Retour sur Whisprompt

Politique de confidentialité

Dernière mise à jour : 3 octobre 2026

Cette page est une traduction, fournie pour que le document puisse être lu dans ta langue. La version anglaise est l’original ; là où les deux diffèrent, c’est le texte anglais qui fait foi.

Whisprompt est conçu en donnant la priorité à la confidentialité. Cette politique explique ce que nous faisons et, tout aussi important, ce que nous ne collectons pas. Elle couvre toutes les applications Whisprompt — sur téléphone, tablette, montre, télévision et Mac — ainsi que ce site. Là où quelque chose ne vaut que pour l’une d’elles, c’est indiqué.

En résumé : Tes textes restent sur tes appareils et ne nous parviennent jamais ; rien n’en envoie un ailleurs, sauf si tu connectes toi-même un service (section 3). La reconnaissance vocale est assurée par le moteur intégré à ton téléphone, qui peut pour cela envoyer du son à Apple ou à Google — installe un pack de langue hors ligne et le son ne quitte plus l’appareil. Dans les deux cas, il ne nous parvient jamais. Aucun compte n’est nécessaire, et nous ne vendons pas tes données. L’application peut mesurer comment elle se débrouille — des compteurs et des durées, jamais une ligne de ce que tu écris ou de ce que tu dis — mais seulement si tu dis oui : rien n’est mesuré tant que tu ne l’as pas fait, la question n’est posée qu’une fois que tu as utilisé l’application, et ta réponse s’applique aux appareils que tu associes comme les tiens (section 6).

1. Qui est responsable (responsable du traitement)

Leonid Kabanov (autónomo), Espagne. Contact : support@whisprompt.app. L’identification complète figure dans les Mentions légales. Nous sommes établis en Espagne, donc à l’intérieur de l’Union européenne : l’article 27 du RGPD — qui impose de désigner un représentant dans l’Union — ne nous est donc pas applicable. Nous n’avons pas désigné de délégué à la protection des données et n’y sommes pas tenus : Whisprompt n’est pas un organisme public, il ne suit pas les personnes de façon régulière et systématique à grande échelle, et aucune catégorie particulière de données ne nous parvient. L’autorité de contrôle de notre établissement est l’Agencia Española de Protección de Datos (AEPD), aepd.es.

2. Données traitées sur ton appareil

3. Données traitées par les services que tu connectes

Certaines fonctions facultatives se connectent à des services que tu autorises. Nous n’agissons que comme ton client ; chaque fournisseur est un responsable du traitement indépendant, soumis à sa propre politique :

4. Abonnement et Pro

Whisprompt n’a pas de comptes. Il n’y a nulle part où se connecter et rien à créer, aucun fournisseur ne se voit jamais demander ton adresse e-mail, et nous ne détenons pour toi ni nom ni adresse. Le prompteur, l’enregistrement et la diffusion fonctionnent tels quels, et un abonnement s’achète et se restaure sans compte. L’application contient bien encore le code d’un compte facultatif — Se connecter avec Apple, avec Supabase comme sous-traitant — et il est inerte : il s’active avec des clés qui ne sont pas intégrées à l’application, si bien qu’il n’y a pas d’écran de connexion, que rien n’atteint Supabase et qu’aucune adresse e-mail n’est collectée. Si un compte devait être introduit, cette page décrira ce qu’il traite avant la version qui l’apporte, et non après.

5. Diffuser sur tes autres appareils

Whisprompt peut faire tourner le prompteur sur plusieurs de tes propres appareils à la fois. Sur un même réseau local, ils se connectent directement. Sans réseau commun, la connexion passe par notre relais sur Cloudflare Workers :

