Confidentialité

Dernière mise à jour le 18 août 2026.

Memono est fait pour que cette page puisse être courte.

Rien n'est collecté

Il n'y a pas de compte, pas d'analytique, pas de traçage et pas de SDK tiers. Rien sur vous ni sur vos affaires n'est collecté, et rien ne part nulle part tout seul. Exactement cinq choses atteignent le réseau, toutes parce que vous l'avez demandé : donner ou prêter quelque chose à une autre personne, partager une maison avec quelqu'un, la synchronisation iCloud, désactivée tant que vous ne l'activez pas et qui va dans votre iCloud plutôt que chez nous, le formulaire de contact, qui ne transporte que ce que vous y avez tapé, et demander ce que vaut un objet, la seule des cinq qui envoie une photographie.

Tout reste sur votre téléphone

Vos photos, les détourages qui en sont issus, et les noms, boîtes et catégories que vous leur donnez sont stockés dans la base de données de l'app, sur votre appareil. Le détourage, la reconnaissance de l'objet, la lecture des mots imprimés dessus et la reconnaissance de quelque chose que vous avez déjà photographié fonctionnent tous sur le matériel du téléphone lui-même.

Appareil photo et photothèque

Memono demande l'appareil photo ou votre photothèque quand vous ajoutez un objet, et s'en sert pour prendre ou choisir la photo que vous avez demandée. Scanner une pièce utilise l'appareil photo de la même manière, et ce qu'il en garde est la forme de la pièce plutôt qu'une image d'elle : les murs, les portes et les meubles qui s'y trouvent. Tout est traité sur l'appareil et rien n'en sort.

Braquer l'appareil photo sur quelque chose et demander si vous en possédez déjà un, ou où il va, est le seul endroit où l'appareil photo sert sans qu'aucune photo ne soit prise. Tant que cet écran est ouvert, l'app lit l'image que montre l'objectif, plusieurs fois par seconde, pour comparer ce qu'elle voit avec ce que vous avez déjà rangé. Chaque image est lue sur le téléphone et jetée aussitôt : aucune n'est enregistrée, ajoutée à vos affaires, versée dans votre photothèque ni envoyée où que ce soit. Viser un objet ne le range pas. Fermez l'écran et la lecture s'arrête.

Synchronisation iCloud

Désactivée tant que vous ne l'activez pas dans Réglages. Activée, vos affaires sont conservées dans votre propre base iCloud privée, qui est celle d'Apple et la vôtre : nous n'y avons aucun accès et aucun moyen d'en demander un. Elle existe parce que rien de ce qui est écrit sur un téléphone ne survit à la suppression de l'app, et qu'une copie dans votre propre iCloud est la seule copie qui vaille.

Désactivez-la et le téléphone se remet à tout garder en local. Rien de la synchronisation n'est jamais activé à votre place.

Verrouiller l'app

Vous pouvez mettre Face ID, Touch ID ou votre code devant l'app, et marquer certains objets comme privés pour qu'ils restent hors des écrans jusqu'au déverrouillage. C'est le système qui s'en charge : Memono reçoit un oui ou un non, et ne voit jamais votre visage, votre empreinte ni votre code.

Donner ou prêter quelque chose à quelqu'un

Vous pouvez remettre un objet à une autre personne de deux façons, et elles fonctionnent différemment. C'est l'un des trois endroits où Memono dépose quoi que ce soit sur une machine à nous. Les autres sont la présentation que vous envoyez en rejoignant la maison de quelqu'un, et la photo que vous envoyez en demandant ce que vaut un objet. Les trois méritent d'être décrits précisément.

Sous forme de fichier, par AirDrop ou en pièce jointe, l'objet passe directement de votre téléphone au sien. Rien n'est téléversé et rien n'est stocké nulle part entre les deux.

Sous forme de lien, l'objet est déposé quelque part où l'autre téléphone peut aller le chercher, parce que c'est la seule façon qu'un lien soit assez court pour être envoyé. Avant de quitter votre téléphone il est chiffré, et la clé pour l'ouvrir est placée dans la partie de l'adresse web qui suit le # : la seule partie d'une URL qu'aucun navigateur ni aucune app ne transmet jamais à un serveur. La clé voyage vers la personne à qui vous avez envoyé le lien et n'atteint personne d'autre, nous compris. Ce qui est stocké est un fichier d'octets d'apparence aléatoire sous un nom aléatoire, que nous ne pouvons pas lire et que nous ne pourrions remettre à personne sous une forme utile.

