Confidentialité

Le principe

Typoza est un outil d'écriture. Il collecte ce qu'il faut pour ouvrir un compte, publier un site et le facturer — rien de plus, et rien qui serve à autre chose.

• Aucune revente de données, à personne, sous aucune forme.
• Chaque société qui garde une donnée pour nous est nommée, avec ce qu'elle reçoit et où elle l'héberge.
• Aucun cookie de mesure sur le site public d'un atelier.
• Aucun entraînement de modèle d'intelligence artificielle sur vos textes : ni chez notre fournisseur, ni — par défaut — par les robots qui parcourent votre site.
• Aucun accès de notre part au contenu de vos brouillons, sauf réquisition légale.

Ce que nous collectons

Six familles, et il n'y en a pas de septième.

• Votre compte : nom, adresse e-mail, mot de passe haché — jamais lisible, y compris par nous. Si vous vous connectez avec GitHub, le nom public, l'adresse e-mail et l'adresse de l'avatar que GitHub nous transmet.
• Ce que vous écrivez : articles, pages, brouillons, versions successives, images et fichiers téléversés, réglages de l'atelier.
• Ce qui est facturé : adresse de facturation, pays, historique des abonnements. Vos coordonnées bancaires sont saisies chez Stripe et ne nous parviennent jamais.
• Les abonnés à la Lettre de votre atelier : leur adresse e-mail, la date à laquelle ils ont confirmé, la cadence qu'ils ont choisie. Ces adresses sont les vôtres, pas les nôtres — nous les hébergeons pour vous, et la section suivante dit exactement ce qui leur arrive.
• Vos lecteurs, quand ils réagissent ou commentent sous vos articles : leur adresse e-mail, le nom qu'ils ont choisi, ce qu'ils ont écrit et la date de leur confirmation. Ce qui se montre et ce qui ne se montre pas est dit dans la section sur les réactions et les commentaires.
• Vos notifications : ce qui s'est passé dans vos ateliers — un article soumis, un commentaire, une invitation — et si vous l'avez lu. Et, seulement si vous les avez activées, l'adresse d'inscription de chaque appareil auquel vous voulez que nous envoyions ces notifications.

Où c'est conservé

Typoza s'exécute chez Vercel, dans sa région de Paris. Ce qu'il conserve est confié à trois sociétés : Prisma Postgres garde la base de données — comptes, textes, abonnés, statistiques —, Vercel Blob les fichiers — images, pièces jointes, sauvegardes chiffrées —, et Upstash, pour quelques minutes ou quelques heures, les compteurs qui limitent les envois et une copie de la carte publique des ateliers. Vercel, Prisma et Upstash sont des sociétés américaines.

Quelques sociétés en reçoivent une part pour faire chacune un travail : remettre un e-mail, encaisser un paiement, reformuler un paragraphe que vous nous avez demandé de reformuler. Chacune, avec ce qu'elle reçoit et où elle opère, est listée sur la page Sous-traitants.

La Lettre, et ce qui arrive à ses abonnés

Un atelier peut proposer une Lettre à ses lecteurs. Les personnes qui s'y abonnent ne sont pas nos clients : elles sont celles de l'atelier, et nous ne faisons qu'exécuter ce que l'atelier demande. Nous ne leur écrivons jamais de notre propre initiative, et nous ne réutilisons leurs adresses pour rien — ni pour une autre Lettre, ni pour Typoza.

• Rien ne part sans un double accord : une adresse qui vient d'être saisie ne reçoit qu'un message, celui qui demande de confirmer. Tant que ce lien n'est pas cliqué, elle ne reçoit rien d'autre, jamais.
• Chaque envoi part par Resend, notre prestataire d'envoi, qui reçoit l'adresse du destinataire et le contenu du message : les titres, extraits et liens des articles concernés.
• Resend nous renvoie ce que le message est devenu : remis, rejeté par le serveur du destinataire, retardé, ou signalé comme indésirable. Une adresse définitivement rejetée ou qui nous signale sort des envois suivants sans que personne n'ait à intervenir.
• Nous ne mesurons pas les ouvertures. Le faire demanderait une image invisible dans chaque message, qui dirait à l'expéditeur quand vous l'avez ouvert et depuis quelle adresse IP. Nous mesurons les visites sans cookie ; ouvrir cette porte-là par le courrier serait nous contredire.
• Chaque envoi porte, dans son pied et dans ses en-têtes, de quoi régler sa cadence, se mettre en pause ou partir. Le bouton de désabonnement de votre logiciel de courrier fonctionne, et il fonctionne en un clic.
• Le journal d'un envoi — quel article est parti quel jour, à qui, et ce qu'il est devenu — est effacé au bout de douze mois par une tâche qui tourne chaque nuit.

