Version courte : Tintee stocke un prénom, une humeur, votre petit monstre et vos groupes, en Europe, pour les gens que vous avez choisis, plus le mois de la bande (une humeur par jour, 13 mois), ce que vous collez sur le mur de votre bande, vos jeux et les autres éléments du tableau ci-dessous. Les données de jeu vivent peu, et les emotes du mur restent environ une semaine. Pas de pub, rien de vendu, pas de photos, et aucun pistage d’une app ou d’un site à l’autre. Rien à payer pendant la bêta : la boutique est gratuite. Nous comptons la façon dont l’app est utilisée, sans rien de ce que vous écrivez, en Europe, et vous pouvez couper cette mesure dans « moi ». Voici la version longue.
En vigueur le 23 octobre 2026 · politique version 1.4 (bêta). Écrite simplement exprès : si quelque chose n’est pas clair, écrivez-nous.
Tintee est un projet indépendant porté par son fondateur, établi en France, responsable du traitement. Les mentions de la société seront publiées ici dès son immatriculation. Contact : hello@tintee.app.
| Quoi | Détail et finalité | Durée |
|---|---|---|
| Compte | Un identifiant aléatoire créé par Firebase Authentication (connexion anonyme). Pas d’email, pas de numéro, pas de mot de passe. | Jusqu’à la suppression du compte, ou automatiquement après une période sans aucun signe de vie : 90 jours en général, jusqu’à 180 (voir la section 11) |
| Profil | Le prénom ou surnom que vous tapez. Les groupes dans lesquels vous êtes (quatre au plus). Le jour de votre dernière ouverture de l’app (la date seule, jamais l’heure, jamais la durée). | Jusqu’à la suppression du compte |
| Votre tint | Votre petit monstre en pâte : sa famille (une sur sept), et une forme, des yeux et un signe tirés de listes fermées. Sa couleur n’est pas stockée : elle vient de votre humeur. En saison, un costume d’une liste fermée (pour Halloween, une sorcière ou un vampire), si vous en mettez un. Votre groupe voit votre monstre, dans l’app et sur le widget. La couronne d’ÉCHO n’en fait pas partie : elle s’affiche en 👑 à côté de votre prénom. | Jusqu’à ce que vous le changiez ou supprimiez votre compte |
| Code de secours | Un code de 12 caractères affiché dans « moi » (aide et compte), qui permet de retrouver votre compte après une réinstallation ou un changement de téléphone. Nous n’en stockons qu’une empreinte à sens unique, jamais le code lui-même. Votre téléphone en garde une copie dans son stockage sécurisé, que votre plateforme peut synchroniser avec votre propre trousseau iCloud (Apple) ou votre sauvegarde Google (Android) pour qu’elle vous suive sur un nouveau téléphone. | Jusqu’à son utilisation ou son remplacement, ou jusqu’à la suppression du compte |
| Humeur | Votre humeur du moment (une sur dix) et l’heure. Si vous les ajoutez : un mot plus précis (parmi 160 mots fixes), sa force (de 1 à 3) et une raison (parmi 36 raisons fixes). Les versions précédentes de l’app pouvaient ajouter une note de trois mots au plus. Votre groupe voit votre humeur du moment avec ces précisions. Le widget peut montrer l’humeur et sa force, jamais le mot ni la raison. À partir de la version 0.9.23 de l’app, votre humeur porte aussi le décalage horaire de votre téléphone par rapport à UTC (par exemple « UTC+2 », jamais votre ville ni le nom de votre fuseau), gardé avec votre humeur du moment sur votre profil privé et jamais montré à votre groupe, pour que notre serveur range votre humeur au jour de votre téléphone dans la BD du dimanche et dans le mois de la bande. Il est remplacé à chaque nouvelle humeur et supprimé avec votre compte. | Jusqu’au prochain changement |
| Historique d’humeur | Un journal privé de vos propres humeurs, une entrée par jour (le jour de votre téléphone). À partir de la version 0.9.20 de l’app, un jour garde toutes les humeurs posées ce jour-là, dans l’ordre, répétitions comprises, 24 au plus (au-delà, la dernière est remplacée), chacune avec son mot précis quand vous en avez choisi un dans la liste fixe. L’entrée garde aussi le moment de son dernier changement, qui sert seulement à dater sa suppression : jamais l’heure de chaque humeur, jamais sa force, la raison ni la note, jamais rien de ce que vous avez tapé, jamais un groupe. Les versions précédentes ne gardaient que la dernière humeur du jour et le nombre de fois où vous l’aviez changée ; ces jours restent tels quels jusqu’à leur échéance. Vous seul pouvez le lire : jamais votre groupe, jamais un parent. L’app vous le montre dans « mes tints », par semaine, par mois ou par année, avec une courte phrase qui décrit votre semaine : jamais un chiffre, un pourcentage, un score, une moyenne ni une comparaison avec une autre période. Vous pouvez l’effacer à tout moment avec « effacer mes tints » (dans « mes tints » et dans « moi » › vie privée et sécurité) : il est supprimé de notre serveur tout de suite, et les humeurs posées ensuite commencent un nouvel historique. Votre humeur du moment reste sur le mur. « Effacer mes tints » retire aussi vos humeurs du mois de la bande et vos lignes de la BD du dimanche, dans tous vos groupes actuels ; le reste de la BD (les couronnes d’ÉCHO, qui a écrit le même mot d’ÉCHO, les paris justes et les signes reçus) expire de lui-même sous 16 jours (section 11). | 13 mois, puis supprimé automatiquement ; tout de suite avec « effacer mes tints » |
| Réponse d’ÉCHO | Votre mot du jour (un mot pour les trois dessins), la langue de votre app, l’heure de votre réponse, et le décalage horaire de votre téléphone par rapport à UTC (par exemple « UTC+2 », jamais votre ville ni le nom de votre fuseau). Caché à tous jusqu’à la révélation. Sont aussi gardés : votre vote (secret) et, pour votre groupe, qui a joué, qui a écrit le même mot que qui (sans le mot), les points et la couronne. Détails en section 3. | Décalage horaire : jusqu’à la fin des votes, le lendemain matin. Le reste : 8 jours après le jour du jeu, puis supprimé automatiquement. La couronne : jusqu’à la suivante |
| Image d’ÉCHO pour demain | L’image que vous choisissez pour l’ÉCHO du lendemain de votre groupe : une par personne, dans une liste fermée de six, jamais de texte, et combien de fois vous l’avez changée. Personne ne voit qui a choisi quoi : l’app montre seulement combien de personnes ont choisi. Une fois ce jour joué, le trio de votre groupe est gardé, sans aucun prénom. | 8 jours après le jour du jeu, puis supprimée automatiquement |
| Paris (« Tu me connais ? ») | Qui a parié, sur qui, le genre d’humeur deviné (une famille sur quatre), quand, si c’était juste, et le début de la journée de la personne qui parie tel que le téléphone l’a donné (ce qui révèle le décalage horaire du téléphone par rapport à UTC). Détails en section 3. | Un pari sans réponse prend fin au bout de 30 heures ; chaque pari est supprimé 8 jours après avoir été fait |
| Jeu « Gros comme ça » | Vos trois réponses du jour (de combien vous avez agrandi ou réduit l’objet, un nombre entier), les étoiles que notre serveur en tire (0 à 3 chacune) et quand vous avez répondu. Aucun texte libre ni aucun groupe, et pas de fuseau horaire conservé. Votre groupe ne voit vos réponses qu’après avoir joué lui-même les trois manches, et jamais si l’un de vous a bloqué l’autre. Détails en section 3. | Supprimées automatiquement 8 jours après le jour ; le résumé du groupe (qui a fini, qui a l’œil du jour) aussi |
