Où va la voix de votre enfant
Nous avons écrit le logiciel qui achemine les appels de votre enfant, et nous l'exploitons sur notre propre central téléphonique à Helsinki. Voici exactement ce que nous savons, ce que nous ignorons, et les points qui ne sont pas à notre avantage.
Par Greg Chrystall
Les parents nous posent deux questions au sujet des données, en général d'un même souffle : que savez-vous de mon enfant, et où va vraiment l'appel ? Voici les deux réponses, plus détaillées que vous ne le souhaitiez sans doute — y compris les passages qui ne sont pas flatteurs.
Ce que nous ne savons pas de votre enfant
Nous ne collectons aucune information sur les enfants. Pas de date de naissance, pas d'adresse, pas d'école, pas de profil, aucun identifiant d'appareil rattaché à une personne. Il existe exactement un champ dans nos systèmes qui peut contenir quelque chose au sujet de votre enfant : le nom de la ligne — et il existe parce qu'un parent l'a saisi, pour que le téléphone de l'entrée affiche quelque chose de plus utile qu'un numéro. Appelez la ligne « le petit » et nous ne savons strictement rien.
Ce n'est pas de la retenue de notre part. Nous n'avons jamais créé ces champs.
Où va réellement un appel
Barnluren est un réseau fermé. Le téléphone de votre entrée n'est pas raccordé au réseau téléphonique public : il ne peut donc pas être appelé par un inconnu, un escroc ou un automate de démarchage. Il n'y a aucune voie d'entrée.
Ce qu'il y a à la place, c'est notre propre central téléphonique, qui tourne sur des machines que nous louons à Helsinki. Un appel du téléphone de l'entrée vers l'application de mamie suit ce chemin : appareil → Helsinki → application. C'est tout l'itinéraire. Pas de plateforme vocale tierce, pas d'API télécom américaine, pas d'accord de revente sur l'infrastructure de quelqu'un d'autre avec notre logo dessus. Si toutes les personnes en ligne sont en Europe, l'appel reste en Europe. Si mamie répond depuis Bangkok, sa moitié de l'appel va jusqu'à Bangkok — c'est de la physique, pas une politique.
Ce que nous avons construit, et ce que nous avons acheté
Le firmware de l'adaptateur, l'application iOS, l'application Android, les serveurs, le routage des appels : tout est écrit par nous, sur des fondations open source — Linux, OpenWrt, Asterisk, PostgreSQL. Il n'y a aucune boîte noire propriétaire sur le trajet de l'appel dont nous ne puissions pas lire le code source.
C'est la raison pratique de posséder cette couche. Quand un parent demande qui peut entendre cet appel, nous pouvons répondre à partir du code plutôt qu'à partir de la page marketing d'un fournisseur.
Deux choses que nous n'avons pas construites. Clerk gère la connexion et Stripe gère les paiements — les deux domaines où tout faire soi-même est la meilleure façon, pour une petite entreprise, de finir dans un titre de presse sur une fuite de données. Les deux sont conformes au RGPD, avec des accords de traitement des données en place, et les deux traitent certaines données hors de l'UE dans les cadres juridiques standards. Ce qu'ils voient, c'est le parent : une adresse e-mail, une carte bancaire. Ni l'un ni l'autre ne touche à un appel. Ni l'un ni l'autre ne sait qu'un enfant existe.
Nous préférons les nommer plutôt que d'affirmer en bloc que « rien ne quitte jamais l'UE » en espérant discrètement que personne ne vérifie.
Chiffré, et où se situe la couture
Les deux segments de chaque appel sont chiffrés en transit : SIP sur TLS et SRTP depuis l'adaptateur, DTLS-SRTP depuis les applications.
