Ce que tu écris dans ton carnet t'appartient. Voici où ça va, qui peut techniquement le voir, et ce à quoi on s'engage. Écrit pour être lu, pas pour couvrir qui que ce soit.
Ton carnet est enregistré dans une base de données hébergée chez Supabase. L'application tourne chez Vercel, et PowerSync relaie ton carnet entre la base et tes appareils. Des règles d'accès dans la base font qu'un utilisateur ne peut jamais lire le carnet d'un autre.
Tout transite chiffré entre ton navigateur et nos serveurs, et les disques sont chiffrés. Mais ce n'est pas un chiffrement de bout en bout : la base sait lire ce qu'elle contient. C'est ce qui permet de retrouver ton carnet avec un simple lien par email, sans mot de passe à ne jamais perdre.
On préfère te le dire plutôt que de te laisser deviner.
Via l'outil d'administration de la base, le contenu de ton carnet est lisible : tâches, rendez-vous, pages, flot de pensées. Personne d'autre que le développeur n'a cet accès.
Ton email, et si tu passes par Google, ton nom et ton avatar. La photo de profil que tu envoies sur Mon compte et son portrait dessiné, si tu en envoies une. Les dates de connexion et l'adresse IP apparaissent dans les journaux techniques pendant quelques jours.
Quand tu envoies un retour depuis le bouton « Un retour ? », le message, la vue et la zone sont lus par le développeur. La capture d'écran ne part que si tu coches « Joindre la capture ». Elle est stockée dans un espace privé, jamais accessible par une adresse publique.
Ne jamais ouvrir ton carnet, sauf si tu le demandes toi-même pour un dépannage.
Aucune route du serveur ne lit ton carnet. Le code de Carnet ne parle à ton carnet qu'avec tes droits à toi. Une seule clé d'administration existe côté serveur, pour le paiement : elle ne lit et n'écrit que ton statut d'abonnement.
Aucun traqueur publicitaire dans ton carnet, aucune revente de tes données. Les pixels de Meta et d’OpenAI ne vivent que sur les pages publiques (voir « Publicité » plus bas). On regarde comment Carnet est utilisé, jamais ce que tu écris (voir « Mesure d’usage »).
Suppression complète sur demande. Ton compte, ton carnet et tes retours sont effacés. Les sauvegardes automatiques de la base disparaissent sous 7 jours.
Si tu connectes ton agenda, tes rendez-vous sont lus, jamais modifiés, et copiés dans ton carnet. Le jeton d'accès Google vit dans ta session, il n'est pas conservé côté serveur.
Carnet lit seulement le nom de tes agendas et, pour chaque rendez-vous, son titre, ses horaires et son lien. Ces données servent uniquement à afficher tes rendez-vous dans ton carnet : elles ne sont ni vendues, ni partagées, ni utilisées pour de la publicité ou pour entraîner des modèles d'IA.
L'utilisation et le transfert par Carnet des informations reçues des API Google respectent les règles de Google sur les données utilisateur des services d'API, y compris les exigences d'utilisation limitée (Limited Use).
Les données de ton agenda Google (nom des agendas, titre, horaires et lien des rendez-vous) sont protégées ainsi :
Data protection (English summary). Google Calendar data read by Carnet (calendar names; event title, start/end time and link) is encrypted in transit (HTTPS/TLS) and at rest (AES-256) in a database hosted in the European Union. Row Level Security restricts every account to its own data. Access is read-only; the Google access token is not stored in our database. Database access is limited to the people who build and maintain Carnet. Google user data is stored and processed only by our infrastructure providers acting on our behalf (Supabase, Vercel, PowerSync). It is never sold and never transferred to anyone else, including analytics, advertising or AI services. Carnet does not use Google Workspace API data to develop, improve, or train AI and/or ML models. Imported events are kept only while the calendar stays linked and the account exists; they are deleted when the user unlinks the calendar or deletes their account, which can be requested at elyane@emotions.co (backups expire within 7 days). Users are notified before any change to how Carnet uses Google user data.
L'abonnement passe par Stripe. Ta carte, ton adresse de facturation et tes factures sont chez Stripe ; Carnet ne garde que ton identifiant client et l'état de ton abonnement. Stripe ne voit jamais ton carnet.
