diff --git a/android-client/README.md b/android-client/README.md
index 45d6466..3d8bcda 100644
--- a/android-client/README.md
+++ b/android-client/README.md
@@ -103,10 +103,22 @@ l'entrée a été créée. Vérifié contre les six vecteurs de la RFC 6238.
 
 Deux règles tenues dans l'interface, pas ailleurs :
 
-- **Le clair est jeté quand l'application passe en arrière-plan.** L'écran est
-  masqué sur `WillBecomeInactive`, qui précède la capture de l'aperçu des
-  applications récentes — sans quoi la liste des comptes y resterait visible —
-  et le coffre est réellement effacé sur `EnteredBackground`.
+- **L'écran est masqué dès que l'application passe derrière**, sur
+  `WillBecomeInactive`, qui précède la capture de l'aperçu des applications
+  récentes — sans quoi la liste des comptes y resterait visible. C'est cette
+  partie qui protège, et elle est immédiate et sans condition.
+
+  Le **clair**, lui, bénéficie d'un sursis de trente secondes. Verrouiller
+  instantanément rendait le geste le plus courant pénible : copier un mot de
+  passe, basculer pour le coller, revenir, et devoir se réauthentifier avec le
+  code 2FA de nouveau derrière une invite. L'écran étant déjà masqué, garder le
+  clair le temps d'un aller-retour n'expose rien de visible.
+
+- **Rien ne détruit le cache.** Seule une écriture réussie le remplace. Aucune
+  routine de lecture, aucun diagnostic d'indisponibilité ne l'efface — trois
+  fois dans la même journée un verdict erroné a coûté le cache, et avec lui la
+  trace de sa propre cause. Un fichier devenu illisible ne coûte que sa taille ;
+  le prochain téléchargement l'écrase.
 - **Le presse-papiers se vide après 45 s**, et seulement si son contenu est
   toujours celui qu'on y a mis : l'utilisateur a pu copier autre chose
   entre-temps.