BROUILLON — à faire valider par un professionnel du droit avant publication
Version 1.0, en vigueur le [À COMPLÉTER : date de publication].
NeverNo est conçu pour collecter le moins de données possible. Cette politique explique quelles données personnelles nous traitons, pourquoi, sur quelle base légale, combien de temps, avec qui, et comment exercer vos droits, conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Responsable du traitement
[À COMPLÉTER : prénom et nom], entrepreneur individuel (EI), [À COMPLÉTER : adresse postale ou de domiciliation], SIREN [À COMPLÉTER : numéro SIREN].
Contact pour toute question sur vos données : [À COMPLÉTER : adresse e-mail dédiée à la vie privée].
Nous n'avons pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour notre activité.
2. Zero-Log : ce que nous ne conservons pas
- Vos conversations, vos consignes (prompts), vos fichiers, vos personnages, votre mémoire et vos créations sont enregistrés dans votre navigateur, chiffrés localement (IndexedDB). Ils ne sont pas stockés en clair sur nos serveurs.
- Synchronisation entre appareils (proposée à l'inscription, désactivable dans les Réglages) : votre navigateur chiffre une copie de ces données avant de l'envoyer ; nos serveurs (base de données Supabase) ne conservent que cette copie chiffrée, que nous ne pouvons pas lire. Seuls vos appareils approuvés, votre clé d'accès ou votre clé de secours l'ouvrent. Médias (images, vidéos, sons, fichiers) : tant que la synchronisation des médias n'est pas ouverte sur le Service, ils restent uniquement dans le navigateur où ils ont été créés ; une fois ouverte, ils sont chiffrés de la même façon et stockés chez Cloudflare R2, sauf si vous coupez l'interrupteur « Médias » de l'appareil. Nous voyons le nombre, la date et la taille des éléments synchronisés, jamais leur contenu ; cette taille est arrondie (au multiple de 256 octets pour un élément, de 64 Ko pour un média), ce qui laisse voir un ordre de grandeur. Quand un appareil ouvre un média synchronisé par un autre, notre serveur sait, sur le moment, quel appareil approuvé le demande et quand (il signe le lien de téléchargement) ; nous ne l'inscrivons pas dans notre base, mais l'appel figure dans les journaux techniques (§ 3) et Cloudflare voit le téléchargement.
- Pour produire une réponse, votre requête transite par nos serveurs jusqu'au fournisseur du modèle choisi, le temps du traitement, sans être enregistrée ni journalisée par nous. Ce que le fournisseur en garde dépend de lui : voir le § 5.
- Exception, les Missions (agents qui travaillent en votre absence) : pour pouvoir s'exécuter sans vous, les consignes d'une mission, la fiche de son agent et les accès aux services que vous connectez (par exemple Google, Notion, Slack ou GitHub) sont conservés sur nos serveurs, chiffrés avec une clé que seul notre serveur détient : notre serveur peut donc les lire pour faire le travail. Une veille récurrente garde aussi les faits clés de son dernier rapport (20 au plus), chiffrés de la même façon, pour vous dire la fois suivante ce qui a changé. Le résultat livré est chiffré pour vos appareils et effacé de nos serveurs dès sa réception, au plus tard après 30 jours.
- Les sauvegardes et partages chiffrés que vous choisissez de créer sont chiffrés dans votre navigateur. Nous stockons un contenu illisible pour nous ; la clé reste chez vous ou dans le lien que vous partagez.
- Nous ne vendons pas vos données et ne les utilisons pas pour entraîner des modèles.
Comme ces données restent sur votre appareil, c'est vous qui les contrôlez : vous pouvez les exporter ou les effacer à tout moment depuis le Service ou depuis les réglages de votre navigateur.
