Pourquoi les données de votre bébé restent dans l'UE

Quand votre bébé a un mois, une appli de suivi peut déjà contenir plusieurs centaines d'enregistrements sur une personne de quatre semaines : ce qui est entré, ce qui est sorti, combien de temps il a dormi, quelle était sa température à 2 h du matin. C'est l'un des dossiers les plus détaillés que quiconque tiendra jamais sur lui, et il n'a eu son mot à dire sur rien.

C'est ce à quoi je pense le plus souvent en construisant Bunavi. Voici donc le tableau complet — ce que contient ce dossier, où je le garde, ce que je n'en ferai jamais, et où la promesse a ses limites.

Ce que contient vraiment ce dossier

On se représente facilement une appli bébé comme une liste d'heures de repas. Ce n'est pas ça. Mettez bout à bout quelques semaines d'enregistrements et vous obtenez :

• Le prénom de votre enfant — ou le surnom que vous utilisez —, sa date de naissance, parfois son sexe, parfois une photo.
• Des données de santé : des mesures de croissance, des températures, des symptômes, des médicaments, des vaccins.
• Des rythmes de repas et de sommeil, qui dessinent aussi la carte des heures où les adultes de la maison sont réveillés, et depuis combien de temps ils le sont.
• Un détail sur les couches que la plupart des gens n'évoqueraient nulle part ailleurs que chez le pédiatre.

La partie températures et médicaments de cette liste, ce sont des données concernant la santé, que l'article 9 du RGPD range parmi les catégories particulières que le règlement protège le plus strictement. Le considérant 38 du même règlement dit que les enfants « méritent une protection spécifique en ce qui concerne leurs données à caractère personnel », et pointe le marketing et le profilage comme les risques qui comptent. Le droit rejoint ici ce que la plupart des parents ressentent la première fois qu'ils tapent le prénom de leur enfant dans un formulaire.

Votre enfant sera adulte un jour, et rien de tout cela n'était sa décision.

Pourquoi les serveurs sont à Francfort

Le profil de votre bébé et chaque enregistrement qui s'y rattache vivent dans une base de données située dans l'Union européenne, hébergée par Supabase dans la région qu'Amazon appelle Europe (Francfort) — eu-central-1. Ce n'est pas un ornement sur une page marketing. Trois choses concrètes en découlent.

• Le RGPD s'applique, et ce n'est pas une faveur. Je suis un développeur indépendant établi en Bulgarie, et l'article 3 rend le règlement applicable aux traitements effectués dans le cadre des activités d'un établissement situé dans l'Union. Ce n'est pas une politique que je peux adoucir discrètement dans une future mise à jour.
• Vos droits sont opposables. L'article 20 vous donne une copie de vos données dans un format structuré, couramment utilisé et lisible par machine. L'article 17 vous donne l'effacement. Et si je vous fais défaut un jour, l'article 77 vous donne le droit de déposer une réclamation auprès d'une autorité de contrôle — dans mon cas la Commission bulgare de protection des données personnelles, ou l'autorité de votre propre pays.
• Il y a une personne identifiée en face. Le responsable du traitement, c'est moi, avec mon nom, un pays et une adresse e-mail qui fonctionne, dans la politique de confidentialité. Une réclamation a un endroit où atterrir.

Maintenant la partie honnête : le lieu d'hébergement n'est pas un bouclier. Un serveur à Francfort mal tenu protège moins votre famille qu'un serveur ailleurs tenu correctement. La géographie décide seulement des règles qu'on peut faire appliquer contre moi. Ce qui protège vraiment le dossier de votre enfant, c'est ce que le logiciel fait tous les jours.

Ce à quoi je m'engage

• Le trafic entre votre téléphone et le serveur est chiffré en TLS.
• L'accès est contrôlé ligne par ligne dans la base de données : un compte ne peut lire ou écrire que les enregistrements des bébés qui lui appartiennent ou auxquels il a été invité. Les lignes d'une famille sont hors d'atteinte depuis le compte d'une autre, et cette règle vit dans la base de données, pas dans les écrans de l'appli.
• Aucune publicité. Aucun identifiant publicitaire. Rien de vendu, de loué ou de partagé avec des annonceurs. Aucun profil publicitaire ou de suivi vous concernant, vous ou votre enfant.
• Le partage reste désactivé tant que vous ne l'activez pas. Un code d'invitation est à usage unique, expire au bout de 7 jours, et l'accès peut être révoqué immédiatement depuis les paramètres — bon à savoir avant de donner le code à votre partenaire ou à un grand-parent.
• L'appli fonctionne d'abord hors ligne : elle garde une petite copie des enregistrements récents sur votre appareil pour marcher à 3 h du matin sans réseau. Cette copie est effacée quand vous vous déconnectez.
• Récupérer vos données et les faire supprimer sont deux boutons dans les paramètres, pas des demandes que vous devez m'envoyer.

