Politique de confidentialité

Dernière mise à jour : 14 octobre 2026

En un coup d'œil

• Pas de compte, aucun contenu de notre part. Tunvio est un lecteur. Vos flux proviennent directement du fournisseur que vous avez vous-même saisi.
• Nous ne demandons pas vos identifiants d'accès. Nous ne demandons pas et ne recevons pas intentionnellement les mots de passe, les adresses des fournisseurs ni les noms des chaînes ; les textes d'erreur sont filtrés automatiquement pour en retirer les adresses web et les identifiants d'accès, ce qui ne peut pas être parfait (section 7). Pour les informations sur les films et les sous-titres, notre proxy ne voit qu'un identifiant ou le titre nettoyé (section 8) ; les images elles-mêmes sont chargées directement depuis le serveur d'images de TMDB (section 8). Si vous utilisez la synchronisation des appareils, vos profils sont enregistrés dans votre propre espace de stockage (section 10).
• Ce que vous partagez volontairement est désactivé par défaut : les données d'utilisation et rapports de plantage, les repères de saut partagés, la synchronisation des appareils et l'appairage d'appareils ne sont activés que par vous – et vous pouvez les désactiver à tout moment.
• Nos propres services ne conservent aucune adresse IP et ne tiennent aucun journal d'accès (pour le serveur web tunv.io, voir la section 3).
• Le paiement passe par la boutique ou par RevenueCat – nous ne voyons jamais vos données de paiement.

Vous trouverez les détails ci-dessous.

1. Responsable du traitement et nature du service

Le responsable du traitement de l'application « Tunvio » au sens du RGPD est l'exploitant du Projet Tunvio désigné dans les mentions légales (https://tunv.io/impressum) (ci-après « nous »). Contact pour les questions relatives à la protection des données : support@tunv.io

Tunvio est uniquement une application de lecture. Nous ne fournissons aucun contenu, n'hébergeons aucun flux et n'exploitons aucun service de médias. Chaque connexion IPTV s'établit directement vers un serveur que vous avez vous-même saisi en tant que profil (Xtream Codes, liste de lecture M3U, URL directe d'un flux ou portail Stalker). Pour des informations sur votre responsabilité lors du choix d'une source, consultez les Conditions d'utilisation (https://tunv.io/terms-of-use).

2. Données sur votre appareil

Tunvio stocke les éléments suivants sur votre appareil :

• les profils avec l'URL du serveur, le nom d'utilisateur et le mot de passe de votre fournisseur, ainsi qu'un nom de profil facultatif
• l'historique de visionnage, les favoris, les paramètres et le code PIN parental facultatif, par profil
• les vignettes et les métadonnées TMDB en cache (section 8)
• les téléchargements et les enregistrements, si vous en créez
• par profil, les endroits d'une série où vous avez sauté le générique de début ou de fin, afin que l'application puisse vous y proposer « Passer l'intro » ou « Épisode suivant » – et, si vous avez activé le partage, les contributions pas encore envoyées (section 8)
• un identifiant d'achat anonyme en cas d'achat dans le navigateur (section 5), ainsi qu'un identifiant de foyer et un identifiant d'appareil dès que vous appairez des appareils (section 5.1)

Les identifiants d'accès, le code PIN parental, les données de connexion pour la synchronisation des appareils et les identifiants d'appairage sont conservés dans le stockage chiffré de votre système d'exploitation ; sur les téléviseurs Samsung (Tizen), qui n'offrent pas un tel stockage, dans le stockage interne de l'application. Vous pouvez effacer l'historique et les favoris dans les Paramètres ; la désinstallation de l'application supprime tout.

Exception : un dossier à vous. Si vous choisissez un dossier à vous pour les enregistrements et les téléchargements (par exemple sur une carte SD), les fichiers appartiennent à ce dossier : ils subsistent après la désinstallation et, selon le dossier et la plateforme, d'autres applications peuvent les lire. Vous devez alors les supprimer vous-même. Nous n'avons en aucun cas accès à ces fichiers.

Nous ne recevons pas ces données. Il n'existe que deux exceptions, que vous activez vous-même : si vous appairez des appareils, notre service d'appairage conserve l'identifiant de foyer et l'identifiant d'appareil (section 5.1). Si vous partagez des repères de saut, les contributions collectées sont envoyées à notre service de repères de saut, sans aucun lien avec un profil ou un fournisseur (section 8). Si vous utilisez la synchronisation des appareils, les profils, l'historique, les favoris et les paramètres vont dans votre propre espace de stockage, et non chez nous (section 10).

3. Nos propres serveurs

Certaines fonctions utilisent des serveurs que nous exploitons nous-mêmes : appairage d'appareils (pair.tunv.io), rapports d'erreur (diag.tunv.io), métadonnées et repères de saut (tmdb.tunv.io), sous-titres (subs.tunv.io) ainsi que récupération des mises à jour et documents juridiques (tunv.io).

