Politique de confidentialité

En bref

Tu parles, ton téléphone transcrit, et un modèle d'intelligence artificielle relit le texte. Avant l'envoi, les prénoms des personnes que Murma connaît déjà sont remplacés ; un prénom que Murma ne reconnaît pas, un pseudo, une adresse peuvent rester dans le texte. Le résultat est chiffré. Tes photos sont chiffrées sur ton téléphone avant d'être sauvegardées, en Europe. Personne ne vend rien, il n'y a aucune publicité et aucun traceur publicitaire.

Le détail, honnêtement, est en dessous, y compris ce qui ne va pas dans notre sens. Deux points méritent que tu les lises avant tout le reste : le texte de tes récits est transmis à un prestataire américain, et Murma est techniquement en mesure de lire ton journal.

Ce que Murma enregistre

• Ton numéro de téléphone : c'est ton identifiant, il sert à te reconnaître d'un appareil à l'autre. Aucun mot de passe. Il est gardé dans ton compte, en clair, hors de ton journal chiffré.
• Ton prénom, tel que tu l'as donné.
• Tes récits : le texte de ce que tu dictes ou écris.
• Les faits que Murma en tire, les personnes que tu nommes, les dates et les rappels associés.
• Ce qui est rangé sur la fiche d'une personne (son âge, où vous vous êtes rencontrés, un rendez-vous et son lieu, ce qu'elle aime ou non), que tu le saisisses toi-même ou que Murma le reprenne de ce que tu as raconté. Dans ce cas la case le dit (« tiré de ton récit ») et se corrige d'un geste. Rien n'y est deviné : seulement ce que tu as dit ou écrit.
• Les questions à poser la prochaine fois (« À lui demander ») : celles que tu dis vouloir poser, et celles que Murma te propose quand un récit parle d'un événement à venir pour la personne (un concours, un voyage). Une question proposée le dit (« Proposé par Murma ») ; elle se coche quand tu l'as posée, et s'oublie d'un geste.
• Ce que tu dis ressentir pour une personne (« Ce que tu ressens », sur sa fiche) : ton envie de la revoir et tes mots du moment, déclarés par toi, jamais déduits. Visible par toi seul, jamais transmis à l'IA ; chiffré dans ta sauvegarde, comme le reste.
• Tes photos, chiffrées sur l'appareil avant d'être sauvegardées (voir plus bas).
• Les photos de profil que tu choisis pour une personne, dans ta galerie : elles restent sur ton téléphone et ne sont pas sauvegardées (voir plus bas).
• Les dates importantes d'une personne (« Ses dates », sur sa fiche) — son anniversaire, votre rencontre, celles que tu nommes toi-même —, que tu les saisisses ou que Murma les reprenne de ce que tu as raconté. Elles servent à te les rappeler, et sont chiffrées dans ta sauvegarde, comme le reste.
• Les périodes que tu notes sur une fiche (une étiquette et des jours) — un voyage, des examens, une semaine prise : écrites par toi, jamais déduites ni calculées. Elles ne paraissent que sur la fiche et dans ton calendrier (jamais sur l'accueil ni dans une notification), ne sont jamais envoyées au modèle d'IA, et sont sauvegardées chiffrées, avec la fiche.
• Les jours où tu ouvres l'application : la date seule, au jour près, sans l'heure, rien d'autre. Elle est rangée dans ton compte, sans chiffrement, et ne nous sert qu'à une chose : savoir si les personnes reviennent dans Murma au fil des jours. Seuls les jours des treize derniers mois sont gardés. Elle n'est ni partagée, ni croisée avec ton journal, et elle est effacée avec ton compte. Cette mesure repose sur notre intérêt légitime à améliorer l'application, et tu peux t'y opposer à tout moment : Réglages → À propos → « Mesure de fréquentation ». Refuser arrête l'écriture et efface les dates déjà notées. Ton refus est rangé dans ton compte : il vaut pour tous tes appareils à jour et survit à une réinstallation. Un appareil resté sur une ancienne version de Murma ne peut plus noter ses jours.
• La liste des appareils où ton compte est ouvert : pour chacun, son type (Android, iPhone ou navigateur web), la date de sa première et de sa dernière connexion, et un identifiant tiré au hasard à l'installation de Murma. Ni le modèle, ni le nom de l'appareil, ni son adresse IP, ni sa position. Elle sert à une seule chose : te prévenir sur tes autres appareils quand un nouvel appareil se connecte à ton compte, pour que tu puisses réagir si ce n'est pas toi. Tu la vois dans Réglages → Compte → « Appareils connectés ». Elle est rangée dans ton compte, sans chiffrement ; un appareil qui ne s'est pas connecté depuis treize mois en est retiré, et la liste est effacée avec ton compte. Cette mesure repose sur notre intérêt légitime à protéger ton compte.
• Si ton compte a été créé avant le 27 août 2026 avec la connexion Google, alors proposée, ton adresse e-mail, ton nom et ta photo Google peuvent encore y figurer. Écris-nous pour qu'on les retire.