Il est supprimé dès que l'autre personne le récupère, et de toute façon au bout de trente jours. Tant qu'il n'est pas récupéré, l'objet est toujours à vous : il reste dans sa boîte, et vous pouvez le reprendre à tout moment, ce qui rend le lien inopérant.

Une fois que quelqu'un l'a récupéré, ce qu'il en fait le regarde, comme tout ce que vous mettez dans un message.

Le prêt fonctionne de la même façon, avec une fin différente : le lien range l'objet sur l'autre téléphone comme emprunté à vous, et l'original ne quitte jamais le vôtre. Le colis est scellé exactement comme celui d'un don. Une chose de plus voyage dedans : le prénom que vous avez choisi dans Memono, parce que « emprunté à Aki » est ce que l'écran de l'autre personne existe pour dire. Cela va vers elle et vers personne d'autre, nous compris.

Un rappel au sujet d'un objet prêté est un fichier scellé de plus sur la même étagère, sous un nom d'apparence aléatoire que seuls les deux téléphones savent calculer, et il n'y a délibérément rien dedans : un horodatage chiffré, et aucun message. Les mots que lit l'emprunteur sont composés par son propre téléphone à partir de ce qu'il sait déjà. Tant que vous avez quelque chose d'emprunté, Memono consulte cet unique emplacement de temps en temps, y compris en arrière-plan, pour que l'appel du propriétaire vous parvienne en notification ; chaque consultation ne porte que le nom aléatoire, et ne nous apprend rien sur l'un ou l'autre téléphone. Un rappel quitte l'étagère dès qu'il est vu, et de toute façon au bout de trente jours.

Dire qu'un objet emprunté est rentré emprunte le même chemin en sens inverse, une seule fois. Quand l'emprunteur touche « Je l'ai rendu », son téléphone laisse un horodatage scellé de plus sur l'étagère, sous un second nom que seuls les deux téléphones savent dériver. Tant que quelque chose à vous est prêté, votre Memono consulte cet emplacement de la même façon, et quand le mot est là il clôt le prêt de votre côté et vous dit que l'objet est revenu ; les mots sur votre écran sont composés par votre propre téléphone, à partir du nom que vous avez écrit vous-même sur le prêt. Les mêmes règles valent d'un bout à l'autre : rien de lisible à l'intérieur, chaque consultation ne portant que le nom aléatoire, et le fichier effacé dès qu'il est récupéré, ou de toute façon au bout de trente jours.

Deux personnes peuvent tenir une maison à elles deux, et vous pouvez prêter une seule boîte à un ami. Les deux passent par iCloud, donc les deux ont besoin de la synchronisation activée, et ce qui est partagé reste dans l'iCloud de son propriétaire : ses photos, comptées dans son stockage, sur les machines d'Apple plutôt que sur les nôtres.

Ce que l'autre personne reçoit est ce qui a été partagé, rien de plus. Un foyer partage toute la maison. Un ami à qui l'on prête une boîte reçoit cette boîte et ce qu'elle contient. La pièce où elle se trouve, et donc l'endroit de votre maison où elle est, est délibérément laissée hors de ce qui voyage.

Un lien seul ne laisse entrer personne. L'invitation est une adresse, pas une clé, et le partage n'accepte jamais « toute personne qui l'a ». À côté du lien, le propriétaire lit à voix haute un code à six chiffres qui existe sur son écran et nulle part ailleurs. La personne qui rejoint tape ce code et écrit son nom, et ce qu'elle envoie est chiffré avec une clé fabriquée à partir du code avant de quitter son téléphone. Le propriétaire voit le nom et décide. C'est seulement alors que cette personne est inscrite au partage, et seulement à partir de ce moment que le lien signifie quelque chose pour son téléphone.

Cette présentation est la deuxième des trois choses que Memono dépose sur une machine à nous, et c'est un nom et l'identifiant anonyme sous lequel iCloud classe déjà cette personne : pas d'adresse e-mail, pas de numéro de téléphone. Elle va sur la même étagère qu'un objet donné, scellée de la même façon et tout aussi illisible pour nous. Un code est valable une journée, et il est retiré dès qu'il a laissé entrer quelqu'un.

Une réponse de quelqu'un qui n'a le droit que de regarder. Quand quelqu'un dans une maison ne trouve pas un objet, n'importe qui du foyer peut répondre, y compris un membre dont le téléphone n'a le droit que de regarder ce qui est partagé. Ses mots partent comme un fichier scellé de plus sur la même étagère, sous un nom d'apparence aléatoire que seuls les téléphones du foyer savent calculer, chiffré avec une clé issue de l'identité de l'objet lui-même, que personne hors de la maison ne connaît : nous ne pourrions pas en lire un mot même en le voulant. À l'intérieur, la phrase qu'elle a tapée et le même identifiant anonyme que porte la présentation, pour que la réponse puisse dire qui a répondu. Le téléphone qui a lancé la recherche la récupère et le fichier quitte l'étagère ; non récupéré, il disparaît au bout de trente jours comme tout le reste.

