← Retour à l'accueil

Politique de confidentialité

Dernière mise à jour : 26 août 2026

1. Nature du service

Sentinel Family est une application de localisation familiale privée destinée à un usage licite, transparent et consenti entre membres d'un groupe familial. Seuls les parents voient la localisation des enfants. Les enfants ne voient pas la position des parents.

L'architecture a été conçue pour limiter l'accès aux données au strict nécessaire. Les positions de localisation ne sont pas accessibles en clair par les serveurs.

2. Données traitées

2.1. Données chiffrées (inaccessibles à l'éditeur)

  • Positions GPS des membres
  • Identifiants de groupe familial
  • Messages de signalisation (alertes SOS, entrées/sorties de zones)
  • Selfies chiffrés (avatar enfant, visibles par les parents uniquement)
  • Niveaux de batterie
  • Empreinte du réseau Wi-Fi du lieu (détection Wi-Fi, voir ci-dessous)

Détection Wi-Fi : sur l'appareil de la personne suivie uniquement, l'application lit l'identifiant (BSSID) du réseau Wi-Fi auquel cet appareil est déjà connecté. Elle ne recherche jamais les réseaux environnants. Cet identifiant n'est ni conservé ni transmis : il est immédiatement transformé en une empreinte cryptographique irréversible, calculée avec une clé propre à votre famille. Seule cette empreinte circule, et elle ne signifie rien hors de votre famille. Elle sert à maintenir la détection de présence dans un lieu favori quand le GPS dérive en intérieur.

Le service manipule des données chiffrées de bout en bout (AES-256-GCM). Le serveur de relais ne voit que des données chiffrées qu'il ne peut pas déchiffrer.

2.2. Données techniques minimales

  • Adresses IP : conservées sous forme chiffrée (AES-256-GCM) pour des raisons de sécurité et de conformité légale. Aucune adresse IP n'est stockée en clair. Ce chiffrement est réversible par l'éditeur : il protège le fichier en cas d'accès illicite, il ne constitue pas une anonymisation
  • Identifiant de famille anonyme : identifiant aléatoire pour router les messages vers le bon groupe
  • Identifiant de membre anonyme : identifiant aléatoire pour identifier les connexions WebSocket
  • Logs IP de sécurité : conservés au titre de l'intérêt légitime de sécurité du service, durée maximale 1 an

Précision importante : le site n'affirme pas « aucune donnée du tout », mais « aucune donnée de localisation accessible en clair ». Cette formulation est volontairement plus précise et plus conforme à la réalité technique. Les messages chiffrés transitent temporairement (buffer offline de 48 heures maximum, pour permettre la livraison aux destinataires temporairement déconnectés) et ne sont ni analysés ni exploités.

2.3. Données que nous ne collectons PAS

  • Positions GPS ou données de localisation en clair
  • Noms, prénoms ou identités réels : aucune identité civile n'est demandée ni vérifiée. Le prénom d'affichage saisi lors de l'appairage circule chiffré de bout en bout entre les téléphones de la famille et n'est à aucun moment accessible à l'éditeur
  • Numéros de téléphone ou adresses email
  • Contacts ou carnets d'adresses
  • Photos, selfies ou médias en clair
  • Historique de navigation ou d'utilisation
  • Données de profilage, publicité ou monétisation
  • La liste des réseaux Wi-Fi environnants : l'application ne scanne jamais le voisinage, et ne conserve jamais d'adresse MAC

3. Base légale du traitement (RGPD)

Les traitements nécessaires au fonctionnement de Sentinel Family reposent principalement sur :

  • L'exécution du service demandé par l'utilisateur (article 6.1.b du RGPD)
  • Le respect des obligations légales applicables
  • L'intérêt légitime lié à la sécurité, à la prévention des abus et à la continuité du service (article 6.1.f du RGPD)

4. Sécurité et confidentialité

Sentinel Family met en oeuvre un chiffrement de bout en bout, une architecture zero-knowledge, un appairage local par QR code et un stockage sécurisé sur l'appareil. Les mesures techniques incluent :