La page de contact d'un atelier, et ce qu'on y écrit

Un atelier peut ouvrir une page de contact sur son site. Ce que vous y écrivez ne nous est pas adressé, mais il est **conservé** : votre message ouvre une conversation que l'atelier lit et à laquelle il répond, et un échange qu'on ne garde pas est un échange auquel personne ne peut revenir. Nous en sommes l'hébergeur ; l'atelier en est le responsable.

• Le formulaire demande un nom, une adresse e-mail et un message, et rien d'autre. Votre nom, votre adresse, le texte de vos messages et leurs dates sont conservés tant que l'atelier garde la conversation.
• Votre adresse ne lui est pas donnée pour qu'il vous écrive ailleurs : elle est montrée dans la notification qu'il reçoit, et sert à vous porter ses réponses. Lui non plus ne voit jamais votre adresse dans un « répondre à » — c'est une adresse à nous qui achemine, dans les deux sens.
• Chaque réponse qui vous parvient porte un lien vers votre conversation : vous pouvez la relire, y répondre, et y mettre fin sans créer de compte. Y mettre fin coupe les chemins de retour ; le formulaire, lui, reste ouvert.
• Le formulaire est limité en nombre d'envois par adresse IP et par atelier. Cette limite-là ne dit rien de ce que vous avez écrit, et ne se garde que le temps de compter.
• L'adresse du siège social affichée sur cette page est celle de l'atelier, pas la vôtre. La carte qui l'accompagne est une image que nous avons produite une fois : l'ouvrir ne contacte personne, et votre navigateur ne parle à aucun cartographe tant que vous ne choisissez pas d'ouvrir l'adresse dans une application de cartes.
• Ce choix-là vous appartient entièrement. Les liens proposés — Plans, Google Maps, OpenStreetMap — ne s'ouvrent qu'au clic, dans un nouvel onglet, et c'est alors le service choisi qui vous voit arriver, sous sa propre politique.

Les réactions et les commentaires sous un article

Un atelier peut laisser ses lecteurs réagir à ses articles et les commenter. Ces lecteurs sont les siens, pas les nôtres, et un commentaire s'adresse à l'atelier, en public. Nous en sommes l'hébergeur ; l'atelier en est le responsable.

• Rien ne paraît sans une adresse confirmée. La première réaction ou le premier commentaire depuis un navigateur envoie un seul message, un lien à cliquer ; le clic publie ce qui attendait. Ce que personne ne confirme est effacé au bout de sept jours, avec l'adresse si elle ne porte rien d'autre.
• Un commentaire publié fait partie de la page : tout le monde peut le lire, moteurs de recherche compris. Il montre le nom que le lecteur a choisi, le texte, sa date et, pour une réponse, le nom de celui à qui elle répond. Jamais l'adresse e-mail — ni sur le site, ni dans le code de la page, ni dans l'avis que reçoit l'auteur.
• Une réaction se compte, elle ne se signe pas : sous l'article, on voit combien ont choisi chacune des six, jamais qui.
• L'adresse sert à confirmer et — seulement si le lecteur a coché la case — à le prévenir d'une réponse. Ces messages partent par Resend, comme tous les nôtres, et chaque avis de réponse porte le lien qui les arrête.
• Une fois confirmé, le lecteur est reconnu sur ce site par un cookie, pendant six mois — la page Cookies le décrit. « Ce n'est pas vous ? », sous le formulaire, l'oublie sur-le-champ.
• Réactions et commentaires sont limités en nombre par adresse IP et par atelier. Cette limite-là ne dit rien de ce qui a été écrit, et ne se garde que le temps de compter.
• Fermer les commentaires, sous un article ou pour tout l'atelier, les retire des pages sans les effacer. Pour faire effacer l'un des vôtres, écrivez à contact@typoza.com.

Avant de paraître, un commentaire passe par un filtre à nous — des règles qu'on sait lire, sans intelligence artificielle ni service extérieur. Il additionne les signes que personne ne l'a tapé à la main, ou qu'il fait de la publicité : un champ caché rempli, un formulaire envoyé en deux secondes, des liens, le même texte envoyé à d'autres ateliers, une adresse jetable, une rafale d'envois, un terme que le site refuse. Selon ce score, le commentaire paraît, attend qu'une personne de l'atelier le lise, ou est écarté.

