Confidentialité
Slate garde vos notes sur votre propre disque et fonctionne sans aucun serveur. Cette page traite de l’autre cas : ce que le relais hébergé de Slate conserve quand vous synchronisez par son intermédiaire, combien de temps il le conserve, et ce qui reste une fois votre compte supprimé.
Ce que le relais conserve#
Un compte hébergé est uniquement sur invitation, pour les personnes de 18 ans ou plus, et les invitations sont envoyées à l’ouverture de la bêta fermée. Quand vous en acceptez une et remplissez le formulaire Créer un compte de l’application, le relais enregistre les données suivantes, et les conserve jusqu’à la suppression du compte.
L’adresse e-mail que vous avez indiquée, un vérificateur de votre mot de passe plutôt que le mot de passe lui-même, une copie scellée de votre kit de récupération que seuls vos propres appareils peuvent ouvrir, si l’adresse a été confirmée, et si le compte a été suspendu.
Le nom que vous avez donné à chacun, et l’heure de sa dernière synchronisation.
Sous forme de données chiffrées que le relais ne peut pas lire. Le texte des notes, les noms de fichiers et les noms de dossiers sont tous chiffrés sur votre appareil avant tout envoi.
L’adresse à laquelle une invitation a été envoyée, en clair. Une seule invitation peut être active à la fois pour une adresse, et elle cesse de fonctionner au bout de sept jours.
Le destinataire, l’objet et le corps. Le corps est effacé à l’étape même qui envoie le message. Un message envoyé conserve son destinataire, son objet et l’heure de son envoi pendant trente jours, puis il est supprimé. Un message que le relais a renoncé à envoyer est conservé jusqu’à ce qu’un opérateur l’efface, car c’est la seule trace que quelque chose était dû et n’est jamais arrivé. S’il était adressé à quelqu’un qui n’a jamais eu de compte par la suite, ce n’est pas la suppression d’un compte qui l’efface.
Ce nombre est associé à un hachage à sens unique de l’adresse plutôt qu’à l’adresse elle-même, afin que le relais puisse appliquer une limite d’envoi sans conserver pour cela l’adresse d’un inconnu.
Ce que la machine journalise#
Le relais fonctionne derrière un serveur web sur la même machine, et les deux écrivent un journal.
Il contient l’adresse depuis laquelle votre appareil s’est connecté, l’heure, la méthode et le chemin demandés, le statut de la réponse, et la taille de cette réponse : ces cinq champs et rien d’autre. Ni page d’origine, ni nom de navigateur ou d’appareil. Il est conservé quatorze jours, puis supprimé.
Il indique la route appelée, le statut de la réponse et sa durée, avec un identifiant aléatoire qui relie les lignes d’une même requête. Cet identifiant est créé sur le moment et ne signifie rien en dehors du journal. Quand le relais repousse une rafale de tentatives de connexion, ou voit un même code de connexion utilisé deux fois, la ligne contient aussi l’adresse d’où venait la requête. Aucune adresse e-mail, note, nom de fichier, nom de coffre ni clé n’y est jamais écrit.
Qui d’autre les traite#
Slate fonctionne sur l’infrastructure d’autres entreprises. Chacune ne traite que la partie indiquée ici.
Loue à Slate le serveur sur lequel fonctionne le relais, à Londres. Les données du relais et ses journaux y sont conservés.
Conserve la sauvegarde quotidienne, aux États-Unis. La sauvegarde est chiffrée avant de quitter la machine. Backblaze est certifiée au titre de l’extension britannique du cadre de protection des données UE-États-Unis, ce qui permet d’y conserver des données du Royaume-Uni.
Envoie les e-mails de Slate, depuis la France : invitations, confirmations d’adresse et messages de réinitialisation du mot de passe. Scaleway traite votre adresse et le texte de chaque message, et rien d’autre de votre compte : ni vos notes, ni vos appareils, ni vos clés. La durée de conservation de ce qu’il traite est fixée par ses propres conditions.
Dispose de votre adresse e-mail si l’on vous ajoute au test de l’application iPhone via TestFlight. Sur un Mac ou un iPhone, Apple fournit aussi les données vocales de votre langue, que le système télécharge quand l’application en a besoin pour la première fois, ou quand vous demandez le téléchargement dans Réglages. Apple voit l’adresse depuis laquelle votre appareil se connecte et la langue demandée, et aucun enregistrement ni aucune transcription. Sur un Mac, en dehors du relais et de la vérification des mises à jour, ce téléchargement est la seule connexion que fait l’application ; sur un iPhone, que TestFlight et l’App Store tiennent à jour, c’est la seule en dehors du relais. Les propres conditions d’Apple couvrent les deux.
Fournit le modèle vocal et un petit détecteur de parole que l’application télécharge sous Linux et Windows : le modèle vocal quand elle en a besoin pour la première fois ou quand vous demandez le téléchargement dans Réglages, le détecteur de parole quand vous l’activez dans Réglages. Hugging Face voit l’adresse depuis laquelle votre appareil se connecte et le nom du fichier, et aucun enregistrement, aucune transcription ni aucun compte. Sous Linux et Windows, en dehors du relais et de la vérification des mises à jour, ces téléchargements sont les seules connexions que fait l’application.
