Politique de confidentialité (Privacy Policy)

Dernière mise à jour : 20/10/2026

1. Identité du Responsable de Traitement (Data Controller)

Le traitement des données personnelles au sein de l'application Lybou est opéré par :

Nom / Société : DELEPORTE Hugo
Adresse : 5 rue Pierre et Marie Curie, 91400 Orsay, France
Immatriculation : entrepreneur individuel (EI), R.C.S. Évry 108 658 949
E-mail de contact : support@lybou.com

2. Données Collectées (Data We Collect)

Nous collectons différents types d'informations lorsque vous utilisez notre application. Conformément au principe de minimisation des données, seules les informations nécessaires au service sont traitées.

Catégorie	Noms des Données et Descriptions	Source
Vérification de l'adresse électronique à l'inscription	votre adresse électronique, telle que vous la saisissez (elle est enregistrée en minuscules) une empreinte cryptographique du code à 6 chiffres qui vous est envoyé — le code lui-même n'est jamais enregistré les dates auxquelles un code vous a été envoyé un compte, créé dès l'envoi du formulaire et marqué comme non finalisé tant que le code n'est pas validé un journal technique de connexion tenu par notre hébergeur d'authentification	Saisie par la personne. Voir l'encadré au début du §4 : si l'inscription n'est pas menée à terme, le compte et ces données sont supprimés sous 24 heures environ.
Données d'Identité	`id` : identifiant technique unique `name` : prénom ou pseudonyme `email` : adresse électronique `birthday` : date de naissance `gender` : votre genre	Fournies par l'utilisateur à l'inscription. L'âge minimum requis est de 18 ans.
Données de Profil	`description` : votre biographie textuelle `photos` : vos images de profil `size` : votre taille physique (en cm) `interests` : vos centres d'intérêt (ex: sport, art...) `lifestyles` : vos habitudes de vie (ex: fumeur, sport...) `voice_url` : fichier de votre enregistrement vocal de présentation, obligatoire pour tout profil `voice_duration` : durée de votre enregistrement vocal `voice_hidden_path`, `voice_hidden_at` : si votre enregistrement vocal a été masqué à la suite de signalements (§3), l'emplacement de l'enregistrement conservé et la date du masquage — ni l'identité des personnes qui ont signalé, ni leur nombre `is_supporter` : le badge ☕, visible des autres utilisateurs si vous avez fait un don	Fournies par l'utilisateur pour créer son profil public. Ce que les autres utilisateurs en voient est décrit à l'article 10 des CGU.
Critères de Recherche	`search_preferences` : un ensemble de filtres, qui contient le genre des personnes que vous cherchez (`search_preferences.gender`), la tranche d'âge (`search_preferences.ageRange`) et la distance maximale (`search_preferences.max_distance`) ; pour les abonnés Premium, les filtres avancés (centres d'intérêt, habitudes de vie, taille, durée minimale de l'enregistrement vocal, présence en ligne) `settings` : paramètres de l'application (ex: langue, notifications, visibilité du profil, statut en ligne)	Définis par l'utilisateur dans les paramètres de l'application.
Données de Localisation	`location` : votre position, arrondie à environ 100 m avant envoi `city` : ville déduite de votre position, ou ville que vous avez indiquée `last_location_update` : horodatage de la dernière position	Collectées par le GPS de l'appareil si vous l'autorisez ; sinon, à partir de la ville que vous saisissez.
Données de Communication	`conversations` : suivi de vos discussions ou "Matchs", et de leur progression `messages` : contenu de vos textes et audios échangés `interactions` : vos choix d'appréciation (Like / Dislike) `superlike_invitations` : les invitations vocales que vous envoyez ou recevez — un enregistrement de 10 secondes au plus, son destinataire et son statut (en attente, acceptée, refusée) `blocked_users` : les personnes que vous avez bloquées	Générées par l'activité de l'utilisateur.
Données Techniques & Sécurité	`fcm_token` : identifiant de l'appareil pour les notifications push `last_seen` : horodatage de votre dernière connexion `last_seen_build` : numéro de version de l'application utilisée lors de votre dernière session (pour savoir quelles versions sont encore en service avant d'en retirer une) les sessions de connexion : pour chaque appareil connecté, l'adresse IP et l'identifiant du logiciel utilisé (user-agent), tenus par notre hébergeur d'authentification (Supabase) `reports` : signalements émis ou reçus pour modération — motif, texte libre éventuel, preuves (§4) des compteurs d'actions (likes, swipes, messages, envois de fichiers, signalements…) par jour ou par heure, qui servent aux limites anti-abus l'historique de vos acceptations des documents légaux (`user_consents`) et de vos choix sur les rapports de plantage (`crash_reporting_choices`) `renewal_reminders` : pour un abonnement trimestriel ou annuel, la date d'échéance, la formule, la date et l'heure limites de non-reconduction et la date à laquelle nous vous avons adressé le rappel de reconduction `sensitive_data_consents` : la preuve de votre consentement explicite au traitement de votre genre et du genre recherché (date et heure, version du texte, version de l'application, plateforme, langue) `withdrawals` : vos déclarations de rétractation (date et heure, achat concerné, nom et adresse électronique que vous avez indiqués, suite donnée au remboursement) `transactional_emails` : les e-mails que la loi nous impose de vous adresser (type, date d'envoi, version du modèle, et la copie exacte du message envoyé : expéditeur, votre adresse, objet, texte — votre prénom compris — et nom de la pièce jointe) Journaux d'authentification techniques natifs de notre hébergeur (Supabase), non stockés dans une table applicative dédiée	Générées automatiquement par le système et l'infrastructure de l'application.
Données Financières	Identifiants de transaction Google / Apple L'historique de vos paiements (don "café", abonnement Premium) est conservé par les magasins d'applications qui les encaissent (Google Play, App Store d'Apple) et par notre gestionnaire des achats (RevenueCat), et non dans notre propre base de données Le statut courant, lui, est bien enregistré dans votre profil, sous la forme de deux indicateurs : `is_supporter` (vous avez fait un don — c'est ce qui affiche le badge ☕ sur votre profil) et `is_premium` (votre abonnement est actif), ainsi que la date d'échéance de l'abonnement lorsqu'elle nous est communiquée Un journal technique des notifications de paiement que RevenueCat nous adresse : identifiant et type de l'événement, identifiant du produit (et du nouveau produit en cas de changement de formule), magasin concerné (Google Play ou App Store), numéro de la transaction chez le magasin (celui de votre reçu), motif d'annulation, date de l'événement, date d'échéance de la période payée, indication d'un réabonnement, identifiant du compte concerné, et le résultat du traitement. Il ne contient ni montant, ni coordonnée bancaire, ni moyen de paiement. Sans lui, un achat que vous avez payé mais qui n'a pas été crédité sur votre compte nous serait invisible, donc incorrigible. Conservation : 400 jours, puis suppression automatique	Transmises par Google Play Billing et par l'App Store d'Apple, par l'intermédiaire de RevenueCat (les numéros de carte bancaire ne sont jamais traités par nos serveurs).

3. Finalités et Bases Légales (Purposes and Legal Basis)

Le RGPD impose de justifier chaque collecte par une base légale définie à l'Article 6.

