Aller au contenu principal
Mon coffre de vie

Politique de confidentialité

Ce que nous collectons, et pourquoi

  • Votre compte (nom, email, mot de passe haché, double authentification) : géré par nos propres serveurs, sans prestataire d'identité externe.
  • Votre coffre (inventaire, y compris les coordonnées des contacts que vous y indiquez, directives et messages personnels, écrits ou enregistrés) : son sort dépend d'un état que vous choisissez.
    • Codes et mots de passe — ils suivent l'état du coffre décrit ci-dessous, comme le reste de son contenu : lisibles par notre service tant que le coffre n'est pas verrouillé, scellés avec lui ensuite. Chaque affichage par l'une de vos personnes de confiance, après la remise, est inscrit à votre journal.
    • Coffre non verrouillé — son contenu est chiffré au repos (AES-256-GCM, une clé par utilisateur), mais cette clé est détenue par nous. Le chiffrement protège le stockage, il ne nous empêche pas de lire : nos opérateurs n'y accèdent pas en fonctionnement normal, et une réquisition judiciaire nous trouverait en mesure d'y répondre. Nous ne le présentons donc pas comme une protection qui vous serait acquise.
    • Coffre verrouillé — le contenu est chiffré dans votre navigateur avec une clé que seul votre code de transmission déverrouille, et notre propre clé est détruite au moment du verrouillage. En fonctionnement normal, nous ne pouvons alors plus le lire. Les deux choix qui dérogent à ce fonctionnement sont décrits ci-dessous : l'envoi d'un kit par email et le dépôt de sauvegarde facultatif. Nous continuons en revanche de voir des métadonnées, parce qu'elles servent à remettre à chaque proche ce qui lui est destiné : la catégorie de chaque élément, la rubrique de chaque directive, leur nombre, leur date de dernière modification et la portée de chaque élément, directive, message, code et mot de passe (toutes les personnes de confiance ou celles que vous avez choisies). Le texte « Pour » est chiffré avec le message ; il ne fait pas partie de ces métadonnées. Autrement dit, nous pouvons savoir que vous avez référencé une assurance, jamais laquelle ni ce que vous en dites.
  • Votre code de transmission : nous ne stockons ni ce code ni la clé en clair qu'il déverrouille. Une fois votre coffre verrouillé, nous ne pouvons techniquement plus le lire, en dehors des deux choix décrits ci-dessous. Nous conservons seulement les enveloppes chiffrées nécessaires à vos codes et sauvegardes. Si vous choisissez d'envoyer un kit par email à une personne de confiance, notre serveur reçoit temporairement le code de ce kit avec l'enveloppe de la clé et pourrait alors reconstituer cette clé. Notre application ne conserve ce code ni en base ni dans ses journaux. Le relais d'envoi et la messagerie du destinataire le reçoivent et peuvent le conserver ; l'impression et la remise en main propre évitent ce passage. L'autre choix est le dépôt de sauvegarde facultatif. Si vous choisissez de nous confier une copie de votre clé, nous devenons capables de rouvrir votre coffre — au moyen d'un secret conservé hors de nos serveurs et sous procédure écrite. Sans ce dépôt, nous en sommes incapables, y compris face à une réquisition judiciaire. Vous pouvez retirer ce dépôt à tout moment.
  • Vos messages enregistrés (vocaux et vidéo, si vous en enregistrez) : votre voix et votre image sont des données personnelles à part entière, et nous les nommons ici pour cette raison. Elles sont chiffrées sur votre appareil avant tout envoi. Tant que votre coffre n'est pas verrouillé, leur clé est conservée sous la clé de données du service : nous pouvons techniquement les ouvrir, comme le reste de votre coffre. Après le verrouillage, leur clé passe sous celle de votre code de transmission et nous ne pouvons plus les écouter ni les regarder, sauf au moyen d'un kit envoyé par email ou d'un dépôt de sauvegarde que vous avez demandé. Nous conservons en clair ce qu'il faut pour vous les réafficher — leur nature (vocal ou vidéo), leur durée et leur taille. Elles sont stockées sous forme de fichiers chiffrés et inclus dans nos sauvegardes. Leur effacement est déclenché avec celui de votre compte et repris automatiquement jusqu'à leur disparition du stockage.
  • Votre identité civile (prénom, nom, date de naissance, collectés à l'inscription) : utilisée uniquement pour le croisement avec le fichier public des personnes décédées (INSEE), l'une des preuves exigées avant toute transmission.
  • Votre sensibilité spirituelle (entièrement facultative, déclarée librement dans « Mon compte ») : donnée sensible au sens de l'article 9 du RGPD, traitée sur la base de votre consentement explicite. Elle est enregistrée pour une future adaptation du ton des contenus, mais n'est pas encore utilisée à cette fin. Retirable à tout moment et jamais transmise à des tiers.
  • Vos personnes de confiance (nom, email, téléphone) : contactées uniquement dans le cadre du dispositif que vous avez activé. Vous êtes responsable de les informer de leur désignation.
  • Le journal du dispositif : chaque étape (envois, relances, confirmations, transmission) est journalisée à des fins de preuve. Ce journal ne contient jamais le contenu de vos coffres.

Cadre légal du dispositif

Le dispositif de transmission post-mortem s'inscrit dans le cadre des directives relatives au sort des données à caractère personnel après le décès (articles 84 à 86 de la loi Informatique et Libertés). Votre consentement explicite est recueilli à l'activation ; vous pouvez le retirer à tout moment en supprimant votre compte.

Durées de conservation

  • Une sentinelle inactive ne déclenche par elle-même aucune suppression, et votre coffre reste modifiable ; seule l'absence de connexion, ci-dessous, borne sa conservation. Un impayé maintient la sentinelle pendant une fenêtre de régularisation de 60 jours ; il ne déclenche aucune suppression de vos données.
  • Compte gratuit laissé sans connexion : au bout de 24 mois sans aucune connexion, le compte et tout ce qu'il contient sont rendus inaccessibles, puis effacés. Deux courriels vous préviennent avant cette date, à 21 puis 23 mois, et une seule connexion remet le compteur à zéro. Un compte dont la sentinelle veille n'est jamais concerné, même sans connexion.
  • Suppression du compte : déclenchement immédiat de l'effacement des coffres, messages et bénéficiaires, avec reprise automatique des fichiers si le stockage est temporairement indisponible. Le journal du dispositif est conservé à des fins probatoires.
  • Après transmission : les données remises sont consultables 12 mois. À cette échéance, les liens d'accès cessent de fonctionner et les données ne sont plus servies à personne, puis elles sont effacées. L'échéance exacte est indiquée aux proches dès le message qui leur ouvre l'accès, pour qu'ils puissent enregistrer ce qui leur sera utile.

Vos droits

Accès, rectification, effacement, portabilité : directement depuis votre compte, ou par email (rgpd@clevertech-it.fr). Vous pouvez saisir la CNIL si vous estimez que vos droits ne sont pas respectés. Aucune donnée n'est vendue ni transmise à des tiers hors du dispositif décrit ici ; le paiement est traité par Stripe, l'envoi d'emails par le relais SMTP configuré par l'exploitant.