| BD du dimanche | Pour chaque semaine et chaque membre du groupe : l’humeur la plus marquante de chaque jour (l’humeur, son mot précis et sa force, jamais la raison, la note ni l’heure), les couronnes d’ÉCHO, qui a écrit le même mot d’ÉCHO (sans le mot), combien de paris justes chacun a faits et combien de signes chacun a reçus (jamais qui les a envoyés). Un jour est le jour de votre téléphone à partir de la version 0.9.23 de l’app, le jour en UTC avec les versions précédentes. Gardé par notre serveur ; les membres du groupe peuvent le lire. | Jusqu’à 7 jours après la fin de la semaine partout dans le monde (16 jours au plus), puis supprimée automatiquement |
| Mois de la bande | Pour chaque mois et chaque membre du groupe : une humeur par jour, la même que montre la semaine de la BD (la plus marquante du jour). L’humeur seule : jamais son mot précis, sa force, la raison, la note ni l’heure. Un jour est le jour de votre téléphone (voir « Humeur ») ; avec les versions précédentes de l’app, le jour en UTC. Notre serveur l’écrit à partir des humeurs que vous postez dans ce groupe et le garde ; les membres actuels du groupe peuvent le lire, y compris une personne qui arrive plus tard, qui voit aussi les mois d’avant son arrivée. Rien n’est écrit pendant une pause en mode fantôme, et le jour de votre humeur du moment en est retiré au début de la pause. | Le mois en cours et les 12 précédents (398 jours au plus) : un mois est supprimé automatiquement quand commence le 13ᵉ mois qui le suit. Vos lignes sont supprimées tout de suite quand vous quittez le groupe, supprimez votre compte ou utilisez « effacer mes tints » |
| Mur | Les emotes et courtes phrases que vous collez sur le mur de votre groupe : une emote tirée de collections fermées, ou une phrase d’un à six mots tirés d’une liste fermée. Jamais de texte libre. Gardées avec l’identifiant de votre compte, leur place et le jour (en UTC). Votre groupe les voit. Détails en section 3. | Affichés environ une semaine, puis retirés ; entièrement supprimés sous 14 jours au plus |
| Fond du mur | Le fond du mur de votre groupe, choisi par un membre dans une collection fermée de murs. Seul le nom du mur est gardé, sur le groupe, jamais qui l’a choisi. Tout le groupe le voit, dans l’app et sur les widgets. | Tant que le groupe existe, ou jusqu’à ce qu’un membre en choisisse un autre |
| Boutique | Des fonds de mur et des emotes, tous issus de collections fermées. Pendant la bêta, toute la boutique est gratuite pour tout le monde : rien ne s’achète, et rien n’est enregistré sur votre compte quand vous utilisez un élément, sauf un compteur anti-abus effacé sous 24 heures. À la fin de la bêta, les testeurs garderont tout : la liste des éléments sera alors enregistrée sur leur compte. Détails en section 3. | Rien pendant la bêta ; ensuite, jusqu’à la suppression du compte |
| Liste d’attente tint+ | Si vous touchez « me prévenir » sur l’écran tint+ : la date de ce geste. Elle sert seulement à compter l’intérêt. Pas de paiement, pas de carte. | Jusqu’à la suppression du compte |
| Signes | Qui a envoyé quel petit signe (✌️, 🫂, 🤗 ou un autre de la liste fermée), quelle invitation (comme « ☕ on prend un café ? », l’une de huit phrases fixes) ou quelle réponse à qui dans votre groupe, et quand. Jamais de commentaire ni de texte libre. Une invitation dure 24 heures et on peut y répondre par l’une de trois réponses fixes (comme « carrément ! » ; les versions précédentes proposaient aussi « un autre jour ? », toujours affichée quand quelqu’un l’envoie) ; une réponse garde à quel signe ou à quelle invitation elle répond. Aucun décalage horaire de votre téléphone ne sert pour les signes ni les invitations. | Un signe ou une invitation : affiché 24 heures dans l’app ; on peut répondre à une invitation pendant 24 heures. Gardé 7 jours sur nos serveurs, puis supprimé automatiquement |
| Historique des échanges (sur votre téléphone seulement) | À partir de la version 0.9.13 de l’app, sur votre téléphone seulement, l’app garde 13 mois l’historique de vos échanges : qui a envoyé quel signe, quelle invitation ou quelle réponse, et quand. Ils apparaissent tout de suite dans « mes tints », et en même temps, pendant 24 heures, dans « signes & invitations ». À partir de la version 0.9.19, « signes & invitations » devient « activité » : ils y apparaissent 48 heures, dans l’« activité » du groupe concerné, et l’app se sert aussi de cet historique, sur votre téléphone, pour montrer votre dernier échange avec quelqu’un sur sa fiche et à quel signe une réponse répond. Cet historique ne quitte jamais votre téléphone : il n’est jamais envoyé sur nos serveurs et reste hors des sauvegardes du téléphone. Les échanges les plus anciens d’un mois très chargé peuvent partir plus tôt. Il est perdu si vous réinstallez l’app ou changez de téléphone, et effacé quand vous supprimez votre compte sur ce téléphone ou touchez « effacer mon historique des échanges » dans « moi ». Les échanges que vous avez eus avec d’autres restent dans leur propre historique, sur leur téléphone. | 13 mois sur ce téléphone, puis supprimé automatiquement |
| Groupe | Le nom du groupe, son type (amis / famille / proches), ses membres (8 au plus ; certains groupes plus anciens en ont jusqu’à 20) et son lien d’invitation. À partir de la version 0.9.20 de l’app, tout membre peut renommer le groupe : notre serveur vérifie le nouveau nom (30 caractères au plus, aucun mot de notre liste de blocage) et garde l’heure du dernier renommage, pour qu’un groupe ne soit renommé qu’une fois par minute au plus. On ne garde jamais qui l’a renommé. Tout le groupe voit le nouveau nom, dans l’app et sur les widgets. | Tant que le groupe existe |
| Appareil | Un jeton de notification push, la plateforme (iOS / Android) et le son des notifications choisi dans « moi », utilisés pour rafraîchir votre widget en silence quand un membre change d’humeur, et pour quelques notifications visibles : un signe ou une invitation qu’on vous envoie (son prénom en titre et la phrase fixe du geste ou de l’invitation en texte, comme « ☕ on prend un café ? », avec le son choisi dans « moi », ou en silencieux), une réponse à votre invitation (son prénom, l’emoji de l’invitation et la réponse choisie, en une phrase fixe, comme « ☕ carrément ! »), le fait qu’un·e ami·e sur qui vous avez parié vient de poster (une notification discrète titrée « ton pari », avec une phrase fixe et son prénom : « Léa vient de poster : tu connaissais ta bande ? », jamais son humeur ni si vous aviez raison), et le fait que des ami·es ont parié sur vous alors que vous n’avez pas encore posté (une notification discrète titrée « tu me connais ? », avec leurs prénoms dans une phrase fixe, comme « Alex et Léa ont parié sur ton réveil 👀 », jamais ce qui a été parié ; une seule à la fois, remplacée à chaque nouveau pari). À partir de la version 0.9.19 de l’app, une réponse à l’un de vos signes ou de vos invitations dit à quoi elle répond (comme « a répondu « merci » à ton ✌️ »), et la notification d’un signe montre aussi le nom du groupe et le portrait neutre du petit monstre de l’expéditeur, jamais son humeur (section 8). Vous pouvez couper chacune de ces quatre notifications dans « moi » : une réponse à votre invitation suit le réglage des signes, et un pari sur vous celui des paris. Le feu vert d’un parent, pour un·e mineur·e qui l’attend, ne peut pas être coupé dans « moi ». Une notification ne montre jamais ni humeur ni note. | Jusqu’à la déconnexion ou la suppression du compte |
