La présente politique décrit la manière dont BAUGEY MATHEO, exerçant sous le nom commercial DEVOLIM, traite les données à caractère personnel dans le cadre de l'application mobile Bimo et du site https://bimo.devolim.fr. Elle est établie conformément au règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».
En résumé. Bimo fonctionne sans inscription : ni e-mail, ni mot de passe, ni identité. Le message que vous soumettez est analysé, puis il n'est pas conservé : ni sur nos serveurs, ni dans nos journaux. Ce que nous gardons de l'analyse, c'est une empreinte irréversible du message et le verdict associé (quelques jours) pour répondre instantanément aux milliers de personnes qui reçoivent le même SMS que vous. Votre historique reste sur votre téléphone. La photo d'une capture d'écran ne quitte jamais l'appareil : seul le texte lu localement est analysé. Les paiements sont traités intégralement par Apple ou Google : nous ne voyons ni votre identité, ni vos coordonnées bancaires. Vos contenus ne servent jamais à entraîner un modèle d'intelligence artificielle.
1. Responsable du traitement
BAUGEY MATHEO, exerçant sous le nom commercial DEVOLIM
Entrepreneur individuel, micro-entreprise
248 rue de Bègles, 33800 Bordeaux, France
SIREN : 948 000 757, SIRET : 948 000 757 00021
Contact « données personnelles » : [email protected]
L'Éditeur n'est pas tenu de désigner un délégué à la protection des données au sens de l'article 37 du RGPD : son activité principale ne consiste ni en un suivi régulier et systématique à grande échelle des personnes, ni en un traitement à grande échelle de données sensibles. Toute question relative aux données est traitée directement à l'adresse ci-dessus.
2. Nos principes
Ce qui transite par Bimo, ce sont des messages reçus par de vraies personnes : des noms, des montants, parfois des coordonnées bancaires. Quatre règles gouvernent toute l'architecture de l'application, et elles priment sur la commodité :
- Le contenu ne survit pas à l'analyse. Le message que vous soumettez n'est enregistré dans aucune base de données, ni dans aucun journal technique.
- Le téléphone ne parle qu'à nous. L'application ne contacte aucun service tiers directement : ni fournisseur d'intelligence artificielle, ni service de réputation, ni le site suspect lui-même. Tout passe par nos serveurs, qui filtrent ce qui sort.
- Aucun entraînement. Vos contenus ne sont jamais utilisés pour entraîner, affiner ou évaluer un modèle d'intelligence artificielle, ni par nous, ni par nos prestataires.
- Le minimum, par défaut. Ce dont nous n'avons pas besoin n'est pas collecté : nous ne vous demandons ni nom, ni e-mail, ni numéro de téléphone.
3. Ce qui reste sur votre appareil
Les éléments suivants sont enregistrés localement, sur votre téléphone, et ne sont pas transmis à l'Éditeur :
- votre historique d'analyses : la date, le type de contenu, le score, le niveau obtenu, les codes des indices trouvés et un court extrait servant de repère visuel ;
- vos réglages : langue, pays, mode simplifié, préférences d'affichage et de notification ;
- les fiches et référentiels téléchargés pour fonctionner hors connexion.
Vous pouvez supprimer une entrée ou vider l'historique depuis l'application. La désinstallation efface l'intégralité de ces données. L'Éditeur n'a aucun moyen d'y accéder ni de les restaurer.
4. Le contenu que vous soumettez
C'est le traitement central de l'application, et celui qui mérite le plus de précision.
4.1 Ce qui est transmis
Lorsque vous lancez une vérification, le texte soumis (message, e-mail, lien, numéro de téléphone ou IBAN) est transmis à nos fonctions serveur, hébergées dans l'Union européenne. S'il s'agit d'une capture d'écran, l'image est lue sur votre appareil par la reconnaissance de texte du système (Vision sur iOS, ML Kit sur Android) : la photo ne quitte jamais le téléphone, seul le texte reconnu est envoyé, comme n'importe quel message collé. Il en va de même pour la dictée : le microphone est traité par la reconnaissance vocale du système d'exploitation, dans les conditions d'Apple ou de Google, et nous ne recevons que le texte obtenu.
