Politique de confidentialité

1. Qui traite tes données

Le responsable du traitement est À COMPLÉTER, À COMPLÉTER, RCCM À COMPLÉTER, dont le siège est À COMPLÉTER.

Pour toute question sur tes données : À COMPLÉTER. Pour saisir directement le délégué à la protection des données : À COMPLÉTER.

Deux textes s’appliquent à IvoireLove, et nous retenons le plus protecteur des deux sur chaque point : la loi ivoirienne n° 2013-450 relative à la protection des données à caractère personnel, et le RGPD européen pour les membres de la diaspora résidant dans l’Union.

2. Ce que nous collectons

2.1 Ce qu’il faut pour ouvrir un compte

Prénom, adresse e-mail, numéro de téléphone, mot de passe (chiffré, illisible pour nous), date de naissance, ton genre et le genre des personnes que tu cherches. Sept champs, et pas un de plus : c’est le minimum pour créer un compte, vérifier que tu as 18 ans et te montrer des profils qui ont un sens.

2.2 Ce que tu ajoutes si tu veux

Tout le reste du profil est facultatif : ville et quartier, photos, enregistrement de présentation, description, taille, silhouette, carnation, tatouages, piercings, pratique du sport, profession, niveau d’études, logement, tranche de revenus, enfants et désir d’enfants, consommation d’alcool et de tabac, religion, origines, centres d’intérêt, valeurs, et ce que tu cherches comme relation.

Un profil vide fonctionne. Il circule moins, parce que les autres membres en voient moins — mais rien de tout cela n’est exigé, et chaque champ peut être vidé à tout moment depuis l’application.

2.3 Les informations sensibles, et le consentement qu’elles demandent

Quatre des champs ci-dessus relèvent d’une catégorie particulière, au sens de l’article 9 du RGPD et de la loi 2013-450 :

• tes origines et ta carnation, qui disent quelque chose de ton origine ethnique ;
• ta religion ;
• ton orientation sexuelle : nous ne la demandons pas, mais la combinaison de ton genre et du genre que tu cherches la révèle. C’est inhérent à un service de rencontre, et il serait malhonnête de prétendre le contraire.

Ces informations ne sont traitées que sur la base de ton consentement explicite, donné en les renseignant. Elles servent uniquement à te présenter des profils pertinents et à alimenter tes filtres de recherche. Elles ne servent à aucun classement, aucune publicité, aucune statistique vendue à quiconque. Tu peux les retirer en vidant le champ, sans perdre ton compte ni le reste de ton profil.

2.4 Ce que ton usage produit

Tes likes et tes passes, tes matchs, tes conversations et leurs messages, ton humeur du jour si tu en publies une, les personnes que tu as bloquées, les signalements que tu envoies, tes filtres de recherche, tes préférences de notification, tes achats et le solde de ton portefeuille, et un horodatage de présence qui permet d’afficher si tu es en ligne.

2.5 Ce que la technique impose

Ton adresse IP et des journaux techniques au moment des requêtes, les identifiants de tes appareils si tu acceptes les notifications, et le cookie de session décrit à la section 5.

Ton adresse IP est convertie en un lieu approximatif — pays, région, ville, et un point avec son rayon d’incertitude — à quatre moments : ton inscription, tes connexions, l’ouverture d’une conversation, et la consultation des profils proches. La conversion est faite sur notre serveur, par une base de données locale installée à côté, et non par un service tiers interrogé à chaque fois : ton adresse ne part donc chez personne.

À quoi cela sert, et à quoi cela ne sert pas. Cela sert à la modération : repérer dix comptes créés depuis le même point, une connexion qui vient soudain d’un autre continent, un faux profil qui dit Abidjan en se connectant d’ailleurs. Cela ne sert ni à te montrer des profils, ni à remplir ton profil : la ville affichée sur ton profil reste celle que tu choisis dans une liste, et un lieu déduit de ton adresse IP n’est jamais montré à un autre membre.

Une adresse IP ne dit pas où tu es, elle dit où ton opérateur fait sortir ton trafic. En Côte d’Ivoire, sur un réseau mobile, l’écart se compte souvent en dizaines de kilomètres. Ces lieux sont donc traités comme des indices pour un modérateur, et jamais comme une position.

2.6 Ta pièce d’identité, et ce qui part avec elle

L’accès au service est conditionné à une vérification d’identité : tant qu’elle n’est pas accordée, ton compte existe mais ne voit aucun profil et n’est vu de personne. C’est la collecte la plus sensible de cette page, et elle mérite son détail.