• Localisation : l'appairage, les rapports d'erreur, le proxy de métadonnées et les repères de saut fonctionnent sur nos serveurs en Allemagne. Pour l'appairage, les rapports d'erreur et les repères de saut, aucun sous-traitant n'intervient et aucun transfert vers un pays tiers n'a lieu.
• Aucune conservation de l'adresse IP : les services d'appairage, de rapports d'erreur, de métadonnées, de repères de saut et de sous-titres ne tiennent aucun journal d'accès. Votre adresse IP n'est nécessaire qu'au transport de la requête ; elle n'est ni conservée, ni associée à un identifiant, ni transmise.
• Le serveur web tunv.io (récupération des mises à jour, documents juridiques) est le serveur web ordinaire du site ; il peut conserver les enregistrements d'accès habituels, de courte durée (adresse IP, heure, fichier demandé). L'application n'envoie avec ces requêtes ni identifiant ni donnée de profil.
• Protection contre les abus : pour limiter la fréquence des requêtes et empêcher les interrogations automatisées, l'adresse IP est convertie dès son arrivée en un pseudonyme éphémère pour l'appairage, les métadonnées, les repères de saut et les sous-titres. Sa clé n'existe qu'en mémoire vive et est remplacée régulièrement ; ensuite, le pseudonyme ne peut plus être rattaché à aucune adresse. Le serveur de diagnostic ne garde l'adresse à cette fin que de façon éphémère en mémoire vive. La base juridique est notre intérêt légitime à un fonctionnement sûr (art. 6, § 1, point f, du RGPD, considérant 49).

4. Connexions à votre fournisseur IPTV

Tunvio se connecte directement au serveur que vous avez saisi. Les données que ce serveur traite relèvent de la responsabilité de votre fournisseur, et non de la nôtre. Veuillez consulter sa politique de confidentialité.

Casting. Si vous diffusez vers un appareil Chromecast ou DLNA (lorsque cela est proposé), l'application transmet à cet appareil, via votre réseau local, l'adresse du flux – qui contient l'adresse de votre fournisseur et, pour Xtream, vos données d'accès ; l'appareil charge ensuite lui-même le flux depuis votre fournisseur. Si une affiche est affichée sur l'appareil, l'adresse de l'image TMDB peut également être transmise, et l'appareil la charge alors directement depuis image.tmdb.org (section 8). Rien de tout cela ne passe par nos serveurs.

4.1 Diagnostic de lecture (« Quel est le problème ? »)

Lorsque la lecture saccade ou échoue, Tunvio en vérifie automatiquement la cause : au moyen de quelques brèves requêtes de test au serveur de votre fournisseur (résolution de nom, établissement de la connexion, connexion chiffrée, une courte récupération du flux et, pour Xtream et Stalker, un appel à l'interface du compte avec vos identifiants d'accès enregistrés) – soit les mêmes connexions que pendant la lecture. L'application lit en outre sur votre appareil si un VPN ou une application de filtrage est actif, si le réseau signale une connexion à Internet et si un DNS privé est configuré. Le résultat reste sur votre appareil, sauf si vous l'envoyez avec un rapport d'erreur (section 7.1).

« Vérifier plus en détail ». Uniquement si vous appuyez dessus (et qu'aucun DNS privé n'est actif), Tunvio demande à Cloudflare, ou à défaut à Google Public DNS, via une connexion chiffrée, si le nom du serveur de votre fournisseur est connu. Seul ce nom de serveur est transmis – ni identifiants d'accès, ni chemin, ni identifiant d'appareil ; comme pour toute connexion, le service voit votre adresse IP. Le résultat reste sur votre appareil, sauf si vous l'envoyez avec un rapport d'erreur (section 7.1). La base juridique est votre demande (art. 6, § 1, point b ou point f, du RGPD). Les politiques de confidentialité de Cloudflare (cloudflare.com/privacypolicy) ou de Google (policies.google.com/privacy) s'appliquent ; un transfert vers les États-Unis est possible.

5. Achats et abonnements

Les fonctionnalités premium sont facultatives. Là où rien n'est vendu (par exemple sur les téléviseurs Samsung), aucune donnée n'est transmise à cette fin.

