Ce que NeverNo garde, et ce qu’il ne garde pas

Dans le stockage local, en clair

Ce que nos serveurs voient

• le nombre d’éléments synchronisés et la taille de chacun, arrondie à un multiple de 256 octets, jamais leur type ni leur contenu ;
• l’heure de chaque écriture, celle du dernier échange, et l’appareil qui a écrit chaque élément ;
• tes appareils (leur nom, leur statut, leurs dates) et tes clés d’accès (identifiant, nom, date) ;
• le volume utilisé, comparé au plafond de ton offre. Un élément supprimé laisse une trace sans contenu pendant 180 jours, pour que tes autres appareils le suppriment aussi.

Espace de synchronisation par offre

Une fois l’espace rempli, tes nouveaux changements attendent sur ton appareil : rien n’est perdu, et tes autres appareils continuent de recevoir ce qui est déjà synchronisé. Si ton offre passe à une offre avec moins d’espace que ce que tu utilises, rien n’est effacé, mais plus rien de nouveau ne se synchronise, texte compris, tant que tu n’as pas assez supprimé.

Tu gardes la main

• Désactiver, dans Réglages › Données, arrête la synchronisation et efface de nos serveurs les éléments, les enveloppes de la clé et les accès des appareils. Il n’y reste que des repères sans contenu, listés plus bas : la date de cet arrêt et la trace d’une éventuelle remise à zéro. Tes données restent dans ce navigateur.
• Une discussion éphémère n’est jamais écrite dans ce navigateur : elle n’est donc jamais synchronisée.
• Ta clé de secours ouvre tes données sur un nouvel appareil si tu perds ta clé d’accès. Elle est affichée une seule fois, et nous ne la voyons jamais. En demander une nouvelle exige ta clé d’accès, ou l’ancienne clé de secours.
• Sans clé d’accès, sans clé de secours et sans autre appareil approuvé, notre copie ne s’ouvre plus. Tes appareils gardent leurs données, et tu peux réactiver la synchronisation depuis l’un d’eux.
• « Changer la clé » rechiffre tout avec une nouvelle clé : à faire après avoir révoqué un appareil que tu ne contrôles plus.

• rien n’entre dans IndexedDB : ni discussion, ni message, ni média, et aucune clé n’est créée pour elle ;
• aucun titre dans la barre latérale ni dans la recherche, et pas d’adresse à elle : elle reste sur /chat?ephemeral=1 ;
• la mémoire n’y lit rien et n’en apprend rien, et elle n’entre dans aucune sauvegarde, aucun lien de partage ni aucune synchronisation ;
• recharger la page, fermer l’onglet ou quitter la discussion (dans l’application, après confirmation) l’efface pour de bon.

Ce qui compte quand même : tes messages entrent dans le quota du jour, et un vote sur une réponse s’ajoute à un total anonyme, comme dans toute discussion. Rien ne change non plus de notre côté : comme pour toute discussion, le texte traverse nos serveurs jusqu’au modèle et n’est écrit nulle part.

Ce qui compte quand même : chaque passage indexé et chaque question cherchée entrent dans un quota du jour (vault), et ce que le calcul nous coûte est enregistré sous forme de montant, comme pour la mémoire. Avec un modèle marqué « Anonymisé », les passages arrivent chez son éditeur avec le message, selon ses règles. « Tout effacer » dans les Réglages supprime le coffre avec le reste.

Toute action vers l’extérieur (envoyer un message, appeler un outil qui agit) attend ton accord en un geste ; les notifications ne contiennent jamais le contenu de la mission.