| Feu vert parent | Quand un parent approuve un compte : le code, l’identifiant du compte qui approuve, et les horodatages. Jamais l’âge saisi à l’inscription, jamais de date de naissance. | Tant que le compte de l’enfant existe |
| Notice de modération | Quand un humain de Tintee statue sur un signalement ou retire un contenu : un message dans l’app de la personne concernée (ce qui a été fait, la règle, la date, comment contester) ou de la personne qui a signalé (traité, avec ou sans mesure). Des codes fermés seulement : jamais le contenu, jamais qui a signalé. | 183 jours, puis supprimée automatiquement ; supprimée avec le compte |
| Signalement | Quand un membre signale un autre membre, un mot d’ÉCHO ou un élément du mur : qui a signalé qui, le groupe, le motif (dans une courte liste fermée) et une copie de ce qui est signalé (une note, un élément du mur ou le mot d’ÉCHO) pour qu’un humain puisse vérifier. Aucun autre texte libre. | 90 jours, puis supprimé automatiquement |
| Mesure d’usage | Des événements sur ce que vous faites dans l’app, et quelques faits sur votre usage (plateforme, langue, taille du groupe). Jamais ce que vous écrivez, jamais rien de votre humeur. Rattaché à votre identifiant de compte aléatoire, jamais à un nom. Traitement par PostHog, sur des serveurs européens. Active par défaut ; vous pouvez la couper dans « moi » (« aider à améliorer tintee ») à tout moment, sans que rien d’autre ne change. Détails en section 5. | 14 mois au plus |
| Disponibilité (versions précédentes) | Un mot que vous pouviez afficher à côté de votre couleur (« dispo pour parler » ou « plutôt au calme ») dans le ou les groupes choisis. C’est vous qui le posiez : il n’est jamais déduit de votre humeur ni de votre activité. En cours de retrait : voir la section 13. | Affiché une heure, puis supprimé automatiquement sous 24 h |
| Mot de la semaine (versions précédentes) | Le dimanche soir, si vous le vouliez, un des dix mots d’humeur pour votre semaine (jamais un texte libre) et le jour où vous l’avez choisi. Seuls les membres de votre groupe qui avaient choisi le leur cette semaine-là pouvaient le voir. Remplacé par la BD du dimanche : voir la section 13. | Jusqu’à 7 jours après la fin de la semaine (14 jours au plus), puis supprimé automatiquement |
| Souvenirs (versions précédentes) | Désactivés par défaut (« souvenirs à deux » dans les réglages de ces versions). Quand vous demandiez à garder un signe reçu et que la personne qui l’avait envoyé acceptait : le geste, qui l’a envoyé à qui, et quand. Jamais une humeur, une note ni une photo. Seules les deux personnes concernées le voient. L’une ou l’autre peut le retirer à tout moment, pour les deux, et personne n’est prévenu ; il part aussi si l’une des deux bloque l’autre, quitte le groupe ou supprime son compte. En cours de retrait : voir la section 13. | Une demande sans réponse : 7 jours. Un souvenir gardé : 365 jours. Puis supprimé automatiquement |
À propos de la suppression automatique. Quand le tableau dit « supprimé automatiquement », les serveurs de Google suppriment l’élément d’eux-mêmes après cette date, en général dans la journée qui suit. D’ici là, l’app ne le montre plus.
L’app ne demande jamais votre email, votre numéro de téléphone, votre vrai nom ni votre date de naissance (le prénom ou surnom que vous tapez suffit), et ne collecte jamais votre position, vos photos, vos contacts, ni quoi que ce soit venant d’autres apps. Elle ne demande pas à utiliser votre appareil photo, votre photothèque ni votre micro. L’app n’embarque aucun SDK de publicité. Seule la bêta Android a besoin d’une adresse e-mail, celle de votre compte Google, gardée hors de l’app (section 12).
Chaque jour, votre groupe reçoit trois dessins et chacun écrit un mot pour les trois. Après avoir joué, chaque membre peut choisir une image, dans une liste fermée de six, pour le lendemain : les choix du groupe forment le trio du lendemain, complété par l’app. Personne ne voit qui a choisi quoi. Avant tout enregistrement, notre serveur vérifie le mot dans la langue de votre app : il refuse les liens, les pseudos, les chiffres, les noms de messageries et les mots de nos listes de blocage. C’est le seul texte libre de l’app.
Votre réponse reste cachée, même à votre groupe, jusqu’à la révélation : quand tous les membres actifs du groupe ont joué, ou à 20 h chez vous. Pour savoir quand il est 20 h chez vous, l’app envoie avec votre réponse le décalage horaire de votre téléphone par rapport à UTC (par exemple UTC+2). Nous ne collectons ni le nom de votre fuseau ni l’endroit où vous êtes. Le décalage est retiré à la fin des votes, le lendemain matin, et de toute façon avec votre réponse au bout de 8 jours. Comme votre mot apparaît à 20 h chez vous, les membres de votre groupe pourraient deviner à peu près votre fuseau.
Seuls les membres de votre groupe qui ont joué voient les mots, et jamais ceux d’une personne qu’ils ont bloquée ou qui les a bloqués. Tout le groupe voit qui a joué, qui a fait écho à qui (sans le mot), les points et la couronne du jour, qui reste sur la scène jusqu’à la suivante. Les votes sont secrets. La carte d’ÉCHO que vous pouvez partager est fabriquée sur votre téléphone : un numéro, des carrés de couleur et un compte. Jamais un mot ni un prénom.
Ce que le monde a dit. Si votre mot fait partie du dictionnaire des mots courants de votre langue, nous ajoutons un au compte mondial de ce mot, sans prénom, sans compte et sans groupe. Un mot n’est montré qu’une fois donné par au moins 25 joueurs ; les mots hors du dictionnaire ne sont jamais comptés, pas plus que les mots d’un jour où votre groupe a joué un trio qu’il avait choisi lui-même. Ces comptes sont supprimés 8 jours après le jour du jeu.
Copie de modération. Si vous quittez un groupe ou supprimez votre compte, une copie invisible d’un mot d’ÉCHO que d’autres joueurs pouvaient déjà voir est gardée 72 heures au plus, uniquement pour qu’un signalement puisse encore être traité ; elle est ensuite supprimée automatiquement. Un mot que personne ne pouvait voir ne laisse aucune copie. Quand un parent retire son feu vert, aucune copie n’est faite et les copies dans les groupes actuels de l’enfant sont supprimées ; une copie faite dans les 72 heures précédentes, dans un groupe que l’enfant avait déjà quitté, expire d’elle-même.
Tant qu’un membre de votre groupe n’a pas encore posté son humeur aujourd’hui, vous pouvez deviner quel genre d’humeur il va poster : plein d’énergie et bien, plein d’énergie et pas bien, calme et bien, ou calme et à plat. Vous voyez vos propres paris. La personne sur qui vous avez parié en est prévenue avant de poster, par une notification discrète avec les prénoms de celles et ceux qui ont parié sur elle, dans l’ordre des paris (jamais ce qui a été parié) : « Alex a parié sur ton réveil 👀 », puis « Alex et Léa ont parié… », jusqu’à trois prénoms, puis deux et le nombre des autres (« Alex, Léa et 2 autres ont parié… »). Il n’y a qu’une notification de ce type à la fois, remplacée à chaque nouveau pari, et une personne qu’elle a bloquée ou qui l’a bloquée n’est jamais nommée ni comptée. Une fois qu’elle a posté, elle voit dans l’app qui a parié et si c’était juste. Quand elle poste, vous recevez une notification discrète avec son prénom, jamais son humeur ni si vous aviez raison. Vous pouvez couper ces deux notifications dans « moi », d’un seul réglage. La BD du dimanche montre au groupe combien de paris justes chacun a faits dans la semaine. Un pari resté sans réponse au bout de 30 heures prend simplement fin ; chaque pari est supprimé au bout de 8 jours.