Le point « désactivé par défaut » est celui que je défendrais le plus fort. L'article 25 du RGPD demande une protection des données par défaut : les données personnelles ne doivent pas devenir accessibles à un nombre indéterminé de personnes sans votre propre intervention. Pour le dossier de santé d'un enfant, un réglage par défaut qui fuit n'est pas un petit défaut de conception.

Là où le tableau n'est pas purement européen

Une appli faite par une seule personne dépend quand même d'autres entreprises, et prétendre le contraire serait exactement le genre d'affirmation dont il faut se méfier. Apple facture les abonnements et je ne vois jamais votre carte. RevenueCat, aux États-Unis, gère ce que votre formule débloque et reçoit un identifiant de compte ainsi que les événements d'achat. Resend achemine les e-mails — une réinitialisation de mot de passe, un reçu — et reçoit votre adresse et le message ; c'est une entreprise américaine, même si son infrastructure d'envoi tourne en Irlande. Sentry reçoit les détails techniques des plantages — modèle d'appareil, version du système, trace de la pile — depuis les versions où le rapport de plantage est activé. Là où des données personnelles sont traitées hors de l'UE, elles sont couvertes par les clauses contractuelles types de la Commission européenne, et chacune de ces entreprises est nommée dans la politique de confidentialité.

Ce qu'aucune d'elles ne reçoit, c'est le dossier de votre bébé. Les repas, les siestes, les mesures de croissance, les températures, le prénom et la date de naissance restent dans la base de données européenne.

Le vrai test, c'est la suppression

N'importe quelle appli peut écrire un paragraphe chaleureux sur la vie privée. La promesse ne vaut quelque chose que si partir fonctionne vraiment — et s'il faut trois e-mails et une file d'attente au support pour effacer le dossier de santé d'un enfant, la promesse était décorative.

Donc : « Paramètres » → « Supprimer le compte » efface votre compte immédiatement, avec chaque bébé qui vous appartient et auquel personne d'autre n'a été invité, et tous leurs enregistrements. Si vous préférez ne pas le faire dans l'appli, écrivez à [email protected] depuis l'adresse de votre compte et tout est effacé sous 30 jours, en général bien plus tôt. C'est le droit à l'effacement de l'article 17, branché sur un bouton plutôt que sur un formulaire.

Ce qu'il faut exiger de n'importe quelle appli bébé

Rien ne vous oblige à me croire sur parole, et vous ne devriez pas. Quatre vérifications, d'une minute chacune environ, vous en diront plus sur une appli que sa page de présentation.

C'est le niveau d'exigence que je voudrais qu'on m'applique, et celui que j'appliquerais à quiconque demande à détenir la première année de votre bébé. Vous tenez ce dossier au nom de quelqu'un qui ne peut pas encore donner son avis — le minimum, pour un logiciel, est de le traiter comme tel. Si vous voulez la version longue de mon fonctionnement, elle est dans la politique de confidentialité et sur la page à propos, toutes deux écrites pour être lues, pas subies.

Les questions que se posent les parents

Où sont stockées les données de mon bébé ?

Dans l'Union européenne — une base de données Supabase dans la région Amazon Europe (Francfort), eu-central-1. Le trafic est chiffré en TLS, les données sont chiffrées au repos, et l'accès est contrôlé ligne par ligne : les enregistrements d'une famille sont hors d'atteinte depuis le compte d'une autre famille.

Puis-je vraiment tout supprimer moi-même ?

Oui. « Paramètres », puis « Supprimer le compte », efface immédiatement votre compte, chaque profil de bébé qui vous appartient et tous leurs enregistrements. Vous pouvez aussi écrire à [email protected] depuis l'adresse de votre compte. Les copies présentes dans les sauvegardes chiffrées disparaissent avec la rotation habituelle, sous 30 jours.

Un hébergement dans l'UE veut-il dire que rien ne quitte jamais l'UE ?

Non, et prétendre le contraire serait trompeur. Apple facture les abonnements, RevenueCat gère les droits d'accès, Resend achemine les e-mails et Sentry reçoit les détails des plantages. Ces services reçoivent des identifiants, des adresses e-mail ou des données techniques, encadrés par les clauses contractuelles types — jamais les repas, le sommeil, la croissance ni les données de santé de votre bébé.

Une partie des données de ma famille sert-elle à la publicité ?

Non. Il n'y a aucune publicité ni identifiant publicitaire, et rien n'est vendu, loué ou partagé avec des annonceurs. Aucun profil publicitaire ou de suivi n'est construit sur vous ou sur votre enfant, et vos enregistrements ne servent jamais à entraîner des modèles d'IA.