3. Données traitées, finalités, bases légales et durées
| Données | Pourquoi | Base légale (art. 6 RGPD) | Durée de conservation |
|---|---|---|---|
| Compte : adresse e-mail, identifiant, date de création et de dernière connexion, offre et date de renouvellement, réglage du filtre de contenu, date de la déclaration d'âge (18 ans ou plus) | Créer et gérer votre Compte, appliquer les droits de votre offre | Exécution du contrat (b) | Durée du Compte, puis suppression. Compte gratuit inactif : un Compte gratuit sans aucune activité (connexion, session ouverte, clé API) pendant 3 ans reçoit un e-mail de préavis, puis est supprimé 30 jours plus tard s'il n'a toujours pas été utilisé, par les mêmes étapes que « Supprimer mon compte ». Une connexion pendant ce délai annule la suppression. Un Compte payant, bénéficiant d'une offre, disposant de crédits ou faisant l'objet d'une suspension n'est jamais supprimé ainsi |
| Apparence du profil : avatar (une graine de 64 caractères au plus à partir de laquelle il est dessiné, jamais une photo) et couleur d'accent | Afficher votre interface à l'identique sur chacun de vos appareils | Exécution du contrat (b) | Durée du Compte |
| Codes de connexion envoyés par e-mail | Vous authentifier | Exécution du contrat (b) | Quelques minutes, jusqu'à leur expiration |
| Sécurité du Compte : compteur d'infractions, statut de suspension | Faire respecter les règles et empêcher la création d'un nouveau Compte après une exclusion | Intérêt légitime (f) : protéger le Service et ses utilisateurs | Durée du Compte ; en cas d'exclusion, [À COMPLÉTER : durée, par exemple 3 ans] après la fermeture |
| Quotas : type d'action (message, image, etc.), date et heure, rattachés à votre identifiant de Compte, à votre identifiant d'essai ou à une empreinte de votre adresse IP | Appliquer les limites quotidiennes, lutter contre les abus | Exécution du contrat (b) et intérêt légitime (f) | Rattachés à votre Compte : 31 jours, pour vous montrer votre consommation jour par jour sur la page de votre abonnement ; rattachés à un identifiant d'essai ou à une empreinte d'adresse IP : 48 heures. Effacés automatiquement chaque heure au-delà. Ce sont des compteurs, sans aucun contenu ; les limites portent toujours sur 24 heures glissantes (7 jours pour le Confessionnal) |
| Coût de l'usage inclus : un montant en dollars, un type (chat, image, retouche, outil, voix, mémoire), la date et l'heure, rattachés au même identifiant que les quotas, sans aucun contenu | Appliquer le plafond de coût quotidien de chaque offre | Exécution du contrat (b) et intérêt légitime (f) : maîtriser les coûts du Service | Compte : 35 jours, effacés automatiquement chaque heure ensuite. Identifiant d'essai ou empreinte d'adresse IP : 48 heures |
| Essai sans compte : identifiant d'essai aléatoire signé (cookie), empreinte de l'adresse IP, signaux transmis à Cloudflare Turnstile | Distinguer un humain d'un robot, appliquer les limites de l'essai | Intérêt légitime (f) : prévenir les abus | Cookie : 12 mois. L'adresse IP n'est jamais conservée en clair : seule une empreinte irréversible, calculée avec une clé secrète, est utilisée |
Paiements et crédits : identifiant client Stripe, statut d'abonnement, recharge automatique (seuil, montant, identifiant de la carte chez Stripe), codes cadeaux utilisés, identifiants des événements Stripe déjà traités, solde et lots de crédits, chaque dépense de crédits avec son montant, sa date et un motif qui nomme la fonction ou le modèle payé (par exemple chat:claude-opus-5.5, confessional, debate:contract), si bien que ce journal montre à quelles dates vous avez payé une séance du Confessionnal, sans rien de ce qui s'y est dit, factures (montant, date, devise, pays pour la TVA) | Facturer, gérer l'abonnement et les crédits, tenir la comptabilité | Exécution du contrat (b) ; obligation légale (c) pour les factures | Durée du Compte ; pièces comptables : 10 ans (article L123-22 du Code de commerce) |
