Defcon5 — Politique de confidentialite
Derniere mise a jour : 10 septembre 2026 Exploite par : Unicorn United, 6 rue d'Armaille, 75017 Paris, France Contact : contact@unicorn-united.com
Résumé (langage simple — le texte complet ci-dessous fait foi)
Cette politique couvre l'application mobile Defcon5 et son service backend, exploites par Unicorn United, 6 rue d'Armaille, 75017 Paris, France. En tant qu'entreprise etablie en France, Unicorn United est soumise au Reglement general sur la protection des donnees (RGPD) et a la loi Informatique et Libertes pour tout traitement decrit dans cette politique, quel que soit le lieu ou se trouve l'utilisateur.
Si vous etes un parent ou tuteur configurant l'app pour un mineur via le « Mode Parent », voir Section 8.
Nous n'utilisons pas vos donnees a des fins publicitaires, de profilage, ou pour tout autre usage que le fonctionnement des fonctions de securite decrites ici.
Base legale au titre du RGPD (Article 6) : le traitement de vos donnees de compte et de statut est necessaire a l'execution du contrat conclu avec vous (fournir le service auquel vous avez souscrit). Le traitement de votre position pendant une alerte repose sur votre consentement explicite, donne au moment ou vous activez le partage de position — vous pouvez le retirer a tout moment en desactivant la localisation dans l'app, ce qui arrete immediatement toute collecte future.
Pendant que votre trace de position est disponible (pendant une alerte ou dans la fenetre de 48 heures suivant sa fin), les gardiens peuvent la consulter — une carte et une liste horodatee — directement dans leur propre app. Il n'y a volontairement AUCUN bouton de telechargement ou d'export. C'etait un choix de conception delibere :
6. LA FONCTION LEURRE / « SOUS CONTRAINTE »
Si vous entrez votre code sous contrainte (au lieu de votre code d'acces normal) — par exemple parce que quelqu'un vous force a confirmer — Defcon5 affiche un ecran calme et rassurant « tout va bien » sur VOTRE appareil, pour quiconque pourrait vous observer. Derriere cet ecran, l'etat reel du systeme est Defcon 2 ou pire, et vos gardiens lies voient cet etat reel, pas le leurre, dans leur propre app. Ceci est un choix de conception de securite intentionnel, divulgue ici pour que vous compreniez exactement ce que fait chaque code avant de vous y fier.
Defcon5 comprend un « Mode Parent » permettant a un parent ou tuteur de configurer et gerer l'app pour un mineur.
En droit francais (transposant l'Article 8 du RGPD), un mineur peut consentir seul aux services de la societe de l'information a partir de 15 ans. En dessous de 15 ans, le traitement n'est licite qu'avec le consentement conjoint du mineur et du titulaire de l'autorite parentale. Si vous configurez Defcon5 pour un enfant de moins de 15 ans, vous devez, en tant que parent/tuteur, fournir ce consentement, et le Mode Parent est concu autour de cette exigence — vous definissez le code PIN parent lors de la configuration, et l'enfant ne peut pas retirer un gardien confirme sans ce code.
Concernant l'Analyse d'Impact relative à la Protection des Données : une AIPD au titre de l'Article 35 du RGPD est très probablement requise avant un lancement public complet. Selon les lignes directrices de l'EDPB, une AIPD est obligatoire dès que deux critères de risque sur neuf sont réunis, et ce traitement en réunit au moins deux : données concernant des personnes vulnérables (mineurs, via le Mode Parent) et surveillance systématique (suivi de position et de statut pendant une alerte active). Considérez l'AIPD comme une étape requise, pas optionnelle.
Concernant le mécanisme de consentement parental spécifiquement : [VOTRE AVOCAT DEVRAIT ENCORE VÉRIFIER CE POINT PRÉCIS — c'est l'appréciation la plus factuelle et spécifique de toute cette politique, et un modèle ne peut pas la trancher.] Ce qu'on peut dire factuellement : le mécanisme actuel (le parent définit un code PIN à la configuration) est un consentement auto-déclaré, sans vérification indépendante de l'identité ou de l'autorité du parent. Pour un traitement impliquant les données de localisation d'un mineur — intrinsèquement à risque plus élevé — c'est généralement une garantie plus faible que ce vers quoi pointent les lignes directrices de la CNIL pour les traitements à risque élevé de données d'enfants. Cela ne le rend pas nécessairement insuffisant, mais c'est le point le plus fragile de cette politique sur le plan de la conformité, et confirmer s'il atteint le seuil requis (ou quelle étape supplémentaire — enregistrement documenté du consentement, vérification d'identité plus forte — comblerait l'écart) nécessite l'appréciation d'un avocat appliquée aux lignes directrices CNIL réellement en vigueur au moment du lancement.
En tant que resident de l'UE/EEE (et par politique, pour tous nos utilisateurs quel que soit leur lieu de residence), vous avez le droit de :
15)
Pour exercer l'un de ces droits, contactez-nous a contact@unicorn-united.com.
