Amanina — Politique de confidentialité

01Qui nous sommes et ce que la présente politique couvre

Amanina (« Amanina », « le service ») est une plateforme de présentations matrimoniales destinée à la diaspora arabe et à ceux qui s'y entrelacent, partout dans le monde, qui prennent le mariage au sérieux. Amanina est exploitée par Mama Hala Consulting Group (« nous », « notre », « nos »), inscrite en Ontario, au Canada.

La présente politique s'applique à l'application et au site Web Amanina (amanina.ca), à notre infrastructure dorsale (api.amanina.ca), ainsi qu'à toutes les fonctionnalités et communications connexes — y compris la création de profil, la Boussole matrimoniale (Marriage Compass), le jumelage et les présentations, le téléversement de photos, la vérification d'identité, la messagerie intégrée à l'application, les profils familiaux, les abonnements et la liste d'attente de prélancement (collectivement, les « Services »).

Elle ne couvre pas l'entreprise distincte de coaching et de consultation de Mama Hala Consulting Group à mamahala.ca, qui dispose de sa propre politique de confidentialité.

Pour toute question ou demande relative à la confidentialité : support@amanina.ca

02Les lois que nous respectons

Nous concevons Amanina pour répondre, au minimum, aux exigences suivantes :

• PIPEDA — la Loi sur la protection des renseignements personnels et les documents électroniques (Canada), notre loi fédérale de référence en matière de protection de la vie privée.
• Loi 25 du Québec — la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, pour les résidents du Québec. Cela comprend des obligations particulières concernant la prise de décision automatisée, les transferts transfrontaliers et la confidentialité par défaut, que nous décrivons ci-dessous.
• CASL — la Loi canadienne anti-pourriel, qui régit nos communications de marketing.

Lorsque ces cadres divergent, nous visons à suivre l'approche qui protège le mieux vos renseignements personnels.

03Ce que nous recueillons

Nous ne recueillons que ce dont le service a véritablement besoin. Rien n'est acheté auprès de courtiers en données.

Renseignements que vous nous fournissez :

• Identité du compte. Votre adresse courriel constitue votre identité principale. Nous vous envoyons un code à usage unique par courriel pour vous connecter; nous dérivons votre identifiant de compte de votre adresse courriel.
• Votre profil. Nom d'affichage, date de naissance, sexe, qui vous recherchez, parcours de foi (et, si vous le souhaitez, courant musulman ou confession chrétienne), niveau de pratique religieuse, valeurs fondamentales, une courte biographie, votre pays/province ou État américain et votre ville, votre ouverture à la relocalisation, votre échéancier matrimonial, le fait d'avoir ou de vouloir des enfants, votre scolarité, votre profession, vos langues, votre taille, vos antécédents matrimoniaux, vos origines familiales et votre patrimoine, le tabagisme, ainsi que les sections de profil en texte libre que vous rédigez. Un archétype de personnalité dérivé de vos réponses est conservé dans le cadre de votre profil.
• Boussole matrimoniale (Marriage Compass). Vos valeurs fondamentales et vos explications, dans vos propres mots, à leur sujet, vos critères rédhibitoires (dealbreakers) et vos critères déterminants (dealmakers) (texte libre), vos préférences en matière de pratique religieuse, votre style de communication et votre aisance en langue arabe. Vos valeurs fondamentales, les mots que vous écrivez à leur sujet et vos critères déterminants apparaissent sur votre profil, visibles par les personnes qui vous sont présentées; vos critères rédhibitoires, vos réflexions personnelles honnêtes et vos préférences de pratique, de communication et de langue ne leur sont jamais montrés.
• Photos. Jusqu'à six photos (5 Mo maximum chacune). Nous calculons et conservons aussi une empreinte perceptuelle de chaque photo (une empreinte numérique non réversible) afin que la même image ne puisse pas être réutilisée pour créer des comptes en double ou d'usurpation d'identité. Vos photos restent floutées pour les autres jusqu'à ce que l'intérêt soit mutuel.
• Un égoportrait en direct pour la vérification de personne réelle. Si vous effectuez la vérification de personne réelle du Cercle vérifié (Verified Circle), vous prenez un égoportrait en direct à usage unique. Il est traité pour confirmer que vous êtes une personne réelle et vivante, puis détruit — il n'est jamais conservé sur nos serveurs (voir la section 6).
• Profils familiaux. Si vous utilisez les fonctionnalités familiales, les renseignements de profil familial que vous fournissez et les invitations que vous envoyez.
• Messages. Le contenu des messages que vous envoyez par la messagerie intégrée à l'application, conservé afin que les conversations soient maintenues.
• Registres de consentement. Un enregistrement horodaté et versionné de chaque consentement que vous accordez ou retirez, conservé avec une version hachée à sens unique (jamais brute) de votre adresse IP et la chaîne d'agent utilisateur de votre navigateur, à titre de preuve d'un consentement valide.
• Liste d'attente. Si vous vous inscrivez à la liste d'attente de prélancement sur amanina.ca, votre adresse courriel.