Intérêt légitime — vérification de votre adresse électronique : avant de créer votre compte, nous vous envoyons un code à 6 chiffres pour établir que l'adresse saisie est bien la vôtre. Cette base légale n'est ni le contrat (à cet instant vous n'avez pas encore de compte, donc aucun contrat n'est formé) ni votre consentement (vous n'avez rien accepté à ce stade). L'intérêt légitime poursuivi est double, et le premier est le vôtre : votre adresse est celle par laquelle vous pourrez réinitialiser votre mot de passe et recevoir les décisions qui concernent votre compte, si bien qu'une adresse mal saisie rendrait votre compte irrécupérable, sans que rien ne permette de s'en apercevoir. Le second est d'empêcher que cet envoi, accessible sans être connecté, serve à inonder la boîte d'un tiers : un délai minimal est imposé entre deux envois, et le volume total de messages émis par le service est plafonné. Ces limites sont appliquées par notre prestataire d'authentification.
Outre le code de vérification et le code de réinitialisation du mot de passe, les seuls messages automatiques que nous vous envoyons sont ceux que la loi nous impose (ci-dessous, « Obligation légale ») : confirmation d'achat, confirmation de résiliation, accusé de réception d'une rétractation et rappel de reconduction. Nous ne vous adressons aucune communication commerciale. Nous pouvons en revanche vous écrire personnellement, depuis support@lybou.com, pour vous notifier une décision de modération qui vous concerne (CGU, article 4) ou répondre à une demande.
Exécution du contrat (CGU) :
- Création et gestion du compte utilisateur (email, name, birthday, gender).
- Création et affichage de votre profil, y compris vos photos et votre enregistrement vocal, obligatoire : Lybou est une application où la voix précède l'image, et un profil ne peut pas être créé sans enregistrement. Le microphone n'est utilisé que lorsque vous enregistrez (profil, message vocal, invitation vocale).
- Mise en relation avec d'autres utilisateurs (interactions, conversations, messages, invitations vocales, blocage).
- Traitement de la location et de la city pour afficher les profils à proximité. Lybou est un service de mise en relation par proximité géographique : sans une position, même approximative, l'application ne peut pas constituer le fil de profils qui est sa fonction même. Ce traitement est donc fondé sur l'exécution du contrat. L'accès au GPS de votre téléphone, lui, est facultatif : si vous le refusez, l'application vous demande simplement votre ville, et vous pouvez la changer à tout moment (Paramètres → Préférences → Ma ville). Vous pouvez accorder ou retirer l'autorisation de localisation à tout moment dans les réglages de votre téléphone — voir le §7. Le nom de la ville est obtenu à partir de votre position, ou la ville que vous saisissez est convertie en position, par le service de géocodage du système de votre téléphone (Apple sur iOS, Google sur Android).
- Fourniture des fonctionnalités d'achat in-app (don "café" et abonnement Premium).
Exécution du contrat (article 6.1.b du RGPD) et consentement explicite (article 9.2.a) :
- Traitement de votre genre et du genre que vous recherchez (search_preferences.gender), qui, ensemble, peuvent révéler votre orientation sexuelle, pour vous proposer des profils compatibles et montrer votre profil aux personnes qui vous recherchent. Ces informations ne sont ni vendues ni utilisées à des fins publicitaires.
- Votre consentement est recueilli par une case distincte, non pré-cochée, sur l'écran où vous indiquez qui vous souhaitez rencontrer — séparément de l'acceptation des CGU —, et sa preuve est conservée (sensitive_data_consents). Vous pouvez le retirer à tout moment (Paramètres → Connexion → « Retirer mon consentement ») : l'application ne pouvant pas fonctionner sans ces informations, ce retrait entraîne la suppression de votre compte, ce que l'écran vous dit avant.
Consentement :
- Rapports de plantage (Firebase Crashlytics), désactivés par défaut (§5 et §7).
Intérêt légitime :
- Assurer la sécurité de la plateforme, modérer les comportements abusifs via les reports, appliquer les limites anti-abus et vérifier que les requêtes proviennent de l'application authentique.
- Sauvegarder les données pour pouvoir les restaurer après un incident (§5), et vérifier régulièrement si le service est en maintenance ou si votre version de l'application doit être mise à jour.
- Mesures prises automatiquement, sans intervention humaine préalable :
  - chaque photo est analysée avant publication (§5, Google Cloud Vision) ; une photo détectée comme sexuelle, suggestive ou violente est refusée automatiquement, et vous pouvez en proposer une autre ;
  - le prénom et la description sont comparés à une liste de termes injurieux ou offensants ; un texte qui en contient est refusé ;
  - lorsque deux personnes différentes signalent le même profil dans un intervalle de sept jours, son enregistrement vocal est masqué ; l'enregistrement d'une invitation vocale signalée peut l'être aussi. La mesure est conservatoire et réversible — l'enregistrement est conservé, pas détruit — et vous en êtes informé dans l'application. Le détail figure à l'article 4 des CGU.
  Aucune autre décision n'est prise de manière automatisée, et notamment jamais la suspension ou la fermeture d'un compte, toujours décidées par une personne. Vous pouvez à tout moment demander qu'une personne réexamine une mesure automatisée, présenter votre point de vue et la contester, en écrivant à support@lybou.com.
Obligation légale :
- Informer les autorités compétentes des contenus et des infractions que la loi nous impose de leur signaler (article 6 de la loi n° 2004-575 du 21 juin 2004, article 18 du règlement (UE) 2022/2065), et répondre aux réquisitions des autorités habilitées.
- Si vous êtes abonné à une formule trimestrielle ou annuelle, vous informer par un e-mail dédié, entre trois mois et un mois avant la date limite, de la possibilité de ne pas reconduire votre abonnement (article L. 215-1 du Code de la consommation), et conserver la date de cet envoi (email, renewal_reminders, transactional_emails).
- Vous adresser par e-mail la confirmation de votre contrat après un achat (article L. 221-13), la confirmation de votre résiliation (article L. 215-1-1) et l'accusé de réception de votre rétractation (article L. 221-21), conserver vos déclarations de rétractation et la trace de ces envois (email, prénom, achat concerné ; withdrawals, transactional_emails).
- En tant qu'hébergeur des contenus que vous publiez, conserver après la suppression de votre compte les données permettant de vous identifier comme leur auteur, pour les seules réquisitions des autorités judiciaires (article 6 de la loi n° 2004-575 du 21 juin 2004, décret n° 2021-1362 du 20 octobre 2021) : votre adresse électronique, votre prénom et votre date de naissance (votre « identité civile » au sens du décret), avec la date de création du compte, pendant cinq ans ; les adresses IP de vos sessions de connexion, chacune pendant un an à compter de la connexion. Votre mot de passe n'en fait pas partie.

Données obligatoires. Sont nécessaires à la création d'un compte et au fonctionnement du service : l'adresse électronique, le prénom, la date de naissance, le genre, le genre recherché, au moins une photo, la description, la taille, l'enregistrement vocal et une position (ou une ville). Sans elles, le compte ne peut pas être créé. Les centres d'intérêt et les habitudes de vie sont facultatifs.

4. Durées de Conservation (Data Retention)

Si vous n'avez pas terminé votre inscription. Ce paragraphe s'adresse à deux personnes que le reste de cette page ne concerne pas. La première a commencé une inscription et ne l'a pas terminée. La seconde n'a rien fait du tout : quelqu'un s'est trompé en saisissant son adresse électronique, et elle a reçu de notre part un message qu'elle n'attendait pas.

Ce qui existe alors de votre côté, dit précisément : un compte est créé dès l'envoi du formulaire, et non après la validation du code. Il porte votre adresse électronique et une empreinte du code envoyé ; il est marqué comme non finalisé, n'apparaît dans aucune recherche, n'est visible d'aucun autre utilisateur, et ne contient ni photo, ni enregistrement vocal, ni aucune des informations demandées plus loin dans l'inscription. Aucune adresse IP n'est enregistrée.

Si l'inscription n'est pas menée à terme, ce compte est entièrement supprimé au bout d'environ 24 heures — le compte, son profil et tout fichier associé — par une tâche automatique. La suppression du compte emporte l'empreinte du code avec elle. Ces données ne servent qu'à établir que vous avez la maîtrise de l'adresse saisie, ne sont jamais utilisées pour vous contacter à nouveau, et ne sont transmises à personne en dehors du prestataire qui acheminera le message (§5).