« Supprimer mon compte », dans les Réglages, efface tout cela : l’abonnement est résilié, le client Stripe et ses cartes sont supprimés, puis la sauvegarde, la copie synchronisée, les liens, les clés, les compteurs (ceux des essais compris), les coûts et enfin le compte. Les autorisations données à Google, Notion, Slack ou GitHub sont révoquées chez eux ; si l’un d’eux ne répond pas, notre copie de l’accès est effacée quand même et tu peux retirer l’autorisation depuis ton compte chez lui. Ce qui reste : les compteurs d’avis anonymes ; le journal d’administration, sans l’identifiant du compte ; les pièces comptables que la loi impose (commandes payées en crypto et preuve de leurs reçus, détachées de toi) ; les statistiques de produit, détachées du compte, jusqu’à 90 jours ; les compteurs liés à l’empreinte d’une adresse IP, qui s’effacent seuls (48 heures, ou à la fin du mois pour les essais). Hors de notre base : le journal d’envoi de nos e-mails chez Resend, les sauvegardes techniques de Supabase le temps de leur conservation, et les factures que Stripe garde de son côté.

Les sauvegardes techniques de Supabase gardent une copie de la base, donc de toute ligne supprimée, le temps que Supabase les conserve.

• le texte de tes messages et des réponses, et la réflexion du modèle ;
• tes instructions personnalisées, les souvenirs de ta mémoire et la fiche des personnages que tu crées, qui partent avec chaque message ;
• tes fichiers joints : un PDF est lu en mémoire puis oublié, un fichier texte est lu par ton navigateur lui-même ;
• les images que tu envoies : vérifiées, puis réencodées sans métadonnées (position, appareil) avant de partir chez le fournisseur ;
• les images créées : elles reviennent du fournisseur et vont directement à ton navigateur, qui les chiffre ;
• les descriptions du Studio, ta voix dictée et les textes lus à voix haute ;
• tes recherches web : la requête part de notre serveur sans identifiant et n’est pas journalisée chez nous ; selon ton offre, elle passe par Exa, qui peut la conserver (voir « Recherche web » plus bas).

Nos journaux d’erreurs ne notent que des repères techniques : un nom de modèle ou de fournisseur, un code d’erreur, un numéro d’opération de crédits. Un compte n’y apparaît que sous une étiquette calculée avec une clé secrète, qui ne dit rien à elle seule ; seule la suppression d’un compte note son identifiant, jamais son e-mail. Ailleurs, certains fournisseurs gardent un temps ce qu’ils reçoivent : voir « Qui lit tes messages ».

Les événements bruts sont effacés après 90 jours ; il ne reste que des totaux du jour anonymes. Désactive « Partager des statistiques anonymes » dans les Réglages, ou laisse ton navigateur envoyer Global Privacy Control ou Do Not Track : tu restes compté, sans empreinte et sans lien avec ton compte, et ce qui y était lié est effacé. Supprimer le compte efface aussi sa part.

L’interrupteur est dans Réglages › Données, actif par défaut ; éteint, tes messages arrivent tels quels aux modèles anonymisés. Les modèles privés ne sont jamais masqués : rien n’y est gardé, et un masque posé à tort coûterait plus qu’il ne protège. Sous la barre d’écriture, « 3 éléments masqués » liste ce qui a été remplacé pour le dernier message. Mesuré sur des cas scellés, mis de côté et jamais utilisés pour régler les détecteurs : les adresses postales sont détectées dans 72 % des cas, les numéros de téléphone dans 94 %, les IBAN dans 100 %, et sur 160 pièges (des textes qui ressemblent à des données personnelles sans en être) il n’y a eu aucune fausse alerte. Ce sont des résultats de nos propres tests, pas une garantie : une donnée écrite d’une façon inhabituelle peut passer, relis donc ce que tu envoies à un modèle anonymisé. Une troisième passe d’amélioration est prévue après le lancement.

• L’export PDF est aplati : chaque page est dessinée en image avec des cadres opaques peints sur les passages cachés, et un nouveau fichier est écrit à partir de ces images seules, sans aucun objet de l’original. Pas de couche de texte, pas de police, pas de métadonnées (titre, auteur, producteur, XMP), pas de pièce jointe, pas d’annotation, pas de script, pas d’ancienne révision : le fichier n’en a jamais eu.
• Avant le téléchargement, la page contrôle le fichier qu’elle a écrit : aucune des valeurs cachées et aucune des structures interdites ne doit s’y trouver, sinon l’export s’arrête et rien n’est téléchargé.
• Les exports Markdown et texte remplacent chaque passage caché par un jeton numéroté ([EMAIL_1]) ou par un bloc de █, à ton choix, avec un rapport facultatif qui donne des comptes par type, jamais une valeur.
• La page compte, par les mesures du navigateur lui-même, les requêtes qu’elle fait depuis le dépôt du fichier, fichiers du site mis à part ; le chiffre reste à 0 et s’affiche à côté du bouton d’export.
• Rien n’est gardé : ni fichier, ni texte, ni détection, dans ce navigateur ou ailleurs. La copie s’appelle document-caviarde, jamais du nom de l’original. Un compte connecté peut choisir, après, « Garder dans mon coffre » : c’est le coffre habituel, décrit plus haut.