Renseignements générés au fil de votre utilisation du service :

• Statut d'abonnement et de facturation. Votre forfait, la plateforme, l'identifiant d'abonnement et les dates de renouvellement/d'expiration. Nous ne conservons jamais les détails de votre carte (voir la section 8).
• Résultats de la vérification et de la vérification de personne réelle. Voir la section 6 pour savoir exactement ce que nous conservons et ce que nous ne conservons pas.
• Empreintes de la vérification de parenté. Si vous effectuez la vérification par pièce d'identité gouvernementale, des empreintes à sens unique dérivées de la partie lignagère du nom figurant sur votre pièce, ainsi que tout lien de parenté ou toute paire mise en attente qu'elles produisent, servant à éviter que de proches parents du côté paternel — un frère ou une sœur, ou un parent et son enfant — ne soient présentés l'un à l'autre. Cette vérification ne conserve pas le nom figurant sur votre pièce d'identité. Voir la section 5.
• Signaux d'activité. Un journal interne limité d'événements survenus dans l'application (par exemple, qu'une présentation a été affichée et un score de pertinence) servant à maintenir le service en état de fonctionnement et à l'améliorer.
• Attribution des invitations. Si vous arrivez par le lien d'invitation d'un autre membre (`amanina.ca/?i=…`), nous conservons dans votre navigateur un petit code d'invitation opaque (un témoin de première partie et du stockage local — aucune information personnelle) afin de pouvoir enregistrer, si vous vous inscrivez, quel membre vous a invité. Il n'est jamais utilisé à des fins publicitaires ni de suivi par des tiers, n'est jamais vendu ni partagé, et est supprimé à la suppression de votre compte.

Le rapport de compatibilité à deux. Deux personnes qui se sont déjà choisies peuvent commander ensemble, sur amanina.ca, un rapport écrit pour elles. Elles ne deviennent pas membres et n'ont pas de compte. De part et d'autre, on indique un prénom, une langue et, si on le souhaite, une adresse courriel (nous n'écrivons qu'à une adresse fournie par la personne à qui elle appartient), puis on répond aux mêmes questions sans l'autre; aucune réponse n'est montrée à l'autre avant le rapport. Les réponses ne servent qu'à l'aperçu gratuit et au rapport, jamais au jumelage ni au marketing, et sont conservées 90 jours. Le rapport, les deux prénoms, les adresses courriel fournies et les liens privés qui y donnent accès sont conservés un an; l'une ou l'autre des deux personnes peut demander à support@amanina.ca que tout soit supprimé plus tôt. Le rapport est rédigé à l'aide du fournisseur d'IA nommé à la section 7 (Anthropic, aux États-Unis), et le paiement est traité par Stripe (section 8). Une fois le rapport remis, le couple peut partager une carte bien à lui : elle porte le mois de remise du rapport et, seulement si les deux ont dit oui, leurs prénoms; sinon, elle ne porte aucun nom. Elle ne porte jamais de réponse ni quoi que ce soit du rapport. L'une ou l'autre des deux personnes peut retirer la carte en tout temps, et son lien cesse aussitôt de fonctionner pour tout le monde; une copie déjà enregistrée par quelqu'un ne peut toutefois pas être rappelée. De ce service, nous ne conservons que des totaux quotidiens qui n'identifient personne.

