Politique de confidentialité

Responsable du traitement

Le responsable du traitement des données décrites ici est À compléter, que vous pouvez joindre à À compléter.

Ce que nous conservons de votre compte

Votre adresse email, une empreinte de votre mot de passe (jamais le mot de passe lui-même), le nom affiché que vous choisissez, le statut de votre compte, et ses dates de création et de dernière modification. Si vous vous connectez avec Google, s'y ajoutent l'identifiant Google de votre compte ainsi que le nom et l'image de profil que Google nous transmet.

La synchronisation

Elle est facultative, demande un compte, et s'active appareil par appareil, depuis l'application. Une fois activée, l'application envoie à notre serveur le contenu de vos livres : leurs fiches, scènes, chapitres et textes, l'historique des modifications de ces textes, et — sauf si vous le désactivez — leurs images, enregistrements et fichiers joints. Elle ne se fait que lorsque l'application est ouverte, jamais en arrière-plan. De chaque appareil rattaché, nous conservons le nom que lui donne son système (souvent le modèle du téléphone), sa plateforme, et les dates de son rattachement et de sa dernière synchronisation — pas son adresse IP.

Qui peut lire vos livres synchronisés

Ils ne sont pas chiffrés de bout en bout : ils sont stockés tels quels sur notre serveur, et les personnes qui l'administrent pourraient techniquement y accéder. Le serveur, lui, ne les analyse pas : il les range, mesure la place qu'ils occupent et les redistribue à vos appareils. Le signal qui prévient vos appareils qu'il y a du nouveau ne porte qu'un numéro, jamais un texte.

Ce que nous ne conservons pas

Rien de vos livres tant que la synchronisation n'est pas activée : ils vivent alors dans la base de données locale de l'application, et seulement là. Supprimer votre compte n'y touche pas — mais perdre votre téléphone, si : l'export intégré à l'application reste votre sauvegarde. Nous ne rattachons pas non plus d'adresse IP à vos appareils ni à ce que vous synchronisez.

À quoi elles servent

À vous authentifier, à vous permettre de retrouver votre compte et, si vous l'avez activée, à synchroniser vos livres entre vos appareils, et, si vous nous envoyez un rapport de plantage, à corriger l'application. À rien d'autre : aucun profilage, aucune publicité, aucune revente.

Connexion avec Google

Si vous utilisez « Continuer avec Google », Google nous transmet votre adresse email, un identifiant stable, et éventuellement votre nom et votre photo de profil. Nous ne recevons jamais votre mot de passe Google. Ce traitement relève aussi de la politique de confidentialité de Google.

Les emails que nous vous envoyons

Nous tenons un journal des emails que nous vous envoyons : leur type (confirmation d'adresse, réinitialisation du mot de passe, avis d'abonnement), l'adresse et la date d'envoi, et ce que Brevo, notre prestataire d'envoi, nous en rapporte — remis, reporté, refusé par votre messagerie avec la raison qu'elle donne, ou signalé comme indésirable. Il sert à une seule chose : savoir si un email vous est parvenu quand vous nous dites ne pas l'avoir reçu. Nous n'enregistrons ni si vous ouvrez ces emails, ni si vous cliquez sur leurs liens.

Les rapports de plantage

Quand l'application se ferme brusquement, elle vous propose au lancement suivant de nous envoyer ce qui s'est passé, et vous montre le rapport avant qu'il parte. Il contient le type de l'erreur et l'endroit du code où elle s'est produite, la version de l'application et du système, le modèle de l'appareil, la langue de l'interface, si la synchronisation est activée et l'écran ouvert — sans ce que vous avez écrit : l'application retire des messages d'erreur les textes qu'ils citent. S'y ajoute ce que vous choisissez d'y joindre : un commentaire, et votre compte si vous cochez la case prévue. Sans elle, le rapport est anonyme. Une seule exception : si l'application se ferme deux fois de suite dès son ouverture, elle envoie sans demander un rapport réduit, sans message d'erreur, sans écran ni commentaire. Vous pouvez désactiver tout envoi dans ses paramètres.

