Politique de confidentialité

AKARUP est une messagerie chiffrée de bout en bout. Cette politique décrit, sans ambiguïté, les données que nous traitons et celles auxquelles nos serveurs n'ont jamais accès.

Dernière mise à jour : 28 juin 2026

Responsable du traitement

AKARE SARL, société à responsabilité limitée au capital de 4 180 €, immatriculée au RCS de Paris sous le numéro 495 145 898, dont le siège social est situé 12 rue Vivienne, 75002 Paris (France). TVA intracommunautaire FR76495145898. Représentant légal : Pascal Pommier.

Pour toute question relative à vos données ou pour exercer vos droits, un canal unique de contact : [email protected].

Notre principe : le serveur est aveugle au contenu

AKARUP repose sur un chiffrement de bout en bout post-quantique. Le contenu de vos communications est chiffré sur votre appareil avant tout envoi, et n'est déchiffrable que sur les appareils des destinataires. Nos serveurs transportent et stockent ce contenu sous forme d'enveloppes chiffrées qu'ils sont techniquement incapables de lire.

Concrètement, nous n'avons jamais accès, en clair, à : vos messages, vos images et fichiers partagés, le contenu de votre espace de stockage, vos sauvegardes, ni aux informations de profil que vous chiffrez (nom affiché, avatar, biographie). Ces éléments sont protégés par les algorithmes ML-KEM-768 (FIPS 203), ML-DSA-65 (FIPS 204), XChaCha20-Poly1305 et AES-256-GCM.

Données réellement traitées par nos serveurs

Pour faire fonctionner le service, un nombre minimal de données techniques est nécessaire. Par souci de transparence, voici la liste exacte :

Données de compte

Votre adresse e-mail (en clair, indispensable pour vous envoyer les codes de vérification à 6 chiffres lors de l'inscription et de la récupération de compte), votre nom d'utilisateur, et une empreinte cryptographique (hash) de votre mot de passe. Nous ne stockons jamais votre mot de passe en clair.

Clés publiques

Les clés publiques de vos appareils (clés d'identité et clés post-quantiques ML-KEM-768). Ce sont des clés publiques par nature : leur partage est le fondement même du chiffrement et ne révèle aucun secret.

Enveloppes chiffrées

Vos messages, fichiers et données de profil, stockés exclusivement sous forme chiffrée, illisibles par nos serveurs.

Notifications push

Si vous activez les notifications, un jeton technique (token) fourni par les services de notification d'Apple ou de Google est conservé pour vous signaler l'arrivée de nouveaux messages. Ce jeton est associé à des identifiants opaques, et la notification ne contient jamais le contenu du message.

Données temporaires de sécurité

Lors d'une inscription ou d'une récupération, les codes à 6 chiffres sont stockés uniquement sous forme hachée (bcrypt), avec une expiration de 15 minutes, puis supprimés. La clé de récupération de votre compte est stockée chiffrée par une clé dérivée de votre phrase de récupération : nos serveurs ne peuvent pas la déchiffrer.

Métadonnées techniques de connexion

Comme tout service en ligne, votre adresse IP est traitée par notre hébergeur et notre fournisseur réseau pour acheminer le trafic. Nous minimisons la conservation de ces métadonnées.

Hébergement et localisation des données

Toutes les données sont hébergées en France, chez Scaleway. Aucune donnée n'est transférée hors de l'Union européenne. La répartition réseau et la sécurisation du transport (TLS) sont assurées par Cloudflare, qui traite à ce titre les métadonnées de connexion (adresse IP) nécessaires au routage.

Sous-traitants

Nous faisons appel à un nombre restreint de prestataires techniques :

  • •Scaleway (France) : hébergement de l'infrastructure et des bases de données.
  • •Cloudflare : routage réseau, protection et chiffrement du transport (TLS).
  • •Apple Push Notification service et Google Firebase Cloud Messaging : acheminement des notifications, si vous les activez.

Finalités et bases légales

Les données sont traitées pour la seule fourniture du service de messagerie (exécution du contrat), la sécurité du compte (intérêt légitime et obligation légale), et l'envoi des codes de vérification (exécution de mesures précontractuelles et contractuelles). Nous ne réalisons aucun profilage publicitaire, ne vendons aucune donnée, et n'affichons aucune publicité.

Durée de conservation

Vos données de compte sont conservées tant que votre compte est actif. Les codes de vérification expirent sous 15 minutes. Lorsque vous supprimez votre compte, vos données associées sont effacées de nos serveurs.

Vos droits

Conformément au Règlement général sur la protection des données (RGPD), vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. L'application vous permet d'exporter vos paramètres et de supprimer votre compte directement. Pour toute autre demande, écrivez à [email protected].

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité de contrôle française.

Modifications

Cette politique peut être mise à jour pour refléter les évolutions du service. La date de dernière mise à jour figure en haut de cette page.