En résumé : LoveClock garde votre relation pour vous. En solo, tout ce que tu saisis reste sur ton appareil et rien n'est envoyé nulle part. Si tu choisis de t'associer à ton partenaire, les données que vous partagez sont chiffrées de bout en bout sur ton téléphone avant de partir, et notre serveur ne stocke que des données brouillées qu'il ne peut pas lire. Il n'y a pas de compte, pas de statistiques, pas de publicité, pas de pistage et aucun accès à la localisation.
Utiliser LoveClock en solo (le mode par défaut)
LoveClock fonctionne entièrement sans association. Ta date de début de relation, une date de mariage facultative, les étapes, les comptes à rebours de retrouvailles, les projets, les moments de Notre histoire et tes préférences de thème sont stockés localement sur ton iPhone ou ton iPad, dans le stockage sur appareil d'Apple. En solo, l'app ne contacte pas notre serveur et rien de ce que tu saisis ne quitte ton appareil.
T'associer à ton partenaire (facultatif)
Tu peux, si tu le souhaites, t'associer à un seul partenaire avec un code court ou un lien d'invitation. L'association est construite pour que nous ne puissions pas lire ce que vous partagez :
- Le code d'association ne quitte jamais vos téléphones. La seule exception est la sauvegarde iCloud facultative, qui le garde aussi dans ton trousseau iCloud personnel, qu'Apple chiffre de bout en bout : nous ne pouvons pas le lire non plus. La clé de chiffrement est dérivée du code sur vos appareils, et notre serveur ne voit qu'une empreinte à sens unique du code, utilisée comme adresse de salon.
- Tout ce que vous synchronisez (dates, étapes, retrouvailles, projets) est chiffré sur ton appareil avant l'envoi. Le serveur ne stocke que ces données chiffrées et n'a aucun moyen de les déchiffrer.
- Il n'y a pas de comptes. Tes appareils s'authentifient avec un secret aléatoire propre à chacun. Nous ne demandons jamais de nom, d'adresse e-mail ni de numéro de téléphone.
Ce que notre serveur stocke quand vous êtes associés
Quand vous vous associez, et seulement à ce moment-là, notre serveur détient ces types de données :
- Un enregistrement de salon : l'adresse de salon hachée, les identifiants d'appareil hachés et un compteur de version. Aucun contenu lisible.
- Tes enregistrements chiffrés : les données chiffrées de bout en bout décrites plus haut, conservées jusqu'à 400 jours après la dernière mise à jour. Un salon créé mais jamais rejoint est supprimé au bout de 15 minutes.
- Un jeton de notification : le jeton de notification Apple de ton appareil, utilisé uniquement pour délivrer les mises à jour de synchronisation et les petits signes, conservé jusqu'à 90 jours. C'est la seule donnée côté serveur qui n'est pas chiffrée, parce qu'Apple en a besoin en clair pour acheminer les notifications.
- Les instantanés chiffrés (en transit) : un instantané que tu envoies est chiffré sur ton appareil avec une clé à usage unique avant l'envoi, et cette clé ne voyage qu'à l'intérieur de vos enregistrements chiffrés de bout en bout, donc le fichier photo sur notre serveur nous est illisible. Ces fichiers sont supprimés automatiquement en une journée environ, et la clé à usage unique est détruite sur vos appareils quand l'instantané s'efface, ce qui rend définitivement inutile tout reste de données chiffrées. Les deux moitiés comptent : un stockage bref et illisible chez nous, l'effacement de la clé chez vous.
- Les messages vocaux chiffrés (en transit) : un message vocal fonctionne exactement comme un instantané. Il est chiffré sur ton appareil avec sa propre clé à usage unique, illisible pour nous au passage, supprimé de chez nous en une journée environ, et rendu définitivement inutile quand la clé est effacée chez vous. L'audio n'est déchiffré que dans la mémoire de ton téléphone et n'est jamais écrit dans son stockage, sauf si tu choisis délibérément de le garder.
Dissocier retire ton appareil du salon, et les durées de conservation ci-dessus font expirer le reste automatiquement.
Notifications et petits signes
Les rappels d'anniversaire et d'étape sont programmés localement sur ton appareil par iOS, sans aucun serveur. Quand vous êtes associés, les mises à jour de synchronisation arrivent sous forme de notifications silencieuses, et le signe d'un partenaire affiche une bannière fixe et générique. Le mot facultatif joint à un signe est chiffré de bout en bout comme tout le reste, et il s'affiche brièvement sur l'écran de ton partenaire au lieu d'être stocké. Un instantané fonctionne de la même façon : il reste visible environ 20 minutes après que ton partenaire l'a ouvert, puis il est effacé, sauf s'il choisit délibérément de le garder. S'il garde un instantané que tu as envoyé, tu en es informé, et l'instantané gardé reste sur son téléphone, d'où il peut être enregistré ailleurs. La seule exception est un instantané gardé au moment d'un signalement auprès de nous : cet enregistrement est silencieux, pour qu'un signalement ne s'annonce jamais à la personne signalée. Nous ne pouvons pas voir les instantanés, et nous ne pouvons pas empêcher un téléphone de faire une capture d'écran. L'effacement est une promesse entre vous deux, pas une impossibilité technique.
