Ce que nous stockons, et ce que nous ne voyons jamais

La version courte

• Ce que vous dessinez sur une toile va directement aux autres personnes de la salle. Cela ne passe par aucun serveur qui le conserve.
• Aucun cookie de pistage, aucune analytique tierce, aucune régie publicitaire, aucun profil vendu à qui que ce soit.
• Les seules données personnelles que nous détenons sont celles que vous avez saisies dans un formulaire, ou ce qu'un compte exige pour exister.
• Vous pouvez demander à tout récupérer, ou à tout faire supprimer, et nous le ferons.

La toile

Une salle est en pair à pair. L'édition passe par WebRTC directement entre les navigateurs qui s'y trouvent, et la seule chose que fait notre serveur est de présenter les pairs les uns aux autres pour qu'ils puissent ouvrir cette connexion. Il garde en mémoire la liste de qui est dans quelle salle tant que la salle est vivante, et l'oublie quand la dernière personne part.

Les dessins, les notes, les mesures et la liste des couches ne sont donc pas stockés par nous et ne peuvent pas être lus par nous. La conséquence pratique mérite d'être comprise dans les deux sens : c'est privé, et cela veut aussi dire que nous ne pouvons pas récupérer une salle que vous avez perdue. Si elle compte, exportez-la.

Vos couches de données

Quand vous ajoutez un jeu de données, votre navigateur le lit là où il se trouve déjà, avec des requêtes par plages pour ne tirer que les parties à l'écran. Il n'est pas téléversé chez nous et nous n'en gardons jamais de copie. Cela veut dire en revanche que votre navigateur parle directement à cet hôte, dont les journaux montreront une requête depuis votre adresse comme n'importe quelle autre requête web. Le catalogue de la page des jeux de données indique qui est chaque hôte.

Un fichier glissé depuis votre propre machine est lu dans le navigateur et y reste.

Comptes

Si vous avez un compte, nous stockons votre adresse e-mail, un nom affiché si vous en définissez un, la date de création et celle de votre dernière connexion. Les mots de passe sont stockés sous forme de hash scrypt, jamais en clair, donc personne ici ne peut lire le vôtre. Se connecter pose un cookie contenant un jeton aléatoire, qui sert à vous garder connecté et à rien d'autre.

Vous pouvez aussi vous connecter via Keycloak, que nous faisons tourner nous-mêmes sur cette même machine. C'est la partie qui vérifie qui vous êtes : elle détient votre adresse, le hash de votre mot de passe et son propre registre de vos sessions. Ce n'est pas un tiers et rien vous concernant n'est envoyé ailleurs pour que cela fonctionne. Se connecter ainsi aboutit au même cookie, et ce que nous gardons de vous ensuite est la même courte liste que ci-dessus.

Nous ne stockons pas de numéros de carte. Si un paiement a lieu, il passe par un prestataire qui gère la carte, et nous ne gardons que le fait qu'un abonnement existe.

Si vous connectez une clé de fournisseur d'IA, ce service ne la conserve pas.

Formulaires

La liste d'attente, la demande de parrainage et le formulaire des arbres conservent ce que vous avez écrit : votre nom, votre e-mail, l'objet et le message. À côté, nous stockons une version raccourcie de votre adresse IP, coupée aux trois premiers groupes en IPv4 ou aux quatre premiers en IPv6 — assez pour empêcher quelqu'un d'inonder le formulaire, pas assez pour vous identifier.

Elles arrivent dans une boîte privée que seul un opérateur peut ouvrir. Elles ne sont jamais publiées, et elles sont délibérément tenues à l'écart du catalogue public que lisent l'API et le point d'accès MCP.

Cookies, et pourquoi il n'y a pas de bandeau

Il existe ici trois cookies et on ne vous demandera votre avis sur aucun, et ce n'est pas un oubli. Le bandeau est obligatoire pour les cookies qui ne sont pas nécessaires à ce que vous avez demandé. Les nôtres sont :

• un cookie de session, contenant un jeton aléatoire, c'est ce qui vous garde connecté ;
• un cookie CSRF, qui existe pour qu'un autre site ne puisse pas agir à votre place ;
• un cookie de connexion à durée de vie courte, dix minutes, pendant que vous êtes envoyé vers l'écran de connexion et ramené.