• Achat via une boutique : si votre application provient de l'Apple App Store, de Google Play ou de l'Amazon Appstore, la boutique gère le paiement.
• Achat dans le navigateur : pour les versions distribuées hors boutique (par exemple sur ordinateur de bureau), l'application ouvre une page de paiement de RevenueCat, Inc. ; ce que vous y saisissez est reçu par RevenueCat et par son prestataire de services de paiement, qui traite le paiement.
• Dans les deux cas, nous ne recevons ni ne conservons aucune donnée de paiement.
• Gestion des abonnements : pour vérifier si un achat est actif, nous utilisons RevenueCat, Inc. (États-Unis). RevenueCat reçoit de l'application un identifiant d'utilisateur anonyme, généré aléatoirement, ainsi que les reçus d'achat de la voie d'achat utilisée – aucun nom et aucune donnée de paiement ; votre adresse e-mail uniquement pour pré-remplir la page de paiement (voir ci-dessous). Avis de confidentialité : https://www.revenuecat.com/privacy
• Restauration d'un achat effectué dans le navigateur : comme il n'existe pas de compte, vous restaurez un achat effectué dans le navigateur sur un autre appareil au moyen de l'adresse e-mail utilisée lors de l'achat. L'application la convertit sur votre appareil en un identifiant dérivé (un hachage) ; seul cet identifiant sert à la consultation et il reste sur l'appareil. L'adresse elle-même n'est pas conservée durablement. Si vous rouvrez ensuite la page de paiement, elle y est pré-remplie.

La base juridique est l'exécution d'un contrat (art. 6, § 1, point b, du RGPD).

5.1 Premium sur plusieurs appareils (appairage d'appareils)

Si vous avez acheté Premium, vous pouvez l'utiliser sur d'autres appareils : l'appareil payé affiche un code à huit chiffres que vous saisissez sur l'autre appareil. Les deux appartiennent alors à un même foyer (sept appareils au maximum) doté d'une identité d'achat commune, générée aléatoirement. Cela passe par notre service pair.tunv.io (section 3). L'application ne le contacte que lorsque vous faites afficher un code ou en saisissez un – jamais automatiquement ni en arrière-plan.

Seuls sont conservés, par foyer : un identifiant d'appareil aléatoire généré par l'application pour chaque appareil (pas un identifiant du système d'exploitation, ni un identifiant publicitaire, un numéro de série ou une adresse MAC), le modèle de l'appareil comme nom d'affichage (par exemple « Pixel 8 », sinon le type d'appareil, comme « Samsung TV »), la date et l'heure de l'appairage, un identifiant de foyer aléatoire, la date de création du foyer, l'indication si un code a déjà été utilisé, et un compteur journalier des codes demandés. Le code lui-même est valable 10 minutes puis supprimé ; dès qu'il est utilisé, il est consommé immédiatement.

C'est le seul de nos propres serveurs qui conserve un identifiant d'appareil durable – sans cela, une liste d'appareils dont vous pouvez retirer des appareils n'est pas possible.

Ne sont pas conservés : l'adresse IP, l'adresse e-mail, le nom ou un compte ; rien au sujet de vos achats (lors de la demande d'un code, l'application transmet son identité d'achat afin qu'un foyer existant puisse être reconnu ; l'identifiant anonyme d'une installation isolée est alors écarté, et aucun droit d'accès n'est vérifié) ; rien au sujet des profils, des fournisseurs, des chaînes ou des titres. Les journaux du service ne contiennent ni codes ni identifiants.

RevenueCat après l'appairage : l'identifiant d'utilisateur mentionné à la section 5 est alors le même pour tous les appareils du foyer, à savoir l'identifiant de foyer aléatoire.

Durée de conservation et suppression : un appareil appairé reste enregistré jusqu'à ce que vous le retiriez – sans expiration automatique. Sous Paramètres → Premium, vous voyez tous les appareils de votre foyer et pouvez retirer chacun d'eux ; l'entrée est supprimée immédiatement, et avec le dernier appareil, le foyer aussi. Si vous retirez votre propre appareil, il retrouve une identité d'achat qui lui est propre. Seule exception à l'absence d'expiration : une tentative d'appairage lors de laquelle aucun code n'a jamais été utilisé est supprimée au bout de 30 jours.

La base juridique est votre consentement (art. 6, § 1, point a, du RGPD), que vous donnez en faisant afficher ou en saisissant un code et que vous retirez en retirant l'appareil.

6. Firebase (Google) – Analytics et rapports de plantage

Uniquement sur Android et iOS, Tunvio utilise Firebase de Google Ireland Ltd. / Google LLC – et uniquement avec votre consentement. Les deux services sont désactivés par défaut ; au premier lancement, nous vous posons la question et, si vous refusez, au maximum une fois de plus.

• Firebase Analytics : statistiques d'utilisation pseudonymisées (par exemple écrans consultés, version de l'appareil et de l'application, région approximative), analysées au moyen d'un identifiant pseudonyme, afin d'améliorer l'application.
• Firebase Crashlytics : rapports de plantage et d'erreur (informations techniques indiquant à quel endroit du programme l'erreur s'est produite, version de l'appareil et de l'application), afin de corriger les plantages.

