Politique de confidentialité

Ce que SafeOrNah garde, pourquoi et combien de temps. Ton fichier reste sur ton appareil, seule son empreinte part vers les services d'analyse.

En bref

SafeOrNah vérifie des liens et des fichiers pour te dire s'ils sont sûrs.

Ton fichier reste sur ton appareil, sauf si tu choisis de l'envoyer à VirusTotal. Seule son empreinte part vers les services d'analyse. On garde le minimum pour faire tourner le service, c'est-à-dire ton compte (via Google, Apple, Microsoft ou GitHub), tes analyses, tes avis et tes préférences.

Zéro pub, zéro vente de données, zéro pisteur d'un autre site. On compte nos visites nous-mêmes, sans cookie et sans identifiant, et tu peux couper ce comptage.

Données collectées

Si tu as un compte, connecté avec Google, Apple, Microsoft ou GitHub :

ton nom, ton adresse e-mail (quand le fournisseur la confirme, ou l'adresse relais si tu la masques avec Apple), ta photo de profil, l'identifiant et le pseudo de ton compte Google, Apple, Microsoft ou GitHub ;
la photo que tu envoies, ou celle de ton compte Microsoft, redessinée en petit format sans ses métadonnées (lieu, appareil) ;
la date de création de ton compte GitHub, pour savoir quand tes votes comptent dans le score ;
l'identifiant d'un compte que tu as délié, pour qu'il ne puisse pas se reconnecter tout seul à ton compte ;
ta langue, ton thème et tes préférences (e-mail de fin d'analyse, avis de l'IA, nom affiché sur tes avis, statistiques anonymes) ;
ton historique, c'est-à-dire les liens et les empreintes que tu as analysés, avec le nom, la taille et le type de tes fichiers et ce que ton navigateur y a trouvé ;
la date et le type de chacune de tes analyses et de tes demandes d'avis de l'IA, pour tes limites du jour et la page Mon utilisation ;
tes avis (Sûr ou Nah, et ton commentaire), tes votes « Utile », tes signalements, tes idées, tes votes et tes commentaires dans les suggestions, tes réponses à « Cet article t'a été utile ? » et « Cet avis t'a été utile ? » ;
ta licence d'équipe et tes crédits bonus, si tu en as ;
les clés d'appareil que tu crées pour le Raccourci iPhone ou que reçoivent les extensions de navigateur quand tu les connectes, avec leur nom, l'app ou le navigateur qu'elles servent, le code d'installation d'une extension, leur date de création et leur dernière utilisation, la clé elle-même n'étant gardée que sous forme d'empreinte ;
les limites que l'équipe a pu fixer pour ton compte et, s'il est suspendu, la date et la raison de la suspension et qui l'a décidée.

Les administrateurs voient sur la page de ton compte tes analyses, ton historique, tes avis, tes idées, tes commentaires, tes signalements, tes demandes d'avis de l'IA et tes conversations avec l'équipe, mais jamais le nom de tes fichiers ni ce que ton navigateur y a trouvé. Ils voient aussi ton adresse e-mail, tes comptes liés, ta licence, tes crédits, tes limites et le détail d'une suspension.

Les modérateurs voient ton nom, ta photo de profil, ton rôle, ta date d'inscription, si ton compte est suspendu, le nombre de tes avis et celui des signalements reçus. De ton activité, ils ne voient que tes avis, tes idées, tes commentaires et tes signalements. Ils ne voient ni ton adresse e-mail, ni ta licence, ni tes crédits, ni tes limites, ni le nombre de tes analyses et de tes votes, ni la raison d'une suspension.

Si tu utilises une licence d'équipe, son responsable voit ton nom (ton prénom et l'initiale de ton nom), ton adresse e-mail, ta photo de profil, ta limite d'analyses par jour, ta date d'activation, le nombre de tes analyses sur 30 jours et la date de la dernière, en comptant seulement depuis l'activation. Il ne voit jamais ce que tu as analysé.

On ne reçoit jamais ton mot de passe. Le jeton que Google, Apple, Microsoft ou GitHub nous donne à la connexion sert seulement à lire ton profil et, pour Microsoft, à copier ta photo. Il n'est pas enregistré. D'un compte Microsoft professionnel ou scolaire, on ne reprend pas l'adresse e-mail, car son organisation peut la choisir librement.

