Cette page dit ce que CherryCare fait de vos données. Elle décrit le service tel qu'il fonctionne aujourd'hui, et non ce qu'il serait agréable d'annoncer. Quand une protection n'existe pas encore, c'est écrit ici, en toutes lettres.
Pour ouvrir un compte, une seule chose est demandée : une adresse électronique ou un numéro de téléphone. C'est là que part votre code de connexion, et c'est là que partiront les rappels de rendez-vous.
Aucun mot de passe n'est utilisé ni enregistré. On entre avec un code à six chiffres, à usage unique.
Un code public vous est attribué au hasard à la création du compte. Il ne dérive d'aucune de vos données et ne change jamais. C'est lui, et lui seul, que voit la personne en face.
Ensuite, il n'y a que ce que vous écrivez vous-même : vos messages, l'avis que vous déposez, le motif que vous donnez en annulant un rendez-vous, le texte d'un signalement. Et vos rendez-vous et vos paiements.
Aucun motif de consultation ne vous est demandé, à aucun moment. Réserver demande un professionnel, une date et une durée : rien sur ce qui vous amène.
Notre application n'enregistre aucune adresse IP. Les journaux de notre futur hébergeur, eux, ne dépendront pas de nous — et cet hébergeur n'est pas encore choisi.
Vos messages sont chiffrés dans notre base, en AES-256-GCM, avec une clé qui ne sert qu'à la messagerie. Si un message était modifié directement en base, le déchiffrement le rejetterait au lieu de rendre un texte de travers.
Les coordonnées de reversement d'un professionnel sont chiffrées avec une clé différente de celle des messages. Elles ne sortent jamais en clair de nos serveurs : leur propriétaire lui-même n'en voit qu'un masque, quelques chiffres au début et à la fin.
En production, le service refuse de démarrer si l'une de ces clés manque. Il vaut mieux une panne visible qu'une base qui se remplit en clair sans que personne ne s'en aperçoive.
LimiteCe n'est pas du chiffrement de bout en bout. Notre serveur déchiffre vos messages parce que c'est ainsi qu'il repère les tentatives d'échange de coordonnées. Nous pouvons donc techniquement les lire, et cette page ne prétendra pas le contraire.
LimiteEntre votre écran et celui de l'autre personne, le message passe en clair par notre bus de diffusion interne. Il n'est chiffré qu'une fois posé en base.
LimiteLes fichiers déposés — diplôme, attestation, pièce d'identité — ne sont pas chiffrés par l'application sur le stockage. Ils y portent un nom qui ne désigne personne, et ne s'ouvrent que par un lien signé de courte durée.
LimiteNous ne promettons rien sur le trajet réseau. Ni HTTPS, ni HSTS, ni politique de sécurité de contenu ne sont configurés à ce jour : cela dépendra de l'hébergeur, qui n'est pas choisi. Tant que ce n'est pas fait, cette page ne peut pas prétendre le contraire.
Le code de connexion n'est jamais conservé en clair : la base n'en garde qu'une empreinte argon2. Il vaut cinq minutes, cinq essais, et cinq demandes par heure pour une même destination.
Les lignes de codes sont réellement supprimées vingt-quatre heures après leur création, par un balayage horaire. Pas vidées : supprimées.
Le cookie qui garde votre session est inaccessible au JavaScript de la page, et n'accompagne pas les requêtes déclenchées depuis un autre site.
Cinq éléments nommés sont retirés de nos journaux techniques : l'en-tête d'autorisation, le cookie reçu, le cookie posé, et deux champs de formulaire dont le code de connexion.
LimiteNos journaux ne sont pas vides de données personnelles pour autant. Seuls ces cinq éléments-là en sont retirés ; le reste de ce qui passe par une requête peut s'y retrouver.
Dans le fonctionnement normal de CherryCare : votre code public, et rien d'autre. Ni nom, ni adresse, ni numéro, ni identifiant interne. Le tri se fait au moment où la donnée quitte le serveur, requête par requête : un champ jamais envoyé au navigateur ne peut pas s'échapper.
