confidentialité.

vrrb fait exactement une chose : t’envoyer un buzz à un ami de tes contacts. Cet avis explique quelles données nous traitons pour cela, sur quelle base légale, combien de temps nous les gardons — et ce que nous ne faisons jamais, volontairement.

Qui est responsable

Burhan Tutan — développeur indépendant, Türkiye — est le responsable du traitement de tout ce qui est décrit ici (art. 4, 7) RGPD ; « veri sorumlusu » au sens du droit turc, KVKK).

Contact pour toute question ou demande relative à la vie privée : burhan.tutan@gmail.com.

Ce que nous traitons

Ton numéro de téléphone. Pour créer ton compte et pour que tes amis te trouvent via la correspondance de contacts. Tu te connectes avec un code à usage unique reçu par SMS.

Ton nom affiché. Pour que tes amis voient de qui vient un buzz. Modifiable à tout moment.

Tes contacts — mais jamais en clair. Si tu donnes l’accès, les numéros de ton carnet d’adresses sont normalisés au format international sur ton appareil, puis hachés de façon irréversible sur notre serveur (HMAC-SHA256 avec une clé secrète qui ne quitte jamais le serveur). Nous ne conservons ni les numéros ni les noms de ton carnet d’adresses ; seules ces empreintes sont comparées, pour savoir lesquels de tes amis utilisent déjà vrrb. Tu peux couper l’accès aux contacts à tout moment dans les réglages de ton téléphone.

Tes enregistrements de buzz. Qui a buzzé qui, quand, et de quel type — nécessaire au fonctionnement de l’app, au compteur de séries et aux badges, ainsi qu’à la protection contre les abus (limite de fréquence, blocage).

Ton jeton de notification. L’adresse que ton téléphone nous donne pour qu’un buzz arrive.

Tes mises en sourdine et blocages. Pour respecter ceux dont tu ne veux plus rien recevoir.

Diagnostic de synchronisation — uniquement des chiffres. Après une synchronisation des contacts, nous enregistrons des compteurs : combien de numéros ont été lus, combien n’ont pas pu être interprétés et pourquoi, quel pays a été supposé, combien de temps la lecture a pris. Cet enregistrement ne contient aucun numéro ni aucun nom — seulement des chiffres et des libellés de catégorie — et il est supprimé au bout de 90 jours. La raison est concrète : un bug a fait que certaines personnes ne correspondaient presque à personne, sans aucun moyen de voir où cela se produisait.

Base légale

Exécution du contrat (art. 6.1.b RGPD ; art. 5.2.c KVKK) — ton numéro, ton nom affiché, tes enregistrements de buzz et ton jeton de notification. Sans eux, pas de compte ni de moyen de livrer un buzz.

Ton consentement (art. 6.1.a RGPD ; art. 5.1 KVKK) — les empreintes des numéros de ton carnet d’adresses. Nous te le demandons séparément dans l’app, avant la boîte de dialogue du système, et tu peux refuser : l’app fonctionne quand même, tu invites simplement tes amis toi-même. Tu peux retirer ton consentement à tout moment en coupant l’accès aux contacts ou en supprimant ton compte ; le retrait ne remet pas en cause les traitements déjà effectués.

Intérêts légitimes (art. 6.1.f RGPD ; art. 5.2.f KVKK) — limite de fréquence, blocage et le diagnostic ci-dessus, pour que le service reste utilisable, à l’abri des abus et diagnosticable.

Ce que nous ne faisons PAS

• Nous ne conservons ni les numéros ni les noms de ton carnet d’adresses.
• Nous n’envoyons jamais de SMS et n’appelons jamais les personnes de ton carnet d’adresses ; les invitations, c’est toi seul qui les envoies, par le canal de ton choix.
• Pas de publicité, aucun traitement de tes données à des fins publicitaires, aucune vente ni location à qui que ce soit.
• Aucun SDK d’analytics, aucun identifiant publicitaire, aucun suivi entre applications.
• Nous n’accédons ni à la localisation, ni aux photos, ni au micro, ni au contenu de messages.
• Il n’y a d’ailleurs aucun contenu de message — vrrb n’a pas de champ texte, seulement des buzz.

