Chastikey est une application réservée aux personnes majeures (18 ans et plus), à thématique adulte. Cette politique explique quelles données nous traitons et pourquoi.
L’envoi d’un retour depuis la page publique /screenshot est facultatif. Tu peux l’envoyer anonymement ou indiquer un moyen de contact. En mode anonyme, aucun compte Chastikey ni moyen de contact n’est rattaché à la fiche de retour ; un contact n’est collecté que si tu le fournis explicitement.
Ta capture est réencodée dans ton navigateur avant l’envoi, puis conservée dans un stockage privé avec un chiffrement applicatif. Le texte décrivant la réponse que tu attendais, ainsi que le contact éventuellement fourni, sont aussi chiffrés. Le retour est consultable uniquement par un opérateur autorisé via MFA et n’est pas intégré automatiquement à un corpus IA. L’accès de revue expire après 90 jours ; les données chiffrées expirées sont ensuite supprimées par la purge automatique planifiée. Une empreinte technique anti-abus HMAC à sens unique peut être calculée séparément, mais n’est pas stockée dans la fiche de retour. Les analytics produit sont entièrement supprimées sur /screenshot et ses sous-routes.
Ta base de données est hébergée chez Neon, sur une infrastructure AWS située dans l'Union européenne (région eu-central-1, Francfort, Allemagne). Elle y a été transférée le 7 septembre 2026 ; elle se trouvait auparavant aux États-Unis. Tes conversations et la mémoire de ton keyholder y sont chiffrées, la clé maîtresse étant conservée en dehors de la base.
Certains sous-traitants listés plus bas restent établis hors de l'Union européenne — notamment les fournisseurs de modèles de langage, de génération d'images, de synthèse et de reconnaissance vocales, et de paiement. Ces transferts-là s'appuient sur les clauses contractuelles types de la Commission européenne, prévues aux contrats de sous-traitance.
Nous ne vendons pas tes données et n'affichons aucune publicité tierce.
Avec ton consentement, les analytics produit sont traités par PostHog Cloud EU. Tu peux retirer ce consentement à tout moment dans Réglages → Données & historique.
Le contenu intime n'est pas seulement « stocké de manière sécurisée » : il est chiffré avant d'être écrit, en AES-256-GCM. Chaque donnée reçoit sa propre clé, elle-même scellée par une clé maîtresse — et cette clé maîtresse ne se trouve pas dans la base.
Cela couvre aujourd'hui 112 colonnes réparties sur 61 tables : tes conversations avec ton keyholder, la mémoire qu'il garde de toi, tes photos et audios, tes notes privées, les données de tes jouets connectés, tes négociations de verrou.
Une copie complète de la base de données ne contient pas tes conversations. Elle contient des blocs illisibles de la forme c1.1.pr_HuSRC8bfjr13U…, et la colonne en clair est vide. L'hébergeur de la base ne peut pas les lire, et une fuite de cette base ne suffirait pas à les lire non plus.
Deux détails qui comptent :
Tes photos et tes audios sont chiffrés par un service dédié avant d'atteindre le stockage : le fournisseur de stockage ne détient, lui aussi, que du chiffré.
Beaucoup d'applications laissent croire que « tout est chiffré, personne ne voit rien ». Ce serait faux ici, et voici exactement où :
Voici la liste complète des prestataires susceptibles de traiter des données pour notre compte, et ce qu'ils font. Elle est tenue à jour ; la date en bas de page indique la dernière révision.
Pour générer les réponses de ton keyholder IA, le contenu de tes messages est transmis à un fournisseur de modèle de langage (sous-traitant) le temps de produire la réponse. Ce contenu n'est pas utilisé pour t'identifier ni revendu. Des échantillons anonymisés de ces échanges sont conservés temporairement pour améliorer la qualité du service.
Si tu choisis ton pseudo public de classement, ce pseudo seul est transmis à un fournisseur de modèle de langage pour vérifier qu'il peut être publié. Ton identifiant de compte, ton e-mail, tes XP et ton profil ne l'accompagnent jamais. Le pseudo n'est pas enregistré si ce contrôle est indisponible.
Ces fournisseurs sont situés hors Union européenne. Nous leur transmettons le contenu nécessaire à la réponse, jamais ton adresse e-mail ni ton identité.
Selon l'endroit où tu souscris, les paiements sont gérés par Apple (App Store) ou par Stripe (site web), et validés via RevenueCat. Aucune donnée bancaire ne transite par nos serveurs ni n'y est conservée.