L'invitation de mariage. Un couple, ou une personne qui l'aide, crée son invitation sur amanina.ca sans compte. Nous conservons ce qui est saisi pour la créer : les noms du couple et la façon de les afficher; les noms des parents et des familles, s'ils sont utilisés (et, si le couple le choisit, le fait qu'un parent est décédé); les événements (dates, heures, lieux et personnes invitées à chacun); les mots, le style, le son et les langues choisis; s'il y en a, jusqu'à quatre de leurs propres photos, que nous réenregistrons sans les détails de lieu, d'appareil et de date, vérifions avant qu'une personne invitée les voie (la même vérification automatisée que pour les photos des membres, section 7) et ne montrons qu'aux personnes invitées choisies; le nom donné à chaque famille invitée, ses places, le mot personnel qui lui est adressé et la façon dont elle est classée; une adresse courriel pour chacune des deux pages privées du couple, si elle est fournie, et le fait qu'elle a été confirmée ou non; et l'adresse courriel que Stripe nous transmet pour la personne qui a payé. Lorsque notre règle pour ce service l'exige, nous demandons une seule fois, avant le paiement, la foi de chaque partenaire, et nous ne gardons que le fait que la règle est respectée ou non, jamais les réponses. Une personne invitée qui répond donne ce que l'invitation demande : sa présence ou non à chaque événement et le nombre de personnes; seulement si le couple les demande, les noms des personnes présentes, le nombre d'enfants parmi elles et une précision sur le repas, qui peut révéler un besoin de santé ou une foi et reste toujours facultative; un mot facultatif pour le couple; et, sur le lien ouvert à tous du couple, un nom. Une réponse ne parvient qu'au couple et à quiconque détient sa page privée. Nous ne recueillons ni l'adresse courriel ni le numéro de téléphone des invités, et nous n'écrivons jamais aux invités. Nous ne gardons aucune trace de la famille qui a ouvert son lien : les ouvertures sont comptées en totaux quotidiens qui n'identifient personne. Comme pour tout site Web, les journaux de sécurité de notre hébergeur conservent pendant une courte période l'adresse Web et l'adresse IP de chaque visite; nous ne les utilisons que pour assurer le fonctionnement et la sécurité du service, jamais pour savoir qui a ouvert quoi. Les liens, toutes les réponses des invités et les noms des familles sont supprimés 30 jours après le dernier événement; le reste de l'invitation, 90 jours après le dernier événement, ou 30 jours après un remboursement ou après que nous l'avons retirée, si cela survient plus tôt; une invitation jamais envoyée, 180 jours après sa dernière modification. Le couple peut fermer le lien ou tout supprimer plus tôt, une personne invitée peut modifier ou retirer sa propre réponse sur la page, et toute personne peut nous en faire la demande à support@amanina.ca, y compris une personne invitée qui souhaite faire retirer sa réponse. Les invitations et les réponses sont traitées sur des serveurs aux États-Unis (section 9). Le paiement est traité par Stripe (section 8), et la trace d'un paiement reçu est conservée à part de l'invitation, pour notre comptabilité. Les noms du couple n'apparaissent dans l'aperçu d'un lien (le titre qu'affiche une application de messagerie) que si leur affichage est activé de part et d'autre, et un aperçu déjà reçu par quelqu'un ne peut pas être rappelé. Si une invitation utilise votre nom sans votre permission, signalez-la depuis sa propre page ou écrivez à support@amanina.ca : nous agissons en 24 heures, et deux signalements de ce type suspendent ses liens d'invités le temps de vérifier. Nous ne gardons que le fait que la personne qui paie a confirmé les noms, et quand. Aucun fournisseur de cartes géographiques, de polices ou d'audio ne reçoit la visite d'une personne invitée : la musique est créée par notre propre code ou, lorsque le couple a choisi une pièce enregistrée, servie depuis nos propres serveurs, et les boutons d'itinéraire et de calendrier n'ouvrent les applications de la personne invitée que lorsqu'elle les touche. La carte des rues d'un lieu est dessinée par notre propre serveur : lorsqu'un couple épingle un lieu, notre serveur demande à la Fondation OpenStreetMap la carte publique des environs, en n'envoyant que les coordonnées du lieu. Lorsqu'un couple cherche son lieu dans « Trouvez votre lieu », notre serveur envoie les mots tapés au moteur de recherche Photon de komoot (fondé sur les données d'OpenStreetMap); lorsqu'il colle un lien de partage de Google Maps, de Plans d'Apple ou de Waze, notre serveur demande une seule fois à cette entreprise où mène le lien, en ne lisant que l'adresse de sa réponse, jamais la page. Nous ne conservons que le lieu choisi, jamais le lien, et aucun de ces fournisseurs n'apprend qui a créé l'invitation ni qui l'ouvre (section 7). Le bouton « Partager le lieu » d'une personne invitée remet le lieu, son adresse et un lien de carte à son propre téléphone, seulement lorsqu'elle le touche.

Ce que nous NE recueillons PAS actuellement en production :

• Numéros de téléphone. La connexion par téléphone n'est pas activée en production aujourd'hui; nous ne recueillons pas de numéros de téléphone aux fins de connexion à moins que, et jusqu'à ce que, nous activions cette fonction et le divulguions.

04Pourquoi nous utilisons vos renseignements

Nous utilisons vos renseignements pour :

• Créer et exploiter votre compte et vous permettre de vous connecter.
• Bâtir votre profil et vous présenter à des personnes compatibles. Cela comprend le traitement automatisé décrit à la section 5.
• Assurer la sécurité d'Amanina — filtrer les photos, analyser les messages à la recherche d'arnaques, de harcèlement et de propos haineux, confirmer que les membres sont de vraies personnes, prévenir les comptes en double ou d'usurpation d'identité, et faire respecter nos Directives communautaires et nos Conditions.
• Vérifier l'identité des membres qui choisissent de se faire vérifier ou à qui on le demande.
• Traiter les abonnements et gérer la facturation par l'entremise de notre processeur de paiement.
• Vous envoyer les messages de service dont vous avez besoin — codes de connexion, résultats de vérification, avis de jumelages et de messages, confirmations de suppression et reçus. Ce sont des messages transactionnels et non des messages de marketing.
• Vous envoyer du marketing uniquement si vous y consentez (voir la section 10).
• Respecter nos obligations légales et réglementaires et répondre aux demandes légitimes.
• Améliorer le service de manière agrégée.

Nous ne vendrons jamais vos renseignements personnels, et nous n'utilisons jamais vos réflexions privées de la Boussole matrimoniale (Marriage Compass) à des fins de marketing, de publicité ou d'analyse.

05Le traitement automatisé et le fonctionnement du jumelage

Parce que la Loi 25 du Québec (art. 12.1) et les bonnes pratiques nous obligent à être honnêtes au sujet des décisions automatisées, nous le décrivons ici en toute simplicité. (Remarque : cette divulgation est rédigée pour être véridique et directe; il ne s'agit pas d'un texte de marketing.)

