Politique de confidentialité

1. La version courte

Voici l’essentiel. Les sections ci-dessous constituent la politique complète.

• Votre phrase de récupération, vos clés privées et votre phrase de passe ne quittent jamais votre appareil. Nous ne pouvons pas les voir.
• Nous ne collectons ni votre nom ni votre pièce d’identité officielle, et nous n’effectuons aucun KYC. Il n’y a aucun compte.
• Nous n’utilisons aucun outil d’analyse, de suivi, de publicité ou de rapport de plantage, et nous ne vendons pas vos données.
• Pour répondre à vos questions, l’assistant Bad Expert envoie vos messages à notre backend et à notre fournisseur d’IA.
• Pour afficher votre solde, l’application interroge vos adresses auprès d’un fournisseur de données blockchain, qui peut les voir.
• Si vous envoyez des commentaires, nous recevons ce que vous écrivez ainsi que des informations de base sur votre appareil (et votre adresse e-mail et une capture d’écran uniquement si vous les ajoutez).

2. Qui cette politique concerne

Cette Politique de confidentialité explique comment Sour Labs (« nous », « notre », « nos ») traite les informations en lien avec l’application Bad Wallet, l’assistant Bad Expert, nos services backend et le site web badwallet.app (ensemble, les « Services »).

3. Ce que nous ne voyons et ne collectons jamais

Votre phrase de récupération, vos clés privées et votre phrase de passe sont créées et stockées uniquement sur votre appareil, dans son stockage sécurisé. Elles ne nous sont jamais envoyées, ni à quiconque, et nous n’avons aucun moyen d’y accéder ni d’accéder à vos fonds.

Nous ne collectons ni ne recevons non plus vos adresses Bitcoin, vos soldes ou votre historique de transactions sur nos serveurs, et nous ne demandons ni votre nom, ni votre date de naissance, ni votre pièce d’identité officielle, ni aucun autre document d’identité. Bad Wallet n’a aucun compte utilisateur et n’effectue aucun KYC.

4. Ce qui reste sur votre appareil

La plupart des éléments que Bad Wallet stocke ne quittent jamais votre téléphone ou votre ordinateur, notamment :

• votre phrase de récupération, votre phrase de passe et toute clé en lecture seule, conservées dans le stockage sécurisé de l’appareil (Android Keystore, l’iOS Keychain, ou le trousseau du système d’exploitation de bureau) ;
• les données de votre portefeuille, telles que les adresses, les transactions et les soldes, conservées dans une base de données locale ;
• les paramètres de votre application, tels que le thème, la devise et les unités d’affichage ; et
• une copie locale de vos conversations Bad Expert.

5. Les informations que nous traitons lorsque vous utilisez les fonctionnalités en ligne

Certaines fonctionnalités doivent communiquer avec notre backend ou avec des tiers. Voici ce que cela implique.

Comment l’application s’identifie auprès de notre backend

Lorsque vous utilisez Bad Expert ou envoyez des commentaires, l’application prouve l’authenticité de la requête à l’aide d’une clé publique dérivée de votre portefeuille, accompagnée d’une signature numérique et d’un petit calcul de proof-of-work. Cette clé publique sert d’identifiant pseudonyme : elle nous permet de relier vos requêtes à un même portefeuille et de prévenir les abus, mais elle ne nous indique pas qui vous êtes, et elle est dérivée selon un chemin distinct qui ne révèle ni vos adresses Bitcoin ni vos soldes.

Bad Expert (l’assistant IA)

Lorsque vous discutez avec Bad Expert, les messages que vous envoyez (et les réponses de l’assistant) sont envoyés à notre backend et traités par notre fournisseur d’IA, Google (Vertex AI et les modèles Gemini), afin de générer une réponse. Nous stockons votre conversation sur nos serveurs, liée à la clé publique de votre portefeuille, afin que l’assistant puisse conserver le contexte d’un message à l’autre. Nous n’envoyons ni votre solde, ni vos adresses, ni votre historique de transactions. Veuillez ne pas saisir votre phrase de récupération ou d’autres secrets dans la conversation.

Commentaires et rapports de bogues

Si vous envoyez des commentaires, nous recevons le message que vous écrivez ainsi que des données de diagnostic de base qui nous aident à reproduire les problèmes : version de l’application, plateforme, version du système d’exploitation, modèle de l’appareil, langue, et le réseau Bitcoin utilisé par votre portefeuille (par exemple, mainnet ou testnet). Si vous le souhaitez, vous pouvez également ajouter votre adresse e-mail et une capture d’écran ; ces éléments sont facultatifs et ne sont envoyés que si vous les fournissez. Les commentaires n’incluent ni votre phrase de récupération, ni vos clés, ni vos adresses, ni vos soldes, ni votre historique de transactions. Nous transmettons également une copie des commentaires à notre équipe via un canal Discord privé afin de pouvoir y donner suite.

6. Les informations traitées par des tiers

Pour fournir les Services, nous faisons appel aux tiers ci-dessous (nos « sous-traitants ultérieurs »). Chacun applique ses propres pratiques en matière de confidentialité.

