Politique de confidentialité d'« inspire. »
L'essentiel. Vos notes sont chiffrées de bout en bout : elles sont chiffrées sur votre appareil, et le serveur ne reçoit que des données qu'il ne sait pas ouvrir. Resilience Factory ne lit pas vos notes et ne peut pas les lire. Elle traite en revanche ce qu'il faut pour faire marcher le service : votre adresse e-mail, des dates, des tailles, des adresses IP. Aucune publicité, aucune mesure d'audience, aucune revente.
1. Qui est responsable
Le responsable du traitement est la société Resilience Factory, société par actions simplifiée unipersonnelle (SASU), dont le siège est 127 rue La Boétie, 75008 Paris. Pour toute question sur vos données, et pour exercer vos droits : rgpd@resiliencefactory.fr.
2. Ce que le serveur voit, et ce qu'il ne voit pas
Ce qui est chiffré sur votre appareil, et que le serveur ne voit jamais
- le titre et le texte de vos notes, leurs étiquettes, leurs propriétés, leurs lieux ;
- les noms de vos carnets et de vos dossiers ;
- vos pièces jointes : images, sons, dessins, PDF, et leurs noms ;
- le nom que vous donnez à chacun de vos appareils ;
- la liste de vos serveurs de secours, l'index des entités tiré de vos notes, l'historique des versions ;
- votre clé de chiffrement des notes et votre code de secours, qui ne quittent jamais votre appareil.
Ce que le serveur voit : les métadonnées
Le chiffrement cache le contenu, pas la forme. Le serveur connaît :
- votre adresse e-mail, qui identifie le compte ;
- pour chaque enregistrement (note, morceau de pièce jointe, registre) : un identifiant technique, un numéro de version, sa taille, la date de sa dernière modification, et s'il est supprimé ; donc le nombre de vos notes et de vos pièces jointes, et le volume occupé ;
- le rythme de votre activité : quand vous écrivez, quand chaque appareil se synchronise ;
- le nombre de vos appareils, la date du dernier passage de chacun et où il en est de la synchronisation ;
- les adresses IP d'où viennent les connexions.
Une note « secrète » laisse donc une trace : sa taille, sa date, et le nombre de ses pièces jointes.
3. Les données traitées, pourquoi, sur quelle base, et combien de temps
| Données | Pour quoi faire | Base légale (RGPD, art. 6) | Durée de conservation |
|---|---|---|---|
| Adresse e-mail ; empreinte du mot de passe et son sel ; sel de chiffrement du compte ; date de création ; format du compte | Créer le compte, vous identifier, vous connecter, vous écrire au sujet du compte | Exécution du contrat (b) | Tant que le compte existe ; effacées à sa suppression |
| Version des conditions et de la politique acceptées, et date d'acceptation | Prouver ce que vous avez accepté | Intérêt légitime (f) : la preuve du contrat | Tant que le compte existe |
| Sessions : empreinte salée de chaque jeton de session, dates de création et d'expiration | Vous garder connecté sur vos appareils | Exécution du contrat (b) | Trente jours après le dernier usage, cent quatre-vingts jours au plus ; effacées à l'expiration, à la déconnexion ou à la révocation |
| Notes et pièces jointes chiffrées, avec leur identifiant, version, numéro de séquence, taille, date et marque de suppression | Stocker vos notes et les synchroniser entre vos appareils | Exécution du contrat (b) | Tant que le compte existe. Une note supprimée laisse une marque de suppression quatre-vingt-dix jours ; une version remplacée ou supprimée est gardée, chiffrée, quatre-vingt-dix jours (vingt versions par note au plus), pour réparer une suppression par erreur |
| Appareils : identifiant tiré au hasard, nom chiffré, date du dernier passage, position dans la synchronisation | Vous montrer quel appareil est à jour sur quel serveur | Exécution du contrat (b) | Oublié après cent quatre-vingts jours sans passage, ou quand vous l'oubliez dans l'application |
| Invitations : adresse e-mail de la personne invitée, auteur de l'invitation, empreinte du lien, dates d'envoi, d'usage et d'expiration | Envoyer l'invitation, n'ouvrir qu'un compte par lien, limiter les invitations par utilisateur | Intérêt légitime (f) : un service ouvert sur invitation | Jusqu'à l'usage ou l'expiration du lien ; l'adresse de la personne invitée n'est gardée ensuite que si elle a créé un compte |
| Demande d'invitation faite sur le site : adresse e-mail, le mot facultatif que vous laissez, la date de la demande et celle de votre consentement | Examiner votre demande et, si une place s'ouvre, vous envoyer une invitation ; prévenir l'administrateur qu'une demande est arrivée | Consentement (a), donné en cochant la case du formulaire ; vous pouvez le retirer à tout moment en nous écrivant (adresse ci-dessous, « Vos droits ») : la demande est alors effacée | Effacée dès qu'elle est refusée ; acceptée, effacée quand votre compte est créé ou quand l'invitation expire ; sans réponse, effacée 90 jours après la demande |
