Confidentialité

Le principe

Typoza est un outil d'écriture. Il collecte ce qu'il faut pour ouvrir un compte, publier un site et le facturer — rien de plus, et rien qui serve à autre chose.

• Aucune revente de données, à personne, sous aucune forme.
• Aucun cookie de mesure sur le site public d'un atelier.
• Aucun entraînement de modèle d'intelligence artificielle sur vos textes.
• Aucun accès de notre part au contenu de vos brouillons, sauf réquisition légale.

Ce que nous collectons

Quatre familles, et il n'y en a pas de cinquième.

• Votre compte : nom, adresse e-mail, mot de passe haché — jamais lisible, y compris par nous. Si vous vous connectez avec GitHub, le nom public, l'adresse e-mail et l'adresse de l'avatar que GitHub nous transmet.
• Ce que vous écrivez : articles, pages, brouillons, versions successives, images et fichiers téléversés, réglages de l'atelier.
• Ce qui est facturé : adresse de facturation, pays, historique des abonnements. Vos coordonnées bancaires sont saisies chez Stripe et ne nous parviennent jamais.
• Les abonnés à la Lettre de votre atelier : leur adresse e-mail, la date à laquelle ils ont confirmé, la cadence qu'ils ont choisie. Ces adresses sont les vôtres, pas les nôtres — nous les hébergeons pour vous, et la section suivante dit exactement ce qui leur arrive.

La Lettre, et ce qui arrive à ses abonnés

Un atelier peut proposer une Lettre à ses lecteurs. Les personnes qui s'y abonnent ne sont pas nos clients : elles sont celles de l'atelier, et nous ne faisons qu'exécuter ce que l'atelier demande. Nous ne leur écrivons jamais de notre propre initiative, et nous ne réutilisons leurs adresses pour rien — ni pour une autre Lettre, ni pour Typoza.

• Rien ne part sans un double accord : une adresse qui vient d'être saisie ne reçoit qu'un message, celui qui demande de confirmer. Tant que ce lien n'est pas cliqué, elle ne reçoit rien d'autre, jamais.
• Chaque envoi part par Resend, notre prestataire d'envoi, qui reçoit l'adresse du destinataire et le contenu du message : les titres, extraits et liens des articles concernés.
• Resend nous renvoie ce que le message est devenu : remis, rejeté par le serveur du destinataire, retardé, ou signalé comme indésirable. Une adresse définitivement rejetée ou qui nous signale sort des envois suivants sans que personne n'ait à intervenir.
• Nous ne mesurons pas les ouvertures. Le faire demanderait une image invisible dans chaque message, qui dirait à l'expéditeur quand vous l'avez ouvert et depuis quelle adresse IP. Nous mesurons les visites sans cookie ; ouvrir cette porte-là par le courrier serait nous contredire.
• Chaque envoi porte, dans son pied et dans ses en-têtes, de quoi régler sa cadence, se mettre en pause ou partir. Le bouton de désabonnement de votre logiciel de courrier fonctionne, et il fonctionne en un clic.
• Le journal d'un envoi — quel article est parti quel jour, à qui, et ce qu'il est devenu — est effacé au bout de douze mois par une tâche qui tourne chaque nuit.

L'annuaire, et rien d'autre de public

Typoza publie un annuaire des ateliers sur sa vitrine. On n'y figure que si on l'a demandé : c'est une case à cocher dans les réglages de l'atelier, décochée par défaut, et la décocher retire l'atelier immédiatement — pas au prochain passage d'un robot.

• Ce qui y paraît : le nom de l'atelier, sa description, l'adresse de son site public et le nombre d'articles publiés. Rien de votre compte, jamais votre adresse e-mail.
• Un atelier qui n'a publié aucun article n'y figure pas, même inscrit.
• Aucune mise en avant payante, aucun classement par audience : l'ordre est celui des inscriptions.
• Aucun autre écran de Typoza ne publie quoi que ce soit vous concernant sans votre geste.