En dehors de ce que décrit cette page, il n'y a pas d'autre collecte. Murma ne lit ni ton carnet d'adresses, ni tes autres applications. Ta position n'est jamais enregistrée ; si tu l'autorises, elle est lue le temps d'une recherche de lieu et accompagne cette recherche, arrondie (voir Situer les lieux d'un parcours).

Le chemin d'un récit, étape par étape

C'est la partie qui compte. Quand tu appuies sur le micro :

1. Ton téléphone écoute et transcrit. La reconnaissance vocale est celle de ton système (Google sur Android, Apple sur iPhone) : l'audio est traité par lui, et selon ton appareil et tes réglages, il peut être envoyé aux serveurs de Google ou d'Apple. Murma ne choisit pas cela et n'y a pas accès. Sur la version web, c'est ton navigateur qui transcrit : Chrome, par exemple, envoie la voix à Google. Murma, lui, n'enregistre aucun fichier audio et n'en envoie nulle part : seul le texte existe.
2. Avant tout envoi, les prénoms que Murma connaît sont remplacés. Chaque personne qui a déjà sa fiche devient « PERSONNE_1 », « PERSONNE_2 », que son prénom soit écrit avec ou sans majuscule ; un nom nouveau, quand Murma le repère, devient « NOUVEAU_1 ». La table de correspondance ne quitte jamais ton téléphone. Une limite, parce qu'elle est réelle : un nom nouveau n'est repéré qu'à sa forme, une majuscule suivie de minuscules. Un prénom que Murma ne reconnaît pas, un pseudo, une adresse peuvent rester dans le texte (un prénom écrit sans majuscule, un prénom composé ou étranger, un diminutif, un pseudo de réseau social, un numéro écrit de façon inhabituelle, une adresse postale). Et cela à chaque récit, pas une seule fois : tant que la personne n'a pas sa fiche, son prénom n'est pas appris.
3. Le texte ainsi masqué part vers un serveur en Belgique (fonction Cloud, région europe-west1), qui le transmet au modèle d'IA d'Anthropic pour en tirer les faits. Avec lui part un rappel borné de ce que Murma a déjà retenu sur les personnes citées : quelques dizaines de lignes de faits, sous les mêmes jetons « PERSONNE_1 », jamais sous leurs vrais prénoms. C'est ce qui permet à Murma de relier ce que tu racontes ce soir à ce que tu avais raconté avant, au lieu de repartir de zéro à chaque récit. Les faits intimes en sont exclus : ce que Murma a marqué comme sensible ne repart jamais, même quand tu reparles de la personne.
4. La réponse revient en jetons ; ton téléphone y remet les vrais prénoms.
5. Le tout est chiffré, puis rangé dans ta sauvegarde privée.

Le modèle d'IA, et le transfert hors d'Europe

Murma utilise Claude, un modèle d'Anthropic PBC. Le texte pseudonymisé lui est transmis via son interface de programmation, hébergée aux États-Unis : c'est un transfert hors de l'Union européenne, encadré par les clauses contractuelles types de la Commission européenne prévues dans l'accord de traitement des données d'Anthropic.

Ce que fait Anthropic de ce texte, tel que ses conditions l'énoncent :

• Aucun entraînement. Anthropic n'entraîne pas ses modèles sur ce qui transite par cette interface.
• Conservation 30 jours, sauf signalement. Les textes échangés sont conservés jusqu'à trente jours, à des fins de sécurité, puis supprimés. Exception : un texte signalé par les systèmes automatiques d'Anthropic comme contraire à leur politique d'usage peut être conservé jusqu'à deux ans, et les scores de classification jusqu'à sept ans. Pour une mémoire aussi intime, ce n'est pas théorique : un récit sur une dispute violente, une addiction ou une pensée sombre peut déclencher ce signalement. Nous n'en sommes pas informés.
• Revue humaine possible. Les contenus que les systèmes de sécurité d'Anthropic signalent peuvent être conservés plus longtemps et relus par une personne. Un journal qui parle de santé mentale, de sexualité ou de violences a une probabilité non nulle de déclencher ces systèmes. Nous préférons te le dire.