Le jumelage repose sur un traitement automatisé, incluant un fournisseur d'IA tiers. Pour vous présenter à des personnes compatibles, un processus automatisé lit votre profil et les valeurs de votre Boussole matrimoniale (Marriage Compass) et produit une évaluation de compatibilité et un classement. Ce traitement utilise les modèles Claude d'Anthropic (Anthropic est un fournisseur de services situé aux États-Unis) en combinaison avec nos propres règles de pointage. Nous communiquons les renseignements de profil nécessaires à cette fin — comme votre nom d'affichage, votre âge (dérivé de votre date de naissance), votre ville, votre biographie, votre foi et vos valeurs.

Cela œuvre pour vous, et voici exactement où un être humain intervient — et où il n'intervient pas.

• Vous voyez le raisonnement derrière chaque présentation.
• Vos réflexions privées de la Boussole matrimoniale (Marriage Compass) — vos critères rédhibitoires et vos réflexions personnelles honnêtes — ne sont jamais montrées aux personnes qui vous sont présentées, et personne chez Amanina ne consulte vos réponses privées dans le cadre du jumelage.
• Une présentation est une suggestion, et non un verdict. Les mesures de modération font intervenir soit vous, soit un réviseur humain.
• Certaines décisions de sécurité sont automatiques. L'une d'elles mérite d'être nommée avec précision. La vérification de parenté décrite ci-dessous peut conclure d'elle-même que deux membres en particulier ne doivent jamais être présentés l'un à l'autre, et agir en conséquence avant qu'une personne n'ait regardé : la paire disparaît des présentations et des listes d'intérêt de l'un et de l'autre et, si un jumelage avait déjà eu lieu, celui-ci est archivé, il quitte les deux listes de Messages, et la conversation est fermée. Lorsque cela touche un jumelage déjà formé, notre équipe en est avisée après coup. Cela ne vise que cette seule paire — votre compte, votre profil et vos autres présentations demeurent inchangés. Une paire peut aussi être mise en attente automatiquement pendant qu'une personne examine un recoupement plus faible, avant que cette personne n'ait regardé.
• Vous pouvez demander une révision humaine de toute évaluation automatisée qui vous concerne, ou une explication à son sujet, et vous pouvez la contester, en écrivant à support@amanina.ca.

La foi, et les règles de l'islam en matière de mariage, sont appliquées automatiquement. Les présentations commencent au sein de la foi que chaque membre nous a indiquée, et deux membres qui nous ont indiqué des fois différentes ne sont présentés l'un à l'autre que lorsque l'ouverture d'une foi à l'autre a été choisie de part et d'autre. Pour chaque membre qui se dit de confession musulmane, nous respectons en outre les règles de l'islam en matière de mariage, et aucune réponse n'y change rien : une femme musulmane n'est présentée qu'à des hommes qui nous ont indiqué être musulmans, et un homme musulman, d'une foi à l'autre, qu'à une femme qui nous a indiqué être chrétienne ou juive — et seulement lorsque l'ouverture a été choisie de part et d'autre. Une foi que vous gardez pour vous n'est assimilée à aucune foi en particulier. Ces règles ne lisent que votre foi déclarée, votre genre et votre propre réponse « ferme » ou « ouvert » ; elles s'appliquent avant qu'une personne ne regarde, ne font jamais que retirer une présentation et ne mettent jamais fin à un jumelage déjà formé. Vous pouvez modifier votre foi déclarée, ou votre réponse, à tout moment, et le droit à une explication ou à une révision humaine décrit ci-dessus s'applique ici aussi.

Une règle sur le lieu où vivent les membres, pour certains pays, s'applique automatiquement. Pour les membres qui vivent dans certains pays, nous pouvons chercher leurs présentations uniquement parmi les personnes qui vivent dans ce même pays — ou d'abord là, puis dans les autres pays que nous avons retenus pour leur lieu de résidence (par exemple les pays qui partagent avec lui une frontière terrestre, ou des pays voisins de la même région), et jamais au-delà ; un membre qui vit ailleurs ne leur est alors pas présenté. Cette règle ne lit que le pays où vous nous avez dit vivre — jamais votre nationalité, votre passeport, ni l'origine ou l'héritage de votre famille. Lorsque nous ne savons pas dans quel pays une personne vit, elle n'est pas présentée à un membre visé par une telle règle. Elle s'applique avant qu'une personne ne regarde et ne met jamais fin à un jumelage déjà formé. Vous pouvez mettre à jour votre lieu de résidence à tout moment, et vous pouvez demander, en écrivant à support@amanina.ca, une explication sur la façon dont cette règle s'applique à vous, ou une révision humaine. Lors de cette révision, notre équipe peut corriger le pays de résidence inscrit à votre dossier, vous expliquer comment la règle vous a été appliquée, ou modifier la règle elle-même.

Autres traitements automatisés à des fins de sécurité :

• Filtrage des photos. Chaque photo est filtrée automatiquement pour détecter la nudité avant d'être conservée, à l'aide des modèles de vision Claude d'Anthropic. Les photos qui échouent sont rejetées.
• Vérification de personne réelle. Si vous effectuez le Cercle vérifié (Verified Circle), votre égoportrait en direct est vérifié pour en confirmer l'authenticité par les modèles de vision Claude d'Anthropic (voir la section 6).
• Analyse des messages. Les messages sont analysés automatiquement à la recherche d'arnaques, de harcèlement et de propos haineux, à l'aide des modèles Claude d'Anthropic. Un message signalé peut être transmis à un modérateur humain pour révision et intervention.
• Vérification de parenté. Lorsqu'une vérification par pièce d'identité gouvernementale réussit, nous vérifions si vous et un autre membre vérifié pourriez être de proches parents, et nous tenons à l'écart les paires ainsi repérées. Nous la décrivons intégralement juste en dessous.