La mesure d'audience, et sa frontière

Cette section est la plus importante pour qui nous confie un site, alors elle est la plus précise. Deux mesures existent, elles ne portent pas sur les mêmes pages, et la frontière entre les deux est une décision de conception, pas un réglage.

Sur le site public d'un atelier, la mesure est la nôtre et elle seule : un petit script compte les pages vues sans déposer de cookie, sans conserver d'adresse IP et sans construire d'identifiant de lecteur. Aucun outil tiers n'y est chargé. Vos lecteurs ne sont donc jamais mesurés par une société extérieure, et vous n'avez pas à leur demander un consentement pour une mesure que nous ne faisons pas.

Sur le site de Typoza et dans l'application — c'est-à-dire chez nous, pas chez vous — nous utilisons Vercel Analytics et Vercel Speed Insights. Ni l'un ni l'autre ne dépose de cookie. Voici exactement ce qu'ils relèvent, relevé chez Vercel et non résumé.

• Vercel Analytics : horodatage, URL et chemin de la page, référent, paramètres de requête filtrés, pays, région et ville, système et version, navigateur et version, type d'appareil, version du script. Le visiteur est identifié par un hachage de la requête entrante, jeté au bout de vingt-quatre heures.
• Vercel Speed Insights : route et URL, débit réseau déclaré par le navigateur, navigateur, type d'appareil, système, pays sur deux lettres, la mesure de performance et le sélecteur de l'élément qu'elle désigne. Ni cookie, ni reconstruction de session.
• Les deux envoient leurs relevés à une adresse de notre propre domaine, jamais à un domaine tiers.

La rédaction assistée

Quand vous demandez une reformulation, le fragment de texte concerné et le contexte que l'éditeur y joint sont envoyés à Anthropic, qui répond. Aucun identifiant de compte, aucun nom et aucune adresse e-mail ne partent avec.

Les conditions commerciales d'Anthropic prévoient qu'il n'entraîne pas ses modèles sur le contenu de ses clients. Nous vérifions cette clause à chaque changement de fournisseur ou de contrat, et nous le réécrirons ici si elle change — c'est une règle de travail inscrite dans notre documentation interne, pas une intention.

La fonction se désactive pour un compte entier depuis l'écran /account/ai. Désactivée, plus rien ne part.

Les contenus intégrés

Quand vous collez l'adresse d'une vidéo ou d'un message public dans un article, notre serveur va chercher l'aperçu chez le service concerné, et le lecteur de l'article charge ensuite le contenu depuis ce service. Celui-ci voit donc l'adresse IP de votre lecteur et peut poser ses propres cookies.

Ces services ne figurent pas dans notre liste de sous-traitants, et l'omission est volontaire : ce n'est pas nous qui les choisissons, c'est vous, article par article. Nous ne pouvons pas tenir une liste de ce que nous ne décidons pas — mais vous pouvez, en n'intégrant que ce que vous assumez.

À qui nous transmettons

La liste complète, avec pour chacun ce qui lui est transmis, où il héberge et sur quelle base légale, est publiée sur la page /subprocessors. Elle est tenue au même endroit que le code : une société qui s'y ajoute sans être déclarée fait échouer notre intégration continue, et la version qui la contient ne part pas en production.

Combien de temps nous gardons

Des durées chiffrées, y compris quand la réponse honnête est qu'aucune purge automatique n'existe.

• Le compte : nom, adresse e-mail, mot de passe haché

  Durée

  Tant que le compte existe

  Pourquoi

  Exécution du contrat — sans eux, il n'y a pas de connexion possible

• Les textes, pages, versions et médias d'un atelier

  Durée

  Tant que l'atelier existe

  Pourquoi

  C'est l'objet même du service

• Le second facteur : le secret TOTP et les dix codes de secours, chiffrés

  Durée

  Tant que le second facteur est actif

  Pourquoi

  Le désactiver efface la ligne entière ; régénérer les codes remplace les dix anciens, qui cessent de valoir

• Une clé d'accès : sa clé publique, son compteur, son nom et le modèle d'authentificateur