Pour tout le monde, avec ou sans compte :

ta session, enregistrée avec ton adresse IP et le nom de ton navigateur ;
des compteurs de requêtes, liés à ton compte ou à ton adresse IP, pour bloquer les abus ;
des statistiques de visite anonymes, détaillées dans la partie « Cookies et mesure d'audience » ;
sans compte, le nom, la taille et le type du fichier que tu analyses et ce que ton navigateur y a trouvé, gardés dans ta session ;
sans compte, un code calculé à partir de ton adresse IP avec une clé secrète (HMAC-SHA256), gardé avec chacune de tes analyses pour compter ta limite, et avec tes réponses à « Cet article t'a été utile ? ». L'adresse elle-même n'est pas gardée. Sur un article, le code dépend aussi de l'article, si bien que deux réponses ne peuvent pas être reliées entre elles ni à tes analyses. En IPv6, le code ne prend que les 64 premiers bits de l'adresse.

Si tu nous écris avec le formulaire de contact, on collecte ton nom, ton adresse e-mail, le sujet, ton message, le lien d'une analyse si tu en donnes un, et ton compte si tu es connecté avec cette même adresse. Tes réponses et celles de l'équipe restent dans la même conversation, avec leur date.

Si l'équipe t'écrit la première, elle peut le faire à n'importe quelle adresse. On garde alors cette adresse, le nom que l'équipe a indiqué, le titre et les messages, aussi longtemps que pour une autre conversation. La conversation est reliée à ton compte si cette adresse est l'adresse vérifiée d'un compte.

Si tu nous écris par e-mail, à contact@safeornah.app ou en répondant à un de nos e-mails, on garde aussi ton adresse, le nom affiché par ta messagerie, l'objet, le texte et le résultat des contrôles SPF, DKIM et DMARC. On ne garde ni n'ouvre jamais tes pièces jointes, seul leur nombre est noté. Un premier e-mail est gardé en entier, avec ce que tu y as transféré ou collé. Quand tu réponds à un de nos e-mails, on retire ce qui est cité, et le message indique si une autre partie du texte n'a pas été gardée.

Si tu t'abonnes aux incidents ou au blog, depuis la page Statut, le blog ou tes paramètres, on collecte ton adresse e-mail, ta langue, tes choix (niveau des alertes, types d'articles) et la date de ton accord pour le blog. Si une adresse revient en erreur de façon définitive ou signale nos e-mails comme spam, on note cette date. On arrête alors de lui envoyer les incidents et les articles, et l'e-mail de fin d'analyse si elle appartient à un compte. Notre service d'envoi garde aussi sa propre liste d'adresses bloquées, et il peut refuser nos autres e-mails vers elle, comme une réponse de l'équipe.

Fichiers analysés

Ton fichier ne quitte jamais ton appareil. Ton navigateur calcule son empreinte SHA-256, puis fait quelques vérifications sur place, par exemple les macros d'un document, le JavaScript dans un PDF, une archive chiffrée ou la signature d'un programme.

Il nous envoie seulement l'empreinte, la taille, le type détecté, le type annoncé par ton navigateur, le résultat de ces vérifications et le nom du fichier. Seule l'empreinte part vers les services d'analyse.

Tout ça, sauf l'empreinte, reste privé. C'est gardé dans ton historique si tu es connecté, sinon dans ta session, et remplacé si tu soumets à nouveau le fichier. Ce n'est jamais envoyé aux services ni à l'IA, ça n'apparaît pas sur la fiche publique et ça ne change pas le score. La taille et le type que tout le monde voit viennent seulement des services. Les alertes « fichier déguisé » sont calculées dans ton navigateur.

Il y a une seule exception, à ta demande. Si VirusTotal ne connaît pas un fichier, un compte connecté peut choisir de le lui envoyer (32 Mo au plus). Le fichier passe par notre serveur sans y être gardé, sous le nom de son empreinte. Il devient alors visible par les clients payants de VirusTotal, donc n'envoie jamais un document personnel.

Liens analysés

Pour un lien, on garde son adresse nettoyée, sans identifiant ni mot de passe, sans la partie après « # » et sans les paramètres de suivi publicitaire (utm_*, fbclid, gclid…). Les autres paramètres restent.