4.2 Ce qui en est fait
Le texte est analysé en cascade : extraction des éléments vérifiables, contrôles factuels (âge du domaine, destination réelle d'un lien, listes publiques d'hameçonnage, validité d'un IBAN, nature d'un numéro), puis, si le doute subsiste, transmission à un modèle de langage chargé de rattacher le message à une famille d'arnaques connue. Ce modèle ne rédige pas votre résultat : il ne renvoie que des codes issus d'un catalogue fermé, dont les explications sont écrites à l'avance par nos soins.
Une exception, et elle vaut d'être dite : la demande d'avis à un proche. Lorsque vous envoyez un message à l'une de vos personnes de confiance, un extrait de ce message (400 caractères au plus) est transmis au modèle de langage à chaque fois, sans attendre qu'un doute subsiste, afin de rédiger la note de deux à quatre phrases que votre proche lira. Sans elle, une capture d'écran dense arrive chez lui sous forme d'étiquettes empilées, illisibles.
Cet envoi ne comporte aucun identifiant d'utilisateur. Il n'a pas lieu si nous coupons l'étage d'intelligence artificielle à distance : la demande part alors sans note, avec le texte seul.
4.3 Ce qui est conservé, et ce qui ne l'est pas
Le contenu d'une analyse n'est conservé nulle part. Il n'est écrit dans aucune base de données, n'apparaît dans aucun journal technique, et disparaît de la mémoire du serveur à la fin de l'analyse. Là encore, la demande d'avis fait exception : l'extrait envoyé à votre proche et sa note de synthèse sont enregistrés le temps de la conversation, puisqu'il doit pouvoir les rouvrir. Ils sont effacés à la rupture du lien ou à la suppression de l'un des deux comptes.
Ce que nous conservons, c'est une empreinte cryptographique irréversible (fonction de hachage) du message une fois normalisé (liens, adresses e-mail, IBAN, montants, numéros de téléphone et références variables remplacés par des marqueurs ; les prénoms et le reste du texte ne le sont pas), associée au verdict : score, niveau, codes d'indices, famille d'arnaque, pays. Cette empreinte ne permet pas de reconstituer le message ; elle sert à resservir instantanément le même verdict à la personne suivante qui recevra le même SMS. Elle expire par défaut au bout de 96 heures.
Nous conservons également, à part et pour une courte durée, le résultat des vérifications techniques effectuées sur les domaines et adresses rencontrés (âge, certificat, réputation). Ces données portent sur des sites internet, non sur vous, et ne sont rattachées à aucun utilisateur.
4.4 Compteurs d'usage
Un compteur rattaché à votre identifiant technique enregistre le nombre d'analyses effectuées, afin d'appliquer les quotas de la version gratuite et de prévenir les abus. Il ne contient aucun contenu : des nombres et des dates, rien d'autre.
5. Les données de tiers contenues dans un message
Un message que vous soumettez contient, presque toujours, des données concernant d'autres personnes que vous : l'expéditeur, une personne citée, un numéro, un nom. Ces personnes n'ont pas installé Bimo et n'ont pas connaissance de ce traitement.
Ce traitement repose sur l'intérêt légitime (article 6.1.f du RGPD) qui s'attache à la protection des personnes contre la fraude, intérêt expressément reconnu par le considérant 47 du RGPD. Il est strictement limité à ce qui est nécessaire au diagnostic, ne donne lieu à aucun profilage de ces tiers, à aucun enrichissement, à aucune revente, et ne survit pas à l'analyse.
L'information individuelle de ces personnes exigerait un effort manifestement disproportionné au sens de l'article 14.5.b du RGPD : nous ne disposons, par construction, d'aucun moyen de les identifier ni de les joindre. La présente politique en tient lieu. Toute personne estimant que ses données ont été traitées à l'occasion d'une analyse peut néanmoins exercer ses droits à [email protected].
De votre côté, il vous appartient de ne soumettre que des contenus que vous avez légitimement reçus, et de vous limiter à ce qui est nécessaire à la vérification. Ne soumettez pas de documents couverts par un secret professionnel, ni de contenus dont la communication vous est interdite.
6. Données sensibles
Bimo n'a pas vocation à traiter de données sensibles au sens de l'article 9 du RGPD (santé, opinions, croyances, vie sexuelle, appartenance syndicale, données biométriques ou génétiques). Un message soumis peut toutefois en contenir incidemment, par exemple un faux courrier d'assurance maladie ou une tentative de chantage.
