Scellées sur votre iPhone
Chaque copie de traitement reçoit sa propre clé et est scellée avant de quitter votre téléphone. Le stockage ne contient que des copies scellées.
Vos photos sont personnelles
Vos photos, utiles.
Et protégées.
Scellées sur votre iPhone. Ouvertes seulement par le traitement automatisé, avec une clé que personne, chez Balise ou ailleurs, ne peut utiliser.
Balise rend vos photos utiles sans créer une deuxième photothèque. Vos originaux restent dans Photos d’Apple.
Vidéo · 0:55
Comment Balise protège vos photos.
Notre équipe ne peut pas ouvrir vos photos
Pas par principe, par conception. La clé qui ouvre une copie se trouve dans un coffre matériel sous une garde séparée, et seul le traitement automatisé peut l’utiliser. C’est un dépositaire indépendant qui tient cette règle, pas nous.
Vous décidez de ce que voit votre IA
Claude et ChatGPT peuvent utiliser vos informations consultables. Pour recevoir des photos, ils ont besoin de votre accord sur la sélection exacte. L’accès par Balise dure une heure.
Le parcours d’une photo
Scellée jusqu’au seul endroit où elle est ouverte.
- Votre iPhone
Scelle chaque copie avec sa propre clé. L’original reste dans Photos d’Apple.
- Le stockage privé
Ne contient jamais que la copie scellée.
- Le service de traitement
Le seul endroit où une copie est ouverte, pour que Balise et ses fournisseurs d’IA puissent l’analyser. Les fournisseurs reçoivent une copie lisible pour une durée limitée.
- Ce que Balise garde
Ce qu’elle a appris. La copie est supprimée.
Certains traitements utilisent une copie temporaire dans un stockage cloud privé. Les précisions ci-dessous expliquent les limites et les exceptions.
Qui détient la clé
Personne, chez Balise ou ailleurs, ne peut utiliser la clé.
- Elle ne peut pas quitter le coffre
- La clé privée a été créée dans un module de sécurité matériel et ne peut pas être exportée, ni par Balise ni par personne d’autre. Une copie ne peut être ouverte qu’en demandant au coffre de déverrouiller sa clé.
- Une seule porte, et elle est automatisée
- Seul le service de traitement peut demander au coffre de déverrouiller une clé de photo, une photo à la fois. Les comptes de notre équipe, nos serveurs et nos outils de déploiement sont refusés par la règle d’accès, et personne ne peut se connecter en tant que service de traitement.
- Tenue par quelqu’un d’autre que nous
- Un dépositaire indépendant, extérieur à Balise, détient la règle d’accès et la clé de signature qui garantit toute nouvelle clé du coffre. Nous ne pouvons pas élargir seuls l’accès à la clé, et chaque usage est consigné pour le dépositaire.
Quand vous connectez Claude ou ChatGPT
Une connexion ne donne pas accès à toutes vos photos.
Votre assistant peut rechercher les informations apprises par Balise. Lorsqu’il a besoin de photos, Balise vous montre dans l’app la sélection exacte à approuver.
Votre accord ne couvre que ces photos et la connexion qui les a demandées, pendant une heure à compter de votre décision. Les consulter à nouveau ne prolonge pas ce délai. Une nouvelle sélection exige un nouvel accord.
Votre accord est signé sur votre iPhone. Le service qui déchiffre une photo vérifie cette signature avant d’ouvrir quoi que ce soit : un accord fabriqué par les serveurs de Balise eux-mêmes n’ouvre rien.
Cette heure limite l’accès par Balise. Elle ne peut ni effacer une photo déjà reçue par l’assistant, ni la retirer de votre conversation. Les réglages et politiques de votre assistant s’appliquent alors.
Des photos plus sensibles
Certaines photos demandent plus de soin.
- Les photos explicites sont écartées
- Balise les écarte dès le début, avant de les regarder de plus près, les supprime et n’en apprend rien.
- Les photos de santé restent privées
- Ce que Balise apprend d’une ordonnance, d’un résultat d’analyse ou de la photo d’une blessure reste votre dossier personnel : vous pouvez poser vos questions dans Balise ou à l’assistant que vous connectez. Ces photos ne sont jamais mises en avant, ni reprises dans un récit, en couverture ou sur votre carte.
Ce qui reste, et combien de temps
Vos photos et ce que Balise apprend sont deux choses différentes.
