Application Deux Maisons · version 1.1.0 · dernière mise à jour : octobre 2026
Par défaut, rien ne sort de votre appareil. Si les deux parents décident de relier leurs téléphones, ce qu'ils modifient voyage chiffré de bout en bout : ni l'éditeur, ni l'hébergeur ne peuvent en lire le contenu, car la clé ne leur est jamais transmise. Si vous activez les rappels, un identifiant d'appareil fourni par Apple permet de faire sonner votre téléphone — sans jamais révéler ce qui est arrivé.
| Éditeur | Céline Regnier — entrepreneur individuel (EI) |
|---|---|
| Statut | Entreprise individuelle (micro-entreprise) |
| SIREN | 899 483 648 |
| Adresse | 21 avenue des Chênes, 83440 Fayence, France |
| Téléphone | +66 81 148 1743 |
| Contact | contact@jcexportgroup.com |
Toute question relative à cette politique peut être adressée à l'adresse ci-dessus.
L'application fonctionne de deux manières, et vous choisissez laquelle.
Tant que vous n'avez pas relié votre téléphone à celui de l'autre parent, l'application n'effectue aucune requête réseau. Prénoms, âges, calendrier de garde, dépenses, messages, documents : tout est enregistré dans la mémoire locale de l'application, sur votre appareil, et n'est transmis à personne. L'éditeur ne met alors en œuvre aucun traitement de données à caractère personnel.
Les deux parents peuvent choisir de relier leurs appareils, afin que ce que l'un modifie apparaisse chez l'autre. Cette liaison ne s'active jamais toute seule : elle demande qu'un parent crée un lien d'invitation et que l'autre le confirme à l'écran. Elle peut être défaite à tout moment (Réglages → Délier ce téléphone), et chacun conserve alors sa copie complète.
Les modifications ne transitent pas en clair. Avant de quitter votre appareil, elles sont chiffrées (AES-256-GCM). Le service de relais ne reçoit que des blocs illisibles.
La clé de déchiffrement est produite sur le téléphone du parent qui crée l'espace. Elle est transmise à l'autre parent dans le fragment du lien d'invitation — la partie située après le « # », que les navigateurs et les serveurs, par construction, ne transmettent pas. Le relais ne reçoit donc jamais la clé, et ne peut pas la reconstituer.
Il serait faux de prétendre qu'il ne voit rien du tout. Il voit :
Il ne voit ni prénoms, ni montants, ni messages, ni documents, ni calendrier. Il n'a pas de compte à consulter : il n'existe aucun compte utilisateur.
Pour être prévenu lorsque l'application est fermée, votre téléphone doit pouvoir être réveillé par Apple. L'application confie alors au relais un identifiant fourni par iOS, propre à cette application et à cet appareil.
Disons-le franchement : c'est la seule information du relais qui
concerne votre appareil plutôt que du texte chiffré. Elle ne porte ni votre nom, ni votre
numéro, ni votre adresse e-mail, et ne permet pas de vous identifier. Elle sert uniquement à
faire sonner un téléphone.
La notification elle-même ne dit rien de son contenu — elle affiche « du
nouveau de la part de l'autre parent », parce que le relais ne sait rien de plus. Le détail
n'apparaît qu'une fois l'application ouverte, seul endroit où les données sont lisibles.
Cet identifiant n'est transmis que si vous activez les rappels (Réglages →
Rappels de passation). Le désactiver le supprime du relais immédiatement, et
désinstaller l'application le rend caduc.
La liaison entre les deux téléphones repose sur votre consentement au sens de l'article 6.1.a du RGPD : elle est facultative, elle se demande explicitement, et elle se retire aussi simplement qu'elle s'accorde. Retirer son consentement — délier le téléphone — n'efface aucune donnée de votre appareil.
Le service de relais est hébergé par Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, États-Unis. Les blocs chiffrés sont stockés sur ses serveurs situés aux États-Unis (région « US East, Ohio »).
Nous le disons sans détour parce que cela compte : il s'agit d'un transfert de données hors de l'Union européenne. Il est encadré par les clauses contractuelles types de la Commission européenne, auxquelles Netlify adhère. La mesure de protection déterminante reste cependant technique : l'hébergeur ne détient que du texte chiffré et n'a aucun moyen d'obtenir la clé, y compris s'il y était contraint.
Le site deux-maisons.com est hébergé par le même prestataire.
| Sur votre appareil | Aussi longtemps que vous gardez l'application. Réglages → Réinitialiser les données, ou la désinstallation, efface tout. |
|---|---|
| Blocs chiffrés sur le relais (espace actif) | 12 mois au maximum, puis suppression automatique. Ils ont alors été récupérés par les deux téléphones depuis longtemps. |
| Blocs chiffrés (espace fermé) | 30 jours après la fermeture, puis suppression automatique. Ce délai laisse à l'autre parent le temps de récupérer les dernières modifications, même s'il n'ouvre pas l'application tout de suite. |
| Fiche d'un espace fermé | 12 mois — un identifiant et une date, sans contenu — afin de pouvoir répondre « cet espace est fermé » plutôt qu'un silence. |
| Identifiant d'appareil (rappels activés) | Jusqu'à ce que vous coupiez les rappels, déliiez le téléphone, ou désinstalliez l'application. Apple nous signale les appareils disparus : leur identifiant est alors effacé automatiquement. |
| Fiche de compte (si vous en créez un) | Jusqu'à ce que vous la supprimiez, depuis l'application. Elle ne contient ni votre adresse, ni votre phrase de passe, ni rien de lisible — une empreinte, des paramètres, et une clé emballée. |
| Nom que vous donnez à un appareil | Tant que l'appareil est relié. Il est chiffré avec la clé de votre espace : le service le transporte sans pouvoir le lire, comme tout le reste. |
| Journaux techniques de l'hébergeur | Selon la politique de Netlify, de l'ordre de quelques jours à quelques semaines. |
Ces suppressions sont automatiques : elles ne dépendent d'aucune démarche de votre part.
