Centre de transparence

Cinq choses à vérifier en 60 secondes

• Zéro donnée sur mon serveur. Point. (Voir « Sous-traitants » — seul Apple touche au texte chiffré, et uniquement parce que vous avez activé la synchro iCloud.)
• Zéro analytics, zéro SDK publicitaire, zéro service de remontée d'erreurs. (Voir la liste complète des sous-traitants ci-dessous.)
• Journal public des incidents de sécurité. Actuellement vide. (Voir « Incidents » ci-dessous.)
• Feuille de route avec dates. Cœur cryptographique open source + audit indépendant engagés pour 2026. (Voir « Roadmap » ci-dessous.)
• Voie de vérification indépendante. White paper + GitHub + email de l'auditeur — chaque affirmation peut être confrontée à sa source. (Voir « Vérifier » ci-dessous.)

Sous-traitants de données (liste complète)

Voici la liste complète de toutes les entités qui traitent vos données pour mon compte. Cette liste est volontairement courte.

• Apple Inc.: Cupertino, Californie, États-Unis. Rôle : sous-traitant pour la synchronisation Trousseau iCloud, la synchronisation CloudKit Private Database et la gestion des abonnements StoreKit. Données traitées : uniquement du texte chiffré AES-256-GCM (Apple ne peut pas le déchiffrer). Contact confidentialité : [email protected] / apple.com/privacy. Mécanisme juridique pour les transferts UE/Royaume-Uni : EU-US DPF + CCT module 2.
• Have I Been Pwned (haveibeenpwned.com): Exploité par Troy Hunt. Rôle : détection de fuites optionnelle (uniquement si l'utilisateur l'active). Données envoyées : 5 premiers caractères d'un hash SHA-1 d'un mot de passe (k-anonymat). Le mot de passe réel ne quitte jamais l'appareil. Aucun identifiant personnel n'est transmis.
• (C'est tout.): Il n'y a aucun fournisseur d'analytique, aucune régie publicitaire, aucun service de remontée d'erreurs, aucune automatisation marketing, aucun service email, aucun chat widget, aucun SDK tiers. Si un nouveau sous-traitant venait à être ajouté, cette page serait mise à jour et tout changement substantiel déclencherait une notification dans l'app.

Journal des incidents de sécurité

Par conception, je n'ai aucun accès en clair aux données de votre coffre — ce qui limite matériellement la portée de toute violation plausible à ma propre infrastructure (par exemple, une compromission de base de données marketing). Si une violation de données personnelles survient, je m'engage à : (1) notifier l'autorité de contrôle compétente dans les 72 heures suivant ma prise de connaissance (RGPD art. 33 / PIPL art. 57) ; (2) notifier sans retard injustifié les utilisateurs affectés (RGPD art. 34 / CCPA § 1798.82) ; (3) publier un avis public ici.

Statut actuel : 0 incident: Aucun incident de sécurité à signaler à ce jour. Cette page est mise à jour à chaque changement de statut ; les incidents précédents (le cas échéant) restent visibles à des fins de transparence.

Feuille de route publique

La confiance exige des dates concrètes, pas des promesses vagues. Voici ce que je me suis engagé à livrer.

• Ouverture du cœur cryptographique (T3 2026): Le code de dérivation de clé Argon2id, la hiérarchie de clés HKDF et le chiffrement de champ AES-256-GCM seront publiés sur GitHub sous licence MIT. La partie UI / logique métier non cryptographique reste fermée pour le moment. Suivez @ByteGuardApp sur GitHub pour être prévenu.
• Audit de sécurité indépendant par un tiers (T4 2026): Cible parmi : Trail of Bits, Cure53 ou Doyensec. Périmètre : cœur cryptographique + intégration Trousseau + synchronisation iCloud + extension AutoFill. Le rapport final sera publié intégralement à /security/audit-2026.
• Programme Bug Bounty (après l'audit): Une fois l'audit terminé, un programme bug bounty sera lancé sur HackerOne ou Intigriti. Périmètre initial : flux de chiffrement / authentification. Récompense minimale : 100 USD.
• Page d'auto-attestation SOC 2 Type II: Bien que je n'aie pas d'audit SOC 2 formel (sous-traitant à petite échelle), je publierai une page d'auto-attestation alignée sur SOC 2 mappant les cinq principes de confiance (Sécurité, Disponibilité, Intégrité du traitement, Confidentialité, Vie privée) à l'implémentation réelle.

Comment vérifier indépendamment chaque affirmation

Faites-moi moins confiance, vérifiez plus. Chaque affirmation architecturale de ce site peut être recoupée avec :

• Le livre blanc de sécurité à /whitepaper — chaque décision cryptographique documentée sous forme de spécification formelle, avec paramètres, modèle de menaces et références.
• Le dépôt GitHub (après le T3 2026) — lisez les paramètres Argon2id, la gestion des IV en AES-256-GCM, la source d'entropie BIP39. Vérifiez que la spec correspond au code source.
• Le diagramme de dérivation de clé sur /security — flux réel à l'intérieur de l'app, pas un schéma marketing. Comparez-le avec le livre blanc.
• Écrivez-moi une question précise avec la ligne de code source qui vous échappe : [email protected]. Je réponds sous 7 jours. (Si je ne réponds pas, c'est en soi un signal.)
• Après le T4 2026 : lisez le rapport d'audit tiers à /security/audit-2026.

Canaux de contact

Différentes préoccupations m'atteignent par différentes adresses. Je vise une réponse dans les délais indiqués.

• Demandes générales de confidentialité / personne concernée: [email protected] · délai 30 jours (RGPD art. 12, §3) · 15 jours ouvrés (PIPL art. 50) · 45 jours (CCPA / CPRA, prorogeables).
• Signalements de vulnérabilité de sécurité: [email protected] (objet : [SECURITY]) · accusé de réception sous 48 heures · divulgation responsable préférée. Après le T4 2026, un canal HackerOne / Intigriti remplacera celui-ci.
• Demandes B2B / DPA (Accord de traitement de données): [email protected] (objet : [DPA REQUEST]) · je n'ai pas de modèle de DPA pré-signé (petite échelle, pas encore de clients entreprise) ; pour l'instant, les exigences du RGPD art. 28, §3 sont satisfaites via la Politique de confidentialité publiée + cette page Transparence. Négociation de DPA personnalisé possible pour les projets pilotes entreprise engagés.
• Presse / demandes médias: [email protected] (objet : [PRESS]) · informations publiques uniquement — aucun commentaire sur des utilisateurs ou comptes individuels en aucune circonstance.
• Plaintes auprès des autorités de contrôle: UE/Royaume-Uni : votre autorité nationale (CNIL, ICO, BfDI, IDPC, etc.). Chine continentale : Cyberspace Administration of China (CAC) ou autorité locale. Californie : procureur général de Californie. Je coopérerai avec toute enquête légitime.