Chaque jour, tout le monde a les trois mêmes manches : deux objets côte à côte, et vous mettez l’un des deux à sa vraie taille à côté de l’autre. Les objets sont des images fournies avec l’app : le jeu n’utilise jamais votre appareil photo ni vos photos. Chaque réponse part avant que vous voyiez la vérité ; notre serveur garde vos trois réponses et calcule vos étoiles. Votre partie vaut pour tous vos groupes. Les membres d’un groupe voient les réponses et les étoiles des autres seulement après avoir joué eux-mêmes les trois manches, jamais celles de quelqu’un qu’ils ont bloqué ou qui les a bloqués ; le groupe voit qui a fini et qui a « l’œil du jour » (meilleur total, le premier à finir l’emporte en cas d’égalité). Votre partie et le résumé du groupe sont supprimés automatiquement 8 jours après le jour, et tout de suite si vous supprimez votre compte ; si vous quittez un groupe, vous disparaissez de son résumé. La carte que vous pouvez partager est fabriquée sur votre téléphone : un numéro et des étoiles. Jamais un objet, un score ni un prénom.
Pendant la semaine, notre serveur garde un court résumé pour le groupe (les éléments listés dans le tableau), et le dimanche, l’app le transforme en BD. Les membres du groupe peuvent le lire pendant 16 jours au plus. Une personne qui quitte le groupe ou supprime son compte en est retirée.
« Garder dans l’album » enregistre la BD sur votre téléphone seulement : jusqu’à 52 BD, avec les humeurs et les mots montrés dans les cases et les identifiants de compte des personnes qui y figurent (jamais leurs prénoms, que l’app retrouve quand vous ouvrez l’album). Elle reste jusqu’à ce que vous vidiez l’album, vous déconnectiez ou supprimiez votre compte, même si l’une de ces personnes supprime ensuite le sien ; les sauvegardes du téléphone peuvent en garder une copie. « Partager ma case » fabrique une image de votre seule case, sur votre téléphone ; nous ne la recevons jamais.
À partir de la version 0.9.23 de l’app, les membres d’un groupe peuvent revoir ses mois : pour chaque personne, une couleur par jour (le jour de son téléphone), l’humeur que la semaine de la BD montrait ce jour-là. Notre serveur garde le mois en cours et les 12 précédents (398 jours au plus) : l’humeur seule, jamais le mot, la force, la raison, la note ni l’heure ; et les membres actuels du groupe peuvent les lire, y compris une personne qui arrive plus tard, qui voit alors aussi les mois d’avant son arrivée. Un jour sans humeur reste vide : le mois ne compte jamais les jours, ne compare personne et ne classe personne. L’app ne montre aucune ligne pour une personne en pause en mode fantôme, tant que la pause dure. Une personne qui quitte le groupe, supprime son compte ou utilise « effacer mes tints » en est retirée tout de suite ; le mode fantôme retire le jour de son humeur du moment et n’écrit rien tant qu’il dure, et ses jours précédents restent ; à son retour, son humeur du moment compte pour ce jour-là.
En bref : les monstres de votre bande se posent sur un mur partagé, et ce que vous y collez reste environ une semaine. En détail : le mur montre les emotes et courtes phrases que le groupe y a collées. Une emote vient de collections fermées ; une phrase compte un à six mots tirés d’une liste fermée : il n’y a aucun texte libre sur le mur. Un groupe a 12 éléments au plus, et chacun entre 2 et 6, selon la taille du groupe ; quand vous êtes à votre limite, votre nouvel élément remplace votre plus ancien. Un élément s’affiche jusqu’au début du septième jour après sa pose (jours comptés en UTC), soit entre six et sept jours écoulés, pas 168 heures garanties. Les éléments périmés sont retirés quand le mur change ; l’enregistrement partagé peut durer jusqu’à 14 jours après le jour d’un élément ancien, et la suppression physique est asynchrone. Vous pouvez retirer votre propre élément, et la personne qui a créé le groupe peut retirer n’importe lequel. Vous pouvez signaler un élément.
Le fond du mur. Chaque membre peut choisir le fond du mur du groupe dans une collection fermée de murs. Seul le nom du mur est gardé, sur le groupe (jamais qui l’a choisi), et tout le groupe le voit, dans l’app et sur les widgets. Les étagères où se posent les monstres de la bande sont dessinées par l’app : rien n’est stocké sur la place de votre monstre.
« Mes aimants » garde vos 60 derniers éléments, en privé sur votre téléphone, avec l’heure où vous avez collé chacun, mais sans référence de groupe, prénom ni élément d’une autre personne. Une empreinte locale du compte lie cette galerie à vous. Il n’y a pas de durée fixe : les éléments restent jusqu’à leur remplacement par de plus récents, l’effacement de la galerie, ou un changement ou une suppression de compte. Retirer un élément du mur ne retire pas cette copie locale, et vider la galerie ne retire pas l’élément du mur. Tintee ne synchronise pas la galerie entre appareils ; les sauvegardes du téléphone peuvent conserver le stockage local ordinaire, et une panne de stockage peut laisser des copies résiduelles.
En bref : pendant la bêta, la boutique est gratuite pour tout le monde et rien ne s’achète. En détail : la boutique propose des fonds de mur et des emotes, tous issus de collections fermées. Pendant la bêta, chaque élément est gratuit pour tout le monde : pas de prix, pas de bouton d’achat, et l’app ne se connecte pas à l’App Store ni à Google Play pour vendre quoi que ce soit. Utiliser un élément gratuit n’enregistre rien sur votre compte, sauf un compteur anti-abus effacé sous 24 heures (section 13) : un fond de mur est gardé sur le groupe (ci-dessus), une emote avec l’élément du mur. À la fin de la bêta, les testeurs garderont tout : la liste des éléments sera alors enregistrée sur leur compte, jusqu’à la suppression de ce compte.
Des achats sont prévus plus tard, uniquement par l’App Store ou Google Play : ce sont eux qui gèrent le paiement, et nous ne verrions jamais votre carte. Avant toute ouverture de la vente, cette politique sera mise à jour pour dire exactement ce qui est gardé.
tint+ est une future option pour tout le groupe. Pour l’instant, ce n’est qu’une liste d’attente : si vous touchez « me prévenir », nous enregistrons la date de ce geste sur votre compte, pour compter combien de personnes sont intéressées. Pas de paiement, pas de carte.
Sur tintee.app/fr/echo, n’importe qui peut jouer l’ÉCHO du jour dans un navigateur, sans compte.
Pour savoir si Tintee fonctionne vraiment pour les gens, l’app enregistre des événements sur ce que vous y faites, à mesure que chaque fonction s’allume. Par exemple : si l’inscription s’est faite seul·e ou avec l’accord d’un parent (jamais l’âge), un compte a été créé, supprimé ou récupéré, un groupe a été créé ou rejoint, une humeur a été postée (jamais laquelle), un mot précis a été choisi (pas lequel), un pari a été fait ou s’est révélé juste, ÉCHO a été joué, révélé, voté ou sa carte partagée, « Gros comme ça » a été joué ou sa carte partagée, la BD du dimanche a été ouverte ou une case partagée, un élément a été collé au mur, « me prévenir » a été touché pour tint+, l’apparence d’un tint a été changée, un lien d’invitation a été ouvert ou envoyé, un widget a été posé, un signe a été envoyé, une notification est arrivée, le mode fantôme a été activé ou coupé, un palier de série a été atteint, quelqu’un a été signalé (avec le motif de la liste fermée) ou bloqué. Chaque événement porte aussi votre plateforme (iPhone ou Android), la langue de l’app, la tranche de taille de votre groupe et si vous utilisez un widget ou une bulle.