Le chiffrement, et sa limite

Ton journal est chiffré sur ton téléphone (AES-256-GCM) avec une clé propre à ton compte, avant d'être sauvegardé sur Firestore, la base de données de Google Cloud / Firebase, en région Europe, Paris (europe-west9).

Mais la clé qui l'ouvre est gardée sur nos serveurs, dans la même base de données que le journal, depuis le 2 août 2026, pour que tu retrouves tes souvenirs sur un nouveau téléphone sans rien avoir à recopier. Cela signifie que Murma est techniquement en mesure de lire ton journal, et Google, qui héberge cette base, aussi. Nous ne le faisons pas dans le cadre du service, jamais à des fins commerciales ou publicitaires. Mais nous préférons te le dire plutôt que de te laisser croire l'inverse. Nous pourrions y être contraints par une réquisition judiciaire.

Le code de secours, dans les réglages, est une copie de cette même clé : il te permet de rouvrir ta sauvegarde toi-même, même si la copie gardée sur nos serveurs venait à manquer. Garde-le comme un mot de passe : quelqu'un qui l'aurait et accéderait à ta sauvegarde pourrait la lire.

Dit autrement : ce chiffrement ne te protège pas de quelqu'un qui obtiendrait à la fois la base de données et cette clé (nous compris, Google compris). Un vol de la base entière emporterait la clé avec le journal. Ce qu'il protège réellement : un vol du seul espace de stockage des photos, une fuite partielle qui n'emporterait pas la clé, un coup d'œil accidentel sur un document, et le contenu de tes rappels pendant leur transport. Ce n'est pas un chiffrement de bout en bout, et nous ne l'appellerons jamais ainsi.

Et un nouveau téléphone retrouve ton journal avec le seul code reçu par SMS. Il n'y a pas de mot de passe. Tes autres appareils, s'il y en a et si leurs notifications sont activées, sont prévenus par une alerte, mais elle n'empêche pas la connexion : garde ton numéro, verrouille ton téléphone et masque l'aperçu des SMS sur l'écran verrouillé.

Ce verrou sert aussi dans l'application : avant d'exporter tes données, d'afficher ton code de secours, de changer de numéro ou de supprimer ton compte, Murma demande l'empreinte, le visage ou le code de ton téléphone. Sur un appareil sans verrou, ou sur la version web, ces quatre gestes passent sans lui. Si ton téléphone a un verrou mais ne parvient pas à poser la question, le code de secours ne s'affiche pas et le numéro ne se change pas ; seuls l'export de tes données et la suppression de ton compte passent alors sans lui, et seulement quand Murma reconnaît la panne. Toute autre erreur vaut un refus : il faut réessayer.

Tes photos

Les photos que tu ajoutes à un moment sont copiées dans l'espace privé de l'application, sur ton téléphone.

Elles sont aussi sauvegardées, depuis le 5 août 2026, et cela a changé : jusque-là ta sauvegarde ne contenait que leur chemin, et perdre ton téléphone perdait tes photos. Elles sont désormais chiffrées sur l'appareil, avec la même clé que ton journal (celle qui est déposée sur nos serveurs, avec la limite décrite plus haut), puis déposées en Europe (europe-west9). Le serveur ne reçoit que des octets chiffrés : l'espace de stockage des photos, à lui seul, ne permet ni de les ouvrir ni d'en fabriquer une vignette. Mais la clé étant gardée dans notre base de données, hébergée elle aussi par Google, Google comme nous sommes techniquement capables de les ouvrir. Nous ne le faisons pas dans le cadre du service.

Leurs métadonnées sont retirées au moment où tu les choisis, depuis la version d'octobre 2026. Une photo prise au téléphone contient, dans ses données techniques (EXIF), la latitude, la longitude, la date, l'heure et le modèle d'appareil. Toute photo qui entre dans Murma (photo d'un moment comme photo de profil) est désormais vérifiée au moment où tu la choisis : si elle porte ces données, elle est ré-encodée sans elles ; si elle n'en porte pas, elle entre telle quelle. Une photo que Murma ne sait pas relire n'est pas ajoutée, et l'écran te le dit.

