Politique de confidentialité

Dernière mise à jour: octobre 2026

Responsable et champ d'application

Le service hébergé Nibomo est exploité par SAMO DANNI EOOD, ID d'entreprise 207395566, VAT BG207395566, siège social bulv. Maritza 154, entrance D, floor 6 #14, 4018, Plovdiv, Bulgaria. Nibomo a été créé par Kirill Markin.

Cette politique s'applique au site web, aux applications, à l'API et au service MCP hébergés que nous exploitons. Une instance auto-hébergée est contrôlée par son opérateur, qui est responsable de ses pratiques en matière de confidentialité.

Âge

Le service hébergé s'adresse aux personnes de 13 ans ou plus. Si la loi de votre lieu de résidence fixe un âge minimum plus élevé pour utiliser un service en ligne ou consentir au traitement des données, cet âge plus élevé s'applique. Si vous avez moins de 18 ans, vous devez avoir l'autorisation d'un parent ou d'un tuteur légal.

Données que nous traitons

Selon la façon dont vous utilisez le service hébergé, nous traitons :

les données de compte et d'authentification, y compris votre adresse e-mail, les identifiants utilisateur internes, les enregistrements de connexion et les jetons d'authentification ;
les données d'apprentissage et d'espace de travail, y compris les cartes, les paquets, les réglages, les appartenances aux espaces de travail, l'historique des révisions et les métadonnées de synchronisation ;
les fichiers et médias que vous envoyez ou créez, y compris les images et les données d'envoi temporaires ;
les données d'IA facultatives, y compris les invites, l'historique de conversation, le contexte de carte ou d'espace de travail, les fichiers et images inclus dans une requête, l'audio dicté, les transcriptions, les réponses du modèle et l'activité des outils ;
les données d'assistance et de retour, y compris les messages, votre e-mail de contact lorsqu'il est fourni, la version de l'application, la plateforme, la langue et les informations d'état associées ;
les données opérationnelles et de sécurité, y compris les identifiants de requête, les horodatages, l'adresse IP, l'agent utilisateur, la route, le statut de la réponse, la version de l'application, les détails d'appareil ou de plateforme et les diagnostics d'erreur nettoyés ; et
les données d'usage du site web et des applications décrites dans les sections sur l'analyse d'audience et l'analyse produit ci-dessous.

Une adresse e-mail est nécessaire pour créer un compte hébergé et s'y connecter. Sans elle, nous ne pouvons pas fournir l'authentification par e-mail ni la synchronisation liée au compte. Des fonctions limitées en mode invité ou local peuvent être disponibles sans compte connecté.

Finalités et bases légales

Nous traitons les données de compte, d'espace de travail, de révision, de fichiers et d'IA demandées dans la mesure nécessaire pour fournir le service hébergé et exécuter notre contrat avec vous. Nous traitons les demandes d'assistance pour vous répondre et vous apporter l'aide demandée.

Nous traitons des données limitées d'analyse, de sécurité, de diagnostic et d'amélioration du service au titre de nos intérêts légitimes à comprendre l'usage, prévenir les abus, maintenir la sécurité du service et corriger les défaillances. Nous mettons ces intérêts en balance avec vos droits et nous minimisons ou masquons les données de diagnostic lorsque c'est possible. Nous pouvons aussi traiter des données lorsque cela est nécessaire pour respecter une obligation légale ou pour constater, exercer ou défendre un droit en justice. Lorsque la loi applicable exige le consentement pour une activité précise, nous nous fondons sur le consentement et vous pouvez le retirer à tout moment.

Nous ne vendons pas vos données personnelles et nous ne les utilisons pas à des fins de publicité ciblée.

Achats et abonnements Apple

Apple traite les paiements des achats sur l’App Store ; nous ne recevons pas vos coordonnées de carte ou de compte bancaire par l’intermédiaire de la facturation Apple. Nous recevons et conservons des données d’achat, notamment les identifiants de transaction et de produit, un jeton de compte de l’application reliant l’achat à votre compte, l’état de l’abonnement et de la période d’essai, les informations de renouvellement et de remboursement, ainsi que les dates correspondantes.

Nous utilisons ces données pour vérifier les achats, fournir et restaurer l’accès payant, assurer l’assistance, rapprocher les transactions, tenir les registres comptables et analyser l’utilisation du produit. Les données de facturation côté serveur sont conservées même lorsque vous désactivez l’analyse produit dans l’application.