Nous n'ajoutons à ces rapports aucun identifiant d'accès, mot de passe, nom de profil ni adresse de lecture. Les textes d'erreur produits par le système ou par les bibliothèques utilisées sont transmis tels quels à Crashlytics et ne sont pas filtrés par nous ; ils peuvent contenir une adresse de serveur ou une adresse web. Un rapport de plantage comporte en outre une courte description de l'état : phase de synchronisation, utilisation de la mémoire et figement le plus long, type de profil, classes de taille du catalogue et progression de la recherche de métadonnées par paliers de 10 %. Un transfert vers les États-Unis est possible ; Google s'appuie pour cela sur les clauses contractuelles types de l'UE. Avis de confidentialité : https://policies.google.com/privacy

La base juridique est votre consentement (art. 6, § 1, point a, du RGPD, art. 25, § 1, de la TDDDG). Vous pouvez le retirer à tout moment sous Paramètres → Données & stockage → « Données d'utilisation & rapports de plantage », avec effet immédiat.

7. Nos propres rapports d'erreur (diag.tunv.io)

Le même interrupteur « Données d'utilisation & rapports de plantage » commande l'envoi automatique de rapports d'erreur à notre serveur de diagnostic (section 3). Ils fonctionnent sur toutes les plateformes, y compris les téléviseurs et les ordinateurs de bureau. Sans votre consentement, rien n'est envoyé.

La finalité est exclusivement la correction des erreurs : les détecter, regrouper celles de même nature, les corriger et vérifier que le correctif fonctionne. Aucune analyse d'utilisation, aucun profilage, aucune publicité.

Seules les données suivantes sont transmises :

• le type et la classe d'erreur (par exemple erreur de lecture, de connexion ou de synchronisation, plantage, interface figée ; délai dépassé, erreur de décodeur, limite de connexions ; le cas échéant, le code de statut HTTP sous forme de nombre)
• les circonstances techniques : moteur de lecture et niveau de décodage, type ou périmètre du contenu (direct, film, série, guide des programmes, téléchargement ; pour les erreurs de synchronisation, de Cast et d'exportation, aussi le type de cible ou de cause, par exemple l'espace de stockage de synchronisation choisi), type de profil (pas le fournisseur) et, pour les profils fusionnés, le fait qu'une, quelques-unes ou toutes les sources aient été touchées
• la version et le type de compilation de l'application, la plateforme, la version majeure du système d'exploitation, le modèle de l'appareil, la langue et le réglage de la région, ainsi que la mémoire de l'appareil sous forme de palier approximatif
• en cas d'interface figée et pour certaines erreurs de lecture : à quel point l'application était sollicitée par des pressions de touches dans les secondes précédentes (niveau approximatif : faible, moyen ou élevé) et quel type de tâche interne d'arrière-plan était en cours (par exemple la lecture du catalogue ou du guide des programmes) – uniquement le type de tâche, jamais un fichier, une adresse, un profil ou un nombre
• après un arrêt brutal de la session précédente, le type d'arrêt tel que le système d'exploitation le nomme (par exemple « ne répond pas ») ; si le système n'a pu en nommer aucun, la raison (aucun enregistrement disponible, ou aucun qui corresponde) et une classe de durée approximative (minutes, heures ou jours) entre le dernier signe d'activité et l'enregistrement système le plus proche
• en cas de démarrage lent ou échoué de l'application : quelle étape du démarrage a été la plus lente ou a échoué (un nom interne fixe) et combien de millisecondes le démarrage a duré ; lorsque le démarrage en mode sans échec s'ouvre, comment il a été déclenché et de petits compteurs des démarrages récents non terminés
• en cas de plantage et de blocage arrêté par le système, des informations techniques indiquant à quel endroit du programme l'erreur s'est produite, avec le message d'erreur expurgé et le nom de l'écran de l'application (par exemple « lecteur » – jamais un contenu). En cas de plantage lié à la mémoire ou à la connexion, le message comporte en outre une courte ligne d'état : la phase de synchronisation, l'utilisation de la mémoire par l'application en mégaoctets, le type de profil (jamais le nombre de sources), le figement le plus long en millisecondes, la progression de la recherche de métadonnées par paliers de 10 % et seulement des classes de taille du catalogue et de cette recherche (par exemple « 3 000 à 10 000 entrées ») – jamais de nombres exacts
• l'heure de l'événement, lue sur l'horloge de l'appareil (utilisée pour ordonner les rapports en file d'attente ; elle est conservée avec le rapport)
• un identifiant journalier, régénéré aléatoirement chaque jour. Il relie les rapports d'un même jour ; un appareil ne peut pas être reconnu d'un jour à l'autre. Il n'existe aucun identifiant d'appareil ou d'installation.