• Ce que seuls les robots font est écarté sans un mot, et la source est bloquée vingt-quatre heures, puis sept jours, puis trente. Ces blocages automatiques portent sur une empreinte à clé de l'adresse IP ou de l'adresse e-mail, jamais sur l'adresse elle-même, et jamais sur une personne nommée.
• Tout autre refus se motive. Un commentaire refusé pour un terme, ou retiré par l'atelier, vaut à son auteur un e-mail qui dit pourquoi, si un filtre ou une personne a décidé, et comment demander un second regard à une personne.
• Tout lecteur peut signaler un commentaire, sous le commentaire lui-même. Le nom et l'adresse sont facultatifs ; avec une adresse, le lecteur reçoit un accusé de réception, puis la décision de l'atelier. Une personne de l'atelier examine chaque signalement.
• L'atelier peut bloquer un lecteur pour de bon : celui-ci ne commente ni ne réagit plus sur son site. C'est toujours la décision d'une personne, notifiée avec son motif, et l'atelier peut la lever.
• Pour reconnaître les rafales, nous gardons trente jours une empreinte à clé de l'adresse IP. Un commentaire écarté comme indésirable est effacé au bout de trente jours ; un signalement, douze mois après sa décision. Le tableau des durées, plus bas, les donne toutes.

Les notifications sur vos appareils

Vous pouvez demander à être prévenu sur votre téléphone ou votre ordinateur quand quelque chose se passe dans un de vos ateliers. C'est facultatif, désactivé tant que vous ne l'avez pas demandé, et cela se défait d'un clic depuis vos réglages.

• Activer les notifications inscrit l'appareil auprès du service de votre navigateur : Google pour Chrome, Mozilla pour Firefox, Apple pour Safari, Microsoft pour Edge. Nous ne choisissons pas lequel — c'est votre navigateur qui nous donne l'adresse à laquelle lui écrire.
• Ce service reçoit cette adresse, la date de chaque envoi et l'adresse IP de notre serveur. Il ne reçoit rien de ce que la notification dit : le titre, la phrase et le lien sont chiffrés avec une clé que votre appareil seul possède. Il achemine une enveloppe scellée.
• Sans notifications activées, aucun de ces quatre services n'est jamais contacté à votre sujet.
• Retirer un appareil efface son inscription. Elle disparaît aussi d'elle-même si vous désinstallez, videz les données du navigateur ou retirez l'autorisation : le service de push nous le signale, et la ligne part.
• Ce qui s'est passé dans vos ateliers reste consultable dans Typoza pendant six mois, que vous ayez activé les notifications ou non, puis s'efface chaque nuit.

L'annuaire, et rien d'autre de public

Typoza publie un annuaire des ateliers sur sa vitrine. On n'y figure que si on l'a demandé : c'est une case à cocher dans les réglages de l'atelier, décochée par défaut, et la décocher retire l'atelier immédiatement — pas au prochain passage d'un robot.

• Ce qui y paraît : le nom de l'atelier, sa description, l'adresse de son site public et le nombre d'articles publiés. Rien de votre compte, jamais votre adresse e-mail.
• Un atelier qui n'a publié aucun article n'y figure pas, même inscrit.
• Aucune mise en avant payante, aucun classement par audience : l'ordre est celui des inscriptions.
• Aucun autre écran de Typoza ne publie quoi que ce soit vous concernant sans votre geste.

La mesure d'audience, et sa frontière

Cette section est la plus importante pour qui nous confie un site, alors elle est la plus précise. Deux mesures existent, elles ne portent pas sur les mêmes pages, et la frontière entre les deux est une décision de conception, pas un réglage.

Sur le site public d'un atelier, la mesure est la nôtre et elle seule : un petit script compte les pages vues sans déposer de cookie, sans conserver d'adresse IP et sans construire d'identifiant de lecteur. Aucun outil tiers n'y est chargé. Vos lecteurs ne sont donc jamais mesurés par une société extérieure, et vous n'avez pas à leur demander un consentement pour une mesure que nous ne faisons pas.

Un article partagé depuis le bouton « Partager » est compté de la même manière, plus brièvement encore : le réseau choisi, le jour et l'article — ni empreinte, ni adresse, ni pays. Les liens vers les réseaux ne chargent rien de chez eux : leur page ne s'ouvre que si le lecteur clique.

Le pays d'une visite est celui que notre hébergeur déduit de l'adresse IP et joint à chaque requête qu'il nous transmet : aucun autre service n'est interrogé. Nous n'en gardons que les deux lettres du pays ; l'adresse sert à l'empreinte du jour, puis elle est oubliée, et elle n'est jamais écrite.

Sur le site de Typoza, dans sa documentation et dans l'application — c'est-à-dire chez nous, pas chez vous — nous utilisons Vercel Analytics et Vercel Speed Insights. Ni l'un ni l'autre ne dépose de cookie. Voici exactement ce qu'ils relèvent, relevé chez Vercel et non résumé.