Sauvegardes#
Les données du relais sont copiées une fois par jour, et la copie est chiffrée et conservée hors de la machine, chez Backblaze, afin qu’un serveur perdu ou en panne n’emporte pas vos notes avec lui.
Sept copies quotidiennes sont conservées, puis quatre hebdomadaires. Un compte supprimé peut donc subsister dans une sauvegarde pendant environ cinq semaines, jusqu’à l’expiration de la dernière copie qui le contient.
Une sauvegarde n’est ouverte que pour remettre le service en marche après un sinistre. Personne ne la consulte pour répondre à une question sur un compte.
Supprimer votre compte#
Une seule demande supprime le compte et tout ce qui y est associé, immédiatement : le compte lui-même, vos appareils, toutes vos notes chiffrées, et tout e-mail encore en attente pour votre adresse. Deux choses sont conservées volontairement.
Il est conservé sous forme de hachage de l’adresse. Supprimer un compte ne doit pas effacer une limite d’envoi qui existe pour empêcher que Slate serve à envoyer des e-mails à quelqu’un qui n’en veut pas.
Elle est conservée pour qu’on puisse vous inviter à nouveau. Elle cesse de fonctionner sept jours après sa création, comme toute autre.
Les sauvegardes décrites plus haut sont la seule chose qui survit à la demande : une copie faite avant la suppression du compte le contient encore jusqu’à son expiration.
Deux cas sont refusés. Tant qu’une réinitialisation du mot de passe du compte date de moins de 24 heures, le relais ne le supprime pas, afin que la réinitialisation puisse encore être annulée ; la demande fonctionne une fois les 24 heures écoulées. Tant que le compte est suspendu, il ne peut pas se supprimer lui-même, et c’est l’opérateur qui le ferme.
Ce qui n’est pas collecté#
Ce site n’utilise aucun outil d’analyse, d’aucune sorte : ni cookies, ni traceurs, ni scripts tiers, ni aucune mesure de qui le visite.
Le relais communique des chiffres sur lui-même, pour pouvoir être maintenu en fonctionnement : quelles routes ont été appelées, combien de fois, combien de temps elles ont pris, et la taille atteinte par ses données. Les noms des routes sont fixés dans le code, et aucun compte, aucune adresse, aucun coffre ni aucune note ne peut apparaître à côté.
Le serveur qui héberge ce site compte combien de pages il envoie et combien d’installateurs sont téléchargés en entier. Il compte aussi chaque réponse qu’il donne, selon qu’elle a réussi, redirigé ou échoué, et le nombre d’octets envoyés, ainsi que chaque requête au serveur de téléchargement selon le type de fichier demandé, ce qui inclut l’application qui vérifie la présence d’une mise à jour et un gestionnaire de paquets Linux qui lit la liste des paquets. Un compteur ne contient aucune adresse, aucun nom de page et aucun navigateur, il n’identifie donc personne.
L’application de bureau vérifie s’il existe une nouvelle version une fois au lancement, puis une fois par jour tant qu’elle est ouverte, en lisant la liste des versions sur le serveur de téléchargement, et vous pouvez désactiver cette vérification dans Réglages. La requête indique l’application, sa version et le système sur lequel elle tourne, afin que les vérifications de l’application elle-même puissent être comptées à part des personnes, et rien d’autre : aucun compte, aucun identifiant et rien sur vos notes. Le serveur de téléchargement ne conserve aucune adresse, pour aucune requête. L’application ne renvoie jamais ce qu’elle a trouvé.
Rien de tout cela n’est obligatoire. Slate fonctionne sans aucun serveur. Un relais que vous faites tourner vous-même arrivera après la bêta fermée.
Pourquoi ces données sont conservées#
La loi britannique sur la protection des données exige un motif, appelé base légale, pour tout ce qui est conservé à votre sujet.
Votre compte, vos appareils, vos notes chiffrées et les e-mails que le relais doit vous envoyer. Vous avez demandé le service, et il ne peut pas fonctionner sans eux.
Les journaux, la limite d’envoi, les invitations et les sauvegardes. Slate a un intérêt légitime à empêcher les abus, à trouver les pannes et à se remettre d’une défaillance.
Qui est responsable#
Le relais hébergé de Slate est géré par une personne, pas par une entreprise.
Le responsable du traitement, au sens de la loi britannique sur la protection des données, est Graham Mawji-Bull.
Pour toute question sur cette page, écrivez à privacy@slateoutliner.com.
Vos droits#
Vous pouvez demander ce qui est conservé à votre sujet, en obtenir une copie à emporter ailleurs, le faire corriger ou supprimer, ou en faire limiter ou cesser l’utilisation. Écrivez à l’adresse ci-dessus. La réponse arrive dans un délai d’un mois, sans frais.
Pour tout supprimer d’un coup, supprimez votre compte dans l’application, comme décrit plus haut.
Une adresse e-mail ne peut pas être modifiée. Supprimez le compte et créez-en un nouveau avec la bonne adresse.
Si la manière dont vos données sont traitées ne vous convient pas, écrivez à l’adresse ci-dessus, et vous recevrez une réponse sous 30 jours. Vous pouvez aussi porter plainte auprès de l’Information Commissioner’s Office (ICO), l’autorité britannique de protection des données.