Ne sont pas collectés par conception : les noms de chaînes, de films et de séries, les termes de recherche, les noms de profil et d'utilisateur, les mots de passe et autres identifiants d'accès, les adresses MAC et les numéros de série. Le texte d'erreur libre n'est filtré que pour les adresses et les identifiants d'accès. Adresses : les adresses web, les adresses IP et les chaînes ressemblant à des identifiants d'accès sont masquées sur l'appareil avant l'envoi, et notre serveur supprime les noms de serveur écrits sans adresse dans un second passage qui ne peut pas reconnaître tous les noms de serveur (section 7.1). Les adresses de lecture et de serveur sont donc masquées sur l'appareil et supprimées sur le serveur dans la mesure où elles sont reconnaissables.

La base juridique est votre consentement (art. 6, § 1, point a, du RGPD, art. 25, § 1, de la TDDDG), que vous pouvez retirer comme indiqué à la section 6. Durée de conservation : les rapports individuels sont supprimés au bout de 90 jours ; ensuite, seuls subsistent des chiffres agrégés par motif d'erreur (nombre, première et dernière apparition, versions concernées), sans lien avec un rapport ou un appareil. Pour l'accès et l'effacement, voir la section 12.

7.1 Rapport d'erreur que vous envoyez vous-même

Sous Paramètres → « Signaler un problème » ou, dans le lecteur, via « Quel est le problème ? » → « Signaler un problème », vous pouvez envoyer vous-même un rapport. Il ne quitte votre appareil que si vous l'envoyez – il n'est ni mis en mémoire tampon ni renvoyé plus tard – et ne dépend pas de l'interrupteur « Données d'utilisation & rapports de plantage ». La boîte de dialogue d'envoi vous propose d'activer les rapports automatiques – de façon facultative et sans présélection.

Sont transmis : votre texte, le journal technique de votre session, y compris les dernières erreurs de programme (vous pouvez le consulter au préalable sous « Qu'est-ce qui est envoyé ? »), le type de problème, la version de l'application, le type de compilation, la plateforme, la version majeure du système d'exploitation, le modèle de l'appareil, la langue et le réglage de la région, le moteur de lecture, le type de profil, l'existence éventuelle d'un Premium actif, l'heure du rapport, lue sur l'horloge de l'appareil – et, pour un rapport envoyé depuis le lecteur, le résultat du diagnostic de la section 4.1 sous forme de valeurs courtes, sans noms de serveur, adresses IP ni identifiants d'accès.

Le texte et le journal sont automatiquement masqués sur l'appareil avant l'envoi : adresses web (tout ce qui comporte un schéma tel que https://), adresses IPv4, adresses e-mail et chaînes ressemblant à des identifiants d'accès (telles que password=… ou user:pass@host). Notre serveur répète ce traitement et supprime en outre les noms de serveur écrits sans adresse – un second passage qui ne peut pas reconnaître tous les noms de serveur. N'inscrivez malgré tout aucun mot de passe dans votre texte – dans une phrase ordinaire, l'expurgation ne peut pas les reconnaître.

Le rapport ne porte aucun identifiant qui le relierait à votre appareil, uniquement un numéro de référence aléatoire qui vous est affiché. Grâce à lui, vous pouvez demander l'accès ou l'effacement à support@tunv.io. La base juridique est votre consentement, donné par l'envoi (art. 6, § 1, point a, du RGPD). Durée de conservation : 90 jours.

8. Métadonnées et images (TMDB)

Tunvio complète les films et les séries par des descriptions, des notes, des logos, des affiches et des classifications d'âge provenant de The Movie Database (TMDB). Cela fait partie de l'affichage du catalogue et ne dispose pas d'un interrupteur propre ; vous pouvez supprimer les métadonnées mises en cache sous Paramètres → Données & stockage.

Les descriptions, les notes et les adresses d'images sont demandées via notre proxy tmdb.tunv.io (section 3), et non directement auprès de TMDB. Seul ce dont la requête a besoin est transmis : pour une recherche, le titre nettoyé et, le cas échéant, l'année de sortie ; sinon, l'identifiant TMDB et, pour les saisons, le numéro de saison ; chaque requête comporte en outre la langue de l'application et, pour la disponibilité en streaming, la région de votre appareil. L'épisode que vous regardez et sa durée ne sont pas transmis, pas plus que les données de profil, d'accès ou de lecture. Les résultats sont mis en cache sur le proxy et sur votre appareil.