La vérification de parenté, en toute simplicité. Lorsqu'une vérification par pièce d'identité gouvernementale réussit, notre fournisseur de vérification nous transmet le nom imprimé sur votre pièce (section 6), et nous l'utilisons une seule fois pour déterminer si vous et un autre membre vérifié pourriez être de proches parents. Un nom légal arabe est une chaîne lignagère — votre prénom, puis votre père, votre grand-père, et ainsi de suite jusqu'au nom de famille — et les frères et sœurs ne diffèrent que par le prénom; nous retirons donc votre prénom et ne gardons que le reste. Chaque nom restant est transformé en une empreinte à sens unique; le nom figurant sur votre pièce d'identité n'est jamais conservé par cette vérification, et la comparaison automatisée se fait entre des empreintes, jamais entre des noms. La comparaison elle-même s'effectue entièrement sur nos propres systèmes : aucune entreprise externe et aucun modèle d'IA n'y prend part, aucune partie de votre lignage — hachée ou non — n'est transmise ailleurs, et elle utilise le même hébergement et le même magasin de données que ceux décrits à la section 7. Nous ne vous comparons qu'à des membres qui se sont également fait vérifier au moyen d'une pièce d'identité gouvernementale et dont l'empreinte du nom de famille correspond à la vôtre.

Un service matrimonial ne devrait pas présenter un frère et une sœur l'un à l'autre; une partie de cette vérification agit donc d'elle-même. Si trois positions consécutives correspondent — le père, le grand-père et le nom de famille — vous êtes, de façon quasi certaine, frère et sœur, ou parent et enfant, et vous êtes définitivement empêchés d'être présentés l'un à l'autre, automatiquement et sans qu'aucune personne n'intervienne. Certains recoupements plus faibles sont mis en attente et transmis à un membre de notre équipe, à qui l'on montre quelles positions de la chaîne ont correspondu — et non les noms eux-mêmes — ainsi que le fait que vous indiquiez ou non la même ville et le même pays d'origine familiale, et le nombre d'années qui séparent vos naissances, et qui tranche ensuite en ouvrant les profils ordinaires des deux membres, les mêmes pages de profil que notre équipe peut déjà voir. La paire demeure mise en attente tant que cet examen est en cours.

Les cousins paternels partagent un grand-père et un nom de famille, mais pas un père, et, à lui seul, nous ne traitons délibérément pas ce fait comme une raison de tenir deux personnes à l'écart; le mariage entre cousins est légitime dans une grande partie de cette communauté. Nous traitons de la même façon, comme des parents, deux membres qui ont invité le même aîné familial ou qui se sont joints par le même compte familial — pour un aîné commun, nous conservons une empreinte à sens unique de l'adresse courriel de cette personne, jamais l'adresse elle-même. Ce signal ne compte que tant qu'un très petit nombre de membres ont nommé la même personne; au-delà, nous cessons d'en tirer de nouveaux liens, mais les liens déjà établis demeurent. Cette vérification est conçue pour pencher du côté de tenir deux personnes à l'écart plutôt que de risquer de présenter des parents l'un à l'autre; elle peut donc se tromper dans ce sens, et elle ne peut pas promettre de repérer chaque paire de parents. Le droit décrit plus haut s'applique ici : vous pouvez écrire à support@amanina.ca pour demander une explication de cette évaluation automatisée — ou de toute autre évaluation automatisée qui vous concerne — ou une révision humaine de celle-ci. Elle ne fait que retirer une présentation; elle n'en crée jamais.

Pour que vous compreniez la limite avec précision : le processus de jumelage est privé et n'est pas lu par une personne — mais un message signalé par notre analyse de sécurité est révisé par un modérateur humain.

06Photos, vérification d'identité et données biométriques

Photos. Vos photos téléversées sont conservées sous forme de fichiers image chez notre fournisseur d'hébergement/de stockage, et demeurent floutées pour les autres jusqu'à ce que l'intérêt soit mutuel.