Sur une plateforme partagée (GitHub, Google Drive, Dropbox…), la fiche correspond au contenu et pas à l'adresse exacte. L'adresse complète que tu as soumise est gardée au plus deux jours après l'analyse, pour pouvoir interroger à nouveau un service qui n'a pas répondu, puis effacée. Elle n'apparaît jamais sur la fiche et personne d'autre ne peut la voir.

On cherche les adresses IP du domaine, pour vérifier qu'il mène à un serveur public, puis l'adresse du lien part vers les services compatibles. Notre application n'ouvre pas la page elle-même. Elle est ouverte par VirusTotal (s'il ne la connaît pas encore et que l'analyse vient d'un compte), par URLScan.io, par ScanMalware et par l'outil de l'IA, qui la récupère depuis notre serveur. Le site analysé peut voir ces visites.

Une adresse peut contenir des données personnelles, comme un lien de réinitialisation de mot de passe, un lien de partage privé ou un jeton d'accès. Elle est transmise telle quelle aux services et affichée sur la fiche, que toute personne qui a son adresse peut ouvrir. N'analyse pas un lien privé.

Extension de navigateur

L'extension SafeOrNah pour Chrome et Firefox a sa propre politique de confidentialité. Les sites que tu visites ne quittent jamais ton navigateur. Seule une analyse que tu lances envoie un lien, avec la clé d'appareil de l'extension, et suit alors cette politique.

Services tiers

Chaque analyse interroge des services de sécurité indépendants, qui appliquent leur propre politique de confidentialité. Ce qu'on leur envoie concerne le lien ou le fichier, jamais ton compte.

VirusTotal (Google) reçoit l'empreinte d'un fichier, et l'adresse et le domaine d'un lien. Une adresse qu'il ne connaît pas lui est soumise quand l'analyse vient d'un compte, sauf sur une plateforme partagée (GitHub, Google Drive…). Celle d'un visiteur sans compte ne lui est jamais soumise. Une fois soumise, elle rejoint sa base, visible par ses clients payants. Sa politique
Google Safe Browsing reçoit l'adresse d'un lien, vérifiée à nouveau à l'ouverture de la fiche ou quand un appareil renvoie ce lien, au plus une fois par demi-heure, ou dès qu'un de ses avertissements expire. Sa politique
URLhaus, MalwareBazaar et ThreatFox (abuse.ch) reçoivent l'empreinte d'un fichier, et l'adresse, le domaine et le nom d'hôte d'un lien. Leur politique
AlienVault OTX (LevelBlue) reçoit l'empreinte d'un fichier, et l'adresse et le domaine d'un lien. Sa politique
CIRCL hashlookup reçoit l'empreinte d'un fichier. Il compte les empreintes demandées et publie les plus fréquentes. Sa politique
MalShare reçoit l'empreinte d'un fichier. Ses conditions
URLScan.io reçoit l'adresse d'un lien. Il ouvre la page dans son navigateur, en analyse privée, et nous renvoie une capture d'écran, gardée dans notre stockage et affichée sur la fiche. Sa politique
ScanMalware reçoit l'adresse d'un lien, seulement quand ce service est activé, et sa carte apparaît alors dans les résultats. Il ouvre la page en analyse non listée, visible par toute personne qui a le lien de l'analyse, et envoie l'adresse et le texte de la page à un service d'IA situé en Chine. Sa politique
AbuseIPDB et IPWhois.net reçoivent l'adresse IP du serveur du site analysé, jamais la tienne. Politique d'AbuseIPDB, politique d'IPWhois.net
PhishTank (Cisco Talos) ne reçoit rien, car on télécharge sa liste quatre fois par jour et la comparaison se fait chez nous.
Les listes de blocage publiques d'uBlock Origin et de HaGeZi ne reçoivent rien non plus : on les télécharge toutes les quatre heures depuis leurs sources officielles, et la comparaison se fait chez nous.
Les registres des noms de domaine (RDAP) reçoivent le nom de domaine d'un site, pour donner sa date de création.

Plusieurs de ces services sont situés hors de Suisse et de l'Union européenne, notamment aux États-Unis.

Le site, sa base de données et ses fichiers sont hébergés chez Laravel Cloud (Frankfurt, EU).