| Adresse IP et identifiant saisi, lors des essais de connexion ou d'inscription | Ralentir qui essaie de deviner un mot de passe | Intérêt légitime (f) : la sécurité du service | Quinze minutes, en mémoire seulement, jamais écrits dans la base ; perdus au redémarrage du serveur |
| Journal du serveur : pour chaque requête, la méthode, le chemin sans ses paramètres et le code de réponse, sans adresse IP ; pour un événement de sécurité (connexion refusée, essais bloqués, invitation refusée), l'adresse IP et une empreinte courte de l'identifiant | Diagnostiquer une panne, repérer une attaque | Intérêt légitime (f) : la sécurité et le bon fonctionnement | 12 mois |
| Sauvegardes de la base : tout ce qui précède, contenus toujours chiffrés | Restaurer le service après un sinistre | Intérêt légitime (f) : la continuité du service | Sur le serveur : les quatorze dernières sauvegardes quotidiennes. Hors du serveur, chiffrées : 30 jours pour les sauvegardes quotidiennes, 12 mois pour les mensuelles. Un compte supprimé disparaît des sauvegardes à leur expiration |
| E-mails envoyés par le service : adresse du destinataire, objet et contenu du message (invitation, message lié au compte) | Vous envoyer les invitations et les messages du compte | Exécution du contrat (b) ; pour une personne invitée, intérêt légitime (f) | Le temps de l'envoi chez nous ; les journaux d'envoi de Scaleway selon ses propres durées |
| Calcul déporté (à venir) : les données à traiter, déchiffrées sur une machine louée pour l'occasion ; la mesure de chaque exécution (durée, type de machine, coût, volume) | Exécuter un traitement que vous avez demandé ; vous le facturer | Exécution du contrat (b), sur votre demande expresse ; obligation légale (c) pour les pièces comptables | Les données : le temps du calcul, la machine étant détruite à la fin. Les mesures et factures : dix ans |
Nous ne faisons aucun profilage, aucune décision automatisée, aucune publicité, et nous ne vendons ni ne louons aucune donnée.
4. Sous-traitants, tiers et transferts
Vos données ne sont communiquées qu'aux prestataires qui font tourner le service, et à des tiers seulement quand vous utilisez certaines fonctions, comme indiqué ci-dessous.
- Scaleway SAS (France) — hébergement, sauvegardes, e-mails
- Les serveurs de secours tournent sur des machines Scaleway à Paris (ou à Amsterdam, aux Pays-Bas, quand Paris n'en a plus). Les sauvegardes chiffrées hors du serveur sont rangées dans son stockage objet, en France ou dans l'Union européenne. Les e-mails du service partent par son service d'e-mails transactionnels. Hébergeur du serveur principal : Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris.
- Cloudflare, Inc. (États-Unis) — intermédiaire devant le serveur principal
- Le serveur principal est joint à travers Cloudflare, qui protège le service des attaques et le rend joignable. Le chiffrement HTTPS s'arrête chez Cloudflare, puis reprend jusqu'au serveur. Cloudflare voit donc tout ce que voit le serveur : votre adresse IP, les dates et les tailles des échanges, votre jeton de session, et votre mot de passe du compte au moment où vous vous connectez. Il ne voit pas le contenu de vos notes, qui reste chiffré. Cloudflare traite ces données dans son réseau mondial, éventuellement hors de l'Union européenne ; ce transfert s'appuie sur la certification de Cloudflare, Inc. au cadre de protection des données UE–États-Unis (Data Privacy Framework). Les serveurs de secours ne passent pas par Cloudflare : Cloudflare n'y gère que le nom de domaine.
- Esri (États-Unis) — fonds de carte
- Quand une note qui contient des lieux est affichée avec sa carte, ou quand vous ouvrez la carte de tous vos lieux, votre appareil télécharge les images de la carte directement chez Esri (server.arcgisonline.com). Esri reçoit votre adresse IP, l'heure, et les tuiles demandées, c'est-à-dire la zone que vous regardez ; il ne reçoit ni le texte, ni le titre, ni les coordonnées exactes, ni l'adresse de la page d'où vient la demande. Une note marquée confidentielle ou verrouillée n'affiche jamais de carte, et ses lieux ne figurent pas sur la carte d'ensemble : c'est le moyen de taire une zone. Les adresses écrites en toutes lettres ne sont jamais envoyées à un service de géocodage depuis la page.