| Commandes payées en crypto (CoinGate) : identifiant de la commande, offre et durée, prix, état du paiement, date de paiement, pays de résidence que vous déclarez, pays de votre connexion (déduit de votre adresse IP par notre hébergeur ; l'adresse IP elle-même n'est pas conservée) et, s'ils diffèrent, votre confirmation du pays déclaré, pays et taux de TVA retenus, prix hors taxe et TVA, empreinte du jeton qui authentifie les avis de CoinGate, et les montants et monnaies du paiement que CoinGate nous confirme (jamais l'adresse de votre portefeuille ni la transaction) | Encaisser le paiement, donner l'offre, vous envoyer la confirmation et le reçu, appliquer et déclarer la TVA du bon pays | Exécution du contrat (b) ; obligation légale (c) pour la TVA et la comptabilité | Commande payée : 10 ans à compter de la date du paiement (pièces comptables, article L123-22 du Code de commerce ; preuves de TVA, règlement d'exécution (UE) 282/2011), y compris après la suppression du Compte (article 17.3.b du RGPD). À la suppression du Compte, la commande n'est plus rattachée au Compte et nous effaçons l'empreinte du jeton, le lien de paiement, la monnaie et le montant payés en crypto ; restent l'offre, le prix, les dates, l'état, l'identifiant de la commande chez CoinGate, les montants réglés en dollars et en euros, les pays et la TVA, ainsi que la trace de l'envoi de la confirmation et du reçu et celle de votre renonciation au droit de rétractation. Commande jamais payée : durée du Compte |
| Requêtes d'IA : contenu de vos messages, fichiers et consignes, le temps du traitement | Produire la réponse ou la création demandée, appliquer les filtres de sécurité automatiques | Exécution du contrat (b) | Non conservées par nous (voir § 2). Les fournisseurs de modèles appliquent leurs propres durées (§ 5) |
| Créations longues (vidéo, musique, effets sonores) : modèle, état, dates et crédits réservés, sans prompt ni fichier | Suivre la génération et ne la facturer qu'une fois | Exécution du contrat (b) | Durée du Compte |
| Sauvegarde chiffrée : un fichier chiffré dans votre navigateur par votre phrase secrète (illisible pour nous), sa taille et sa date | Vous permettre de retrouver vos données sur un autre appareil | Exécution du contrat (b) | Jusqu'à ce que vous la supprimiez ou la remplaciez, ou jusqu'à la suppression du Compte |
| Partages chiffrés : le contenu chiffré (illisible pour nous, la clé est dans le lien), sa taille, ses dates de création et d'expiration, le Compte qui l'a créé | Permettre à la personne qui a le lien de le lire | Exécution du contrat (b) | Jusqu'à l'expiration choisie (1, 7 ou 30 jours) ou votre suppression, puis effacés dans l'heure |
| Clés API : nom, 12 premiers caractères et empreinte SHA-256 de la clé (jamais la clé elle-même), date de dernière utilisation et de révocation | Reconnaître vos appels à l'API | Exécution du contrat (b) | Durée du Compte |
| Avis sur les réponses : compteurs par jour, par modèle, par vote et par raison, sans Compte, sans identifiant et sans texte | Améliorer le choix automatique du modèle | Intérêt légitime (f) | Sans limite de durée : ces compteurs ne permettent pas de vous identifier |
| Journal d'administration : chaque action d'un administrateur sur un Compte (identifiant du Compte concerné tant qu'il existe, action, détails comme un montant de crédits ou un motif, date) et certaines actions automatiques (abonnement arrivé à terme, commande en crypto avec le pays déclaré et le pays de la connexion, remise à zéro de la synchronisation, purge d'un compte inactif) | Contrôle des actions d'administration, sécurité, preuve en cas de litige | Intérêt légitime (f) | Conservé après la suppression du Compte, sans son identifiant, aujourd'hui sans limite de durée [À COMPLÉTER : fixer une durée maximale] |
| E-mails transactionnels : adresse e-mail, contenu du message (code, facture, alerte) | Vous envoyer les messages liés au Service | Exécution du contrat (b) | Chez notre prestataire, le journal d'envoi est gardé tant que notre compte Resend existe (Resend efface les données au plus tard 90 jours après la fin du compte) [À VÉRIFIER : durée des journaux réglable dans Resend] |
| Échanges avec le support : adresse e-mail, contenu de vos messages | Répondre à vos demandes | Exécution du contrat (b) ou intérêt légitime (f) | 3 ans après le dernier échange |
| Signalements de contenus (DSA) : nom et e-mail de l'auteur du signalement, contenu signalé, décision | Traiter les signalements, répondre aux recours | Obligation légale (c) | 1 an après la décision |
| Synchronisation chiffrée : pour chaque élément, un identifiant opaque, sa version, sa taille arrondie (256 octets ; 64 Ko pour un média, avec son nombre de morceaux et l'appareil qui l'a envoyé) et sa date, le contenu chiffré (illisible pour nous) ; la clé de vos données enveloppée par votre clé de secours, vos clés d'accès et vos appareils approuvés ; la liste de vos appareils | Retrouver vos données sur vos appareils | Exécution du contrat (b) | Jusqu'à la suppression de l'élément, la désactivation de la synchronisation ou la suppression du Compte |
