Politique de confidentialité

Dernière mise à jour : 2026-10-12

Cette page est une traduction. En cas de différence, la version anglaise prévaut.

1. Qui nous sommes

Holdfast est une app iPhone pour les personnes qui ont décidé de ne plus contacter leur ex. Elle est éditée par un développeur à titre individuel, désigné ici par « le développeur de Holdfast » ou « nous ».

Le développeur de Holdfast est le responsable du traitement des quelques données personnelles décrites ici. Vous pouvez le joindre à app.holdfast@proton.me.

2. Ce que nous ne collectons pas

• Pas de compte. L’app ne demande jamais votre nom, votre adresse e-mail, votre numéro de téléphone ni un mot de passe.
• Ni mesure d’audience, ni publicité, ni pistage. L’app ne contient aucun logiciel d’analyse ou de publicité, n’utilise aucun identifiant publicitaire et ne vous suit ni d’une app à l’autre ni sur le web.
• Ni localisation, ni contacts, ni micro, ni appareil photo.
• Aucune copie de ce que vous écrivez. Rien de ce que vous écrivez dans l’app ne se trouve sur un serveur à nous.
• Rien n’est vendu. Nous ne vendons pas de données personnelles et ne les partageons pas à des fins publicitaires.

3. Ce qui reste sur votre iPhone

Les éléments suivants sont conservés uniquement sur votre appareil :

• votre compteur et son historique ;
• les contacts que vous avez notés et leurs notes ;
• vos raisons, et les photos que vous y avez jointes ;
• les entrées de votre journal ;
• vos messages non envoyés ;
• vos points du jour ;
• les moments où vous avez ouvert Tiens bon, et comment ils se sont terminés ;
• les leçons que vous avez lues ;
• vos réglages ;
• votre conversation avec le coach.

Tout cela se trouve dans l’espace de stockage propre à l’app, un dossier privé que seuls l’app et ses propres widgets peuvent lire. La protection des fichiers d’iOS chiffre ces fichiers lorsque votre iPhone a un code, et ce que vous avez écrit est illisible tant que le téléphone est verrouillé. Ces fichiers font partie des sauvegardes de votre appareil (sauvegarde iCloud, ou sauvegarde sur votre ordinateur) si vous les avez activées, selon les conditions d’Apple et vos réglages.

L’app n’a aucun serveur qui reçoit quoi que ce soit de tout cela. Nous ne pouvons pas le voir, et nous ne pouvons pas le récupérer pour vous.

Les widgets affichent votre compteur. Ils n’affichent jamais vos raisons ni rien de ce que vous avez écrit.

Exporter. Toi → Confidentialité → Exporter tout ce que j’ai écrit crée un seul fichier texte avec votre compteur et son historique, les contacts notés, vos raisons, votre journal, vos messages non envoyés, vos points du jour et votre conversation avec le coach. Les photos n’en font pas partie.

Tout supprimer. Toi → Confidentialité → Tout supprimer efface du téléphone tout ce qui précède, y compris tout fichier d’export créé par l’app, après une confirmation. C’est définitif. Un export que vous avez enregistré ou partagé ailleurs est une copie distincte, qui reste là où vous l’avez mise.

4. Le coach : la seule exception

Le coach est une conversation écrite, rédigée par un logiciel. Rien n’est envoyé tant que vous n’avez pas donné votre accord sur un écran de l’app qui dit ce qui est envoyé et où cela va, indique qu’un service d’IA extérieur à Holdfast rédige la réponse, et renvoie à cette politique, qui nomme ce service. Si vous n’ouvrez jamais le coach, ou si vous revenez en arrière sur cet écran, rien ne quitte votre téléphone.

