Lignes directrices pour les forces de l’ordre.

• Une application de messagerie privée. Les gens s’inscrivent avec un nom d’utilisateur et un mot de passe, sans numéro de téléphone, sans adresse courriel et sans vrai nom. Ils écrivent en tête-à-tête et dans des groupes privés de 1 000 membres au plus, envoient des messages vocaux, et partagent des photos et des documents. Il n’y a pas d’appels vocaux ou vidéo, ni de canaux publics.
• Scellé de bout en bout. Les messages, les messages vocaux, les photos et les fichiers sont chiffrés sur les appareils des gens, et seuls les appareils de la conversation peuvent les ouvrir. Nos serveurs les transmettent sans clé. Chacun va dans une boîte aux lettres que nos serveurs ne peuvent pas relier à un compte, et le nom de la personne qui écrit ne voyage qu’à l’intérieur de l’enveloppe scellée.
• Conçu par Murmur Labs LLC. Murmur Labs LLC conçoit les applications Murmur et exploite les serveurs qu’elles utilisent. Les demandes vont à Murmur Labs LLC, à legal@murmur.free.

Notre position publique, c’est que nous ne détenons aucun contenu de message et aucune clé. Nous détenons les métadonnées énumérées dans notre tableau public, et elles peuvent être exigées en justice.

Nous ne pouvons pas remettre ce que nous n’avons pas. Nous n’avons pas :

• Le contenu des messages, des messages vocaux, des photos et des fichiers, leurs noms et leurs types, les réactions, les votes aux sondages ni les listes de tâches. Nous ne les détenons que chiffrés, sans clé pour les ouvrir. Nous gardons les messages pendant 30 jours au plus (un message programmé attend d’abord son heure, un an au plus), les fichiers pendant 30 jours sauf s’ils sont épinglés, et les sauvegardes du texte que les gens choisissent de garder, que seule leur propre clé de récupération ouvre.
• Des clés dont nous pourrions nous servir, les mots de passe ni les clés de récupération. Les mots de passe ne quittent jamais les appareils des gens. Les clés privées n’arrivent sur nos serveurs que scellées, soit dans les données de la clé de récupération d’un compte, que seule la clé de récupération de cette personne ouvre, soit pendant quelques minutes, dans la boîte qui les remet à un nouvel appareil que la personne associe.
• Les profils, les contacts, les blocages et la plupart des réglages (les quelques réglages qu’appliquent nos serveurs sont énumérés plus bas), ni les noms, les photos et les descriptions des groupes. Nous ne les stockons que chiffrés, et nous ne pouvons pas les ouvrir.
• Qui a envoyé un message. Le nom de la personne qui écrit ne voyage qu’à l’intérieur de l’enveloppe scellée.
• Qui parle à qui, y compris qui a une discussion à deux avec qui.
• Qui fait partie de quel groupe, les rôles, ni qui a ajouté ou retiré qui. La seule exception est l’admin d’un groupe qui nous a demandé des passes communautaires (voir « Liens et passes » plus bas).
• Les adresses IP, ni aucun journal qui relie une adresse à un compte.
• Un numéro de téléphone, une adresse courriel, un vrai nom, une date de naissance, une position, des modèles d’appareils, un carnet d’adresses ou une identité de paiement. Nous ne les demandons jamais. Les seules adresses courriel que nous détenons sont celles des personnes qui nous écrivent, gardées avec leur message.

Nous pouvons chercher un compte seulement par son nom d’utilisateur exact (chiffres compris), son identifiant de compte, ou un lien de contact qui y mène. Nous ne pouvons pas chercher par numéro de téléphone, par vrai nom ni par adresse IP, ni par adresse courriel, sauf pour les personnes qui nous ont écrit par courriel.

Voici ce que nos serveurs détiennent et qui peut être relié à un compte. Rien de tout cela n’est un nom, un numéro de téléphone, une adresse courriel ou une adresse IP, et rien ne dit à qui parle le compte, sauf ce que les gens choisissent de nous envoyer eux-mêmes, comme les messages d’un signalement, ou un courriel avec son adresse.

Cette liste suit notre tableau public, vérifié par rapport à notre code à chaque version, et notre Politique de confidentialité.