Achats et abonnements Google Play

Google traite les paiements des achats sur Google Play ; nous ne recevons pas vos coordonnées de carte ou de compte bancaire par l’intermédiaire de la facturation Google. Nous recevons et conservons des données d’achat, notamment les identifiants de transaction et de produit, les jetons d’achat et un identifiant de compte opaque reliant l’achat à votre compte, l’état de l’abonnement et de la période d’essai, les informations de renouvellement et de remboursement, ainsi que les dates correspondantes.

Achats Stripe et e-mails de facturation

Stripe traite les paiements des abonnements web. Sur ses pages hébergées de paiement et de facturation, Stripe collecte l'adresse e-mail, le nom, l'adresse ou la localisation de facturation et les données de paiement que vous fournissez. Nous échangeons avec Stripe une référence opaque du compte Nibomo et des identifiants de session de paiement, de client et d'abonnement. Nous recevons des données et notifications de facturation pouvant inclure les coordonnées et données de facturation, montants, devises, informations fiscales, statuts d'essai et d'abonnement, informations de paiement, remboursement et litige, ainsi que les dates pertinentes. Nous ne stockons pas de numéros complets de carte ni de codes de sécurité de carte.

Nous utilisons ces données pour exécuter notre contrat d'abonnement, vérifier et fournir l'accès payant, gérer la facturation et envoyer des e-mails de service ; nous conservons aussi des pièces pour la comptabilité, le rapprochement et les obligations ou réclamations légales. Les données et événements de facturation enregistrés côté serveur sont conservés indépendamment du réglage d'analyse produit. Les traitements propres à Stripe sont décrits dans sa Politique de confidentialité.

Nous envoyons les rappels d'essai et les reçus de paiement et de remboursement Nibomo via Resend. Resend reçoit l'adresse e-mail de facturation du client Stripe et le contenu du message, notamment le montant et la devise concernés, la date de fin d'essai le cas échéant et un lien vers la gestion de facturation ou le reçu. Nous conservons le statut et les identifiants d'envoi pour gérer les nouvelles tentatives et éviter les doublons.

Analyse d'audience et cookies

Le site web marketing utilise Vercel Web Analytics pour mesurer les pages vues et certains événements de clic sur le site. Ce service fonctionne sans cookies d'analyse, mais le site en dépose un qui lui est propre, décrit ci-dessous. Pour une page vue, Vercel peut recevoir l'heure de l'événement, l'URL de la page et des paramètres de requête filtrés, le référent, la localisation approximative, le navigateur, le système d'exploitation et le type d'appareil. Nos événements de clic personnalisés contiennent des propriétés limitées telles que la langue, la plateforme, l'emplacement du lien ou le type d'interaction. Nous n'incluons pas volontairement de noms, d'adresses e-mail, de contenu de cartes ou d'identifiants de compte dans ces événements. Vercel agrège les données et n'associe pas une donnée à une personne ou à une adresse IP ; son hachage quotidien de visiteur est supprimé après 24 heures. Lorsque votre navigateur expose Global Privacy Control, le site n'envoie rien du tout à Vercel Web Analytics.