6. Données d’usage

Whisprompt peut mesurer comment il se débrouille et nous envoyer ces mesures — des compteurs, des durées et des codes, jamais une ligne de ce que tu écris ou de ce que tu dis. Rien de tout cela n’a lieu si tu ne dis pas oui. Tant que tu ne l’as pas fait, il n’y a aucune mesure, aucun identifiant, et rien de stocké sur ton appareil pour cela. L’application pose la question une fois, et jamais au moment où tu l’ouvres pour la première fois, parce qu’une question posée avant que l’application ait fait quoi que ce soit est une question à laquelle tu n’as aucun moyen de répondre. Elle vient après que ta première lecture est allée quelque part — ou, si tu associes un deuxième appareil avant que cela n’arrive, à la fin de l’association, sur une seule carte, à côté de la question ci-dessous sur le fait de compter tes appareils. Cette carte a deux réponses et aucune troisième issue : elle ne se ferme pas si tu touches à côté ou si tu appuies sur retour, parce qu’une carte fermée par un geste malheureux aurait enregistré un refus que tu n’as jamais donné. Rien n’est écrit tant que tu n’y as pas répondu, si bien que si autre chose la retire de l’écran d’abord — l’application se ferme, un autre écran la remplace —, la question reste simplement ouverte et revient après ta prochaine lecture. Une fois que tu as répondu, dans un sens ou dans l’autre, elle ne revient plus du tout. Ta réponse s’applique aux appareils que tu associes comme les tiens, et la carte le dit là où tu la donnes : un appareil que tu associes plus tard prend cette réponse à sa prochaine connexion et te dit clairement qu’il l’a fait, au lieu de poser la même question une seconde fois. Cela fonctionne dans les deux sens — désactive la mesure sur l’un de tes appareils et les autres s’arrêtent aussi. Une réponse donnée sur un appareil n’est jamais écrasée par une réponse venue d’un autre, si bien que la désactivation faite ici ne peut pas être défaite par un appareil qui n’a pas encore été prévenu. Dis non et rien d’autre ne change dans l’application, et cet appareil ne redemande plus. Dis oui et l’interrupteur se trouve dans les réglages de l’application, sous « Données d’usage », de sorte que tu peux le désactiver à tout moment sans donner de raison. Ce sur quoi cela repose juridiquement figure à la section 9 ; les façons de revenir sur ta réponse sont à la fin de cette section. La désactiver arrête la mesure elle-même, et pas seulement l’envoi, et supprime de l’appareil l’identifiant décrit plus bas, tout ce qui attendait encore d’être envoyé, et la note sur une lecture en cours décrite sous « Ce qui est mesuré ».

6a. Rapports de plantage — une autorisation distincte, désactivée tant que tu ne l’accordes pas

Si l’application cesse de fonctionner, elle peut nous envoyer un rapport sur la panne. Cela ne fait pas partie de la mesure décrite à la section 6 : c’est une finalité différente, avec un destinataire différent, et cela a son propre interrupteur. La question est posée sur une carte à part, juste avant celle de la mesure, et l’on y répond séparément — un oui à l’une n’est pas un oui à l’autre, dans un sens comme dans l’autre. Cette carte fonctionne comme celle de la mesure : deux réponses, aucune troisième issue, et rien d’enregistré tant que tu n’en donnes pas une.

C’est désactivé tant que tu ne l’actives pas. Tant que tu ne l’as pas fait, rien n’est installé pour cela et rien n’est envoyé — cette règle n’a absolument aucune exception. Ce qui a des exceptions, c’est le stockage, et il y en a deux, décrites ci-dessous. Toutes deux existent pour te poser la question plutôt que pour collecter quoi que ce soit, toutes deux portent sur un plantage qui t’est déjà arrivé, et ni l’une ni l’autre n’envoie quoi que ce soit tant que tu n’as pas répondu.

La première, c’est un démarrage impossible. Si Whisprompt ne peut pas démarrer du tout, il n’y a aucun moment ultérieur où poser la question, alors l’écran d’erreur la pose sur place. Si tu as déjà activé les rapports de plantage, un rapport sur cette panne est envoyé et l’écran te dit qu’il l’a été. Si tu les as déjà désactivés, rien n’est proposé et rien n’est envoyé. Si la question ne t’a jamais été posée, l’écran la pose — envoyer ce seul rapport, ne pas l’envoyer, ou les envoyer à partir de maintenant — et rien ne quitte l’appareil tant que tu n’as pas choisi. Un rapport envoyé de cette façon est plus petit que celui décrit plus bas : il ne porte aucun identifiant d’aucune sorte, et il indique où l’application s’est arrêtée, la version de l’application, et de quel système d’exploitation il s’agit — rien de plus sur l’appareil, aucune langue d’interface, et aucune des étapes qui ont précédé. Il part chez Sentry, le même sous-traitant et les mêmes serveurs européens, et ce qui est dit plus bas sur l’adresse internet d’où arrive un rapport lui vaut également. Choisir de les envoyer à partir de maintenant est la même réponse que l’interrupteur dans les Réglages, et cela se désactive au même endroit. Le même écran, avec les mêmes trois réponses, apparaît aussi quand une seule partie de l’application tombe en panne pendant qu’elle tourne plutôt qu’au démarrage. Cela ne vaut que pour l’application téléphone et tablette : les applications Mac et télévision n’ont pas d’écran de ce genre.

