Cette page explique ce que Pertnence sait de vous, pourquoi, combien de temps, et ce que vous pouvez exiger. Elle est écrite pour être lue, pas pour être opposée : si une phrase n'est pas claire, écrivez-nous et nous la réécrirons.

Le responsable du traitement est PERTNENCE, société par actions simplifiée (SAS) au capital de 1 000 €, immatriculée au registre du commerce et des sociétés de Bordeaux sous le numéro 131 032 757, dont le siège est au 20 rue de Guienne, 33000 Bordeaux.

Pour toute question ou toute demande concernant vos données : contact@pertnence.fr. C'est la même adresse pour tout — une question, une opposition, une demande d'effacement, une réclamation.

Nous n'avons pas de délégué à la protection des données. La loi ne nous oblige pas à en désigner un (article 37 du RGPD), et nous préférons vous le dire que vous laisser croire le contraire.

Vous créez un compte avec une adresse e-mail, ou en passant par Google ou Apple. Nous conservons l'identifiant que le service utilisé nous renvoie, et l'adresse e-mail associée.

Nous ne vous demandons jamais votre vrai nom. Nous ne vous demandons pas votre numéro de téléphone aujourd'hui ; si cela devait changer, cette page le dirait avant.

Le nom que vous choisissez, ou celui que le système vous attribue tant que vous n'avez rien choisi (du type user-3f2a91c4, qui ne dit rien de vous). C'est le seul nom qui existe sur Pertnence.

Juste après votre connexion, nous vous demandons votre date de naissance. Pertnence est interdit aux moins de 15 ans (section 13), et c'est ce que cette date sert à vérifier.

Cette date, nous ne la gardons pas. Elle est envoyée à nos serveurs, elle y est vérifiée, et elle n'est écrite nulle part : dans aucune colonne de notre base, dans aucun fichier, dans aucune trace technique. Ce qui reste après tient en deux choses : le fait que la vérification est passée, et l'année de cette date. Ni le jour, ni le mois.

À quoi sert cette année. D'abord, et pour tout le monde : regarder par tranches d'âge ce qui se publie et ce qui se vote sur Pertnence, et le regarder à nouveau au fil du temps, parce que les gens qui sont ici changent. Nous gardons l'année plutôt qu'une tranche pour une raison précise : une année reste vraie. Une tranche « 15-17 ans » enregistrée aujourd'hui serait fausse dans trois ans, et pour la corriger il faudrait justement une année — qu'il aurait donc fallu garder de toute façon.

Deux choses que nous nous engageons à ne pas faire.

Nos propres outils ne peuvent pas la lire. L'accès à cette colonne est fermé dans la base de données elle-même : ni l'application, ni les outils avec lesquels nous administrons le service au quotidien n'ont le droit d'en obtenir la valeur. Un seul programme y a accès, et il ne sait produire que des comptages par tranches d'âge — il ne peut pas remonter à un compte. Si vous acceptez la publicité ciblée, le programme qui choisit vos publicités lit aussi votre tranche d'âge, pour ce seul choix, et personne ne la voit. Ce n'est pas une consigne que nous nous donnons, c'est une permission qui n'existe pas.

Pourquoi nous ne vous demandons pas votre accord pour cela. Nous aurions pu en faire une case à cocher de plus, et nous ne l'avons pas fait ; voici le raisonnement, plutôt que le silence. Un comptage qui ne porterait que sur les personnes ayant dit oui ne dirait pas la vérité sur les autres, et une statistique fausse dont personne ne sait qu'elle est fausse est pire que pas de statistique du tout. Nous nous appuyons donc sur ce que la loi appelle l'intérêt légitime (article 6, paragraphe 1, point f, du RGPD) — et, comme la loi l'exige quand nous nous donnons une raison sans vous demander votre avis, vous disposez en retour d'un droit d'opposition réel, qui est expliqué à la section 11. Il tient en un e-mail, nous ne le discutons jamais, et l'année est alors effacée. Nous ne vous la redemandons pas ensuite.