| Missions et connecteurs : rythme, budget et état de chaque mission (en clair) ; consignes, fiche de l'agent, retours, faits clés du dernier rapport d'une veille et accès aux services connectés (chiffrés avec la clé du serveur, lisibles par lui) ; résultat chiffré pour vos appareils | Exécuter les missions en votre absence, avec les outils que vous avez connectés | Exécution du contrat (b) | Tant que la mission ou le connecteur existe ; résultat : jusqu'à sa réception, 30 jours au plus |
| Notifications : adresse d'abonnement aux notifications de votre navigateur (fournie par Google, Apple ou Mozilla selon le navigateur), langue ; pour les messages spontanés d'un compagnon, un calendrier sans aucun mot de conversation | Vous prévenir (mission terminée, compagnon) si vous l'avez accepté | Consentement (a), donné dans le navigateur | Jusqu'au retrait de l'autorisation ou à la suppression du Compte |
| Sessions et appareils : sessions de connexion ouvertes, gérées par Supabase, qui garde pour chacune l'adresse IP d'où elle a été ouverte et le nom complet du navigateur (son « user agent ») et tient un journal des connexions ; nom du navigateur et du système de chaque navigateur déjà vu sur le Compte, dates de première et dernière vue, date de l'e-mail d'alerte | Vous laisser voir et fermer vos sessions, vous prévenir d'une connexion nouvelle | Intérêt légitime (f) : sécurité du Compte | Durée de la session ; navigateurs déjà vus : durée du Compte (30 au plus) |
| Essais des fonctions payantes : compteurs par Compte et par empreinte d'adresse IP, par fonction et par mois (ou une seule fois pour les essais accordés une seule fois) | Appliquer la limite des essais | Intérêt légitime (f) : prévenir les abus | Empreinte d'adresse IP : le mois en cours, effacée la première nuit du mois suivant. Compte : compteurs mensuels gardés 3 mois au plus ; essais accordés une seule fois (Confessionnal, vidéo, agents, missions…) : tant que le Compte existe ; tout est effacé avec le Compte |
| Journaux techniques : adresse IP, date, page ou route appelée, navigateur, code de réponse (sans contenu de requête) | Sécurité, diagnostic des pannes, prévention des attaques | Intérêt légitime (f) | Chez Vercel : 1 jour sur l'offre Pro (30 jours avec l'option Observability Plus) [À VÉRIFIER : offre finalement souscrite] |
| Statistiques d'usage, sans contenu (outil interne, aucun cookie, aucun traceur tiers) : noms d'événements d'une liste fermée (page vue, message envoyé, image créée, fonction utilisée, paiement commencé…), modèle de page sans identifiant, domaine du site d'origine, étiquettes de campagne (utm), pays (d'après l'en-tête de l'hébergeur), type d'appareil, langue, et une empreinte du jour (condensé à clé de l'adresse IP, du navigateur et du site, dont la clé aléatoire est effacée chaque nuit à minuit UTC : l'adresse IP et le navigateur ne sont pas conservés, et une visite ne peut pas être reliée à celle du lendemain). Pour un Compte, en plus : les événements sont rattachés à son identifiant, avec son jour d'inscription, l'origine de sa première visite, la date de son premier paiement et le total de ce qu'il a payé et coûté. Jamais le contenu de vos messages, prompts, fichiers, titres ou recherches | Savoir quoi améliorer, mesurer les inscriptions, la fidélité, la conversion et la marge par canal d'acquisition | Intérêt légitime (f) : améliorer et financer le Service ; vous pouvez vous y opposer à tout moment (interrupteur « Partager des statistiques anonymes » dans les Réglages, ou signal Global Privacy Control / Do Not Track de votre navigateur) : la visite reste comptée sans empreinte ni lien avec votre Compte, et la part rattachée à votre Compte est effacée. [À FAIRE VALIDER : l'intérêt légitime suffit-il pour la part liée au Compte, ou faut-il un consentement pour les utilisateurs européens ?] | Événements bruts : 90 jours, puis seuls des totaux journaliers anonymes sont gardés ; clé de l'empreinte : jusqu'à minuit (UTC) du jour même ; part liée au Compte : jusqu'à l'opposition ou la suppression du Compte |
| Réponses aux autorités | Répondre aux réquisitions judiciaires ou administratives | Obligation légale (c) | Durée imposée par la procédure |
Nous ne pouvons transmettre aux autorités que ce que nous détenons et pouvons lire : les données listées ci-dessus (Compte, paiement et crédits, quotas, coûts d'usage, clés API, journal d'administration), jamais vos conversations ou créations, que nous ne conservons pas en clair. Les sauvegardes, partages et copies synchronisées chiffrés nous sont illisibles : nous n'en avons pas la clé. Seules les consignes des Missions et les accès des connecteurs, que notre serveur doit pouvoir lire pour les exécuter, font exception.