Par ailleurs, le site envoie des événements à notre propre collecteur d'analyse produit : un événement de consultation de page pour chaque page que vous ouvrez ; un événement de clic lorsque vous suivez un lien vers l'application web, une boutique d'applications ou l'installation d'un paquet du catalogue ; ce que vous recherchez, filtrez, triez, parcourez page par page et ouvrez dans le catalogue public de paquets ; un clic sur un lien qui mène hors du site ; la copie du point d'accès pour agents ; l'affichage du bandeau de suggestion de langue et votre réponse à celui-ci ; ainsi que la décision sur le cookie et le réglage de collecte, décrits ci-dessous. Selon l'événement, ils comportent le type de page, l'identifiant de version du paquet public sur les pages de paquets du catalogue et dans les liens d'installation, l'emplacement du lien, le fait qu'un clic vers l'application web visait la connexion, l'inscription ou l'ouverture de l'application, le fait qu'une réponse sur le cookie a été donnée dans le bandeau ou dans la commande d'analyse du coin, la langue proposée par le bandeau de suggestion de langue, la langue d'interface de la page, la langue de l'appareil du navigateur, la catégorie de source, la catégorie d'appareil et l'identifiant analytics_visitor décrit ci-dessous lorsque votre navigateur en porte un. Un événement de consultation de page comporte en outre l'hôte du site d'où vous venez, pris dans une liste de moteurs de recherche et de réseaux sociaux connus et signalé comme other pour tout le reste, ainsi que les paramètres utm_source, utm_medium et utm_campaign de l'adresse par laquelle vous êtes arrivé. Une recherche, un filtre, un tri ou un changement de page dans le catalogue comporte le nombre de résultats affichés et ce que vous avez choisi : l'action de filtrage — ajout, sélection, retrait ou effacement — avec sa catégorie et le nombre de filtres alors sélectionnés, l'ordre de tri, ou le numéro de page accompagné du nombre total de pages. L'ouverture d'un paquet depuis le catalogue comporte l'identifiant public du paquet et l'endroit de la page d'où vous l'avez ouvert, et aucun nombre de résultats. Une recherche dans le catalogue comporte en plus la longueur de ce que vous avez saisi et, uniquement lorsque le texte normalisé fait au plus 64 caractères et ne contient que des lettres, les signes qui s'y combinent, des chiffres, des espaces et des traits d'union, ce texte lui-même ; toute autre requête n'est signalée que par sa longueur et n'est jamais raccourcie pour entrer dans ce cadre. Notre serveur déduit un code pays à deux lettres de l'adresse d'où parvient chaque événement et le conserve avec l'événement ; il ne conserve aucune adresse et ne déduit aucun pays pour les événements qui ne portent aucun identifiant, décrits ci-dessous. Lorsque votre navigateur expose Global Privacy Control, le site ne demande aucun identifiant de visiteur et n'affiche pas le bandeau de consentement, tandis que les événements ci-dessus parviennent toujours à notre propre collecteur sans cet identifiant, et que tous, hormis ceux qui ne portent aucun identifiant, reçoivent l'identifiant journalier décrit ci-dessous. Nous ne lisons pas le réglage Do Not Track.

L'application web hébergée utilise des cookies strictement nécessaires tels que otp_session, session, refresh et logged_in pour réaliser l'authentification, maintenir une session, renouveler l'accès et afficher l'état de connexion. Désactiver ces cookies empêche la connexion dans le navigateur de fonctionner.

Le site web marketing et l'application web hébergée partagent un même cookie d'analyse interne (première partie) nommé analytics_visitor. Il contient un identifiant de visiteur aléatoire, reste lisible par nos scripts dans le navigateur et expire au bout de 13 mois. Il nous sert à reconnaître le même navigateur d'une visite à l'autre, afin que les événements indiquent un visiteur qui revient plutôt qu'un nouveau visiteur à chaque fois. Ce cookie n'est pas strictement nécessaire. Cette décision porte uniquement sur le fait que votre navigateur porte ou non cet identifiant ; savoir si le site collecte quoi que ce soit relève d'un réglage distinct, décrit plus bas. Là où le consentement est requis, notamment dans l'UE/EEE et au Royaume-Uni, nous ne le déposons qu'après votre accord : le site pose la question dans un bandeau et, tant que vous n'avez pas répondu, ne demande aucun identifiant et n'en joint aucun, tandis que les événements décrits plus haut continuent d'être envoyés sans cet identifiant, et que tous, hormis ceux qui ne portent aucun identifiant, reçoivent l'identifiant journalier décrit au paragraphe suivant. Là où le consentement n'est pas requis, nous le déposons sans poser la question. Dans les deux cas, vous pouvez le désactiver à tout moment, depuis la commande d'analyse située dans le coin de chaque page du site ou dans les paramètres de l'application web ; nous effaçons alors le cookie de votre navigateur et cessons de l'utiliser. Votre réponse est conservée dans votre navigateur afin de ne pas vous la redemander. Lorsque votre navigateur expose Global Privacy Control, nous effaçons ce cookie et, avec lui, une réponse qui l'avait autorisé, de sorte que ce navigateur est traité comme un nouveau si le signal est désactivé par la suite : là où le consentement est requis, la question lui est de nouveau posée ; là où il n'est pas requis, nous le déposons sans poser la question. Une réponse qui a refusé le cookie est conservée et continue de s'appliquer. Nous enregistrons aussi cette décision sur le cookie sous forme d'événements : l'affichage du bandeau et votre réponse, où que vous l'ayez donnée — dans le bandeau ou dans la commande d'analyse du coin, qui comporte le même choix. La réponse enregistrée indique lequel de ces deux endroits c'était. L'événement d'affichage et l'événement d'un refus ne portent aucun identifiant ; l'événement d'un accord porte l'identifiant que vous venez d'autoriser. Les événements eux-mêmes sont conservés tant que nous en avons besoin pour les finalités décrites dans cette politique.