Dans une telle hypothèse, le traitement, strictement limité à la durée de l'analyse, repose sur votre consentement explicite au sens de l'article 9.2.a du RGPD, matérialisé par l'acte volontaire de soumettre ce contenu à la vérification. Nous vous invitons à occulter les informations sensibles qui ne sont pas nécessaires au diagnostic avant de coller un message : l'analyse porte sur les liens, les expéditeurs et la structure du message, pas sur les données qui vous concernent.
7. Compte anonyme et profil
Au premier lancement, l'application crée automatiquement un compte anonyme (Firebase Authentication) : un identifiant technique aléatoire, sans e-mail, sans mot de passe et sans lien avec votre identité civile. Il sert à rattacher vos quotas et, le cas échéant, votre abonnement et vos liens de confiance.
Sont associés à cet identifiant, dans notre base de données :
- votre pays et votre langue, qui déterminent le référentiel d'arnaques et les organismes de signalement affichés ;
- l'activation du mode simplifié ;
- si, et seulement si, vous utilisez les personnes de confiance : un prénom ou pseudonyme de votre choix et, facultativement, une photo compressée que vous fournissez : c'est ce que votre proche voit s'afficher. Vous n'êtes pas tenu d'utiliser votre véritable prénom ni votre visage ;
- l'état de votre abonnement (actif ou non) et vos compteurs d'usage.
La suppression du compte est accessible depuis l'application, dans les réglages. Elle efface votre profil, vos compteurs, vos liens de confiance, les demandes d'avis correspondantes et vos signalements, puis supprime l'identifiant lui-même.
8. Personnes de confiance
Cette fonctionnalité permet à une personne (l'« aidé ») de soumettre une analyse à l'avis d'une personne de confiance (l'« aidant »). Elle repose entièrement sur votre initiative.
- Liaison : par un code à six chiffres à durée de vie très courte, généré par l'aidant et saisi par l'aidé. Aucun annuaire, aucune recherche d'utilisateur, aucun accès à vos contacts.
- Consentement des deux côtés, et rupture possible à tout moment par l'un comme par l'autre.
- Ce qui est partagé : uniquement l'analyse que vous choisissez d'envoyer : le score, le niveau, les codes d'indices et un extrait court, plafonné. Jamais votre historique, jamais vos autres analyses, jamais votre position.
- Alertes automatiques : facultatives, désactivées par défaut, acceptées explicitement des deux côtés et réservées au niveau de risque le plus élevé. Elles restent désactivables à tout moment par l'aidé.
La demande d'avis et la réponse sont conservées tant que le lien existe, pour rester consultables par les deux personnes ; elles sont supprimées à la rupture du lien ou à la suppression du compte de l'une d'elles.
Signaler un abus. Depuis la page du proche ou depuis une demande d'avis, la rubrique « Signaler un abus » nous transmet un motif choisi dans une liste (messages blessants, tentative d'arnaque, contact non souhaité, autre), l'identifiant du lien et, lorsque le signalement porte sur une demande d'avis, une copie de l'extrait et de la réponse en cause — sans cette copie, la rupture qui suit effacerait ce qu'il y aurait à examiner. Le signalement peut rompre le lien dans le même geste. La personne visée n'en est pas informée et n'y a pas accès. Ces éléments sont conservés un an, au titre de notre intérêt légitime à faire cesser les abus, puis effacés automatiquement.
9. Notifications
Si vous acceptez les notifications, un jeton d'appareil délivré par Firebase Cloud Messaging (Apple Push Notification service sur iOS) est enregistré afin de vous prévenir dans quatre cas, et seulement ceux-là : un proche répond à votre demande d'avis ; une demande d'avis vous est adressée ; un proche avec qui l'alerte automatique est activée des deux côtés vient de rencontrer une arnaque caractérisée ; votre cacahuète hebdomadaire est de retour.