Ce que tu envoies :

• ta pièce d’identité — carte nationale d’identité (recto et verso) ou passeport (la page avec la photo) ;
• un selfie pris sur le moment, par la caméra. Ni la galerie du téléphone, ni un fichier : l’autoriser reviendrait à accepter la photo de quelqu’un d’autre, ce que la vérification existe pour empêcher.

Ce que nous enregistrons autour :

• le type de document, la date d’envoi, le numéro de la tentative, et l’horodatage de ton consentement ;
• l’adresse IP depuis laquelle la demande est partie — contre les envois en série depuis un même point ;
• la décision, sa date, le modérateur qui l’a prise, et le motif en cas de refus ;
• chaque consultation d’une pièce, avec le nom du modérateur, l’heure et son adresse IP. C’est la ligne qui permet de dire qui a vu ta carte d’identité, et c’est la raison d’être de ce journal.

Les métadonnées de tes images sont détruites avant d’être gardées. Une photo prise au téléphone transporte le modèle de l’appareil et souvent les coordonnées GPS du lieu de la prise de vue : les pixels sont reconstruits et aucun de ces champs ne survit. Nous ne saurions donc pas dire d’où la photo a été prise, même interrogés.

Aucune reconnaissance faciale automatique n’est employée, à aucun moment. La comparaison entre ton selfie, ton document et tes photos de profil est faite par un œil humain. Nous ne calculons, ne stockons et ne comparons aucun gabarit biométrique — ce qui est aussi la raison pour laquelle ces images, au sens de l’article 9 du RGPD, ne sont pas des données biométriques : elles le deviendraient le jour où une machine les mesurerait pour identifier quelqu’un, et ce jour-là cette page changerait avant le code.

Ta pièce n’est jamais montrée à un autre membre, jamais publiée, jamais transmise à un prestataire, et ne sert à rien d’autre qu’à trancher ta demande : ni à enrichir ton profil, ni à alimenter un classement, ni à nous aider à cibler quoi que ce soit.

3. Pourquoi, et sur quelle base

3.1 Le consentement qu’on ne peut pas refuser n’est pas un consentement

Une politique de confidentialité honnête doit dire ceci : un consentement n’est valable, au sens du RGPD, que s’il est libre. Or tu ne peux pas utiliser IvoireLove sans envoyer ta pièce d’identité. Refuser laisse le compte sans accès. Présenter ce consentement comme la base légale du traitement serait donc un tour de passe-passe, et c’est pourtant ce que font beaucoup de services.

Nous nous appuyons sur notre intérêt légitime — la sécurité des personnes qui se rencontrent ici, et l’exclusion des mineurs, qui est aussi une obligation. La case que tu coches avant d’envoyer tes pièces est conservée avec son horodatage parce que nous devons pouvoir prouver que tu as été informé de ce que tu envoyais, et à quoi cela servirait. C’est une preuve, pas un blanc-seing.

La conséquence pratique est à ton avantage : un traitement fondé sur l’intérêt légitime peut être contesté (section 6), et nous devons alors peser ton cas particulier contre notre raison de le faire. Un consentement, lui, se retire — mais retirer le sien ici n’aurait rendu que l’impossibilité d’entrer.

4. Avec qui elles sont partagées

4.1 Avec les autres membres

Visible par les personnes qui te découvrent : ton prénom, ton âge, ta ville et ton quartier, tes photos validées, ta présentation, tes centres d’intérêt, et ce que tu as renseigné du reste de ton profil. Ton humeur du jour est visible si tu en publies une, et peut apparaître dans le classement du jour.

Jamais visible par les autres membres : ta pièce d’identité et ton selfie de vérification, ton adresse e-mail, ton numéro de téléphone, ta date de naissance exacte (seul l’âge est affiché), ton mot de passe, ton solde, tes achats, tes filtres, la liste de ceux que tu as bloqués, et les signalements que tu envoies. Un signalement est anonyme pour la personne signalée.

4.1 bis Qui, chez nous, voit ta pièce d’identité

Les modérateurs, et eux seuls. Pas l’équipe en général, pas le support, pas un prestataire : un rôle dédié, qui ne donne accès à rien d’autre que la file des demandes à trancher, et qui exige un second facteur d’authentification pour se connecter.

Chaque ouverture d’une pièce est inscrite avec le nom du modérateur, l’heure et son adresse IP. Nous pouvons donc dire qui a vu ta carte d’identité — et c’est le seul moyen qu’un accès de ce genre ne devienne pas une habitude sans témoin. Les pièces sont servies au navigateur du modérateur sans jamais être mises en cache, et la consigne écrite qu’il lit avant sa première revue lui interdit de les télécharger, de les photographier, ou d’en parler ailleurs que dans l’outil.