• Vercel Analytics : horodatage, URL et chemin de la page, référent, paramètres de requête filtrés, pays, région et ville, système et version, navigateur et version, type d'appareil, version du script. Le visiteur est identifié par un hachage de la requête entrante, jeté au bout de vingt-quatre heures.
• Vercel Speed Insights : route et URL, débit réseau déclaré par le navigateur, navigateur, type d'appareil, système, pays sur deux lettres, la mesure de performance et le sélecteur de l'élément qu'elle désigne. Ni cookie, ni reconstruction de session.
• Les deux envoient leurs relevés à une adresse de notre propre domaine, jamais à un domaine tiers.

La rédaction assistée, et ce que l'IA lit

Aucun de vos textes ne part chez un modèle sans un geste de votre part, dans l'éditeur. Typoza n'envoie jamais de lui-même un article, un brouillon, une page, un commentaire ou un message à un modèle — ni pour le résumer, ni pour le classer, ni pour le modérer. Un contenu signalé est relu à la main, par une personne.

Quatre fonctions appellent un modèle, toutes les quatre depuis l'éditeur, et voici ce que chacune envoie à Anthropic :

• La proposition de titre et d'accroche, un bouton du panneau de référencement : le titre de l'article et ses cinq cents premiers mots.
• Le texte alternatif, un bouton sur une image : l'image, et sa légende si vous en avez écrit une.
• La réécriture, un bouton sur un passage sélectionné : ce passage, et rien autour.
• La complétion de fin de phrase, après une courte pause au milieu d'une phrase : les quatre cents derniers mots avant le curseur. Elle ne fonctionne que tant que sa case est cochée sur l'écran Rédaction assistée — elle ne l'est pas à l'ouverture d'un compte : c'est vous qui l'allumez, et la décocher suffit pour que plus rien ne parte sans un bouton.

Chaque appel dépense des crédits de l'atelier, que le compteur du menu latéral affiche. Aucun identifiant de compte, aucun nom et aucune adresse e-mail ne partent avec le texte.

**L'IA dans un atelier.** Le propriétaire d'un atelier voit combien de crédits d'IA chaque membre a dépensés ce mois-ci : le nombre, jamais le texte. Chaque nuit, nous regardons l'usage de l'IA de chaque membre sur les sept derniers jours à travers six comptes : ce qu'il a coûté comparé aux autres membres de l'atelier, la minute la plus chargée, la part des appels faits la nuit, la part des brouillons supprimés, les mots générés pour chaque mot publié, et la plus longue suite de réécritures d'un même article. Nous ne lisons jamais vos textes pour cela. Si les comptes dépassent un seuil, le propriétaire de l'atelier en est informé, et vous aussi, avec les mêmes chiffres. Rien n'est suspendu automatiquement : une personne décide.

Notre équipe examine aussi une semaine signalée : quand elle est encore ouverte trois jours après que le propriétaire en a été informé, quand ses comptes sont très élevés, ou quand le propriétaire n'a pas pu être informé. L'usage du propriétaire lui-même, et celui d'un atelier d'une seule personne, n'est jamais signalé à personne : seule notre équipe le voit, et seulement quand ses comptes sont très élevés. Pendant une première période, le temps de régler les seuils sur des chiffres réels, personne n'est informé : seule notre équipe voit les semaines signalées. Elle voit le nom et l'adresse e-mail du membre à côté des chiffres. Une personne de notre équipe peut demander à un modèle de résumer une semaine en trois phrases ; le modèle ne reçoit que les comptes — aucun texte, aucun nom, aucun atelier —, l'appel est payé par Typoza et jamais avec les crédits d'un atelier, et le résumé n'est pas une décision. Une semaine signalée est gardée douze mois après sa fin, puis effacée, quelle qu'en soit l'issue. Nous nous fondons sur notre intérêt légitime à protéger les crédits qu'un atelier paie et les coûts du service (article 6.1.f du RGPD).

Ce qui part chez Anthropic ne l'entraîne pas. Ses conditions commerciales le disent en section B — « Anthropic may not train models on Customer Content from Services » —, relevé le 18 septembre 2026. Nous vérifions cette clause à chaque changement de fournisseur ou de contrat, et nous réécrirons cette page si elle change — c'est une règle de travail inscrite dans notre documentation interne, pas une intention.

