Personvernerklæring

Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene er SAS GELMIX (se juridisk informasjon). Du kan skrive til bonjour@baza.fr.

Behandlede data

Tjenesten behandler bare opplysninger som er nødvendige for at den skal fungere:

• mobiltelefonnummer (kontoidentifikator, verifisert med SMS) ;
• e-postadresse (obligatorisk ved registrering — innlogging og gjenoppretting av konto) ;
• passord (lagret utelukkende i hashet form — scrypt-avtrykk —, aldri i klartekst og aldri i reverserbar form) ;
• fødselsdato (kontroll av myndighetsalder — bare den beregnede alderen vises, og denne visningen kan deaktiveres) ;
• kallenavn, profiltype (femme, homme, couple), presentasjonstekst, valgte møtepreferanser ;
• profilbilde, bilder sendt i meldinger og bilder i dine private album ;
• omtrentlig posisjon (bare med ditt uttrykkelige samtykke) ;
• private meldinger og meldinger utvekslet i grupper ;
• favoritter, skjulte profiler og blokkeringer ;
• rapporteringer sendt og mottatt, og vedlegg som du velger å legge til ;
• tekniske risikosignaler produsert av svindel- og spamforebygging (type, nivå, dato, årsakskode) — aldri innholdet i en melding ;
• irreversible avtrykk: avtrykk av teksten i en sendt melding (gjenkjenning av masseutsendelser) og lokalt avtrykk av profilbildet (deteksjon av samme bilde gjenbrukt på flere kontoer). Disse avtrykkene gjør det ikke mulig å rekonstruere verken meldingen eller bildet, og er ikke biometriske data ;
• sikkerhetsstatus for profilen din (sertifisert eller ikke, metode og dato) ;
• sertifiseringsfoto, bare hvis du ber om sertifisering OG hvis den automatiske analysen skaper tvil: det oppbevares da midlertidig, i et privat område, for å bli vurdert av en person i teamet (se «Lagringstider») ;
• abonnement på push-varsler, bare hvis du aktiverer dem (abonnementsadresse oppgitt av nettleseren din, tilhørende offentlige krypteringsnøkler, hashet avtrykk av nettleseren og plattformtype) ;
• tekniske tilkoblingsdata (serverlogger, øktidentifikatorer).

Dataminimering

Verken ekte navn eller fornavn, ingen postadresse og ingen identitetsdokumenter blir etterspurt: bare opplysningene som er nødvendige for kontosikkerhet og kontroll av myndighetsalder samles inn.

Formål og rettslig grunnlag

Behandlingene bygger på følgende rettslige grunnlag:

• levering av tjenesten (profiler, meldinger, favoritter) — oppfyllelse av kontrakten ;
• visning av profiler i nærheten — samtykke (geolokalisering) ;
• sikkerhet, forebygging av misbruk, svindel og masseutsendelser, moderering av profilbildet, behandling av rapporteringer — berettiget interesse og rettslige forpliktelser ;
• sertifisering av profil ved bilde — samtykke (du ber alene om det; tjenesten fungerer uten) ;
• push-varsler — samtykke (tillatelse gitt til nettleseren din, kan trekkes tilbake når som helst) ;
• transaksjons-e-poster (kontogjenoppretting, sikkerhetsvarsler) — oppfyllelse av kontrakten.

Geolokalisering

Posisjonen din registreres bare med ditt uttrykkelige samtykke. Den vises aldri: ingen nøyaktige koordinater eller adresse vises, verken for deg eller for andre medlemmer.

De andre medlemmene ser bare en avrundet avstand (multippel av 100 m), beregnet på serversiden. «Diskret»-modus skjuler posisjonen din helt (ingen avstand vises).

Tilbaketrekking av samtykket sletter posisjonen din umiddelbart: ingen posisjon beholdes etter tilbaketrekking.

Private meldinger og private medier

Innholdet i private meldinger leses aldri av et menneske, videresendes aldri til en ekstern analysetjeneste, og oppbevares ingen andre steder enn i samtalen: det er omfattet av konfidensialiteten for korrespondanse og er bare tilgjengelig for deltakerne.

En automatisk kontroll kjøres på våre egne servere når en tekstmelding sendes, utelukkende for å forebygge svindel og masseutsendelser. Ingen utdrag av meldingen lagres: bare et irreversibelt avtrykk av teksten og tekniske data (antall mottakere, utsendelsesfrekvens, kontoens alder) brukes. Det som oppbevares er et teknisk signal — type, nivå, dato, årsakskode — aldri en setning.

Bildene som sendes i meldinger, videresendes aldri til en modererings- eller analysetjeneste. De komprimeres og avvises hvis de inneholder metadata (EXIF/GPS) — kun tekniske beskyttelser.

De private albumene dine og bildene du legger der, analyseres aldri automatisk eller videresendes til en ekstern analysetjeneste. De vises bare for personene du har autorisert, via en autentisert adresse, og er verken offentlige eller indekserbare.

