Demandes des autorités chargées de l’application de la loi

Tout est détaillé dans la politique de confidentialité et rappelé ici, car une demande fondée sur les données existantes reçoit une réponse plus rapidement qu’une demande fondée sur ce qu’un enquêteur pourrait s’attendre à trouver.

Les relevés d’appels — le numéro de destination composé, l’heure de début de l’appel, sa durée en secondes, le tarif appliqué et le montant déduit. Dans le cours normal des choses, ces données sont conservées pendant douze mois au maximum, puis supprimées ou regroupées en statistiques ne permettant pas d’identifier une installation.

Un identifiant d’installation anonyme, généré sur l’appareil et associé à un solde de crédit. Il n’est lié à aucune identité et nous ne pouvons pas l’associer à une personne.

Les relevés d’achat — les identifiants de transaction de l’App Store ou de Google Play, ainsi que le forfait acheté. Le paiement lui-même est traité par Apple ou Google. Toute demande concernant les informations sur le moyen de paiement, les adresses de facturation ou l’identité du titulaire de la carte doit donc leur être adressée, et non à nous.

Les données techniques — l’adresse IP, le modèle de l’appareil, le système d’exploitation et la version de l’app, le type de réseau et les rapports de plantage. Les données de plantage et de diagnostic sont conservées pendant quatre-vingt-dix jours au maximum.

Ce qui n’existe pas : l’audio des appels, qui n’est jamais enregistré ; les listes de contacts, qui ne sont jamais importées ; la localisation précise ou GPS, qui n’est jamais collectée ; les noms, adresses e-mail, numéros de téléphone et coordonnées de carte bancaire, qui ne sont jamais demandés.

Chaque demande est évaluée au regard du droit qui nous est applicable et des règles énoncées sur cette page. Nous exigeons une procédure légale valide, adaptée aux données demandées et à la juridiction concernée, et nous refusons les demandes trop larges, imprécises ou dépourvues de fondement juridique que nous pouvons vérifier. Lorsqu’une demande est irrégulière, nous indiquons ce qui manque au lieu de la refuser sans explication.

Les demandes provenant d’une juridiction autre que celle dans laquelle nous sommes établis sont traitées par les canaux reconnus pour les demandes transfrontalières, tels qu’un traité d’entraide judiciaire ou un instrument équivalent. Un simple e-mail d’une autorité étrangère invoquant son propre droit national ne constitue pas à lui seul un fondement suffisant pour divulguer des données. Le préciser ne constitue pas une obstruction : c’est la règle que la loi nous impose de respecter.

Nous nous efforçons d’accuser réception d’une demande correctement formulée dans un délai de cinq jours ouvrés. Les demandes d’urgence véritables — lorsqu’il existe un risque imminent de décès ou de préjudice physique grave — sont traitées sans attendre la procédure officielle et doivent porter la mention Demande de divulgation urgente dans l’objet, avec la nature du risque indiquée dans le premier paragraphe. Gardez à l’esprit, lorsque vous en formulez une, que ce service ne permet pas de localiser un utilisateur : nous ne détenons aucune donnée GPS et une adresse IP indique tout au plus une région.

Par défaut, nous informons l’utilisateur dont les données sont demandées, avant leur divulgation lorsque cela est possible, afin qu’il puisse exercer son propre recours juridique. C’est la position adoptée par la plupart des services responsables, et nous l’énonçons ici afin qu’il s’agisse d’un engagement et non d’une simple faculté.

Nous n’informerons pas l’utilisateur lorsque cette notification est interdite par la loi ou par une ordonnance judiciaire, ou lorsque nous estimons de bonne foi qu’elle créerait un risque de décès, de préjudice physique grave ou de préjudice pour un enfant. Si une demande ne doit pas être communiquée à l’utilisateur, joignez-y l’ordonnance ou le fondement légal.

Une contrainte pratique découle de la conception du service : comme nous ne détenons ni adresse e-mail, ni numéro de téléphone, ni aucun autre moyen de contacter un utilisateur, la notification ne peut généralement être envoyée que dans l’app. Un utilisateur qui n’utilise plus l’app peut donc être effectivement impossible à joindre.

Il ne s’agit pas d’une obstruction, et cela mérite une explication, car une demande fondée sur l’existence supposée d’une base de données utilisateurs recevra une réponse expliquant pourquoi une telle base n’existe pas.

Le service a été conçu sans comptes. Il n’y a aucune étape d’inscription. Aucun nom, aucune adresse e-mail, aucun numéro de téléphone ni aucun mot de passe n’a donc jamais été collecté auprès d’un utilisateur — ces informations ne sont ni conservées ni supprimées : elles n’ont jamais été demandées. Le paiement est entièrement traité par Apple et Google, qui sont les vendeurs officiels. Aucun moyen de paiement, aucune adresse de facturation ni aucune identité de titulaire de carte n’existe donc de notre côté non plus. Les demandes concernant ces informations doivent être adressées à Apple ou Google, qui les détiennent.

L’audio des appels n’est jamais enregistré. Il est transmis sous forme chiffrée pendant la durée de l’appel et n’existe ensuite sous aucune forme, de sorte qu’aucune procédure légale ne peut permettre de l’obtenir. Les listes de contacts ne sont jamais importées. La localisation précise et GPS n’est jamais collectée, ce qui signifie également qu’il est impossible de localiser un utilisateur : une adresse IP indique une région approximative et peut correspondre à un pays entièrement différent derrière un VPN.

Il reste le relevé d’appel — destination, heure, durée, tarif, montant —, l’identifiant d’installation anonyme auquel il est rattaché, les identifiants de reçus d’achat et les données techniques. Il s’agit d’un ensemble réellement utile pour enquêter sur des appels, et c’est l’intégralité des données disponibles.