Si vous avez reçu un tel code sans l'avoir demandé, vous n'avez rien à faire : le compte incomplet disparaît de lui-même dans les 24 heures environ. Vous pouvez néanmoins nous écrire à l'adresse du §1 pour en demander la suppression immédiate.

Pour le reste, nos règles de conservation sont les suivantes :

Compte actif : Les données de profil et les messages sont conservés tant que le compte est actif.
Compte inactif : Conformément aux recommandations de la CNIL, tout compte inactif pendant 2 ans consécutifs (mesuré via last_seen) sera automatiquement et définitivement supprimé.
Données de localisation : La location n'est pas conservée sous forme d'historique. Seule la dernière position connue (last_location_update) est conservée et écrasée à chaque nouvelle mise à jour.
Invitations vocales : une invitation restée sans réponse pendant 30 jours est considérée comme refusée et son enregistrement est supprimé, sauf s'il fait l'objet d'un signalement en cours d'examen.
Compteurs d'actions : supprimés automatiquement au bout de 7 jours.
Sessions de connexion : conservées jusqu'à la déconnexion de l'appareil concerné ou la suppression du compte.
Rappels de reconduction : la ligne de suivi est conservée 400 jours après l'échéance concernée ; un rappel qui n'est plus dû (abonnement résilié) et n'a pas été envoyé est supprimé. La preuve de l'envoi suit la règle des e-mails légaux, ci-dessous.
E-mails légaux (confirmation d'achat, de résiliation, accusé de rétractation, rappel de reconduction) : la trace de l'envoi — type, date, version du modèle et copie exacte du message envoyé — est conservée 5 ans après l'envoi, le délai pendant lequel un litige peut être engagé (article 2224 du Code civil), même si vous supprimez votre compte.
Déclarations de rétractation : 5 ans après la déclaration, pour la même raison.
Preuve de votre consentement explicite (genre et genre recherché) : tant que votre compte existe.
Suppression de compte : En cas de demande de suppression, une procédure automatisée efface immédiatement les données de profil, les photos, l'enregistrement vocal, les interactions, les conversations et les messages. Les éléments suivants subsistent au-delà de cet effacement, et nous les énumérons tous plutôt que d'annoncer une exception unique :
- la ligne de signalement (motif, statut, date, décision), sans son contenu : votre identifiant en est retiré dès la suppression de votre compte, et elle ne subsiste que comme statistique ;
- les preuves d'un signalement et le texte libre qui l'accompagne — 2 ans, ou 6 mois après sa décision s'il est classé sans suite, voir le point suivant ;
- les données d'identification que la loi impose aux hébergeurs de garder, à la seule disposition des autorités judiciaires (§3) : adresse électronique, prénom, date de naissance et date de création du compte — 5 ans après la suppression ; adresses IP des sessions — 1 an à compter de chaque connexion (une adresse plus ancienne n'est pas conservée) ;
- la trace des e-mails légaux et vos déclarations de rétractation — 5 ans (ci-dessus) ;
- le journal des accès sensibles (qui a consulté un dossier de modération, et quand) — 90 jours ;
- le journal des notifications de paiement décrit au §2 (identifiant du compte, type d'événement, produit, numéro de transaction du magasin, sans montant) — 400 jours ;
- la file de reprise du nettoyage des fichiers, lorsqu'une suppression de média a échoué et doit être réessayée — jusqu'à résolution, puis 90 jours ;
- la file de résiliation d'abonnement, qui porte l'instruction d'arrêter de vous facturer ou la trace qu'un compte payant a été fermé — jusqu'à résolution, puis 2 ans, pour pouvoir répondre à une réclamation de prélèvement ;
- la file de propagation de l'effacement à nos sous-traitants (identifiant du compte, sous-traitant concerné, état de la demande) — jusqu'à résolution, puis 1 an, comme preuve que l'effacement a été demandé ;
- la copie de sauvegarde de la base, chiffrée et déposée chez GitHub — 30 jours, puis supprimée automatiquement (§5) ;
- la copie de sauvegarde de vos fichiers médias, chiffrée et déposée chez Cloudflare dans l'Union européenne — elle suit vos fichiers : une photo ou un vocal que vous supprimez en disparaît au plus tard 30 jours après (§5) ;
- chez RevenueCat, le gestionnaire des achats : nous lui demandons automatiquement d'effacer les données rattachées à votre compte ; l'historique de vos paiements reste détenu par Google ou Apple, selon leurs propres règles ;
- les rapports de plantage chez Firebase Crashlytics — 90 jours — et seulement si vous aviez activé cette collecte, qui est désactivée par défaut.
S'y ajoutent les journaux techniques de nos hébergeurs, dont la durée de conservation est fixée par eux et que nous n'avons pas établie à ce jour ; nous préférons l'écrire que de citer une durée que nous ne pourrions pas garantir.
Preuves de signalement (reports.evidence) : lorsqu'un utilisateur en signale un autre depuis une conversation, notre serveur enregistre au moment du signalement une copie des messages de cette conversation (jusqu'à 200 messages, incluant donc des messages des deux participants) ; lorsqu'il signale une invitation vocale, l'invitation et son enregistrement sont conservés de la même manière. Le but est de pouvoir instruire le signalement même si les comptes concernés sont supprimés entre-temps. Ces preuves sont conservées 2 ans à compter du signalement, puis effacées automatiquement par une tâche quotidienne ; lorsque le signalement est classé sans suite, elles le sont dès 6 mois après la décision. Au même terme, le signalement lui-même cesse d'être rattaché à quiconque : les identifiants du déclarant, de la personne signalée, de la conversation et de l'invitation en sont effacés, et ne restent que le motif, la date et la décision prise. La base légale invoquée est l'intérêt légitime à assurer la sécurité des utilisateurs (§3).
Données de facturation : nous ne détenons aucune facture individuelle : les paiements sont encaissés par Google et par Apple, qui conservent l'historique de vos achats selon leurs propres règles et obligations.

5. Partage des Données et Sous-traitants (Third-Party Services)

Nous ne vendons aucune donnée personnelle. Les autres utilisateurs voient les éléments de votre profil décrits à l'article 10 des CGU. Nous partageons en outre certaines informations avec des prestataires (sous-traitants) pour opérer le service :