Aucune notification ne contient de contenu analysé ni de verdict. Le texte n'est pas composé par nos serveurs : ils n'envoient qu'un type de message, et l'appareil écrit la phrase lui-même dans votre langue. En revanche, le titre peut contenir le prénom ou le pseudonyme que votre proche a choisi d'afficher (« Martine a besoin de vous » plutôt que « quelqu'un a besoin de vous »), parce qu'un aidant qui veille sur plusieurs personnes devait sinon ouvrir l'application pour savoir laquelle. Ce prénom est celui du mini-profil, que rien n'oblige à rendre réel, et il n'apparaît que sur l'écran de la personne qui est déjà reliée à celle qui le porte.
Ce jeton identifie une installation, pas une personne ; il est renouvelé par le système et supprimé avec le compte. Vous pouvez retirer l'autorisation à tout moment dans les réglages de votre téléphone, sans perdre l'usage de l'application.
10. Abonnement et paiement
L'offre Bimo Premium est vendue exclusivement par l'App Store ou le Google Play Store. Le paiement, la facturation et le renouvellement sont assurés par ces plateformes : l'Éditeur ne collecte, ne voit ni ne conserve aucune donnée bancaire, ni votre identité, ni votre adresse de facturation.
La vérification de la validité de l'abonnement est confiée au prestataire RevenueCat, Inc., qui reçoit un identifiant d'application anonyme, l'identifiant d'achat transmis par la plateforme et des données techniques (plateforme, version, pays de la boutique). Cette vérification est indispensable pour ouvrir les fonctions payantes et pour restaurer votre abonnement après un changement d'appareil.
11. Cacahuètes et parrainage
Sans abonnement, vos vérifications sont décomptées. Ce décompte se tient sur nos serveurs, parce que lui seul ne peut pas être remis à zéro depuis le téléphone. Il ne contient aucun contenu : ni message, ni lien, ni verdict.
Ce que contient votre compteur : le nombre de vérifications restantes, la date de la dernière recharge, un total cumulé, et des repères techniques anti-abus (nombre de vérifications sur les dernières vingt-quatre heures, identifiants aléatoires des vérifications en cours).
Les identifiants de vérification nous servent uniquement à ne pas vous facturer deux fois la même affaire quand vous la précisez : ce sont des suites de caractères tirées au hasard, sans lien avec le contenu, effacées au bout de vingt-quatre heures.
Le parrainage
Si vous utilisez le parrainage, nous conservons : un code de parrainage tiré au hasard et rattaché à votre compte, l'identifiant du compte qui vous a parrainé le cas échéant, et le nombre de parrainages que vous avez menés à bien.
Ces informations créent un lien entre deux comptes anonymes : celui du parrain et celui du filleul. C'est inévitable : sans ce lien, la récompense ne pourrait pas être attribuée. Elles ne révèlent en revanche ni identité, ni contenu, ni usage : votre parrain ne saura jamais ce que vous avez vérifié, ni quand.
Les codes de parrainage ne sont lisibles ni par vous, ni par les autres utilisateurs : seules nos fonctions serveur y accèdent, précisément pour qu'un code ne permette jamais de remonter à un compte. À la suppression de votre compte, votre code est libéré et le lien disparaît.
L'empreinte d'installation
Sur iPhone, l'application tire au hasard, au premier lancement, un
identifiant d'installation qu'elle range dans le trousseau du téléphone. Sur Android, où ce
stockage est effacé à la désinstallation, elle le calcule à partir de l'identifiant Android propre à
l'application (ANDROID_ID), qui ne sert à aucune autre app, n'est pas l'identifiant
publicitaire et ne change qu'à la réinitialisation du téléphone ; il est condensé sur l'appareil avant tout
envoi. Cet identifiant n'est jamais enregistré tel quel sur nos serveurs : nous n'en conservons qu'un
condensé cryptographique (SHA-256), impossible à inverser, dans une entrée qui porte
seulement la date de la dotation de départ et le nombre de comptes ouverts depuis cet appareil.
À quoi ça sert : les cacahuètes offertes à l'installation ne peuvent être réclamées qu'une fois par appareil et par période de trente jours. Sans cette empreinte, il suffisait de supprimer son compte et d'en recréer un pour repartir avec cinq vérifications gratuites, indéfiniment, ce qui rendait l'abonnement inutile et le service intenable.