La promesse est « le fichier ne quitte jamais ton appareil, et tu relis avant d’exporter », pas une garantie : un détecteur ne trouve rien qu’il ne connaît pas (un nom hors de ta liste, une date, un lieu), et une page scannée dépend de ce que l’OCR a réussi à lire. L’étape de relecture est là pour ça.

Auto utilise des modèles privés ; certains échanges passent par un modèle anonymisé, après masquage. Les modèles privés d’Auto : DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4 Flash, DeepSeek V4 Pro, GLM 5.2, NeverNo Uncensored, Qwen 3.5 35B et Mistral Small 3.2. En dehors de ces échanges et des questions politiques ci-dessous, un modèle anonymisé ne répond que si tu le choisis, ou si tu cliques sur la suggestion de lui poser la question sous une réponse. Sur certaines questions politiques que les modèles chinois refusent, le mode Auto répond avec Claude (Anthropic), un modèle anonymisé, après masquage et sur des hébergeurs sans conservation, au lieu de DeepSeek, GLM, Kimi ou Qwen.

Images, vidéos et sons

Le Studio passe par Runware. Les descriptions partent de notre serveur, sans identifiant. Ce tableau aussi est produit à partir du code.

Les autres services qui voient passer quelque chose

Recherche web

Pour les abonnés, Exa reçoit la requête (une courte requête tirée de ton message) et renvoie les résultats ; un compte gratuit a une recherche Exa par jour, puis passe par Serper ; sans compte, c’est Serper. Exa peut conserver la requête et s’en servir pour améliorer ses services et entraîner ses modèles : nous n’avons souscrit aucune option de non-conservation. Selon leur sujet, certaines recherches ne lui sont jamais envoyées. Serper renvoie les résultats de Google ; Jina Reader lit les pages trouvées ou l’adresse que tu colles. Aucun des trois ne reçoit d’identifiant ni ton adresse IP. Dans une recherche approfondie, l’option « Rédaction premium » fait chercher GPT 6.1 Sol lui-même sur le web (recherche intégrée d’OpenAI, par OpenRouter, sur Microsoft Azure, rétention zéro demandée) : il reçoit ta question masquée comme pour un modèle anonymisé. Quand une page d’origine est devenue illisible, une recherche approfondie envoie son adresse à l’Internet Archive pour en lire une copie archivée. Si une recherche est lancée sur « toutes les sources », des requêtes écrites à partir de ta question partent aussi vers arXiv, OpenAlex et la base EDGAR de la SEC. Aucun ne reçoit d’identifiant ni ton adresse IP.

Voix

La dictée et le Confessionnal sont transcrits par Whisper chez Groq, en zéro rétention, ou chez DeepInfra quand Groq tarde ; les voix Kokoro, Inworld et Qwen passent par DeepInfra ; les voix xAI et MiniMax par Runware. Ta voix est transcrite puis oubliée. Avec Pro+ et Max, la lecture à voix haute des réponses est produite par ElevenLabs (voix Jessica) : les coordonnées sont masquées avant l’envoi, chaque lecture est effacée de l’historique de notre compte aussitôt après, et certaines réponses n’y passent jamais, pas plus qu’une voix que tu as choisie.