• Google Cloud — héberge notre backend et fournit l’IA Bad Expert (Vertex AI et Gemini), notre base de données, ainsi que notre infrastructure de lutte contre les abus et de journalisation.
• Blockstream — le fournisseur de données blockchain que l’application interroge pour afficher votre solde et vos transactions. Voir la note ci-dessous.
• CoinGecko — fournit les données de cours du Bitcoin ; il reçoit la devise d’affichage que vous avez choisie, mais aucune information sur votre portefeuille.
• mempool.space — ouvert uniquement si vous touchez pour consulter une transaction dans un explorateur de blocs, ce qui transmet l’identifiant public de cette transaction.
• Discord — reçoit une copie des commentaires que vous envoyez, afin que notre équipe en soit informée.

Une note sur les requêtes blockchain et la confidentialité des adresses

Pour afficher votre solde et votre historique, l’application interroge les adresses de votre portefeuille auprès d’un fournisseur de données blockchain (actuellement Blockstream). Cela signifie que ce fournisseur peut voir les adresses sur lesquelles votre portefeuille l’interroge, et peut les associer entre elles ainsi qu’à votre connexion réseau. Il s’agit d’un compromis inhérent aux portefeuilles légers qui n’exécutent pas leur propre nœud complet Bitcoin.

Nous ne communiquons pas votre clé publique étendue d’un seul tenant, mais l’interrogation de vos adresses individuelles les révèle tout de même au fournisseur. Nous pourrions à l’avenir proposer la possibilité d’utiliser votre propre nœud ou votre propre source de données.

7. Ce que nous ne faisons pas

Nous tenons à être précis à ce sujet :

• Aucune analyse ni télémétrie. L’application ne contient aucun outil d’analyse, de suivi ou de télémétrie.
• Aucun rapport de plantage. Nous n’utilisons aucun outil tiers de rapport de plantage ou de surveillance des performances.
• Aucune publicité ni aucun traceur tiers, et aucune vente ou location de vos données.
• Aucune notification push. L’application ne s’enregistre pas pour des notifications push et n’en envoie pas.
• Permissions minimales. L’application demande uniquement l’accès à Internet et, en option, à votre caméra, utilisée uniquement pour scanner des QR codes.

8. Journalisation et adresses IP

Le code de notre application ne consigne ni votre adresse IP ni aucun identifiant d’appareil, et notre limitation de débit anti-abus est associée à la clé publique de votre portefeuille plutôt qu’à votre adresse IP. Cependant, comme tout service Internet, notre hébergeur (Google Cloud) traite nécessairement l’adresse IP de votre appareil afin de vous transmettre les réponses, et nos serveurs conservent des journaux de requêtes de base, tels que la méthode de la requête, le chemin et le résultat, pendant une période limitée, généralement autour de 30 jours.

9. Combien de temps nous conservons les données

Nous ne conservons les données que comme décrit ici :

• Les conversations Bad Expert sont conservées jusqu’à ce que vous les effaciez. Démarrer une nouvelle conversation (l’option de réinitialisation) supprime de nos serveurs l’historique de conversation associé à votre portefeuille. Sinon, l’historique est conservé afin que l’assistant puisse maintenir le contexte.
• Les commentaires et rapports de bogues sont conservés afin que nous puissions enquêter sur les problèmes et faire un suivi avec vous ; nous ne les supprimons pas actuellement selon un calendrier fixe.
• Les données anti-abus, utilisées pour la limitation de débit et la protection contre le rejeu, sont de courte durée et expirent automatiquement en quelques minutes.

Nous prévoyons de définir des limites de conservation plus précises avant le lancement public de l’application.

10. Vos choix et vos droits

Vous gardez le contrôle de la plupart des informations partagées :

• Vous pouvez utiliser pleinement le portefeuille sans jamais utiliser Bad Expert ni envoyer de commentaires.
• Vous pouvez effacer votre historique Bad Expert à tout moment en démarrant une nouvelle conversation.
• Vous pouvez choisir de ne pas inclure votre adresse e-mail ni de capture d’écran lorsque vous envoyez des commentaires.

Selon votre lieu de résidence (par exemple, dans l’EEE / Royaume-Uni / Californie), vous pouvez disposer de droits d’accès, de rectification ou de suppression des données personnelles que nous détenons à votre sujet. Pour effectuer une demande, écrivez-nous à hello@sourlabs.io. Comme nous identifions les données stockées par la clé publique de votre portefeuille plutôt que par votre nom, nous pourrions avoir besoin que vous démontriez le contrôle de ce portefeuille afin de retrouver les bonnes données.

11. Transferts internationaux de données

Notre infrastructure est fournie par Google Cloud et peut traiter et stocker des données dans des pays autres que le vôtre, y compris les États-Unis. Lorsque cela est requis, nous nous appuyons sur des garanties appropriées pour ces transferts.

12. Enfants

Les Services ne sont pas destinés aux personnes de moins de 18 ans (ou de l’âge de la majorité dans leur lieu de résidence), et nous ne collectons pas sciemment de données personnelles auprès d’enfants.

13. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Lorsque nous le faisons, nous révisons la date de « dernière mise à jour » ci-dessus et publions la nouvelle version.

14. Contact

Des questions, ou vous souhaitez effectuer une demande relative à la confidentialité ? Écrivez-nous à hello@sourlabs.io.