La mesure ne contient aucune information sur votre humeur : ni l’humeur postée, ni si elle était joyeuse, calme ou sombre, ni son intensité, ni votre raison. Ces événements ne contiennent jamais votre prénom, rien de ce que vous écrivez ou choisissez comme mot (mots d’humeur, raisons, mots d’ÉCHO), la personne sur qui vous avez parié, ce qu’il y a sur votre mur, ni aucun message. Aucun identifiant publicitaire, aucun enregistrement d’écran, aucune position. Ils sont rattachés à votre identifiant de compte aléatoire et à un code tiré de votre groupe actif (jamais son nom ni ses membres), pour comparer les groupes entre eux. Ils sont traités par PostHog sur des serveurs de l’Union européenne, réglés pour jeter les adresses IP, et gardés 14 mois au plus.
La mesure est active par défaut. Vous pouvez la couper à tout moment dans « moi » (« aider à améliorer tintee »), en un tap ; rien d’autre ne change dans l’app. Elle ne démarre qu’après la vérification de l’âge : un âge refusé n’est jamais compté, et le téléphone d’un parent qui ne sert qu’à donner un feu vert n’est jamais compté. Sur iPhone, les versions antérieures à la 0.9.6 n’envoient aucun de ces événements ; depuis la version 0.9.6, l’app iPhone les envoie comme l’app Android, sous le même interrupteur. Depuis la version 0.9.6, les événements disent aussi qu’un jeu a été ouvert (et s’il restait une partie à jouer ce jour-là), qu’une manche de « Gros comme ça » a été jouée, qu’un jeu vous a remontré un contenu déjà vu (jamais lequel : seulement l’écart approximatif en jours, comparé sur votre téléphone), qu’une image d’ÉCHO a été choisie pour le lendemain, et quelle formule de question un pari utilisait ; et chaque événement porte l’ancienneté de votre compte, par tranche (par exemple « entre 8 et 13 jours »), jamais la date. Sur Android, les versions 0.4.0 et antérieures enregistrent la grande famille d’une humeur postée (positive, neutre ou sombre) et, depuis la version 0.3.13, celle du mot de la semaine, tant qu’elles ne sont pas mises à jour ; à partir de la version 0.4.1, ce n’est plus le cas, et ce qui a déjà été enregistré reste jusqu’à la fin de sa conservation. Quand vous supprimez votre compte, les événements déjà envoyés ne sont pas effacés chez PostHog : ils restent jusqu’à la fin de leur conservation (un an aujourd’hui), rattachés à un identifiant qui ne désigne plus personne.
Provenance de l’installation (Android). À la création du compte, seulement après la vérification d’âge et tout feu vert parental nécessaire, l’app peut compter une seule fois la provenance de l’installation si la mesure d’usage est active. Elle envoie seulement une catégorie d’une liste fermée (invitation, TikTok, Instagram, YouTube, Reddit, créateur, site, autre, organique ou indisponible), jamais les informations brutes d’installation, le code de campagne ni l’identifiant d’invitation. La jonction à un groupe peut aussi être comptée par parcours : lien, code saisi, installation ou collage.
Sur la page d’invitation, toucher « INSTALLER AVEC L’INVITATION » transmet l’identifiant d’invitation à Google Play avec le lien d’installation. Avant ce geste, il reste dans la partie du lien Tintee après #, qui n’est envoyée ni au serveur du site ni aux aperçus de liens. Sur Android, au premier lancement, l’app demande à Google Play les informations d’installation (Play Install Referrer). Elle n’y cherche qu’une invitation Tintee et une grande catégorie de provenance. L’app ne conserve sur disque ni le referrer brut, ni ses textes de source ou de campagne, ni l’identifiant d’invitation issu de ce relais, et ne journalise ni ne transmet ces valeurs à la mesure. L’invitation reste en mémoire pour proposer de rejoindre le groupe ; l’accepter envoie l’identifiant à notre service de jonction, comme d’habitude. Google Play traite et conserve les informations d’installation selon ses propres règles.
L’app lit le presse-papiers uniquement quand vous touchez « COLLER », jamais au lancement. Selon votre système et ses réglages, votre téléphone peut demander une autorisation. Vous pouvez aussi saisir ou coller vous-même l’invitation, ou retoucher le lien reçu après l’installation. La vérification d’âge et tout feu vert parental nécessaire précèdent toujours la jonction.
Les liens de campagne de ce site peuvent contenir un code court de campagne. Sur l’accueil et les pages d’audience, un code valide est ajouté au bouton d’installation Google Play dans votre navigateur et n’est envoyé à Google que lorsque vous suivez ce lien. Ce site ne stocke aucune information de campagne, ne pose aucun cookie et n’envoie aucune mesure d’audience. Le code n’est pas transmis aux autres pages.
Si l’app plante ou rencontre une erreur, un rapport technique peut être envoyé à Firebase Crashlytics (Google), pour que nous puissions corriger le problème. Il contient : l’endroit de notre code où l’erreur s’est produite, le type d’erreur, la version de l’app, l’heure, le modèle du téléphone et la version du système, le niveau de batterie, si le téléphone est rooté ou jailbreaké, si l’app était à l’écran ou en arrière-plan et, sur Android quand l’app s’est figée, ce que faisait chaque partie de l’app à ce moment-là. Il est rattaché à l’identifiant d’installation Firebase de l’app sur votre téléphone (le même que pour les notifications) ; Google voit votre adresse IP à l’arrivée du rapport.
Un rapport de plantage ne contient jamais votre identifiant de compte, votre prénom, vos humeurs, vos mots ni votre groupe. Nous nous engageons à ne jamais recouper un rapport de plantage avec un compte. Les rapports suivent le même interrupteur que la mesure d’usage : actif par défaut, coupé en un tap dans « moi » (« aider à améliorer tintee »), et rien ne part avant la vérification de l’âge. Le couper efface aussi les rapports en attente sur votre téléphone. Crashlytics garde les rapports 90 jours ; comme ils ne sont pas rattachés à votre compte, supprimer votre compte ne les efface pas, et ils disparaissent au bout de ces 90 jours.
À l’inscription, l’app demande votre âge, et ne le stocke jamais. Sur iPhone (Declared Age Range d’Apple) et sur Android (Play Age Signals de Google), elle peut aussi demander à l’App Store ou à Google Play la tranche d’âge qu’ils connaissent et, pour un·e ado supervisé·e, si un parent a donné son accord. L’app utilise la réponse sur votre téléphone seulement, pour décider : s’inscrire seul·e, demander à un parent, ou pas maintenant. Elle ne stocke jamais la tranche d’âge, la façon dont elle a été déclarée ni aucun identifiant du store, et ne les envoie jamais ni à nous ni à la mesure. Si la réponse est « moins de 13 ans », le téléphone retient seulement qu’il doit attendre 24 heures avant de redemander.