Supabase : Fournisseur de base de données et d'authentification. Héberge les profils, les conversations, les sessions de connexion, ses propres journaux d'authentification techniques et les fichiers médias.
Brevo (Sendinblue SAS) : Acheminement du courrier électronique contenant le code de vérification décrit au §3 et le code de réinitialisation de mot de passe, ainsi que des e-mails que la loi nous impose (confirmation d'achat, de résiliation, accusé de rétractation, rappel de reconduction — §3). Ce prestataire reçoit votre adresse électronique, votre prénom et le contenu de ces messages, pour le seul acte de les livrer. Il ne reçoit aucune autre donnée, et n'est utilisé pour aucun envoi commercial.
RevenueCat : Gestionnaire des achats in-app. Traite le statut des transactions et conserve l'historique correspondant ; lorsque vous supprimez votre compte, nous lui demandons d'effacer vos données. Ce prestataire fait lui-même appel à ses propres sous-traitants — hébergement, analyse, supervision, et deux fournisseurs de services d'intelligence artificielle — dont la liste à jour est publiée dans l'annexe de son accord de traitement, à revenuecat.com/dpa. Nous ne reproduisons pas cette liste ici : elle change sans nous, et une copie périmée serait moins exacte que le renvoi.
Cloudflare, Inc. : Ce prestataire est sur trois chemins distincts. (a) Le test anti-robot qui protège la création de compte, la connexion et la réinitialisation de mot de passe est le service Turnstile de Cloudflare : à ce titre il reçoit votre adresse IP et des signaux techniques de votre navigateur, pour la seule durée du test. Ce contrôle est nécessaire à la sécurité du service et n'est pas optionnel — sans lui, ces trois formulaires sont ouverts aux inscriptions automatisées. (b) L'adresse de contact support@lybou.com n'est pas une boîte aux lettres mais un renvoi opéré par Cloudflare Email Routing vers une messagerie Gmail (voir Google ci-dessous). Les messages que vous nous adressez — y compris l'exercice de vos droits et la contestation d'une sanction — transitent donc par ce prestataire. (c) Une copie de sauvegarde de vos fichiers médias — photos et enregistrements vocaux — est déposée chaque nuit dans un espace de stockage Cloudflare R2 restreint à la juridiction « Union européenne » : ces octets ne quittent pas l'Union. Ils sont chiffrés avant de quitter notre infrastructure, contenu et noms de fichiers, et Cloudflare n'en détient pas la clé — ce prestataire héberge des fichiers qu'il ne peut pas lire. La structure des dossiers, elle, n'est pas chiffrée : ce prestataire voit qu'un compte identifié par un numéro possède un certain nombre de fichiers, sans pouvoir rattacher ce numéro à une personne ni lire aucun contenu. Un fichier supprimé chez nous disparaît de cette copie au plus tard 30 jours après.
GitHub, Inc. (filiale de Microsoft) : Une copie de sauvegarde de la base de données est produite chaque nuit et déposée chez ce prestataire, où elle est conservée 30 jours puis supprimée automatiquement. Elle contient l'ensemble des données de la base — profils, messages, et les informations d'authentification, dont votre adresse électronique. Elle est chiffrée avant de quitter notre infrastructure (AES-256, clé dérivée par PBKDF2) et GitHub n'en détient pas la clé : ce prestataire héberge un fichier qu'il ne peut pas lire. Les fichiers médias (photos, enregistrements vocaux) ne sont pas dans cette copie : ils font l'objet de la sauvegarde distincte décrite au point (c) ci-dessus.
Discord Netherlands B.V. : Les alertes de modération — un signalement déposé, un volume de consultation anormal — sont adressées à un salon privé de messagerie professionnelle accessible à la seule équipe de modération. Ces alertes ne contiennent aucun identifiant de compte : seulement le motif, la date et le numéro du signalement, qui ne permet de retrouver les personnes concernées que depuis notre base. Elles ne contiennent jamais le texte libre que vous écrivez dans un signalement : seule sa longueur est transmise. Ces limites sont imposées techniquement et non par consigne.
Google (Gmail) : La messagerie qui reçoit les messages adressés à support@lybou.com, et depuis laquelle nous vous répondons — y compris pour vous notifier une décision de modération.
Google / Firebase (Cloud Messaging) : Fournisseur de l'infrastructure de notifications push (fcm_token). Le corps de la notification transite par cette infrastructure — voir le §7 pour ce que cela implique et comment le limiter. Sur iPhone, la notification est remise par le service de notifications d'Apple (Apple Push Notification service).
Google / Firebase (App Check) : Vérifie que les requêtes proviennent bien de l'application authentique, installée sur un appareil intègre. Pour cela, un élément d'attestation produit par votre téléphone est transmis au service d'attestation du système (Google Play Integrity sur Android, Apple App Attest sur iOS) ; Firebase ne le conserve pas, et le jeton obtenu en retour expire au plus tard au bout de 7 jours. Aucun identifiant de votre compte n'y est transmis.
Google / Firebase (Hosting) : Héberge nos documents légaux, la page du test anti-robot, et un fichier d'état que l'application consulte régulièrement (environ toutes les cinq minutes) pour savoir si le service est en maintenance ou si une mise à jour est requise. À ce titre, Google reçoit l'adresse IP de l'appareil ; aucun identifiant de votre compte n'est transmis.
Google Cloud Vision (SafeSearch) : Toutes les photos de profil que vous envoyez sont analysées automatiquement par ce service avant publication, afin de détecter les contenus à caractère sexuel ou violent. Seule la détection SAFE_SEARCH_DETECTION est demandée : il n'y a aucune reconnaissance faciale ni aucun traitement biométrique. Les requêtes sont envoyées au point de terminaison européen dédié (eu-vision.googleapis.com), pour lequel Google garantit un stockage et un traitement uniquement dans l'Union européenne. Google n'utilise pas ces images pour entraîner ses modèles.
Firebase Crashlytics : Collecte des rapports de plantage (trace d'exécution, écran sur lequel l'erreur s'est produite, modèle d'appareil, version du système, identifiant d'installation et identifiant de votre compte — un numéro, sans votre nom ni votre adresse e-mail), conservés 90 jours par Google. L'identifiant de compte sert à retrouver le rapport correspondant quand vous nous signalez un problème. Le message d'une erreur peut, rarement, citer un fragment de ce qui était affiché à l'écran. Cette collecte est désactivée par défaut : nous vous posons la question une seule fois, à la première ouverture de l'application après votre connexion, avec deux réponses aussi simples l'une que l'autre ; elle ne démarre que si vous répondez oui, ou si vous l'activez plus tard dans Paramètres → Application → « Rapports de plantage », et s'arrête dès que vous la désactivez. Refuser ne change rien au fonctionnement de l'application.

Magasins d'applications. Google (Google Play) et Apple (App Store) vous fournissent l'application et encaissent vos achats en qualité de responsables de traitement indépendants : leurs propres politiques de confidentialité s'appliquent à ces opérations.

6. Transferts de Données hors UE (International Transfers)

Certains de nos sous-traitants peuvent héberger ou traiter des données sur des serveurs situés en dehors de l'Espace Économique Européen (EEE), notamment aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) validées par la Commission Européenne ou par le cadre de protection des données UE–États-Unis (Data Privacy Framework), pour garantir un niveau de protection équivalent au RGPD. Le détail, sous-traitant par sous-traitant :

Sous-traitant	Lieu de traitement	Encadrement du transfert	Accord de traitement (DPA)
Supabase	Union européenne (Irlande). Aucun transfert hors UE pour les données de profil, les conversations et les fichiers médias.	CCT intégrées au contrat (module 2), avec addenda britannique et suisse.	supabase.com/legal/dpa
Brevo (Sendinblue SAS)	Société française ; les serveurs qui traitent les messages sont en Union européenne (France et Belgique). Certains sous-traitants de Brevo sont toutefois établis hors de l'Union — le réseau de diffusion et le pare-feu applicatif ainsi que l'assistance (États-Unis) — et des sociétés du groupe Brevo accèdent aux serveurs européens depuis l'Allemagne, l'Inde et les États-Unis.	Clauses Contractuelles Types et cadre de protection des données UE—États-Unis (Data Privacy Framework), conformément à l'accord de traitement de Brevo, qui figure en annexe de ses conditions générales.	brevo.com/legal
RevenueCat	États-Unis	CCT (module 2) et IDTA pour le Royaume-Uni.	revenuecat.com/dpa
Google / Firebase (Cloud Messaging, Crashlytics, App Check, Hosting) et Gmail	Mondial. Ces services ne permettent pas de sélectionner une région de traitement.	Conditions de traitement des données de Google Cloud / Firebase / Google Workspace, incluant les CCT.	firebase.google.com/support/privacy et Cloud Data Processing Addendum
Apple (Apple Push Notification service)	Mondial, pour la remise des notifications sur iPhone.	Cadre de protection des données UE–États-Unis (Data Privacy Framework), auquel Apple Inc. est certifiée.	apple.com/legal/privacy
Cloudflare, Inc.	Mondial pour deux chemins sur trois. Le test anti-robot est servi par le nœud du réseau le plus proche de vous, et le renvoi de courrier de `support@lybou.com` emprunte la même infrastructure : le lieu de traitement n'y est pas sélectionnable. La sauvegarde des fichiers médias fait exception — son espace de stockage est restreint à la juridiction « Union européenne », donc ces octets ne quittent pas l'Union.	Clauses Contractuelles Types intégrées à l'accord de traitement de Cloudflare, avec addenda britannique et suisse.	cloudflare.com/cloudflare-customer-dpa
GitHub, Inc.	États-Unis. La copie de sauvegarde quotidienne y est déposée, chiffrée avant de quitter notre infrastructure et sans que le prestataire détienne la clé.	Clauses Contractuelles Types intégrées aux conditions de protection des données de Microsoft, dont GitHub est filiale.	docs.github.com — data protection agreement
Discord Netherlands B.V.	Mondial, avec une entité contractante établie aux Pays-Bas pour les personnes situées dans l'Espace Économique Européen.	Clauses Contractuelles Types intégrées à l'addendum de traitement des données de Discord.	discord.com — data processing addendum
Google Cloud Vision	Union européenne — nous utilisons le point de terminaison régional `eu-vision.googleapis.com`, pour lequel Google garantit un stockage et un traitement uniquement dans l'UE.	Cloud Data Processing Addendum, incluant les CCT.	Cloud Data Processing Addendum