La seconde, c’est un plantage à propos duquel nous n’avons pas pu te poser la question sur le moment — parce que l’application avait disparu avant que tu puisses répondre, ou parce que tu l’as fermée au lieu de répondre. Si la question ne t’a jamais été posée, un rapport à ce sujet est conservé sur ton appareil, et au prochain démarrage normal de l’application, elle le signale en bas de l’écran et te propose la question. C’est un rapport unique et non une file d’attente ; un deuxième plantage ne le remplace pas. Rien à son sujet n’est envoyé tant que tu ne dis pas oui à cet endroit. Il est supprimé quand tu réponds, dans un sens ou dans l’autre, quand tu demandes à cet avis de le supprimer, quand les rapports de plantage sont désactivés, et dans tous les cas sept jours après avoir été conservé. Ce fichier est la seule chose stockée sur ton appareil pour les rapports de plantage avant que tu n’aies accepté quoi que ce soit, et nous préférons le nommer plutôt que de laisser le paragraphe ci-dessus donner à croire qu’il n’y a rien : il existe pour qu’il soit seulement possible de poser la question. Les plantages qu’il rattrape sont ceux que nous ne verrions jamais autrement — les premiers lancements d’une toute nouvelle installation, qui sont les pires plantages qui soient et qui appartenaient précisément aux personnes que la question n’avait jamais atteintes. Ce qu’il ne rattrape pas, c’est un plantage que le système d’exploitation traite lui-même, sous l’application : ceux-là exigent toujours que l’envoi ait été activé au préalable.

Nous ne mettons pas la clé d’un sous-traitant dans une version tant que l’accord de sous-traitance de ce sous-traitant n’est pas en vigueur. Ce que Sentry détient en dehors des rapports que les gens nous envoient, ce sont les rapports de test que nous nous sommes envoyés depuis une machine de développement, pour vérifier que les noms, les chemins et les adresses sont bien retirés. Ceux-là sont les nôtres, pas les tiens, et nous les supprimons.

6b. Ce que tu nous envoies toi-même

L’application a un écran « Envoyer un commentaire ». Rien de ce qui s’y trouve ne nous parvient tant que tu n’as pas touché envoyer, et ce qui nous parvient alors, c’est ce que tu as écrit plus ceux des éléments facultatifs que tu as choisi d’ajouter. Ce n’est pas une mesure et ce n’est pas un rapport de plantage : c’est toi qui l’écris, c’est toi qui décides ce qui l’accompagne, et cela sert à te répondre et à réparer ce dont tu nous as parlé.

Une fois que tu as envoyé quelque chose, l’application prend de ses nouvelles. Tant qu’un de tes messages reste ouvert — en attente de lecture, en cours ou en attente de ta réponse à une question que nous avons posée — ou a été fermé au cours des trente derniers jours, l’application demande à notre serveur où il en est, ainsi que la courte note que nous avons éventuellement écrite à son sujet : au démarrage de l’application, quand tu y reviens et une fois par heure tant qu’elle reste ouverte, mais jamais plus d’une fois toutes les quinze minutes. Quand tu ouvres Mes messages et après avoir ajouté des précisions, elle demande la même chose pour tous les messages envoyés depuis cet appareil, y compris ceux qui sont faits ou non prévus. Cette question n’emporte rien d’autre que les identifiants que l’application a gardés pour tes propres messages au moment de les envoyer : rien de nouveau te concernant n’est collecté, et c’est la seule chose ici qui se produise sans que tu touches envoyer. Les réponses sont conservées sur ton appareil pour que l’écran se lise encore sans connexion, et elles disparaissent avec l’application. Si nous te demandons des précisions, ce que tu écris en retour est envoyé comme un nouveau message, sous les mêmes règles et avec les mêmes éléments joints que n’importe quel autre.

Ce qui accompagne toujours un message, parce qu’un signalement que nous ne pouvons pas situer est un signalement sur lequel nous ne pouvons pas agir : la version et le numéro de build de l’application, le système d’exploitation et sa version, le modèle de l’appareil, la langue et la région sur lesquelles l’appareil est réglé (es_ES, par exemple, c’est l’espagnol tel qu’on le parle en Espagne), et la langue dans laquelle l’application elle-même s’affiche. Il en va de même pour l’identifiant d’abonnement aléatoire de la section 4, chaque fois que cet appareil en porte un — ce qui est le cas depuis le premier achat effectué sur cet appareil, ou depuis qu’il a été associé à un appareil qui en a fait un —, pour la vérification unique décrite plus bas, après laquelle notre serveur ne le conserve pas. L’écran nomme chacun de ces éléments avant l’envoi, pour que tu saches ce que tu envoies pendant que tu l’écris.