Ce qui est envoyé, par une connexion chiffrée (HTTPS), chaque fois que vous envoyez un message :

• ce que vous écrivez au coach ;
• la conversation jusque-là (vos lignes et celles du coach, les vingt dernières au plus) ;
• le jour de votre compteur, sous forme de nombre ;
• le fait que vous avez noté un contact ou non au cours des trois derniers jours (oui ou non, rien de plus) ;
• la voix choisie (douce ou directe) et la langue de l’app ;
• l’endroit où la conversation a été ouverte (depuis Tiens bon, ou depuis l’écran du coach) ;
• vos raisons, sous forme de texte, uniquement si vous activez « Partager mes raisons avec le coach ». Cette option est désactivée tant que vous ne l’activez pas, et vous pouvez la désactiver à nouveau dans les options du coach ;
• avec la demande, dans ses en-têtes : votre identifiant anonyme (section 5), la version de l’app, et une preuve fournie par Apple que la demande vient d’une copie authentique de l’app.

Votre journal, vos messages non envoyés, vos points du jour, les notes de vos contacts et vos photos ne sont jamais envoyés.

Où cela va. La demande arrive au relais de Holdfast, un petit programme que nous faisons tourner chez Cloudflare (un Cloudflare Worker). Le relais transmet le texte, avec les consignes du coach, à un service d’IA qui rédige la réponse : OpenAI, par son API. Le relais n’envoie pas votre identifiant anonyme à OpenAI.

Ce que le relais en fait. Avant de renvoyer la réponse, il en fait vérifier le texte par le service de modération d’OpenAI, pour écarter les contenus nuisibles. Il renvoie ensuite la réponse à votre téléphone et ne conserve aucun message, aucune réponse, aucune raison. Ce qu’il conserve est décrit à la section 7.

Ce qu’OpenAI en fait. OpenAI traite le texte pour produire la réponse. Nous lui demandons de ne pas enregistrer l’échange (l’option « store » de l’API est désactivée). D’après la politique publiée par OpenAI, les données envoyées par son API ne servent pas à entraîner ni à améliorer ses modèles, sauf si le client choisit de les partager, ce que nous n’avons pas fait. OpenAI peut conserver les demandes et les réponses dans ses journaux de surveillance des abus pendant 30 jours au plus, ou plus longtemps si la loi l’exige. Voir la page d’OpenAI sur le contrôle des données de son API (en anglais).

Ce que vous choisissez d’écrire. Ce que vous dites au coach dépend de vous. Cela peut toucher à votre santé, à votre vie intime ou à d’autres sujets sensibles ; en l’envoyant après avoir donné votre accord, vous consentez à ce que ce texte serve à rédiger la réponse. N’écrivez pas de noms, d’adresses ni de numéros de téléphone, les vôtres ou ceux d’autres personnes.

Changer d’avis. Vous pouvez retirer votre accord à tout moment : dans le coach, ouvrez le menu … → Voix et partage → Retirer mon accord. Plus rien n’est envoyé tant que vous n’avez pas donné de nouveau votre accord. La conversation reste sur votre téléphone tant que vous ne l’effacez pas, ce que vous pouvez faire dans le même menu. Tout supprimer retire aussi votre accord. Le retrait ne change rien à ce qui a été traité auparavant.

5. L’identifiant anonyme

À sa première ouverture, l’app crée sur votre appareil un identifiant aléatoire (un UUID). Il n’est tiré ni de votre nom, ni de votre compte Apple, ni de votre appareil. Il est conservé dans le trousseau de l’appareil, avec une copie dans les réglages de l’app. L’app l’affiche dans Toi → À propos → Identifiant d’assistance (touchez-le pour le copier).

Il désigne cette installation auprès de deux services : notre relais, qui s’en sert pour compter les messages au coach et vérifier votre formule, et RevenueCat, qui gère les achats (section 6). Holdfast ne le relie ni à un nom ni à un compte Apple. Le relais le transforme aussitôt en une empreinte salée à sens unique et n’utilise que cette empreinte dans ce qu’il conserve et dans ses journaux.

Tout supprimer ne retire pas cet identifiant (un achat reste lié à votre compte Apple), et il peut rester dans le trousseau après la suppression de l’app, afin que les messages gratuits au coach et vos achats restent attachés à la même installation. Pour faire supprimer les compteurs du relais et l’enregistrement chez RevenueCat, écrivez à app.holdfast@proton.me en indiquant votre identifiant d’assistance.

