doomo

Politique de confidentialité

Dernière mise à jour : 14 septembre 2026 — version 1.0.0 de l’application

En une phrase

Par défaut, doomo ne collecte rien. Ce que vous gardez dans doomo reste sur votre téléphone : l’application ne l’envoie nulle part — ni à l’éditeur, ni à personne d’autre.

Deux régimes cohabitent, et il vaut mieux les connaître : le texte de vos souvenirs est écrit dans une base chiffrée, liée à votre appareil ; les images et les notes vocales que vous joignez sont des fichiers en clair, rangés dans l’espace privé de l’application, et elles suivent la sauvegarde de votre téléphone comme le reste de vos fichiers.

Tant que vous ne mettez pas votre coffre à l’abri, il n’existe aucun compte, aucune inscription, aucun serveur doomo, et rien de ce que vous écrivez ou joignez ne part de votre téléphone à l’initiative de doomo.

Si vous choisissez de mettre votre coffre à l’abri (l’option payante), une copie chiffrée en part — lisez la section 4 : c’est la seule chose que ce choix change, et elle y est décrite en entier. Là encore, il n’y a ni compte ni e-mail, et l’éditeur ne peut pas lire ce qu’il héberge.

1. Ce qui est enregistré, et où

Quand vous gardez un souvenir, l’application enregistre ce que vous avez saisi :

  • le texte du souvenir ;
  • son type (un mot, un moment, …) ;
  • si vous avez choisi de les renseigner : le nom d’une personne, un lieu ou un contexte ;
  • si vous y joignez une image ou une note vocale, ce fichier lui-même ;
  • la date à laquelle vous l’avez gardé, et le fait que vous ayez demandé ou non à ce que doomo ne vous le ressorte pas ;
  • vos réglages dans l’application.

Le texte, les types, les noms et les réglages sont écrits dans une base de données chiffrée stockée sur votre appareil. Une image ou une note vocale jointe est un fichier à part, rangé dans l’espace privé de l’application sur votre téléphone — inaccessible à toute autre application — et simplement référencé depuis cette base. Il n’y a ni identifiant d’appareil, ni identifiant publicitaire, ni journal d’usage.

Ce fichier-là n’est pas chiffré par doomo : le chiffrement décrit au 2 protège la base, pas les pièces jointes. C’est une différence que l’éditeur préfère écrire noir sur blanc plutôt que vous laisser la découvrir. Elle ne change rien à ce qui sort de votre téléphone : ces fichiers restent dans l’espace privé de l’application, et la seule copie qui en part un jour est celle de l’option payante (section 4) — chiffrée, elle aussi, avant le moindre envoi.

Une image ou une note vocale disparaît avec le souvenir auquel elle est attachée : supprimez le souvenir, et son fichier est effacé de votre téléphone avec lui.

2. Comment c’est protégé

La base de données est intégralement chiffrée avec SQLCipher (AES-256). La clé de chiffrement est tirée au hasard une seule fois, à la première ouverture de l’application, et rangée dans le magasin de secrets du système — le Trousseau sur iOS, le Keystore sur Android.

Cette clé est marquée comme liée à cet appareil et à lui seul. Deux conséquences, qu’il vaut mieux connaître :

  • Si le fichier de la base était copié hors de votre téléphone, il serait illisible.
  • Cette clé ne suit pas votre appareil : elle ne se retrouve pas sur un téléphone neuf. Si vous perdez le vôtre, ou si vous le réinitialisez, le texte des souvenirs qu’il contenait n’est pas récupérable — ni par vous, ni par l’éditeur. C’est le prix de ce niveau de protection, et c’est délibéré. Sauf si vous aviez mis votre coffre à l’abri (section 4) : votre phrase de douze mots le rouvre alors sur un téléphone neuf, sans passer par cette clé-là.
  • Les images et les notes vocales jointes ne sont pas dans cette base, et ne sont donc pas protégées par cette clé : ce sont des fichiers en clair, rangés dans l’espace privé de l’application. Elles ne quittent votre téléphone que si vous mettez votre coffre à l’abri (section 4), et alors chiffrées.

Verrouiller l’application

Vous pouvez demander, dans les réglages, le code, le schéma, l’empreinte ou le visage de votre téléphone à chaque ouverture de doomo. Cette vérification est faite entièrement par le système d’exploitation : votre code, votre empreinte et votre visage ne sont jamais transmis à l’application, qui ne reçoit que le résultat — le verrou a été passé, ou non.