Gruppemeldinger omfattes av den samme svindel- og masseutsendelsesforebyggingen som private meldinger, innenfor de samme grensene: ingen lagrede utdrag, ingen innhold lest av et menneske, ingen innhold videresendt til utsiden.

Forebygging av svindel og spam

Dette tiltaket har ett eneste formål: å hindre at et medlem blir svindlet, bombardert med identiske meldinger eller kontaktet kommersielt. Det bygger ALDRI på landet, nasjonaliteten, telefonkoden, oppgitt kjønn, orientering, et medlems språk eller fravær av verifisert nummer: bare atferd, og kombinasjonen av flere av dem, tas med i vurderingen.

Hvert registrert signal har sin type, sitt nivå, sin dato og en teknisk årsakskode. Et tiltak er derfor alltid forklarbart, verifiserbart og kan bestrides; ingen uigennomsiktig beslutning tas.

De automatiske tiltakene er graderte, midlertidige og reversible: teknisk registrering, advarsel, begrensning av antall nye samtaler, avvisning av en bestemt sending. Suspensjon eller sletting av en konto er aldri automatisk: den avgjøres av et menneske. Du kan be om ny vurdering av et tiltak som gjelder deg via kontaktsiden.

Ingen melding, ingen utdrag av en melding og ingen bilde fra meldinger videresendes til en kunstig intelligens-tjeneste eller en tredjepart i forbindelse med dette tiltaket.

Profilbilde: automatisert moderering og deretter menneskelig gjennomgang

Profilbildet er OFFENTLIG: det er det eneste bildet som underlegges automatisert moderering, før publisering. Bildet sendes til OpenAI for analyse — først til en klassifiseringstjeneste, deretter, hvis nødvendig, til en bildesanalysmodell. Hvis analysen ikke er tilgjengelig, avvises bildet: ingen bilde publiseres aldri som standard.

Når avvisningen gjelder innholdet, publiseres aldri bildet, men det kan midlertidig oppbevares i et privat område, slik at en person i modereringsteamet kan vurdere det. Hvis det godkjennes, blir det profilbildet ditt; hvis det avvises, slettes filen. Uten en menneskelig beslutning blir det automatisk ødelagt senest 3 dager etter opplasting.

Et bilde som avvises fordi det er tvil om alderen til personen som er avbildet, går aldri inn i denne køen: det ødelegges umiddelbart.

Sertifisering av profil (valgfritt)

Sertifisering er en FRIVILLIG prosess: bare du kan be om den, og tjenesten fungerer fullt ut uten den. Den består i å ta et bilde av deg akkurat da, med kameraet på telefonen din, ved å gjengi en kode som vises på skjermen i en begrenset periode.

Dette bildet sendes til OpenAI for ett eneste spørsmål: er det et ekte, skarpt, korrekt belyst og korrekt innrammet ansikt? Det sammenlignes ALDRI med profilbildet ditt, er ikke gjenstand for NOEN ansiktsgjenkjenning for identitet, gir ikke grunnlag for NOE identitetsdokument, NOEN video og INGEN lokaliseringsdata (bildets metadata avvises). Sertifiseringen bekrefter et tillitsnivå; den garanterer ikke en medlems sivile identitet.

Hvis analysen godkjenner bildet, er profilen din sertifisert og bildet lagres IKKE. Hvis den avviser det, oppgis årsaken til deg og bildet lagres IKKE. Hvis den skaper tvil, oppbevares bildet i et privat område for å bli vurdert av en autorisert person, og deretter ødelegges det automatisk ved utløpet av lagringstiden — 3 dager som standard, maksimalt 30 dager. Bare resultatet (sertifisert eller ikke) er synlig for andre medlemmer.

Push-varsler

Push-varsler er valgfrie og fungerer bare med din tillatelse, gitt til nettleseren din. Når du aktiverer dem, registrerer tjenesten abonnementsadressen som nettleseren din oppgir, de tilhørende offentlige krypteringsnøklene, et hashet avtrykk av nettleseren og plattformtypen — aldri nummeret ditt, e-posten din eller posisjonen din.

Innholdet i et varsel er MINIMALT: en type hendelse, kallenavnet til avsenderen, identifikatoren til samtalen og, i relevante tilfeller, det totale antallet uleste meldinger. Teksten i meldingene dine er ALDRI med, heller ikke noe bilde.

Dette innholdet krypteres etter Web Push-standarden: varslingstjenesten til nettleseren din (levert av leverandøren av nettleseren eller systemet ditt) videresender meldingen uten å kunne lese den. Du kan slå av varsler når som helst; abonnementet slettes da.