3 bis. Données sensibles
Vous pouvez confier au Service, notamment au Confessionnal et à la mémoire, des informations sur votre santé, vos opinions, votre vie intime ou d'autres données dites « sensibles » (article 9 du RGPD). Nous ne les demandons pas et ne les conservons pas en clair. Quand vous les écrivez ou les dites, elles sont traitées uniquement pour vous répondre, sur votre demande expresse : en utilisant ces fonctions pour en parler, vous y consentez explicitement (article 9.2.a du RGPD), et vous pouvez cesser à tout moment. Elles parviennent au fournisseur du modèle utilisé (§ 5), sans votre identité. [À FAIRE VALIDER : forme du consentement explicite, case à cocher au premier usage du Confessionnal recommandée ; analyse d'impact (AIPD) en cours de rédaction.]
Suppression du Compte. « Supprimer mon compte », dans les Paramètres, résilie l'abonnement, supprime le client Stripe et ses cartes, puis la sauvegarde, la copie synchronisée, les partages, les clés API, les quotas (ceux des essais compris), les coûts d'usage, les crédits et enfin le Compte. Les autorisations données à Google, Notion, Slack ou GitHub sont révoquées chez eux ; si l'un d'eux ne répond pas, notre copie de l'accès est effacée quand même et vous pouvez retirer l'autorisation depuis votre compte chez lui. Restent : les compteurs d'avis anonymes ; le journal d'administration, sans l'identifiant du Compte ; les pièces comptables que la loi impose de conserver (factures, commandes payées en crypto, détachées de vous ; voir le tableau ci-dessus) ; les statistiques de produit, détachées du Compte, jusqu'à 90 jours ; les compteurs liés à l'empreinte d'une adresse IP, qui s'effacent seuls (48 heures, ou à la fin du mois pour les essais). Hors de notre base : le journal d'envoi de nos e-mails chez Resend, les sauvegardes techniques de Supabase le temps de leur conservation, et les factures que Stripe garde de son côté.
4. Décisions automatisées
Des filtres automatiques analysent les requêtes au moment où elles sont traitées pour bloquer les contenus interdits par la Politique d'usage acceptable (notamment tout contenu sexuel impliquant des mineurs). Un blocage peut incrémenter le compteur d'infractions du Compte. Une suspension ou une fermeture de Compte n'est jamais définitive sans possibilité de réexamen par une personne : vous pouvez demander ce réexamen à hello@neverno.ai.
5. Destinataires et sous-traitants
Vos données ne sont accessibles qu'à l'éditeur, avec une authentification à deux facteurs, et aux prestataires ci-dessous, chacun pour sa mission.
| Prestataire | Mission | Données concernées | Localisation | Garantie en cas de transfert hors UE |
|---|---|---|---|---|
| Supabase Pte. Ltd (Singapour) | Base de données, authentification | Compte, offre, quotas, coûts d'usage, crédits, clés API, journal d'administration, sauvegardes, partages et copies synchronisées chiffrés, Missions | Union européenne (Irlande) | Clauses contractuelles types (CCT) de la Commission européenne |
| Vercel Inc. | Hébergement du site, exécution des requêtes, journaux techniques | Journaux techniques ; requêtes en transit | États-Unis et réseau mondial ; fonctions dans la région de notre base de données [À COMPLÉTER : région à fixer sur Vercel, Irlande dub1 ; tant qu'elle n'est pas fixée, Vercel exécute les fonctions aux États-Unis (Washington)] | Data Privacy Framework UE-États-Unis et/ou CCT |
| Stripe Payments Europe Ltd | Paiement, facturation, lutte contre la fraude | Identité de paiement, données de carte, factures | Irlande ; transferts vers Stripe Inc. (États-Unis) | CCT et/ou Data Privacy Framework. Stripe agit aussi comme responsable de traitement distinct pour ses obligations financières et la prévention de la fraude |
| UAB « Decentralized » (CoinGate), Lituanie | Paiement en crypto | Par nous : identifiant de la commande, prix, nom de l'offre, adresses de retour (ni votre e-mail ni votre nom) ; sur sa propre page de paiement, CoinGate recueille l'adresse de votre portefeuille, votre adresse IP et, au-delà de certains montants, des informations d'identité | Union européenne (Lituanie) | Sans objet (UE). CoinGate agit aussi comme responsable de traitement distinct pour ses obligations de lutte contre le blanchiment et les conserve selon sa propre politique |