Les fichiers d'images eux-mêmes proviennent directement de TMDB. Les affiches, les images de fond, les logos de titres, les images d'épisodes, les logos des services de streaming et les photos de la distribution et de l'équipe technique sont chargés par votre appareil depuis le serveur d'images de TMDB image.tmdb.org, et non via notre proxy. TMDB reçoit donc votre adresse IP, le User-Agent que votre appareil envoie (celui défini pour votre profil actif – par défaut, une chaîne générique de lecteur multimédia) et le chemin de fichier de l'image demandée, qui identifie cette affiche ou cette photo – à partir de ce chemin et de votre adresse IP, TMDB peut savoir quels titres sont affichés –, mais aucune donnée d'accès, de profil ou de lecture. Cela se produit chaque fois qu'une image n'est pas (ou plus) enregistrée sur votre appareil (les images en cache sont conservées environ une semaine), dès que le proxy a renvoyé l'adresse de l'image pour un titre ; comme pour les métadonnées, cela ne dispose pas d'un interrupteur propre. L'usage que TMDB fait de ces données est régi par sa propre politique de confidentialité, sur laquelle nous n'avons aucune influence.

Bandes-annonces. Si vous appuyez sur une bande-annonce (pas sur les téléviseurs Samsung), l'application ouvre l'application YouTube ou le navigateur. Il s'agit d'une action de votre part en dehors de Tunvio ; à partir de là, la politique de confidentialité de YouTube (Google) s'applique, et l'adresse de la vidéo lui est transmise.

Récupération des repères de saut partagés. Lorsque vous lisez un épisode d'une série, Tunvio demande via le même proxy si d'autres spectateurs ont fourni des repères pour le générique de début et de fin de cette saison (voir ci-dessous). Seuls l'identifiant TMDB et le numéro de saison sont transmis – ni l'épisode, ni la durée, ni le titre ; l'application choisit l'épisode correspondant sur votre appareil. Elle propose un bouton, jamais un saut automatique.

La base juridique de l'ensemble de ces traitements est notre intérêt légitime à un affichage et à une lecture pratiques (art. 6, § 1, point f, du RGPD). Vous pouvez vous y opposer (art. 21 du RGPD) : pour les requêtes de métadonnées et d'images, via support@tunv.io ; pour la récupération des repères de saut, avec l'interrupteur « Afficher les repères de saut partagés » sous Paramètres → Données & stockage. TMDB est régi par ses propres conditions (https://www.themoviedb.org/privacy-policy) ; nous n'avons aucun lien avec TMDB.

Sous-titres en ligne via le proxy Tunvio (OpenSubtitles)

Si vous recherchez des sous-titres en ligne (ou activez le chargement automatique – désactivé par défaut), la requête passe par notre proxy subs.tunv.io (section 3). Seuls sont transmis l'identifiant TMDB ou IMDB du titre – ou, à défaut, le titre nettoyé, l'année, le numéro de saison et d'épisode – ainsi que les langues souhaitées ; aucune donnée de profil, d'accès ou de lecture. Le proxy interroge OpenSubtitles avec notre propre accès : vous n'avez pas besoin de compte personnel ; les sous-titres sont mis en cache sur le proxy et sur votre appareil. La base juridique est notre intérêt légitime (art. 6, § 1, point f, du RGPD). OpenSubtitles est régi par sa propre politique de confidentialité (https://www.opensubtitles.com) ; nous n'avons aucun lien avec OpenSubtitles.

Repères de saut partagés (facultatif)

Vous pouvez contribuer volontairement aux repères de saut partagés : lorsque vous sautez une intro ou passez à l'épisode suivant pendant le générique de fin, Tunvio envoie ce point, sans aucune donnée personnelle, à notre service tmdb.tunv.io/skip, que nous exploitons nous-mêmes en Allemagne.

Uniquement avec votre consentement. Le partage est désactivé par défaut et ne dépend pas de l'interrupteur « Données d'utilisation & rapports de plantage ». Après la première intro que vous avez sautée, l'application vous pose la question par un petit message ; sans réponse, le partage reste désactivé, et après trois messages restés sans réponse, elle ne pose plus la question. Le consentement ne vaut que pour cet appareil et n'est pas transféré par la synchronisation des appareils.

Seules les données suivantes sont transmises pour chaque contribution : intro ou générique de fin, identifiant TMDB de la série, numéro de saison et d'épisode, durée de l'épisode et point de saut (pour l'intro, les positions de départ et d'arrivée du saut ; pour le générique de fin, la position du passage à l'épisode suivant), chacun arrondi à la seconde.

Ne sont pas transmis : les titres, le fournisseur, les profils, le moment du visionnage ni aucun identifiant d'appareil, d'installation ou journalier. Les sauts effectués via des repères déjà partagés ne sont pas renvoyés.

Regroupés plutôt qu'immédiats. Les contributions sont collectées sur votre appareil (par épisode et par type, seule la plus récente) et envoyées au plus une fois par jour.