Mottakere og databehandlere

Opplysningene dine selges ikke og brukes ikke til reklameformål. De overføres bare til de tekniske databehandlerne som er strengt nødvendige:

• Hetzner Online GmbH (Tyskland) — hosting av servere, i Den europeiske union ;
• Mailjet — videresending av transaksjons-e-poster ;
• OpenAI — bildeanalyse: automatisert moderering av profilbildet alene, og, hvis du ber om sertifisering av profilen din, analyse av sertifiseringsbildet (aldri meldingene dine, aldri bildene i meldingene dine, aldri de private albumene dine, aldri posisjonen din) ;
• Capitol Mobile — sending av verifiseringskoder med SMS ;
• varslingstjenesten til nettleseren eller systemet ditt (Apple, Google eller Mozilla avhengig av enheten) — videresending av push-varsler, hvis du har aktivert dem: den mottar abonnementsadressen og et kryptert innhold som den ikke kan lese.

Overføringer utenfor Den europeiske union

Serverne som drifter tjenesten og opplysningene dine er plassert i Den europeiske union (Tyskland).

To behandlinger involverer en leverandør etablert utenfor Den europeiske union: moderering av det offentlige profilbildet og, hvis du ber om det, analysen av sertifiseringsbildet, som er betrodd OpenAI, et selskap etablert i USA. Disse overføringene er strengt begrenset til det aktuelle bildet og til dette ene formålet: verken meldingene dine, bildene i meldingene dine, de private albumene dine eller posisjonen din overføres.

Videresendingen av push-varsler, hvis du aktiverer dem, går via varslingstjenesten til nettleseren eller systemet ditt, som kan være etablert utenfor Den europeiske union; innholdet som overføres er kryptert og kan ikke leses av denne tjenesten.

For spørsmål om garantiene som rammer inn disse overføringene, skriv til bonjour@baza.fr.

Lagringstider

• kontodata: lagres så lenge kontoen er aktiv ;
• sletting av konto: umiddelbar sletting av dataene (se siden Sletting av konto) ;
• SMS-verifiseringskoder: flyktige, lagret bare i hashet form, til engangsbruk ;
• risikosignaler: slettes automatisk ved utløp, senest 90 dager etter registrering (7, 14, 30 eller 90 dager avhengig av signaltypen) ;
• tekstavtrykk brukt til å oppdage masseutsendelser: 31 dager, deretter slettet ;
• profilbilde avvist av den automatiske modereringen og satt på vent for menneskelig gjennomgang: ødelagt (fil og registrering) senest 3 dager etter opplasting hvis ingen beslutning tas, og umiddelbart ved beslutning ;
• sertifiseringsbilde som gir tvil: oppbevares så lenge den menneskelige gjennomgangen pågår og deretter ødelegges det automatisk ved utløpet av lagringstiden — 3 dager som standard, maksimalt 30 dager ; godkjent eller avvist av den automatiske analysen, lagres det ikke i det hele tatt ;
• abonnement på push-varsler: lagres så lenge du lar dem være aktivert, slettes ved avmelding, ved sletting av kontoen, eller når varslingstjenesten oppgir at abonnementet ikke lenger finnes ;
• tekniske logger: lagres i høyst 12 måneder (rettslige forpliktelser), aldri utover gjeldende lovlige lagringstider ; sikkerhetskopier: tømmes senest 30 dager etter opprettelsen.
• permanent suspensjon av en konto: irreversible avtrykk (hasher) av telefonen og e-posten oppbevares utelukkende for å hindre ny registrering (berettiget interesse — tjenestesikkerhet) ; de slettes ved rehabilitering av kontoen.

Dine rettigheter (RGPD)

Du har rett til innsyn, retting, sletting, begrensning, motsetting og dataportabilitet for opplysningene dine. Du kan utøve dem via kontaktsiden.

Du kan også sende inn en klage til CNIL (cnil.fr).

Sikkerhet

Utvekslingen med tjenesten er kryptert under overføring. Økter kan tilbakekalles (utlogging gjør tokenet ugyldig). Verifiseringskodene lagres aldri i klartekst.

Passordet ditt er ikke kryptert: det er HASHET (scrypt-funksjon, med en unik salt for hvert passord). En hash er ikke reverserbar — ingen, heller ikke vi, kan finne passordet ditt ut fra det som er lagret.

Bildene lagres utenfor enhver offentlig mappe og vises bare til autoriserte personer (deg for profilbildet ditt, deltakerne for et bilde i meldinger, autoriserte medlemmer for et privat album).

Informasjonskapsler og lokal lagring

Tjenesten bruker ikke reklamekapsler. Bare lagring som er strengt nødvendig for driften brukes (økt, visningsinnstillinger).

Hvis verktøy for måling av trafikk skulle bli lagt til, ville de være gjenstand for egen informasjon og, hvis påkrevd, et forhåndssamtykkebanner.

Mindreårige

Tjenesten er forbudt for mindreårige. Enhver rapportering «Mindreårig antatt» behandles prioritert og fører til sletting av kontoen ved bekreftet mindreårighet.