Données techniques

Pour limiter les tentatives de connexion abusives, nous comptons temporairement les requêtes par adresse IP et, pour la connexion, par condensé de l'adresse email visée — l'adresse en clair ne figure pas dans ces compteurs. Ils vivent en mémoire et expirent au bout de quelques minutes à une heure. Les journaux du serveur enregistrent les erreurs, sans le contenu des requêtes.

L'achat de la version bureau

La version pour ordinateur se vend dans les boutiques d'applications — Microsoft Store, Mac App Store — et c'est la boutique qui encaisse : nous ne voyons ni votre moyen de paiement, ni votre adresse de facturation, ni votre nom chez elle. Pour ouvrir le logiciel, l'application nous présente la preuve d'achat que la boutique lui a remise ; nous demandons à la boutique si elle est valable, et nous conservons de sa réponse l'identifiant de l'achat chez elle, ce qui a été acheté (essai ou licence), la date, et s'il est toujours acquis. Chez Microsoft, nous gardons en plus la clé d'identité que l'application nous a transmise, uniquement pour pouvoir redemander plus tard si l'achat a été remboursé — cette boutique ne nous en avertit pas.

L'empreinte de votre ordinateur

Une licence ouvre trois ordinateurs. Pour les compter, l'application calcule une empreinte de la machine — un condensé de son identifiant système et d'un sel propre à Tellustory — et c'est cette empreinte qui nous est envoyée : nous ne recevons jamais l'identifiant lui-même, et l'empreinte ne permet de reconnaître votre ordinateur que pour ce logiciel-ci. Elle n'est associée à votre compte que si vous en avez un ; sinon, elle est associée à l'achat. Vous pouvez libérer une machine depuis « Appareils ».

Durées de conservation

Les données de compte sont conservées tant que le compte existe, et ce que vous synchronisez aussi. Un texte modifié remplace le précédent sur le serveur, mais son historique n'y est pas élagué : l'application n'en garde que vingt états par champ, le serveur garde chaque état qu'elle lui a envoyé. Supprimer un livre en efface du serveur le contenu entier — textes, fiches, images et fichiers — dans la nuit qui suit. Supprimer un élément à l'intérieur d'un livre — une fiche, une scène — y est enregistré pour que vos autres appareils le reproduisent, mais les textes et informations qui lui étaient rattachés ne sont pas encore effacés du serveur : ils y restent jusqu'à la suppression de votre compte. Les jetons de connexion expirent au bout de 30 jours et sont effacés avec le compte. Le journal des emails envoyés est effacé au bout de 90 jours, et tout de suite avec le compte. Les rapports de plantage sont effacés au bout de 90 jours, et ceux que vous avez rattachés à votre compte tout de suite avec lui. La preuve d'un achat et l'empreinte d'un ordinateur sont conservées tant que l'achat existe chez la boutique : supprimer votre compte détache l'achat du compte et n'efface pas la preuve qu'une machine a été payée, parce que la licence appartient à l'achat. Les compteurs techniques expirent d'eux-mêmes. Enfin, la base de données est sauvegardée chaque nuit et les trois dernières sauvegardes sont gardées : ce qui y est effacé peut y subsister trois jours.

Vos droits

Vous pouvez consulter et corriger vos informations depuis « Mon compte », sur ce site, et y supprimer votre compte : la suppression est immédiate et définitive, et elle efface de notre serveur tout ce que vous y aviez synchronisé — vos livres restent sur vos appareils. Elle laisse en revanche la preuve d'un achat de la version bureau, détachée de votre compte : sans elle, le logiciel que vous avez payé cesserait de s'ouvrir. Pour toute autre demande, écrivez-nous à l'adresse indiquée dans les mentions légales.

Partage

Vos données sont hébergées sur notre propre serveur, chez l'hébergeur indiqué dans les mentions légales, et nous ne les transmettons qu'à deux prestataires. Les emails que nous vous envoyons — confirmation d'adresse, réinitialisation du mot de passe, avis d'abonnement — passent par Brevo, qui reçoit pour cela votre adresse email et le contenu du message. Et pour vérifier un achat de la version bureau, nous présentons à la boutique concernée — Microsoft ou Apple — la preuve que son application nous a remise : elle ne reçoit rien de nous que ce qu'elle a elle-même émis, ni votre adresse email, ni rien de vos livres. Ce que ces boutiques font de vos données d'achat relève de leur propre politique de confidentialité.