Ce qui n’y va que si tu l’ajoutes. Des fichiers — jusqu’à trois, des captures d’écran ou un court enregistrement d’écran, choisis par toi dans ta propre bibliothèque ; nous recevons ce que tu joins et rien que tu n’aies pas joint. Une adresse pour te répondre, si tu veux une réponse ; sans elle nous lisons quand même chaque mot, et nous n’avons alors aucun moyen de savoir qui l’a écrit. Et l’identifiant de mesure de la section 6, derrière un interrupteur qui n’apparaît que lorsqu’il y en a un à joindre : c’est ce qui nous permet de regarder comment l’application se comportait avant que tu écrives.

La seule chose que nous déterminons nous-mêmes, c’est si le message vient d’un abonné, afin qu’il puisse recevoir une réponse en premier. Ton appareil envoie l’identifiant d’abonnement aléatoire de la section 4, notre serveur demande à RevenueCat s’il y a droit, et note cette réponse — oui ou non — et jamais l’identifiant lui-même. Rien ne relie donc ce que tu as dit à ce que tu as acheté.

Les messages sont conservés pour nous par Cloudflare sur des serveurs en Europe de l’Ouest : le texte dans une base de données, les fichiers dans un stockage d’objets, les deux sous le code de référence que l’application t’affiche une fois l’envoi effectué. Ils sont gardés deux ans et supprimés automatiquement à ce terme, et plus tôt si tu le demandes — cite ce code, ou dis-nous n’importe quoi d’autre qui nous permette de retrouver le message. Nous les lisons, et le modèle décrit ci-après aussi ; ils ne servent à rien d’autre : ni à mesurer, ni à profiler, ni à entraîner l’IA de qui que ce soit, ni à décider quoi que ce soit à ton sujet.

La première à les lire est une machine, et pas une des nôtres. Chaque nouveau message est d’abord lu par un modèle d’IA — Claude, conçu par Anthropic —, auquel nous avons confié une seule tâche : déterminer de quoi parle le message, à quel point il compte et à quel endroit de l’application il appartient, et rédiger une ébauche de ce que nous pourrions répondre. Il ne décide rien que tu puisses voir. Un statut et une note sur ton écran « Mes messages », un e-mail pour toi, un ticket dans notre outil de suivi : chacun de ces gestes n’est fait que sur notre parole, après que l’un de nous a lu ce qu’il propose. Pour effectuer ce travail, quatre services en plus de Cloudflare traitent ce que tu as envoyé, ou une partie de cela :

Ces quatre services ne comptent pas parmi nos sous-traitants de la section 10 : nous utilisons chacun d’eux selon ses propres conditions, comme n’importe lequel de ses utilisateurs, et aucun accord de sous-traitance ne les lie à nous. La suppression nocturne ne les atteint pas non plus. Elle couvre notre base de données et notre stockage de fichiers chez Cloudflare — où chaque résumé envoyé à Telegram est conservé lui aussi, pendant deux ans à compter du jour de son envoi —, et rien en dehors d’eux. Ce que détiennent les quatre reste là jusqu’à ce que nous l’y supprimions à la main, et quand tu nous demandes de supprimer ton message, nous le faisons : dans les quatre endroits, et dans ces résumés. Chaque copie porte le code de référence ; c’est ainsi que nous la retrouvons. Une fois que nous avons supprimé une exécution de notre compte, les conditions d’Anthropic lui laissent 30 jours pour l’effacer de ses propres systèmes.

Une chose à savoir avant de joindre une image : une capture d’écran contient tout ce qui était à l’écran au moment où tu l’as prise, ce qui peut inclure un texte que tu étais en train de lire. Ne joins que ce que tu accepterais que nous détenions, et nous supprimerons ce dont nous n’avons pas besoin.

Demander une langue. Là où l’application liste une langue qu’elle ne parle pas encore, tu peux nous demander de l’ajouter. Toucher « Demander » envoie à notre serveur deux choses et rien de plus : le code de langue, et une clé aléatoire que cette installation crée la première fois que tu demandes. La clé sert à ce qu’une demande envoyée deux fois à cause d’une mauvaise connexion ne soit pas comptée comme deux installations voulant la même langue. La demande part que tu aies autorisé la mesure de la section 6 ou non, parce que c’est quelque chose que tu nous as demandé, pas quelque chose que nous avons mesuré. Elle est conservée chez Cloudflare en Europe de l’Ouest, à côté des messages, pendant deux ans à compter du jour où elle arrive, puis elle est supprimée automatiquement ; personne d’autre que nous ne la lit, et elle ne va nulle part ailleurs. La clé n’est montrée nulle part, pas même à toi, et rien de ce que nous conservons à côté d’elle ne dit à qui elle appartient — c’est aussi pour cela que nous ne pouvons pas repérer la tienne pour la supprimer plus tôt. Sur ton appareil, la clé reste jusqu’à ce que tu effaces l’appareil ou que tu supprimes l’application.