Lorsque tu acceptes les CGU/CGV, confirmes les choix précontractuels d’un achat ou résilies un abonnement web, nous conservons une preuve pseudonymisée du document, de l’offre, des choix, de la date et, pour l’acceptation, un contexte technique limité (langue, canal, version du client et agent utilisateur), ainsi qu’un justificatif de résiliation. Cette conservation repose sur l’exécution du contrat et notre intérêt légitime à établir, exercer ou défendre des droits en justice. Ces preuves ne sont accessibles qu’au service et sont conservées au maximum pendant la durée de prescription applicable, puis supprimées.
Pour comprendre pourquoi certaines personnes ne renouvellent pas leur abonnement, et rendre les premières sessions meilleures, nous mettons en place à partir d'octobre 2026 les traitements ci-dessous. Aucun ne sert à de la publicité, et aucune de ces données n'est vendue. Pour t'opposer à l'un d'eux ou faire effacer ce qui te concerne, écris à support@rougetet.com : nous traitons la demande sous 30 jours.
| Traitement et finalité | Base légale | Données | Durée | Opposition |
|---|---|---|---|---|
| Événements de facturation Suivre la vie de ton abonnement (achat, renouvellement, résiliation, remboursement, incident de paiement), lutter contre la fraude et mesurer le renouvellement. |
Intérêt légitime. | Les événements transmis par RevenueCat : type, formule, boutique, prix et devise, dates, motif d'annulation ou d'expiration indiqué par la boutique, code d'offre, références de transaction ; ton identifiant de compte, tes identifiants RevenueCat et une empreinte à sens unique de ton compte. | 36 mois, pseudonymisés à la suppression de ton compte : ton identifiant de compte et tes identifiants RevenueCat sont alors effacés. Il reste l'empreinte à sens unique de ton compte et les références de transaction, avec l'événement lui-même (formule, prix, dates), jusqu'au terme des 36 mois. Ces données sont pseudonymes, pas anonymes : les références de transaction permettent encore de les rapprocher d'un achat. | Sur demande à support@rougetet.com, sauf ce qui reste nécessaire à la gestion des paiements ou à la défense de nos droits. |
| Motifs de départ Comprendre pourquoi tu pars, grâce à une question facultative après une résiliation : sur le site, dans un e-mail, ou une seule fois dans l'app. |
Ton consentement, donné en envoyant ta réponse. Un refus n'est gardé que pour ne jamais te reposer la question. | Le motif choisi dans une courte liste, ou ton refus de répondre ; un texte libre facultatif (500 caractères au plus, chiffré) ; la boutique, le canal de la question, la langue, la plateforme, la date et la référence de l'abonnement résilié. | Motif : 24 mois. Texte libre : 90 jours, lu par l'équipe seulement. À la suppression de ton compte, tout le reste est effacé : il ne reste que le motif choisi, la boutique, la plateforme et le mois, détachés de ton compte et sans aucun identifiant, jusqu'au terme des 24 mois. | Répondre est facultatif. Tu peux retirer ton consentement et faire effacer ta réponse à tout moment, sur demande à support@rougetet.com. |
| Retours rapides sur une réponse de l'IA Repérer les réponses répétitives, incohérentes ou qui ratent une action, grâce à des boutons de retour rapide dans l'écran de signalement d'une conversation. Un retour rapide n'est pas un signalement. |
Intérêt légitime (qualité du service). | La catégorie choisie, la référence chiffrée du message concerné, la conversation, la plateforme et la date. | 12 mois, puis suppression automatique. Effacés avec ton compte. | Facultatif : il suffit de ne pas t'en servir. Effacement sur demande à support@rougetet.com. |
| Test d'une inscription simplifiée Comparer une version simplifiée de l'inscription à la version actuelle, pour garder celle qui aide le mieux à démarrer. |
Intérêt légitime. | Ton appareil tire la version au sort à partir d'un identifiant aléatoire qui ne le quitte jamais. Seul le nom de la version que tu as vue, avec la plateforme et la date, est rattaché à ton compte, après ta première connexion. | Jusqu'à la fin du test, plus 3 mois. | Par simple demande à support@rougetet.com : nous retirons ce rattachement de ton compte. |
| Compteurs anonymes d'exposition Compter combien de fois chaque version de l'inscription est affichée, par jour et par plateforme. |
Intérêt légitime : mesure d'audience exemptée de consentement. | Un simple total par jour, version et plateforme, sans identifiant ni cookie de suivi. Ce traitement n'enregistre jamais ton adresse IP en clair. Pour limiter les abus, une empreinte à sens unique de ton adresse IP (HMAC à clé secrète) et le nombre de requêtes qui lui est associé sont gardés 24 heures dans notre cache (Upstash), puis expirent. Si ce cache est en panne, ce compteur est tenu à sa place dans notre base de données, où l'empreinte n'est pas encore effacée automatiquement ; en dernier recours, dans la mémoire du serveur, perdue à son arrêt. | Totaux : 25 mois au plus. Empreinte anti-abus : 24 heures dans le cache ; sans effacement automatique à ce jour si elle a dû être écrite en base (voir « Données »). | Sans objet : un total ne peut pas être relié à toi. |