Nous stockons aussi des données que nous ne pouvons pas ouvrir. Nous n’en voyons que des tailles et des heures, et ce que dit chaque ligne ci-dessous :

• Les messages en attente, dans des boîtes aux lettres que nos serveurs ne peuvent pas relier à un compte, sont gardés chiffrés jusqu’à ce que chaque appareil les ait récupérés, 30 jours au plus (dans les grands groupes, jusqu’à la fin de leurs 30 jours, même après leur livraison), avec une copie dans nos sauvegardes chiffrées jusqu’à 14 jours. Nous voyons aussi la version des clés de la discussion, s’il faut réveiller un appareil, et s’il s’agit d’une discussion à deux ou d’un groupe.
• Les messages programmés sont des enveloppes scellées qui attendent jusqu’à une heure donnée pour les appareils qui les recevront, avec une taille arrondie, jamais qui les a programmées. Gardées jusqu’à cette heure, un an au plus, puis livrées comme tout message. Une fiche qui dit qu’un message est parti ou a été annulé reste encore 30 jours.
• Les marques quotidiennes de présence (celles qui permettent « en ligne récemment ») sont scellées et ne portent que le jour. Gardées de 1 à 12 heures, au hasard, puis livrées comme tout message.
• Les fichiers, messages vocaux compris, sont gardés chiffrés 30 jours, sauf s’ils sont épinglés. Aucun fichier n’est lié à la personne qui l’envoie ni à une discussion, sauf qu’un fichier épinglé est rattaché à son groupe, jamais à ses membres, pour compter le quota du groupe.
• L’historique envoyé à un nouvel appareil ou aux nouveaux membres d’un groupe est gardé chiffré, 24 heures au plus.
• Les modifications des groupes, pour une boîte aux lettres de groupe que nos serveurs ne peuvent pas relier à ses membres. Nous gardons chaque modification, scellée pour les membres, avec son numéro d’ordre (30 jours), le décompte des modifications du groupe pour la journée (1 jour), et le fait que le groupe compte ou non plus de 256 appareils.
• Les fiches chiffrées des profils, des états de compte et des groupes.
• Les sauvegardes du texte que les gens choisissent de garder, que seule leur propre clé de récupération ouvre.

Certaines données ne désignent aucun compte. Ce sont les indications qu’une boîte aux lettres de discussion est en sourdine, les jetons utilisés du service qui émet les jetons d’inscription (jusqu’au changement mensuel de ses clés) et ses décomptes par appareil (30 jours), et les totaux (ceux que nous comptons, et ceux que les admins d’un groupe ou les membres de notre panel choisissent de nous transmettre).

Les journaux de nos serveurs contiennent une liste fermée de champs, jamais d’identifiants de compte, d’appareil ou de groupe, d’adresses IP ni de jetons, et ils sont gardés 7 jours. Pendant que nous réglons une panne, les traces d’un petit échantillon de requêtes suivent la même liste fermée et sont gardées 72 heures. Rien dans ces journaux ni dans ces traces ne désigne un compte.

• Une procédure judiciaire valide. En dehors des signalements de protection des enfants qu’exige la loi, nous ne communiquons des données qu’en vertu d’une procédure judiciaire valide qui lie Murmur Labs LLC, comme un mandat ou une autre ordonnance d’un juge ou d’un tribunal. Nous ne répondons pas aux demandes informelles, sauf en cas d’urgence (voir plus bas).
• De tout pays. Nous traitons toutes les autorités de la même façon, quel que soit leur pays. Quand sa propre ordonnance ne nous lie pas, une autorité passe par les voies que la loi lui donne, comme l’entraide juridique entre États, qui mène à une ordonnance qui nous lie.
• Les ordonnances qu’on nous envoie directement. Là où une loi permet à une autorité d’envoyer son ordonnance directement à une entreprise comme la nôtre, l’autorité peut l’envoyer à notre représentant légal sur place, si nous en avons un, ou à legal@murmur.free. Nous vérifions chacune de la même façon, ne remettons que des données qui existent, prévenons la personne sauf si l’ordonnance l’interdit, et la comptons dans notre rapport de transparence.
• Les affaires civiles. La même règle s’applique, donc il nous faut l’ordonnance valide d’un tribunal, qui nous lie.
• Des demandes précises seulement. Une demande doit indiquer le nom d’utilisateur exact, l’identifiant de compte ou le lien de contact, les données demandées et la période. Nous ne communiquons que ce que l’ordonnance vise, et seulement des données qui existent. Nous contestons les ordonnances trop larges, et les ordonnances de non-divulgation que nous jugeons injustifiées.