Ce qu'elle ne permet pas : elle ne vous identifie pas, ne suit pas votre usage, n'est rattachée à aucun compte et ne quitte jamais nos serveurs. Elle n'est pas effacée à la suppression du compte, car c'est exactement la situation qu'elle surveille ; elle disparaît d'elle-même au bout de 90 jours. Désinstaller l'application efface l'identifiant sur le téléphone.
12. Mesure d'audience et rapports d'erreur
L'application utilise Firebase Analytics et Firebase Crashlytics pour comprendre quelles fonctions sont utilisées et pour corriger les pannes.
- Ce qui est envoyé : des événements sans contenu (« une analyse a démarré », « une analyse s'est terminée au niveau suspect », « le paywall a été affiché », « un résultat a été contesté »), ainsi que des données techniques (modèle d'appareil, version du système, version de l'application, pays, langue) et, en cas de plantage, la pile d'appels correspondante.
- Ce qui n'est jamais envoyé : le contenu analysé, les liens, les numéros, les adresses, les extraits : c'est une règle inscrite dans le code de l'application.
- Le questionnaire de personnalisation présenté au premier lancement peut enregistrer, si vous y répondez, une tranche d'âge et un genre déclaré, jamais une date de naissance. Ces informations servent à savoir quelles arnaques visent quel public et à adapter les exemples affichés. Y répondre est facultatif : « Je préfère ne pas le dire » est proposé pour chacune des deux questions, et un refus n'empêche jamais de poursuivre. Ce que vous taisez n'est transmis à personne.
L'application ne diffuse aucune publicité et ne comporte aucun traceur publicitaire : il n'y a ni identifiant publicitaire, ni partage de données à des fins de ciblage, ni suivi entre applications. À ce titre, aucune demande d'autorisation de suivi n'est présentée sur iOS.
Cette mesure d'audience se coupe dans l'application, à la rubrique « À propos » des réglages : l'interrupteur « Mesure d'audience » arrête immédiatement l'envoi des statistiques d'usage comme des rapports de plantage. Elle repose sur notre intérêt légitime à comprendre l'usage pour corriger ce qui ne fonctionne pas, et ce bouton est votre droit d'opposition (article 21 du RGPD), exerçable sans nous écrire. Pour demander en plus l'effacement des données déjà collectées, écrivez à [email protected] depuis n'importe quelle adresse, en indiquant votre identifiant d'installation (réglages, rubrique « À propos »).
Supprimer votre compte coupe le fil : l'identifiant de mesure d'audience de l'application est remis à zéro, de sorte que plus rien ne relie les mesures passées à l'installation qui continue. Les événements déjà envoyés, eux, ne s'effacent pas rétroactivement : ils s'éteignent à l'échéance de conservation de 14 mois, ou plus tôt si vous nous en faites la demande.
13. Autorisations demandées
| Autorisation | À quoi elle sert | Facultative ? |
|---|---|---|
| Photos / appareil photo | Choisir ou prendre une capture d'écran à vérifier. Le texte est lu sur l'appareil ; l'image n'est pas transmise. | Oui |
| Microphone | Dicter un message plutôt que le taper. La reconnaissance vocale est celle du système d'exploitation. | Oui |
| Notifications | Être prévenu d'une demande d'avis ou d'une réponse d'un proche. | Oui |
| Presse-papiers | Vous proposer de vérifier ce que vous venez de copier. La lecture n'a lieu qu'à l'ouverture de l'application, et le contenu n'est envoyé que si vous lancez la vérification. | Oui |
L'application ne demande ni votre position, ni l'accès à vos contacts, ni l'accès à vos SMS ou à vos appels. Le pays utilisé pour adapter le référentiel est déduit des réglages de l'appareil et modifiable à la main.
14. Sécurité du service et lutte contre l'abus
Chaque appel à nos serveurs est authentifié par Firebase App Check, qui atteste que la demande provient bien d'une installation légitime de l'application et non d'un script. Ce mécanisme s'appuie sur les services d'attestation d'Apple (App Attest) et de Google (Play Integrity). Des compteurs de fréquence et des plafonds par utilisateur complètent ce dispositif. Ces traitements reposent sur notre intérêt légitime à protéger le service, ses coûts et ses utilisateurs contre les usages abusifs.
