Sécurité.

Rien de sensible à compromettre#

Vos journaux, vos conversations, la mémoire et vos photos sont stockés uniquement sur votre appareil. Il n’y a pas de base de données centrale de données de santé lisibles à compromettre, parce qu’elle n’existe pas. Un attaquant qui atteindrait nos serveurs y trouverait des comptes, des compteurs agrégés et du texte chiffré, pas le journal intime de qui que ce soit.

Cloisonné par compte#

Sur un appareil partagé, les données de chaque compte sont isolées sous leur propre espace de noms dans le stockage local : se connecter avec un autre compte n’expose jamais vos entrées.

En transit#

Chaque connexion est chiffrée en TLS. Les messages du coach et le contexte nécessaire pour y répondre circulent chiffrés, servent à générer la réponse, et ne sont pas conservés de notre côté. Les jetons de connexion (WHOOP par exemple) sont gardés sur votre appareil, illisibles pour les scripts de la page là où la plateforme le permet, et jamais dans une base de données serveur.

Scellé sous votre propre clé#

La seule copie de vos données qui quitte votre appareil, l’instantané de restauration, y est d’abord chiffrée en AES-256-GCM sous une clé aléatoire de 256 bits générée sur votre appareil et conservée dans son stockage sécurisé. La clé ne nous est jamais envoyée sous aucune forme, et la ligne scellée ne contient ni clé, ni identifiant de clé, ni hachage, ni valeur de contrôle : il n’y a donc rien de notre côté contre quoi tester une tentative. Votre clé de récupération est la copie de cette clé que vous détenez. Voir Sauvegarde et restauration.

Les comptes#

L’authentification est assurée par Supabase, avec un projet hébergé dans l’UE, région de Zurich, et elle ne stocke aucune donnée de santé : uniquement votre adresse e-mail, votre méthode de connexion et des horodatages. Connectez-vous par mot de passe, Google, Apple ou lien magique ; avec Se connecter avec Apple, vous pouvez masquer votre e-mail derrière le relais d’Apple.