7. Vos Droits (User Rights)

Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés »), vous disposez des droits suivants :

Droit d'accès et de portabilité : Obtenir une copie des données que nous détenons sur vous, directement depuis l'application via « Exporter mes données » dans les réglages, ou en nous écrivant.
Droit de rectification : Vous pouvez modifier vous-même dans l'application vos photos, votre enregistrement vocal, votre description, vos centres d'intérêt, vos habitudes de vie, votre taille, votre ville et vos critères de recherche. Pour corriger votre prénom, votre date de naissance ou votre genre, écrivez-nous.
Droit à l'effacement (Droit à l'oubli) : Vous pouvez supprimer l'intégralité de votre compte directement dans l'application via le menu des paramètres, ou en nous écrivant (voir la page Supprimer mon compte).
Droit à la limitation : Vous pouvez demander que le traitement de vos données soit temporairement limité, notamment le temps que nous vérifions une donnée que vous contestez ou une opposition que vous avez formée.
Droit d'opposition : Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime (§3). Nous cessons alors ce traitement, sauf motifs légitimes et impérieux qui prévalent sur vos intérêts, ou s'il est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice.
Droit de retrait du consentement : Vous pouvez retirer à tout moment un consentement que vous avez donné, sans que cela remette en cause les traitements déjà effectués : les rapports de plantage dans Paramètres → Application → « Rapports de plantage » ; le traitement de votre genre et de la préférence de genre en supprimant votre compte, ces données étant nécessaires à la constitution du fil de profils.
Autorisations du téléphone : l'accès au microphone n'est demandé que pour enregistrer ; vous pouvez le retirer dans les réglages de votre téléphone, ce qui n'efface pas votre enregistrement vocal. Vous pouvez également révoquer l'accès à la localisation de votre téléphone : l'application continue de fonctionner, à partir de la dernière position enregistrée ou de la ville que vous indiquez (Paramètres → Préférences → Ma ville). Une position, même approximative, reste nécessaire au service (voir §3) ; si vous ne souhaitez plus en fournir aucune, la voie appropriée est la suppression de votre compte, ci-dessus.
Rapports de plantage : la collecte des rapports de plantage (Firebase Crashlytics) est désactivée par défaut et ne démarre que sur votre réponse positive à la question posée une fois après votre connexion. Vous pouvez changer d'avis dans les deux sens, à tout moment, dans Paramètres → Application → « Rapports de plantage ». Aucun rapport n'est transmis tant que vous ne l'avez pas activée.
Directives après votre décès : vous pouvez définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès, et nous les adresser à l'adresse ci-dessous.
Décisions automatisées : voir le §3 pour les mesures prises automatiquement et la manière d'obtenir leur réexamen par une personne.

Pour exercer vos droits, écrivez-nous à support@lybou.com, de préférence depuis l'adresse rattachée à votre compte. Nous vous répondons dans un délai d'un mois à compter de la réception de votre demande ; ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, auquel cas nous vous en informons dans le premier mois.

Réclamation auprès de la CNIL. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes.

Aperçu des messages dans les notifications

Ce point n'est pas un droit au sens du RGPD mais un réglage qui a des conséquences sur la confidentialité de vos échanges, et il vaut mieux le savoir que le découvrir.

Par défaut, le texte du message que vous recevez est affiché dans la notification, comme dans la plupart des applications de messagerie. Pour l'afficher sur votre écran verrouillé, ce texte doit être transmis à l'infrastructure de notifications de Google (Firebase Cloud Messaging), qui est mondiale (voir §6), et, sur iPhone, à celle d'Apple. Cela concerne donc le contenu de conversations privées.

Vous pouvez désactiver cet aperçu : Paramètres → Application → « Masquer l'aperçu des messages ». La notification indique alors seulement qui vous a écrit, sans le contenu du message, et le texte de vos messages n'est plus transmis à ces infrastructures. Le prénom de l'expéditeur, lui, reste affiché.

Les messages vocaux n'ont jamais été concernés : leur contenu audio n'est pas transmis dans la notification, dans un cas comme dans l'autre.

Privacy Policy

Last updated: 20/10/2026

1. Identity of the data controller

The processing of personal data within the Lybou application is carried out by:

Name / company: DELEPORTE Hugo
Address: 5 rue Pierre et Marie Curie, 91400 Orsay, France
Registration: sole trader (EI), R.C.S. Évry 108 658 949
Contact e-mail: support@lybou.com

2. Data we collect

We collect various types of information when you use our application. In accordance with the data minimisation principle, only information necessary to the service is processed.

Category	Data names and descriptions	Source
E-mail address verification at sign-up	your e-mail address, as you type it (it is stored in lower case) a cryptographic hash of the 6-digit code sent to you — the code itself is never stored the dates on which a code was sent to you an account, created as soon as the form is submitted and flagged as not finalised until the code is validated a technical sign-in log kept by our authentication host	Entered by the person. See the box at the start of §4: if sign-up is not completed, the account and this data are deleted within roughly 24 hours.
Identity data	`id`: unique technical identifier `name`: first name or nickname `email`: e-mail address `birthday`: date of birth `gender`: your gender	Provided by the user at sign-up. The minimum age required is 18.
Profile data	`description`: your text bio `photos`: your profile pictures `size`: your height (in cm) `interests`: your interests (e.g. sport, art…) `lifestyles`: your lifestyle habits (e.g. smoker, sporty…) `voice_url`: the file of your introduction voice recording, mandatory for every profile `voice_duration`: the length of your voice recording `voice_hidden_path`, `voice_hidden_at`: if your voice recording has been hidden following reports (§3), the location of the kept recording and the date it was hidden — neither the identity of the people who reported nor their number `is_supporter`: the ☕ badge, visible to other users if you have made a donation	Provided by the user to build their public profile. What other users see of it is described in article 10 of the Terms of Use.
Search criteria	`search_preferences`: a set of filters, holding the gender of the people you are looking for (`search_preferences.gender`), the age range (`search_preferences.ageRange`) and the maximum distance (`search_preferences.max_distance`); for Premium subscribers, the advanced filters (interests, lifestyle habits, height, minimum length of the voice recording, online presence) `settings`: application settings (e.g. language, notifications, profile visibility, online status)	Set by the user in the application settings.
Location data	`location`: your position, rounded to about 100 m before it is sent `city`: city derived from your position, or the city you entered `last_location_update`: timestamp of the last position	Collected from the device's GPS if you allow it; otherwise, from the city you enter.
Communication data	`conversations`: a record of your chats or "matches", and of their progress `messages`: the content of the texts and audio you exchange `interactions`: your appreciation choices (like / dislike) `superlike_invitations`: the voice invitations you send or receive — a recording of at most 10 seconds, its recipient and its status (pending, accepted, declined) `blocked_users`: the people you have blocked	Generated by the user's activity.
Technical & security data	`fcm_token`: device identifier for push notifications `last_seen`: timestamp of your last connection `last_seen_build`: version number of the app used in your last session (to know which versions are still in use before retiring one) sign-in sessions: for each signed-in device, the IP address and the identifier of the software used (user agent), kept by our authentication host (Supabase) `reports`: reports made or received, for moderation — reason, optional free text, evidence (§4) action counters (likes, swipes, messages, file uploads, reports…) per day or per hour, used for anti-abuse limits the history of your acceptances of the legal documents (`user_consents`) and of your choices on crash reports (`crash_reporting_choices`) `renewal_reminders`: for a quarterly or annual subscription, the renewal date, the plan, the opt-out deadline (date and time) and the date on which we sent you the renewal reminder `sensitive_data_consents`: the proof of your explicit consent to the processing of your gender and of the gender you are looking for (date and time, text version, app version, platform, language) `withdrawals`: your withdrawal statements (date and time, purchase concerned, the name and e-mail address you gave, how the refund was handled) `transactional_emails`: the e-mails the law requires us to send you (type, date sent, template version, and the exact copy of the message sent: sender, your address, subject, text — your first name included — and attachment name) Technical authentication logs native to our host (Supabase), not stored in any dedicated application table	Generated automatically by the system and the application infrastructure.
Financial data	Google / Apple transaction identifiers The history of your payments ("coffee" donation, Premium subscription) is kept by the application stores that collect them (Google Play, Apple's App Store) and by our purchase manager (RevenueCat), and not in our own database The current status, however, is recorded in your profile, as two flags: `is_supporter` (you have made a donation — this is what displays the ☕ badge on your profile) and `is_premium` (your subscription is active), together with the subscription's expiry date when it is communicated to us A technical log of the payment notifications RevenueCat sends us: event identifier and type, product identifier (and the new product's, on a change of plan), the store concerned (Google Play or App Store), the store's transaction number (the one on your receipt), cancellation reason, event date, expiry date of the paid period, whether it is a resubscription, the account identifier concerned, and the outcome of processing. It contains no amount, no payment details and no means of payment. Without it, a purchase you paid for but which was not credited to your account would be invisible to us, and therefore uncorrectable. Retention: 400 days, then automatic deletion	Transmitted by Google Play Billing and by Apple's App Store, through RevenueCat (card numbers are never processed by our servers).

