Politique de confidentialité

Ce que Nova sait de vous, pourquoi, pendant combien de temps, et ce que vous pouvez exiger. Écrit à partir du code, pas à partir d'un modèle.

L'essentiel en six phrases

• Vos messages privés sont chiffrés de bout en bout : l'éditeur de Nova ne peut pas les lire, même s'il le voulait.
• Le fil apprend vos goûts en observant ce que vous regardez, sans jamais vous poser de question. C'est du profilage, et c'est décrit en détail plus bas.
• Aucune publicité, aucun traceur publicitaire, aucun outil de mesure d'audience tiers. Vos données ne sont pas vendues.
• Nova ne dépose que les cookies nécessaires à votre connexion. Il n'y a donc pas de bandeau à cliquer.
• Certains prestataires indispensables sont établis hors d'Europe : c'est dit, avec lesquels et pour quoi.
• Vous pouvez demander une copie de vos données, leur correction ou leur suppression, en écrivant à une adresse indiquée plus bas.

Qui est responsable de vos données

Le responsable du traitement est [[À COMPLÉTER : nom de l'éditeur]], dont l'identité complète figure dans les mentions légales. Pour toute question sur vos données, écrivez à [[À COMPLÉTER : adresse email de contact]].

Délégué à la protection des données : [[À COMPLÉTER : nom du délégué à la protection des données, ou « Sans objet » si l'éditeur n'en a pas désigné]].

Quand vous utilisez un module professionnel appartenant à un autre utilisateur (réserver un créneau, commander dans une boutique, remplir une fiche client), c'est ce professionnel qui décide de ce qu'il fait de vos données. Nova n'est alors que son prestataire technique : adressez-vous à lui pour ces données-là.

Chaque traitement, en détail

Chaque fiche ci-dessous décrit un usage réel : ce qui est collecté, pourquoi, sur quel fondement juridique, combien de temps et vers qui. Le dernier bloc de chaque fiche indique où le vérifier dans le code de Nova.

Cinq points qui méritent d'être expliqués

1. Vos messages sont illisibles par l'éditeur

Chaque appareil que vous utilisez fabrique une paire de clés. La clé privée ne quitte jamais l'appareil : elle est rangée dans une zone de stockage locale du navigateur, jamais envoyée sur le réseau, jamais présente dans la base. Quand vous écrivez, votre appareil chiffre le message avant de l'envoyer, puis chiffre la clé de ce message une fois pour chaque appareil des destinataires. Les serveurs ne reçoivent que des blocs illisibles.

Conséquence directe : nous ne pouvons pas modérer le contenu d'un message privé de notre propre initiative, et nous ne pouvons pas le fournir à un tiers. Autre conséquence, moins agréable : si vous perdez tous vos appareils sans avoir créé de coffre de secours, vos anciens messages sont définitivement illisibles, pour vous aussi.

Deux exceptions, que nous préférons écrire noir sur blanc :

• Quand vous signalez un message, votre appareil le déchiffre pour nous transmettre la preuve. Sont alors envoyés en clair : le message visé, ses fichiers joints, et quelques messages qui l'entourent dans la conversation, y compris écrits par d'autres personnes. C'est nécessaire pour comprendre le contexte d'un harcèlement, et c'est le seul cas où le chiffrement est levé.
• Les messages envoyés par Nova lui-mêmedans votre messagerie (une facture déposée par le module Devis, un message d'automatisation) ne sont pas chiffrés : ils sont écrits par le serveur, donc lisibles par lui.

Ce qui reste visible dans tous les cas, parce qu'il faut bien acheminer les messages : qui écrit à qui, dans quelle conversation, à quel moment, le type de message et la taille des fichiers.

2. Le fil apprend vos goûts sans vous le demander

Il n'y a pas de formulaire de préférences. Nova observe votre comportement et en déduit ce qui vous intéresse. Concrètement, pour chaque publication qui passe devant vous, trois choses sont notées : qu'elle est apparue, que vous vous y êtes attardé plus de 2,5 secondes, ou que vous l'avez zappée en moins de 0,8 seconde. S'y ajoutent les gestes explicites : like, commentaire, partage, enregistrement, abonnement, masquage. Chaque geste a un poids, du plus négatif (masquer) au plus positif (s'abonner).

De ces signaux, Nova tire une carte de vos goûts : des thèmes, tirés des hashtags des publications ; des auteurs ; des formats, photo ou vidéo. Cette carte sert à classer votre fil et les suggestions. Elle s'oublie d'elle-même : un intérêt non confirmé perd environ 2 % de son poids par jour.