Les e-mails de Carnet (ton code de connexion, et les premiers jours quelques mails pour bien démarrer) partent par Resend. À la création de ton compte, Resend reçoit ton email et ta langue ; ensuite, où en est ton abonnement (essai, abonné, résilié) et si tu as commencé à écrire dans ton carnet (oui ou non). Jamais ce que tu écris. Chaque mail porte un lien pour ne plus en recevoir. Pas de newsletter sans ton accord.
Pour savoir ce qui sert et ce qui gêne, Carnet utilise PostHog (serveurs dans l'Union européenne) : des gestes comme « vue Semaine ouverte » ou « tâche créée », la page visitée, et des enregistrements de navigation. Dans ces enregistrements, tout ton carnet est masqué : le texte est remplacé par des astérisques, les images et les champs ne sont pas enregistrés. On y voit où tu cliques, pas ce que tu écris. Jamais le texte de tes tâches, de tes pages ou de tes recherches, jamais ton email : tu n'y es qu'un identifiant technique. Un cookie permet de te reconnaître d'une visite à l'autre ; l'adresse IP n'est pas conservée.
Pour savoir quels canaux amènent des abonnés, un cookie (carnet_first_touch, 90 jours) note d’où tu es arrivé la première fois : le site d’origine (son nom de domaine seulement), la campagne indiquée dans le lien et la première page vue. À la création du compte, cette origine est gardée sur ton compte et sur ton abonnement chez Stripe. Elle reste chez nous : ni Meta ni OpenAI ne la reçoivent.
Pour savoir si nos publicités Instagram et Facebook amènent des gens, les pages publiques (accueil, connexion, abonnement) et la confirmation de paiement chargent le pixel de Meta. Meta reçoit la page visitée, ton navigateur, ton adresse IP et un cookie (_fbp, 90 jours), ainsi que ces étapes : inscription demandée, compte créé, paiement lancé, essai commencé, abonnement souscrit (avec son prix). Le pixel ne reçoit pas ton email, et il n’est jamais chargé dans le carnet.
Le début de l’essai et le premier paiement sont aussi confirmés à Meta par notre serveur, même si la page de retour ne s’affiche pas. Meta reçoit alors une empreinte de ton email (un hachage, pas l’adresse en clair), le cookie de la publicité cliquée s’il est là (_fbc), ton adresse IP et ton navigateur au moment du paiement, et le prix. Jamais le contenu de ton carnet. Meta peut relier ces données à ton compte Facebook ou Instagram, selon sa propre politique.
Même chose pour nos publicités dans ChatGPT : ces pages chargent aussi le pixel d’OpenAI, qui reçoit la page visitée, ton navigateur, ton adresse IP, deux cookies (__oppref, 30 jours, la référence de la publicité cliquée ; __obref, 1 an, un identifiant de navigateur), ainsi que l’inscription, le compte créé, le paiement lancé et l’abonnement souscrit (pas le début de l’essai). Si tu viens d’une de ces publicités, l’abonnement souscrit est aussi confirmé à OpenAI par notre serveur, avec cette référence et le prix, rien d’autre. Jamais ton email, jamais le contenu de ton carnet.
Quand quelque chose plante, un rapport technique part chez Sentry : le message d'erreur, la page et le navigateur. Sans cookie, sans ton identité, sans le contenu de ton carnet.
Quand tu colles un lien dans une page, le serveur va chercher son titre et son image pour l'afficher. L'adresse du lien passe donc par nos serveurs, sans être enregistrée ailleurs que dans ton carnet.
Quand tu changes ta photo de profil, Carnet en propose une version dessinée. Pour la faire, la photo (recadrée, sans le lieu ni l'appareil de la prise de vue) est envoyée à Google (API Gemini, offre payante) : Google ne s'en sert pas pour entraîner ses modèles et ne la garde qu'un temps limité, pour détecter les abus. Quand tu la gardes, Carnet enregistre la photo et son portrait dessiné, pour que tu passes de l'un à l'autre, dans un espace privé, jamais accessible par une adresse publique. « Retirer », sur Mon compte, efface les deux. Une photo que tu ne gardes pas n'est enregistrée nulle part.
Pas pour l'instant. Il rendrait ton carnet illisible même pour nous, mais il te demanderait une phrase secrète que personne ne pourrait te rendre si tu la perdais. On préfère d'abord être clairs sur ce qu'on fait. Si ça devient une option, ce sera à toi de l'activer.
Une question, ou envie que tout soit effacé ? Écris à elyane@emotions.co.