Ce qu'un atelier publie est aussi tenu à l'écart des robots qui entraînent des modèles d'IA. Par défaut, le robots.txt de son site les refuse — GPTBot, ClaudeBot, Google-Extended et une quinzaine d'autres, une liste que nous relevons chaque trimestre — et chacune de ses pages réserve la fouille de textes et de données sous une forme lisible par machine, comme le permet l'article 4 de la directive 2019/790. Les moteurs de réponse, qui citent un site et lui renvoient des lecteurs, restent admis.

Un robots.txt se respecte, il ne s'impose pas : les exploitants que nous nommons disent le lire, et un robot qui ment sur son nom le contourne — la réserve est ce qui reste quand il passe. Un atelier peut lever l'un et l'autre depuis ses réglages : ce sont ses textes, et sa décision.

Les contenus intégrés

Quand vous collez l'adresse d'une vidéo ou d'un message public dans un article, notre serveur va chercher l'aperçu chez le service concerné, et le lecteur de l'article charge ensuite le contenu depuis ce service. Celui-ci voit donc l'adresse IP de votre lecteur et peut poser ses propres cookies.

Ces services ne figurent pas dans notre liste de sous-traitants, et l'omission est volontaire : ce n'est pas nous qui les choisissons, c'est vous, article par article. Nous ne pouvons pas tenir une liste de ce que nous ne décidons pas — mais vous pouvez, en n'intégrant que ce que vous assumez.

Les mentions d'autres sites

Quand un autre site publie un lien vers l'un de nos ateliers, il peut nous l'annoncer — c'est une convention du web, aussi ancienne que les blogs. Notre serveur va alors lire la page qui dit citer, pour vérifier que le lien s'y trouve vraiment, et en garde de quoi rendre la mention lisible.

• Nous conservons l'adresse de la page, le nom du site, son titre, le nom d'auteur qu'elle affiche et le passage qui entoure le lien. Ce sont des informations que cette page publie elle-même, et nous n'en collectons aucune autre.
• Le site que nous allons lire n'est pas dans notre liste de sous-traitants, et l'omission est volontaire, comme pour les contenus intégrés : ce n'est pas nous qui le choisissons. La différence tient en un mot — ici, ce n'est pas non plus l'atelier qui le choisit, c'est le site qui décide de citer. Nous n'envoyons à cette page que la requête qui la lit : elle voit l'adresse IP de notre serveur, et rien de vous ni d'un lecteur.
• Une mention n'est jamais affichée sur le site public d'un atelier. Elle reste dans l'espace de travail, visible du propriétaire et des administrateurs.
• Si vous êtes l'auteur d'une page qui nous cite et que vous ne voulez pas y figurer, retirer le lien suffit : nous repassons sur les pages citantes et la mention est marquée comme disparue. Vous pouvez aussi nous écrire, et nous l'effaçons.

La même convention joue dans l'autre sens, et il faut le dire ici parce qu'aucun contrôle automatique ne le dira : quand vous publiez un article qui cite un autre site, notre serveur va prévenir ce site. Il appelle donc des adresses que personne chez nous n'a choisies — ce sont celles que vous avez écrites dans votre texte.

• Ce qui part est l'adresse publique de votre article et celle de la page que vous citez. Rien d'autre : ni votre nom, ni votre adresse e-mail, ni quoi que ce soit d'un lecteur. Le site prévenu voit en plus l'adresse IP de notre serveur, comme tout site qu'on appelle.
• Ces sites ne figurent pas dans notre liste de sous-traitants, et l'omission est volontaire, comme pour les contenus intégrés et pour les pages qui nous citent : nous ne les choisissons pas. Ici, c'est vous qui les choisissez, en décidant de citer.
• Un lien vers l'un de vos propres sites Typoza ne part pas : on ne s'annonce pas à soi-même.
• Rien ne part au moment où vous cliquez sur « Publier » : l'annonce est mise en file et faite ensuite, et elle est abandonnée au bout de quelques essais si le site d'en face ne répond pas.

À qui nous transmettons

La liste complète, avec pour chacun ce qui lui est transmis, où il héberge et sur quelle base légale, est publiée sur la page Sous-traitants. Elle est tenue au même endroit que le code : une société qui s'y ajoute sans être déclarée fait échouer notre intégration continue, et la version qui la contient ne part pas en production.

Combien de temps nous gardons

Des durées chiffrées, y compris quand la réponse honnête est qu'aucune purge automatique n'existe.

