🔒 Charte Privée

Apex Chat — Charte vie privée — En vigueur depuis le 27 avril 2026

🔒 Notre promesse : tes échanges sont chiffrés en transit (HTTPS/TLS) et stockés sur un serveur privé sous accès restreint. Nous ne prétendons pas être un « serveur aveugle » aujourd'hui — cette page t'explique exactement quelles données existent, où elles sont, et qui peut y accéder.

1. Ce que le serveur PEUT voir

Donnée	Pourquoi	Combien de temps
Numéro de téléphone	Authentification + invitations	Tant que ton compte existe
Pseudo	Identité publique dans l'app	Tant que ton compte existe
Prénom + nom	Identité administrateur	Tant que ton compte existe
Date dernière connexion	Présence "en ligne"	30 jours
Liste de tes contacts (uid only)	Notifier "X est sur Apex Chat"	Tant que les liens existent
Métadonnées messages (qui→qui, quand, taille)	Routage technique	30 jours
Adresses IP (hashées)	Sécurité, anti-fraude	30 jours
Type de device + OS + version app	Compatibilité, push notif	Tant que le device est enregistré

2. Comment tes données sont protégées

Tes messages sont chiffrés de bout en bout (WebCrypto ECDH P-256 + AES-GCM 256) par défaut : le contenu est chiffré sur ton appareil et seul ton correspondant peut le déchiffrer — le serveur ne voit qu'un blob chiffré qu'il ne peut pas lire. Le mécanisme est vérifié par un test automatique « 2 téléphones » dans notre intégration continue.

Repli honnête : si le chiffrement de bout en bout ne peut pas s'établir avec un contact (sa clé n'est pas encore publiée), le message reste chiffré en transit (HTTPS/TLS) et le serveur le transporte/stocke ; l'administrateur peut alors techniquement y accéder (voir §3). L'indicateur en haut de chaque conversation (🛡 E2E / 🔒 transit) dit lequel s'applique. Les appels audio/vidéo P2P sont chiffrés de bout en bout par WebRTC (DTLS-SRTP).

3. Qui peut voir tes données ?

Toi

Tout. Tu as accès à 100% de tes données via Réglages → Mes données + Exporter.

Tes contacts

Uniquement ce que tu choisis de partager : pseudo, photo, bio, statut "en ligne" (toggle par contact). Vrai nom jamais révélé.

L'administrateur (Kevin DESARZENS)

Pour des raisons de modération et de sécurité du service privé, l'administrateur peut accéder aux données de gestion (numéros, pseudos, vrais noms, devices, signalements, géoloc partagée). Le contenu des messages chiffrés de bout en bout ne lui est pas lisible ; seuls les messages retombés en chiffrement de transit (repli, voir §2) restent techniquement accessibles, et il s'engage à ne les consulter qu'en cas de signalement justifié ou d'obligation légale.

Sous-traitants techniques

Cloudflare Inc. (hébergement) : voit le trafic technique chiffré, sans contenu
Firebase / Google (auth téléphone) : voit ton numéro pour envoyer le SMS de vérification
Vonage / Twilio (SMS invitations) : voit les numéros invités pour envoyer SMS
Anthropic / OpenAI / autres IA : voit uniquement les requêtes IA que TU envoies (résumé, traduction). Ces requêtes ne sont jamais déclenchées sans ton consentement.

4. Cookies et stockage local

Apex Chat utilise localStorage + IndexedDB pour stocker tes données chiffrées sur ton téléphone. Pas de cookies de tracking, pas de pixels publicitaires, pas d'analytics tiers. Tes données ne quittent jamais ton téléphone sauf pour le serveur de routage (chiffré).

5. Tes droits RGPD

Droit d'accès : Réglages → Mes données → tu vois tout
Droit à la portabilité : Réglages → Exporter (JSON + ZIP médias)
Droit de rectification : Réglages → Profil → tu modifies
Droit à l'effacement : Réglages → Supprimer mon compte → effacement sous 7 jours
Droit d'opposition : tu peux refuser le partage avec sous-traitants techniques en désinstallant l'app

6. Mineurs

Apex Chat est interdit aux moins de 16 ans. Si tu es parent et que tu découvres que ton enfant utilise l'app, contacte-nous : nous supprimons le compte immédiatement.

7. Transferts internationaux

Les données (gestion et contenu) peuvent transiter par les serveurs Cloudflare (UE + US) et Firebase (UE). Cloudflare est certifié RGPD avec clauses contractuelles types (SCCs). Les échanges sont chiffrés en transit (HTTPS/TLS) ; le contenu est stocké côté serveur sous accès restreint (voir §2).

8. Failles de sécurité

En cas de faille de sécurité affectant tes données personnelles, tu seras notifié sous 72h conformément au RGPD. Le contenu étant stocké côté serveur (voir §2), nous appliquons des accès restreints et le chiffrement en transit ; l'activation du chiffrement de bout en bout renforcera cette protection.

9. Contact RGPD

Délégué Protection des Données : Kevin DESARZENS
Email : kevin.desarzens@gmail.com
Réclamation possible auprès de la CCIN (Monaco) : ccin.mc