Chez Google Firebase (Google LLC et Google Ireland Ltd, sous-traitant), dans la région europe-west1 (Belgique). Google peut traiter certaines données hors UE dans le cadre des clauses contractuelles types de la Commission européenne. Les notifications push passent par les services d’Apple (iOS) et de Google (Android) ; elles ne contiennent jamais ni humeur ni note. La plupart ne sont qu’un signal silencieux pour rafraîchir le widget. Celles que vous voyez sont un signe ou une invitation (le prénom de l’expéditeur et la phrase fixe du geste ou de l’invitation, avec le son choisi), une réponse à votre invitation (le prénom, l’emoji de l’invitation et la réponse choisie, comme « ☕ carrément ! »), un pari (le prénom de l’ami·e dans une phrase fixe, jamais son humeur ni si vous aviez raison), un pari sur vous (les prénoms de celles et ceux qui ont parié, dans une phrase fixe, jamais ce qui a été parié) et le feu vert d’un parent. Votre code de secours vit dans le stockage sécurisé de votre téléphone ; si vous utilisez le trousseau iCloud (Apple) ou la sauvegarde Google (Android), votre plateforme le synchronise sous votre propre compte pour qu’il vous suive sur un nouveau téléphone. Nous ne voyons jamais cette copie.
Notifications de signes, à partir de la version 0.9.19. La notification d’un signe montre le prénom de l’expéditeur, le nom du groupe, le geste ou l’invitation et, pour une réponse, le signe ou l’invitation auquel elle répond. Elle montre aussi le portrait neutre du petit monstre de l’expéditeur, dessiné sur votre téléphone à partir de sa seule famille, jamais son humeur. Pour être livrée, elle passe par Apple et Google, comme avant. Le message porte le prénom, le geste et deux références opaques (des codes brouillés, celui du groupe différent pour chaque personne) qui permettent à votre téléphone de retrouver le groupe et de ne pas montrer deux fois le même signe : jamais d’identifiant de compte, de groupe ou de signe en clair, et jamais d’humeur. Le nom du groupe et le portrait sont ajoutés sur votre téléphone. Sur iPhone, la notification s’affiche comme une conversation : iOS la garde sur vos appareils Apple et peut s’en servir, par exemple pour ses suggestions ou l’Annonce des notifications ; vous pouvez le limiter dans les réglages de l’iPhone, options Siri de Tintee (Réglages › Apps › Tintee › Siri sur les iOS récents), et l’affichage en conversation comme l’Annonce des notifications se règlent dans les Notifications de l’iPhone. Sur Android, l’app dessine elle-même la notification, une conversation par personne et par groupe, et retient sur votre téléphone, pendant 8 jours, les signes déjà montrés, par leurs seules références opaques. Quand vous quittez un groupe, l’app efface de votre téléphone ses notifications et demande à iOS d’effacer ses conversations ; si l’app était fermée, cela se fait à sa prochaine ouverture. Quand vous vous déconnectez ou supprimez votre compte, l’app les efface toutes et demande à iOS d’effacer toutes ses conversations.
Les autres entreprises qui traitent des données pour nous.
Nos fonctions serveur tournent sur Google Cloud (Cloud Run), en Belgique. Comme presque tous les services web, Google écrit une ligne de journal technique pour chaque requête qui leur arrive : depuis l’app, depuis un widget qui se rafraîchit ou depuis la page ÉCHO web. Cette ligne contient l’adresse IP de votre téléphone ou de votre navigateur, l’heure, l’adresse demandée et le type d’appareil ou de navigateur. Ces journaux sont gardés 30 jours, puis supprimés. Nous ne nous en servons que pour faire tourner le service et le protéger, pas pour suivre ce que vous faites.
Ce site. Il est hébergé par Firebase Hosting (Google). Ses polices (Archivo Black et Space Grotesk) sont servies par le site lui-même : aucune page ne charge quoi que ce soit depuis Google Fonts ni depuis une autre entreprise.
Pour réparer un accident, Google garde des sauvegardes quotidiennes de notre base de données pendant 14 jours, et peut la remettre dans l’état de n’importe quel moment des 7 derniers jours. Une sauvegarde est une copie figée : un compte ou un élément supprimé aujourd’hui peut encore exister dans les sauvegardes jusqu’à leur expiration, 14 jours au plus, puis il disparaît. Nous ne nous servons d’une sauvegarde que pour réparer le service et, si nous devions en restaurer une, nous supprimerions à nouveau ce qui avait été supprimé.
Tintee s’adresse aux 13 ans et plus, partout : nous n’acceptons pas d’utilisateurs de moins de 13 ans. Dans l’Union européenne, les jeunes sous l’âge du consentement numérique de leur pays (15 ans en France) ne peuvent utiliser Tintee qu’après l’approbation d’un parent ou responsable légal par un code à usage unique ; le parent peut retirer ce feu vert à tout moment, ce qui supprime le compte. L’âge saisi à l’inscription n’est jamais stocké, pas plus que la tranche d’âge donnée par les stores (section 6).
Vous pouvez demander l’accès, la rectification, l’export ou la suppression de vos données, ou vous opposer à un traitement, en écrivant à hello@tintee.app. Nous répondons sous 30 jours. Supprimer votre compte efface votre profil, votre monstre, vos humeurs, votre historique d’humeur, vos signes et invitations, vos réponses, votes et choix d’images d’ÉCHO, les paris que vous avez faits et ceux faits sur vous, vos parties de « Gros comme ça », vos lignes de la BD du dimanche et du mois de la bande, vos éléments du mur, les éléments de boutique de votre compte, votre date de liste d’attente, vos mots de la semaine, votre disponibilité, vos souvenirs, vos notices de modération, vos jetons d’appareil, votre code de secours et, si vous êtes mineur·e, le feu vert parent. Seule exception : une copie de modération des mots d’ÉCHO déjà vus par d’autres, effacée sous 72 heures (section 3). Un fond de mur que vous avez choisi reste sur le mur de votre groupe : il ne dit pas qui l’a choisi. L’app efface aussi ses copies sur votre téléphone (l’album de BD, « Mes aimants », l’historique des échanges, les notifications de signes et, sur iPhone, les conversations qu’iOS en a gardées) ; les sauvegardes du téléphone peuvent garder d’anciennes copies. Les événements de mesure déjà envoyés à PostHog ne sont pas effacés : ils restent jusqu’à la fin de leur conservation, rattachés à un identifiant qui ne désigne plus personne (section 5). Les rapports de plantage ne sont pas rattachés à votre compte et disparaissent au bout de 90 jours (section 5). Les journaux des serveurs sont supprimés au bout de 30 jours, et les sauvegardes de la base au bout de 14 jours au plus (section 8). Vous pouvez aussi saisir la CNIL.
Effacer seulement votre historique d’humeur. À partir de la version 0.9.20 de l’app, « effacer mes tints » (dans « mes tints » et dans « moi » › vie privée et sécurité) supprime tout de suite de notre serveur tout votre historique d’humeur, chacun de ses jours, quelle que soit la version de l’app qui l’a écrit. Il retire aussi vos humeurs du mois de la bande et vos lignes de la BD du dimanche, dans chacun de vos groupes actuels. Rien d’autre n’est effacé : votre compte, votre humeur du moment sur le mur et vos groupes restent. Le reste de la BD de la semaine (les couronnes d’ÉCHO, qui a écrit le même mot d’ÉCHO, les paris justes et les signes reçus) n’est pas effacé : il expire de lui-même sous 16 jours, et vos lignes y sont supprimées avec votre compte. Les BD que des membres ont déjà gardées dans l’album de leur téléphone (copies locales) ne sont pas effacées non plus. Les sauvegardes de la base peuvent en garder une copie 14 jours au plus (section 8). Les humeurs posées ensuite, sur n’importe lequel de vos téléphones, commencent un nouvel historique. Une demande d’accès ou d’export de vos données par mail comprend votre historique d’humeur (pour chaque jour, ses humeurs dans l’ordre, avec leurs mots), vos jours du mois de la bande et le décalage horaire gardé avec votre humeur du moment.