Où sont stockées tes données et qui d’autre y touche

Base de données et backend : Supabase, région de Francfort (Allemagne). Pour les personnes situées dans l’UE/EEE, il ne s’agit pas d’un transfert hors EEE. L’accord de traitement de Supabase intègre les clauses contractuelles types de la Commission européenne pour les cas où ses propres sous-traitants opèrent hors EEE.

Notifications push : ton jeton et le contenu de la notification (nom de l’expéditeur, type de buzz) passent par le service push d’Expo (États-Unis) puis par celui d’Apple. Expo déclare être conforme au RGPD et au Data Privacy Framework, et ne pas conserver le contenu des notifications au-delà de l’instant de la livraison. Apple déclare que les transferts de données personnelles hors EEE, Royaume-Uni et Suisse sont encadrés par des clauses contractuelles types.

Codes SMS de connexion : acheminés via Twilio (États-Unis), certifié au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework), dont l’accord de traitement s’appuie en outre sur les clauses contractuelles types et des règles d’entreprise contraignantes.

Rien d’autre ne sort de la base de données. Tes empreintes de contacts, ton historique de buzz et tes séries ne sont envoyés à aucun de ces prestataires.

Pour les personnes situées en Türkiye : les services de notification et de SMS ci-dessus sont à l’étranger ; ces deux flux constituent donc des transferts hors du pays au sens de l’art. 9 KVKK. Ils reposent sur le contrat type publié par l’autorité turque de protection des données personnelles (KVKK Kurumu), à titre de garantie appropriée. Seul ce qui est listé ci-dessus est transféré : ton jeton, le contenu de la notification et ton numéro pour le code de connexion.

Combien de temps nous gardons quoi

Données de compte (numéro, nom affiché, jeton) : tant que ton compte existe.

Empreintes de contacts : rafraîchies à chaque synchronisation. Une empreinte qui n’apparaît dans aucune synchronisation pendant 30 jours est supprimée automatiquement — les personnes que tu retires de ton carnet d’adresses disparaissent donc d’elles-mêmes.

Enregistrements de buzz : pas de suppression automatique. Ce sont eux qui font les séries, les statistiques et les badges ; ils sont donc conservés tant que ton compte est actif et supprimés avec lui. L’écran d’activité affiche une fenêtre glissante de 30 jours ; c’est une limite d’affichage, pas une suppression.

Diagnostic de synchronisation : supprimé automatiquement au bout de 90 jours.

Supprimer ton compte (réglages → supprimer le compte) efface définitivement ton profil, tes empreintes de contacts, ton historique de buzz dans les deux sens, tes séries, tes badges et ta liste de sourdines et blocages.

Tes droits

Tu disposes des droits d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition au traitement fondé sur l’intérêt légitime. Lorsque le traitement repose sur le consentement, tu peux le retirer à tout moment.

L’essentiel se fait depuis l’app : changer ton nom affiché, couper l’accès aux contacts ou supprimer entièrement ton compte. Pour le reste, écris à burhan.tutan@gmail.com. Nous répondons sous 30 jours (KVKK) et sous un mois (RGPD).

Tu peux aussi introduire une réclamation auprès d’une autorité de contrôle : en Türkiye l’autorité de protection des données personnelles (KVKK Kurumu), et dans l’UE/EEE l’autorité du pays où tu vis.

Enfants

vrrb ne s’adresse pas aux enfants de moins de 13 ans et nous ne collectons pas sciemment leurs données. Si nous apprenons qu’un compte appartient à un enfant de moins de 13 ans, nous le supprimons avec ses données.

Modifications

Si cet avis change de façon significative, nous te le dirons dans l’app.