Le verrouillage est désactivé par défaut. Il exige que votre téléphone soit lui-même protégé par un code, un schéma ou une donnée biométrique ; si vous retirez cette protection de votre téléphone, doomo désactive le verrou et vous en avertit. Il protège l’accès à l’application, et non le chiffrement décrit plus haut, qui s’applique dans tous les cas.

3. Autorisations demandées

doomo demande deux autorisations pour son usage courant, chacune au moment où vous vous en servez — jamais à l’avance — et une troisième, facultative, si vous activez le verrouillage :

  • Microphone, pour enregistrer une note vocale et la garder avec votre souvenir ;
  • Appareil photo, pour prendre une photo et la garder avec votre souvenir — uniquement si vous choisissez de la prendre depuis doomo, plutôt que de l’attraper dans votre photothèque.
  • Face ID, sur iPhone uniquement, et seulement si vous activez le verrouillage (section 2). Sur Android, le déverrouillage biométrique ne demande aucune autorisation.

Ces messages, affichés par le système, ne disent que l’usage demandé — pas ce que devient le fichier ensuite : doomo n’envoie votre note vocale ni votre photo nulle part, et les range dans les mêmes conditions que les autres pièces jointes.

Joindre une image ou un son que vous avez déjà ne demande, en revanche, aucune autorisation, ni sur Android ni sur iOS : cela passe par les sélecteurs du système — celui des images, celui des fichiers — qui ne transmettent à doomo que le fichier choisi, jamais l’accès à toute votre photothèque ni à votre stockage. C’est plus protecteur qu’une autorisation d’accès complet, qui n’est ici ni demandée ni nécessaire. C’est aussi pourquoi l’appareil photo, lui, en réclame une : une prise de vue n’est pas un fichier qu’on désigne, c’est un accès au matériel.

doomo ne demande aucune autre autorisation : ni accès à votre photothèque, ni accès à votre stockage, ni localisation, ni notifications, ni contacts.

4. Si vous mettez votre coffre à l’abri (option payante)

Cette section ne s’applique que si vous avez souscrit l’option payante. Sans elle, rien de ce qui suit ne vous concerne : rien ne part chez l’éditeur, comme décrit plus haut.

Si vous l’activez, une copie de votre coffre part se mettre à l’abri après chaque ajout, pour que vous la retrouviez même si vous perdez votre téléphone.

  • Ce qui part est chiffré sur votre téléphone, en AES-256, avant le moindre appel réseau, avec une clé dérivée d’une phrase de douze mots que vous seul connaissez et que l’éditeur n’a jamais. Il ne peut donc rien lire de ce que vous lui confiez — non par politique, mais par construction : il n’a pas la clé.
  • Ce qui part est le texte de vos souvenirs — leur contenu, leur type, la personne ou le lieu associés, les dates, vos réglages — ainsi que vos images et vos notes vocales elles-mêmes, chiffrées avec une clé propre à chaque fichier, jamais la même que celle du texte, jamais réutilisée d’un fichier à l’autre. Les noms des fichiers déposés sont opaques : ils ne révèlent rien de leur contenu.
  • Il n’y a toujours ni compte, ni e-mail, ni inscription. Le coffre est identifié par une clé publique dérivée de votre phrase, et chaque requête est signée : l’éditeur n’a aucune table d’utilisateurs.
  • Votre phrase de douze mots reste consultable à tout moment dans les réglages de l’application, aussi souvent que vous le voulez. Elle est en anglais quelle que soit la langue de doomo : ce n’est pas une traduction manquante, mais une liste normalisée, la même pour tout le monde.
  • L’hébergement est en France, sur Amazon Web Services (région eu-west-3, Paris). Aucun transfert hors de l’Union européenne.
  • Une restauration fusionne, elle ne remplace pas. Si le téléphone sur lequel vous rouvrez votre coffre contient déjà des souvenirs, les deux ensembles sont réunis plutôt que l’un écrasé, et un souvenir que vous aviez supprimé ne réapparaît pas.
  • Quand un abonnement s’arrête, la copie est effacée quinze jours après la fin de la période payée — le temps qu’un paiement en retard se régularise. Passé ce délai, elle n’existe plus et ne peut plus être retrouvée par votre phrase. Votre coffre, lui, reste entier sur votre téléphone. Cette échéance ne concerne pas l’achat à vie, qui n’expire pas.
  • Comme il n’y a ni e-mail ni compte, il n’y a rien à réclamer à l’éditeur pour exercer vos droits : votre phrase de douze mots est la seule clé, et c’est elle qui rouvre votre coffre — chez l’éditeur comme sur un nouveau téléphone.