Lorsqu'un événement parvient à notre collecteur sans l'identifiant analytics_visitor, par exemple parce que vous avez refusé le cookie, n'avez pas encore répondu ou l'avez désactivé, notre serveur calcule un identifiant temporaire à partir de l'adresse IP et de l'agent utilisateur du navigateur à l'origine de la requête, combinés à une valeur aléatoire qui change chaque jour UTC et qui est supprimée à la fin de ce jour. L'adresse IP elle-même n'est pas conservée dans nos analyses. Cet identifiant relie uniquement les événements d'une même journée provenant du même navigateur et de la même adresse IP. Il n'est jamais stocké dans votre navigateur, jamais relié à l'identifiant analytics_visitor ni à un compte, jamais joint à un enregistrement de votre réponse au consentement, et il ne peut plus être recalculé une fois la valeur aléatoire du jour supprimée. Nous l'utilisons pour comprendre comment les visiteurs utilisent le site, au titre de notre intérêt légitime décrit dans la section Finalités et bases légales. Un navigateur qui expose Global Privacy Control ne porte jamais l'identifiant analytics_visitor : ses événements reçoivent donc cet identifiant journalier comme ceux de tout autre navigateur sans ce cookie. Les événements qui ne portent aucun identifiant ne reçoivent ni cet identifiant journalier ni de pays : l'affichage du bandeau de consentement, un refus, ainsi que la désactivation et la réactivation de la collecte de ce site. Ils ne portent ni l'identifiant analytics_visitor, ni l'identifiant journalier, ni de pays : seulement ce qui s'est produit et, pour une réponse sur le cookie, l'endroit où vous l'avez donnée.

La commande d'analyse située dans le coin de chaque page du site comporte le réglage qui désactive la collecte de ce site et, à côté de lui, le consentement au cookie d'analyse décrit ci-dessus ; une fois que vous avez répondu à la bannière, la commande comporte aussi ce choix de cookie tant que la collecte est activée, et vous le propose de nouveau lorsque vous réactivez la collecte. Lorsque votre navigateur expose Global Privacy Control, la commande ne comporte que ce réglage : nous ne déposons aucun cookie d'analyse sur ce navigateur, il n'y a donc aucun choix de cookie à proposer. Lorsque vous la désactivez, un dernier événement est envoyé, qui indique uniquement qu'elle a été désactivée ; lorsque vous la réactivez, l'événement correspondant est envoyé. Ni l'un ni l'autre ne porte d'identifiant, d'identifiant journalier ou de pays. Tant que la collecte est désactivée, le site n'envoie aucun autre événement au sujet de votre visite, ni à notre collecteur ni à Vercel Web Analytics, et il ne demande aucun identifiant de visiteur ; comme plus rien n'atteint notre collecteur, aucun identifiant journalier n'est calculé non plus. Elle est activée sauf si vous la désactivez, au titre de l'intérêt légitime décrit dans la section Finalités et bases légales. Ce site n'a pas de comptes : votre réponse est donc conservée dans ce navigateur et n'agit que là ; l'application web hébergée dispose de son propre réglage, et les applications iOS et Android en disposent à partir de la version qui l'introduit, l'un et l'autre décrits dans la section Analyse produit.

Analyse produit

Les applications web, iOS et Android hébergées nous envoient des événements d'usage du produit. Ces événements arrivent sur notre propre infrastructure et sont stockés dans notre propre base de données ; nous n'utilisons pas de fournisseur d'analyse tiers pour cela.

Les événements décrivent les écrans, la durée et le nombre des sessions de révision, ainsi que la réussite ou l'échec des actions. Ils peuvent contenir des identifiants d'installation et de session et, le cas échéant, des identifiants d'espace de travail et de compte. Ces événements des applications ne contiennent pas de texte libre, ni de contenu de cartes ou de paquets, ni votre adresse e-mail.

Lorsque la version du client le permet, la langue d'interface est enregistrée au moment de chaque événement, avant la mise en file d'attente hors ligne. La langue de l'appareil est distincte et peut différer de la langue d'interface. Les profils d'installation contiennent le contexte technique actuel, y compris la plateforme, les versions de l'application et du système d'exploitation, la langue de l'appareil et le fuseau horaire, lorsque le client les fournit. Une partie du contexte technique reste aussi sur les événements individuels pour des raisons de compatibilité. Les clients ou événements plus anciens peuvent ne pas indiquer la langue d'interface ; nous ne déduisons pas les valeurs manquantes à partir de la langue de l'appareil ou du fuseau horaire.