| Cloudflare Inc. | Vérification anti-robot (Turnstile) ; stockage des médias synchronisés, chiffrés dans votre navigateur (R2), seulement une fois la synchronisation des médias ouverte sur le Service ; jusque-là, les médias restent dans votre navigateur | Adresse IP, signaux techniques du navigateur ; fichiers chiffrés illisibles pour Cloudflare et pour nous | Turnstile : États-Unis et réseau mondial ; R2 : Union européenne (compartiment créé en juridiction UE) [À VÉRIFIER à la création du compartiment] | Data Privacy Framework et/ou CCT. Pour Turnstile, Cloudflare utilise aussi ces signaux pour améliorer sa propre détection des robots, comme responsable de traitement distinct |
| Resend (Plus Five Five, Inc.) | Envoi des e-mails | Adresse e-mail, contenu des e-mails transactionnels | États-Unis | Data Privacy Framework et CCT |
| DeepInfra Inc. | Modèles de texte ouverts, transcription de la voix, voix lue, indexation de la mémoire et du Coffre | Contenu des requêtes, sans votre identité | États-Unis | Accord de traitement intégré à ses conditions [À VÉRIFIER : mécanisme de transfert, CCT] |
| Groq, Inc. | Transcription de la voix (Confessionnal et dictée) ; DeepInfra prend le relais si Groq ne répond pas | Enregistrement de la phrase dite, sans votre identité ; rien n'est conservé chez Groq (option « Zero Data Retention » activée sur notre compte) ni chez nous | États-Unis | CCT (accord de traitement intégré à ses conditions) |
| OpenRouter, Inc. | Accès à des modèles tiers, dont les modèles « anonymisés » d'Anthropic, OpenAI, Google et xAI, et à une partie des modèles ouverts ; recherche web intégrée de GPT 6.1 Sol (OpenAI, par OpenRouter, sur Microsoft Azure, rétention zéro demandée) pour la rédaction premium de la recherche approfondie | Contenu des requêtes, sans votre identité. OpenRouter analyse toutes les requêtes, rétention zéro comprise, pour détecter les contenus pédocriminels, et peut garder une requête signalée pour l'examiner et la signaler aux autorités | États-Unis | CCT (accord de traitement intégré à ses conditions) |
| Hébergeurs des modèles derrière OpenRouter, choisis par nous dans une liste fermée | Exécuter le modèle choisi : Google Cloud (Vertex AI) et Amazon Web Services (Bedrock) pour Claude et Gemini ; Microsoft (Azure) pour GPT ; xAI pour Grok ; Anthropic et OpenAI pour les deux modèles sans route à rétention zéro (§ ci-dessous) ; DeepInfra, Parasail, Wafer, DigitalOcean et Venice pour les modèles ouverts | Contenu des requêtes, sans votre identité | États-Unis surtout ; Union européenne pour certains appels | Sous-traitants ultérieurs couverts par l'accord d'OpenRouter (CCT) |
| Runware Ltd (Londres) | Génération et modification d'images | Contenu des requêtes, images envoyées, sans votre identité | Royaume-Uni ; serveurs aux États-Unis, en Allemagne et en Roumanie | [À COMPLÉTER : DPA demandé à Runware ; le Royaume-Uni bénéficie d'une décision d'adéquation, pas les États-Unis] |
| ElevenLabs (Eleven Labs Inc.) | Voix du Confessionnal, voix créées à partir d'une description, et lecture à voix haute des réponses pour les offres Pro+ et Max | Texte de la réponse à lire à voix haute (Pro+ et Max), sans votre adresse e-mail ni votre Compte ; texte à lire, description de la voix, sans votre adresse e-mail ni votre Compte ; adresses e-mail, numéros, adresses postales et IBAN sont masqués, mais les prénoms et noms que vous citez peuvent être prononcés | États-Unis | Data Privacy Framework et CCT (selon ElevenLabs) |
| Inworld AI | Voix lue (si activée) | Texte à lire, sans votre identité | États-Unis | CCT (accord de traitement intégré à ses conditions) |