Créateurs des modèles anonymisés

Les modèles anonymisés passent par OpenRouter avec l’option zéro rétention : l’hébergeur qui répond s’engage à ne rien garder. Les quelques modèles sans route zéro rétention sont signalés dans le tableau ci-dessus ; leur créateur garde alors la requête selon ses propres règles (Anthropic jusqu’à 30 jours, OpenAI 30 jours). Gemini est servi par Google, qui peut aussi garder jusqu’à 90 jours une requête signalée par sa surveillance des abus (sans l’utiliser pour entraîner ses modèles).

Relais vers un modèle anonymisé

Pour certaines demandes, si notre modèle privé ne répond pas, la réponse peut être écrite par un modèle tiers anonymisé (Grok, xAI), joint sans rétention : tes données personnelles (nom, e-mail, téléphone, adresse…) sont masquées avant qu’il les voie, exactement comme pour les modèles tiers que tu peux choisir.

Confessionnal

Le Confessionnal répond avec Claude Sonnet d’Anthropic, servi par Google Vertex ou Amazon Bedrock via OpenRouter avec l’option zéro rétention : rien n’est conservé chez l’hébergeur. Si Sonnet ne répond pas, Claude Haiku prend le relais aux mêmes conditions, puis GLM 5.2, un modèle privé, en dernier recours. Pour certains échanges, la réponse vient de Grok 4.20 chez xAI (données personnelles masquées, rétention zéro), puis de DeepSeek V4 Pro chez DeepInfra, puis de Dolphin chez un hébergeur tiers en zéro rétention, via OpenRouter, deux modèles privés. Sa voix est décrite juste en dessous.

Voix du Confessionnal

La voix que tu choisis dans le Confessionnal est produite par ElevenLabs, qui agit pour notre compte (sous-traitant) et ne reçoit que le texte de la réponse à lire, jamais ta voix ni ton compte. Avant l’envoi, les adresses e-mail, numéros de téléphone, adresses postales, coordonnées bancaires, numéros de carte et adresses IP d’une phrase sont remplacés par des mots neutres (« ton adresse e-mail ») ; les prénoms et les noms restent, pour que la voix puisse les dire. ElevenLabs garde chaque phrase dans l’historique de notre compte : nous l’effaçons quelques secondes après qu’elle a été dite, et toutes les 5 minutes ce qui y serait encore après 10 minutes est effacé. Ce qu’ElevenLabs conserve pour sa propre lutte contre les abus suit ses propres règles. Certaines phrases, et toutes quand ElevenLabs ne répond pas, sont lues par l’une des voix listées plus haut.

Mémoire

Pour tous les comptes, gratuit compris, un modèle privé (DeepSeek V4 Flash chez DeepInfra) repère les faits à retenir et calcule leurs vecteurs ; le résultat revient à ton navigateur, qui le chiffre.

Sécurité

Nos règles absolues sont vérifiées par des modèles privés de notre catalogue, qui relisent une demande d’image ou une image envoyée, puis l’oublient.

Anti-robot

Un visiteur sans compte passe une fois la vérification Cloudflare Turnstile, qui reçoit son adresse IP et des signaux techniques du navigateur.

Paiement

Stripe reçoit ton e-mail et ton identifiant de compte pour relier le paiement, et les données de ta carte, que nous ne voyons jamais.

Hébergement

Le site tourne chez Vercel, qui voit passer tes requêtes. La base, les comptes, la sauvegarde chiffrée et la copie chiffrée de la synchronisation sont chez Supabase, qui envoie aussi ton code de connexion par e-mail.

Coffre

Les passages des documents de ton coffre et tes questions reçoivent leur vecteur d’un modèle privé chez DeepInfra (Qwen3-Embedding-0.6B) ; les vecteurs reviennent à ton navigateur, qui les chiffre.