N'importe qui peut quitter une maison partagée quand il le souhaite, et le propriétaire peut en retirer n'importe qui. Dans les deux cas, la copie de ce qui était partagé est effacée de ce téléphone. La seule chose qui ne revient pas est une boîte que quelqu'un a déplacée dans votre maison : elle a été donnée à la maison, et partir ne la reprend pas. L'app le dit avant que vous ne partiez.

Le formulaire de contact

Il y a une page dans Réglages pour nous dire ce que vous en pensez, et elle ne part que lorsque vous appuyez sur Envoyer. Ce qui voyage, ce sont les mots que vous avez tapés, lequel des trois types de message vous avez choisi, la version de l'app et la langue dans laquelle elle est. Rien d'autre : pas de nom, pas de compte, aucun identifiant, et absolument rien sur vos boîtes ni sur ce qu'elles contiennent.

Cela ne passe pas par Mail. Un éditeur de courrier l'enverrait depuis votre propre adresse, que vous le vouliez ou non, et ne fonctionnerait pas du tout sur un téléphone sans compte mail configuré. À la place, l'app confie le message à un relais de formulaires, Formspree, qui le transforme en e-mail et nous le transmet. Leurs serveurs voient le message au passage, et rien de ce qui est à vous n'y est conservé au-delà.

Si vous souhaitez une réponse, il y a un champ pour une adresse, et c'est le seul moyen que nous en ayons une. Laissez-le vide et le message arrive sans aucun moyen de vous répondre, ce qui est le cas par défaut si vous n'en décidez pas autrement.

Demander ce que vaut un objet

Memono peut demander à Google ce qu'est un objet, et il le propose à deux endroits. Il y a un bouton sur l'objet lui-même, et il y a une carte qui apparaît quand vous lancez quelque chose à travers la pile, qui demande si vous le voulez encore et propose de chercher son prix de vente. Ce sont deux propositions : rien ne part nulle part tant que vous n'appuyez pas sur celle qui pose la question. Vous pouvez désactiver la carte dans Réglages, sous Confidentialité, et le bouton n'est jamais qu'un bouton.

C'est la seule chose dans Memono qui envoie une photographie quelque part, et il vaut la peine de comprendre pourquoi elle doit le faire.

Google Lens ne montre sa réponse qu'à la personne qui a posé la question, et un téléphone ne peut pas interroger à la place d'un navigateur : l'image doit se trouver à une adresse vers laquelle le navigateur peut pointer Google. Le détourage part donc sur une machine à nous sous un nom aléatoire, Safari ouvre Google Lens sur cette adresse, et Google la récupère une fois. Ce qui voyage, c'est le détourage de l'objet et rien d'autre. Ni son nom, ni la boîte ou la pièce où il vit, ni le foyer, ni vos autres photos, ni rien qui vous identifie, vous ou le téléphone.

Cette photo n'est pas chiffrée, puisque tout l'intérêt de l'envoyer est que l'ordinateur d'un inconnu puisse la lire. Quiconque détient l'adresse peut la lire aussi, et l'adresse fait cent vingt-huit bits aléatoires qui n'existent que dans un seul lien. Une fois que Google l'a regardée, ce qu'il en fait relève de la politique de confidentialité de Google et non de celle-ci.

La photo est supprimée sous trente jours, que vous redemandiez ou non. Rien n'est conservé sur les objets au sujet desquels vous avez demandé, ni quand, ni ce qui est revenu.

Suppression

Supprimez un objet et il n'existe plus. Supprimez l'app et tout ce qui est sur le téléphone part avec elle. Une copie n'existe ailleurs que là où vous en avez mis une, et il y a quatre façons de l'avoir fait : ce qui se trouve dans votre propre iCloud, si vous avez activé la synchronisation, et qu'il vous appartient de supprimer ; un objet que vous avez remis à quelqu'un, que nous ne pouvons pas lire et qui s'efface de lui-même en trente jours ; une photo envoyée pour demander ce que vaut quelque chose, qui part de la même façon en trente jours ; et ce que vous partagez avec une autre personne, qui reste sur son téléphone tant que vous continuez à le partager. Arrêtez le partage, ou reprenez une boîte prêtée, et sa copie s'en va avec le partage.

Si quoi que ce soit change dans une version future, cette page change en premier.