| Exa Labs, Inc. | Recherche web rapide du chat et de l'API (moteur par défaut) | Texte de la recherche : une courte requête tirée de votre message, sans votre identité ni votre adresse IP ; les éléments que votre navigateur a masqués n'y figurent jamais. Selon leur sujet, certaines recherches ne lui sont jamais envoyées et passent par Serper et Jina. Exa peut conserver ces requêtes : ses conditions lui accordent une licence sur les requêtes et leurs résultats pour fournir, développer et améliorer ses services, et sa politique prévoit de s'en servir pour entraîner ses modèles. Aucune option de non-conservation n'est souscrite sur notre compte | États-Unis | [À COMPLÉTER : accord de traitement (DPA) d'Exa à lire ; CCT] |
| Serper | Recherche web (résultats Google) : les autres recherches, et la recherche rapide quand Exa ne répond pas, dépasse le délai ou ne trouve rien | Texte de la recherche, sans votre identité ni votre adresse IP | [À COMPLÉTER : pays] | [À COMPLÉTER : garantie] |
| Jina AI GmbH (groupe Elastic) | Lecture des pages web trouvées ou collées | Adresse de la page, sans votre identité ni votre adresse IP | Allemagne | Sans objet (UE) |
| Internet Archive | Copie archivée d'une page d'origine devenue illisible, dans une recherche approfondie | Adresse de la page, sans votre identité ni votre adresse IP | États-Unis [À VÉRIFIER] | [À COMPLÉTER : garantie] |
| arXiv, OpenAlex, SEC EDGAR | Bases ouvertes interrogées quand une recherche approfondie est lancée sur « toutes les sources » | Requêtes écrites à partir de votre question, sans votre identité ni votre adresse IP | États-Unis [À VÉRIFIER] | [À COMPLÉTER : garantie] |
Higgsfield n'est plus un sous-traitant depuis le 9 novembre 2026 : le seul modèle qui y passait (Soul 2) a été retiré et ses demandes sont servies par Runware. Higgsfield ne reçoit plus aucune requête. Ses conditions autorisaient l'entraînement sur nos requêtes et nos images pendant la période où il a été utilisé ; les créations longues lancées chez lui avant cette date ne sont plus suivies.
Services que vous connectez vous-même. Si vous reliez une Mission ou l'Atelier à Google, Notion, Slack ou GitHub, ces services reçoivent les demandes que l'agent fait en votre nom et appliquent leur propre politique de confidentialité ; vous pouvez retirer l'accès à tout moment. La météo du mode agent interroge MET Norway et OpenStreetMap avec le seul nom du lieu demandé.
[À COMPLÉTER avant publication : liste définitive des fournisseurs retenus au lancement (Cartesia ou xAI pour la voix, Featherless, Brave pour la recherche ne sont pas utilisés à ce jour) ; signature ou acceptation de chaque accord de sous-traitance (DPA) ; vérification de la certification Data Privacy Framework sur dataprivacyframework.gov.]
Fournisseurs de modèles et durées de conservation chez eux. Nous ne leur transmettons ni votre adresse e-mail, ni votre identifiant de Compte. Ils reçoivent le contenu de votre requête : si vous y mettez des données personnelles (les vôtres ou celles d'un tiers), elles leur parviennent. Les modèles signalés « privé » passent par des routes sans conservation : DeepInfra (engagement de non-conservation dans ses conditions) ou OpenRouter avec l'option zéro rétention, vers les seuls hébergeurs de la liste ci-dessus. Les modèles signalés « anonymisé » sont servis par les hébergeurs suivants, qui reçoivent la requête sans votre identité ; d'après leurs conditions et la liste des routes à rétention zéro d'OpenRouter, lues en novembre 2026 :
| Modèle et hébergeur | Ce qu'il peut garder |
|---|---|
| Claude Opus, Sonnet et Haiku (dont le Confessionnal) : Google Cloud (Vertex AI) ou Amazon Web Services (Bedrock), jamais Anthropic | Rien : rétention zéro |
| Claude Fable : Anthropic, Google Cloud, Amazon Web Services ou Microsoft Azure selon la disponibilité (aucune route à rétention zéro n'existe pour ce modèle) | Chez Anthropic, jusqu'à 30 jours, plus longtemps (jusqu'à 2 ans) pour une requête signalée par ses contrôles de sécurité ; chez les autres, selon leur politique de lutte contre les abus [À VÉRIFIER] |
| GPT 6.1 Sol et GPT 6 Astra : Microsoft (Azure) | Rien : rétention zéro |
| GPT 6.1 Terra : OpenAI, Microsoft (Azure) ou Amazon Web Services selon la disponibilité (la rétention zéro n'est pas exigée pour ce modèle) | Chez OpenAI, jusqu'à 30 jours, pour la détection des abus ; chez les autres, selon leur politique de lutte contre les abus [À VÉRIFIER] |