/** * Local-only encryption for the Zero-Log store. * * One AES-256-GCM key per browser, generated on first use as a non-extractable * CryptoKey and kept in IndexedDB: it never leaves the device and cannot be read * back as raw bytes, even by our own scripts. */import { requestPersistentStorage } from "./storage";export type Sealed = { v: 1; iv: Uint8Array<ArrayBuffer>; ct: Uint8Array<ArrayBuffer> };const encoder = new TextEncoder();const decoder = new TextDecoder();export type KeyStore = {  load: () => Promise<CryptoKey | undefined>;  /** Stores the key unless one is already there (the first stored wins). */  save: (key: CryptoKey) => Promise<void>;};let keyPromise: Promise<CryptoKey> | null = null;let activeStore: KeyStore | null = null;/** Point the module at the table that holds the key. Called once by the database. */export function configureKeyStore(store: KeyStore) {  activeStore = store;  keyPromise = null;}

• src/lib/db/crypto.ts (85 lignes)
• src/lib/backup-crypto.ts (51 lignes)
• src/lib/share.ts (165 lignes)

Notre dépôt est encore privé. Un dépôt public suivra, pour que tu puisses comparer ce code à celui que ton navigateur exécute.

1. 1Tes données chiffrées

   Onglet Application (Chrome, Edge) ou Stockage (Firefox), puis IndexedDB › neverno › messages. Le champ content de chaque message est un objet { v, iv, ct } : des octets illisibles. Dans keys, la clé apparaît avec extractable: false.

2. 2Ce qui part quand tu écris

   Onglet Réseau, puis envoie un message : une requête chat part, avec la discussion en cours et tes réglages du moment. Aucune autre discussion ne part.

3. 3Les petites requêtes qui suivent

   Mémoire activée : deux requêtes memory envoient ensuite ce dernier échange pour en tirer les faits à retenir. Nouvelle discussion : une requête chat/title envoie aussi ta première question et le début de la réponse, une seule fois, pour lui trouver un titre. Suggestions activées (Réglages, Contenu) : après une réponse, une requête chat/follow-ups envoie ta dernière question avec le début et la fin de la réponse, pour proposer une suite ; rien n’est gardé. Synchronisation active : des requêtes sync/push et sync/pull emportent des éléments chiffrés par ton navigateur, au champ ct illisible. Ton cookie de session les accompagne toutes, la requête chat comprise, comme sur tout site où tu es connecté.

4. 4La clé d’un lien de partage

   Ouvre un lien de partage avec l’onglet Réseau ouvert : la requête shares/… ne contient que l’identifiant du lien. Ce qui suit le # n’apparaît nulle part.

5. 5À qui la page peut parler

   Sur neverno.ai, l’en-tête Content-Security-Policy de la page liste les seules adresses qu’elle a le droit de contacter : nos serveurs, Supabase, les CDN de Runware pour tes médias, Cloudflare pour la vérification anti-robot, et deux adresses réservées à la conversation vocale en temps réel du Confessionnal (api.elevenlabs.io et notre serveur rt.neverno.ai), listées d’avance : tant que cette fonction n’est pas ouverte, la page ne s’y connecte jamais. Ni mesure d’audience tierce, ni publicité.

• NeverNo n’est pas un réseau d’anonymat. Notre hébergeur voit ton adresse IP, comme pour tout site : nous ne l’enregistrons dans aucune de nos propres tables, mais ses journaux techniques peuvent en garder une trace selon ses règles, et Supabase, qui gère la connexion aux comptes, garde l’adresse IP de chaque session ouverte. Pour la cacher, utilise un VPN ou Tor.
• Pour choisir le modèle, décider d’une recherche et appliquer nos règles absolues, notre serveur lit ton message en mémoire, le temps de la réponse. Il ne l’écrit nulle part, mais il le voit passer.
• À chaque message, la discussion en cours repart avec lui (ses messages récents), parce qu’un modèle ne se souvient de rien d’un appel à l’autre.
• L’étiquette « Privé » repose sur les engagements de DeepInfra et sur l’option zéro rétention d’OpenRouter. Nous ne pouvons pas inspecter leurs serveurs.
• Un modèle « Anonymisé » est lu par l’entreprise qui l’a créé (Anthropic, OpenAI, Google, xAI), qui peut garder la requête un temps selon ses propres règles. Tes adresses e-mail, tes numéros et les noms que tu as marqués sont masqués avant lui (voir plus haut) ; le reste du texte ne l’est pas. Pour une conversation sensible, garde un modèle privé.
• Le chiffrement local empêche de lire tes conversations en ouvrant la base telle quelle, et aucun script ne peut extraire la clé. Il ne protège pas d’une personne ou d’un logiciel qui a accès à ton appareil ou à ta session ouverte : verrouille ton appareil.
• Quelques repères restent lisibles dans ton navigateur (dates, modèles, types de médias), et tes préférences d’interface y sont en clair.
• Les vidéos et les sons créés attendent sur le CDN de Runware que ton navigateur les télécharge ; combien de temps ils y restent dépend de Runware : jusqu’à 7 jours pour un clip, d’après l’expiration qu’annonce son adresse (mesuré le 11 novembre 2026).
• Notre code n’est pas encore public : tu ne peux pas encore comparer toi-même le code publié à celui que ton navigateur exécute.
• La synchronisation laisse voir des métadonnées : combien d’éléments, leur taille arrondie et l’heure de chaque écriture, donc ton rythme d’activité. Un appareil approuvé qui ne t’appartient plus garde la clé tant que tu ne l’as pas changée.
• Si tu oublies ta phrase de sauvegarde, ou si tu effaces ton navigateur sans sauvegarde ni synchronisation, tes données sont perdues : nous n’avons aucun moyen de les récupérer.