Vérification par pièce d'identité gouvernementale (facultative). La vérification d'identité est assurée par un fournisseur tiers de confiance, Didit, par l'entremise de son propre flux hébergé. Votre pièce d'identité et votre égoportrait de vérification sont téléversés par vous directement chez le fournisseur de vérification — ces images n'atteignent pas les serveurs d'Amanina et ne sont pas conservées par nous. D'une vérification terminée, le dossier de la vérification elle-même ne contient que : les références de session du fournisseur et le lien vers son flux hébergé, quel fournisseur s'en est chargé, le statut et la décision (par exemple, approuvée ou refusée), un motif de décision, le fait que les comparaisons automatisées du nom, de la date de naissance et du sexe aient réussi ou non ainsi que les codes de motif le cas échéant, un score de confiance de correspondance faciale facultatif (un nombre entre 0 et 1), lorsque notre fournisseur les transmet, le type de document et le code de pays à deux lettres du document, ainsi que les dates de création, de dernière mise à jour et d'expiration du dossier. Certains autres éléments sont dérivés de votre pièce d'identité et sont conservés en dehors de ce dossier; chacun est décrit dans la présente politique : le motif pour lequel votre vérification est actuellement en attente ou a été refusée, le cas échéant; votre nationalité vérifiée, si vous activez cette pastille (paragraphe suivant); les empreintes lignagères à sens unique utilisées par la vérification de parenté, ainsi que tout lien de parenté ou toute paire mise en attente qu'elle produit (section 5); si un membre de notre équipe a approuvé votre vérification à la main, une note de cette approbation conservée dans votre profil — le nom, la date de naissance et le sexe que vous aviez déjà déclarés dans votre propre profil (et non tels que lus sur votre document), la date, ainsi qu'une empreinte à sens unique du nom et de la date de naissance imprimés sur votre pièce, afin qu'une revérification automatisée ultérieure ne puisse pas renverser silencieusement la décision de cette personne; et, si une vérification automatisée n'a pas pu confirmer votre pièce par rapport à votre profil, le nom, la date de naissance et le sexe extraits, conservés brièvement aux fins de la révision humaine (décrite ci-après). Cette empreinte est un hachage plutôt qu'un texte d'identité lisible, mais elle n'est pas anonyme : le même nom et la même date de naissance produisent toujours la même valeur. Si une vérification automatisée ne peut confirmer que le nom, la date de naissance ou le sexe figurant sur votre pièce correspond à votre profil, nous conservons brièvement ces quelques champs de texte extraits — le nom, la date de naissance et le sexe tels qu'inscrits sur la pièce (jamais les images) — afin qu'un membre de notre équipe puisse vérifier la correspondance; ils sont supprimés dès que la vérification est résolue, et au plus tard dans les 60 jours. Nous ne conservons pas les images de votre pièce d'identité, votre égoportrait, vos numéros de document, ni aucun gabarit biométrique.

Nationalité vérifiée (facultative, sous votre contrôle). Si votre pièce d'identité vérifiée indique votre nationalité, nous lisons ce seul champ et le conservons dans votre profil sous la forme d'un code de pays à deux lettres, afin qu'il puisse être affiché comme une pastille « nationalité vérifiée ». Cette information est privée par défaut : elle n'est visible par les personnes avec qui vous êtes jumelé que si vous choisissez d'activer la pastille, et vous pouvez la désactiver à tout moment. Parce qu'elle est lue sur votre pièce, elle n'est pas modifiable par vous — c'est ce qui en fait un signal digne de confiance — et elle est distincte de l'origine ou « origine familiale » que vous décrivez vous-même, sans la remplacer. Nous ne conservons aucun autre champ de pays, d'adresse ou de lieu de naissance de votre document.

Données biométriques, dites clairement (Loi 25). Deux parties d'Amanina font intervenir des renseignements biométriques, et nous les traitons comme étant sensibles :

1. La vérification de personne réelle du Cercle vérifié (Verified Circle). Avant de vous présenter à quiconque, nous vous demandons de prendre un égoportrait en direct à usage unique dans l'application afin de confirmer que vous êtes une personne réelle et vivante. Cet égoportrait est envoyé à notre fournisseur automatisé (Anthropic, aux États-Unis) pour en évaluer l'authenticité, puis est détruit — il n'est jamais conservé sur les serveurs d'Amanina, dans aucune base de données, ni dans aucun journal. Nous conservons uniquement le résultat (réussi, en attente ou échoué) et la date. Parce qu'un égoportrait en direct constitue un renseignement biométrique, nous vous demandons votre consentement explicite avant que vous le preniez; si vous n'y consentez pas, aucun égoportrait n'est soumis, et vous pouvez plutôt utiliser la vérification par pièce d'identité gouvernementale ou nous contacter.
2. Correspondance faciale par pièce d'identité gouvernementale. La correspondance faciale qui confirme que la personne sur l'égoportrait correspond à la pièce d'identité est effectuée par le fournisseur de vérification (Didit) à l'intérieur de son flux hébergé. De notre côté, nous ne conservons que le nombre de confiance dérivé décrit ci-dessus — aucune image faciale ni aucun gabarit biométrique n'est conservé par Amanina.

Nous ne créons, ne conservons ni ne communiquons aucun gabarit de reconnaissance faciale, et nous n'utilisons pas votre égoportrait ou vos photos à des fins autres que les vérifications décrites ici.

07Qui nous aide à exploiter Amanina (sous-traitants)

Nous ne vendons, ne louons ni n'échangeons vos renseignements personnels. Nous ne communiquons que ce qui est nécessaire pour exploiter le service, à des fournisseurs liés par des ententes de traitement des données. Nos fournisseurs de services sont :

Nous ne communiquons des renseignements aux forces de l'ordre ou au gouvernement que lorsque nous y sommes contraints par un mandat valide, une ordonnance du tribunal, une assignation à comparaître ou une procédure légale équivalente.