Pour repérer les pannes et les lenteurs, on utilise Laravel Nightwatch, de Laravel Holdings (États-Unis). Pour une partie des pages et des tâches, et pour chaque erreur, il reçoit le modèle de l'adresse sans l'identifiant de la fiche ni les paramètres, les durées et le code de réponse, les requêtes envoyées à la base sans leurs valeurs, le nom des tâches et le type des e-mails, le message de l'erreur nettoyé avec un extrait de notre code et, si tu es connecté, le numéro interne de ton compte. Il ne reçoit ni ton adresse IP, ni ton nom, ni ton adresse e-mail, ni le nom de tes fichiers, ni les liens que tu analyses, ni le contenu de tes messages. Ces données sont hébergées dans l'Union européenne et gardées 90 jours au plus. Sa politique

Avis de l'IA

L'avis de l'IA est écrit par Mistral Large, de Mistral AI (France). Notre serveur appelle directement son API.

L'IA reçoit l'adresse ou l'empreinte analysée, le domaine et ses adresses IP, la date de création du domaine, la taille et le type du fichier quand un service les donne, les noms publics que lui donnent les services et les résultats des services. Elle ne reçoit jamais le nom de ton fichier, ni ce que ton navigateur y a trouvé, ni rien de ton compte.

Pour enquêter sur un lien, notre serveur ouvre la page analysée et lit la fiche d'enregistrement du domaine auprès de son registre. Il consulte aussi les dépôts publics de GitHub quand le lien y mène, et l'IA peut lui demander de le faire pour un fichier. Le titre, le texte et les formulaires de la page, ainsi que les résultats de ces recherches, partent alors chez Mistral.

Pour chercher des signalements en ligne, notre serveur envoie à l'API de recherche de Brave Software (États-Unis) le domaine du lien, ou l'empreinte d'un fichier déjà connu des services. Elle ne reçoit jamais le lien complet, le nom de ton fichier, ni rien de ton compte. Les résultats partent chez Mistral pour l'enquête, et l'avis publié ne garde aucun lien vers eux. D'après sa politique de confidentialité, Brave garde les requêtes 90 jours au plus. Politique de confidentialité de Brave

Notre serveur ne garde pas ces échanges, seulement l'avis publié sur la fiche. D'après sa politique de confidentialité, Mistral AI garde chaque demande et sa réponse pendant 30 jours pour surveiller les abus.

La même IA traduit chaque avis une seule fois, dès qu'il est écrit, dans les autres langues du site. Au besoin, elle traduit aussi les textes écrits par l'équipe, c'est-à-dire les incidents, la bannière, le message de maintenance, les articles du blog, les descriptions des partenaires et les notes de l'équipe sur les fiches. Elle fait de même pour le titre et la description des idées publiées dans les suggestions, sans le nom de leur auteur. Les commentaires et les avis de la communauté ne lui sont pas envoyés pour être traduits. Politique de confidentialité de Mistral AI

Ce qui est public

Une fiche d'analyse est publique. Toute personne qui a son adresse peut l'ouvrir, et quelqu'un qui analyse le même lien ou le même fichier arrive sur la même fiche. Elle montre le lien ou l'empreinte, les résultats des services, la capture de la page, l'avis de l'IA et les avis de la communauté. Elle ne dit jamais qui a lancé l'analyse, ni le nom du fichier, ni ce que son navigateur y a trouvé. Seuls les admins peuvent voir quel compte a lancé une analyse ou demandé un avis de l'IA, pas les modérateurs.

Tes avis, tes idées et tes commentaires sont publics, avec ton prénom et l'initiale de ton nom, et ta photo de profil sur les avis et les commentaires. Si tu coupes « Afficher mon nom sur mes avis » dans tes paramètres, ils apparaissent sans ton nom ni ta photo. Les votes « Utile » et les votes sur les idées ne sont montrés qu'en nombre.

Les photos de profil de Google et de GitHub sont chargées depuis leurs serveurs, qui voient alors l'adresse IP de la personne qui regarde la page. Une photo que tu envoies, ou celle de Microsoft, est gardée dans notre stockage. Sans photo, ton compte reçoit une image de notre mascotte, comme à la place du motif que GitHub donne aux comptes sans photo. L'équipe peut retirer une photo inappropriée.

