Ce que Murma enregistre, où ça va, qui peut le lire — y compris ce qui ne va pas dans notre sens.
Tu parles, ton téléphone transcrit, un modèle d'intelligence artificielle relit le texte sans jamais voir les prénoms, et le résultat est chiffré. Tes photos sont chiffrées sur ton téléphone avant d'être sauvegardées, en Europe. Personne ne vend rien, il n'y a aucune publicité et aucun traceur.
Le détail, honnêtement, est en dessous — y compris ce qui ne va pas dans notre sens. Deux points méritent que tu les lises avant tout le reste : le texte de tes récits est transmis à un prestataire américain, et Murma est techniquement en mesure de lire ton journal.
Il n'y a pas d'autre collecte. Murma ne lit ni ton carnet d'adresses, ni ta position, ni tes autres applications.
C'est la partie qui compte. Quand tu appuies sur le micro :
europe-west1), qui le transmet au modèle d'IA d'Anthropic pour en tirer les faits. Avec lui part un rappel borné de ce que Murma a déjà retenu sur les personnes citées — quelques dizaines de lignes de faits, sous les mêmes jetons « PERSONNE_1 », jamais sous leurs vrais prénoms. C'est ce qui permet à Murma de relier ce que tu racontes ce soir à ce que tu avais raconté avant, au lieu de repartir de zéro à chaque récit. Les faits intimes en sont exclus : ce que Murma a marqué comme sensible ne repart jamais, même quand tu reparles de la personne.Murma utilise Claude, un modèle d'Anthropic PBC. Le texte pseudonymisé lui est transmis via son interface de programmation, hébergée aux États-Unis : c'est un transfert hors de l'Union européenne, encadré par les clauses contractuelles types de la Commission européenne prévues dans l'accord de traitement des données d'Anthropic.
Ce que fait Anthropic de ce texte, tel que ses conditions l'énoncent :
La pseudonymisation réduit fortement le risque, elle ne l'annule pas. Ce qui part reste du texte intime, même sans les prénoms : un récit suffisamment détaillé peut rester reconnaissable pour qui le lirait. Tu peux tout garder sur ton téléphone en écrivant plutôt qu'en dictant — mais l'extraction, elle, passe toujours par le modèle. Un récit que tu ne veux confier à personne, ne le confie pas à Murma.
Ton journal est chiffré (AES-256-GCM) avec une clé propre à ton compte, et sauvegardé sur Firestore, la base de données de Google Cloud / Firebase, en région Europe — Paris (europe-west9). Ni Google, ni un curieux qui lirait la base de données n'y comprendrait quoi que ce soit.
Mais cette clé est déposée sur nos serveurs, depuis le 2 août 2026, pour que tu retrouves tes souvenirs sur un nouveau téléphone sans rien avoir à recopier. Cela signifie qu'Murma est techniquement en mesure de lire ton journal. Nous ne le faisons pas dans le cadre du service, jamais à des fins commerciales ou publicitaires — mais nous préférons te le dire plutôt que de te laisser croire l'inverse. Nous pourrions y être contraints par une réquisition judiciaire.
Dit autrement : le chiffrement te protège d'un vol de la base de données, pas de l'éditeur de Murma. Ce n'est pas un chiffrement de bout en bout, et nous ne l'appellerons jamais ainsi.
Les photos que tu ajoutes à un moment sont copiées dans l'espace privé de l'application, sur ton téléphone.
Elles sont aussi sauvegardées, depuis le 5 août 2026, et cela a changé : jusque-là ta sauvegarde ne contenait que leur chemin, et perdre ton téléphone perdait tes photos. Elles sont désormais chiffrées sur l'appareil, avec la même clé que ton journal — celle qui est déposée sur nos serveurs, avec la limite décrite plus haut — puis déposées en Europe (europe-west9). Le serveur ne reçoit que des octets illisibles : Google ne peut pas les ouvrir, ni en fabriquer une vignette, et nous ne le faisons pas dans le cadre du service, même si nous en sommes techniquement capables.
Leurs métadonnées sont retirées avant tout enregistrement. Une photo prise au téléphone contient, dans ses données techniques (EXIF), la latitude, la longitude, la date, l'heure et le modèle d'appareil. Murma ne demande aucune permission de localisation, et il serait absurde qu'une photo en apporte une par la fenêtre : elle est ré-encodée sans ces données dès que tu la choisis, avant même d'être copiée sur ton téléphone.
Ce que ça implique, et qu'il faut assumer : une photo de tes proches quitte ton téléphone. Elle en sort scellée, mais elle en sort. Si tu préfères qu'une image ne parte jamais, ne l'attache pas à un moment.
Un journal parlé recueille inévitablement ce que le règlement européen appelle des données sensibles : ta santé, ta vie sexuelle, ton orientation, tes convictions, celles des personnes dont tu parles. Murma ne les évite pas — les retenir est précisément son objet, et il n'y a ni filtre ni jugement sur ce que tu racontes.
Le traitement de ces informations repose sur ton consentement explicite (article 9.2.a du RGPD), recueilli avant ton tout premier récit, par une case dédiée que rien d'autre ne coche à ta place — distincte de l'acceptation des conditions d'utilisation, et posée au moment où tu vois exactement ce que tu acceptes. Tu peux le retirer à tout moment en supprimant ton compte, ce qui efface tout.