Combien de temps. Tant que votre compte existe. Elle est effacée quand vous le supprimez (section 10), et il n'en reste rien nulle part.

Sur la même page que votre date de naissance, nous vous demandons votre genre. Il y a cinq réponses et il faut en choisir une pour continuer : Femme, Homme, Non-binaire, Autre, Préfère ne pas répondre.

Décliner est la cinquième réponse, et elle est enregistrée comme les quatre autres. Nous préférons vous le dire : si vous choisissez Préfère ne pas répondre, ce choix-là est écrit sur votre compte. Nous n'avons pas mis un bouton passer qui n'aurait rien écrit, parce qu'un blanc serait indistinguable d'une personne à qui la question n'a jamais été posée, et que nous aurions alors publié des chiffres sans savoir ce qui leur manque.

Il n'y a pas de case à écrire vous-même, et c'est délibéré : dans un champ libre, les gens écrivent des choses qui relèvent de leur santé ou de leur vie privée, et nous ne voulons pas les détenir.

À quoi cela sert. Pour tout le monde, à regarder si certaines voix se font moins entendre ici que d'autres — qui publie, qui vote, qui obtient des réponses. C'est la raison pour laquelle cette colonne existe ; la seule autre, la publicité ciblée, ne vaut que si vous l'acceptez (section 4).

Les mêmes deux engagements que pour votre âge.

Nos propres outils ne peuvent pas le lire. Comme pour l'année de votre naissance, l'accès est fermé dans la base de données elle-même, pour tous nos outils sans exception. Une seule personne peut lire cette réponse : vous, dans l'application. Si vous acceptez la publicité ciblée, le programme qui choisit vos publicités en tient compte, selon la règle ci-dessus, et aucune personne ne la voit pour autant.

Et c'est la différence avec votre âge, qui compte pour vous. Votre année de naissance, vous ne pouvez pas la voir ni la corriger — vous pouvez seulement l'effacer. Votre genre, vous pouvez le relire et le corriger quand vous voulez, autant de fois que vous voulez, sans délai d'attente. C'est vous qu'il décrit : une réponse saisie de travers, ou qui a cessé d'être juste, se change en un geste dans les réglages. Nous ne gardons aucun historique de ces changements — seulement votre réponse d'aujourd'hui.

Pourquoi nous ne vous demandons pas votre accord pour cela. Le raisonnement est le même que pour l'année, et il vaut ici encore plus : un comptage qui ne porterait que sur les personnes ayant dit oui ne dirait rien de juste sur les autres, et c'est précisément les voix peu entendues qu'il manquerait. Nous nous appuyons donc sur l'intérêt légitime (article 6, paragraphe 1, point f, du RGPD) — l'intérêt étant de savoir si ce produit donne la parole à tout le monde de la même façon — et vous disposez en retour d'un droit d'opposition réel, expliqué à la section 11. Le raisonnement complet est écrit, et nous vous l'enverrons si vous le demandez.

Ce droit-là n'est pas définitif, contrairement à celui de l'année. Si vous faites effacer votre genre, la question pourra vous être reposée un jour, et vous serez libre d'y répondre ou non. Nous ne gardons aucune marque disant que vous vous êtes opposé : un genre effacé et un genre jamais demandé sont indistinguables chez nous, ce qui est exactement l'effet recherché.

Combien de temps. Tant que votre compte existe. Il est effacé quand vous le supprimez (section 10), et il n'en reste rien nulle part.

Vos publications, vos réponses, vos photos, les hashtags et les lieux que vous y attachez. C'est du contenu public : c'est le but de l'application. Il est lisible par tout le monde, y compris par des personnes qui n'ont pas de compte, et il est indexable par les moteurs de recherche.

Ce que vous écrivez vous appartient et vous engage. Si vous racontez quelque chose de très personnel dans une publication, cette chose devient publique — et elle le reste selon les règles de la section 8.