Tu n'as rien à nous demander pour l'essentiel. Dans Réglages → Vos données, tu vois chaque photo envoyée ou reçue — dans toutes tes conversations, y compris celles qu'un changement de keyholder a retirées — avec sa date et sa taille, et tu la supprimes toi-même. Le fichier est retiré du stockage avant que l'app ne te dise quoi que ce soit ; si une suppression échoue, elle est annoncée comme un échec, jamais arrondie à « terminé ». Le message garde sa place dans la conversation, sans son image. Au même endroit : ce que ton IA retient (à oublier point par point ou en bloc) et la suppression de ton compte, immédiate, depuis les Réglages.
Pour tout le reste — accès, rectification, portabilité, ou une donnée que l'app ne te montre pas encore — écris à support@rougetet.com. Nous traitons la demande sous 30 jours.
Chastikey is intended for adults (18+) and contains adult-oriented themes. This policy explains what data we process and why.
Submitting feedback through the public /screenshot page is optional. You may submit anonymously or include a contact detail. In anonymous mode, no Chastikey account or contact detail is attached to the feedback record; a contact detail is collected only when you explicitly provide one.
Your screenshot is re-encoded in your browser before upload, then kept in private storage with application-level encryption. The text describing the response you expected, and any contact detail you provide, are also encrypted. The submission can be reviewed only by an MFA-authorized operator and is not automatically included in an AI corpus. Review access expires after 90 days; expired encrypted data is then removed by the scheduled automatic purge. A one-way HMAC technical anti-abuse fingerprint may be computed separately, but is not stored in the feedback record. Product analytics are fully suppressed on /screenshot and its descendant routes.
Your database is hosted by Neon, on AWS infrastructure in the European Union (eu-central-1, Frankfurt, Germany). It was moved there on 7 September 2026; before that it was in the United States. Your conversations and your keyholder's memory are encrypted there, with the master key held outside the database.
Some processors listed below remain established outside the European Union — in particular the language-model, image-generation, speech-synthesis, speech-recognition and payment providers. Those transfers rely on the European Commission's Standard Contractual Clauses, set out in the processing agreements.
We do not sell your data and show no third-party ads.
With your consent, product analytics are processed by PostHog Cloud EU. You can withdraw consent at any time under Settings → Data & history.
Intimate content is not merely "stored securely": it is encrypted before it is written, using AES-256-GCM. Each piece of data gets its own key, itself sealed by a master key — and that master key is not in the database.
This currently covers 112 columns across 61 tables: your conversations with your keyholder, the memory it keeps of you, your photos and audio, your private notes, your connected-toy data, your lock negotiations.
A full copy of the database does not contain your conversations. It contains unreadable blocks that look like c1.1.pr_HuSRC8bfjr13U…, with the plaintext column left empty. The database host cannot read them, and a breach of that database would not be enough to read them either.
Two details that matter:
Your photos and audio are encrypted by a dedicated service before they reach storage, so the storage provider holds only ciphertext as well.
Plenty of apps imply that "everything is encrypted, nobody can see anything". That would be false here, and this is exactly where:
Here is the full list of providers that may process data on our behalf, and what each one does. It is kept current; the date at the foot of this page is its last revision.
To generate your AI keyholder's replies, your message content is sent to a language-model provider (a processor) only to produce the response. It is not used to identify you and is not resold. Anonymised samples of these exchanges are kept temporarily to improve service quality.
If you choose your public ranking pseudonym, that pseudonym alone is sent to a language-model provider to check that it can be published. Your account identifier, email, XP and profile never accompany it. The pseudonym is not saved if that check is unavailable.