Un message vocal suit les mêmes règles, avec une différence qui mérite d'être dite clairement : ses vingt minutes commencent quand ton partenaire l'écoute, pas quand il apparaît. Un message vocal posé à l'écran ne lui apprend rien, il serait donc injuste de lancer le compte avant qu'il ait eu l'occasion de l'entendre. Un message vocal jamais écouté est effacé automatiquement un jour après son envoi. Les messages vocaux ne se lisent jamais tout seuls, ni depuis une notification ni à l'arrivée, et nous ne pouvons pas plus les entendre que nous ne pouvons voir un instantané.
Ce qui ne se synchronise jamais
Le partage est sélectif : les retrouvailles et les projets que tu gardes privés restent sur ton téléphone, même quand vous êtes associés. Tes préférences de thème et d'animation, le widget que tu as épinglé et tes reçus d'achat ne quittent jamais ton appareil. Si vous êtes associés, un unique indicateur oui/non chiffré partage ton statut Premium avec ton partenaire, pour qu'un seul abonnement vous couvre tous les deux. Il ne révèle rien d'autre.
Si tu perds tes appareils
Comme nous n'avons jamais ton code d'association ni ta clé de chiffrement, nous ne pouvons pas récupérer les données présentes sur le serveur. Si tu as activé la sauvegarde iCloud facultative, un appareil neuf ou réinstallé, connecté à ton compte iCloud, peut proposer de restaurer votre association depuis ton trousseau iCloud personnel, un chemin qui passe entièrement entre tes appareils et Apple. Sans cette sauvegarde, perdre les deux téléphones signifie que les données chiffrées expirent sans avoir été lues. C'est un compromis assumé : c'est exactement la propriété qui nous empêche de lire votre relation.
C'est aussi vrai des photos, des messages vocaux et des mots que tu gardes : ils vivent sur ton téléphone et n'atteignent jamais nos serveurs. Tu peux, si tu le veux, activer la sauvegarde iCloud, un seul réglage qui couvre à la fois votre association et ton contenu, et qui copie tes dates, tes moments, tes projets et les souvenirs gardés dans ton propre iCloud Drive. Chaque fichier est d'abord chiffré sur ton appareil, avec une clé stockée uniquement dans ton trousseau iCloud, donc la sauvegarde est illisible pour nous comme pour Apple. Le contenu envoyé par ton partenaire que tu n'as pas gardé n'est jamais sauvegardé. Il reste aussi temporaire qu'il devait l'être. Désactiver la sauvegarde la supprime.
Prestataires
Le serveur de synchronisation tourne sur Cloudflare (Workers, KV et Durable Objects), qui stocke pour notre compte les données chiffrées et les jetons de notification décrits plus haut. Les notifications sont distribuées par le service Apple Push Notification. Ni l'un ni l'autre ne reçoit de nous des données lisibles sur votre relation.
Aucun compte nécessaire
Tu peux utiliser toutes les fonctions, y compris l'association, sans créer de compte, sans te connecter et sans nous donner d'adresse e-mail. Il n'y a aucun mur de connexion.
Pas de statistiques, pas de publicité, pas de pistage tiers
LoveClock ne contient aucune publicité, aucun SDK de statistiques ou de télémétrie et aucun outil de pistage tiers. Nous ne construisons pas de profil sur toi et nous ne partageons aucune donnée avec des annonceurs ou des courtiers en données.
Aucun suivi de localisation
LoveClock ne demande ni n'utilise jamais ta position. Les comptes à rebours de retrouvailles tiennent compte des fuseaux horaires, mais le calcul se fait sur ton appareil, à partir des dates et des fuseaux que tu choisis. Nous ne suivons pas où tu es, ni où est ton partenaire.
Enfants
LoveClock s'adresse au grand public et ne collecte sciemment aucune information personnelle sur qui que ce soit, enfants compris.
Modifications de cette politique
Si cette politique change, nous mettrons cette page à jour et corrigerons la date ci-dessus. Continuer à utiliser l'app après une mise à jour vaut acceptation de la politique révisée.
Contact
Des questions sur ta vie privée ? Écris à pawels.apps@gmail.com.