Pour l'analyse d'audience, nous estimons le pays de connexion à partir de l'adresse IP reçue par notre passerelle d'API pour les requêtes directes éligibles de l'application, au plus une fois par installation et par jour UTC lorsqu'elle se connecte. Nous recherchons l'adresse dans une base MaxMind GeoLite Country conservée dans notre propre infrastructure AWS. L'adresse est traitée en mémoire pendant la requête, n'est pas stockée dans l'analyse produit et n'est pas envoyée à MaxMind. Les journaux d'accès configurés d'API Gateway omettent l'adresse IP brute ; l'infrastructure réseau traite toujours des adresses IP pour acheminer les requêtes. Le pays est approximatif, peut être inconnu ou faussé par un VPN, et n'indique ni résidence, ni nationalité, ni localisation précise. Les relais serveur, les clients IA et les requêtes d'événements du site ne fournissent pas de pays d'installation. Par ailleurs, un événement qui parvient à notre collecteur sans identifiants de compte — les événements du site décrits plus haut, les événements de l'application web hébergée lorsque vous n'êtes pas connecté et les événements de notre service de connexion — porte un code pays à deux lettres que notre serveur déduit à la réception de l'adresse d'où parvient la requête, laquelle peut être celle d'un relais et non la vôtre ; nous conservons ce code avec l'événement, ne conservons aucune adresse et ne déduisons aucun pays pour les événements qui ne portent aucun identifiant. Nous n'appliquons pas le pays constaté à l'envoi aux événements hors ligne antérieurs.

L'historique de pays est constitué d'observations éparses : une période est prolongée tant que le pays observé reste le même, et une nouvelle commence lorsqu'il change. Les bornes d'une période ne prouvent ni une activité quotidienne ni une présence continue entre les observations. Les retours enregistrent séparément le pays de connexion au moment où l'envoi est accepté pour la première fois, et non au moment où un brouillon hors ligne a été créé.

Ce produit inclut des données GeoLite créées par MaxMind, disponibles auprès de MaxMind.

Le cookie d'analyse et l'analyse produit sont deux décisions distinctes, et aucune ne se déduit de l'autre. Refuser le cookie d'analyse décrit ci-dessus, ou le retirer plus tard, met fin uniquement à l'identifiant de visiteur partagé : les événements eux-mêmes continuent d'être collectés et, tant que vous êtes connecté, restent liés à votre compte.

L'analyse produit dispose de son propre réglage, qui désactive cette collecte. Tant qu'il est désactivé, l'application n'enregistre ni n'envoie aucun événement d'usage produit, et notre API écarte tout envoi qui parviendrait malgré tout pour un compte ou une session invité l'ayant désactivé. Il est activé sauf si vous le désactivez, car nous traitons ces événements au titre de l'intérêt légitime décrit dans la section Finalités et bases légales et non sur la base du consentement ; nous ne vous le demandons donc jamais, et une personne ayant refusé le cookie d'analyse l'a toujours activé. Il ne couvre que les événements d'usage produit envoyés par les applications ; les rapports d'erreur et de plantage, ainsi que nos propres enregistrements côté serveur du fonctionnement du service, n'en relèvent pas.

Dans l'application web hébergée, le réglage se trouve dans les paramètres de l'application web : votre réponse est conservée dans ce navigateur et, tant que vous êtes connecté, sur votre compte également, et un compte où il est activé ne réactive jamais un navigateur qui l'a désactivé. Les applications iOS et Android enregistrent la réponse sur l'appareil et, dès qu'il existe un compte ou une session invité où la conserver, l'y conservent aussi, en réessayant jusqu'à ce qu'elle y soit enregistrée ; c'est la réponse de cet appareil qui détermine ce qu'il envoie, de sorte qu'une réponse enregistrée ailleurs ne peut pas y relancer la collecte. Dans ces applications, le réglage apparaît dans les paramètres de l'application à partir de la version qui l'introduit ; une version publiée sans lui continue d'envoyer des événements, et notre API écarte tout lot qui parvient malgré tout d'un compte ou d'une session invité l'ayant désactivé. Cet écartement suppose un compte ou une session invité contenant votre réponse ; sur une installation qui n'a ni l'un ni l'autre, c'est l'enregistrement sur l'appareil lui-même qui empêche l'envoi. Le site web marketing a son propre réglage, décrit dans la section Analyse d'audience et cookies, qui n'agit que pour ce navigateur.

Désactiver ce réglage arrête la collecte future. Cela ne supprime pas les événements déjà enregistrés : les événements d'analyse produit sont uniquement ajoutés. La suppression du compte supprime les profils d'installation associés et anonymise les événements conservés au lieu de les effacer, comme décrit dans la section Conservation et suppression.