- Copies de traitement ordinaires
- Supprimées à la fin du traitement, y compris toute comparaison Personnes activée. Une règle de nettoyage du stockage au bout d’un jour prend le relais si la suppression est interrompue.
- Photos approuvées pour un assistant
- Uniquement les copies sélectionnées, dont l’accès prend fin une heure après votre accord. La suppression suit l’expiration et les consultations répétées ne prolongent jamais l’accès.
- Photos en attente d’une nouvelle catégorie
- Rien n’est conservé. Si Balise a besoin d’une catégorie qu’elle n’a pas encore créée, elle garde ce qu’elle a remarqué sur la photo, pas la photo elle-même.
- Informations consultables
- Descriptions, dates, lieux, notes et autres détails restent dans votre compte Balise privé pour que vous puissiez les retrouver et les utiliser. Supprimer une copie de traitement ne supprime pas ces informations. Vous pouvez les supprimer dans Balise.
- Ce que vous publiez
- Les fiches, Récits et autres contenus publiés suivent vos choix de partage. Ils restent accessibles selon leurs règles de publication jusqu’à leur retrait. Quelqu’un peut déjà en avoir enregistré une copie.
Pour aller plus loin
La protection en détail.
Comment fonctionne le chiffrement ?
Votre iPhone attribue à chaque copie de traitement une nouvelle clé AES-256-GCM et chiffre la copie avec elle. Il chiffre ensuite cette clé avec une clé publique RSA-OAEP de 3072 bits (SHA-256) : seule la clé privée correspondante peut l’ouvrir. Les copies restent chiffrées dans le stockage.
La clé privée a été créée dans un module de sécurité matériel (Google Cloud HSM) et ne peut pas être exportée. Seul le service de traitement peut l’utiliser, pour déverrouiller une clé de photo à la fois. L’API coordonne les demandes mais ne détient jamais la clé. Toute image que le traitement dérive d’une photo est à nouveau chiffrée avec une nouvelle clé. Vos informations consultables ne le sont pas de cette façon : elles sont stockées séparément, comme l’explique la réponse suivante.
Votre iPhone reconnaît aussi la clé avec laquelle il chiffre. Si on lui présente une clé qu’il ne reconnaît pas et que le dépositaire n’a pas garantie, il s’arrête au lieu d’envoyer.
Tout est-il chiffré de bout en bout ?
Balise chiffre les copies d’images avant l’envoi, mais le traitement automatisé doit les déchiffrer. Ce n’est pas un système où seuls vos appareils peuvent analyser les images. Vos informations consultables sont stockées séparément sur les serveurs de Balise et ne sont pas couvertes par le même chiffrement propre à chaque image.
Que reçoivent les fournisseurs d’IA ?
Les fournisseurs chargés du traitement pour Balise reçoivent les images déchiffrées ou le texte nécessaires à leur tâche. L’accès aux photos passe par des liens de courte durée ou par une entrée temporaire dans un stockage cloud privé. Les entrées Vertex ont actuellement une fenêtre d’accès de dix minutes. L’accès expire indépendamment de la suppression physique, retentée après l’expiration et couverte par une règle de nettoyage du stockage au bout d’un jour. Ces entrées temporaires utilisent le chiffrement du stockage cloud, et non le chiffrement propre à chaque image appliqué par le téléphone.
Balise n’autorise pas l’entraînement sur votre contenu. Cela ne signifie pas qu’un fournisseur ne conserve jamais rien. Consultez la politique de confidentialité pour connaître les fournisseurs et les données concernés. Connecter votre propre compte Claude ou ChatGPT est un choix distinct, régi par les réglages et politiques de ce service.
Que signifie « notre équipe ne peut pas ouvrir vos photos » ?
Personne chez Balise ne peut ouvrir une copie de photo privée, et ce n’est pas une règle interne. Nos comptes sont refusés par la règle qui protège la clé. Cette règle est détenue par un dépositaire indépendant extérieur à Balise, qui reçoit aussi la trace de chaque usage de la clé.
La copie est chiffrée sur votre iPhone : sans la clé maîtresse, elle ne peut pas être ouverte.
Si vous publiez volontairement une photo ou l’envoyez au service client, les personnes avec qui vous la partagez peuvent la voir.
Vos souvenirs. Votre décision.
Choisissez ce que Balise peut importer. Approuvez les demandes de photos. Supprimez ce que Balise a appris quand vous le souhaitez.
Recevoir une invitationLire la politique de confidentialitéDernière mise à jour : 11 septembre 2026. Une question ? Écrivez-nous.