4.2 Avec nos prestataires

Ils agissent sur nos instructions, ne peuvent pas employer tes données à leurs propres fins, et reçoivent le minimum nécessaire :

• GeniusPay, pour les paiements Mobile Money. Ton code secret est saisi chez eux et ne passe jamais par nous.
• Apple (service de notification APNs), si tu acceptes les notifications sur un iPhone. Ce qui part est l’identifiant de ton appareil et le texte de la notification.
• Notre hébergeur, À COMPLÉTER, dont les serveurs sont situés en À COMPLÉTER.
• Notre service d’envoi de courriels, qui reçoit ton adresse et le contenu du message.
• Sentry, qui reçoit les erreurs techniques du serveur : le fichier, la ligne, la pile d’appels, la version déployée. Il est configuré pour ne recevoir ni ton adresse IP, ni ton identifiant de compte, ni les cookies, ni le corps de la requête — c’est-à-dire ni ton message, ni ton profil, ni ce que tu venais d’envoyer. Ces trois refus sont écrits dans la configuration et non laissés aux valeurs par défaut de la bibliothèque, qui, elles, enverraient tout cela.

Aucun de ces prestataires ne reçoit ta pièce d’identité. Il n’y a pas de service tiers de vérification dans ce circuit : les images restent sur notre serveur, chiffrées, et la comparaison est faite ici, par une personne.

4.3 Avec les autorités

Sur réquisition judiciaire valable, ou lorsqu’une personne est en danger. Nous vérifions la validité de la demande avant d’y répondre, et nous ne communiquons que ce qu’elle vise.

4.4 Ce que nous ne faisons pas

Nous ne vendons pas tes données. Nous ne les louons pas. Nous ne les transmettons à aucun courtier en données, aucun réseau publicitaire, aucun annonceur. Nous ne faisons pas de publicité ciblée, et nous n’avons installé aucun outil de mesure d’audience — ni Google Analytics, ni pixel de réseau social, ni équivalent.

Si les serveurs de notre hébergeur se trouvent hors de Côte d’Ivoire, le transfert correspondant est encadré par les garanties prévues par la loi 2013-450 et, pour les membres résidant dans l’Union européenne, par les clauses contractuelles types de la Commission. Le détail dépend du pays d’hébergement, à renseigner ci-dessus.

5. Les cookies, et pourquoi il n’y a pas de bandeau

Le site dépose un seul cookie : celui qui porte ton jeton de session après la connexion. Il est HttpOnly — donc illisible par le JavaScript de la page, y compris le nôtre — et il est strictement nécessaire au fonctionnement du service : sans lui, tu te reconnecterais à chaque page.

Un cookie strictement nécessaire n’exige pas de consentement, en droit ivoirien comme européen. Et comme il n’y en a aucun autre — pas de mesure d’audience, pas de traceur tiers — il n’y a rien à te demander. Un bandeau qui réclame un consentement pour rien est lui-même une mauvaise pratique.

6. Tes droits, et comment les exercer

Tu peux demander l’accès à tes données, leur rectification, leur effacement, la limitation de leur traitement, leur portabilité, et t’opposer à un traitement fondé sur notre intérêt légitime. Tu peux retirer ton consentement à tout moment, sans que cela remette en cause ce qui a été fait avant.

Trois de ces droits s’exercent directement, sans nous écrire :

• Rectifier : modifie ou vide n’importe quel champ depuis ton profil, dans l’application mobile.
• Effacer : supprime ton compte depuis les réglages. Voir la section 7.
• Ne plus recevoir de courriels relationnels : le lien de désabonnement au bas de chacun, ou tes préférences de notification dans l’application.

Pour l’accès et la portabilité, il n’existe pas encore de bouton : écris à À COMPLÉTER depuis l’adresse de ton compte, et nous t’envoyons une copie lisible de tes données dans un délai d’un mois. Nous préférons le dire que laisser croire à un export automatique qui n’est pas là.

Si une réponse ne te satisfait pas, tu peux saisir l’ARTCI (Autorité de régulation des télécommunications de Côte d’Ivoire), et — si tu résides dans l’Union européenne — l’autorité de protection des données de ton pays, par exemple la CNIL en France.

7. Ce que devient chaque donnée

7.1 Quand tu supprimes ton compte

La suppression se fait depuis les réglages, confirmée par ton mot de passe. Elle est immédiate : il n’y a ni corbeille, ni période de grâce, ni réactivation possible. Dans l’ordre, elle efface :

• les fichiers de tes photos, retirés du serveur qui les servait — et pas seulement leur ligne en base, qui est l’erreur classique du droit à l’effacement « honoré » ;
• ton compte et ton profil, avec tous les champs des sections 2.1 à 2.3 ;
• tes messages, tes conversations et tes matchs. Tes messages disparaissent aussi des conversations des personnes à qui tu avais écrit : elles ne les reliront pas ;
• les fichiers de ta pièce d’identité et de ton selfie de vérification, retirés du disque chiffré — eux aussi avant leur ligne en base, et pour une raison qui mérite d’être dite : la ligne porte la seule référence vers les fichiers. L’effacer d’abord les rendrait introuvables, donc conservés sans limite et sans que personne le sache ;
• tes likes et tes passes, tes blocages, tes signalements, tes appareils enregistrés, tes préférences de notification, ton portefeuille et l’historique de tes achats.