• Le compte : nom, adresse e-mail, mot de passe haché

  Durée

  Tant que le compte existe

  Pourquoi

  Exécution du contrat — sans eux, il n'y a pas de connexion possible

• Les textes, pages, versions et médias d'un atelier

  Durée

  Tant que l'atelier existe

  Pourquoi

  C'est l'objet même du service

• Le second facteur : le secret TOTP et les dix codes de secours, chiffrés

  Durée

  Tant que le second facteur est actif

  Pourquoi

  Le désactiver efface la ligne entière ; régénérer les codes remplace les dix anciens, qui cessent de valoir

• Une clé d'accès : sa clé publique, son compteur, son nom et le modèle d'authentificateur

  Durée

  Tant que la clé n'est pas révoquée, et jamais au-delà du compte

  Pourquoi

  Une clé publique ne permet pas de se connecter — elle ne sert qu'à vérifier une signature produite par l'appareil, qui garde la clé privée et ne la donne jamais

• La session de connexion

  Durée

  7 jours, prolongés à chaque usage passé 24 heures

  Pourquoi

  Éviter de redemander un mot de passe à chaque page

• Le jeton de vérification d'adresse e-mail

  Durée

  24 heures

  Pourquoi

  Au-delà, un lien intercepté servirait encore

• Le jeton de réinitialisation de mot de passe

  Durée

  1 heure

  Pourquoi

  Le lien le plus sensible du produit, donc le plus court

• Le lien de connexion sans mot de passe

  Durée

  15 minutes

  Pourquoi

  Il vaut un mot de passe le temps qu'il vit

• Le journal d'activité d'un atelier : qui a fait quel geste, et quand

  Durée

  24 mois, puis effacement par la tâche de nuit

  Pourquoi

  Tracer les gestes d'un atelier partagé à plusieurs — savoir qui a publié, retiré un membre ou changé une adresse — et pouvoir le relire après coup ; au-delà de deux ans, plus personne ne pose la question, et la garder serait conserver pour conserver

• Ce que l'offre d'un atelier laisse **voir** de ce journal

  Durée

  30 jours, 12 mois ou 24 mois selon l'offre

  Pourquoi

  Une fenêtre de lecture, et non une durée de conservation : rien n'est supprimé plus tôt, et une offre supérieure montre le reste le jour même — comme l'historique de statistiques (`docs/rules/04-billing.md`)

• Les sauvegardes d'un atelier, chiffrées : son contenu, ses membres, et ses abonnés si le propriétaire les a cochés

  Durée

  14 jours sur l'offre Collectif, 60 jours sur Studio ; aucune sur le gratuit

  Pourquoi

  Un filet a une taille, pas une durée infinie : passé ce délai l'instantané n'a plus de valeur de recours et son stockage se paierait pour rien. Une rétrogradation ne raccourcit pas la vie d'un instantané déjà pris — couper le filet le jour où l'on cesse de payer serait le pire moment (`docs/rules/04-billing.md`)

• L'invitation à rejoindre un atelier

  Durée

  7 jours

  Pourquoi

  Passé ce délai, elle se redemande

• Les statistiques de lecture

  Durée

  Conservées sans limite de durée

  Pourquoi

  Elles ne désignent personne : ni cookie, ni adresse IP conservée, ni identifiant de lecteur — il n'y a donc personne à oublier

• L'abonnement à la Lettre d'un atelier : adresse e-mail, date du consentement, cadence choisie

  Durée

  Tant que l'abonnement dure

  Pourquoi

  Un désabonnement supprime l'adresse de la liste de cet atelier ; la date du consentement est ce qui prouve qu'il a été donné, et elle vit et meurt avec lui

• Le journal des envois : quel article est parti quel jour, à qui, et ce qu'il est devenu

  Durée

  12 mois

  Pourquoi

  Assez pour voir une réputation d'envoi se dégrader sur plusieurs saisons, et assez court pour ne pas garder indéfiniment qui a reçu quoi. Effacé chaque nuit par la tâche de ménage

• Vos notifications : ce qui s'est passé dans vos ateliers, et si vous l'avez lu

  Durée

  6 mois

  Pourquoi

  Moins que le journal des envois, parce qu'un carillon ne se consulte pas rétrospectivement : passé deux mois, l'écran cesse d'ailleurs d'écrire « il y a trois jours » et affiche une date. Effacé chaque nuit par la tâche de ménage, lu ou non

• Un appareil inscrit aux notifications : son adresse d'inscription et ses deux clés de chiffrement

  Durée

  Tant que l'inscription vaut

  Pourquoi

  Elle est retirée dès que vous la retirez, et automatiquement dès que le service de push de votre navigateur la déclare morte — désinstallation, données effacées, permission révoquée. Aucune purge par ancienneté : une inscription vieille de deux ans qui fonctionne encore est une inscription valide