Le fait que vous avez voté, et dans quel sens. Personne ne voit qui a voté quoi, jamais. Le vote n'existe publiquement que sous forme de compteur.

C'est la section qui mérite d'être lue en entier — voir la section 3.

Quand vous demandez un lien de connexion par e-mail, sur le site comme dans l'application, un service vérifie que vous n'êtes pas un robot. Nous n'en gardons rien, et nous n'enregistrons aucune empreinte de votre appareil. Voir la section 6.

Si vous signalez un contenu, nous conservons votre signalement et notre décision, parce que la loi nous oblige à traiter chaque signalement et à vous répondre.

Comme tout site, nos serveurs voient votre adresse IP lorsque vous vous connectez. L'outil qui gère votre connexion l'enregistre, avec le type de votre navigateur ou de votre appareil, dans la session qu'il ouvre et dans son journal des connexions. Nous ne nous en servons pas pour vous localiser : si vous refusez la localisation, vous choisissez votre ville à la main, et rien ne la devine à votre place.

Pour savoir combien de personnes utilisent Pertnence et ce qui leur sert, nous comptons les pages vues et quelques actions : publier, créer un événement, une communauté ou un groupe, rejoindre un salon, répondre à une invitation, choisir sa ville. Une action n'emporte que des indications sans contenu, par exemple « avec une photo » ou « nombre de personnes invitées » — jamais ce que vous avez écrit, jamais votre pseudo, jamais votre compte.

Cette mesure est anonyme : elle n'est reliée ni à votre compte ni à un profil. Sur le site, aucun cookie n'est déposé et rien n'est écrit dans votre navigateur. Dans l'application, l'identifiant de mesure ne vit que tant que l'application est ouverte : il n'est jamais enregistré sur votre appareil. L'outil de mesure (PostHog, section 7) ne conserve pas votre adresse IP.

Parce qu'elle se limite à des statistiques d'audience, cette mesure ne vous demande pas d'accord. Sur le site, vous pouvez la couper : si votre navigateur envoie le signal « Ne pas me pister » (Do Not Track), rien n'est mesuré.

Ce que nous enregistrons. Quand vous publiez et quand vous votez, nous enregistrons une position approximative, arrondie à environ 1 kilomètre, avec la date à laquelle elle a été prise.

Ce que nous n'enregistrons pas, et ne pouvons donc pas reconstituer :

À quoi cela sert. À deux choses, et à rien d'autre : afficher le fil de votre ville, et analyser l'activité par zone, en agrégé — combien de publications dans un quartier, pas lesquelles et par qui.

C'est facultatif, dans les deux sens. Vous pouvez refuser au départ, et vous pouvez retirer votre accord plus tard, dans les réglages, aussi simplement que vous l'avez donné. Si vous refusez :

Le retrait vaut à partir du moment où vous le faites : les publications déjà enregistrées gardent la position qu'elles portaient, et cette position sera effacée si vous supprimez votre compte.

Quand vous créez votre compte, nous vous demandons deux accords séparés, tous les deux décochés au départ :

1. la position approximative, décrite ci-dessus ;

2. la publicité.

Vous pouvez aussi ne pas répondre du tout. Lire Pertnence ne demande aucun compte, et avoir un compte ne vous oblige pas à passer par cet écran : vous pouvez le refermer et continuer à lire. Tant que vous n'avez rien répondu, vous n'avez accordé ni l'un ni l'autre — un silence n'est jamais compté comme un oui. La question revient la première fois que vous voulez publier ou voter, parce que c'est à ce moment-là qu'elle porte sur quelque chose.

Ce ne sont pas les mêmes. Vous pouvez accepter l'un et refuser l'autre, dans n'importe quel sens, et changer d'avis pour l'un sans toucher à l'autre. Refuser les deux ne bloque rien : l'application fonctionne entièrement sans aucun des deux.

Sur la publicité. Le second accord porte sur la publicité ciblée, et voici exactement ce qu'il change.