IA hébergée et clients IA externes

OpenAI est le fournisseur d'IA configuré pour les fonctions hébergées de conversation, de transcription et de génération d'images. Lorsque vous choisissez ces fonctions, nous envoyons à OpenAI les données de requête nécessaires pour les exécuter, ce qui peut inclure votre invite, le contexte pertinent de conversation et d'espace de travail, des pièces jointes ou des images, l'audio dicté et un identifiant de sécurité pseudonyme. Les requêtes de texte hébergées utilisent store: false, ce qui désactive le stockage des objets de réponse en vue d'une récupération ultérieure. Comme ces requêtes utilisent aussi la mise en cache des invites, OpenAI peut conserver un état d'application de cache chiffré pendant 24 heures au maximum. Selon les contrôles actuels de l'API d'OpenAI, les journaux applicables de surveillance des abus peuvent être conservés jusqu'à 30 jours, tandis que le point de terminaison de transcription indique qu'il ne conserve ni contenu de surveillance des abus ni état d'application. OpenAI n'utilise pas les données de l'API pour entraîner ses modèles, sauf si le titulaire du compte y consent explicitement.

Les requêtes d'IA hébergées sont aussi observées via Langfuse Cloud pour le débogage et l'analyse de la qualité du service. Les traces Langfuse peuvent contenir des invites, des réponses de modèle, l'activité des outils, des identifiants d'utilisateur, d'espace de travail et de session, ainsi que des métadonnées opérationnelles. L'implémentation masque les adresses e-mail et les champs qui ressemblent à des secrets ; les traces de transcription personnalisées excluent les octets audio bruts et les données des pièces jointes.

Nos administrateurs peuvent lire le contenu des conversations d'IA hébergées stocké dans notre propre base de données, y compris vos invites, les réponses du modèle et les suggestions d'invites du champ de saisie du chat, afin d'analyser comment les fonctions d'IA sont utilisées et de les améliorer. L'accès à ce contenu est réservé aux administrateurs de l'opérateur.

Lorsque vous connectez Nibomo à un client IA externe via le service MCP distant ou l'API Agent, les données que vous demandez à ce client de récupérer sont aussi traitées par ce client et par son fournisseur d'IA ou de modèle. Ce traitement distinct est contrôlé par l'opérateur du client et régi par ses conditions et sa politique de confidentialité.

Sous-traitants et destinataires

Nous utilisons les catégories de prestataires suivantes pour le service hébergé :

Amazon Web Services (AWS) pour l'hébergement, l'authentification Cognito, Postgres, le stockage de fichiers, les sauvegardes et les journaux opérationnels ;
Apple pour les paiements sur l’App Store, la vérification des achats et les notifications d’abonnement ;
Google pour les paiements sur Google Play, la vérification des achats et les notifications d’abonnement ;
Stripe pour les paiements d'abonnements web, la gestion de facturation, le calcul des taxes et les notifications de paiement ;
Resend pour les e-mails transactionnels d'authentification et de facturation ;
OpenAI pour les requêtes d'IA hébergées facultatives ;
Langfuse Cloud pour l'observabilité de l'IA hébergée ;
Sentry pour les rapports d'erreur et de diagnostic nettoyés, lorsqu'ils sont activés dans le service hébergé ou la version d'application concernée ;
Vercel pour le site web marketing et son Web Analytics sans cookies ; et
Cloudflare pour le DNS et la gestion des domaines. Les enregistrements DNS actuels de Nibomo sont en mode DNS uniquement, donc Cloudflare ne relaie pas le trafic HTTP du site web ni de l'application hébergée.

Des données peuvent aussi être communiquées aux autres membres d'un espace de travail partagé selon les fonctions de collaboration du service, à un client externe que vous autorisez, à des conseillers professionnels tenus à une obligation de confidentialité, ou à des autorités publiques lorsque la loi l'exige.

Transferts internationaux

L'application hébergée principale fonctionne sur l'infrastructure AWS de l'UE. La région e-mail Resend configurée, la région de données Sentry et le point de terminaison Langfuse sont également en Europe. Certains prestataires, dont OpenAI et Vercel, peuvent traiter des données en dehors de votre pays ou de l'Espace économique européen. Lorsque cela est nécessaire, nous utilisons les décisions d'adéquation applicables, des accords de traitement des données et les clauses contractuelles types ou des garanties équivalentes pour ces transferts.