LimiteCette protection n'est pas réciproque, et c'est voulu. Le professionnel, lui, est identifié : son nom, son titre, ses langues et les publics qu'il reçoit sont publics. Vous le choisissez en sachant qui il est ; il ne sait de vous que ce que vous choisissez de lui dire.
LimiteCette protection connaît des exceptions : lorsque la sécurité d'une personne — la vôtre ou celle d'un tiers — peut être gravement menacée, CherryCare peut être amenée à agir, conformément aux règles applicables.
Une séance n'est ni enregistrée, ni transcrite, ni analysée. Le jeton qui vous ouvre la salle ne porte aucun droit d'enregistrement, et le service ne prévoit aucune fonction pour lui en ajouter un.
Aucun texte ne peut être échangé pendant la séance : le canal de données est fermé. Ce qui s'écrit passe par la messagerie ou ne passe pas.
Le prestataire de visioconférence ne reçoit aucune donnée personnelle. Les participants ne lui sont désignés que par leur code public, et aucun nom d'affichage ne lui est transmis.
LimiteCe prestataire peut tout de même reconstituer qui a parlé à qui, quand, et combien de temps — sous des codes publics. Et comme votre navigateur lui parle directement, il reçoit votre adresse IP. Nous ne pouvons pas l'empêcher : c'est ainsi qu'un appel fonctionne.
L'heure à laquelle chacun entre dans la salle et en sort est conservée. Elle sert à constater qu'une personne ne s'est pas présentée, et à trancher un litige.
Ce que vous écrivez à Cherry IA est transmis à Mistral, société française, dont les serveurs sont en Union européenne. C'est le seul prestataire qui reçoive du texte en clair, et c'est ce que vous lui écrivez à elle : rien d'autre ne lui est envoyé.
Elle ne reçoit ni votre code public, ni votre adresse, ni votre dossier, ni vos rendez-vous, ni un mot de ce que vous échangez avec un praticien. Elle ne peut donc pas relier deux conversations à la même personne, même en le voulant.
Nous employons une offre qui n'entraîne pas ses modèles sur ce que vous écrivez. Le service refuse de démarrer tant que cette condition n'est pas confirmée explicitement, précisément parce que l'offre gratuite du même fournisseur, elle, s'en servirait.
De notre côté, ces conversations sont chiffrées, sous une clé distincte de celle de la messagerie : une clé compromise n'ouvrirait pas l'autre. Elles sont effacées automatiquement trente jours après le dernier message.
Ce que vous écrivez à Cherry IA est lu par un dispositif local, sur nos serveurs, avant tout envoi : il cherche les signes d'un danger immédiat pour afficher les secours. Il ne pose aucune étiquette sur votre compte, n'alerte personne, et ne constitue aucune liste.
LimiteCe que nous ne pouvons pas promettre à sa place : ce que Mistral conserve de son côté, et combien de temps, relève de son contrat, pas du nôtre. Et parce que ce texte sort de nos serveurs, il quitte notre chiffrement le temps du trajet et du traitement.
Aucun courriel ne contient le nom de l'autre partie, ni le motif d'une consultation, ni le motif d'un refus de dossier, ni aucun montant. Il n'y a qu'une référence de rendez-vous et ce qu'il faut faire.
Nos courriels ne chargent aucune image distante. Les ouvrir ne nous apprend donc pas que vous les avez lus.
La file d'envoi, en base, ne contient aucune coordonnée. L'adresse est retrouvée au dernier moment, juste avant l'envoi.
LimiteIl n'existe aucun désabonnement. Le seul geste qui arrête les rappels d'un rendez-vous est d'annuler ce rendez-vous — ou de fermer son compte.
Quand un établissement de paiement sera raccordé, il ne recevra que trois choses : une description (« CherryCare — séance CU-… »), un montant, une devise. Ni votre nom, ni votre téléphone, ni votre adresse, ni votre courriel.