6. Achats

Holdfast Plus s’achète par les achats intégrés d’Apple. Apple traite le paiement ; Holdfast ne voit jamais les données de votre carte.

Les achats sont gérés avec RevenueCat, qui agit pour nous en tant que sous-traitant. RevenueCat reçoit l’identifiant anonyme, l’identifiant de l’appareil pour le fournisseur (IDFV, qu’iOS attribue aux apps d’un même développeur sur votre appareil), l’état de vos achats et de votre abonnement, le pays de l’App Store, et des informations de base sur l’appareil et l’app (par exemple les versions de l’app et d’iOS). L’app contacte RevenueCat à son ouverture, pour connaître votre formule et les prix en vigueur, que vous achetiez quelque chose ou non. Quand vous utilisez le coach, notre relais demande à RevenueCat si cet identifiant dispose de Plus.

7. Ce que notre relais conserve

Le relais n’existe que pour le coach. Sous l’empreinte salée, jamais sous l’identifiant lui-même, il conserve :

• trois compteurs : les messages gratuits au coach déjà utilisés, les messages envoyés au coach aujourd’hui et ceux envoyés ce mois-ci (le compteur du jour est supprimé au changement de jour, celui du mois au changement de mois, à 00:00 UTC) ;
• les données App Attest (le contrôle d’intégrité de l’appareil fourni par Apple) : l’identifiant de la clé créée par votre appareil, sa clé publique, sa date d’enregistrement et un compteur qui empêche de rejouer une demande ;
• votre formule (Plus ou non, et jusqu’à quand), gardée en cache 24 heures au plus pour ne pas interroger RevenueCat à chaque message.

Journaux. Le relais écrit une ligne par demande, avec des métadonnées seulement : un numéro de demande, l’empreinte salée, le point d’accès appelé, le statut, le temps de réponse, la version de l’app, le modèle d’IA qui a répondu, le nombre de jetons, et des codes fixes sur ce qui s’est passé (un code d’erreur, la façon dont la demande a été vérifiée, le compteur utilisé). Les journaux ne contiennent jamais ce que vous avez écrit, la réponse, vos raisons, votre identifiant lui-même, ni le fait qu’une réponse vous a orienté vers une aide d’urgence.

Données de connexion. Comme pour tout service en ligne, Cloudflare, qui héberge le relais, traite votre adresse IP et les informations habituelles d’une requête pour fournir et protéger le service. Le relais lui-même n’enregistre pas votre adresse IP.

8. Notifications, Face ID, photos

• Les notifications sont locales. L’app les programme sur votre téléphone. Il n’y a pas de serveur de notifications, et nous ne savons pas quand l’une d’elles s’affiche. Vos raisons et votre journal n’apparaissent jamais dans une notification.
• Face ID est géré par iOS. Si vous activez le verrouillage de l’app, iOS vérifie votre visage, votre empreinte ou votre code et indique seulement à l’app si la vérification a réussi. L’app ne voit jamais de données biométriques.
• Les photos sont choisies avec le sélecteur du système. L’app ne reçoit que la photo que vous choisissez et n’a aucun autre accès à votre photothèque. La copie qu’elle garde reste sur le téléphone.
• Les lignes d’écoute sont classées par pays. L’app choisit le pays d’après le réglage de région de votre iPhone, sur l’appareil ; elle n’utilise pas votre position.
• Rapports d’Apple. L’app ne contient aucun outil de rapport de plantage. Si vous avez choisi, dans les réglages de votre iPhone, de partager des données d’analyse avec les développeurs, Apple peut nous montrer des rapports de plantage et des chiffres d’utilisation qui ne vous identifient pas.

9. E-mails d’assistance et ce site

Si vous nous écrivez, nous recevons votre adresse e-mail et votre message, et nous ne nous en servons que pour vous répondre. Si vous signalez une réponse du coach (appui prolongé sur la réponse → Signaler cette réponse), l’app ouvre un e-mail à notre adresse avec le texte de cette réponse ; rien n’est envoyé si vous n’envoyez pas cet e-mail, et il contient ce que vous choisissez d’envoyer. Notre boîte aux lettres est hébergée par Proton. Nous supprimons les e-mails d’assistance quand ils ne sont plus utiles, et sur demande.