Ce que ce profilage ne fait pas : il ne sert pas à afficher de la publicité, il ne sort pas de Nova, il ne produit aucune décision automatisée ayant un effet juridique sur vous, et il ne déduit ni votre santé, ni vos opinions, ni votre orientation. Il classe un fil, rien de plus.

Ce qu'il faut savoir aujourd'hui :il n'existe pas encore de réglage dans l'application pour couper ce classement ou repartir de zéro. Si vous voulez vous y opposer, écrivez-nous : nous effaçons votre carte de goûts et cessons d'enregistrer ces signaux pour votre compte.

3. Votre position, quand vous ouvrez le module Local

La page Local demande votre position dès son ouverture, par la fenêtre d'autorisation de votre navigateur ou de votre téléphone. Vous pouvez refuser : la page fonctionne alors sans tri par distance.

Si vous acceptez, vos coordonnées sont envoyées au serveur pour calculer les distances, puis oubliées. Elles ne sont pas enregistrées dans la base de Nova. Une copie reste dans la mémoire locale de votre navigateur pour éviter de vous redemander l'autorisation à chaque visite ; vider les données du site l'efface.

En revanche, le fond de carte est chargé par votre appareil depuis un service extérieur (OpenFreeMap) : ce service voit votre adresse IP et la zone que vous regardez. Retirer l'autorisation de localisation n'y change rien, c'est le fait d'afficher une carte.

4. Ce que voient les statistiques d'un professionnel

Les comptes professionnels disposent de statistiques : vues de leur boutique, clics sur un produit, écoutes d'un morceau, lectures d'un article, itinéraires demandés, ventes. Ces chiffres viennent d'événements enregistrés au moment où l'action se produit.

Un événement retient qui a agi, quand la personne est connectée, mais un professionnel ne voit que des totaux dans son tableau de bord. Pour un visiteur non connecté, un identifiant est créé dans son navigateur pour ne pas compter deux fois la même personne ; il n'est relié à aucune identité et disparaît avec les données du site.

Les événements détaillés sont purgés au bout de 90 jours. Les totaux par jour, qui ne disent plus qui a fait quoi, sont conservés au-delà : c'est ce qui permet à un professionnel de comparer son mois de mars d'une année sur l'autre.

5. Vos notifications passent par un tiers

Pour qu'une notification arrive sur un téléphone éteint, elle doit passer par le service de notification du système : Google pour Android, le service de votre navigateur pour le web. Nova enregistre pour cela un identifiant d'appareil, un par appareil et par navigateur. Le titre et le texte de la notification transitent par ce service : ils contiennent souvent un nom et un extrait, par exemple le début d'un commentaire.

Les messages privés font exception : aucun aperçu n'est envoyé, puisque le serveur ne les lit pas. Un appel entrant transmet seulement le nom de l'appelant.

Qui reçoit vos données

Nova ne vend pas vos données et ne les transmet à aucun annonceur. Les prestataires ci-dessous interviennent pour faire fonctionner le service, chacun sur le strict périmètre indiqué.

Nous pouvons aussi être obligés de transmettre des données à une autorité judiciaire ou administrative qui nous les réclame dans les formes légales. Dans ce cas, nous ne transmettons que ce qui est demandé, et rien de plus. Nous ne pouvons pas transmettre le contenu de vos messages privés : nous ne l'avons pas.

Transferts en dehors de l'Union européenne

Plusieurs prestataires ci-dessus sont établis aux États-Unis. Leurs transferts reposent sur les clauses contractuelles types de la Commission européenne, et le cas échéant sur le cadre de protection des données UE - États-Unis auquel ils adhèrent. Concrètement, sortent aujourd'hui de l'Union européenne : les vidéos que vous publiez, le contenu des emails que nous vous envoyons, le titre et le texte de vos notifications Android, vos questions à Nova AI, et les adresses IP échangées pendant un appel.

N'en sortent pas, en revanche, le contenu de vos messages privés : il est chiffré avant de quitter votre appareil, et personne d'autre que vos destinataires ne peut le déchiffrer, où que soit stocké le bloc chiffré.

Cookies et stockage sur votre appareil

Nova dépose un seul type de cookie : celui de votre session, qui vous garde connecté. Il est strictement nécessaire au service, ce qui explique l'absence de bandeau de consentement : il n'y a rien à refuser. Aucun cookie publicitaire, aucun cookie de mesure d'audience.

Une nuance : certains contenus sont affichés par un lecteur extérieur intégré à la page, par exemple le lecteur SoundCloud d'un musicien. Ces lecteurs peuvent déposer leurs propres cookies, sur lesquels nous n'avons pas la main. Ils n'apparaissent que sur les pages où le contenu concerné est présent.