  Durée

  Tant que la clé n'est pas révoquée, et jamais au-delà du compte

  Pourquoi

  Une clé publique ne permet pas de se connecter — elle ne sert qu'à vérifier une signature produite par l'appareil, qui garde la clé privée et ne la donne jamais

• La session de connexion

  Durée

  7 jours, prolongés à chaque usage passé 24 heures

  Pourquoi

  Éviter de redemander un mot de passe à chaque page

• Le jeton de vérification d'adresse e-mail

  Durée

  24 heures

  Pourquoi

  Au-delà, un lien intercepté servirait encore

• Le jeton de réinitialisation de mot de passe

  Durée

  1 heure

  Pourquoi

  Le lien le plus sensible du produit, donc le plus court

• Le lien de connexion sans mot de passe

  Durée

  15 minutes

  Pourquoi

  Il vaut un mot de passe le temps qu'il vit

• L'invitation à rejoindre un atelier

  Durée

  7 jours

  Pourquoi

  Passé ce délai, elle se redemande

• Les statistiques de lecture

  Durée

  Conservées sans limite de durée

  Pourquoi

  Elles ne désignent personne : ni cookie, ni adresse IP conservée, ni identifiant de lecteur — il n'y a donc personne à oublier

• L'abonnement à la Lettre d'un atelier : adresse e-mail, date du consentement, cadence choisie

  Durée

  Tant que l'abonnement dure

  Pourquoi

  Un désabonnement supprime l'adresse de la liste de cet atelier ; la date du consentement est ce qui prouve qu'il a été donné, et elle vit et meurt avec lui

• Le journal des envois : quel article est parti quel jour, à qui, et ce qu'il est devenu

  Durée

  12 mois

  Pourquoi

  Assez pour voir une réputation d'envoi se dégrader sur plusieurs saisons, et assez court pour ne pas garder indéfiniment qui a reçu quoi. Effacé chaque nuit par la tâche de ménage

• Les factures et les pièces de paiement

  Durée

  10 ans

  Pourquoi

  Obligation comptable française (article L123-22 du code de commerce). Cette durée prime sur une demande d'effacement

• Un compte supprimé

  Durée

  Anonymisé immédiatement

  Pourquoi

  Nom, adresse, avatar, biographie et pseudonyme sont effacés à la seconde, les sessions et connexions tierces supprimées. La ligne technique subsiste sans aucune donnée personnelle, parce qu'un article garde un auteur

• Un atelier fermé

  Durée

  Retiré de toute page publique immédiatement

  Pourquoi

  Les enregistrements restent marqués supprimés en base ; leur effacement définitif se demande à l'adresse de contact, aucune tâche automatique ne le fait aujourd'hui

• Les journaux d'accès du serveur

  Durée

  Durée fixée par Vercel, notre hébergeur

  Pourquoi

  Nous ne les conservons pas nous-mêmes ; sa politique de confidentialité en répond

Vos droits, et où les exercer

Un droit qu'on mentionne sans dire où l'exercer n'est pas un droit. Voici les écrans, par leur adresse exacte.

• Reprendre vos données : /account/security exporte votre compte ; l'écran Données d'un atelier, à l'adresse /<atelier>/settings/data, exporte l'intégralité de son contenu en Markdown et JSON. Les deux sont disponibles dès l'offre gratuite.
• Corriger vos données : /account/profile pour votre identité, /account/security pour votre adresse e-mail et votre mot de passe.
• Faire effacer votre compte : /account/delete. Nom, adresse, avatar, biographie et pseudonyme sont effacés immédiatement, vos sessions et vos connexions tierces supprimées.
• Vous opposer à la rédaction assistée : /account/ai la désactive pour tout le compte.
• Écrire à hi@typoza.com pour toute demande que ces écrans ne couvrent pas, notamment l'effacement définitif des enregistrements d'un atelier fermé.

Si une réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés, à l'adresse cnil.fr.

Les changements de cette page

La date affichée en tête est calculée à partir de notre liste de sous-traitants : elle ne peut pas être oubliée, parce que personne ne la saisit. Une modification de fond est annoncée dans le journal des versions du produit avant d'entrer en vigueur.