Ce n'était pas vrai avant, et cette page le disait à tort. Les photos de moments ajoutées avant cette version avaient gardé leurs métadonnées (sur Android : la date, l'heure, le modèle d'appareil, et possiblement la position) et sont parties ainsi dans ta sauvegarde, chiffrées. Voici ce qui est fait pour elles, et rien de plus. Sur chaque appareil, pour le compte ouvert, une passe en arrière-plan ré-encode sans métadonnées les photos de tes récits présentes sur ce téléphone, et renvoie la copie nettoyée dans ta sauvegarde, une à la fois. Elle reprend à chaque ouverture tant que tout n'est pas fait. Les photos qui redescendent de ta sauvegarde sur un nouveau téléphone sont nettoyées à leur arrivée. Les photos de profil des fiches, qui ne quittent pas le téléphone, sont nettoyées aussi.

Ce qui n'est pas fait. Une photo que l'application ne sait pas relire est laissée telle quelle. Une photo restée dans ta sauvegarde sans plus aucun récit pour la désigner n'est pas nettoyée : cette passe ne la voit pas. C'est la file des suppressions qui l'efface, si son effacement y est noté. Un autre de tes appareils garde ses fichiers tels quels jusqu'à ce que Murma y soit ouvert. Et tant qu'aucun de tes appareils à jour n'a ouvert l'application, la copie de ta sauvegarde garde ses métadonnées.

Ce que ça implique, et qu'il faut assumer : une photo de tes proches quitte ton téléphone. Elle en sort scellée, mais elle en sort. Si tu préfères qu'une image ne parte jamais, ne l'attache pas à un moment.

Les photos de profil d'une personne, celles que tu choisis dans ta galerie (six au plus), suivent une autre règle. Elles ne sont pas sauvegardées et ne quittent pas ton téléphone : changer d'appareil ne les ramène pas, et oublier la personne les efface. Leurs métadonnées sont retirées au moment où tu les choisis.

Tes rappels

Ils sont préparés sur ton téléphone, à partir de ton journal, et rangés dans ta sauvegarde. Notre serveur en voit l'heure, le type (une date clé, un « après le rendez-vous ») et l'écran qu'ils ouvrent, avec l'identifiant de la fiche concernée (un numéro, pas un prénom) ; leur texte, lui, y reste chiffré. La suite dépend de ton appareil.

Sur Android et sur la version web, à l'heure dite, notre serveur (en Belgique) fait porter le rappel par le service de notifications de Google (Firebase Cloud Messaging), toujours chiffré ; c'est ton appareil qui l'ouvre et l'affiche. Sur la version web, quand l'onglet de Murma est fermé ou en arrière-plan, le navigateur ne peut pas l'ouvrir : il affiche seulement « Murma », sans texte. Le service du navigateur qui reçoit ces notifications charge pour cela le code de Firebase depuis les serveurs de Google (gstatic.com).

Sur iPhone, depuis la version 4.27.0, ton iPhone programme lui-même ses rappels et les affiche sans passer par nos serveurs. Il confie à Apple et à Google un jeton de notification (un numéro qui permet de le joindre). Nous ne nous en servons que pour une chose : quand ton compte est supprimé, depuis n'importe quel appareil, nous envoyons à ton iPhone un signal silencieux, sans texte ni son, qui lui fait annuler ses rappels. iOS ne garantit pas ce signal (par exemple si tu as fermé l'app de force) : les rappels restent alors armés jusqu'à ta prochaine ouverture de Murma. De même, une personne oubliée ou une fiche masquée depuis un autre appareil ne disparaît des rappels de ton iPhone qu'à sa prochaine ouverture. Un iPhone resté sur une version plus ancienne reçoit encore, à l'heure dite, une alerte neutre (« Un rappel t'attend. »), sans rien du texte.

Murma t'envoie aussi une alerte quand un nouvel appareil se connecte à ton compte ; elle ne dit que le type d'appareil et le jour.

Un fait que Murma a marqué comme intime n'entre jamais dans un rappel. Sur l'écran verrouillé, le réglage « Discrètes à l'écran verrouillé », allumé au départ, remplace le texte par une phrase neutre. Si tu l'éteins, ce qui s'affiche dépend du réglage d'aperçu de ton téléphone.