E-mails

SafeOrNah t'écrit seulement dans ces cas :

la fin d'une analyse qui a duré au moins 60 secondes, si tu es connecté et que tu as activé cette option dans tes paramètres (elle est désactivée pour les nouveaux comptes) ;
les incidents de la page Statut, si tu t'y abonnes, au niveau que tu choisis. Sans compte, tu reçois d'abord un e-mail de confirmation. Ensuite, chaque e-mail contient un lien pour choisir ce que tu reçois et un lien de désabonnement ;
les nouveaux articles du blog, si tu le suis, avec la même confirmation et les mêmes liens ;
le retrait de ta licence d'équipe par son responsable ;
une alerte quand un nouveau moyen de connexion est ajouté à ton compte ;
un accusé de réception quand tu utilises le formulaire de contact, sans le contenu de ton message et au plus un par adresse et par jour ;
les messages de l'équipe dans une conversation, y compris quand elle écrit la première, et un nouveau lien vers elle si tu le demandes.

Un message envoyé par le formulaire de contact arrive sur le site, où toute la correspondance reste. Les comptes administrateurs reçoivent seulement une alerte, sans le contenu. Nos e-mails contiennent un lien privé vers la conversation, valable 90 jours, et quiconque a ce lien peut la lire et y répondre. Si tu es connecté, tes conversations sont aussi dans « Mes messages ». On note si nos e-mails sont envoyés, remis, rejetés ou signalés comme spam.

Tu peux aussi répondre à ces e-mails. Les e-mails qu'on reçoit passent par Resend, qui en garde une copie 30 jours, puis leur texte est enregistré ici. L'adresse de réponse est propre à la conversation, et on note si le message vient d'une autre adresse que la tienne. Resend garde sa propre liste d'adresses bloquées après un rejet définitif ou un signalement comme spam. Sa politique

Les e-mails partent par Resend.

Les notifications sur tes appareils sont réservées aux comptes, et tu les actives appareil par appareil. On garde alors l'adresse d'abonnement donnée par ton navigateur, ses clés de chiffrement, un nom d'appareil (par exemple « Chrome · Android ») et tes choix. Le message passe par le service de notifications de ton navigateur (Google, Apple, Mozilla ou Microsoft), chiffré, sans le nom de tes fichiers. L'abonnement disparaît quand tu te déconnectes de cet appareil, que tu le retires, ou que tu supprimes ton compte.

Ton navigateur peut aussi t'avertir à la fin d'une analyse, si tu l'y autorises. La notification est créée par la page elle-même, sans service tiers.

Cookies et mesure d'audience

SafeOrNah n'utilise que les cookies nécessaires, pour la session, la protection des formulaires, la connexion, le thème et la langue. Le détail est sur la page Cookies.

On compte nos visites nous-mêmes, sans service tiers et sans cookie de statistiques. Ce sont des compteurs par jour, lus seulement par les administrateurs, avec une ligne par chiffre, par exemple « 120 vues depuis un téléphone ». Une ligne ne dit pas qui tu es, et on ne peut pas recouper les lignes pour retrouver une personne ou son parcours.

À chaque page vue, on ajoute 1 à ces compteurs :

la page par groupe (accueil, blog, suggestions…), la nature d'une fiche (fichier ou lien) et, pour un article publié, son adresse publique, jamais l'identifiant d'une fiche ;
la page avec le type d'appareil, seul croisement gardé pour les vues ;
à la première page d'une visite, le nom de domaine du site d'où tu viens, sans le reste de son adresse, et les paramètres utm_source, utm_medium et utm_campaign du lien ;
le pays indiqué par Cloudflare, par lequel passe notre hébergeur, quand il l'indique. On ne cherche jamais ton pays à partir de ton adresse IP ;
la langue principale de ton navigateur et la langue du site ;
la famille de ton navigateur et de ton système (Chrome, Windows…), sans le texte complet ni la version ;
le type d'appareil et la largeur de l'écran par tranches ;
le thème réellement affiché, le mouvement réduit ou non, et si le relief WebGL est disponible ;
le type de connexion et la mémoire de l'appareil par tranches, si ton navigateur les donne ;
l'état du visiteur (sans compte, connecté ou avec une licence d'équipe), jamais le compte ;
l'heure, à l'heure de Zurich.

Pour chaque visite, c'est-à-dire chaque chargement d'onglet suivi en mémoire par la page, sans rien écrire sur ton appareil, on compte quand l'onglet passe en arrière-plan ou se ferme :

la première et la dernière page ;
si la visite s'est arrêtée à une seule page ;
le nombre de pages et la durée de la visite, par tranches, en temps visible seulement ;
le temps passé et le défilement sur chaque page, par tranches ;
sur l'accueil, les sections atteintes et celles parcourues jusqu'au bout ;
la vitesse de la page (LCP, INP, CLS et TTFB), notée bonne, à améliorer ou mauvaise, par page et par type d'appareil.

