Car ça ne regarde que vous.

Avant le chiffrement, la photo JPEG est transmise par TLS à notre backend VPS puis au service OpenAI Moderation pour une vérification automatisée. Elle est traitée en mémoire, n’est pas enregistrée dans notre stockage et une panne bloque la publication.

Si elle est acceptée, votre iPhone la chiffre en AES-256-GCM avec la clé de l’album. Nos serveurs et R2 ne reçoivent ensuite que le conteneur chiffré. Chaque appareil autorisé possède sa propre clé privée et reçoit une enveloppe chiffrée distincte lui permettant d’ouvrir la clé de l’album.

Uniquement vous et les membres autorisés de l’album qui possèdent la bonne clé. Nos serveurs stockent les fichiers chiffrés, mais ne détiennent jamais les clés d’album en clair : ils ne peuvent pas ouvrir les fichiers stockés sans une clé détenue sur un appareil autorisé.

Chaque album utilise une clé de contenu aléatoire. Chaque iPhone possède aussi sa propre clé privée indépendante, qui ne quitte jamais l’appareil. La clé de l’album est enveloppée séparément pour chacun des appareils autorisés.

Lorsqu’un membre est retiré, une nouvelle clé d’album est créée pour les prochains contenus et distribuée uniquement aux appareils restants. Utiliser une photo chiffrée différente par personne multiplierait les copies sans mieux protéger ce partage.

Vous pouvez autoriser un nouvel iPhone depuis un appareil déjà connecté ou utiliser votre code de récupération Only You. Ce code secret est généré aléatoirement sur votre appareil et doit être conservé hors de l’application.

Votre iPhone chiffre les clés de vos albums avec ce code. Nos serveurs stockent uniquement ces copies chiffrées. Sur un nouveau téléphone, vous vous reconnectez, saisissez votre code, puis les clés et les photos sont déchiffrées localement.

Non. Nous ne conservons jamais votre code de récupération en clair et nous ne pouvons ni l’afficher, ni le recréer, ni vous le renvoyer.

Nous pouvons vous aider à réinitialiser l’accès à votre compte, sans pour autant accéder aux photos déjà stockées. Si vous perdez tous vos appareils autorisés et votre code de récupération, les photos chiffrées deviennent définitivement irrécupérables — pour vous comme pour nous.

Le contenu privé des albums — photos, vidéos, légendes et commentaires — est chiffré sur l’appareil. Certaines métadonnées indispensables au fonctionnement, comme les titres d’albums, les membres, les rôles, les dates et les tailles de fichiers, restent traitées séparément.