Murma ne classe, ne note et ne compare jamais les personnes de ton journal. Aucune décision automatisée produisant des effets juridiques ou significatifs n'est prise à partir de tes données (article 22 du RGPD).
Elles n'ont pas de compte et ne sont averties de rien : ton journal ne leur est jamais montré, et aucun autre utilisateur de Murma ne peut y accéder.
Elles conservent malgré tout des droits sur ce qui les concerne. Depuis la fiche d'une personne, tu peux voir ce que Murma a retenu d'elle, l'exporter ou tout effacer. Si l'une d'elles nous écrit directement, nous ne pouvons pas fouiller ton journal à sa place — il est chiffré et il est le tien — mais nous te transmettrons sa demande.
| Destinataire | Ce qu'il reçoit | Où |
|---|---|---|
| Google Ireland / Google LLC (Firebase) | Authentification par SMS, base de données chiffrée, notifications | Base de données en région Europe — Paris (europe-west9) |
| Anthropic PBC | Le texte de tes récits, pseudonymisé, et un rappel borné des faits déjà retenus sur les personnes citées — hors faits sensibles — sous les mêmes jetons | États-Unis — transfert encadré par les clauses contractuelles types |
| Google / Apple (système du téléphone) | Ta voix, pendant la transcription — hors du contrôle de Murma | Selon ton appareil et tes réglages |
Tes données restent tant que ton compte existe. Dès que tu le supprimes, tout est effacé — le nuage comme l'appareil — sans délai de grâce. La marche à suivre est détaillée sur la page Supprimer mon compte.
Deux durées ne dépendent pas de nous : les textes conservés jusqu'à trente jours chez Anthropic (voir plus haut), et les sauvegardes internes de Google Cloud, dont le cycle de rotation nous échappe [À COMPLÉTER : relever la durée de rétention des sauvegardes Firestore / PITR dans la console Google Cloud du projet, et l'écrire ici].
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Concrètement, sans nous écrire :
Pour toute question ou pour exercer un droit par écrit : daoud.issam@gmail.com. Nous répondons dans un délai d'un mois, comme le prévoit l'article 12.3 du RGPD.
Si notre réponse ne te satisfait pas, tu peux saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.
Sur les versions mobiles, quand l'application casse — ou qu'une opération échoue sans la faire tomber, par exemple un code SMS qui ne part pas ou une analyse de récit qui bascule en mode dégradé —, un rapport technique est envoyé (Firebase Crashlytics) : le nom du fichier, la ligne, le modèle de téléphone, la nature de l'échec. Il ne contient ni ton journal, ni le texte de tes récits, ni ton numéro, ni aucun identifiant de compte. Il sert à réparer, et à rien d'autre. Tu peux t'y opposer à tout moment depuis Réglages → Rapports de plantage. Ils reposent sur notre intérêt légitime à réparer ce qui casse, pas sur ton consentement, et l'article 21 du RGPD te donne le droit de dire non. Une précision honnête : t'y opposer arrête les rapports de plantage et le signal de session qui les accompagne, mais pas l'identifiant d'installation décrit plus haut — il fait vivre les notifications, et le retirer les couperait. Ces rapports sont conservés quatre-vingt-dix jours selon la politique de Crashlytics.
La base légale de ce seul traitement est notre intérêt légitime à faire fonctionner un logiciel que nous distribuons (article 6.1.f du RGPD).
Sur la fiche de quelqu'un, tu peux demander à Murma de dessiner le parcours de vos lieux. C'est la seule fonction de l'application qui interroge un service extérieur autre que ceux cités plus haut, et elle ne part jamais toute seule : elle te le demande une fois, en clair, et attend que tu acceptes.
Ce qui sort alors de ton téléphone : le nom du lieu, tel que tu l'as dicté — « le Comptoir Général ». Il est envoyé à Nominatim, le service de recherche d'OpenStreetMap, qui rend des coordonnées. Aucun prénom, aucune date, aucun récit, aucun identifiant de compte ne l'accompagne : ce service voit passer un nom de bar, sans savoir de qui ni de quand il s'agit.
Ton téléphone n'est jamais localisé. Murma ne demande aucune permission de localisation, et n'en demandera pas : on raconte sa soirée en rentrant, la position de l'appareil serait celle du canapé.
Chaque lieu n'est demandé qu'une seule fois, puis gardé sur l'appareil — y compris quand il est introuvable, pour ne pas le redemander en vain. La base légale est ton consentement (article 6.1.a du RGPD), que tu donnes au moment où tu le demandes.
En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous notifions la CNIL dans les soixante-douze heures et, lorsque le risque est élevé, nous t'en informons directement, conformément aux articles 33 et 34 du RGPD.
Cette politique évoluera avec le produit. La date en haut de page fait foi. En cas de changement de fond — un nouveau destinataire, une nouvelle catégorie de données — l'application te le signalera et te redemandera ton accord.
Le même texte est consultable hors ligne dans l'application : Réglages → À propos → Politique de confidentialité.