Conservation et suppression

Les données de compte et d'espace de travail hébergé sont conservées tant que votre compte ou l'espace de travail partagé concerné reste actif. La suppression du compte retire de la base de données active vos données de compte actuelles, vos identifiants de connexion, vos appartenances et les espaces de travail dont vous êtes le seul membre. Le contenu d'un espace de travail qui compte encore d'autres membres reste accessible à ces membres.
L’historique de facturation Apple est conservé après la suppression du compte à des fins de comptabilité, de rapprochement et de gestion des réclamations juridiques. Nous remplaçons les identifiants internes d’utilisateur par des valeurs pseudonymes et effaçons le contenu des notifications Apple stockées attribuables au compte supprimé. Les identifiants nécessaires d’achat et d’attribution au compte Apple sont conservés ; Apple peut toujours les relier à vous, il ne s’agit donc pas d’une anonymisation complète. La suppression de votre compte Nibomo ne résilie pas votre abonnement Apple ; gérez-le ou résiliez-le auprès d’Apple.
L’historique de facturation Google est conservé après la suppression du compte à des fins de comptabilité, de rapprochement et de gestion des réclamations juridiques. Nous remplaçons les identifiants internes d’utilisateur par des valeurs pseudonymes et effaçons le contenu des notifications Google stockées attribuables au compte supprimé. Les identifiants nécessaires d’achat et d’attribution au compte sont conservés ; Google peut toujours les relier à vous, il ne s’agit donc pas d’une anonymisation complète. La suppression de votre compte Nibomo ne résilie pas votre abonnement Google Play ; gérez-le ou résiliez-le sur Google Play.
L'historique de facturation Stripe reste conservé après la suppression du compte pour la comptabilité, le rapprochement et les réclamations légales. Nous conservons les notifications Stripe brutes et décodées pour rapprocher la facturation ; la suppression efface le contenu des notifications stockées attribuables au compte et remplace les identifiants internes d'utilisateur par des valeurs pseudonymes. Les données nécessaires de client, d'abonnement, de transaction, d'essai et de prévention des e-mails en double restent conservées. Stripe peut encore relier ses identifiants à vous ; il ne s'agit donc pas d'une anonymisation complète. Avant l'effacement, nous confirmons l'annulation des futurs renouvellements Nibomo Stripe ; si cela échoue, le compte n'est pas supprimé.
Les envois d'e-mails de facturation en attente peuvent conserver le destinataire et le contenu du message dans notre base jusqu'à l'acceptation du message par Resend, l'arrêt de l'envoi ou la suppression du compte. L'acceptation ou l'arrêt efface ce contenu privé ; la suppression du compte efface aussi l'identifiant de message Resend stocké. Les données d'envoi restantes empêchent les doublons. Cela n'efface pas les copies déjà détenues par Stripe ou Resend, dont les pratiques de conservation s'appliquent également.
Les événements d'analyse produit sont conservés après la suppression du compte. Pour les événements liés à votre compte et aux identités invité associées, nous remplaçons les identifiants de compte par une valeur aléatoire, supprimons les liens d'identité et effaçons les champs d'installation, de session, d'espace de travail, de requête, de modèle d'appareil, de système d'exploitation, de langue de l'appareil, de langue d'interface, de fuseau horaire et de pays. Les profils d'installation associés et leur historique de pays sont supprimés. Il s'agit d'une suppression d'identifiants, non d'une garantie que les événements conservés sont anonymes dans tous les contextes.
La suppression du compte fait aussi expirer le cookie analytics_visitor dans le navigateur depuis lequel elle est effectuée et réinitialise l'identifiant de session d'analyse de ce navigateur. Ce navigateur poursuit ensuite comme un nouveau visiteur anonyme, sous un nouvel identifiant sans lien avec le précédent, là où votre choix en matière d'analyse le permet. Cela ne concerne que ce navigateur ; une copie conservée dans un autre navigateur ou sur un autre appareil n'est pas atteinte, et un navigateur qui bloque l'écriture ou qui est fermé avant son exécution conserve l'ancien identifiant jusqu'à son expiration naturelle. Cela ne modifie pas non plus les événements déjà collectés : les événements enregistrés alors que vous n'étiez pas connecté et jamais liés à votre compte conservent l'identifiant avec lequel ils ont été enregistrés, et c'est la suppression des liens d'identité décrite ci-dessus qui empêche de rattacher cet identifiant à vous.
Les périodes de pays détaillées sont exclues des lectures d'audience dès que leur dernière observation date de plus de 90 jours. Un nettoyage quotidien les supprime ; la suppression physique peut être retardée jusqu'à ce qu'un nettoyage aboutisse. Une période inchangée peut commencer plus tôt que 90 jours, mais elle ne constitue pas un relevé de localisation quotidien. Le premier pays connu est conservé séparément pendant toute la durée de vie du profil d'installation, jusqu'à la suppression de ce profil.
Le pays associé à un retour reste attaché à l'enregistrement de ce retour et est supprimé avec lui dans le cadre de la suppression du compte ; la règle des 90 jours sur l'historique de pays ne s'applique pas aux retours.
Les médias stockés sont conservés tant que le contenu actif de l'espace de travail associé en a besoin, puis supprimés par le processus de nettoyage du stockage lorsqu'ils ne sont plus référencés. Les envois temporaires incomplets expirent après 7 jours.
La base de données dispose de 7 jours de sauvegardes automatiques RDS et d'un plan AWS Backup quotidien distinct avec une conservation de 35 jours. Les enregistrements supprimés du service actif peuvent subsister dans des sauvegardes de restauration chiffrées jusqu'à l'expiration de ces sauvegardes ; les sauvegardes servent à la reprise après sinistre, pas à l'accès courant au service.
Les journaux d'accès d'API Gateway expirent après 7 jours. Les autres journaux applicatifs CloudWatch n'ont aujourd'hui aucune expiration automatique configurée et sont conservés jusqu'à leur suppression manuelle. Nous limitons leur usage à l'exploitation, à la sécurité et au débogage, et nous supprimons les entrées concernées lorsque cela est nécessaire pour honorer un droit applicable en matière de protection des données.
L'offre Sentry Developer actuelle permet de consulter les événements sur 30 jours. Resend conserve les données des e-mails envoyés pendant 30 jours selon ses paramètres de service standard actuels.
La conservation chez OpenAI est décrite dans la section IA hébergée. Langfuse Cloud supprime les traces d'IA au bout de 30 jours : la limite d'accès du fournisseur appliquée à notre projet supprime chaque nuit les traces plus anciennes, et cette suppression est irréversible. Nous supprimons les traces identifiables lorsque cela est nécessaire pour honorer une demande de suppression valide.
La correspondance d'assistance et les enregistrements nécessaires à des fins juridiques ou de sécurité ne sont conservés que le temps nécessaire à la finalité concernée. Le hachage de visiteur de Vercel expire après 24 heures ; les statistiques agrégées du site web sont conservées selon les paramètres du projet Vercel.