Adresse IP. Elle n'est pas conservée (section 3). Pour qu'un appareil ne compte qu'une fois par épisode et par jour, une valeur chiffrée dérivée du pseudonyme et de l'épisode est en outre conservée jusqu'au prochain renouvellement de la clé, puis supprimée. Ni l'adresse ni le pseudonyme ne sont inscrits dans la contribution (intérêt légitime, art. 6, § 1, point f, du RGPD).

Conservation et publication. Sont conservés les valeurs mentionnées et le jour de réception (sans l'heure). Un repère n'est affiché à d'autres que lorsque plusieurs contributions indépendantes provenant de jours différents concordent, et uniquement sous forme de valeur médiane accompagnée du nombre de contributions, jamais sous forme de contribution individuelle. Les contributions individuelles sont entièrement supprimées au bout de 180 jours. Seul subsiste un repère déjà publié, sous forme de médiane accompagnée du nombre de contributions et de jours de réception ; si, par la suite, suffisamment de nouvelles contributions le contredisent, il est lui aussi supprimé.

La base juridique est votre consentement (art. 6, § 1, point a, du RGPD, art. 25, § 1, de la TDDDG). Vous pouvez le retirer à tout moment sous Paramètres → Données & stockage → « Partager les repères de saut » ; à partir de ce moment, plus rien n'est envoyé, et les contributions pas encore envoyées sont supprimées. La récupération des repères partagés n'en est pas affectée. Les contributions envoyées ne portent aucun identifiant ; nous ne pouvons donc ni vous les attribuer, ni vous y donner accès, ni les supprimer individuellement (art. 11 du RGPD, voir la section 12).

9. Récupération des mises à jour (tunv.io)

Sur Android et iOS, Tunvio charge au démarrage et lors d'une vérification manuelle un fichier de configuration depuis https://tunv.io/app/config.json (section 3). Il ne contient que des informations sur l'application : la version actuelle et la version minimale prise en charge, ainsi que les adresses de téléchargement ou de boutique. Aucune information sur vos profils, votre fournisseur ou les contenus n'est transmise ; pour l'adresse IP, voir la section 3. La base juridique est notre intérêt légitime à disposer d'une application sûre et à jour (art. 6, § 1, point f, du RGPD).

Si vous installez vous-même des mises à jour sur Android hors boutique, l'application peut télécharger le fichier d'installation depuis l'adresse indiquée dans ce fichier de configuration ; ce serveur reçoit alors votre adresse IP et les données de requête habituelles.

Documents juridiques. Lorsque vous ouvrez dans l'application la politique de confidentialité, les Conditions d'utilisation, les mentions légales ou la déclaration d'accessibilité, Tunvio tente, sur toutes les plateformes, de charger la version actuelle depuis https://tunv.io/legal/ (délai de six secondes) ; en cas d'échec, la copie intégrée à l'application est affichée. Seule la requête du fichier est effectuée – aucune information sur les profils ou les contenus ; pour l'adresse IP, voir la section 3. La base juridique est notre intérêt légitime à afficher le texte actuel (art. 6, § 1, point f, du RGPD).

10. Synchronisation des appareils (iCloud / Google Drive / OneDrive / WebDAV)

En option, Tunvio synchronise les profils, les favoris, l'historique et les paramètres entre vos appareils. Cette fonction est désactivée par défaut ; vous la connectez sous Paramètres → Synchronisation des appareils et choisissez les catégories incluses. Nous n'exploitons aucun serveur de synchronisation et ne recevons jamais ces données – elles vont directement dans l'espace de stockage que vous choisissez :

• iCloud (iOS) ou Google Drive (Android) : dans l'espace privé de l'application au sein de votre propre compte, que les autres applications ne peuvent pas lire.
• Microsoft OneDrive : vous vous connectez directement auprès de Microsoft au moyen d'un code d'appareil ; vous ne saisissez pas votre mot de passe dans l'application. Microsoft demande alors l'accès à vos fichiers OneDrive – Microsoft l'exige pour que l'application puisse créer son propre dossier ; seul ce dossier est utilisé. Vous pouvez retirer cet accès sur account.live.com/consent/Manage.
• WebDAV : un serveur de votre choix, par exemple votre propre Nextcloud ou un NAS. L'adresse et les données de connexion restent sur votre appareil (section 2).

Sont également transférés vos profils (URL du serveur, nom d'utilisateur) et le code PIN parental. Les mots de passe de vos comptes IPTV ne sont pas téléversés ; sur un nouvel appareil, vous les saisissez une fois. Pour les profils M3U, à URL directe et Stalker, l'accès fait toutefois partie de l'adresse elle-même (URL de la liste de lecture ou adresse MAC) et voyage donc avec le profil.

Après la déconnexion, le fichier de synchronisation reste dans votre espace de stockage jusqu'à ce que vous le supprimiez (iCloud : Réglages → votre nom → iCloud → Gérer le stockage ; Google Drive : Paramètres → Gérer les applications → supprimer les données d'application masquées ; OneDrive : supprimer le dossier de l'application ; WebDAV : supprimer le fichier sur votre serveur).

