Protection des données
Analyse d'impact — Rencontres (AIPD / EFVP)
Dernière mise à jour : 18/10/2026.
1. Pourquoi une analyse d'impact est obligatoire
La CNIL considère qu'un traitement remplissant au moins deux critères de risque doit faire l'objet d'une AIPD. Le module Rencontres en réunit six, ce qui rend l'analyse obligatoire avant toute mise en service.
| Critère CNIL | Présent ? | Motif |
|---|---|---|
| Évaluation / scoring | Oui | Score d'alchimie Kintuni calculé entre deux membres à partir des données de naissance. |
| Données sensibles | Oui | Orientation et vie sexuelle déduites du couple genre / recherche, contenus intimes possibles en messagerie. |
| Collecte à large échelle | Oui | Traitement destiné à un nombre non limité de membres majeurs. |
| Croisement de jeux de données | Oui | Croisement profil astrologique, localisation, photos, interactions et messagerie. |
| Personnes vulnérables | Partiel | Déséquilibre possible entre membres ; exclusion stricte des mineurs. |
| Usage innovant / IA | Oui | Génération de textes d'interprétation et détection automatisée d'abus par IA. |
Côté Loi 25, une EFVP est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels, ainsi qu'avant toute communication de renseignements à l'extérieur du Québec. Les deux situations sont réunies : le module est un service électronique et une partie de l'infrastructure est située hors Québec.
2. Description du traitement
Responsable du traitement : Kimuntu Inc (Canada), exploitant la marque Kintuni. Finalité : mettre en relation des personnes majeures consentantes sur la base d'une affinité calculée selon la tradition Kintuni, et permettre leur échange privé. Base légale : exécution du contrat pour le service de mise en relation ; consentement explicite, distinct et révocable pour les données révélant la vie sexuelle ou l'orientation sexuelle ; obligation légale pour la lutte contre les contenus illicites ; intérêt légitime pour la sécurité et la prévention de la fraude.
| Catégorie | Données | Conservation |
|---|---|---|
| Identité de profil | Prénom d'affichage, âge affiché, ville, biographie, centres d'intérêt | Durée du compte + 30 jours |
| Naissance | Date, heure, lieu, positions Mvila calculées | Durée du compte |
| Localisation | Coordonnées approximatives à l'échelle de la ville | Durée de publication du profil |
| Photos | Jusqu'à six photos, stockage privé, liens signés temporaires | Durée du compte + 30 jours |
| Sensibles | Genre, genre recherché, consentement explicite horodaté et versionné | Jusqu'au retrait du consentement |
| Relations | Likes, passes, matchs, blocages, signalements | Durée du compte ; signalements 3 ans |
| Messagerie | Messages texte, accusés de lecture | Durée du match ; 12 mois après clôture |
| Assurance de l'âge | Statut, méthode, pièce justificative éphémère | Statut 24 mois ; pièce supprimée dès décision, purge automatique sous 7 jours |
| Modération | Journal d'audit des décisions administratives | 3 ans (preuve) |
3. Nécessité et proportionnalité
- Minimisation : aucune adresse exacte n'est collectée ; la position est arrondie à l'échelle de la ville et seule une distance est affichée. Aucune donnée de santé, d'origine, de religion ni d'opinion n'est demandée.
- Deux genres seulement : le service se limite volontairement à « homme » et « femme », sans champ libre sur la vie intime, afin de ne pas collecter davantage de données sensibles que nécessaire.
- Consentement séparé : la publication du profil Rencontres est techniquement impossible sans consentement explicite enregistré ; un déclencheur en base dépublie et masque automatiquement tout profil dont le consentement est absent ou retiré.
- Images en messagerie : désactivées par défaut au niveau serveur tant que la modération proactive n'est pas jugée suffisante ; aucune nudité explicite n'est tolérée.
- Décision automatisée : le score d'affinité est une aide au choix, jamais une décision produisant un effet juridique ; le membre garde la main sur chaque mise en relation.
- Droits : accès, rectification, effacement, portabilité (export JSON et PDF) et suppression immédiate ou différée sont exposés en libre-service dans l'espace membre.
4. Risques identifiés et traitement
Gravité et vraisemblance sont évaluées après application des mesures, sur l'échelle CNIL (négligeable, limitée, importante, maximale).
| Risque | Impact | Mesures | Résiduel |
|---|---|---|---|
| Accès illégitime aux photos ou messages | Outing, chantage | Espaces de stockage privés, liens signés courts, sécurité au niveau des lignes, accès conditionné à un profil publié et non suspendu | Limité |
| Déduction de l'orientation sexuelle par un tiers | Discrimination | Consentement explicite préalable, mode discret, masquage du profil, aucune indexation publique | Limité |
| Chantage à l'image intime | Détresse grave | Envoi d'images désactivé par défaut, règle d'interdiction stricte, barre de sécurité en conversation, procédures d'urgence et recours anti-diffusion | Limité |
| Accès d'un mineur au service | Exposition d'un mineur | Assurance de l'âge par paliers, blocage serveur de la découverte, de la galerie, des likes et de la messagerie sans vérification valide | Limité |
| Harcèlement, escroquerie sentimentale | Préjudice moral et financier | Analyse automatique des messages, blocage et signalement en un geste, sanctions et clôture de conversation, journal d'audit | Limité |
| Ré-identification par la localisation | Traque | Précision limitée à la ville, distance seule affichée, coordonnées jamais transmises au client | Négligeable |
| Fuite via l'IA générative | Perte de confidentialité | Aucun identifiant nominatif ni contenu de messagerie transmis au modèle ; entrées réduites aux symboles astrologiques | Négligeable |
| Conservation excessive de pièces d'identité | Usurpation | Suppression dès la décision, purge automatique planifiée, consultation admin journalisée | Limité |
| Données d'une personne non membre (thème de tiers) | Traitement non consenti | Calcul éphémère par défaut, conservation soumise à attestation d'accord, expiration à 12 mois, purge automatique | Limité |
5. Transferts et hébergement (EFVP Loi 25)
Les données de compte, de naissance, de rencontre et de messagerie sont hébergées sur une infrastructure managée en Union européenne. Le paiement est traité par un prestataire certifié PCI-DSS. La génération de textes par intelligence artificielle s'effectue sans identifiant nominatif.
Avant toute communication hors Québec, Kimuntu Inc évalue la sensibilité du renseignement, la finalité, les mesures de protection prévues et le régime juridique du territoire d'accueil. La conclusion de l'évaluation en vigueur est que les renseignements bénéficient d'une protection adéquate, l'encadrement européen et les clauses contractuelles types applicables offrant une protection équivalente. Aucune communication à des fins commerciales à un tiers n'est réalisée.
6. Plan d'action et gouvernance
- Réactivation des images en messagerie conditionnée à une modération proactive et à un dispositif documenté contre les images intimes non consenties.
- Contrôle semestriel du bon fonctionnement des purges automatiques (pièces d'âge, thèmes de tiers, comptes supprimés).
- Test annuel de la procédure de notification de violation, sous 72 heures.
- Revue de l'analyse à chaque évolution majeure : nouvelle catégorie de données, nouveau sous-traitant, nouveau pays d'hébergement, nouvel usage de l'IA.
- Consultation du responsable de la protection des renseignements personnels avant toute mise en production affectant les Rencontres.
Revue obligatoire avant toute évolution majeure, et au minimum tous les 12 mois.