1. 15 novembre 2026Le tableau de ce que notre base garde dit maintenant où voir et fermer tes sessions ouvertes : Réglages › Sécurité.
2. 11 novembre 2026Créations longues : notre base note désormais, pour une vidéo, si elle part d’une image importée (un simple indicateur, sans description ni image). La durée pendant laquelle Runware garde un clip est précisée : jusqu’à 7 jours, mesuré.
3. 11 novembre 2026Les compteurs et les montants de coût d’un visiteur sont effacés au bout de 48 heures, sans exception ; les compteurs d’essai liés à une adresse IP, à la fin du mois ; la trace d’inactivité du journal d’administration ne garde plus l’identifiant du compte ; les résultats d’une mission sont effacés par une purge horaire.
4. 11 novembre 2026Le lien « Continuer dans le Studio », sous une image d’un chat, ne met plus la description de l’image dans l’adresse de la page ; avant cette date, elle pouvait apparaître dans les journaux techniques de notre hébergeur.
5. 11 novembre 2026La suppression d’un compte efface aussi ses compteurs d’essai et révoque les autorisations données à Google, Notion, Slack ou GitHub. Nos journaux ne notent plus un compte que sous une étiquette à clé, et les modèles anonymisés ne passent plus que par les hébergeurs que cette page nomme.
6. 11 novembre 2026Cette page a été relue ligne à ligne face au code, et corrigée : Supabase garde l’adresse IP et le navigateur de chaque session ouverte ; le tableau de ce que notre base garde est complété, famille par famille ; l’en-tête de sécurité liste aussi deux adresses réservées à la voix en temps réel du Confessionnal (depuis début novembre) ; les services qu’une recherche approfondie contacte et les modèles de relais du Confessionnal sont nommés.
7. 9 novembre 2026Les compteurs d’usage d’un compte sont gardés 31 jours (des nombres seulement, jamais de contenu) pour que le calendrier sur 30 jours de « Mon abonnement » soit complet ; ceux d’un visiteur restent effacés au bout de 48 heures.
8. 9 novembre 2026Auto : sur certaines questions politiques que les modèles chinois refusent, il répond désormais avec Claude (Anthropic), un modèle anonymisé, au lieu de Mistral Small : les données personnelles sont remplacées avant l’envoi puis remises dans la réponse, sur des hébergeurs sans conservation. Un modèle que tu choisis toi-même n’est jamais remplacé.
9. 9 novembre 2026Auto : sur certaines questions politiques que les modèles chinois refusent, il répond avec un autre modèle privé (Mistral Small, ou Dolphin si besoin) au lieu de DeepSeek, GLM, Kimi ou Qwen. Un modèle que tu choisis toi-même n’est jamais remplacé.
10. 9 novembre 2026Recherche web : Exa sert les abonnés (une recherche par jour avec un compte gratuit, puis Serper et Jina ; sans compte, Serper et Jina). Exa peut conserver la requête (sans identifiant ni adresse IP), ce qu’aucun de nos journaux ne fait.
11. 8 novembre 2026Synchronisation : les fichiers des projets jusqu’à 200 Ko chacun te suivaient déjà, c’est désormais dit ; une offre avec moins d’espace que ce que tu utilises arrête les nouvelles synchronisations, texte compris, tant que tu n’as pas assez supprimé.