On note aussi si la visite est nouvelle ou de retour, grâce à une seule date gardée dans ton navigateur (safeornah:seen, la date de ta première visite, sans identifiant). Elle est décrite sur la page Cookies, elle expire après 13 mois, et elle est effacée quand tu coupes les statistiques.

Certains gestes sont comptés de la même façon, sans lien avec toi : lien collé, fichier déposé, fenêtre de connexion ouverte, partage, clic sur un bouton de l'accueil, changement de langue ou de thème, page introuvable et erreur du serveur.

Pour estimer le nombre de visiteurs par jour, le serveur calcule un code à partir de ton adresse IP, du nom de ton navigateur et d'un sel aléatoire du jour (HMAC-SHA256). Ce code passe seulement dans un compteur approximatif (HyperLogLog), gardé en mémoire, dont on ne peut pas le ressortir. Le sel est effacé à la fin du jour. Le compteur est effacé peu après minuit, une fois son total copié dans la base, et au plus tard deux heures après la fin du jour. Seul ce total du jour reste.

Pour qu'un seul script ne remplisse pas la liste des sites et des campagnes, le serveur compte aussi combien de nouveaux noms une adresse ajoute en un jour, sous un code calculé à partir de cette adresse et du sel du jour (HMAC-SHA256). Ce compte reste en mémoire et il est effacé à la fin du jour.

On ne garde jamais ton adresse IP dans ces statistiques, le texte complet du nom de ton navigateur, l'adresse complète des pages, un identifiant de visiteur, une empreinte d'appareil, ton parcours ni un lien avec ton compte.

Ton choix. Rien de tout ça n'est compté depuis ton navigateur si tu coupes « Statistiques anonymes » sur la page Cookies ou dans tes paramètres. Pour un compte, le choix des paramètres gagne et il est copié dans ton navigateur. Les signaux « Do Not Track » et « Global Privacy Control » ne le coupent pas.

Ce qui reste compté. Certaines actions sont comptées par notre serveur au moment où elles ont lieu, quel que soit ton choix, parce qu'elles ne viennent pas d'un suivi de ton navigateur : création de compte, connexion, envoi d'un lien ou d'un fichier à analyser, limite atteinte, relance, envoi à VirusTotal, demande d'avis de l'IA, avis publié, vote « Utile », idée proposée, vote sur une idée, message de contact, réponse sur un article, abonnement aux incidents et abonnement au blog. Seul un total par jour augmente, sans rien sur toi.