La base juridique est votre consentement (art. 6, § 1, point a, du RGPD), donné en connectant la fonction et retiré en la déconnectant. Les politiques de confidentialité d'Apple (https://www.apple.com/legal/privacy), de Google (https://policies.google.com/privacy) et de Microsoft (https://privacy.microsoft.com/privacystatement) s'appliquent, ou les conditions de l'exploitant de votre serveur WebDAV.

Synchronisation sur le réseau local (LAN)

En complément ou en alternative, les appareils synchronisent leurs données directement sur votre réseau local – y compris sur les téléviseurs sans synchronisation cloud. Cette fonction est elle aussi désactivée par défaut : vous associez les appareils une seule fois à l'aide d'un PIN à six chiffres, après quoi ils échangent les données directement, chiffrées de bout en bout ; la clé n'existe que sur vos appareils. Comme aucun stockage tiers n'intervient, les mots de passe sont ici également transférés. Aucun serveur, aucune connexion Internet, aucun tiers. La base juridique est votre consentement (art. 6, § 1, point a, du RGPD), que vous pouvez retirer en dissociant les appareils ou en désactivant la fonction.

11. Destinataires en un coup d'œil

12. Vos droits

En vertu du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition, ainsi que du droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données. Adressez-vous pour cela à support@tunv.io. Vous pouvez retirer vos consentements à tout moment, avec effet pour l'avenir, directement dans les Paramètres ; vous supprimez vous-même les données locales dans les Paramètres ou en désinstallant l'application.

Droit d'opposition (art. 21 du RGPD). Lorsque nous traitons des données sur la base de notre intérêt légitime (sections 3, 4.1, 8 et 9), vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière – par e-mail à support@tunv.io. Pour la récupération des repères de saut partagés, l'interrupteur « Afficher les repères de saut partagés » suffit.

Données que nous ne pouvons pas vous attribuer (art. 11 du RGPD). Les rapports d'erreur automatiques (section 7) et les repères de saut partagés (section 8) ne portent délibérément aucun identifiant qui nous permettrait de les rattacher à une personne ou à un appareil. Nous ne pouvons pas vous y identifier, et les droits prévus aux art. 15 à 20 du RGPD ne s'appliquent pas dans cette mesure – sauf si vous fournissez des informations complémentaires permettant un rattachement (art. 11, § 2, du RGPD). Votre droit de retirer votre consentement et votre droit d'introduire une réclamation demeurent inchangés. Il en va autrement pour :

• les rapports d'erreur que vous envoyez vous-même : grâce au numéro de référence, nous retrouvons et supprimons le rapport (section 7.1).
• l'appairage d'appareils : là non plus, nous ne conservons ni nom ni compte, mais vous voyez l'intégralité des données de votre foyer sous Paramètres → Premium et y supprimez vous-même des entrées (section 5.1).

13. Modifications

Nous adaptons la présente politique lorsque l'application change. La version actuelle est disponible à l'adresse https://tunv.io/privacy-policy et dans l'application sous Paramètres → À propos → Politique de confidentialité.

---

Ce site web : statistiques de visite

Cette section s'applique uniquement au site web tunv.io, pas à l'application. L'application elle-même ne contient aucune statistique du site web ; ce qu'elle traite est décrit plus haut.

Nous comptons les visites du site web avec Umami, un logiciel de statistiques que nous exploitons nous-mêmes sur un serveur qui nous appartient (stats.tunv.io). Aucun prestataire ne reçoit ces données.

• Ce qui est compté : la page visitée, la page d'où vous venez (référent), le navigateur, le système d'exploitation, le type d'appareil, la taille de l'écran, la langue, le pays (déduit de l'adresse IP) et les clics sur les boutons de téléchargement (Google Play, APK).
• Ce qui n'a pas lieu : pas de cookies, aucune entrée dans le stockage de votre appareil, aucune conservation de votre adresse IP, aucun suivi d'un site à l'autre, aucune transmission à des tiers. Nous respectons le réglage « Ne pas suivre » (Do Not Track) de votre navigateur.
• Base juridique : intérêt légitime (art. 6, § 1, point f, du RGPD) à comprendre comment le site web est utilisé et à l'améliorer. Comme ni cookies ni stockage de l'appareil ne sont concernés, aucun consentement n'est requis.
• Votre droit d'opposition : vous pouvez vous opposer à cette analyse à tout moment – écrivez-nous aux coordonnées indiquées dans les mentions légales, ou activez « Ne pas suivre » dans votre navigateur.
• Durée de conservation : les données sont supprimées dès qu'elles ne sont plus nécessaires à cette finalité.