6c. Questions que tu poses à l’IA

La recherche en haut des Réglages peut transmettre une question à l’IA. Rien n’est envoyé tant que tu ne touches pas « Demander à l’IA », et alors seulement ceci : les mots que tu as saisis, la langue de l’app, les réglages que la recherche propre à l’app a trouvés pour ces mots, et un nombre aléatoire que l’app crée pour cette installation. Jamais tes textes, tes enregistrements ni rien d’autre sur l’appareil.

Notre serveur chez Cloudflare répond à la question avec un modèle d’IA ouvert qui s’appuie sur le manuel de l’app elle-même. Cloudflare n’exploite rien de ce qui lui parvient pour entraîner un modèle, et nous ne gardons ni la question ni la réponse : l’une comme l’autre n’existent que le temps que la réponse soit rédigée. La réponse t’est montrée avec la mention qu’elle vient d’une IA, parce qu’elle peut se tromper.

Pour prévenir les abus, le serveur tient des compteurs sous ce nombre aléatoire : combien de fois l’appareil a posé une question dans la dernière minute, et combien de fois, dans la dernière heure, il en a posé une qui ne concerne pas Whisprompt. Si cela se répète, le serveur met l’aide de l’IA en pause pour cet appareil : une minute d’abord, puis deux fois plus longtemps à chaque fois, sans jamais dépasser un jour. Jamais ce qui a été demandé. Ces compteurs sont supprimés une heure après la dernière question de ce genre, ou un jour après la dernière pause. Le serveur compte aussi les questions qui arrivent d’une même adresse internet (IP), pour qu’un seul endroit ne puisse pas épuiser l’aide prévue pour tout le monde : au-delà d’un nombre fixé en une heure ou en un jour, cette adresse doit attendre. L’adresse elle-même n’est jamais conservée — seulement une version brouillée de manière irréversible (un hash), qui change chaque jour — et ces compteurs sont supprimés un jour après la dernière question. Une pause ne décide rien à ton sujet : elle ne concerne que l’aide de l’IA sur cet appareil. Cela repose sur ton consentement (Art. 6(1)(a) du RGPD), que tu donnes chaque fois que tu touches « Demander à l’IA ».

7. Effacer un appareil avant qu’il ne quitte tes mains

Les réglages de l’application contiennent un bouton « Effacer cet appareil », sous « Données d’usage ». C’est ce sur quoi il faut appuyer avant de vendre, de rendre, de faire reprendre ou de céder un appareil, et les Conditions te le demandent.

Cela retire de cet appareil : tes textes, tes enregistrements, les modèles vocaux que tu as téléchargés, les connexions que tu as accordées à des services comme Notion, l’identifiant de mesure, et toutes les réponses sur la confidentialité que tu y as données. Cela sort aussi l’appareil de tes appareils associés, si bien qu’il cesse de refléter ta bibliothèque et de partager ton abonnement. Tes autres appareils gardent tout.

Ton abonnement n’est pas touché. Il appartient à ton compte App Store ou Google Play et se restaure sur ton prochain appareil.

Deux limites, dites clairement. Si l’appareil est hors ligne au moment où tu l’effaces, l’effacement local se termine quand même mais tes autres appareils n’en sont pas informés ; l’application le dit, et tu peux le retirer de la liste d’appareils depuis n’importe lequel d’entre eux. Et les mesures déjà envoyées avant l’effacement ne sont pas rappelées par lui — pour celles-là, utilise la demande de suppression de la section 11.

8. Ce que nous ne collectons PAS

Ce site ne dépose aucun cookie. Il conserve deux préférences dans ton navigateur : le thème, que tu règles avec le bouton soleil-et-lune dans l’en-tête, et la langue, pour que whisprompt.app s’ouvre la prochaine fois dans la langue que tu lisais en dernier. Toutes deux ne sont lisibles que par ce site, aucune ne t’identifie, aucune n’est envoyée ni à nous ni à qui que ce soit d’autre, et effacer les données de ce site dans ton navigateur les supprime. Le site est servi par Cloudflare, qui voit l’adresse depuis laquelle tu te connectes, comme le fait tout serveur web, et n’en déduit que le pays servant à afficher le prix pour ton store.