Durée de conservation

Ton compte et ce qui lui est lié (photo, historique, avis, votes, idées, commentaires, licence, crédits, clés d'appareil) restent jusqu'à ce que tu le supprimes. Tes idées partent avec les votes et les commentaires qu'elles ont reçus.
Une clé d'appareil est effacée plus tôt après 180 jours sans utilisation, ou quand tu te déconnectes de l'extension qui la garde. Le code de connexion qu'une extension échange contre sa clé expire après 5 minutes.
Après la suppression de ton compte, la date et le type de tes analyses et de tes demandes d'avis de l'IA restent, détachés de toi, sans durée limite pour l'instant. Tes signalements restent aussi, sans lien avec toi, avec le motif et les précisions que tu as écrits. Tes conversations avec l'équipe ne sont plus reliées à un compte, mais elles gardent ton nom, ton adresse e-mail et tous les messages jusqu'à la fin de leur durée de conservation, sauf si tu nous demandes de les supprimer avant. Pour qu'un compte ne puisse pas être recréé aussitôt afin de remettre les limites du jour à zéro, on garde aussi 24 heures, en cache, une empreinte de ton identité Google, Apple, Microsoft ou GitHub (HMAC-SHA256). Tes sessions sur tes autres appareils s'arrêtent tout de suite, et le motif d'une suspension sort du journal d'administration.
Les signalements restent aussi longtemps que l'avis signalé, sans durée à part, et ils partent avec lui.
Les fiches d'analyse n'ont pas de durée limite pour l'instant, car elles ne disent pas qui a lancé l'analyse et elles évitent d'interroger à nouveau les services pour un lien ou un fichier déjà connu. Une nouvelle capture remplace l'ancienne.
Le code tiré de l'adresse IP d'un visiteur est effacé de ses analyses après 24 heures. Celui d'une réponse « Cet article t'a été utile ? » reste avec la réponse, pour qu'un visiteur ne réponde qu'une fois par article.
La session, avec ce qu'un visiteur a soumis sur son fichier, expire après 2 heures sans activité, puis elle est effacée.
Les compteurs contre les abus disparaissent au bout d'une heure au plus.
Les conversations avec l'équipe sont effacées 730 jours après leur dernier message. Une conversation fermée reste jusque-là, et l'équipe peut en supprimer une définitivement, par exemple à ta demande. Pour n'envoyer qu'un seul accusé de réception par jour à une même adresse, et pour limiter les e-mails reçus d'un même expéditeur, on garde aussi au plus 24 heures un code calculé à partir de cette adresse avec une clé secrète (HMAC-SHA256).
Les abonnements aux incidents et au blog non confirmés sont effacés après 7 jours. Un abonnement confirmé reste jusqu'à ce que tu coupes tout, ton adresse est alors effacée. Il disparaît aussi avec ton compte. Pour n'envoyer qu'un seul e-mail de confirmation par jour, par adresse et par sujet (incidents ou blog), on garde aussi au plus 24 heures un code calculé à partir de cette adresse avec une clé secrète (HMAC-SHA256).
Les mesures de la page Statut (temps de réponse des services, sans donnée personnelle) sont gardées 31 jours.
Les statistiques de visite (totaux par jour, sans donnée personnelle) sont gardées 25 mois, puis effacées. Le code du visiteur n'est jamais écrit, et le sel du jour ne dure pas plus d'un jour.
Le journal d'administration, qui note les actions de l'équipe (masquer un avis, suspendre un compte…), n'a pas de durée limite pour l'instant. Il garde le nom de la personne de l'équipe qui a agi, même après la suppression de son compte, pour que chaque action reste attribuée à quelqu'un.
Les tâches qui échouent, qui peuvent contenir ton adresse e-mail quand un message n'a pas pu partir, sont effacées après 30 jours.

Les journaux techniques de l'application, qui notent surtout les erreurs des services, et les journaux d'accès de notre hébergeur, qui peuvent contenir ton adresse IP et l'adresse des pages visitées, sont effacés après 30 jours au plus.

Qui est responsable

Le responsable du traitement est Ethan Geuggis.

Tes droits

Tu peux à tout moment, depuis tes paramètres :

télécharger tes données au format JSON (profil, préférences, limites, suspension avec sa date, sa raison et le numéro interne de la personne qui l'a décidée, comptes liés et déliés, historique, avis, votes « Utile », signalements, réponses à « Cet avis t'a été utile ? », analyses, demandes d'avis de l'IA, licences, crédits, idées, commentaires, votes sur les idées, réponses du blog, conversations avec l'équipe, abonnement aux incidents et au blog, clés d'appareil avec l'app ou le navigateur qu'elles servent, appareils qui reçoivent les notifications et tes choix pour ces notifications) ;
corriger ton nom et choisir s'il apparaît sur tes avis ;
changer ou retirer ta photo de profil ;
délier un compte Google, Apple, Microsoft ou GitHub, s'il t'en reste un autre ;
supprimer ton compte, ce qui est immédiat et définitif.

Tu peux aussi retirer une analyse de ton historique depuis ton tableau de bord.

Pour toute autre demande (accès, correction, effacement, opposition), écris-nous à contact@safeornah.app ou avec le formulaire de contact, sujet « Mes données personnelles ». Tes sessions, avec leur adresse IP et le nom du navigateur, ne sont pas dans le fichier téléchargé. Tu les obtiens aussi de cette façon.

On traite ces données pour faire fonctionner le service que tu utilises et le protéger contre les abus, et, avec ton accord, pour répondre à un message, envoyer un fichier à VirusTotal, t'envoyer les incidents et les articles du blog, ou t'avertir par e-mail ou par notification. Les statistiques anonymes servent à comprendre comment le site est utilisé et à l'améliorer, et tu peux les couper à tout moment. SafeOrNah applique la loi suisse sur la protection des données (nLPD) et, pour les personnes qui se trouvent dans l'Union européenne, le RGPD. Tu peux aussi t'adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT) ou, dans l'Union européenne, à l'autorité de protection des données de ton pays.