  • Chiffrement AES-256-GCM : chiffrement symétrique authentifié, standard public (NIST SP 800-38D), appliqué à tous les messages échangés entre les appareils de la famille
  • Clé de famille AES-256 : générée aléatoirement sur le téléphone qui crée la famille, puis transmise en personne par lecture du QR code ; elle ne transite jamais par Internet
  • HMAC-SHA256 : authentification des messages et du token d'accès
  • WebSocket sécurisé (WSS/TLS) : transport chiffré pour toutes les communications
  • Coffre-fort de clés du système : Android Keystore sur Android, Trousseau (Keychain) sur iOS — stockage matériel des clés cryptographiques sur l'appareil
  • Architecture zero-knowledge : le serveur ne possède pas les clés permettant de déchiffrer les positions GPS, les messages ou les photos
  • Architecture décentralisée : les données sensibles restent sur les appareils
  • Minimisation des données : seules les données strictement nécessaires sont traitées

La clé de famille ne quitte l'appareil que par le QR code présenté en personne. Elle n'est jamais transmise via Internet ni déposée sur nos serveurs.

5. Accès aux données

Les données de localisation ne sont pas accessibles en clair par l'éditeur, l'hébergeur, ni quelque tiers que ce soit. Cette limitation résulte du modèle de sécurité du service.

Limitation technique RGPD : certaines demandes portant sur les données de localisation en clair ne peuvent pas être satisfaites techniquement si l'éditeur n'y a pas lui-même accès. En raison du chiffrement de bout en bout, les demandes d'accès aux données en clair ou de rectification ne peuvent être techniquement satisfaites. Les obligations d'information restent toutefois pleinement assumées.

6. Stockage des données

6.1. Sur l'appareil (stockage local)

  • Clés cryptographiques : stockées dans l'Android Keystore ou le Trousseau iOS (matériel sécurisé)
  • Préférences utilisateur : stockées dans un magasin local chiffré (DataStore sur Android, conteneur chiffré de l'app sur iOS)
  • Zones interdites : stockées localement uniquement
  • Historique des positions : stocké localement, jamais transmis au serveur

Ces données ne quittent jamais votre appareil sous forme lisible. La désinstallation de l'application supprime toutes les données locales.

6.2. Sur le serveur relay

  • Messages chiffrés : mise en attente de 48 h maximum (pour livraison aux destinataires temporairement déconnectés), puis suppression automatique
  • Logs IP de sécurité : conservés 1 an maximum au titre de l'intérêt légitime de sécurité (RGPD art. 6.1.f)
  • Identifiants anonymes : supprimés à la déconnexion

7. Hébergement des données

Le serveur de relais est hébergé en France, auprès d'un hébergeur français.

Les données sont hébergées sur le territoire de l'Union européenne. Le RGPD s'applique donc directement, sans mécanisme de transfert international ni décision d'adéquation. Aucun transfert hors de l'Union européenne n'est réalisé.

8. Partage de données avec des tiers

Sentinel Family ne partage aucune donnée de localisation avec des tiers, en dehors des sous-traitants techniques nécessaires à l'exécution du service (voir section 11). Il n'y a :

  • Pas de tracker publicitaire tiers (vérification publique possible via Exodus Privacy)
  • Pas d'outil d'analyse comportementale tiers intégré au moment de la publication (pas de Google Analytics, Firebase Analytics, Facebook SDK, etc.). Le service de notification d'Apple (APNs) est utilisé sur iPhone uniquement pour réveiller l'application lors d'un SOS : il reçoit un jeton d'acheminement et un horodatage, jamais une position ni un contenu. En cas d'évolution future, cette politique sera mise à jour avant déploiement.
  • Pas de vente ni de monétisation des données de localisation
  • Pas de partage avec des partenaires commerciaux
  • Pas de profilage ni de ciblage comportemental publicitaire

9. Conservation des données

  • Données chiffrées en transit : mise en attente de 48 h maximum (livraison aux destinataires déconnectés), puis suppression automatique
  • Logs IP de sécurité : conservés 1 an maximum au titre de l'intérêt légitime de sécurité (RGPD art. 6.1.f). Autres logs applicatifs purgés selon la rotation système.
  • Données locales : conservées jusqu'à désinstallation de l'application
  • Données d'abonnement : gérées exclusivement par la boutique d'applications (Google Play ou App Store)

10. Droits des utilisateurs (RGPD)

Conformément au RGPD et à la loi Informatique et Libertés, vous pouvez exercer vos droits sur les données techniques qui vous concernent, dans la mesure où elles sont effectivement accessibles par l'éditeur :