Les confidences les plus intimes

Un journal parlé recueille inévitablement ce que le règlement européen appelle des données sensibles : ta santé, ta vie sexuelle, ton orientation, tes convictions, celles des personnes dont tu parles. Murma ne les évite pas : les retenir est précisément son objet, et il n'y a ni filtre ni jugement sur ce que tu racontes.

Leur relecture par le modèle d'IA, et la sauvegarde des récits ainsi relus, reposent sur ton consentement explicite (article 9.2.a du RGPD), recueilli à ton premier récit, avant tout envoi, par une case dédiée que rien d'autre ne coche à ta place, distincte de l'acceptation des conditions d'utilisation, et posée au moment où tu vois exactement ce que tu acceptes. Tu peux le retirer à tout moment, sans supprimer ton compte : Réglages → Mon journal → « Relecture de mes récits ». Le retrait arrête l'envoi de tes récits suivants au modèle d'IA et ne supprime rien : ce qui a déjà été tiré de tes récits reste dans ton journal, où tu peux l'oublier ligne par ligne. Il vaut pour ton compte, pas pour le seul appareil où tu le fais : il est daté et publié, et tes autres appareils le prennent à leur prochaine ouverture ou à leur prochain récit, s'ils sont à jour et ont du réseau. Un appareil resté sur une ancienne version de Murma continue d'envoyer ses récits : mets-le à jour. Recocher la case sur un appareil redonne l'accord partout. Un retrait fait avant la version d'octobre 2026 doit être refait pour être tenu. Supprimer ton compte, en revanche, efface ton journal lui-même. Ce qui reste alors est dit dans Où, avec qui, et combien de temps.

Murma ne classe, ne note et ne compare jamais les personnes de ton journal. Aucune décision automatisée produisant des effets juridiques ou significatifs n'est prise à partir de tes données (article 22 du RGPD).

Les personnes dont tu parles

Elles n'ont pas de compte et ne sont averties de rien : ton journal ne leur est jamais montré, et aucun autre utilisateur de Murma ne peut y accéder.

Elles conservent malgré tout des droits sur ce qui les concerne. Depuis la fiche d'une personne, tu peux voir ce que Murma a retenu d'elle ou tout effacer. L'export, lui, ne se fait pas fiche par fiche : il porte sur ton journal (Réglages → Mon journal → « Exporter mes données (JSON) »). Il demande d'abord le verrou de ton appareil, quand il en a un. Il contient ton journal entier, sauf les fiches masquées tant que tu ne les as pas révélées (avec les faits retenus sur elles et les récits où elles figurent), et l'écran te le dit ; pour les y mettre, révèle-les d'abord (Réglages → Mon journal → « Fiches masquées »). Sur le web, ou sur un appareil sans verrou, où révéler est impossible, l'export contient tout, fiches masquées comprises, et le dit aussi. Tes notes privées n'y entrent que si tu le choisis. Si l'une d'elles nous écrit directement, nous ne fouillerons pas ton journal à sa place (nous en serions techniquement capables, mais il est le tien et ce n'est pas notre rôle), et nous te transmettrons sa demande.

Où, avec qui, et combien de temps

La connexion par SMS, sa vérification anti-robot (reCAPTCHA), les notifications, les rapports de plantage et l'identifiant d'installation passent par des services mondiaux de Google, qui peuvent traiter ces données hors d'Europe, notamment aux États-Unis ; la connexion par SMS, elle, n'est servie que depuis les États-Unis. Google déclare se conformer au cadre de protection des données UE-États-Unis (Data Privacy Framework).

Apple (son service de notifications, sur iPhone seulement) reçoit le jeton de notification de ton iPhone et, à la suppression de ton compte, le signal silencieux d'annulation, sans texte ni son ; ses services les traitent hors de notre contrôle, notamment aux États-Unis.

Sur la version web, deux services de plus. Google reCAPTCHA vérifie qu'une demande de code SMS vient d'une personne et non d'un robot (toujours sur le web, et sur le téléphone quand la vérification habituelle n'aboutit pas) et recueille pour cela des informations techniques sur ton appareil et ton navigateur, sous les règles de Google. Cloudflare héberge le relais par lequel la version web joint le service de connexion de Firebase (orbit-app-demo.pages.dev) : il voit passer ton adresse IP et ces échanges techniques. Le moteur d'affichage de la version web est servi par notre hébergement, mais la version web charge certaines polices depuis les serveurs de Google (fonts.gstatic.com) dès le démarrage : Google voit alors ton adresse IP.