12. 5 novembre 2026La voix du Confessionnal est désormais produite par ElevenLabs : les données personnelles sont remplacées avant l’envoi, et chaque phrase est effacée de l’historique de notre compte quelques secondes après avoir été dite.
13. 4 novembre 2026Ajout de ce qui arrive aux requêtes des modèles anonymisés et du Confessionnal (zéro rétention, et les exceptions signalées).
14. 4 novembre 2026Les empreintes d’adresse IP servant aux limites et aux essais gratuits couvrent désormais tout le réseau /64 d’une adresse IPv6 (le bloc d’adresses d’une même connexion) : changer d’adresse ne multiplie plus les limites. C’est toujours une empreinte à clé secrète, jamais l’adresse elle-même.
15. 1 novembre 2026Synchronisation chiffrée de bout en bout pour les comptes : une copie illisible sur nos serveurs, que seules ta clé d’accès, ta clé de secours ou tes appareils approuvés ouvrent. Les médias ne sont pas synchronisés.
16. 1 novembre 2026Vitesse des pages (LCP, INP, CLS) mesurée dans ton navigateur et ajoutée aux statistiques d’usage, arrondie et par type de page seulement. Rien ne part si le partage est désactivé.
17. 1 novembre 2026Mémoire entre discussions pour tous les comptes, offre gratuite comprise. Les visiteurs sans compte n’en ont toujours pas.
18. 31 octobre 2026Statistiques d’usage sans contenu : notre propre comptage, aucun cookie, une empreinte du jour, un interrupteur dans les Réglages.
19. 31 octobre 2026Coffre privé : des documents gardés chiffrés dans ce navigateur ; seuls les passages utiles à une question partent, avec cette question.
20. 31 octobre 2026Discussions éphémères : une conversation gardée dans la mémoire de l’onglet seulement, jamais écrite dans ce navigateur.
21. 31 octobre 2026Les montants du coût de ton usage inclus sont désormais effacés automatiquement après 35 jours.
22. 31 octobre 2026Publication de cette page et du code qui chiffre.
23. 31 octobre 2026Recherche web : la requête part de notre serveur sans identifiant ni adresse IP, et n’est pas journalisée.
24. 31 octobre 2026Ta couleur d’accent est enregistrée sur ton profil, comme ton avatar depuis la veille (une graine, jamais une photo).
25. 30 octobre 2026Les images que tu envoies sont vérifiées, puis réencodées sans métadonnées avant de partir chez un fournisseur.
26. 30 octobre 2026Effacement automatique chaque heure : compteurs d’usage de plus de 48 heures, liens de partage expirés.
27. 30 octobre 2026Suppression du compte depuis les Réglages : abonnement, client Stripe, sauvegarde, clés, compteurs et coûts effacés.
28. 30 octobre 2026Avis sur les réponses : de simples compteurs anonymes, sans compte ni texte.
29. 30 octobre 2026Sauvegarde chiffrée par une phrase secrète (PBKDF2, 600 000 tours, AES-256-GCM).
30. 30 octobre 2026Liens de partage chiffrés, clé dans le # du lien ; les images y sont chiffrées avec la même clé.
31. 30 octobre 2026En-têtes de sécurité : la page ne peut contacter que nos serveurs, Supabase, les CDN des médias et Cloudflare.
32. 30 octobre 2026Clés API : seule une empreinte SHA-256 est gardée.
33. 30 octobre 2026Connexion par code e-mail ; l’essai sans compte est rattaché à une empreinte de l’adresse IP, jamais à l’adresse elle-même.
34. 29 octobre 2026Historique chiffré dans le navigateur (AES-256-GCM, une clé non extractible par navigateur).