15. Absence de décision automatisée
Le score produit par Bimo est une aide à la décision. Il ne produit à votre égard aucun effet juridique et ne vous affecte pas de manière significative de façon similaire : il ne conditionne l'accès à aucun service, ne bloque aucun appel, aucun message et aucun paiement, n'est transmis à aucun tiers de sa propre initiative, et la décision de faire ou non ce que le message demande vous appartient entièrement. Le traitement ne relève donc pas de l'article 22 du RGPD. Vous conservez en toute hypothèse la faculté de contester un résultat depuis l'application, et d'obtenir une explication à [email protected].
16. Bases légales
| Traitement | Base légale |
|---|---|
| Analyse du contenu soumis et restitution du résultat | Exécution du contrat (art. 6.1.b) |
| Compte anonyme, quotas, compteurs d'usage | Exécution du contrat (art. 6.1.b) |
| Personnes de confiance, demandes d'avis | Exécution du contrat (art. 6.1.b) |
| Alertes automatiques à un proche | Consentement des deux personnes (art. 6.1.a) |
| Notifications | Consentement (art. 6.1.a) |
| Gestion de l'abonnement et vérification des achats | Exécution du contrat (art. 6.1.b) |
| Cache de verdicts par empreinte, cache de domaines | Intérêt légitime : soutenabilité et rapidité du service (art. 6.1.f) |
| Données de tiers présentes dans un message | Intérêt légitime : prévention de la fraude (art. 6.1.f et considérant 47) |
| Sécurité, App Check, limitation de débit | Intérêt légitime : sécurité du service (art. 6.1.f) |
| Signalements d'abus entre personnes de confiance | Intérêt légitime : sécurité des personnes et lutte contre les abus (art. 6.1.f) |
| Mesure d'audience et statistiques d'usage | Intérêt légitime : comprendre l'usage pour améliorer le service (art. 6.1.f), avec droit d'opposition au titre de l'article 21 du RGPD |
| Tranche d'âge et genre déclarés | Consentement (art. 6.1.a), donné en répondant, refusable par « je préfère ne pas le dire » |
| Rapports de plantage | Intérêt légitime : fiabilité de l'application (art. 6.1.f) |
| Données sensibles éventuellement présentes dans un message | Consentement explicite (art. 9.2.a) |
| Conservation des pièces comptables | Obligation légale (art. 6.1.c) |
17. Destinataires et sous-traitants
Vos données ne sont ni vendues, ni louées, ni échangées, ni transmises à des courtiers en données ou à des annonceurs. Elles sont communiquées aux seuls prestataires techniques nécessaires au fonctionnement du service, agissant en qualité de sous-traitants sur instructions documentées :
| Prestataire | Rôle | Ce qu'il reçoit | Lieu |
|---|---|---|---|
| Google Ireland Limited (Firebase, Google Cloud) | Hébergement, base de données, fonctions serveur, authentification anonyme, notifications, mesure d'audience, rapports de plantage | Le contenu, le temps de l'analyse ; l'identifiant anonyme, le profil, les compteurs, les liens de confiance | Base de données et fonctions serveur : Union européenne, région europe-west1 (Belgique).
Authentification anonyme, notifications (Cloud Messaging), mesure d'audience et rapports de plantage :
services mondiaux de Google, avec traitement possible aux États-Unis (voir § 18) |
| OpenAI Ireland Limited / OpenAI, L.L.C. | Modèle de langage : rattachement du message à une famille d'arnaques, relevé des marqueurs de manipulation, et rédaction de la note qui accompagne une demande d'avis | Le texte analysé lorsque les vérifications factuelles ne suffisent pas à conclure, et l'extrait de chaque demande d'avis envoyée à un proche, dans les deux cas sans identifiant d'utilisateur | Irlande, avec traitement possible aux États-Unis |
| Google LLC (Safe Browsing) | Réputation des adresses internet | Les adresses présentes dans le contenu, sans aucun identifiant d'utilisateur | États-Unis |
| RevenueCat, Inc. | Vérification et restauration des abonnements | Identifiant d'application anonyme, reçu d'achat, données techniques | États-Unis |
| Apple Inc. / Google LLC | Distribution, paiement, notifications | Les données propres à votre compte de boutique, que nous ne recevons pas | Responsables de traitement indépendants pour ces opérations |
Le contenu que vous soumettez n'est utilisé par aucun de ces prestataires pour entraîner un modèle d'intelligence artificielle. Conformément aux conditions applicables aux interfaces de programmation d'OpenAI, les contenus transmis par cette voie ne servent pas à l'entraînement de ses modèles ; ils peuvent être conservés par ce prestataire pendant une durée limitée aux seules fins de détection des abus, puis supprimés.