3. Purposes and legal basis

The GDPR requires every collection to be justified by a legal basis defined in article 6.

Legitimate interest — verifying your e-mail address: before creating your account, we send you a 6-digit code to establish that the address entered is indeed yours. This legal basis is neither the contract (at that moment you do not yet have an account, so no contract is formed) nor your consent (you have accepted nothing at that stage). The legitimate interest pursued is twofold, and the first is yours: your address is the one through which you will be able to reset your password and receive decisions concerning your account, so a mistyped address would make your account unrecoverable, with nothing to reveal it. The second is to prevent this send, which is reachable without being signed in, from being used to flood a third party's inbox: a minimum delay is imposed between two sends, and the total volume of messages issued by the service is capped. These limits are enforced by our authentication provider.
Besides the verification code and the password-reset code, the only automatic messages we send you are those the law requires (below, "Legal obligation"): purchase confirmation, cancellation confirmation, acknowledgement of a withdrawal and renewal reminder. We send you no commercial communication. We may, however, write to you personally, from support@lybou.com, to notify you of a moderation decision concerning you (Terms of Use, article 4) or to answer a request.
Performance of the contract (Terms of Use):
- Creation and management of the user account (email, name, birthday, gender).
- Creation and display of your profile, including your photos and your voice recording, which is mandatory: Lybou is an app where the voice comes before the face, and a profile cannot be created without a recording. The microphone is used only when you record (profile, voice message, voice invitation).
- Putting you in touch with other users (interactions, conversations, messages, voice invitations, blocking).
- Processing of the location and the city in order to show nearby profiles. Lybou is a service for putting people in touch by geographic proximity: without a position, even an approximate one, the application cannot build the profile feed that is its very purpose. This processing is therefore based on performance of the contract. Access to your phone's GPS, however, is optional: if you refuse it, the application simply asks for your city, which you can change at any time (Settings → Preferences → My city). You can grant or withdraw the location permission at any time in your phone's settings — see §7. The city name is obtained from your position, or the city you enter is converted into a position, by your phone's system geocoding service (Apple on iOS, Google on Android).
- Provision of the in-app purchase features ("coffee" donation and Premium subscription).
Performance of the contract (article 6.1.b GDPR) and explicit consent (article 9.2.a):
- Processing of your gender and of the gender you are looking for (search_preferences.gender), which together may reveal your sexual orientation, to suggest compatible profiles and to show your profile to the people looking for you. This information is neither sold nor used for advertising.
- Your consent is collected through a separate, unticked box on the screen where you say whom you want to meet — separately from accepting the Terms of Use — and its proof is kept (sensitive_data_consents). You can withdraw it at any time (Settings → Connection → "Withdraw my consent"): since the app cannot work without this information, withdrawing means deleting your account, which the screen tells you beforehand.
Consent:
- Crash reports (Firebase Crashlytics), disabled by default (§5 and §7).
Legitimate interest:
- Ensuring the security of the platform, moderating abusive behaviour through reports, enforcing anti-abuse limits and checking that requests come from the genuine application.
- Backing up data so that it can be restored after an incident (§5), and regularly checking whether the service is under maintenance or whether your version of the application must be updated.
- Measures taken automatically, with no prior human intervention:
  - every photo is analysed before publication (§5, Google Cloud Vision); a photo detected as sexual, suggestive or violent is refused automatically, and you may submit another one;
  - the first name and the description are compared against a list of insulting or offensive terms; a text containing one is refused;
  - when two different people report the same profile within seven days, its voice recording is hidden; the recording of a reported voice invitation may be too. The measure is precautionary and reversible — the recording is kept, not destroyed — and you are informed of it in the application. The detail is in article 4 of the Terms of Use.
  No other decision is taken by automated means, and in particular never the suspension or closure of an account, which are always decided by a person. You may at any time ask for a person to review an automated measure, express your point of view and contest it, by writing to support@lybou.com.
Legal obligation:
- Informing the competent authorities of the content and offences the law requires us to report to them (article 6 of French Act no. 2004-575 of 21 June 2004, article 18 of Regulation (EU) 2022/2065), and responding to requests from empowered authorities.
- If you subscribe to a quarterly or annual plan, informing you by a dedicated e-mail, between three months and one month before the deadline, that you may choose not to renew your subscription (article L. 215-1 of the French Consumer Code), and keeping the date of that sending (email, renewal_reminders, transactional_emails).
- Sending you by e-mail the confirmation of your contract after a purchase (article L. 221-13), the confirmation of your cancellation (article L. 215-1-1) and the acknowledgement of your withdrawal (article L. 221-21), and keeping your withdrawal statements and the record of those sendings (email, first name, purchase concerned; withdrawals, transactional_emails).
- As the host of the content you publish, keeping after the deletion of your account the data identifying you as its author, for requests from judicial authorities only (article 6 of French Act no. 2004-575 of 21 June 2004, decree no. 2021-1362 of 20 October 2021): your e-mail address, first name and date of birth (your "civil identity" under the decree), with the account creation date, for five years; the IP addresses of your sign-in sessions, each for one year from that connection. Your password is not part of it.

Mandatory data. The following are necessary to create an account and for the service to work: e-mail address, first name, date of birth, gender, gender sought, at least one photo, description, height, voice recording and a position (or a city). Without them, the account cannot be created. Interests and lifestyle habits are optional.

4. Data retention

If you did not finish signing up. This paragraph is addressed to two people whom the rest of this page does not concern. The first started signing up and did not finish. The second did nothing at all: somebody mistyped their e-mail address, and they received from us a message they were not expecting.

What then exists on your side, stated precisely: an account is created as soon as the form is submitted, and not after the code is validated. It holds your e-mail address and a hash of the code sent; it is flagged as not finalised, appears in no search, is visible to no other user, and contains neither photo, nor voice recording, nor any of the information requested later in the sign-up flow. No IP address is recorded.