• L'adresse du siège social d'un atelier, et l'image de carte qui en est tirée

  Durée

  Tant que l'atelier l'affiche

  Pourquoi

  Elle est saisie pour être publiée sur la page de contact du site, et l'effacer du formulaire retire la carte et supprime l'image du magasin de fichiers. Les coordonnées sont obtenues une fois chez Geoapify et gardées chez nous : la carte ne se redemande qu'au changement d'adresse

• Une conversation avec un lecteur : son nom, son adresse e-mail, le texte des messages échangés et leurs dates

  Durée

  Tant que l'atelier garde la conversation ; supprimée sur demande

  Pourquoi

  C'est un échange, pas un envoi : le lire suppose de le garder, et y répondre trois semaines plus tard suppose de le retrouver. Clore une conversation ne l'efface pas — elle reste lisible par l'atelier et coupe les chemins de retour. L'effacement se demande à l'adresse de contact, et emporte le fil entier

• L'adresse de réponse d'une conversation : son empreinte, ses dates d'ouverture et de dernier usage

  Durée

  Tant que la conversation existe ; l'empreinte survit à la révocation

  Pourquoi

  L'adresse elle-même n'est jamais stockée — seule son empreinte l'est, comme un mot de passe. La ligne révoquée subsiste pour pouvoir répondre « cette adresse a existé, et elle a été coupée ce jour-là », ce qu'une suppression rendrait impossible

• L'adresse e-mail qu'un membre choisit pour recevoir le courrier d'un atelier

  Durée

  Tant que la personne est membre de cet atelier

  Pourquoi

  Elle est saisie pour ça et pour rien d'autre, elle se retire d'un bouton, et elle disparaît avec l'appartenance — quitter un atelier, c'est cesser d'en recevoir le courrier

• Une mention : l'adresse de la page citante, son titre, son nom d'auteur et le passage autour du lien

  Durée

  Tant que l'atelier existe, et aucune purge automatique

  Pourquoi

  C'est la trace de ce qu'un autre site a publié, et elle n'a de valeur que gardée — une citation d'il y a trois ans compte autant qu'une d'hier. Le lien retiré de la page source fait passer la mention à « disparue » au plus tard trente jours après, sans l'effacer ; l'effacement se demande à l'adresse de contact

• Un commentaire sous un article, publié, en relecture ou masqué : le nom choisi, le texte, sa date, et si son auteur veut être prévenu d'une réponse

  Durée

  Tant que l'atelier le garde ; supprimé sur demande, ou par l'atelier

  Pourquoi

  Il est écrit pour être lu, et une réponse n'a de sens qu'à côté de ce à quoi elle répond. Fermer les commentaires d'un article ou de l'atelier les retire des pages sans les effacer — rouvrir les remontre. L'effacement se demande à l'adresse de contact

• L'adresse d'un lecteur qui réagit ou commente, la date de sa confirmation, et ses réactions

  Durée

  Tant qu'elle porte une réaction ou un commentaire, ou que l'atelier la bloque, puis effacement par la tâche de nuit

  Pourquoi

  Elle prouve que le texte vient de quelqu'un qui a cliqué le lien, et elle porte l'avis de réponse s'il a été demandé. Une réaction se compte sans se nommer : sous l'article, on voit combien, jamais qui. Une adresse qui ne porte plus rien n'a plus de raison d'être gardée

• Une réaction ou un commentaire en attente de confirmation, et le lien envoyé pour les confirmer

  Durée

  7 jours, puis effacement par la tâche de nuit

  Pourquoi

  Le lien vit sept jours ; ce que personne n'a confirmé dans ce délai ne paraîtra jamais, et garder une adresse que personne n'a prouvée, ce serait garder celle de n'importe qui

• L'empreinte de l'adresse IP d'un commentaire ou d'un signalement — jamais l'adresse elle-même —, et ce que le filtre y a relevé : son score et ses signaux

  Durée

  30 jours pour l'empreinte, puis effacement par la tâche de nuit ; le score et les signaux, avec le commentaire

  Pourquoi

  Elle sert à reconnaître une rafale d'envois et à la bloquer ; au-delà d'un mois, une adresse IP a changé de main. L'empreinte est calculée avec une clé secrète, pour qu'on ne puisse pas remonter à l'adresse

• Un commentaire indésirable — publicité, envoi de robot —, qu'il ait été écarté par le filtre ou par l'atelier

  Durée

  30 jours, puis effacement par la tâche de nuit

  Pourquoi

  Le temps pour l'atelier de repêcher une erreur du filtre ; ce qui n'a jamais paru n'a pas de raison d'être gardé plus longtemps

• Un signalement : son motif, ses précisions, et le nom et l'adresse que le lecteur a choisi de laisser