Si vous aviez accepté la publicité quand elle était encore choisie d'après le contenu, cet accord ne vaut plus : il portait sur des publicités choisies d'après ce que vous lisiez, jamais d'après vous, et nous ne le relisons pas comme s'il disait autre chose. Tant que vous n'avez pas répondu à la nouvelle question, vous êtes traité comme quelqu'un qui a refusé.

Il n'y a aucune régie publicitaire tierce dans l'application : personne d'autre que nous ne reçoit quoi que ce soit, et rien de vous n'est recoupé avec un profil ailleurs.

Et ce qui n'est pas un de ces deux choix. L'année de votre naissance (section 2) n'est pas un troisième accord. Nous ne vous la demandons pas : nous vous disons ce que nous en faisons, et ce que vous avez en face est un droit d'opposition (section 11), pas un interrupteur. La différence est réelle et pas seulement un mot : un interrupteur se rallume, une opposition efface.

Les données de localisation contenues dans le fichier sont retirées avant toute diffusion. Un appareil photo écrit dans l'image l'endroit exact où elle a été prise, au mètre près. Nous supprimons cette information au moment de l'envoi, avant que la photo soit visible par qui que ce soit. Une photo dont le nettoyage échoue n'est jamais diffusée.

Chaque photo est comparée à une base d'images pédocriminelles connues. Avant d'être visible, chaque image envoyée est transmise à Shield, le service de Project Arachnid exploité par le Centre canadien de protection de l'enfance, qui la compare à sa base d'images déjà identifiées. C'est un service tiers : cette comparaison est faite en dehors de Pertnence. Si Shield classe une image comme préjudiciable ou abusive sans qu'elle soit une image pédocriminelle connue, elle est refusée et n'est pas diffusée. Si une image correspond, elle n'est jamais diffusée, elle est conservée comme élément de preuve, le compte est suspendu, et nous en informons les autorités françaises, par la plateforme PHAROS du ministère de l'Intérieur (internet-signalement.gouv.fr). C'est une obligation : le règlement européen sur les services numériques impose à un hébergeur qui soupçonne une infraction menaçant la vie ou la sécurité d'une personne d'en informer promptement les autorités répressives ou judiciaires (article 18). Cette conservation-là survit à une demande d'effacement : l'image et ce qui permet d'identifier le compte sont gardés pour pouvoir être remis aux autorités qui enquêtent.

Pertnence repose sur une règle : une personne, une voix. Elle ne tient que si un programme ne peut pas fabriquer des comptes à la chaîne.

Quand. Quand vous demandez un lien de connexion par e-mail, sur le site comme dans l'application. Une connexion avec Google ou Apple n'y passe pas.

Ce que c'est. Un service de Cloudflare, appelé Turnstile, examine des signaux techniques liés à votre navigateur — dans l'application, au navigateur qu'elle ouvre pour l'occasion — et nous répond seulement « oui, c'est une personne » ou « non ». Le plus souvent, vous ne voyez rien ; parfois, il vous demande de cocher une case.

Ce que nous gardons : rien. La réponse sert à envoyer le lien, puis elle est oubliée. Nous n'enregistrons aucune empreinte de votre appareil, ni à la connexion ni après. Ce que Cloudflare voit est décrit à la section 7.

Aucune donnée n'est vendue, échangée ou louée. À personne, jamais.

Des tiers interviennent, chacun pour une seule chose :

Il n'y a aucune régie publicitaire dans cette liste, et c'est une décision d'architecture, pas une intention : l'application ne contient aucun outil publicitaire tiers.

Vos données sont hébergées en Irlande, dans l'Union européenne : c'est là que se trouvent la base de données et l'authentification de Pertnence, chez notre hébergeur.

Plusieurs de ces tiers sont des entreprises américaines, et des données peuvent donc quitter l'Union européenne. Voici sur quelle garantie, pour chacun :

Nous n'avons pas de durée fixe pour une publication supprimée, et nous ne prétendons pas en avoir une. Le critère est celui-ci, et il est vérifiable : elle reste, illisible, jusqu'à ce que vous supprimiez votre compte. À ce moment-là, ce qui reste ne vous est plus rattaché du tout.