  • Droit d'accès (art. 15)
  • Droit de rectification (art. 16)
  • Droit à l'effacement (art. 17) : la désinstallation de l'application supprime toutes les données locales
  • Droit à la limitation (art. 18)
  • Droit d'opposition (art. 21)
  • Droit d'introduire une réclamation auprès de la CNIL

Pour exercer vos droits : contact@sentinelfamily.fr

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr

11. Mineurs

Sentinel Family est conçue pour être utilisée par des familles, y compris des enfants sous la supervision parentale. Conformément à l'article 8 du RGPD :

  • L'installation sur le téléphone d'un mineur de moins de 15 ans nécessite le consentement du titulaire de l'autorité parentale
  • L'appairage nécessite la présence physique d'un parent (scan du QR code)
  • Un mineur supervisé est un membre comme un autre : l'application traite pour lui des données personnelles (position GPS, identifiants techniques, niveau de batterie, empreinte du réseau Wi-Fi, prénom d'affichage, éventuel selfie). Ces données sont chiffrées de bout en bout sur son téléphone : l'éditeur n'y a jamais accès en clair, elles ne font l'objet d'aucun profilage, d'aucune publicité et d'aucune transmission à un tiers
  • L'utilisation doit se faire dans le respect de l'intérêt de l'enfant

12. Consentement et usage licite

L'utilisateur s'engage à utiliser l'application uniquement avec des personnes informées et consentantes. Toute utilisation à des fins de surveillance dissimulée ou sans consentement est strictement interdite et engage la responsabilité exclusive de l'utilisateur. Voir nos Conditions d'utilisation pour plus de détails.

Sous-traitants et destinataires

L'exécution du service implique des sous-traitants techniques limités, listés ci-dessous. Tous traitent les données dans le cadre d'un accord de traitement conforme à l'article 28 du RGPD.

  • Google LLC (Google Play) — Distribution de l'application Android uniquement et gestion des paiements via Play Billing. Données accédées : identifiant Google Play et statut d'abonnement uniquement. Politique : policies.google.com.
  • Apple Inc. (App Store et APNs) — Distribution de l'application iPhone et gestion des paiements via StoreKit (données accédées : identifiant de transaction et statut d'abonnement uniquement) ; notification de réveil (APNs) pour alerter un iPhone dont l'application a été mise en veille par le système lors d'un SOS ou d'une alerte de sécurité — données transmises : le jeton d'acheminement de l'appareil et l'horodatage de l'alerte, sans aucune donnée de position ni aucun contenu, la notification ne transportant qu'une clé de traduction affichée par l'application. Politique : apple.com/legal/privacy.
  • Hébergeur du serveur relais (France) — Stockage et acheminement des paquets déjà chiffrés de bout en bout. L'hébergeur n'a accès qu'aux données chiffrées (le contenu en clair n'est pas accessible techniquement).
  • Aucun sous-traitant analytics, advertising ou crash reporting n'est intégré au moment de la publication. En cas d'évolution future, cette politique sera mise à jour avant tout déploiement de nouveaux sous-traitants.

Procédure de suppression complète des données

Vous pouvez à tout moment exercer votre droit à l'effacement (RGPD art. 17) :

  • Données locales (clés cryptographiques, historique des positions, préférences) : la désinstallation de l'application les supprime immédiatement et définitivement de votre appareil.
  • Données chiffrées en transit (mise en attente sur le serveur) : automatiquement purgées sous 48 heures maximum après leur dépôt sur le serveur.
  • Logs IP de sécurité (horodatages de connexion, adresses IP, identifiants opaques de session) : conservés 1 an maximum au titre de l'intérêt légitime de sécurité (RGPD art. 6.1.f) et purgés automatiquement.
  • Suppression manuelle complète : envoyez une demande à contact@sentinelfamily.fr. Toutes les données techniques associées sont purgées sous 30 jours, conformément au RGPD.
  • Données d'abonnement : la résiliation ou la suppression se fait directement depuis Google Play Store sur Android, ou depuis Réglages → votre nom → Abonnements sur iPhone, selon la politique de la boutique concernée.

13. Modifications

Nous nous réservons le droit de modifier cette politique de confidentialité. Les modifications seront publiées sur cette page avec une nouvelle date de mise à jour. L'utilisation continue de l'application vaut acceptation des modifications.

14. Contact

Pour toute question relative à la confidentialité ou à l'exercice de vos droits, contactez-nous à : contact@sentinelfamily.fr