- YouTube, service de Google (Irlande et États-Unis) — vidéos
- Une vidéo YouTube citée dans une note s'affiche d'abord comme une vignette faite sur votre appareil, sans rien charger. C'est seulement quand vous la touchez que le lecteur YouTube (domaine « youtube-nocookie.com ») est chargé. YouTube reçoit alors votre adresse IP, la vidéo demandée et l'adresse du site « inspire. » (sans le chemin, ni rien de la note), et peut, une fois la lecture lancée, déposer ses propres traceurs dans son lecteur, selon sa propre politique.
Aucun autre tiers n'est joint par la page : ni police, ni script, ni service de mesure venus d'ailleurs. La politique de sécurité de la page l'interdit.
5. Sécurité
- Chiffrement de bout en bout : AES-256-GCM, sous une clé que protège votre clé de chiffrement des notes ; la clé reste sur vos appareils, non exportable par la page.
- Connexions en HTTPS uniquement ; mots de passe et jetons de session gardés seulement sous forme d'empreinte ; essais de connexion ralentis ; sessions révocables depuis l'application.
- Le serveur tourne sans privilège, et ses sauvegardes ne sont lisibles que par lui ; les copies hors du serveur sont chiffrées.
- Ce que le chiffrement ne protège pas : les métadonnées décrites plus haut ; le code de la page, livré par le serveur et par Cloudflare, auquel il faut faire confiance comme pour toute application web ; un appareil déverrouillé, sur lequel les notes ouvertes se lisent. La page se verrouille après cinq minutes sans un geste.
6. Ce qui est gardé sur votre appareil
« inspire. » n'utilise aucun cookie, ni publicitaire, ni de mesure d'audience (seul le lecteur YouTube, si vous lancez une vidéo, peut déposer les siens : voir plus haut). La page garde sur votre appareil, dans le stockage de votre navigateur, ce qu'il lui faut pour fonctionner :
- une base locale : vos notes, leurs versions précédentes, les pièces jointes déjà vues et celles qui attendent l'envoi, toutes chiffrées comme sur le serveur ; seuls l'identifiant, la version et l'état de chaque note y sont lisibles. Si vous cochez « Mémoriser cet appareil » ou activez le déverrouillage biométrique, la clé de vos notes y est aussi gardée, sous une forme que la page ne peut pas exporter ;
- le stockage local du navigateur : votre jeton de session et ceux de vos serveurs de secours, l'identifiant du compte et son sel, l'identifiant de cet appareil, l'instant de votre dernier geste et l'état du verrou, et vos préférences d'affichage (thème, tri, largeurs, panneaux repliés, flou) ;
- le cache de l'application : le code de la page, pour qu'elle s'ouvre hors ligne.
Ces éléments sont strictement nécessaires au service que vous demandez, ou servent à retenir vos préférences : ils ne demandent pas votre consentement et ne sont lus par personne d'autre. Le bouton « Oublier cet appareil » efface la session, la base locale et les clés de l'appareil.
7. Vos droits
Vous disposez, sur vos données personnelles, des droits suivants :
- droit d'accès : savoir ce que nous détenons sur vous ; l'application montre déjà votre espace occupé, vos appareils et vos sessions ;
- droit de rectification : corriger votre adresse e-mail ou vos informations ;
- droit à l'effacement : supprimez votre compte depuis l'application, ce qui efface vos données des serveurs ; elles disparaissent des sauvegardes à leur expiration ;
- droit à la portabilité : exportez vos notes en clair depuis l'application (texte des notes, au format JSON) ;
- droit d'opposition aux traitements fondés sur notre intérêt légitime, et droit à la limitation d'un traitement ;
- le droit de définir des directives sur le sort de vos données après votre décès.
Pour les exercer, écrivez à rgpd@resiliencefactory.fr ; nous répondons dans un délai d'un mois. Nous ne pouvons vous rendre en clair aucune note : nous n'en avons pas la clé.
Vous pouvez aussi introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes.
8. Mineurs
« inspire. » est réservé aux personnes majeures. Nous ne cherchons pas à recueillir de données sur des mineurs ; si vous apprenez qu'un mineur a ouvert un compte, écrivez-nous et nous le fermerons.
9. Modifications
Cette politique peut évoluer, notamment à l'arrivée de l'offre payante et du calcul déporté. Chaque version porte un numéro et une date ; une modification importante vous est présentée à votre connexion suivante, et annoncée par e-mail.