Le traitement de ton son et de tes textes pour faire tourner le prompteur est effectué pour fournir la fonctionnalité que tu demandes (Art. 6(1)(b), exécution d’un contrat / ta demande). Les sources connectées facultatives, les droits liés à l’abonnement et la restauration d’un achat reposent sur la même base. Protéger le relais des abus repose sur notre intérêt légitime (Art. 6(1)(f)).

Tout ce qui figure à la section 6 repose sur ton consentement (Art. 6(1)(a)) : la mesure elle-même, et le fait de compter tes appareils comme une seule personne sous un identifiant partagé. Les rapports de plantage de la section 6a reposent eux aussi sur ton consentement — une troisième autorisation, qui ne fait partie d’aucune des deux autres : un outil de remontée des plantages stocke des choses sur ton appareil et n’est pas nécessaire pour faire tourner un téléprompteur, il n’y a donc rien d’autre sur quoi le fonder que ton oui. Les trois sont demandés séparément et retirés séparément, à tout moment ; retirer son consentement est aussi facile que de le donner, et ne coûte pas plus de pressions. Le retrait prend effet à partir de ce moment : il ne rend pas illicite ce que nous avons fait tant que ton consentement tenait, et il ne supprime pas à lui seul ce qui avait déjà été envoyé — pour cela, demande-le-nous, et la section 11 dit comment. La mesure et les rapports de plantage sont des réponses données par une personne plutôt que par un appareil : la réponse que tu donnes se reporte sur un appareil que tu associes et à qui la question n’a pas encore été posée — lequel te dit qu’il l’a prise — et elle ne déplace jamais une réponse déjà donnée sur un appareil. Le comptage est demandé une fois pour une raison voisine, parce que c’est un fait qui concerne un ensemble d’appareils plutôt que l’un d’eux en particulier, et un oui à cette question est transporté aux autres appareils du même abonnement. Un retrait voyage plus loin que n’importe laquelle d’entre elles : il atteint tes appareils même là où ils ont déjà répondu, parce qu’une opposition est le fait d’une personne, et qu’entre atteindre un appareil de trop et en laisser un mesurer contre la volonté de son détenteur, nous choisissons le premier. Nous demandons plutôt que de supposer, et la raison mérite d’être dite clairement : mesurer une application en stockant un identifiant sur ton appareil ne pourrait se faire sans demander que si notre prestataire de mesure s’engageait par écrit à ne jamais réutiliser les données à ses propres fins, et rendait impossible de regarder une personne isolée à l’intérieur de son propre outil. Nous ne lui avons demandé ni l’un ni l’autre, alors c’est à toi que nous demandons.

Ce que nous faisons des mesures mérite d’être nommé plutôt que décrit dans l’abstrait : Whisprompt suit ta voix à travers un texte dans toutes les langues prises en charge, la qualité de ce suivi diffère d’une langue à l’autre, et le seul moyen pour nous d’apprendre qu’une langue est mal suivie est de compter combien de fois les gens ont dû reprendre le texte à la main — par langue, sur assez d’installations pour que le nombre veuille dire quelque chose. Les mesures sur l’écran d’abonnement répondent à une question plus petite : par quelle fonction verrouillée les gens sont réellement arrêtés. Dans les deux cas, les mesures n’emportent rien de ce que tu as écrit ou dit, l’adresse d’où elles arrivent n’est pas transformée en localisation, l’identifiant est remplacé au bout de treize mois, et rien n’est croisé avec des données venues d’ailleurs ni utilisé pour prendre des décisions à ton sujet.

Rien de tout cela ne t’est imposé. Aucune loi ne t’oblige à nous en donner quoi que ce soit, et rien de ce que nous vendons n’y est conditionné : l’application s’installe, le prompteur tourne, et un abonnement s’achète et se restaure sans compte. Une fonction dépend d’une autorisation — suivre ta voix ne peut pas fonctionner sans le micro — et la refuser laisse le prompteur défiler tout seul, ce qui est un mode à part entière plutôt qu’un pis-aller. Les mesures de la section 6 et les rapports de plantage de la section 6a ne sont nécessaires à rien du tout : refuse l’un, l’autre ou les deux et l’application se comporte exactement comme elle l’aurait fait sinon. La conséquence d’un refus retombe sur nous plutôt que sur toi — nous n’avons simplement pas la mesure.