Ce n'est pas un chiffrement de bout en bout, et nous n'allons pas laisser entendre le contraire. L'appel est déchiffré sur notre serveur à Helsinki pour pouvoir être commuté vers l'autre partie, puis chiffré à nouveau en sortie. Cette couture existe dans tous les systèmes qui relient un téléphone physique à une application. Ce qui compte, c'est l'endroit où elle se situe : sur du matériel que nous contrôlons, dans l'UE, en un point où nous n'avons délibérément rien construit qui écoute.
Nous n'enregistrons pas les appels
Aucun enregistrement. Aucune transcription. Aucun « contrôle qualité ». Aucune donnée d'entraînement. Pas de stockage bref suivi d'une suppression — rien n'est créé au départ.
La seule exception est une réquisition légale des forces de l'ordre, à laquelle nous nous conformerions, parce que c'est la loi. Il vaut la peine d'être précis sur ce que cela signifie en pratique : il n'y a aucune archive à remettre pour la période antérieure à une telle réquisition. Personne ne nous paie non plus pour des données d'appel, parce qu'elles n'existent pas et ne sont pas à vendre.
Les vrais numéros de téléphone changent une chose
Nous préparons une formule appelée Barnluren Everyone, qui ajoute un vrai numéro de téléphone à la ligne de l'enfant pour que des personnes qui ne sont pas sur Barnluren puissent le joindre — un grand-parent revenu à un téléphone simple, un copain dont la famille a un téléphone fixe. Les parents approuvent toujours chaque contact, dans les deux sens. C'est en bêta fermée.
À l'intérieur de Barnluren, rien ne change au routage. Les appels de Barnluren à Barnluren passent toujours par notre propre réseau, même sur une ligne à laquelle un numéro public est rattaché. Le numéro n'entre en jeu qu'à la frontière : un appel qui arrive de l'extérieur, ou un appel qui part vers un numéro qui n'est pas le nôtre.
Quand un appel franchit cette frontière, il devient un appel téléphonique ordinaire, avec les propriétés ordinaires d'un appel téléphonique. Il passe par le réseau téléphonique public. Il n'y est pas chiffré, et nous ne pouvons rien y faire. Notre opérateur pour ces numéros est suédois, donc l'itinéraire reste nordique — mais une fois l'appel transmis, il vit selon les règles du système téléphonique, pas les nôtres.
Cet opérateur conserve ses propres relevés d'appels, parce que toute compagnie de téléphone y est tenue. C'est la réglementation, pas une décision de Barnluren. Toujours aucun enregistrement sonore pour autant : un appel vers un vrai numéro est journalisé pour la facturation, il n'est pas écouté.
Deux conséquences que nous préférons énoncer plutôt que de vous laisser les découvrir. Une ligne dotée d'un numéro public est joignable d'une façon qu'un réseau fermé ne l'est pas — c'est la liste de contacts approuvés par les parents qui garde cela sûr, et elle s'applique dans les deux sens. Et notre promesse « ce téléphone ne peut pas composer le 112 » porte sur le réseau interne. Les appels d'urgence ne font pas partie de ce que propose Barnluren, et un vrai numéro n'y change rien. Le téléphone d'un enfant ne remplace pas un moyen de joindre les secours.
La version honnête de « tout reste dans l'UE »
Trois couches, trois réponses différentes.
L'appel lui-même : notre logiciel, notre central, Helsinki. Il ne quitte pas l'UE, sauf si quelqu'un sur l'appel se trouve en dehors.
Un appel vers un vrai numéro de téléphone : remis à un opérateur suédois à la frontière, et à partir de là c'est le réseau téléphonique public, avec les règles habituelles.
Le compte derrière tout cela : Clerk et Stripe, conformes au RGPD, avec certains traitements hors de l'UE dans les cadres standards. Ni l'un ni l'autre ne touche à un appel.
L'essentiel de cette pile technique est à nous. La couche qui transporte la voix de votre enfant est celle que nous possédons entièrement, et ce n'est pas un hasard — c'est la raison pour laquelle les réponses ci-dessus peuvent être aussi précises.