L'application s'utilise entièrement sans compte. Ni adresse e-mail, ni mot de passe, ni numéro de téléphone ne sont nécessaires pour commencer, ni pour relier deux téléphones, ni pour s'en servir tous les jours.
Un compte sert à une seule chose : retrouver votre espace depuis un appareil neuf, sans code de secours et sans dépendre de l'autre parent. Si vous en créez un :
| Ce que vous saisissez | Ce que le service en conserve |
|---|---|
| Votre adresse e-mail | Jamais l'adresse elle-même. Seulement une empreinte calculée avec une clé secrète détenue par le serveur, dont on ne peut pas remonter à l'adresse. Elle sert d'identifiant, pas de moyen de vous écrire : nous ne vous enverrons jamais d'e-mail, et nous ne le pourrions pas. |
| Votre phrase de passe | Jamais la phrase. Elle ne quitte pas l'appareil. Le service conserve l'empreinte d'une valeur qui en dérive, et qui ne permet pas de la retrouver. |
| — | La clé de votre espace, emballée sous votre phrase de passe. Le service la transporte sans pouvoir l'ouvrir : c'est votre appareil qui la déballe, après avoir redérivé de quoi le faire à partir de la phrase que vous tapez. |
Si vous oubliez votre phrase de passe, personne ne peut vous la rendre. Il n'existe aucun lien « mot de passe oublié », et il ne peut pas en exister : nous ne savons pas ouvrir ce que nous gardons, et c'est précisément ce qui protège vos données. Notez-la, ou enregistrez-la dans un gestionnaire de mots de passe.
Si vous utilisez l'application dans un navigateur, sachez que c'est notre serveur qui lui envoie le code de la page. Un serveur compromis pourrait envoyer un code qui capte votre phrase au moment où vous la tapez. Cela vaut pour toute application chiffrée qui tourne dans un navigateur. L'application iPhone n'a pas cette faiblesse : son code est figé et signé par Apple.
Supprimer son compte se fait depuis l'application — Réglages → Votre compte. L'empreinte et la clé emballée sont effacées immédiatement. L'espace partagé, lui, demeure : il appartient aussi à l'autre parent, et vos appareils déjà reliés continuent de fonctionner. Pour fermer l'espace lui-même, c'est « Délier ce téléphone ».
L'application ne contient ni cookie, ni identifiant publicitaire, ni outil de mesure d'audience, ni bibliothèque tierce de suivi. Aucune donnée n'est vendue, louée, ni utilisée à des fins publicitaires ou statistiques — ni par l'éditeur, ni par personne d'autre : elle est illisible pour quiconque n'a pas la clé.
L'application permet de saisir le prénom et l'âge d'enfants. Ces informations sont saisies par un adulte ; si les téléphones sont reliés, elles ne circulent que chiffrées entre les deux parents. L'application n'est pas destinée aux enfants et ne leur est pas commercialisée. Aucune donnée de santé n'est traitée : allergies, vaccins et traitements sont hors du périmètre, pour ne pas avoir à les traiter mal.
Les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par les articles 15 à 22 du RGPD s'exercent auprès du responsable de traitement. En pratique :
L'éditeur ne peut pas vous restituer le contenu détenu par le relais : il ne sait pas le lire. C'est la contrepartie du chiffrement de bout en bout, et c'est ce qui protège vos données.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — www.cnil.fr.
Les données restant sur l'appareil, leur protection dépend d'abord de celle de l'appareil lui-même : code de déverrouillage, chiffrement du système, sauvegardes. Nous recommandons d'activer un code de verrouillage.
Une fois les téléphones reliés, l'application vous propose un code de secours (Réglages → Sauvegarder l'accès). Ce code contient votre clé : conservez-le comme un mot de passe, hors de votre téléphone. C'est le seul moyen de retrouver votre espace si vous perdez votre appareil. L'éditeur ne détient aucune copie de la clé et ne peut donc pas vous en fournir une : c'est la contrepartie du chiffrement de bout en bout, et nous préférons le dire avant plutôt qu'après.
Le lien d'invitation contient la clé de vos données : il ne fonctionne qu'une seule fois, et il ne doit être transmis qu'à l'autre parent. Chaque écriture est par ailleurs enchaînée à la précédente par une empreinte, de sorte qu'une modification du journal se détecte.
En cas de violation présentant un risque pour vos droits et libertés, l'éditeur en informe la CNIL dans les 72 heures et, lorsque le risque est élevé, les personnes concernées. Une compromission du relais exposerait des blocs chiffrés, inexploitables sans les clés, qui ne s'y trouvent pas.
Elle ne fournit ni conseil juridique ni assistance judiciaire. Les documents qu'elle produit ne constituent pas des preuves : leur recevabilité et leur force probante relèvent de l'appréciation souveraine du juge. Elle ne remplace ni un avocat, ni un médiateur familial, ni une décision de justice.
Toute modification substantielle de cette politique sera signalée dans l'application et datée sur cette page.