Mentions légales

Éditeur

L’application foodjis et ce site sont édités par l’association « Friends of OpenPGP » (foopgp), association de droit français déclarée sous le numéro RNA W052008166.

75, impasse Serre des Isnards — 05000 Pelleautier, France
info@foopgp.org

Ses statuts, et les mentions légales de l’association elle-même, se lisent sur foopgp.org.

Ce site

Ce site ne contient ni cookie ni traceur. Il ne vous demande pas de compte et ne contient pas de formulaire ; la page des clés de sécurité intègre celui de HelloAsso, par lequel se règle la cotisation à l’association. Ce formulaire n’est chargé que lorsque vous appuyez sur « Cotiser » : vos échanges se font alors avec HelloAsso, selon ses propres conditions et sa politique de confidentialité.

Comme tout serveur web, celui qui héberge ce site peut tenir un journal des accès.

L’application foodjis

Confidentialité

foodjis n’affiche aucune publicité, ne mesure aucune audience, ne demande aucun compte et ne collecte aucune donnée à votre insu.

Voici ce que l’application échange sur le réseau, et avec qui :

Les serveurs de certificats inscrits dans sa configuration. Elle y envoie votre certificat quand vous le publiez ou le modifiez, et y cherche ceux de vos contacts. L’application propose des serveurs par défaut, dont celui de l’association ; vous pouvez les remplacer à votre guise.
OpenStreetMap, pendant la génération d’une identité : la carte sur laquelle vous désignez un lieu vient de ce service, qui voit alors votre adresse IP et la zone affichée.
Le domaine de l’adresse d’un contact, quand il publie lui-même les certificats de ses adresses (WKD) et que vous cherchez ce contact.

Ces échanges se font en HTTPS. Comme tout serveur web, ceux-là peuvent garder des journaux d’accès.

Un certificat PGP est un document public par nature. Il porte ce que vous y mettez, au minimum :

une adresse électronique ;
un nom ou un pseudonyme ;
un identifiant (EID). Celui d’une personne physique dérive de son état civil et de son pays et date de naissance, celui de toute autre entité (personne morale) se définit par un instant et un lieu de première apparition.

Un certificat publié ne peut pas être effacé. Les serveurs de certificats se recopient entre eux et ne suppriment rien : c’est la nature même de PGP. Ce qui se fait, et que vous pouvez faire depuis foodjis, c’est révoquer : déclarer publiquement qu’une identité ou un certificat n’est plus valable.

Vos secrets cryptographiques sont stockés sur les QR codes que vous imprimez lors de la génération de votre identité. Ils sont ensuite injectés sur votre clé de sécurité sans jamais être exposés. Ils ne peuvent en sortir. Cette clé physique de sécurité vous permet alors de signer numériquement, de déchiffrer vos données, ou de vous authentifier sur des services tiers.

La clé de sécurité nécessite un code PIN que vous choisissez, qui peut être gardé en mémoire par foodjis pour la durée que vous choisissez. Le journal de session disparaît avec la session.

Les contacts, les certificats et les réglages que l’application garde restent sur votre téléphone.

Autorisations

NFC, pour lire votre clé de sécurité ;
appareil photo, pour lire un QR code, quand vous le demandez ;
position approximative, seulement si vous appuyez sur « Ici » en générant une identité ;
réseau, pour les échanges décrits plus haut ;
notifications et fonctionnement en arrière-plan, pour la persistance : garder le code PIN le temps choisi et rafraîchir vos certificats. Elle se désactive dans la configuration.

Licence

foodjis est un logiciel libre, distribué sous licence GPL-3.0-only. Le code source de chaque version est remis à quiconque détient l’application et le demande à info@foopgp.org.

Marques

Google Play et le logo Google Play sont des marques de Google LLC.