These providers are located outside the European Union. We send them the content needed to write the reply, never your email address or your identity.
Depending on where you subscribe, payments are handled by Apple (App Store) or by Stripe (website), and validated through RevenueCat. No payment-card data passes through our servers or is stored by us.
When you accept the Terms, confirm pre-contract purchase choices or cancel a web subscription, we keep pseudonymous evidence of the document, offer, choices and date and, for acceptance, limited technical context (language, channel, client version and user agent), together with a cancellation receipt. This is based on contract performance and our legitimate interest in establishing, exercising or defending legal claims. Only the service can access it; it is kept no longer than the applicable limitation period and then deleted.
To understand why some people do not renew their subscription, and to make first sessions better, we are introducing the processing below from October 2026. None of it is used for advertising, and none of this data is sold. To object to any of it or have what concerns you erased, email support@rougetet.com: we action requests within 30 days.
| Processing and purpose | Legal basis | Data | Retention | Objection |
|---|---|---|---|---|
| Billing events Following your subscription's lifecycle (purchase, renewal, cancellation, refund, payment problem), preventing fraud and measuring renewal. |
Legitimate interest. | The events sent by RevenueCat: type, plan, store, price and currency, dates, the cancellation or expiry reason given by the store, offer code, transaction references; your account identifier, your RevenueCat identifiers and a one-way fingerprint of your account. | 36 months, pseudonymised when you delete your account: your account identifier and your RevenueCat identifiers are then erased. What remains is the one-way fingerprint of your account and the transaction references, with the event itself (plan, price, dates), until the 36 months end. This data is pseudonymous, not anonymous: the transaction references can still be matched to a purchase. | On request to support@rougetet.com, except what remains necessary to manage payments or defend our rights. |
| Reasons for leaving Understanding why you leave, through an optional question after a cancellation: on the website, in an email, or once in the app. |
Your consent, given by sending your answer. A refusal is kept only so we never ask you again. | The reason picked from a short list, or your refusal to answer; optional free text (500 characters at most, encrypted); store, the channel the question came through, language, platform, date and a reference to the cancelled subscription. | Reason: 24 months. Free text: 90 days, read by the team only. When you delete your account, everything else is erased: only the reason you picked, the store, the platform and the month remain, detached from your account and with no identifier, until the 24 months end. | Answering is optional. You can withdraw your consent and have your answer erased at any time, on request to support@rougetet.com. |
| Quick feedback on an AI reply Spotting replies that are repetitive, incoherent or get an action wrong, through quick-feedback buttons on the screen used to report a conversation. Quick feedback is not a report. |
Legitimate interest (service quality). | The category chosen, an encrypted reference to the message concerned, the conversation, platform and date. | 12 months, then deleted automatically. Erased with your account. | Optional: simply don't use it. Erasure on request to support@rougetet.com. |
| Simplified sign-up test Comparing a simplified sign-up with the current one, to keep whichever helps people get started best. |
Legitimate interest. | Your device draws the version at random from a random identifier that never leaves it. Only the name of the version you saw, with the platform and date, is attached to your account, after your first sign-in. | Until the end of the test, plus 3 months. | By simple request to support@rougetet.com: we remove that link from your account. |
| Anonymous exposure counters Counting how many times each sign-up version is shown, per day and per platform. |
Legitimate interest: audience measurement exempt from consent. | A plain total per day, version and platform, with no identifier and no tracking cookie. This processing never records your IP address in the clear. To limit abuse, a one-way fingerprint of your IP address (a keyed HMAC) and the request count attached to it are kept for 24 hours in our cache (Upstash), then expire. If that cache is down, the counter is kept in our database instead, where the fingerprint is not yet deleted automatically; as a last resort, in the server's memory, lost when it stops. | Totals: 25 months at most. Anti-abuse fingerprint: 24 hours in the cache; no automatic deletion yet if it had to be written to the database (see “Data”). | Not applicable: a total cannot be linked to you. |
For the things that matter most, you don't have to ask us. In Settings → Your data you can see every picture you have sent or received — across every conversation, including the ones a keyholder change retired — with its date and size, and delete it yourself. The file is removed from storage before the app tells you anything; if a deletion fails, it is reported as a failure and never rounded up to "done". The message keeps its place in the conversation, without its picture. The same screen holds what your AI remembers (forget one item or all of them) and deleting your account, which takes effect immediately from Settings.
For anything else — access, correction, portability, or data the app does not surface yet — email support@rougetet.com. We action requests within 30 days.