(Si nous ajoutons, retirons ou modifions un sous-traitant d'une manière qui touche vos renseignements, nous mettrons à jour cette liste et, pour les changements importants, nous vous en aviserons comme décrit à la section 17.)

08Paiements

Les abonnements sont traités par Stripe pour le compte de Mama Hala Consulting Group, facturés directement dans l'application — jamais par l'entremise de l'App Store d'Apple ou de Google Play. Nous ne conservons jamais les détails de votre carte. Les données de carte sont saisies sur la page de paiement hébergée de Stripe; nous recevons et conservons uniquement une référence client et votre statut d'abonnement. Les forfaits payants se renouvellent automatiquement jusqu'à ce que vous les annuliez. Les conditions complètes de facturation, d'annulation et de remboursement figurent dans notre politique d'Annulation et de remboursements.

09Où vos données sont conservées, et transferts transfrontaliers

L'application d'Amanina et le stockage des photos fonctionnent sur une infrastructure exploitée par Vercel aux États-Unis. Notre magasin de données structurées principal est exploité par Upstash, dont la région principale est au Canada (ca-central-1); comme il s'agit d'une base de données répliquée à l'échelle mondiale, des copies peuvent aussi être conservées dans d'autres régions et servies à partir de celles-ci pour réduire la latence en lecture. Nos sauvegardes chiffrées de ce magasin sont conservées par Vercel au Canada (Montréal). Des traitements additionnels — y compris le traitement par IA de la section 5, la livraison de courriels et les paiements — ont lieu sur une infrastructure aux États-Unis exploitée par Anthropic, Resend et Stripe. La vérification d'identité est assurée par Didit sur sa propre infrastructure.

Cela signifie que vos renseignements personnels sont transférés vers les États-Unis et y sont traités. Nous nous appuyons sur des garanties contractuelles (y compris des clauses contractuelles types et des conditions de traitement des données avec nos fournisseurs) ainsi que sur le chiffrement en transit. Lorsque vous créez un compte, vous consentez à ce transfert, et il existe un consentement transfrontalier précis sur notre écran de consentement.

Les personnes qui créent l'invitation de mariage, et les personnes invitées qui y répondent, n'ont pas de compte et ne voient aucun écran de consentement. Elles sont informées, au moment où elles nous transmettent des renseignements, que ceux-ci sont traités aux États-Unis : le couple par la section 3 de la présente politique, à laquelle mène un lien dès l'écran de départ, et la personne invitée à côté du bouton de réponse.

Résidents du Québec (Loi 25, art. 17) : nous vous informons que vos renseignements personnels peuvent être communiqués à l'extérieur du Québec — plus précisément aux États-Unis — aux fins du traitement décrit ci-dessus. Nous avons évalué ces transferts et appliquons les garanties contractuelles décrites ici.

10Le marketing relève de votre choix (CASL)

Les messages de service et de sécurité — codes de connexion, résultats de vérification, avis de jumelages et de messages, confirmations de suppression et reçus — font partie de la prestation du service et sont envoyés sans consentement de marketing distinct.

Tout message de marketing est envoyé uniquement avec votre consentement exprès, que vous accordez (ou refusez) séparément. Vous pouvez changer d'avis à tout moment : chaque message de marketing comprend un mécanisme de désabonnement clair, en une seule touche, et nous honorons les demandes de désabonnement dans un délai de 10 jours ouvrables (une exigence de la CASL). Nous n'achetons pas de listes de courriels.

11Combien de temps nous conservons vos renseignements

Après que vous avez demandé la suppression, il y a une période de 7 jours avant qu'elle ne devienne irréversible (voir la section 12).

12Vos droits, et comment supprimer votre compte

Où que vous habitiez, vous avez le droit de :

• Accéder aux renseignements personnels que nous détenons à votre sujet.
• Corriger les renseignements inexacts ou incomplets. Vous pouvez modifier la plupart de vos renseignements directement dans l'application.
• Retirer votre consentement pour le traitement qui repose sur votre consentement (cela peut limiter ou mettre fin à votre capacité d'utiliser le service).
• Supprimer votre compte et vos renseignements personnels (sous réserve des limites ci-dessous).
• Demander une révision humaine ou une explication de toute évaluation automatisée qui vous concerne (voir la section 5).
• Porter plainte auprès d'un organisme de réglementation de la protection de la vie privée (voir la section 14).

Pour exercer un droit, écrivez à support@amanina.ca. Nous répondons aux demandes d'accès et de correction dans un délai de 30 jours, sans frais. Nous pourrions d'abord vérifier votre identité.

Supprimer votre compte. Vous pouvez supprimer votre compte dans l'application, ou écrire à support@amanina.ca avec la ligne d'objet « Demande de suppression de données » (Data Deletion Request). Lorsque vous supprimez, votre compte entre dans une période de grâce de 7 jours, puis est définitivement purgé par un processus automatisé quotidien. Cela supprime de manière permanente vos photos (et leurs empreintes numériques), votre profil, votre brouillon, votre persona de la Boussole matrimoniale (Marriage Compass), vos consentements, votre dossier d'abonnement, votre profil familial, vos réponses rédigées du Sprint, les messages de clavardage que vous avez rédigés, votre boîte de réception, vos associations de connexion/d'identité, vos empreintes lignagères de la vérification de parenté et votre regroupement par nom de famille, ainsi que les liens de parenté enregistrés entre vous et tout autre membre. Nous vous enverrons un reçu de confirmation.