Ce site ne dépose aucun cookie, n’exécute aucun script et ne charge rien depuis d’autres sites. Son hébergeur, Cloudflare, traite votre adresse IP et les informations habituelles d’une requête pour l’afficher et le protéger.

10. Prestataires

Nous ne partageons des données qu’avec les prestataires ci-dessous, et seulement pour les finalités décrites ici.

Nous pouvons aussi communiquer des informations lorsque la loi l’exige, par exemple en réponse à une décision de justice valide. Comme nous ne détenons ni noms ni contenus, il y aurait très peu à communiquer.

11. Où les données sont traitées

Ce que vous écrivez reste sur votre téléphone, où que vous soyez. Les données décrites aux sections 4 à 7 peuvent être traitées hors de votre pays, notamment aux États-Unis. Lorsque le RGPD ou le RGPD britannique s’applique, ces transferts reposent sur les mécanismes prévus par ces textes : une décision d’adéquation lorsqu’il en existe une, ou les clauses contractuelles types figurant dans les conditions de traitement des données du prestataire.

12. Durées de conservation

13. Finalités et bases légales

Nous n’utilisons les données ci-dessus que pour faire fonctionner le coach, gérer les achats et les messages gratuits, garder le service sûr et équitable, et vous répondre. Nous ne nous en servons ni pour la publicité ni pour le profilage, nous ne prenons à votre sujet aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative, et nous n’utilisons pas ce que vous écrivez pour entraîner des modèles d’IA.

Lorsque le RGPD ou le RGPD britannique s’applique, les bases légales sont :

• votre consentement (article 6, paragraphe 1, point a), et article 9, paragraphe 2, point a), pour toute information sensible que vous choisissez d’écrire) : l’envoi de ce que vous écrivez au coach, et de vos raisons si vous activez cette option ;
• l’exécution d’un contrat (article 6, paragraphe 1, point b)) : la gestion des achats, la vérification de votre formule et le décompte des messages gratuits au coach ;
• l’intérêt légitime (article 6, paragraphe 1, point f)) : protéger le relais et prévenir les abus (App Attest, limite quotidienne, journaux de métadonnées), et répondre aux e-mails d’assistance. Ces intérêts se limitent à ce dont un petit service a besoin pour rester disponible, et ne portent sur aucun contenu.

Ce qui reste sur votre iPhone n’est pas traité par nous : nous ne le recevons jamais.

14. Vos droits (EEE, Royaume-Uni, Suisse)

Le RGPD, le RGPD britannique et le droit suisse vous donnent le droit d’accéder à vos données personnelles, de les faire rectifier ou effacer, d’en limiter le traitement ou de vous y opposer, de les recevoir sous une forme portable, et de retirer votre consentement à tout moment, sans effet sur ce qui a été fait auparavant. Pour une app sans compte, voici ce que cela signifie en pratique :

• Accès et portabilité. Presque tout est sur votre téléphone. Exporter tout ce que j’ai écrit vous en donne une copie.
• Rectification. Vous pouvez modifier dans l’app ce que vous avez écrit, ainsi que la date de votre compteur.
• Effacement. Tout supprimer l’efface du téléphone. La conversation avec le coach peut aussi être effacée séparément.
• Retrait du consentement. Voir « Changer d’avis » à la section 4.
• Ce que détient le relais (section 7) ne comporte aucun contenu et n’est rattaché qu’à une empreinte salée. Nous n’avons ni nom ni adresse e-mail pour vous retrouver (article 11 du RGPD). Envoyez-nous votre identifiant d’assistance (Toi → À propos → Identifiant d’assistance) : nous retrouverons ces entrées et les supprimerons.
• L’historique d’achats est détenu par Apple et par RevenueCat sous l’identifiant anonyme. Écrivez-nous en indiquant votre identifiant d’assistance : nous ferons supprimer l’enregistrement chez RevenueCat.