  Durée

  Jusqu'à la décision, puis 12 mois, puis effacement par la tâche de nuit

  Pourquoi

  L'adresse sert à accuser réception et à dire la décision, comme le demande l'article 16 du règlement sur les services numériques. Un an après, la trace de la décision a rempli son office : répondre d'un retrait, ou d'un refus de retirer

• Un blocage automatique : l'empreinte d'une adresse IP ou d'une adresse e-mail, et ses avertissements

  Durée

  24 heures, 7 jours ou 30 jours selon les récidives ; effacé 30 jours après le dernier avertissement

  Pourquoi

  Il ne se déclenche que sur des envois de robot, et ne vise jamais une personne nommée. Un avertissement vieux d'un mois est oublié

• Le blocage d'un lecteur par l'atelier : sa date, son motif, et qui l'a posé

  Durée

  Jusqu'à ce que l'atelier le lève

  Pourquoi

  C'est une décision humaine, notifiée au lecteur avec son motif ; elle ne s'éteint pas d'elle-même, parce qu'elle répond à ce qu'une personne a écrit

• Les factures et les pièces de paiement

  Durée

  10 ans

  Pourquoi

  Obligation comptable française (article L123-22 du code de commerce). Cette durée prime sur une demande d'effacement

• Une invitation à un nom protégé : l'adresse, le nom, la raison écrite

  Durée

  7 jours sans usage ; 1 an après usage

  Pourquoi

  Le ménage de nuit efface une invitation échue ou retirée dès son échéance, et une invitation servie un an après, pour retrouver qui a accordé un nom et pourquoi. À la suppression du compte, l'adresse d'une invitation servie est effacée et celles qui attendaient à son adresse disparaissent

• Un compte supprimé

  Durée

  Anonymisé immédiatement

  Pourquoi

  Nom, adresse, avatar, biographie et pseudonyme sont effacés à la seconde, les sessions et connexions tierces supprimées. La ligne technique subsiste sans aucune donnée personnelle, parce qu'un article garde un auteur

• Un atelier fermé

  Durée

  Retiré de toute page publique immédiatement

  Pourquoi

  Les enregistrements restent marqués supprimés en base ; leur effacement définitif se demande à l'adresse de contact, aucune tâche automatique ne le fait aujourd'hui

• Les compteurs de la limite de débit : une adresse IP ou un identifiant de compte, et un nombre de passages

  Durée

  2 heures

  Pourquoi

  Le temps de compter, et pas plus : une fenêtre dure une heure au plus, et chaque compteur s'efface seul deux heures après son premier passage

• Une semaine signalée par la détection d'abus : les comptes d'usage de l'IA d'un membre — crédits, appels, brouillons supprimés, mots — et le résumé qu'en a fait un modèle, s'il a été demandé

  Durée

  12 mois après la fin de la semaine, puis effacement par la tâche de nuit, que le dossier soit clos ou non ; une semaine sans alerte ne laisse aucune ligne

  Pourquoi

  Revenir sur une décision contestée, et voir qu'un même compte recommence. Jamais un texte : la détection ne lit que des nombres

• Les journaux de l'hébergeur : erreurs de l'application, comptes rendus des tâches de fond, et les requêtes servies, avec leur adresse IP

  Durée

  1 jour — ** à confirmer **

  Pourquoi

  Diagnostiquer une panne ; au-delà, un journal ne sert plus qu'à surveiller. Nous ne les exportons nulle part : ils ne vivent que chez l'hébergeur

Vos droits, et où les exercer

Un droit qu'on mentionne sans dire où l'exercer n'est pas un droit. Voici les écrans, chacun par son nom et par le lien qui y mène.

• Reprendre vos données : Sécurité exporte votre compte ; l'écran Données d'un atelier, dans ses réglages, exporte l'intégralité de son contenu en Markdown et JSON. Les deux sont disponibles dès l'offre gratuite.
• Corriger vos données : Profil pour votre identité, Sécurité pour votre adresse e-mail et votre mot de passe.
• Faire effacer votre compte : Sécurité. Nom, adresse, avatar, biographie et pseudonyme sont effacés immédiatement, vos sessions et vos connexions tierces supprimées.
• Vous opposer à la rédaction assistée : Rédaction assistée la désactive pour tout le compte.
• Écrire à contact@typoza.com pour toute demande que ces écrans ne couvrent pas, notamment l'effacement définitif des enregistrements d'un atelier fermé.

Si une réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés, à l'adresse cnil.fr.

Les changements de cette page

La date affichée en tête est calculée à partir de notre liste de sous-traitants : elle ne peut pas être oubliée, parce que personne ne la saisit. Une modification de fond est annoncée dans le journal des versions du produit avant d'entrer en vigueur.