Les données peuvent en outre être communiquées à une autorité judiciaire ou administrative habilitée, sur réquisition régulière. Compte tenu de l'architecture décrite au § 4, une telle réquisition ne permettrait pas de restituer le contenu de vos analyses passées : il n'existe plus.
18. Transferts hors Union européenne
L'hébergement principal et les fonctions d'analyse sont situés dans l'Union européenne. Certains prestataires mentionnés au § 17 sont susceptibles de traiter des données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), complétées, lorsque le prestataire y est certifié, par le cadre de protection des données UE-États-Unis (décision d'adéquation du 10 juillet 2023), ainsi que par des mesures techniques : minimisation des données transmises, absence d'identifiant d'utilisateur dans les appels concernés, chiffrement en transit. Une copie des garanties applicables peut être obtenue à [email protected].
19. Durées de conservation
| Donnée | Durée |
|---|---|
| Contenu soumis à l'analyse | Non conservé, détruit à la fin du traitement |
| Empreinte irréversible du message et verdict associé | 96 heures par défaut, paramétrable, jamais au-delà de 30 jours |
| Résultat des vérifications sur un domaine ou une adresse | Quelques heures à quelques jours |
| Historique de vos analyses | Sur votre appareil, jusqu'à suppression par vous ou désinstallation |
| Profil (pays, langue, prénom, photo) et compteurs d'usage | Jusqu'à la suppression du compte, que vous pouvez demander à tout moment depuis les réglages de l'application |
| Code de parrainage, lien parrain/filleul | Jusqu'à la suppression du compte |
| Identifiants aléatoires des vérifications en cours | 24 heures |
| Liens de confiance, demandes d'avis et réponses | Jusqu'à la rupture du lien ou la suppression du compte |
| Jeton de notification | Jusqu'à son invalidation par le système ou la suppression du compte |
| Signalements de bug et suggestions | 24 mois, ou jusqu'à la suppression du compte |
| Signalements d'abus entre personnes de confiance | 1 an, y compris après la suppression du compte de l'une des deux personnes |
| Empreinte d'installation (condensé, article 11) | 90 jours, y compris après la suppression du compte |
| Événements d'abonnement reçus de RevenueCat (identifiant de compte, type d'événement) | 90 jours, y compris après la suppression du compte |
| Journaux techniques des serveurs (sans contenu) | 30 jours |
| Mesure d'audience | 14 mois |
| Rapports de plantage | 90 jours |
| Correspondance reçue par courriel | 3 ans à compter du dernier échange |
| Pièces comptables relatives aux abonnements | 10 ans (article L.123-22 du Code de commerce) |
20. Sécurité
Les mesures suivantes sont mises en œuvre :
- chiffrement des communications de bout en bout du transport (TLS) et chiffrement des données au repos chez l'hébergeur ;
- aucun secret dans l'application : aucune clé d'accès à un service tiers n'est embarquée dans le programme installé sur votre téléphone ; elles résident dans un coffre-fort géré (Secret Manager) ;
- règles d'accès à la base de données en refus par défaut : un utilisateur ne peut lire que ce qui le concerne, et les données sensibles ne sont écrites que par le serveur ;
- aucun contenu utilisateur dans les journaux, y compris en cas d'erreur ;
- traitement du contenu soumis comme une donnée hostile : il ne peut ni influencer le comportement du modèle, ni provoquer l'affichage d'un texte imprévu, la sortie étant restreinte à un catalogue fermé ;
- protections contre les requêtes sortantes détournées lors de l'inspection d'un lien, plafonds de dépense et limitation de débit.
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les conditions prévues à l'article 34 du RGPD, et la CNIL sera notifiée dans les 72 heures.
21. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment, sans que ce retrait ne remette en cause la licéité du traitement antérieur. Vous pouvez également définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Les moyens les plus directs se trouvent dans l'application :
- Effacer votre historique : depuis l'écran Historique.