Nova utilise aussi le stockage local de votre navigateur, qui ne quitte jamais votre appareil et n'est pas lisible par nos serveurs : vos clés de déchiffrement des messages, votre historique de recherche, la dernière position connue pour le module Local, vos préférences d'affichage, et un identifiant de navigateur qui évite de compter deux fois la même vue. Vider les données du site efface tout cela, y compris vos clés de messages.

Sécurité

Les échanges avec Nova sont chiffrés en transit. Les mots de passe ne sont jamais stockés en clair. L'accès aux données en base est cloisonné ligne par ligne : un compte ne peut lire que ce à quoi il a droit, y compris quand il interroge directement la base. Certaines colonnes sensibles sont carrément inaccessibles depuis l'application et ne se lisent que côté serveur. Les fichiers joints aux messages privés sont dans un espace de stockage privé et chiffrés. Les coordonnées bancaires ne passent jamais par nos serveurs : elles sont saisies chez Stripe Payments Europe, Limited.

Aucun système n'est infaillible. En cas de violation de données susceptible de créer un risque pour vous, nous prévenons la Commission nationale de l'informatique et des libertés dans les 72 heures et nous vous informons quand le risque est élevé.

Combien de temps vos données sont gardées

Chaque fiche de traitement indique sa durée. En résumé, et sans rien enjoliver :

• ce que vous publiez reste jusqu'à ce que vous le supprimiez ;
• les signaux détaillés du fil sont purgés au bout de 60 jours, les événements de statistiques au bout de 90 jours ;
• les totaux par jour, qui n'identifient plus personne, sont conservés sans limite ;
• les traces de paiement sont conservées dix ans, comme l'exige la comptabilité ;
• les signalements, les preuves associées et le journal des décisions de modération sont conservés même après la suppression de votre compte : la loi l'impose, et le journal des décisions est techniquement impossible à modifier ou à effacer ;
• une story cesse d'être visible au bout de 24 heures, mais sa ligne reste aujourd'hui en base : il n'y a pas encore de purge automatique.

Vos droits

Le règlement européen vous donne les droits suivants, et ils s'appliquent ici :

• Savoir ce que nous avons sur vous, et en obtenir une copie.
• Corriger ce qui est inexact. La plupart des informations de profil se modifient directement dans les réglages.
• Supprimer vos données, sauf celles que nous devons garder : traces comptables, signalements, journal de modération.
• Limiter un traitement le temps qu'une contestation soit tranchée.
• Vous opposer à un traitement fondé sur notre intérêt légitime, en particulier au profilage du fil et aux emails d'information.
• Emporter vos données dans un format réutilisable, pour les porter ailleurs.
• Retirer votre consentement quand un traitement en dépend : localisation, notifications.

Comment les exercer, concrètement

Écrivez à [[À COMPLÉTER : adresse email de contact]], depuis l'adresse email de votre compte, en indiquant votre pseudo et ce que vous demandez. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe, et nous vous le disons alors. Si nous avons un doute sérieux sur votre identité, nous pouvons demander un élément supplémentaire de vérification.

Ce qui se fait déjà sans nous écrire : modifier ou effacer votre profil, supprimer vos publications, restreindre qui voit quoi, refuser l'indexation par les moteurs de recherche, vous opposer au fil personnalisé et aux emails d'information, couper les notifications, retirer l'autorisation de localisation, vider votre historique de recherche, renseigner ou effacer votre date de naissance. Tout cela se trouve dans les réglages de l'application, en particulier dans Consentements et Informations personnelles.

L'export de vos données se fait aussi sans nous écrire, dans Réglages puis Mes données : un fichier complet, un fichier de vos publications, et un fichier de vos messages fabriqué sur votre appareil, puisque le serveur ne peut pas les lire. La désactivation et la suppression du compte sont en bas de la page Paramètres. Une demande par email reste possible pour tout ce qui ne serait pas couvert, et elle est traitée à la main.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou déposer une plainte en ligne sur www.cnil.fr.

Mineurs

Nova n'est pas destiné aux enfants. L'âge minimum d'inscription est indiqué dans les conditions d'utilisation. Si nous apprenons qu'un compte a été ouvert par une personne trop jeune, nous le fermons et effaçons ses données. Un parent qui constate qu'un compte a été créé par son enfant peut nous écrire : nous traitons ces demandes en priorité.

Si cette politique change

Nova évolue vite, et de nouveaux modules apportent de nouveaux traitements. Toute modification importante de ce document est annoncée dans l'application avant son entrée en vigueur. La date de dernière mise à jour figure en bas de cette page.