Elle disparaît complètement de la vue. Plus dans le fil, plus dans la recherche, plus à son adresse publique, plus pour les autres — et plus pour vous non plus. L'action est définitive : il n'y a pas de retour en arrière, elle ne peut pas être republiée.

Mais nous gardons l'enregistrement, et voici pourquoi.

C'est ce que la loi appelle un intérêt légitime (article 6, paragraphe 1, point f, du RGPD), et il faut être précis sur à qui il appartient : il n'est pas le nôtre, il est celui des autres utilisateurs. Sous une question supprimée, il y a les réponses que des gens ont pris le temps d'écrire et les votes qu'ils ont exprimés. Effacer la ligne les emporterait tous.

Ce que cela veut dire concrètement :

Une chose que nous ne pouvons pas défaire, et il vaut mieux que vous le sachiez. Si quelqu'un a partagé le lien de votre publication dans une conversation, l'aperçu qui s'y est affiché appartient désormais à cette application de messagerie, pas à nous. Supprimer ne rappelle pas une carte déjà envoyée. Le lien lui-même, lui, ne mène plus à rien.

C'est un bouton dans l'application, pas une demande à formuler. Il se passe ceci :

1. Pendant environ trente jours, le compte est désactivé et rien n'est encore détruit. Vous pouvez revenir en vous reconnectant. C'est une protection contre le geste regretté.

2. Ensuite, la coupure est définitive et elle porte sur tout ce qui vous désigne :

La seule chose qui échappe à cet effacement est ce que nous gardons pour les autorités : une image bloquée par le contrôle de la section 5, qui leur est signalée, ou un élément qu'une autorité nous a formellement demandé de conserver. Nous ne gardons rien « au cas où » en dehors de ces cas-là.

Vous pouvez à tout moment nous demander :

Une seule adresse : contact@pertnence.fr. Nous répondons dans un délai d'un mois. Si votre demande est vraiment complexe, nous pouvons prendre deux mois de plus, mais nous vous le disons avant la fin du premier mois et nous vous expliquons pourquoi.

Si notre réponse ne vous convient pas, vous pouvez saisir l'autorité de protection des données de votre pays. Pertnence ouvre en France : c'est la CNIL (cnil.fr). Vous pouvez la saisir sans nous en parler d'abord, et vous pouvez aussi aller devant un tribunal.

Pertnence est interdit aux moins de 15 ans. La date de naissance est demandée juste après la connexion, donc un compte existe déjà au moment où la réponse arrive. Il faut alors dire ce qu'il devient, plutôt que de faire comme s'il n'y en avait pas.

Si la date indique moins de 15 ans : le compte est fermé, la session prend fin, et vous revenez au fil. Vous pouvez continuer à lire Pertnence — lire n'a jamais demandé de compte.

Ce que nous gardons dans ce cas, exactement. Que ce compte a été refusé à l'entrée, et une ligne qui note ce refus. Ni la date que vous avez saisie, ni son année, ni votre âge : rien de ce que vous avez tapé n'est écrit, là non plus.

Et pendant combien de temps. Douze mois, puis cela s'efface tout seul, sans que vous ayez quoi que ce soit à demander ni même à savoir que cela existe. Ces douze mois sont les mêmes pour tout le monde et ne dépendent pas de votre âge — c'est délibéré : une durée calculée à partir de votre âge serait une façon détournée de conserver votre date de naissance.

Cette page est écrite pour être comprise à 15 ans. Si une phrase ne l'est pas, dites-le-nous à contact@pertnence.fr : c'est un défaut de notre côté, pas du vôtre.

Nous la modifierons quand le produit changera. Nous ne modifierons jamais cette page pour élargir en silence ce que nous faisons de vos données : si un changement vous concerne réellement, vous en serez informé dans l'application avant qu'il s'applique. La date en haut de page indique la version en vigueur.