Désinstaller l’app ne supprime pas votre compte. Votre prénom et votre dernière humeur resteraient sinon visibles pour votre groupe. Donc : un compte qui ne donne aucun signe de vie pendant 90 jours (pas ouvert, aucune humeur publiée, aucune connexion rafraîchie) et n’a plus aucun appareil enregistré pour les notifications est supprimé automatiquement, avec tout ce qui va avec. Un appareil resté muet 180 jours ne compte plus comme enregistré : en pratique, la suppression arrive entre 90 et 180 jours. Pour garder votre compte quand vous réinstallez ou changez de téléphone, utilisez le code de secours de « moi ». Un compte parent qui couvre encore le compte d’un enfant n’est jamais supprimé automatiquement.
Signalements. Un signalement est conservé 90 jours, le temps qu’un humain s’en occupe, puis supprimé automatiquement. Il contient une copie de ce qui est signalé (une note, un élément du mur ou un mot d’ÉCHO) pour cette vérification. Chaque signalement nous envoie aussi un mail d’alerte qui ne contient que l’identifiant du signalement et son motif. Jamais le contenu, jamais les personnes concernées. Un signalement n’est pas supprimé quand la personne qui signale ou la personne signalée supprime son compte : c’est la trace d’une modération, pas un élément du profil. Les signalements et réclamations reçus par mail sont gardés 6 mois après notre décision, puis supprimés de notre boîte.
Sur Android, le test fermé a besoin de l’adresse e-mail de votre compte Google, celle que vous utilisez sur Google Play. Cette adresse est gardée dans la liste de testeurs de la Play Console et dans le groupe Google décrit ci-dessous (jamais dans la base de données de l’app ni dans notre code), et elle est supprimée à la fin de la bêta. Sur iPhone, vous rejoignez le test vous-même par le lien public TestFlight d’Apple (voir les étapes sur l’accueil) : vous ne nous donnez aucune adresse e-mail. Apple gère l’inscription, et nous ne voyons que ce qu’App Store Connect nous affiche sur les testeurs. Si vous nous écrivez, votre message reste dans notre boîte mail. Google et Apple traitent les listes de testeurs de la Play Console ou d’App Store Connect selon leurs propres politiques de confidentialité. Rien d’autre ne change pour vous : dans l’app, vous êtes un compte anonyme comme tout le monde.
Sur Android, vous rejoignez le test vous-même (voir les étapes sur l’accueil) par le groupe Google tintee-testers. Sa liste de membres n’est visible que par les gestionnaires du groupe (nous) : les membres ne se voient pas entre eux, et personne d’autre que les propriétaires n’y publie ni n’y lit. Google héberge cette liste, et ses propres règles s’y appliquent. Nous retirons les adresses du groupe à la fin de la bêta, ou plus tôt sur simple demande à hello@tintee.app. Vous pouvez aussi quitter le groupe vous-même pour quitter le test.
En bref : les anciennes fonctions s’éteignent à leur rythme normal, et quelques éléments ne sont gardés que sur votre téléphone. Les précisions ci-dessous sont plus techniques.
Les versions précédentes de l’app avaient des jeux hebdomadaires, le mot de la semaine, la disponibilité et les souvenirs. La version 1 les remplace par ÉCHO et la BD du dimanche. Tant que des versions précédentes sont utilisées, les lignes du tableau et les précisions ci-dessous restent valables, et les données existantes expirent à leur rythme normal. La version 1 n’affiche plus les souvenirs : pour en retirer un avant son expiration, bloquez la personne, supprimez votre compte ou écrivez à hello@tintee.app.
Les jeux hebdomadaires (une phrase collective, un rébus, un intrus, un duel et un jeu coopératif) demandent un choix explicite de participation chaque semaine et utilisent des choix fermés, avec des résultats collectifs, sans résultat nominatif, nombre de participants ni classement. Aucun coup n’est joué pour une personne absente. Le groupe voit le calendrier et les cartes collectives ; des données séparées, réservées au serveur, gardent participation, choix et qui a contribué quoi, pour filtrer ou retirer les contributions. Les indices d’un jeu peuvent toutefois permettre des déductions : ce n’est pas une promesse que les rôles sont impossibles à deviner. Les jeux se ferment le lundi à 00 h UTC ; les données hebdomadaires expirent sept jours après la fin de cette semaine, et leur suppression physique est asynchrone. Quitter un jeu retire votre participation et vos contributions.
Signature. Les versions précédentes permettaient de choisir une trame et un tampon dans un catalogue fermé. Elle ne peut plus être changée ; la signature actuelle reste sur votre profil et le tableau du groupe, sans historique, jusqu’à la suppression de votre compte.
Des compteurs d’usage privés et bornés ainsi que des reçus de réessai évitent les abus et les actions en double. Les reçus du mur et des jeux sont conservés pendant une fenêtre de réessai de 48 heures, jusqu’à 480 chacun par compte ; un quota du mur expire 48 heures après le dernier élément accepté, un quota de jeu 48 heures après le dernier appel comptabilisé. Retirer un contenu ne retire pas immédiatement son reçu de réessai. Changer le fond du mur passe par un compteur de la boutique qui ne garde que les heures de vos derniers appels, effacé sous 24 heures. Les mails d’alerte sur les signalements ne contiennent que des métadonnées de modération.
En bref : la personne affichée sur votre widget se choisit sur votre téléphone et y reste ; personne n’est prévenu. En détail : « Ma personne » est un choix privé sur le téléphone : un membre par groupe courant, jusqu’à quatre sélections de groupe, liées au compte par des empreintes locales. La personne n’est pas prévenue. Ce choix n’ajoute aucune donnée cloud, recherche réseau ciblée ni événement de mesure. Les widgets natifs utilisent des références locales pseudonymes plutôt que des identifiants de compte. iOS utilise le groupe actif et un choix d’affichage commun à ses widgets ; Android permet de choisir l’affichage par widget. Vous pouvez effacer ce choix ; le changement de compte, la suppression du compte et la réinitialisation locale tentent de le purger. Une donnée inconnue, indisponible ou périmée donne un widget neutre au prochain rendu ; un cache ou la dernière image dessinée par le système peut rester jusqu’à ce que le système la redessine. Les pannes de stockage et les sauvegardes du téléphone limitent les garanties d’effacement physique.
En bref : à partir de la version 0.9.19, le widget montre le vrai geste qu’un membre vous a envoyé, et quelques mémoires restent sur votre téléphone pour que rien ne s’affiche deux fois. En détail : le widget montre le geste qu’un membre du groupe vous a envoyé au-dessus de son monstre, avec depuis combien de temps, 24 heures au plus et jusqu’à ce que vous l’ayez vu dans l’app, et « ↩ Jo a répondu » dans son en-tête, 2 heures au plus et, là aussi, jusqu’à ce que vous l’ayez vu dans l’app ; sur Android, la bulle liste aussi les derniers échanges du groupe affiché, envoyés et reçus, 48 heures au plus, trois lignes au plus (la suite est dans l’app). Quiconque voit votre écran d’accueil, ou votre bulle sur Android, peut les voir, comme le reste du widget ; le widget de l’écran verrouillé de l’iPhone ne les montre pas. Ces marques de signe portent des prénoms, des gestes, des invitations et des réponses, jamais une humeur ni un identifiant de compte ; elles ne sont pas écrites pendant une pause en mode fantôme, et sont effacées quand vous vous déconnectez, changez de compte ou supprimez votre compte. Pour retrouver un groupe depuis une notification, votre téléphone garde les références opaques de vos groupes et, sur iPhone, un petit annuaire de vos groupes (l’identifiant du groupe, son nom, et le prénom et la famille de monstre de chaque membre) que lit l’extension de notification ; un groupe que vous quittez en sort. L’« activité » retient sur votre téléphone, pendant 3 jours, les lignes reçues que vous avez déjà vues, pour que son point s’éteigne : l’expéditeur n’en sait jamais rien. Les sauvegardes du téléphone peuvent garder d’anciennes copies de certains de ces éléments.