If sign-up is not completed, that account is entirely deleted after roughly 24 hours — the account, its profile and any associated file — by an automated task. Deleting the account takes the code hash with it. This data serves only to establish that you control the address entered, is never used to contact you again, and is passed to nobody outside the provider that will deliver the message (§5).

If you received such a code without having asked for it, you need do nothing: the incomplete account disappears by itself within roughly 24 hours. You may nevertheless write to us at the address in §1 to ask for it to be deleted immediately.

Otherwise, our retention rules are as follows:

Active account: profile data and messages are kept for as long as the account is active.
Inactive account: in line with CNIL recommendations, any account inactive for 2 consecutive years (measured via last_seen) will be deleted automatically and permanently.
Location data: the location is not kept as a history. Only the last known position (last_location_update) is kept, and it is overwritten on each update.
Voice invitations: an invitation left unanswered for 30 days is treated as declined and its recording is deleted, unless it is the subject of a report under review.
Action counters: deleted automatically after 7 days.
Sign-in sessions: kept until the device concerned signs out or the account is deleted.
Renewal reminders: the tracking row is kept 400 days after the renewal date concerned; a reminder that is no longer due (subscription cancelled) and was not sent is deleted. The proof of sending follows the rule for legal e-mails, below.
Legal e-mails (purchase confirmation, cancellation confirmation, withdrawal acknowledgement, renewal reminder): the record of the sending — type, date, template version and exact copy of the message sent — is kept 5 years after sending, the period during which a claim may be brought (article 2224 of the French Civil Code), even if you delete your account.
Withdrawal statements: 5 years after the statement, for the same reason.
Proof of your explicit consent (gender and gender looked for): for as long as your account exists.
Account deletion: where deletion is requested, an automated procedure immediately erases profile data, photos, the voice recording, interactions, conversations and messages. The following items persist beyond that erasure, and we list them all rather than announcing a single exception:
- the report record (reason, status, date, decision), without its content: your identifier is removed from it as soon as your account is deleted, and it survives only as a statistic;
- the evidence of a report and the free text accompanying it — 2 years, or 6 months after the decision if the report is dismissed, see the next point;
- the identification data the law requires hosting providers to keep, available to judicial authorities only (§3): e-mail address, first name, date of birth and account creation date — 5 years after deletion; session IP addresses — 1 year from each connection (an older address is not kept);
- the record of legal e-mails and your withdrawal statements — 5 years (above);
- the sensitive-access log (who consulted a moderation file, and when) — 90 days;
- the payment notification log described in §2 (account identifier, event type, product, store transaction number, no amount) — 400 days;
- the file-cleanup retry queue, where a media deletion failed and has to be retried — until resolved, then 90 days;
- the subscription cancellation queue, which carries the instruction to stop billing you or the record that a paying account was closed — until resolved, then 2 years, so that a billing complaint can be answered;
- the erasure propagation queue to our processors (account identifier, processor concerned, state of the request) — until resolved, then 1 year, as proof that erasure was requested;
- the backup copy of the database, encrypted and deposited with GitHub — 30 days, then deleted automatically (§5);
- the backup copy of your media files, encrypted and deposited with Cloudflare inside the European Union — it follows your files: a photograph or a voice recording you delete disappears from it within 30 days at the latest (§5);
- at RevenueCat, the purchase manager: we automatically ask it to erase the data attached to your account; the history of your payments remains held by Google or Apple, under their own rules;
- the crash reports at Firebase Crashlytics — 90 days — and only if you had enabled that collection, which is disabled by default.
To these are added the technical logs of our hosting providers, whose retention period is set by them and which we have not established to date; we prefer to write that than to quote a period we could not guarantee.
Report evidence (reports.evidence): when one user reports another from a conversation, our server records at the moment of the report a copy of that conversation's messages (up to 200 messages, therefore including messages from both participants); when they report a voice invitation, the invitation and its recording are kept in the same way. The purpose is that the report can be examined even if the accounts concerned are deleted in the meantime. That evidence is kept 2 years from the report, then erased automatically by a daily task; when the report is dismissed, it is erased as soon as 6 months after the decision. At the same point, the report itself stops being linked to anyone: the identifiers of the reporter, the reported person, the conversation and the invitation are erased from it, leaving only the reason, the date and the decision taken. The legal basis relied on is the legitimate interest in ensuring users' safety (§3).
Billing data: we hold no individual invoice: payments are collected by Google and by Apple, which keep the history of your purchases under their own rules and obligations.

5. Data sharing and third-party services

We sell no personal data. Other users see the elements of your profile described in article 10 of the Terms of Use. We also share certain information with providers (processors) in order to operate the service:

Supabase: database and authentication provider. Hosts profiles, conversations, sign-in sessions, its own technical authentication logs and media files.
Brevo (Sendinblue SAS): delivery of the e-mail containing the verification code described in §3 and the password reset code, as well as of the e-mails the law requires us to send (purchase confirmation, cancellation confirmation, withdrawal acknowledgement, renewal reminder — §3). This provider receives your e-mail address, your first name and the content of those messages, for the sole act of delivering them. It receives no other data, and is used for no commercial sending.
RevenueCat: in-app purchase manager. Processes transaction status and keeps the corresponding history; when you delete your account, we ask it to erase your data. This provider itself relies on its own processors — hosting, analytics, monitoring, and two artificial-intelligence service providers — whose up-to-date list is published in the annex to its data processing agreement, at revenuecat.com/dpa. We do not reproduce that list here: it changes without us, and an outdated copy would be less accurate than the link.
Cloudflare, Inc.: this provider sits on three distinct paths. (a) The anti-bot challenge protecting account creation, sign-in and password reset is Cloudflare's Turnstile service: for that purpose it receives your IP address and technical signals from your browser, for the duration of the challenge only. This control is necessary to the security of the service and is not optional — without it, those three forms are open to automated sign-ups. (b) The contact address support@lybou.com is not a mailbox but a forwarder operated by Cloudflare Email Routing towards a Gmail mailbox (see Google below). Messages you send us — including the exercise of your rights and the appeal of a sanction — therefore pass through this provider. (c) A backup copy of your media files — photographs and voice recordings — is deposited every night in Cloudflare R2 storage restricted to the "European Union" jurisdiction: those bytes do not leave the Union. They are encrypted before they leave our infrastructure, contents and file names alike, and Cloudflare does not hold the key — this provider stores files it cannot read. The folder structure is not encrypted: the provider can see that an account identified by a number holds a certain number of files, without being able to tie that number to a person or to read any content. A file deleted on our side disappears from that copy within 30 days at the latest.
GitHub, Inc. (a Microsoft subsidiary): a backup copy of the database is produced every night and deposited with this provider, where it is kept for 30 days and then deleted automatically. It contains the whole of the database — profiles, messages, and the authentication records, including your e-mail address. It is encrypted before it leaves our infrastructure (AES-256, key derived with PBKDF2) and GitHub does not hold the key: this provider stores a file it cannot read. Media files (photos, voice recordings) are not in that copy: they are covered by the separate backup described in point (c) above.
Discord Netherlands B.V.: moderation alerts — a report being filed, an abnormal volume of consultation — are sent to a private professional messaging channel accessible to the moderation team alone. Those alerts contain no account identifier: only the reason, the date and the report number, which leads to the people concerned only through our database. They never contain the free text you write in a report: only its length is transmitted. These limits are enforced technically rather than by instruction.
Google (Gmail): the mailbox that receives messages sent to support@lybou.com, and from which we reply to you — including to notify you of a moderation decision.
Google / Firebase (Cloud Messaging): provider of the push notification infrastructure (fcm_token). The body of the notification passes through this infrastructure — see §7 for what that entails and how to limit it. On iPhone, the notification is delivered by Apple's notification service (Apple Push Notification service).
Google / Firebase (App Check): checks that requests come from the genuine app, installed on an unmodified device. To do so, an attestation item produced by your phone is sent to the system attestation service (Google Play Integrity on Android, Apple App Attest on iOS); Firebase does not keep it, and the token returned expires after 7 days at most. No identifier of your account is sent.
Google / Firebase (Hosting): hosts our legal documents, the anti-bot challenge page, and a status file the application checks regularly (about every five minutes) to know whether the service is under maintenance or an update is required. For that purpose Google receives the device's IP address; no identifier of your account is sent.
Google Cloud Vision (SafeSearch): all profile photos you upload are analysed automatically by this service before publication, in order to detect sexual or violent content. Only SAFE_SEARCH_DETECTION is requested: there is no facial recognition and no biometric processing. Requests are sent to the dedicated European endpoint (eu-vision.googleapis.com), for which Google guarantees storage and processing within the European Union only. Google does not use these images to train its models.
Firebase Crashlytics: collects crash reports (stack trace, the screen on which the error occurred, device model, system version, installation identifier and your account identifier — a number, without your name or email address), kept for 90 days by Google. The account identifier is used to find the matching report when you tell us about a problem. An error message may, rarely, quote a fragment of what was displayed on screen. This collection is disabled by default: we ask you once, the first time you open the app after signing in, with two answers that are equally simple; it starts only if you answer yes, or if you enable it later in Settings → Application → "Crash reports", and stops as soon as you disable it. Declining changes nothing about how the app works.