Nous pouvons mettre a jour cette politique de temps a autre. Les modifications substantielles seront notifiees dans l'app et via la date de « derniere mise a jour » ci-dessus ; lorsque la loi l'exige, nous solliciterons un nouveau consentement avant de continuer a traiter les donnees selon des conditions substantiellement modifiees.
Unicorn United 6 rue d'Armaille, 75017 Paris, France contact@unicorn-united.com
ÉTAT DES POINTS PRÉCÉDEMMENT OUVERTS — MIS À JOUR
Ces points avaient été initialement signalés comme questions ouvertes pour un avocat. Plusieurs ont depuis été résolus avec une confiance raisonnable en s'appuyant sur le texte du RGPD et des seuils bien établis ; un point reste une vraie appréciation nécessitant un avis juridique réel — clairement marqué ci-dessous. Cette mise à jour ne constitue pas elle-même un avis juridique — c'est une tentative de bonne foi de clore ce qui peut honnêtement l'être, et d'être précis sur ce qui ne peut pas l'être.
1. ⚠️ RESTE UN POINT D'AVOCAT — Mode Parent / consentement parental vérifiable. Le mécanisme actuel (le parent définit un code PIN à la configuration) est un consentement auto-déclaré, sans vérification indépendante d'identité. Pour un traitement impliquant les données de localisation d'un mineur — intrinsèquement à risque plus élevé — c'est généralement considéré comme une garantie plus faible que ce vers quoi pointent les lignes directrices de la CNIL pour les traitements à risque élevé. Ce n'est pas forcément insuffisant, mais c'est le point le plus fragile de cette politique sur le plan de la conformité, et cela nécessite véritablement l'appréciation d'un avocat, pas celle d'un modèle. Ne considérez pas ce point comme résolu.
2. RÉSOLU (confiance élevée) : une Analyse d'Impact relative à la Protection des Données (AIPD) au titre de l'Article 35 du RGPD est très probablement requise. Selon les lignes directrices de l'EDPB, une AIPD est obligatoire dès que 2 critères sur 9 sont réunis ; Defcon5 en réunit au moins deux — traitement de données concernant des personnes vulnérables (mineurs, via le Mode Parent) et surveillance systématique (suivi de position/statut pendant une alerte active). Considérez l'AIPD comme requise, pas optionnelle, avant un lancement public complet.
3. RÉSOLU (confiance raisonnable, à réévaluer avec la croissance) : un Délégué à la Protection des Données (DPO) au titre de l'Article 37 du RGPD n'est probablement PAS encore obligatoire à l'échelle du lancement initial, le seuil de « suivi régulier et systématique à grande échelle » qui déclenche l'obligation étant peu susceptible d'être atteint avec une petite base d'utilisateurs initiale. À réévaluer avec la croissance du volume d'utilisateurs — rien n'empêche d'en désigner un plus tôt par bonne pratique, compte tenu du contexte mineurs et données de sécurité, mais ce n'est pas encore une obligation légale stricte.
4. RÉSOLU (confiance raisonnable) : régimes hors UE. Le CCPA/CPRA (Californie) ne s'applique qu'au-delà de seuils précis (environ 25M$ de revenu annuel, ou 100 000+ consommateurs/appareils californiens, ou 50%+ du revenu tiré de la vente de données personnelles) — une nouvelle petite app n'atteint pas ces seuils au lancement. Le UK GDPR et la LPRPDE (Canada) s'appliquent en principe à tout utilisateur britannique ou canadien peu importe la localisation de l'entreprise, mais l'exposition réelle à l'application est faible sans ciblage délibéré de ces marchés. Aucune action urgente requise ; à réévaluer si vous ciblez délibérément le Royaume-Uni ou le Canada.
5. RÉSOLU : la fenêtre de conservation de 48 heures et la fonction de trace consultable uniquement sont désormais divulguées à la fois dans cette politique (Section 5.1) et via une divulgation proéminente dans l'app affichée avant la demande de permission de localisation — cette combinaison satisfait raisonnablement le principe de transparence du RGPD (Article 5(1)(a), Articles 13-14). Aucun parcours de consentement supplémentaire au-delà de ce qui est déjà construit ne semble nécessaire.
6. RÉSOLU, CONFIRMÉ : HTTPS/TLS est effectivement configuré sur le backend de production (nginx + Let's Encrypt/certbot, vérifié directement, y compris le chemin de mise à niveau WebSocket). L'affirmation de la Section 7 est exacte telle qu'écrite, pas juste une intention.
7. Confirmer les exigences exactes d'enregistrement/formalités CNIL applicables au traitement d'Unicorn United (une autorisation préalable est rarement requise depuis le RGPD, mais vérifier qu'aucune exception sectorielle ne s'applique) — inchangé, mérite encore une confirmation rapide d'un avocat, bien que le risque soit faible selon la pratique générale du RGPD depuis 2018.