Les données sont chiffrées en transit et au repos. Des règles d’accès sont appliquées côté serveur à chaque lecture et écriture : un membre ne lit que son propre groupe, seul le propriétaire d’un compte modifie son profil, et les données de jeu cachées (réponses d’ÉCHO avant la révélation, paris des autres) ne sont lisibles par aucune app. Ces règles sont testées automatiquement avant chaque version.
Chaque changement est publié ici, avec sa date en haut de la page.
Cette mise à jour (23 octobre 2026, version 1.4) ajoute le mois de la bande, à partir de la version 0.9.23 de l’app : notre serveur garde, pour chaque groupe, une humeur par jour et par membre (l’humeur seule) pour le mois en cours et les 12 précédents, lisible par les membres actuels du groupe, y compris une personne qui arrive plus tard. Jusqu’ici, les humeurs de la bande étaient gardées 14 jours au plus, dans la BD du dimanche. Elle indique que le décalage horaire de votre téléphone par rapport à UTC part désormais avec votre humeur et reste sur votre profil privé, pour que la BD et le mois suivent les jours de votre téléphone, et qu’« effacer mes tints » retire aussi vos humeurs du mois et vos lignes de la BD ; la BD du dimanche est désormais gardée 16 jours au plus au lieu de 14 (sections 2, 3, 7, 9 et 11).
La mise à jour du 22 octobre 2026 (version 1.3) indique que, dans « Tu me connais ? », la personne sur qui l’on parie en est désormais prévenue avant de poster, par une notification discrète avec les prénoms de celles et ceux qui ont parié (trois au plus, puis deux et le nombre des autres), jamais ce qui a été parié ni si c’était juste. Il n’y a qu’une notification de ce type à la fois, remplacée à chaque nouveau pari, et le réglage des paris dans « moi » la coupe aussi. Rien de nouveau n’est stocké (sections 2, 3, 8 et 9).
La mise à jour du 17 octobre 2026 (version 1.2) décrivait votre historique d’humeur à partir de la version 0.9.20 de l’app : un jour garde désormais toutes les humeurs posées, dans l’ordre, avec leurs mots précis, 24 au plus (toujours sans l’heure de chaque humeur, la note ni rien de ce que vous avez tapé, toujours pour vous seul, toujours 13 mois), et l’app le montre par semaine, par mois et par année avec une phrase qui décrit, jamais un chiffre ni une comparaison. Elle ajoutait « effacer mes tints », qui supprime tout de suite votre historique d’humeur de notre serveur, mais pas la BD du dimanche de la semaine, qui expire sous 14 jours ; elle indiquait que tout membre peut désormais renommer un groupe, et que le serveur ne garde que l’heure du dernier renommage. Elle corrigeait aussi le nombre de mots précis (160) et de raisons (36) (sections 2, 7 et 11).
La mise à jour du 16 octobre 2026 (version 1.1) décrivait les signes de la version 0.9.19 de l’app. Leurs notifications montrent le nom du groupe, le portrait neutre du petit monstre de l’expéditeur (jamais son humeur) et, pour une réponse, le signe auquel elle répond ; elles portent des références opaques, jamais un identifiant en clair ; sur iPhone, elles s’affichent comme des conversations dont iOS peut se servir sur vos appareils Apple, ce que vous pouvez limiter dans les options Siri de Tintee (Réglages › Apps › Tintee › Siri sur les iOS récents), et que l’app demande à iOS d’effacer quand vous quittez un groupe, vous déconnectez ou supprimez votre compte. Elle indique aussi que le widget montre le vrai geste et « ↩ Jo a répondu », que l’« activité » montre les échanges des dernières 48 heures, qu’une invitation propose désormais trois réponses, et ce qui reste pour cela sur votre téléphone (sections 2, 8, 11 et 13).
La mise à jour du 14 octobre 2026 (version 1.0) décrivait l’app telle qu’elle est dans la bêta, version 0.9.15 : votre tint est un petit monstre en pâte, dont la couleur vient de votre humeur, et la couronne d’ÉCHO est un 👑 à côté de votre prénom ; le mur accueille des emotes et des phrases tirées d’une liste fermée de mots, 12 par groupe au plus et 2 à 6 par personne, et son fond se choisit dans une collection fermée ; la boutique est gratuite pendant la bêta et rien ne s’achète ; dans ÉCHO, chacun écrit un mot pour les trois dessins et le groupe peut choisir les images du lendemain ; « Gros comme ça » n’utilise jamais vos photos ; l’ÉCHO sur le web compte 30 parties par jour et par connexion ; le mode fantôme reste sur votre téléphone (sections 2, 3, 4, 9 et 11).
La mise à jour du 13 octobre 2026 (version 0.9) indiquait qu’une invitation dure désormais 24 heures pour tout le monde, sans utiliser le décalage horaire de votre téléphone, qu’on peut y répondre par l’une de quatre réponses fixes, qu’une notification montre avec l’emoji de l’invitation, et qu’à partir de la version 0.9.13 de l’app, votre téléphone garde 13 mois un historique de vos échanges qui ne le quitte jamais (sections 2 et 8).
La mise à jour du 9 octobre 2026 (version 0.8) décrivait le relais d’invitation Android vers Google Play, la mesure de provenance de l’installation et le presse-papiers lu sur un geste seulement (section 5).
La mise à jour du 9 octobre 2026 (version 0.7) indique qu’à partir de la version 0.9.6, l’app iPhone envoie la mesure d’usage comme l’app Android, sous le même interrupteur, et ajoute à la section 5 les nouveaux événements de jeu (un jeu ouvert, une manche de « Gros comme ça » jouée, un contenu revu, une image d’ÉCHO choisie pour le lendemain, la forme de la question d’un pari) ainsi que l’ancienneté du compte, par tranche. Elle ajoute aussi au tableau de la section 2 l’image que vous pouvez choisir pour le prochain ÉCHO de votre groupe : une par personne, dans une liste fermée, gardée 8 jours.
La mise à jour du 6 octobre 2026 (version 0.6) indiquait que ce site sert désormais ses propres polices : plus aucune page ne charge quoi que ce soit depuis Google Fonts (section 8). Elle précisait aussi ce que l’app ne demande jamais, et que seule la bêta Android a besoin d’une adresse e-mail (section 2).
La mise à jour du 6 octobre 2026 (version 0.5) décrivait la bêta iPhone, que l’on rejoint soi-même par le lien public TestFlight d’Apple, sans nous donner d’adresse e-mail (section 12).
La mise à jour du 5 octobre 2026 (version 0.4) décrivait les notifications telles qu’elles sont : un signe ou une invitation montre le prénom de l’expéditeur et la phrase fixe du geste ou de l’invitation, avec le son choisi ; le coup de pouce n’existe plus ; une invitation prend fin à minuit chez son expéditeur (sections 2 et 8).
La mise à jour du 4 octobre 2026 (version 0.3) décrivait la bêta Android que l’on rejoint par le groupe Google tintee-testers (section 12).
La mise à jour du 29 septembre 2026 décrivait la version 1 : votre tint, les précisions d’une humeur, ÉCHO dans l’app et sur le web, « Tu me connais ? », la BD du dimanche, le mur, la liste d’attente tint+, les notices de modération, la vérification de l’âge par les stores, les journaux des serveurs et les testeurs de la bêta. Elle précisait la base légale, corrigeait la description de la mesure (des comptes pseudonymes, actifs par défaut, pas encore envoyés depuis l’iPhone) et listait les fonctions en cours de retrait.