Nos serveurs (les fonctions qui appellent le modèle d'IA et livrent les rappels) tiennent des journaux techniques chez Google (Cloud Logging), gardés trente jours : comme tout serveur, ils notent l'adresse IP d'où part une requête, et l'identifiant de ton compte quand une opération échoue ; jamais le texte de ton journal.

OVHcloud (la messagerie de contact@murma.fr) reçoit les messages que tu nous écris, en France. Nous les gardons un an après notre dernier échange.

Tes données restent tant que ton compte existe. Quand tu le supprimes, ton journal, tes photos, la clé qui les ouvre, ton profil et ton identité de connexion sont effacés, dans le nuage comme sur l'appareil que tu as en main, sans délai de grâce. La suppression demande d'abord le verrou de ton appareil, quand il en a un, puis deux confirmations. Un écran reste affiché pendant l'effacement : garde l'application ouverte. S'il n'avance plus, il te propose de finir plus tard. Si rien n'a pu commencer, faute de réseau, l'application te dit que ton compte est toujours là et que rien n'a été effacé. Si elle s'arrête en route, elle te dit qu'une partie de ta sauvegarde est déjà effacée, que ton compte existe encore et que ton journal est toujours sur ce téléphone ; à l'ouverture suivante, elle te propose de la finir ou de garder ton compte. La marche à suivre est détaillée sur la page Supprimer mon compte.

Ce qui reste après la suppression. Un compteur d'usage technique, sans aucun contenu : le nombre d'appels au modèle d'IA du jour et l'heure du dernier, rattachés à l'identifiant de ton compte, effacés au plus tard trente jours après la suppression. Les copies de ton journal sur tes autres appareils : la suppression n'efface que le nuage et l'appareil sur lequel tu la fais, et un autre appareil encore connecté peut renvoyer des données pendant l'heure qui suit. Supprime aussi l'application de tes autres appareils. Sur un iPhone, si tu supprimes ton compte depuis un autre appareil, les rappels déjà programmés : ils restent armés jusqu'à ce que l'iPhone reçoive le signal d'annulation ou que Murma y soit rouvert (voir « Tes rappels »). Deux mécanismes de notre hébergeur : une version de la base, ton journal chiffré et la copie de sa clé compris, reste une heure, accessible seulement depuis notre console et à notre hébergeur, Google ; les photos effacées restent sept jours dans une corbeille technique, chiffrées. La copie de la clé gardée sur nos serveurs est effacée avec ton compte (une version en subsiste une heure) ; celles qui restent sur tes autres appareils, ou dans un code de secours que tu as noté, ne dépendent pas de nous. Nous ne faisons, en plus, aucune sauvegarde programmée de la base. Et deux durées qui ne dépendent pas de nous : les textes conservés jusqu'à trente jours chez Anthropic (voir plus haut), et les sauvegardes internes de Google Cloud, dont nous ne maîtrisons pas le cycle.

Sur quelles bases

• Le service lui-même (ton compte, ta sauvegarde, tes rappels) : l'exécution du contrat que forment les conditions d'utilisation (article 6.1.b du RGPD).
• La relecture de tes récits par le modèle d'IA, et la sauvegarde des récits ainsi relus, qui peuvent porter sur des données sensibles : ton consentement explicite (articles 6.1.a et 9.2.a), que tu peux retirer. Un récit gardé sans cet accord reste sur ton téléphone.
• La recherche de lieux et ta position : ton consentement (article 6.1.a), donné au moment où tu la demandes.
• La mesure de fréquentation et le compteur d'appels à l'IA : notre intérêt légitime — améliorer l'application, protéger le service contre les abus (article 6.1.f). Tu peux t'opposer à la mesure de fréquentation.
• Les rapports de plantage : notre intérêt légitime à réparer ce qui casse (article 6.1.f), avec ton droit de t'y opposer.
• La liste de tes appareils et l'alerte de nouvelle connexion : notre intérêt légitime à protéger ton compte, et notre obligation d'en assurer la sécurité (articles 6.1.f et 32).
• Le fonctionnement technique (l'identifiant d'installation, les journaux de nos serveurs, la vérification anti-robot reCAPTCHA et le relais Cloudflare de la version web) : notre intérêt légitime à faire fonctionner et à protéger le service, auquel ils sont techniquement nécessaires (article 6.1.f).
• Nos échanges par e-mail : notre intérêt légitime à te répondre, et notre obligation légale de répondre quand tu exerces tes droits (article 6.1.c).

