Vie privée par architecture, pas par promesse
Une politique de confidentialité est une promesse. Une app sans serveurs est un fait. Voilà la différence, dans le code.
Le modèle de la promesse
La plupart des produits « privacy-first » sont organisés autour d'une promesse : nous collectons vos données, mais nous promettons d'en prendre soin. Parfois la promesse est sincère. Parfois elle survit à un changement de PDG. Parfois elle ne survit pas à une assignation. La promesse, par construction, ne dure que ce que dure l'entreprise qui l'a faite.
Le modèle de l'architecture
Une autre voie : construire le produit pour que la promesse devienne physiquement inutile. Pas de comptes. Pas de télémétrie. Pas de synchronisation cloud. Coupez la permission réseau et l'app continue de fonctionner. La propriété de confidentialité n'est pas affirmée par une page de politique — elle est imposée par l'absence de code capable de la violer.
En pratique cela veut dire :
- Aucun SDK d'analytics. Ni Mixpanel, ni Amplitude, ni pipeline d'événements maison. Nous ignorons combien d'utilisateurs nous avons, et c'est le point.
- Aucune configuration distante. Dans notre modèle de menace, un feature flag est une porte dérobée. Chaque binaire que nous expédions se comporte pareil au jour 1 et au jour 300.
- Aucun upload en arrière-plan. Les logs sont locaux, opt-in, et n'émergent que lorsque l'utilisateur les colle dans un mail au support.
- Aucun domaine tiers. Les seuls appels réseau qu'une app Flux émet sont médiés par l'OS (mises à jour App Store, push système) — jamais les nôtres.
Ce que ça coûte
- Pas d'A/B test au sens classique. On s'appuie sur de petites études utilisateurs internes et sur l'écoute des mails de support.
- Impossible de corriger un bug en inspectant vos données. On s'appuie sur des repros locaux.
- Il faut livrer des fonctionnalités qui marchent du premier coup. Pas de « on l'ajustera depuis le dashboard ».
Ce que ça achète
- Une affirmation de confidentialité qu'un régulateur peut vérifier au
tcpdump. - Une base utilisateurs qui n'a pas besoin de nous faire confiance — elle peut vérifier.
- Un produit qui vieillit bien, parce qu'il ne dépend d'aucune relation de facturation pour continuer de fonctionner dans cinq ans.
Le modèle de la promesse fait grandir l'entreprise. Le modèle de l'architecture fait grandir la confiance. Nous avons choisi le second.