Transparence

Le contenu de chaque message privé est chiffré avant d'être stocké. La clé de déchiffrement vit en dehors de la base de données : même un vol de la base ne rendrait pas tes conversations lisibles.

Normalement, personne d'autre que toi et ton correspondant ne lit vos messages. On n'a pas choisi le chiffrement de bout en bout (façon Signal), et on te dit franchement pourquoi : il nous rendrait incapables de modérer un message signalé ou de répondre à la justice quand la loi l'exige. On a préféré le modèle « chiffré, avec un accès exceptionnel tracé ». On garde donc la capacité technique de déchiffrer, mais on ne s'en sert que dans les deux cas décrits plus bas, chacun encadré et tracé (voir plus bas).

Elle n'est jamais stockée précisément. La grille des surfeurs autour de toi travaille sur une zone floue (de l'ordre de 5 km), jamais sur un point GPS, et le mode fantôme te laisse regarder sans apparaître. C'est toi qui règles ta visibilité.

Le point de rencontre exact d'une session que tu proposes n'est visible qu'aux personnes concernées, pendant une courte fenêtre ; il n'est jamais lisible en base par un tiers.

Deux cas, seulement :

• Un contenu signalé par un participant : si toi ou ton correspondant signale un message, un modérateur peut lire ce fil précis pour trancher. Pas les autres fils, pas ceux de tout le monde.
• Une réquisition judiciaire : si la loi nous l'impose, on peut produire des données, de façon minimale et motivée.

Un registre inviolable est en place pour ces accès : impossible à modifier ou à effacer, même par nous, et toute altération est détectable. On y raccorde chaque voie d'accès exceptionnel, pour pouvoir prouver qui a accédé à quoi, quand et pourquoi, et pas seulement le promettre. C'est le standard qu'on se construit, pièce par pièce.

• On ne vend pas tes données. Jamais.
• On ne compile pas ton activité entre sources pour te profiler.
• On ne stocke pas ta position exacte.
• On ne lit pas tes messages privés pour de la publicité ni par curiosité.
• La suppression d'un compte efface réellement les données.

Un filtre automatique passe les messages pour repérer les contenus dangereux (haine, menaces, mise en danger d'un mineur). Sur les cas ambigus, un court extrait du message peut être vu par notre équipe de modération, le temps de décider. C'est le prix d'un espace sûr, et on préfère te le dire que le cacher.

On s'engage à publier régulièrement deux nombres : les réquisitions judiciaires auxquelles on a répondu, et les accès de modération à des contenus privés. Le registre qui permet ces comptes vient d'être mis en place ; les premiers chiffres seront publiés à la première période. On ne publiera jamais un chiffre inventé : tant qu'une période n'est pas close, il n'y a rien à afficher, et c'est écrit noir sur blanc.

Tu peux télécharger tes données ou supprimer ton compte depuis ton espace. Pour toute question sur tes données, écris-nous à contact@duckrew.com.