Tes droits

Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Concrètement, sans nous écrire :

• Accès et portabilité : Réglages → Mon journal → « Exporter mes données (JSON) ».
• Rectification : corrige un mot mal entendu dans un récit, un prénom, un moyen de contact ou une case de la fiche directement dans l'application ; une ligne retenue par l'IA qui serait fausse, en revanche, s'oublie. Elle ne se réécrit pas encore.
• Effacement partiel : oublie un moment ou une personne d'un geste, depuis sa fiche.
• Effacement total : Réglages → « Supprimer mon compte ».

Tu peux aussi définir des directives sur la conservation, l'effacement et la communication de tes données après ton décès (article 85 de la loi Informatique et Libertés) : écris-nous.

Pour toute question ou pour exercer un droit par écrit : contact@murma.fr. Nous répondons dans un délai d'un mois, comme le prévoit l'article 12.3 du RGPD.

Si notre réponse ne te satisfait pas, tu peux saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).

Ce que nous ne faisons pas

• Aucune publicité, aucun profil publicitaire.
• Aucune vente de tes données, et aucun partage au-delà des destinataires nommés sur cette page.
• Aucun traceur publicitaire, aucun cookie publicitaire, aucun identifiant publicitaire.
• Aucun entraînement de modèle sur ton journal.
• Aucune mesure d'audience tierce : depuis le 1^er août 2026, Murma n'embarque plus Google Analytics. Il reste ce que les briques Firebase font d'elles-mêmes, et qu'on ne peut pas retirer sans retirer les notifications avec : un identifiant d'installation (un numéro attribué à cette installation de l'app, pas à toi) est transmis à Google au démarrage, et un signal de session (l'app a démarré, sur tel modèle, telle version) accompagne le mécanisme de rapport de plantage. Ni l'un ni l'autre ne porte ton numéro, ton compte ou quoi que ce soit de ton journal, et l'identifiant disparaît si tu désinstalles l'application.

Les plantages

Sur les versions mobiles, quand l'application casse (ou qu'une opération échoue sans la faire tomber, par exemple un code SMS qui ne part pas ou une analyse de récit qui bascule en mode dégradé), un rapport technique est envoyé (Firebase Crashlytics) : le nom du fichier, la ligne, le modèle de téléphone, la nature de l'échec. Il ne contient ni ton journal, ni le texte de tes récits, ni ton numéro, ni aucun identifiant de compte. Il sert à réparer, et à rien d'autre. Tu peux t'y opposer à tout moment depuis Réglages → Rapports de plantage. Ils reposent sur notre intérêt légitime à réparer ce qui casse, pas sur ton consentement, et l'article 21 du RGPD te donne le droit de dire non. Une précision honnête : t'y opposer arrête les rapports de plantage et le signal de session qui les accompagne, mais pas l'identifiant d'installation décrit plus haut. Il fait vivre les notifications, et le retirer les couperait. Ces rapports sont conservés quatre-vingt-dix jours selon la politique de Crashlytics.

La base légale de ce traitement est notre intérêt légitime à faire fonctionner un logiciel que nous distribuons (article 6.1.f du RGPD).

Situer les lieux d'un parcours

Sur la fiche de quelqu'un, tu peux demander à Murma de dessiner le parcours de vos lieux. C'est la seule fonction de l'application qui interroge OpenStreetMap, et elle ne part jamais toute seule : elle te le demande une fois, en clair, et attend que tu acceptes.

Ce qui sort alors de ton téléphone : le nom du lieu (« le Comptoir Général ») tel que tu l'as dicté, parfois reformulé sans son complément (« Daroco à Bourse » → « Daroco »), ou le mot que tu tapes en le cherchant toi-même. Il est envoyé à Nominatim, le service de recherche d'OpenStreetMap, qui rend des coordonnées et une adresse, gardées sur ton téléphone. Aucune date, aucun récit, aucun identifiant de compte ne l'accompagne. Un lieu qui porte le prénom d'une de tes fiches derrière « chez », « de » ou « avec » (« chez Léa ») n'est pas cherché tout seul : c'est toi qui le cherches. Il en va de même d'un domicile dit sans nom (« chez moi », « chez ses parents », « à la maison ») : la recherche s'ouvre alors sur un champ vide, et rien ne part tant que tu n'as rien écrit. Ce que tu tapes toi-même dans la recherche part tel quel. Tout autre lieu est cherché tout seul, et aucun prénom n'en est retiré : un prénom peut donc partir dans le nom d'un lieu (« Café Léa », « Place Victor Hugo », ou « Chez Janou » si aucune de tes fiches ne s'appelle Janou). Comme toute requête, celle-ci montre aussi ton adresse IP, et dit qu'elle vient de l'application Murma.