Écrivez à legal@murmur.free, en français ou en anglais. Veuillez indiquer :

• le nom de votre autorité ou de votre organisme ;
• votre nom, votre numéro d’insigne ou de matricule, et votre adresse courriel et votre numéro de téléphone officiels ;
• le fondement juridique, avec une copie de l’ordonnance signée ;
• le nom d’utilisateur exact, l’identifiant de compte ou le lien de contact visé (ou plusieurs) ;
• les données que vous demandez, et la période visée ;
• tout délai, et sa raison.

• Seulement quand une vie est en jeu, c’est-à-dire en cas de danger imminent de mort ou de blessures physiques graves.
• Écrivez à legal@murmur.free avec « Urgence » dans l’objet. Dites-nous quel est le danger, qui est menacé, pourquoi la demande ne peut pas attendre une ordonnance, et de quelles données vous avez besoin.
• Quand la loi le permet, nous pouvons alors communiquer, sans ordonnance, le minimum que nous détenons et qui est nécessaire pour prévenir le préjudice.

• Quand nous recevons un ordre ou une ordonnance de préservation valide, nous préservons ce qui existe sur le compte à ce moment, pendant la période fixée, le temps que vous obteniez une ordonnance.
• Nous ne pouvons pas préserver ce que nous n’avons jamais eu, et une bonne partie de ce que nous détenons ne dure pas longtemps, avec les messages en attente gardés 30 jours au plus, les sauvegardes des serveurs 14 jours, les jetons de notification 30 jours après la dernière activité d’un appareil, et les journaux des serveurs 7 jours, sans aucun compte dedans.
• Pour les abus sexuels envers des enfants, nous préservons le signalement et les données qui s’y rattachent pendant 1 an de notre propre initiative, comme l’exige la loi.

• Nous prévenons la personne avant de communiquer ses données, pour qu’elle puisse contester la demande. Nous la prévenons dans l’application, car nous n’avons ni adresse courriel ni numéro de téléphone pour elle.
• Nous ne la prévenons pas quand une loi ou une ordonnance d’un tribunal l’interdit, ni dans les cas d’exploitation sexuelle d’enfants. Après une urgence, nous la prévenons une fois le danger passé, si la loi le permet.
• Nous contestons les ordonnances de non-divulgation que nous jugeons injustifiées.

Nous n’attendons pas qu’on nous le demande. Nous signalons les abus sexuels envers des enfants aux organismes que la loi désigne, comme la CyberTipline du National Center for Missing & Exploited Children (NCMEC), avec les données que nous détenons réellement. Nos Normes de protection des enfants expliquent comment.

Deux fois par année, nous publions un rapport de transparence sur murmur.free/transparency, avec les demandes reçues et les données remises, par pays et par type, les signalements de protection des enfants que nous avons faits, et les comptes contre lesquels nous avons agi.

• Nous ne pouvons pas déchiffrer les messages, les photos ou les fichiers, remettre des clés, ni donner à qui que ce soit accès au contenu, jamais.
• Nous ne pouvons pas voir l’intérieur d’un groupe ni dire qui en fait partie.
• Nous ne pouvons pas identifier la personne derrière un compte à partir d’une adresse IP.
• Nous ne pouvons pas retirer un message des appareils des personnes qui l’ont reçu.
• Apple et Google détiennent leurs dossiers d’achat et le lien entre un jeton de notification et le compte de leur propre client. Adressez-vous directement à eux.

Murmur est conçu sans porte dérobée. Il n’existe chez nous aucune copie de secours des clés de qui que ce soit, aucun mécanisme pour analyser le contenu, et aucune sauvegarde, recherche ou « récupération par l’admin » que nos serveurs pourraient lire. Les deux premiers points figurent sur notre liste de ce que nous ne construirons jamais.

Nous ne pouvons pas changer le code de l’application à distance. Les versions pour ordinateur offertes sur notre site et l’application Android en téléchargement direct sont inscrites dans un registre public, donc une version faite pour une seule personne se verrait. Les versions des magasins d’applications ne peuvent pas être vérifiées de cette façon, et nous le disons aussi dans l’application.

Nous contesterons toute ordonnance qui créerait une vulnérabilité systémique, et nous fermerions la fonction touchée plutôt que de livrer une porte dérobée.

Les demandes juridiques et celles des forces de l’ordre, urgences comprises

legal@murmur.free

La protection des enfants

safety@murmur.free

Les personnes qui ont des questions sur leurs propres données

privacy@murmur.free