Trois formules existent : au mois, à l’année, et un achat unique à vie. Les deux abonnements se souscrivent et se résilient depuis les réglages de votre compte Apple ou Google, pas dans doomo ; l’achat à vie n’a rien à résilier. Dans tous les cas, le paiement est traité par la boutique : l’éditeur n’a accès à aucune donnée bancaire et ne reçoit d’elle que des rapports de ventes agrégés, qui ne permettent d’identifier personne.

À savoir, parce que c’est la contrepartie de ce niveau de protection : si vous perdez votre téléphone et vos douze mots, personne ne peut rouvrir la copie déposée — pas même l’éditeur, qui n’en a pas la clé. Gardez-en une trace ailleurs que dans le téléphone.

5. Ce que doomo ne fait pas

  • doomo ne transmet aucune donnée, ni à l’éditeur ni à un tiers, sauf si vous choisissez de mettre votre coffre à l’abri (section 4).
  • Aucune mesure d’audience, aucune statistique d’usage, aucun rapport de plantage.
  • Aucun traceur publicitaire, aucune publicité.
  • Aucun identifiant publicitaire n’est lu.
  • Aucun profil n’est constitué, aucune décision automatisée n’est prise à votre sujet.
  • Aucune donnée n’est vendue, louée ou partagée. Il n’y en a aucune à vendre.

Tant que vous ne mettez pas votre coffre à l’abri, l’éditeur n’a accès à aucune de vos données. Si vous l’avez mis à l’abri, ce qu’il reçoit est chiffré : il héberge des octets qu’il ne peut pas lire.

6. Effacer vos données

  • Un souvenir se supprime depuis sa fiche, par « Ne plus garder ce souvenir ».
  • Pour tout effacer d’un coup, désinstallez l’application : la base chiffrée, la clé et les fichiers joints sont supprimés avec elle.

Tant que vous ne mettez pas votre coffre à l’abri, l’éditeur ne détient aucune copie : il n’y a donc rien à lui demander d’effacer. Si vous l’avez mis à l’abri, désinstaller l’application ne supprime pas la copie chiffrée qui est partie ; elle s’efface quinze jours après la fin de votre abonnement — ou plus tôt, dès que l’application constate elle-même que l’abonnement s’est arrêté. Dans tous les cas, y compris avec l’achat à vie, l’application permet d’en demander l’effacement immédiat.

7. Vos droits

Le règlement européen sur la protection des données (RGPD) vous donne un droit d’accès, de rectification, d’effacement et de portabilité sur vos données personnelles. Ces droits s’exercent normalement auprès du responsable de traitement — mais dans le cas de doomo, tant que vous ne mettez pas votre coffre à l’abri, vos données ne sont traitées que par votre propre appareil, sous votre seul contrôle. Vous y accédez, les corrigez et les effacez directement dans l’application, sans passer par l’éditeur.

Si vous avez mis votre coffre à l’abri, c’est votre phrase de douze mots qui vous donne accès, correction et portabilité : elle rouvre votre coffre où que ce soit. Comme il n’y a ni e-mail ni compte, il n’existe aucune demande à adresser à l’éditeur (section 4).

Pour toute question relative à la confidentialité, vous pouvez écrire à r0m1.d3v@gmail.com. Si vous estimez malgré tout que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL.

8. Enfants

doomo n’est pas destinée aux enfants de moins de 13 ans et ne collecte sciemment aucune donnée les concernant. Par défaut, l’application ne collecte aucune donnée de qui que ce soit. Si un abonnement met un coffre à l’abri, ce qui part est chiffré et l’éditeur ne peut pas le lire : quel que soit l’âge de la personne qui utilise doomo, aucune information la concernant ne lui parvient en clair.

9. Services tiers

L’application est distribuée par l’App Store d’Apple et Google Play. Ces plateformes peuvent collecter leurs propres données lors du téléchargement et de l’installation (par exemple des statistiques de téléchargement agrégées), selon leurs politiques respectives — voir celles d'Apple et de Google — sur lesquelles l’éditeur n’a aucune prise. L’application elle-même, une fois installée, ne communique avec aucun service.

Le présent site ne dépose aucun cookie, n’utilise aucune mesure d’audience et ne charge aucune ressource depuis un domaine tiers : ni police, ni script, ni image.

10. Modifications de cette politique

Si le fonctionnement de l’application change, cette page sera mise à jour et la date en haut modifiée en conséquence. Les changements substantiels seront signalés dans les notes de version.