| Gemini : Google Cloud (Vertex AI) | Rien par défaut ; Google peut garder jusqu'à 90 jours une requête que ses filtres de sécurité signalent, pour la lutte contre les abus, sans s'en servir pour entraîner ses modèles |
| Grok (y compris quand il prend le relais d'un modèle privé) : xAI | Rien : rétention zéro |
| ElevenLabs (voix) | Garde chaque génération (voix du Confessionnal et lecture à voix haute) dans l'historique de notre compte : nous l'effaçons quelques secondes après qu'elle a été dite, et ce qui reste après 10 minutes est balayé toutes les 5 minutes ; ce qu'ElevenLabs conserve pour sa propre lutte contre les abus suit sa politique [À VÉRIFIER : mode zéro rétention obtenu ou non] |
Aucun d'eux n'utilise ces requêtes pour entraîner ses modèles selon ses conditions d'API ; chaque appel passé par OpenRouter refuse en plus toute collecte pour l'entraînement.
Masquage avant un modèle « anonymisé ». Avant l'envoi, vos adresses e-mail, numéros de téléphone, adresses postales, IBAN, numéros de carte, adresses IP et les noms que vous avez listés dans les Réglages sont remplacés par des jetons. Ce masquage n'est pas parfait : sur nos tests (cas écrits par une autre personne que celle qui a réglé les détecteurs), il a caché 72 % des adresses postales, 94 % des numéros de téléphone et 100 % des IBAN. Le reste du texte n'est pas masqué. Le détail est sur la page Transparence du Service.
6. Cookies
Les cookies et autres traceurs utilisés sont décrits dans la Politique cookies.
7. Sécurité
- Chiffrement des échanges (HTTPS) et chiffrement local de votre historique dans le navigateur.
- Sauvegardes et partages chiffrés de bout en bout : nous ne détenons pas la clé.
- Nous ne gardons jamais d'adresse IP en clair dans nos propres tables : elle y est remplacée par une empreinte calculée avec une clé secrète. Supabase, qui gère la connexion, garde pour chaque session ouverte l'adresse IP et le nom du navigateur.
- Base de données cloisonnée par utilisateur (règles d'accès au niveau des lignes) ; toute décision liée aux quotas et aux paiements est prise côté serveur.
- Accès d'administration réservé à l'éditeur, avec authentification à deux facteurs.
En cas de violation de données présentant un risque pour vous, nous notifions la CNIL et, si nécessaire, nous vous informons.
8. Vos droits
Vous disposez des droits suivants :
- accès à vos données et portabilité (copie dans un format lisible par machine) ;
- rectification des données inexactes ;
- effacement (vous pouvez aussi supprimer votre Compte depuis les Paramètres) ;
- limitation du traitement ;
- opposition aux traitements fondés sur l'intérêt légitime ;
- retrait de votre consentement à tout moment, sans effet sur les traitements passés ;
- opposition aux statistiques d'usage en un geste, avec l'interrupteur « Partager des statistiques anonymes » des Réglages (ou le signal Global Privacy Control / Do Not Track de votre navigateur) ;
- directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour les exercer, écrivez à [À COMPLÉTER : adresse e-mail dédiée à la vie privée] depuis l'adresse de votre Compte. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe. Nous pouvons vous demander de confirmer votre identité.
Les données conservées dans votre navigateur ne sont pas accessibles par nous : vous les exportez ou les effacez vous-même.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr) ou de l'autorité de protection des données de votre pays de résidence.
9. Âge minimum
Le Service est réservé aux personnes de 18 ans ou plus, qui le déclarent en créant leur Compte [À COMPLÉTER : vérification de l'âge, quand elle sera en place]. Nous ne collectons pas sciemment de données de mineurs. Si nous apprenons qu'un Compte appartient à un mineur, nous le fermons et supprimons ses données.
10. Modifications
Nous pouvons modifier cette politique. En cas de changement important, nous vous prévenons par e-mail ou dans le Service avant son entrée en vigueur. La date de version figure en haut de page.