Écrivez à app.holdfast@proton.me. Nous répondons dans un délai d’un mois, sans frais. Vous avez aussi le droit d’introduire une réclamation auprès de l’autorité de protection des données de votre lieu de résidence ou de travail : en France, la CNIL ; en Belgique, l’APD ; en Suisse, le PFPDT ; au Royaume-Uni, l’ICO.

Si vous vivez ailleurs, la loi de votre pays peut vous donner des droits comparables (par exemple la LGPD au Brésil). Les mêmes réponses s’appliquent, et vous pouvez nous écrire à la même adresse.

15. Californie

Cette section s’adresse aux personnes résidant en Californie et emploie les termes du California Consumer Privacy Act (CCPA). Nous vous accordons ces droits, que cette loi s’applique ou non à un développeur de notre taille.

• Nous ne vendons pas d’informations personnelles et ne les partageons pas à des fins de publicité comportementale intercontextuelle. Nous ne l’avons pas fait au cours des douze derniers mois, y compris pour les moins de 16 ans.
• Catégories collectées au cours des douze derniers mois : des identifiants (l’identifiant anonyme, son empreinte salée, l’identifiant pour le fournisseur envoyé à RevenueCat, et l’adresse IP que nos hébergeurs traitent en transit) ; des informations commerciales (état des achats et de l’abonnement) ; des informations sur l’activité sur internet ou un réseau (les métadonnées des demandes, section 7) ; et, seulement si vous utilisez le coach, le texte que vous écrivez, qui ne fait que passer pour produire la réponse et que nous ne conservons pas. Tout provient de votre appareil.
• Finalités et destinataires. Nous les utilisons pour les finalités de la section 13 et ne les communiquons qu’aux prestataires de la section 10.
• Les informations personnelles sensibles que vous pourriez écrire au coach ne servent qu’à rédiger la réponse, et non à déduire quoi que ce soit à votre sujet.
• Vos droits : savoir ce que nous détenons et en recevoir une copie, le faire supprimer ou corriger, et ne subir aucun désavantage pour l’avoir demandé. La plupart des demandes trouvent leur réponse sur votre téléphone : Exporter tout ce que j’ai écrit et Tout supprimer. Pour le reste, écrivez à app.holdfast@proton.me ; vous pouvez passer par un mandataire autorisé. Comme nous ne détenons ni nom ni adresse e-mail, nous vérifions une demande par rapport à l’identifiant d’assistance qu’elle indique, et non par rapport à votre identité.
• Les durées de conservation figurent à la section 12. Nous n’offrons aucune incitation financière en échange d’informations personnelles.

16. Sécurité

• Toutes les connexions sont chiffrées (HTTPS).
• Les demandes adressées au relais sont vérifiées avec App Attest d’Apple, et le relais ne conserve les identifiants que sous forme d’empreintes salées.
• Les journaux du relais sont limités, par conception, à une liste fixe de métadonnées.
• Sur votre téléphone, ce que vous avez écrit est sous la protection des fichiers d’iOS, l’identifiant est dans le trousseau, et vous pouvez ajouter le verrouillage de l’app.

Aucun système n’est parfaitement sûr. Si un incident met vos informations en danger, nous agirons rapidement et vous préviendrons, ainsi que les autorités, lorsque la loi l’exige.

17. Enfants

Holdfast ne s’adresse pas aux enfants de moins de 13 ans, et nous ne collectons pas sciemment d’informations personnelles les concernant. Lorsque la loi de votre pays fixe un âge plus élevé pour consentir à l’utilisation de vos données (15 ans en France, jusqu’à 16 ans ailleurs en Europe), n’utilisez pas le coach avant cet âge sans l’accord d’un parent ou d’un tuteur. Si vous pensez qu’un enfant a utilisé le coach, écrivez-nous : nous aiderons à supprimer ce qui peut être retrouvé.

18. Modifications

Nous mettrons cette politique à jour lorsque l’app ou ses prestataires changeront, et nous modifierons la date en haut de page. Si un changement demande votre accord, l’app vous le redemandera.

19. Contact

Le développeur de Holdfast
E-mail : app.holdfast@proton.me