutes les heures, et ne sont jamais associées au contenu des publications ni stockées durablement.

Messages privés

Les messages privés 1:1 sont chiffrés de bout en bout (X25519 + AES-256-GCM) comme les publications « Amis uniquement » — l'opérateur du relais ne voit que le texte chiffré, jamais le contenu. Le fait qu'un message ait été livré et lu n'est enregistré que localement sur les appareils concernés.

Pour la livraison instantanée, nous utilisons des notifications push via Firebase Cloud Messaging (Google, Android) ou le service de push propre à Apple (iOS). La notification push elle-même ne contient que le nom d'affichage de l'expéditeur·rice et une invite générique (« Toucher pour voir ») — le contenu réel du message n'est jamais transmis via le service de push. Les politiques de confidentialité de Google ou d'Apple s'appliquent en outre pour leur service de push respectif.

Photos

Les images sont automatiquement recompressées avant le partage. Les métadonnées EXIF telles que la localisation GPS et le modèle d'appareil photo sont alors entièrement supprimées — un procédé délibérément vérifié, et non le fruit du hasard.

Vérification locale des contenus (nudité/violence)

Avant qu'une image soit partagée, un modèle purement local la vérifie à la recherche de nudité et de violence graphique — via le SensitiveContentAnalysis propre à Apple sur iOS, et un modèle embarqué sur Android. Aucune image ne quitte jamais ton appareil pour cela, pas même vers nous.

Bouclier IA embarqué (on-device)

La détection des contenus générés par IA et des comportements suspects de type robot s'effectue exclusivement en local sur l'appareil des destinataires. Aucun contenu n'est transmis à un serveur à cette fin.

Signalements et modération

Lorsque vous signalez une publication, ce signalement est signé comme une publication et — pondéré selon la confiance conformément aux règles décrites sur hiy.ch — diffusé via le maillage ou les serveurs relais, afin que les autres appareils puissent calculer le seuil de visibilité. Il n'existe chez nous aucune base de données centrale regroupant tous les signalements.

HIY+ et données de paiement

Les achats de HIY+ sont intégralement traités par Apple ou Google. Nous ne recevons à cette occasion aucune donnée de paiement ni de carte de crédit — uniquement une confirmation technique qu'un abonnement valide existe. Les dispositions en matière de protection des données d'Apple ou de Google s'appliquent en complément.

Vos droits

Que votre domicile se trouve en Suisse ou dans l'UE, vous disposez notamment des droits suivants : accès aux données vous concernant, rectification des données inexactes, effacement, limitation du traitement, opposition ainsi que — dans la mesure techniquement applicable — portabilité des données. Les données de l'application étant principalement stockées localement sur votre appareil, vous pouvez exercer la plupart de ces droits directement dans l'application (par ex. supprimer le compte et les données locales).

Pour toute demande, adressez-vous à info@hiy.ch. Vous avez en outre le droit de déposer une plainte auprès de l'autorité de surveillance compétente — en Suisse auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), dans l'UE auprès de l'autorité de protection des données de votre pays de domicile.

Modifications de la présente déclaration

Nous adaptons la présente déclaration dès que le traitement effectif des données évolue — par exemple lors de l'activation de la fonction d'inscription sur le site ou du lancement de l'application. La date en tête indique la dernière mise à jour.

La version allemande de la présente déclaration fait foi. Les traductions dans d'autres langues sont fournies à titre de convenance ; en cas de divergence, le texte allemand prévaut.