Aucun encaissement ni virement réel n'a lieu à ce jour. La passerelle en place est un bac à sable : rien ne part chez qui que ce soit.
Aucune fonctionnalité de notre back-office ne permet de consulter le contenu de vos échanges. Ce qui est réservé à l'équipe porte sur les dossiers de candidature des professionnels, la modération des avis, l'examen des signalements et les reversements : aucune de ces fonctions ne touche à une conversation.
Toute fonction de l'API exige une authentification par défaut. Ouvrir un accès au public est un geste explicite, écrit route par route : on ne peut pas exposer une donnée en oubliant de la protéger, seulement en décidant de l'ouvrir.
La personne signalée n'apprend jamais qui l'a signalée.
LimiteTrois choses passent tout de même sous les yeux de l'équipe : un extrait MASQUÉ quand le filtre anti-coordonnées se déclenche sur un message, le commentaire d'un avis avant sa publication, et les pièces qu'un professionnel dépose — c'est l'objet même du contrôle.
Un bouton sur Mes données télécharge un fichier JSON : votre compte, votre profil et la personne à prévenir que vous avez désignée, ce que vous avez partagé et avec qui, vos rendez-vous, vos paiements, vos avis, les messages que vous avez écrits et les signalements que vous avez déposés. Les messages de l'autre personne n'y sont pas : ils lui appartiennent.
LimiteCet export est taillé pour un client. Un professionnel qui l'utilise n'y trouvera ni son profil, ni ses pièces justificatives, ni les séances qu'il a données, ni ses gains. C'est une lacune, pas une protection.
Sur le même écran, en écrivant le mot EFFACER. C'est immédiat et sans retour. Votre adresse, votre téléphone, votre profil, le contenu de vos messages et les commentaires de vos avis disparaissent.
Les fichiers que vous avez déposés sont retirés du stockage avant tout le reste. Si l'un d'eux ne peut pas l'être, votre compte n'est pas effacé et l'écran vous le dit : mieux vaut un départ à recommencer qu'un départ annoncé qui laisserait une copie de pièce d'identité derrière lui.
LimiteFermer un compte n'efface pas tout. Vos rendez-vous, vos paiements et les écritures comptables sont conservés sans limite de durée, ainsi que votre code public, parce qu'une plateforme qui encaisse doit pouvoir justifier ses écritures. Ce qui reste ne porte plus rien qui vous désigne.
LimiteDeux situations empêchent le départ : un rendez-vous encore à venir, qu'il faut annuler d'abord, et — pour un professionnel — un reversement non abouti.
LimiteAucun écran, aucune route ne le permet aujourd'hui. Vous ne pouvez corriger vous-même ni votre adresse, ni votre téléphone. Un professionnel dont le dossier est déjà accepté ne peut pas non plus le modifier seul. Le seul recours est de nous écrire, à l'adresse indiquée en bas de cette page.
Un professionnel peut se retirer de l'annuaire depuis son espace. C'est immédiat et réversible.
Aucun écran ne le fait encore. Écrivez-nous : c'est aujourd'hui le seul chemin.
LimiteLe diplôme et les attestations ne sont pas purgés. Seule la pièce d'identité l'est — et seulement si le contrôle a confirmé l'identité : sinon, aucune échéance n'est posée sur le fichier.
LimiteCertaines données n'ont aucune durée de conservation définie à ce jour : le motif d'une annulation, le contenu d'un signalement, les notes d'examen d'un dossier, et les heures d'entrée et de sortie de séance. Nous préférons l'écrire plutôt que de vous laisser croire à une limite qui n'existe pas.
Lecture de l'hébergeur…
Lecture de l'identité de l'éditeur…
Si notre réponse ne vous convient pas, vous pouvez saisir l'APDP — l'Autorité de protection des données à caractère personnel, au Bénin.
Cette page décrit le service tel qu'il était le 14 août 2026.