Attention, StopCovid est la solution avec serveur centralisé.

C'est lui qui décide d'avertir ou non un smartphone.

Si P est positif, il envoie les identifiants de C1, C2, C3 ses contacts.
Le serveur n'a pas de données sur les autres contacts de C1, C2 et C3. Peut-être qu'ils n'ont été allumés que face à P, ce qui permettrait de l'identifier.

Un système anti-DDOS est (légitimement) en place, en tout cas c'était une demande de la CNIL. L'inquiétude qu'il pourrait y avoir, en tout cas c'est la mienne, c'est par exemple si les associations IP/identifiants sont stockés quelques part.

Cela ne sera pas visible dans les sources tels qu'elles ont été diffusés (l'aspect déploiement/conf y est absent). Hors, c'est par exemple ce qui permettrait une ré-identification avec la constitution de graph de "gens qui se fréquentent": Les journalistes et leurs sources, militants anti-gouvernementaux, religions,.. qu'un pouvoir abusif pourrait consulter.

Avec le captcha Google est en mesure d'identifier directement le client, sans avoir besoin de son IP.

Je vois bien quand je visite un site avec un captcha Google depuis un PC de test : il me demande des trucs compliqués alors que depuis mon PC (même IP) il ne me demande rien car il m'identifie.

encore faut-il que le port soit loggué ...

Sait-on également si Stop Covid est dispensé des obligations légale de conservation des informations d'identification imposés aux services numérique?

Ces obligations légales ne concernent que la création de contenu mis en ligne publiquement.

J'ai cru comprendre que la réalisation avait été faite par les sociétés partenaires (Inria, Cap, Orange) sans budget spécifique. (bon là vous pouvez relever qu'à minima pour l'Inria c'est le contribuable qui a payé)

Ensuite il est question de 200-300k€/mois d'hébergement.