- Supprimer votre compte et toutes les données associées : Réglages → Supprimer mon compte. L'opération est immédiate et définitive. La marche à suivre détaillée, et le sort de chaque donnée, sont décrits sur la page Supprimer mon compte.
- Rompre un lien de confiance : depuis la page du proche concerné, à tout moment et sans son accord.
- Retirer votre consentement aux notifications : dans les réglages de l'application ou du téléphone.
- Vous opposer à la mesure d'audience : Réglages → À propos → « Mesure d'audience ». L'effet est immédiat. Pour demander en plus l'effacement des données déjà collectées, écrivez à [email protected]. Supprimer votre compte remet à zéro l'identifiant de mesure, sans effacer rétroactivement les événements déjà envoyés (article 12).
- Signaler un abus : depuis la page du proche concerné, ou depuis une demande d'avis, rubrique « Signaler un abus ». Le signalement peut rompre le lien dans le même geste, et la personne visée n'en est pas informée.
Pour toute autre demande, écrivez à [email protected]. Il vous sera répondu dans un délai d'un mois, prorogeable de deux mois en cas de complexité.
Une limite qu'il faut connaître. Parce que l'application ne vous demande aucune identité, nous ne pouvons pas relier une adresse e-mail à un compte. Pour exercer un droit d'accès ou d'effacement par courriel, il vous faudra nous communiquer votre identifiant d'installation, affiché en bas de l'écran des réglages, section « À propos », et copiable d'une pression. À défaut, et conformément à l'article 11.2 du RGPD, nous serons dans l'incapacité d'identifier les données vous concernant : la suppression depuis l'application demeure alors la voie la plus sûre et la plus rapide.
22. Mineurs
Bimo s'adresse à un public adulte et n'est ni conçue ni destinée aux enfants. Rien dans l'application ne s'adresse à eux : ni le sujet, ni le ton, ni les exemples.
Nous ne vérifions pas l'âge, et nous préférons l'écrire plutôt que de le laisser croire. L'application ne demande aucune date de naissance et n'oppose aucun contrôle d'âge à l'installation : la tranche d'âge éventuellement déclarée à l'inscription est facultative, déclarative, et ne conditionne rien. Nous ne sommes donc pas en mesure de savoir si un compte appartient à un mineur.
En France, un traitement fondé sur le consentement suppose 15 ans révolus (article 7-1 de la loi Informatique et Libertés) ; ailleurs dans l'Union européenne, l'âge applicable est celui fixé par le droit national, compris entre 13 et 16 ans. En deçà, ce consentement doit être donné par le titulaire de l'autorité parentale. Dans Bimo, cela ne concerne que trois choses, toutes facultatives et toutes désactivables : les notifications, les alertes automatiques à un proche, et la tranche d'âge et le genre déclarés. Le reste du service repose sur l'exécution du contrat.
Aucune donnée n'est collectée sciemment auprès d'un enfant. Si vous êtes titulaire de l'autorité parentale et constatez qu'un compte a été ouvert par un mineur, écrivez à [email protected] : le compte et les données qui s'y rattachent sont supprimés sans délai, sans avoir à justifier de quoi que ce soit.
23. Le site internet
Le site https://bimo.devolim.fr est un site vitrine statique. Il ne dépose aucun cookie, n'utilise aucun traceur, aucun outil de mesure d'audience et aucune ressource chargée depuis un domaine tiers : les polices de caractères sont servies depuis ce même domaine. Aucun formulaire n'y est proposé : le contact se fait par courriel. L'hébergeur conserve des journaux de connexion (adresse IP, date, page demandée) à des fins de sécurité et de statistiques techniques, pour une durée limitée, conformément à ses propres obligations.
24. Modifications
La présente politique peut être modifiée pour tenir compte de l'évolution de l'application ou de la réglementation. La version en vigueur est celle publiée à l'adresse https://bimo.devolim.fr/confidentialite.html. Toute modification substantielle vous sera signalée dans l'application, et, lorsque la loi l'exige, votre consentement sera recueilli à nouveau.
25. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés :
CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22, www.cnil.fr/fr/plaintes
Si vous résidez dans un autre État de l'Union européenne, vous pouvez saisir l'autorité de contrôle de votre pays de résidence.