Application stores. Google (Google Play) and Apple (App Store) provide you with the application and collect your purchases as independent controllers: their own privacy policies apply to those operations.

6. International transfers outside the EU

Some of our processors may host or process data on servers located outside the European Economic Area (EEA), in particular in the United States. These transfers are governed by Standard Contractual Clauses (SCCs) approved by the European Commission or by the EU–US Data Privacy Framework, in order to guarantee a level of protection equivalent to the GDPR. The detail, processor by processor:

Processor	Place of processing	Transfer safeguard	Data processing agreement (DPA)
Supabase	European Union (Ireland). No transfer outside the EU for profile data, conversations and media files.	SCCs incorporated into the contract (module 2), with UK and Swiss addenda.	supabase.com/legal/dpa
Brevo (Sendinblue SAS)	A French company; the servers that process the messages are in the European Union (France and Belgium). Some of Brevo's own processors are, however, established outside the Union — the content delivery network and web application firewall, and support (United States) — and companies in the Brevo group access the European servers from Germany, India and the United States.	Standard Contractual Clauses and the EU—US Data Privacy Framework, in accordance with Brevo's data processing agreement, which is annexed to its terms of use.	brevo.com/legal
RevenueCat	United States	SCCs (module 2) and IDTA for the United Kingdom.	revenuecat.com/dpa
Google / Firebase (Cloud Messaging, Crashlytics, App Check, Hosting) and Gmail	Worldwide. None of these services allows a processing region to be selected.	Google Cloud / Firebase / Google Workspace data processing terms, including the SCCs.	firebase.google.com/support/privacy and Cloud Data Processing Addendum
Apple (Apple Push Notification service)	Worldwide, for delivering notifications on iPhone.	EU–US Data Privacy Framework, under which Apple Inc. is certified.	apple.com/legal/privacy
Cloudflare, Inc.	Worldwide for two paths out of three. The anti-bot challenge is served by the network node closest to you, and the mail forwarding of `support@lybou.com` uses the same infrastructure: the place of processing is not selectable there. The media file backup is the exception — its storage is restricted to the "European Union" jurisdiction, so those bytes do not leave the Union.	Standard Contractual Clauses incorporated into Cloudflare's data processing agreement, with UK and Swiss addenda.	cloudflare.com/cloudflare-customer-dpa
GitHub, Inc.	United States. The daily backup copy is deposited there, encrypted before it leaves our infrastructure and without the provider holding the key.	Standard Contractual Clauses incorporated into the data protection terms of Microsoft, of which GitHub is a subsidiary.	docs.github.com — data protection agreement
Discord Netherlands B.V.	Worldwide, with a contracting entity established in the Netherlands for people located in the European Economic Area.	Standard Contractual Clauses incorporated into Discord's data processing addendum.	discord.com — data processing addendum
Google Cloud Vision	European Union — we use the regional endpoint `eu-vision.googleapis.com`, for which Google guarantees storage and processing within the EU only.	Cloud Data Processing Addendum, including the SCCs.	Cloud Data Processing Addendum

7. Your rights

Under the GDPR and French Act no. 78-17 of 6 January 1978 ("Informatique et Libertés"), you have the following rights:

Right of access and portability: obtain a copy of the data we hold about you, directly from the application via "Export my data" in the settings, or by writing to us.
Right of rectification: you can change yourself, in the application, your photos, your voice recording, your description, your interests, your lifestyle habits, your height, your city and your search criteria. To correct your first name, date of birth or gender, write to us.
Right to erasure (right to be forgotten): you can delete your entire account directly in the application via the settings menu, or by writing to us (see the Delete my account page).
Right to restriction: you may ask for the processing of your data to be temporarily restricted, in particular while we verify data you dispute or an objection you have made.
Right to object: you may object at any time, on grounds relating to your particular situation, to processing based on our legitimate interest (§3). We then stop that processing, unless there are compelling legitimate grounds that override your interests, or it is necessary for the establishment, exercise or defence of legal claims.
Right to withdraw consent: you may withdraw a consent you have given at any time, without affecting processing already carried out: crash reports in Settings → Application → "Crash reports"; the processing of your gender and gender preference by deleting your account, as that data is necessary to build the profile feed.
Phone permissions: microphone access is requested only for recording; you can withdraw it in your phone's settings, which does not erase your voice recording. You can also revoke access to your phone's location: the application keeps working, from the last recorded position or from the city you enter (Settings → Preferences → My city). A position, even an approximate one, is still necessary for the service (see §3); if you no longer wish to provide any, the appropriate route is deleting your account, above.
Crash reports: the collection of crash reports (Firebase Crashlytics) is disabled by default and starts only if you answer yes to the question asked once after you sign in. You can change your mind either way, at any time, in Settings → Application → "Crash reports". No report is transmitted until you have enabled it.
Instructions after your death: you may set instructions concerning the retention, erasure and communication of your data after your death, and send them to us at the address below.
Automated decisions: see §3 for the measures taken automatically and how to have them reviewed by a person.

To exercise your rights, write to us at support@lybou.com, preferably from the address attached to your account. We reply within one month of receiving your request; that period may be extended by two months given the complexity or number of requests, in which case we inform you within the first month.

Complaint to the CNIL. If, after contacting us, you consider that your rights are not respected, you may lodge a complaint with the French data protection authority (Commission nationale de l'informatique et des libertés, CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes.

Message preview in notifications

This point is not a right within the meaning of the GDPR but a setting that has consequences for the confidentiality of your exchanges, and it is better to know about it than to discover it.

By default, the text of the message you receive is displayed in the notification, as in most messaging applications. In order to display that text on your lock screen, it must be transmitted to Google's notification infrastructure (Firebase Cloud Messaging), which is worldwide (see §6), and, on iPhone, to Apple's. This therefore concerns the content of private conversations.

You can turn this preview off: Settings → Application → "Hide message preview". The notification then indicates only who wrote to you, without the message content, and the text of your messages is no longer transmitted to those infrastructures. The sender's first name does remain displayed.

Voice messages were never concerned: their audio content is not transmitted in the notification, in either case.

La version française de ce document est la seule qui fait foi. En cas de divergence entre les deux langues, le texte français prévaut (droit français, juridiction française — CGU §8).
The French version of this document is the only authoritative one. In the event of any discrepancy between the two languages, the French text prevails (French law and jurisdiction — Terms of Use §8).