Les sauvegardes de la base tournent et finissent par ne plus contenir ton compte ; d’ici là, il peut y subsister quelques jours. Nous n’y puisons pas pour te restaurer.

7.2 Deux points que la suppression soulève

L’historique de tes achats disparaît avec ton compte. Or une obligation comptable peut imposer de conserver la trace d’une transaction au-delà. La façon de concilier les deux — une pièce comptable dépourvue de données de profil — est un point à arrêter avec un conseil juridique, et il n’est pas tranché à ce jour.

De la même manière, les signalements que tu as envoyés partent avec ton compte. Si tu as signalé un comportement grave, écris à À COMPLÉTER avant de supprimer ton compte, pour que le signalement nous reste.

7.3 Ta pièce d’identité, si tu gardes ton compte

Tu n’as pas besoin de supprimer ton compte pour que tes pièces partent. Trente jours après la décision — validation comme refus — les images sont supprimées du disque, automatiquement, chaque nuit. Ce qui reste est la décision : son statut, sa date, le motif s’il y en a eu un, le numéro de la tentative. De quoi savoir que ton compte est vérifié, et rien pour le refaire.

Le délai court à partir de la décision, pas de l’envoi. Une demande que personne n’a encore tranchée garde ses pièces : sans cette règle, une file en retard se viderait d’elle-même et il faudrait te redemander tes documents.

Une exception, dans l’autre sens : si un compte est fermé pour fraude manifeste à la vérification, ses pièces sont supprimées immédiatement, sans attendre les trente jours. La décision est prise et le compte ne revient pas : garder ce document n’aurait plus aucune utilité, et conserver une donnée d’état civil sans utilité est précisément ce que la loi interdit.

7.4 Durées qui restent à fixer

La durée de conservation des journaux techniques et des adresses IP n’est pas encore arrêtée. Elle sera indiquée ici dès qu’elle le sera, et cette page changera de date.

8. Comment elles sont protégées

Les échanges entre ton appareil et nos serveurs sont chiffrés (HTTPS). Ton mot de passe est haché, pas chiffré : même nous ne pouvons pas le retrouver. Le jeton de session vit dans un cookie HttpOnly et n’est jamais écrit dans le stockage du navigateur, ce qu’un test automatisé vérifie à chaque livraison. Les écritures venues d’une origine inconnue sont refusées par le serveur, et le nombre de tentatives de connexion est limité.

Tes pièces d’identité sont chiffrées sur le disque (AES-256-GCM), avec une clé qui n’est pas celle du reste et qui ne vit pas dans la base : quelqu’un qui emporterait une copie du disque ou un vidage de la base n’obtiendrait, dans les deux cas, rien de lisible. Elles sont rangées hors de tout répertoire servi par le serveur web — une carte nationale accessible par une URL devinée serait la fuite la plus bête qui soit — et une seule route les délivre, sous le rôle de modération, en écrivant son passage dans le journal.

Aucun système n’est inviolable. En cas de violation de données susceptible de te porter préjudice, nous prévenons l’autorité compétente dans les 72 heures et nous te prévenons directement.

9. Les mineurs

Le service est interdit aux personnes de moins de 18 ans. L’âge est contrôlé deux fois : par le serveur à l’inscription, puis sur la pièce d’identité elle-même — une date saisie dans un formulaire ne prouve rien, et c’est l’une des raisons pour lesquelles la vérification existe. Nous ne collectons pas sciemment les données d’une personne mineure ; si cela se produit, le compte et ses données sont supprimés dès que nous l’apprenons. Pour nous le signaler : À COMPLÉTER.

10. Si cette politique change

La date en haut de la page dit la dernière version. Un changement important — une nouvelle finalité, un nouveau prestataire, une donnée de plus — est annoncé par courriel au moins trente jours avant son entrée en vigueur. Si le changement porte sur un traitement fondé sur ton consentement, nous te le demandons à nouveau plutôt que de le présumer.

11. Nous écrire

Pour tes données : À COMPLÉTER. Pour le délégué à la protection des données : À COMPLÉTER. Les conditions d’utilisation complètent ce document, et la page sécurité explique ce que nous faisons pour que les rencontres se passent bien.