Limites honnêtes à la suppression. Un petit nombre d'enregistrements peuvent persister brièvement après une purge pour des raisons légitimes et limitées — par exemple, les journaux d'activité internes (conservés jusqu'à 90 jours), les rapports de modération (conservés jusqu'à environ 365 jours pour des raisons de prévention des abus et des raisons légales), les enregistrements de session de vérification de courte durée, les associations de clients du fournisseur de paiement conservées pour des raisons financières et de lutte contre les abus, ainsi que tout signalement d'arnaque/de sécurité. Ces éléments expirent selon leurs propres minuteries de conservation. Nous réduisons activement ce qui subsiste après la suppression. Si vous avez besoin d'une confirmation qu'un enregistrement précis a été supprimé, écrivez à support@amanina.ca.

Résidents du Québec (Loi 25) : la responsable de la protection des renseignements personnels de Mama Hala Consulting Group est Hala Ali. Par défaut, votre profil est configuré avec le plus haut niveau raisonnable de confidentialité — les photos demeurent floutées jusqu'à ce que les deux personnes manifestent un intérêt mutuel. Vous pouvez déposer une plainte directement auprès de nous; si elle n'est pas résolue, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec.

13Protection de la vie privée des enfants

Amanina est strictement réservée aux 18 ans et plus. Nous appliquons un âge minimum de 18 ans côté serveur lorsque vous créez votre profil — et non seulement dans l'application. Nous ne créons pas sciemment de comptes pour des personnes de moins de 18 ans, et nous ne recueillons pas sciemment de renseignements auprès d'elles. Si nous apprenons qu'une personne de moins de 18 ans a créé un compte, nous le supprimons. Le contenu d'exploitation sexuelle d'enfants fait l'objet d'une tolérance zéro : il est supprimé, le compte est banni, et il est signalé aux autorités (NCMEC et Cybertip.ca) avec préservation des preuves comme l'exige la loi.

14Comment nous joindre, et comment porter plainte

Questions, demandes et plaintes relatives à la confidentialité :

Si vous n'êtes pas satisfait de notre réponse, vous pouvez porter plainte auprès d'un organisme de réglementation :

• Commissariat à la protection de la vie privée du Canada (CPVP) — priv.gc.ca | 1-800-282-1376
• Commissaire à l'information et à la protection de la vie privée de l'Ontario — ipc.on.ca
• Commission d'accès à l'information du Québec (CAI) — pour les résidents du Québec

Nous visons à répondre aux plaintes dans un délai de 30 jours.

15Sécurité

Nous protégeons vos renseignements au moyen de : chiffrement en transit (HTTPS) vers tous nos fournisseurs; chiffrement au repos fourni par nos plateformes d'hébergement et de stockage; contrôles d'accès et jetons de session signés et vérifiés; hachage à sens unique des adresses IP dans les registres de consentement (nous n'y conservons jamais d'adresses IP brutes); limitation du débit et prévention des abus; et vérification des webhooks des fournisseurs. Aucune méthode de transmission ou de stockage n'est jamais sûre à 100 %, mais nous nous efforçons de protéger vos renseignements et de réagir rapidement si un problème survient.

16Atteinte à la protection des données

Si une atteinte à la vie privée crée un risque réel de préjudice grave pour vous, nous vous aviserons, ainsi que le ou les organismes de réglementation appropriés, sans délai déraisonnable, comme l'exigent la PIPEDA, la Loi 25 du Québec et toute autre loi applicable, et nous tiendrons des registres des atteintes comme la loi l'exige.

17Modifications de la présente politique

Nous pouvons mettre à jour la présente politique à mesure qu'Amanina évolue. La version affichée sur cette page est toujours la version en vigueur, et nous mettons à jour la date de « Dernière mise à jour » ainsi que l'étiquette de version ci-dessus chaque fois qu'elle change. Pour les changements importants, nous déploierons des efforts raisonnables pour vous en aviser à l'avance — normalement au moins 30 jours avant l'entrée en vigueur du changement — par un ou plusieurs moyens, tels que un courriel, un avis dans l'application ou un avis sur cette page.

Comme les courriels et les notifications ne parviennent pas toujours à tout le monde, l'avis ne dépend pas uniquement de la réception d'un courriel : la politique mise à jour affichée ici, portant une nouvelle date de « Dernière mise à jour », constitue en elle-même un avis qui vous est donné, que notre message vous parvienne ou non. Veuillez consulter la présente politique de temps à autre — la version en vigueur est toujours disponible ici, à amanina.ca/privacy. La poursuite de votre utilisation d'Amanina après l'entrée en vigueur d'un changement signifie que vous acceptez la politique mise à jour, que vous ayez reçu ou lu un avis individuel ou non. Nous n'appliquons pas les changements importants de façon rétroactive, et aucun changement ne réduit un droit qui vous est déjà acquis.