Nous ne prenons aucune décision te concernant par des moyens automatisés, et nous ne construisons aucun profil. Rien de ce qui est décrit ici ne t’évalue, ne prédit quoi que ce soit à ton sujet ni ne te range dans un groupe, et rien ici ne produit à ton égard d’effet juridique ni rien de comparable. Deux choses sont décidées par une machine, et toutes deux portent sur du matériel plutôt que sur toi : le relais repousse les requêtes qui arrivent trop vite, et il n’ajoutera pas un septième appareil à un abonnement qui en couvre déjà six. Ni l’une ni l’autre ne pèse quoi que ce soit à ton sujet — l’une compte des requêtes, l’autre compte des appareils. Le modèle qui lit d'abord tes messages (section 6b) les trie — de quoi il s'agit, et à quel point cela paraît urgent — mais il ne décide rien à ton sujet : tout ce qui te parvient de sa part a été décidé par l'un d'entre nous.

Ce que tu nous envoies toi-même — un message depuis l’écran de commentaires ou une demande de langue (les deux dans la section 6b), ou tout ce que tu choisis de nous envoyer par e-mail — repose sur ton consentement (Art. 6(1)(a)). Rien n’est collecté tant que tu ne l’envoies pas, et ce qui accompagne un message relève de ton choix au moment où tu l’écris. Te répondre, réparer ce que tu as signalé et compter quelles langues on nous demande, c’est honorer ce même geste.

10. Sous-traitants, et transferts hors de l’EEE

Chaque sous-traitant nommé ici est lié à nous par un accord de sous-traitance écrit qui lui impose de protéger tes données au niveau que fixe la présente politique, de ne les traiter que sur nos instructions et uniquement aux fins nommées ici, et jamais pour les siennes. Nos sous-traitants — RevenueCat (abonnements), Cloudflare (le relais, les messages que tu envoies depuis l’écran de commentaires et les questions que tu poses à l’IA), Amplitude (données d’usage) et Sentry (rapports de plantage) — peuvent traiter des données en dehors de l’Espace économique européen, y compris aux États-Unis. Amplitude reçoit les mesures sur son point d’entrée européen et Sentry conserve les rapports de plantage dans sa région européenne, mais les deux entreprises sont américaines : ces transferts reposent donc tout de même sur les clauses ci-dessous. Chacun de ces transferts est effectué au titre des clauses contractuelles types de l’UE, intégrées à l’accord de sous-traitance que nous avons conclu avec chacun de ces sous-traitants : l’avenant d’Amplitude fait partie de ses conditions de service et emporte les clauses de 2021, et l’avenant de Sentry relatif au traitement des données emporte les mêmes clauses, accompagnées de l’avenant britannique. Pour obtenir une copie des clauses invoquées pour l’un de ces transferts, écris à support@whisprompt.app en nommant le sous-traitant sur lequel porte ta demande ; nous t’enverrons les clauses qui lui sont applicables. (Ce qu’Amplitude détient au-delà de tes mesures, ce sont les événements de test que nous nous sommes envoyés depuis nos propres appareils, pour vérifier que l’adresse d’où arrive une mesure n’est pas transformée en localisation. Ils sont à nous, pas à toi, et nous les supprimons.) Les accords et les clauses ci-dessus couvrent ces sous-traitants et personne d’autre. Les quatre services que la section 6b nomme comme lisant, transportant ou détenant ce que tu envoies depuis l’écran de commentaires — Anthropic, Telegram, Google et GitHub — ne sont pas des sous-traitants à nous : chacun est établi en dehors de l’Espace économique européen ou conserve ce qu’il reçoit en dehors de celui-ci, et chacun le traite selon ses propres conditions. Aucun de nos sous-traitants ne détient de nom pour toi, et un seul d’entre eux peut détenir une adresse e-mail : si tu en donnes une sur l’écran de commentaires pour que nous puissions répondre, elle se trouve à l’intérieur de ton message chez Cloudflare jusqu’à la suppression de ce message. Au-delà de cela, ce qu’ils détiennent, c’est un identifiant d’abonnement aléatoire, des identifiants par appareil, l’identifiant que portent les mesures, le nom que chaque appareil déclare pour lui-même, et des détails techniques de connexion. En dehors d’eux, le modèle chez Anthropic lit cette adresse avec le reste de ton message, et si nous te répondons par e-mail, elle se trouve aussi dans notre boîte Gmail — la section 6b dit combien de temps.