Les trois sont strictement nécessaires au sens que la loi donne à ce mot : retirez-les et la connexion cesse de fonctionner. Aucune ne vous suit, ne vous profile, ni ne dit quoi que ce soit de vous à qui que ce soit. Selon l'article 22.2 de la LSSI espagnole, et son équivalent ailleurs en Europe, ce type-là est exempté de consentement.

Une chose qui n'est pas un cookie mais qui mérite d'être nommée quand même, parce qu'une page qui énumère ce qui est conservé de vous est fausse dès qu'elle omet quelque chose : votre choix de langue est retenu dans localStorage, sous driades_lang. Il contient deux lettres. Il existe pour que choisir l'anglais une fois ne soit pas défait par votre navigateur annonçant qu'il préfère l'espagnol à chaque visite, et il ne quitte jamais votre appareil. Effacer les données du site l'oublie, et la langue est de nouveau devinée depuis votre navigateur.

La raison habituelle pour laquelle un site a besoin d'un bandeau, c'est l'analytique, et la nôtre n'utilise aucun cookie. Il n'y a donc réellement rien à accepter. Si cela changeait un jour, vous auriez un vrai choix plutôt qu'un mur de boutons penché vers le oui.

Analytique

Nous comptons les visites avec Plausible, que nous faisons tourner sur notre propre machine. Il ne pose aucun cookie, ne collecte rien de personnel et ne peut pas vous suivre ailleurs. Rien n'est partagé avec un tiers, parce qu'il n'y a aucun tiers.

Dans la toile, nous utilisons son mode manuel plutôt que le script standard, parce que l'URL d'une salle contient l'identifiant de la salle et le nom que quelqu'un a choisi. Envoyer cela à l'analytique ferait fuiter le contenu d'une salle privée vers une page de statistiques ; nous envoyons donc un nom de page fixe.

Le point d'accès MCP

Tout ce qu'un assistant lit via driades.app/mcp est déjà public sur ce site : le catalogue de données, les arbres, la documentation. Il n'a pas besoin de clé parce qu'il n'expose rien qui en exige une, et tous ses outils sont en lecture seule.

Les requêtes lui parviennent via notre serveur web, qui tient des journaux d'accès ordinaires contenant l'adresse, l'heure et le chemin, comme pour n'importe quelle page ici. Votre conversation avec l'assistant ne nous est pas envoyée, et nous ne gardons pas les questions posées par ce biais au-delà de ces journaux.

Qui d'autre est impliqué

Le site est servi via Cloudflare, qui voit les requêtes en transit du fait même de le faire. Les serveurs sont les nôtres. Il n'y a aucun fournisseur d'analytique, aucun enregistreur de session, aucun widget de chat, aucune publicité et aucun courtier en données, et nous ne comptons pas en ajouter : le parrainage existe sur ce projet précisément pour que la surveillance n'ait pas à exister.

Demander vos données

Écrivez à [email protected] et demandez une copie de ce que nous détenons, une correction ou une suppression. Nous le ferons, et nous ne demanderons pas pourquoi. Si vous êtes dans l'UE ou au Royaume-Uni, ce sont des droits que vous avez déjà au titre du RGPD, et ce paragraphe n'y ajoute aucune condition.

Les envois de formulaire sont conservés jusqu'à leur traitement puis effacés. Les données de compte vivent aussi longtemps que le compte.

Modifications

Si cela change, nous changerons la date en haut. Si le changement touche à ce que nous collectons, nous le dirons sur la page des nouveautés plutôt que de modifier celle-ci en silence.

Driades est un projet de h4ck1ng.science, dirigé par Carlos Vivar Rios. Il est aussi ouvert à l'auto-hébergement, et une copie que vous faites tourner ne nous envoie strictement rien.