La suppression d'un compte ne retire pas immédiatement les copies déjà présentes dans une sauvegarde planifiée ou dans le journal d'un prestataire. Ces copies expirent ou sont supprimées selon les durées ci-dessus, sauf si une durée plus longue est légalement requise.

Vos droits

Selon la loi qui vous est applicable, vous pouvez nous demander d'accéder à vos données personnelles, de les corriger, de les supprimer, d'en limiter l'utilisation ou de vous en fournir une copie portable. Vous pouvez aussi vous opposer à un traitement fondé sur les intérêts légitimes et retirer votre consentement lorsque le traitement repose sur le consentement. Ces droits peuvent être limités lorsque la loi le permet, notamment lorsque des données doivent être conservées au titre d'une obligation légale ou des droits d'une autre personne.

Vous pouvez supprimer votre compte hébergé dans l'application web, iOS ou Android. Pour toute autre demande, contactez-nous à l'adresse ci-dessous. Nous pouvons avoir besoin de vérifier votre identité avant de donner suite à une demande.

Vous pouvez déposer une réclamation auprès de l'autorité de protection des données de votre lieu de résidence ou de travail, ou du lieu où vous estimez qu'une infraction s'est produite. En Bulgarie, l'autorité de contrôle est la Commission for Personal Data Protection.

Sécurité et open source

Nous utilisons des contrôles d'accès, le chiffrement en transit, un stockage AWS chiffré et la minimisation ou le masquage des données dans les systèmes de diagnostic. Aucun service ne peut garantir une sécurité absolue.

Le code source public vous permet d'inspecter les chemins de traitement des données documentés et la configuration versionnée dans les dépôts. Le code source public ne prouve pas à lui seul la configuration ou le comportement actuels du service hébergé.

Contact

Pour une question de confidentialité ou une demande d'exercice de vos droits, écrivez à kirill+flashcards@kirill-markin.com ou utilisez la page d'assistance.

Langue

Cette politique de confidentialité est publiée en plusieurs langues. Si une traduction diffère de la version anglaise, la version anglaise prévaut.