11. Tes droits

En vertu du RGPD, tu as le droit d’accéder à tes données, de les rectifier, de les effacer, d’en limiter le traitement et d’en demander la portabilité, ainsi que de t’opposer au traitement. Nous ne détenons pour toi ni nom ni adresse e-mail : Whisprompt n’a pas de comptes, et une adresse que tu nous donnes avec un message reste avec ce message (section 6b). Nous détenons bien un enregistrement sur notre propre serveur : si tu utilises Whisprompt Pro sur plusieurs de tes appareils, nous conservons une liste de ces appareils — un identifiant que l’application génère pour chacun, le nom que chaque appareil déclare pour lui-même, ainsi que la date de son ajout et celle de sa dernière apparition — sous un identifiant d’abonnement aléatoire. Tu peux supprimer cet enregistrement depuis l’application à tout moment (Réglages → Données sur nos serveurs), et tout le reste demeure sur ton appareil : tu peux supprimer tes textes, les modèles et l’application quand tu veux. Pour retirer ton consentement aux mesures d’usage, désactive-les (Réglages → Données d’usage) ou écris-nous — la section 6 expose les deux, et l’une comme l’autre arrête la collecte et supprime l’identifiant de l’appareil. Pour que les mesures déjà envoyées soient elles aussi supprimées, demande-le-nous et nous les supprimerons : elles sont détenues sous ce seul identifiant aléatoire et sous aucun nom qui soit le tien. Supprimer l’enregistrement de ton abonnement ne les atteint pas, et désactiver la mesure n’atteint pas cet enregistrement, parce que les deux sont conservés sous des identifiants différents, délibérément : demande-nous celui que tu veux voir disparaître, ou les deux. Si tu nous as écrit depuis l’écran de commentaires et que tu veux la disparition de ce message et de ses pièces jointes, cite le code de référence que l’application t’a affiché — c’est par ce code que nous le retrouvons, ainsi que les copies qu’en décrit la section 6b, et aucun nom qui soit le tien n’est classé avec lui pour le retrouver autrement. Pour toute demande, écris à support@whisprompt.app. Tu as aussi le droit d’introduire une réclamation auprès d’une autorité de contrôle — celle de ton lieu de résidence, celle de ton lieu de travail, ou celle du lieu où tu estimes que quelque chose s’est mal passé. La nôtre est l’Agencia Española de Protección de Datos, en Espagne (aepd.es).

12. Durées de conservation

Les données locales subsistent jusqu’à ce que tu les supprimes ou que tu retires l’application. Les données d’abonnement sont supprimées avec ton profil client RevenueCat, même si des enregistrements de transaction anonymisés peuvent être conservés par RevenueCat et par le store à des fins comptables. Les salons du relais vivent au maximum quatre heures, la boîte aux lettres de connexion jusqu’à 30 jours, et la liste des appareils de ton abonnement jusqu’à ce qu’une année se soit écoulée sans qu’aucun d’eux ne s’en serve — ou jusqu’à ce que tu la supprimes depuis l’application. Les mesures d’usage n’ont pas de date d’expiration ; ce qui décide de leur durée de conservation, c’est ce à quoi elles servent. Elles restent tant qu’elles peuvent encore répondre à la question pour laquelle elles ont été collectées — la version de l’application que les gens font tourner aujourd’hui se comporte-t-elle comme nous le croyons — et elles sont supprimées dès qu’elles ne le peuvent plus, ou plus tôt si tu nous demandes de supprimer les tiennes. Rien n’est conservé au cas où cela se révélerait utile plus tard. L’identifiant sous lequel ces mesures sont conservées suit une horloge à lui, et une horloge courte : il est remplacé au plus tard treize mois après sa création, compté à partir du jour de sa création et non prolongé par l’usage, si bien qu’aucun enregistrement conservé sous un même identifiant ne peut s’étendre au-delà. Les rapports de plantage sont conservés chez Sentry pas plus de 90 jours. Un message envoyé depuis l’écran de commentaires, avec tout ce qui y est joint, est conservé deux ans à compter du jour de son arrivée, puis supprimé automatiquement — cette suppression est faite par le système qui le détient, chaque nuit, et non par quelqu’un qui s’en souvient ; demande-le-nous et le tien part plus tôt. Cette suppression n’atteint pas les copies que la section 6b décrit chez Anthropic, Telegram, Google et GitHub : elles restent jusqu’à ce que nous les supprimions à la main, ce que nous faisons quand tu le demandes. Les e-mails d’assistance ne sont conservés que le temps nécessaire au traitement de ta demande. Une demande de langue est conservée deux ans à compter du jour de son arrivée, puis supprimée par ce même passage nocturne.

13. Enfants

Whisprompt ne s’adresse pas aux enfants de moins de 16 ans et ne traite pas sciemment leurs données.

14. Modifications

Nous mettrons cette page à jour quand nos pratiques changeront et nous réviserons la date ci-dessus. Là où le calendrier de la modification nous appartient, la page est mise à jour avant la version qui l’apporte, et non après.