Ta position sert à chercher, jamais à te suivre. Depuis le 1^er septembre 2026, Murma peut demander ta position, et seulement dans un cas : quand tu ouvres la recherche d'un lieu. « Le Comptoir » existe dans trente villes, et savoir depuis où tu cherches fait remonter le bon.

Elle ne reste pas pour autant dans ton téléphone : quand tu l'autorises, la zone où tu te trouves accompagne la requête envoyée à Nominatim, pour classer les résultats. Trois limites, posées dans le code et pas seulement ici : c'est la position approximative de l'appareil qui est demandée, pas la précise (sur iPhone, Murma demande à iOS la position approximative, et sa fenêtre ne propose plus la position exacte), et elle est arrondie à une dizaine de kilomètres avant de partir (la ville, pas la rue) ; elle n'est jamais gardée par Murma, ni sur l'appareil ni dans ta sauvegarde, et vit le temps d'une recherche ; elle n'est jamais le lieu d'un souvenir (celui-là vient toujours de ce que tu as raconté, puis choisi). Refuser ne casse rien : la recherche fonctionne, simplement moins bien classée.

La carte de tes lieux affiche un fond fourni par OpenStreetMap, le même service qui retrouve tes lieux quand tu les cherches. Il voit les tuiles que ton téléphone demande, donc les zones que tu regardes, et ton adresse IP. Il ne voit ni ton prénom, ni tes dates, ni tes récits. Le fond est assombri par l'application elle-même : les cartes d'OpenStreetMap sont claires, et c'est ton téléphone qui les met en nuit.

Les photos, elles, sont débarrassées de leur position au moment où tu les choisis. Celles ajoutées avant octobre 2026 avaient pu la garder : elles sont nettoyées appareil par appareil, avec les limites dites dans Tes photos. Ce n'est pas contradictoire : une position que tu accordes pour chercher un lieu n'est pas une position qu'une image emporte à ton insu.

Un lieu trouvé n'est plus redemandé : ses coordonnées et son adresse restent sur l'appareil. Un lieu introuvable est retenu lui aussi, pour ne pas le redemander en vain. La base légale est ton consentement (article 6.1.a du RGPD), que tu donnes au moment où tu le demandes.

Comment Murma se diffuse

Murma se diffuse aujourd'hui de trois façons : l'application Android, téléchargeable directement sur notre site (un fichier APK) ; la version web, ouverte à tous dans un navigateur ; et TestFlight, le service de test d'Apple, pour l'iPhone. L'App Store et Google Play sont prévus. Le téléchargement de l'application et de la version web passe par notre hébergeur, Firebase Hosting (Google), qui voit ton adresse IP.

Apple traite ses propres données (ton compte chez lui, ton installation, et selon tes réglages des statistiques et des rapports de plantage qu'il nous montre) sous sa propre politique de confidentialité. Si tu testes Murma avec TestFlight, Apple nous communique l'adresse e-mail avec laquelle tu as été invité et ce que tu choisis de nous envoyer en retour (un commentaire, une capture d'écran, un rapport de plantage) : une capture peut montrer ton journal, regarde-la avant de l'envoyer. Ces retours restent dans App Store Connect, l'espace d'Apple où nous les lisons ; supprimer ton compte Murma ne les efface pas : écris-nous pour qu'on les retire.

Si quelque chose fuit

En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous notifions la CNIL dans les soixante-douze heures et, lorsque le risque est élevé, nous t'en informons directement, conformément aux articles 33 et 34 du RGPD.

Évolutions

Cette politique évoluera avec le produit. La date en haut de page fait foi. En cas de changement de fond (un nouveau destinataire, une nouvelle catégorie de données), l'application te le signalera et te redemandera ton accord.

Le même texte est consultable hors ligne dans l'application : Réglages → À propos → Politique de confidentialité.