Plumany

Politique de confidentialité de Plumany

Version 0.6.1 — 23 octobre 2026 — Plumany 0.6.5, build 32.

1. Responsable et contact

Plumany est édité par Nicolas Fougeray, personne physique, responsable du traitement. Contact : plumany3420@gmail.com (voir aussi les mentions légales) ; pendant la bêta, aucune adresse postale ni numéro de téléphone n’est publié. Aucun délégué à la protection des données n’est désigné. Utilise cette adresse e-mail pour toute question ou pour exercer tes droits.

Plumany t’aide à raconter ton quotidien avec Léa, une intelligence artificielle, et à retrouver tes souvenirs. La bêta TestFlight est réservée aux adultes invités. Apple traite les données de distribution et les retours TestFlight selon sa propre politique de confidentialité.

2. Tes choix

Avant d’utiliser Léa, quatre choix distincts sont nécessaires :

Les photos, le calendrier et la localisation (ta position précise, décrite en section 3) restent facultatifs. Le choix distinct « Aider à améliorer Léa », également facultatif et décoché par défaut, figure dans l’écran de consentement et dans les Réglages. Tu peux le modifier à tout moment ; le refuser ou le retirer ne limite pas ton accès à Léa. Il concerne uniquement l’amélioration décrite en section 5 bis, pas les quatre choix nécessaires au service. Accepter le choix Voix ne t’oblige pas à parler : tu peux utiliser l’écrit. Tes choix et leur version sont enregistrés avec leur historique horodaté. Tu peux les modifier ou retirer ton consentement ; le retrait du partage avec l’IA ou du consentement aux informations sensibles empêche de continuer à utiliser Léa. Le retrait n’annule pas les traitements déjà effectués et ne supprime pas automatiquement les contenus existants.

Les permissions iOS du micro, des photos, du calendrier, de la localisation et des notifications sont également modifiables dans les réglages de l’iPhone. Une permission refusée rend la fonction concernée indisponible.

3. Données utilisées

Compte. Adresse e-mail, identifiant public, identifiants techniques de compte, de connexion et d’installation servent à te connecter et à sécuriser ton accès. Un jeton Apple permet l’acheminement des notifications si tu les actives.

Textes et transcriptions. Tes messages, transcriptions et récits servent à la conversation. Les cartes, le journal et la mémoire construits à partir de ton témoignage permettent de te restituer tes souvenirs et de personnaliser les questions de Léa.

Voix. Plumany ne conserve pas ta voix comme souvenir sonore : seule la transcription est gardée. L’enregistrement nécessaire à la transcription est temporairement traité, puis effacé dès la finalisation de la transcription ou en cas d’échec définitif. Sur nos serveurs, l’audio restant expire 24 heures après l’envoi, y compris lorsque la réponse du fournisseur a été reçue mais que la finalisation est encore en attente ; il est effacé au prochain contrôle périodique, qui peut être espacé jusqu’à une heure. Sur ton iPhone, les vocaux locaux en attente ou refusés sont effacés après 24 heures ; si l’app n’est pas ouverte à ce moment, ils le sont au lancement suivant. Un vocal resté sans envoi pendant plus de 24 heures, par exemple faute de réseau, est supprimé et ne sera pas transmis. Ces délais ne couvrent pas la conservation propre aux fournisseurs d’IA. Aucune empreinte vocale n’est créée pour t’identifier.

Photos. Pour les nouvelles photos ajoutées avec cette version, les métadonnées de fichier sont retirées sur l’iPhone et contrôlées côté serveur : EXIF, coordonnées GPS, date de prise de vue, appareil, IPTC/XMP et profil incorporé ne sont ni conservés avec la photo ni transmis à l’IA. L’image conservée est la version nettoyée. Le contenu visible de la photo et les informations que tu écris à son sujet peuvent, eux, révéler un lieu, une date ou une personne.

Les règles nouvelles sur l’audio et les métadonnées photo ne nettoient pas rétroactivement tous les fichiers ajoutés avec les versions précédentes. Tu peux supprimer les contenus concernés.

Calendrier. Si tu l’autorises, Plumany reçoit les titres, dates, horaires, fuseaux, statuts, récurrences, références techniques et lieux des événements, sur les sept jours précédents et les huit jours suivants, dans la limite de 512 événements. Les lieux peuvent comporter des coordonnées précises. Les invités, notes et URL des événements ne font pas partie de cette projection.

Localisation. Si tu l’autorises, ta position précise est lue seulement quand l’app est ouverte, jamais en arrière-plan. Elle reste sur ton iPhone : les services Apple en déduisent ton quartier et le lieu nommé où tu te trouves, et la météo utilise une position arrondie au centième de degré. Le serveur Plumany reçoit la ville, la région, le pays, le quartier, ce lieu et la météo, jamais tes coordonnées, ta rue ni ton numéro. Il ne garde que la dernière position reçue, remplacée à chaque envoi, sans historique, utilisée 15 minutes au plus et effacée avec ton compte. Si « Position exacte » est désactivée dans iOS, seuls la ville, la région et le pays sont utilisés. Les lieux que Léa retient dans ta mémoire restent du contenu ordinaire. Ce fonctionnement est distinct des lieux du calendrier.

Assistance et fonctionnement. Nous traitons les messages que tu adresses à l’assistance, ainsi que des événements techniques, erreurs, durées et informations de consommation nécessaires au fonctionnement du service.

Ne confie pas de détails sur tes proches qu’ils ne souhaiteraient pas partager. Les informations que tu racontes à leur sujet sont traitées pour ton récit ; ils ne sont pas automatiquement contactés.

4. Finalités et bases légales

La gestion du compte et la fourniture du service reposent sur l’exécution des conditions d’utilisation (article 6.1.b du RGPD). Le partage avec l’IA et l’utilisation des apports facultatifs reposent sur ton consentement (article 6.1.a). Le traitement des informations sensibles que tu choisis de confier repose sur ton consentement explicite distinct (article 9.2.a).

La sécurité, la prévention des abus, les diagnostics et la maîtrise des coûts reposent sur l’intérêt légitime de maintenir un service fiable (article 6.1.f). Le traitement des demandes relatives à tes droits répond aux obligations légales applicables (article 6.1.c).

Plumany ne vend ni ne loue tes données, n’affiche pas de publicité et ne suit pas ton activité d’un site ou d’une application à l’autre. Léa personnalise ses échanges ; elle ne prend pas de décision produisant des effets juridiques ou comparables sur toi.

5. Destinataires et accès

Les contenus et le contexte nécessaires sont transmis à OpenAI et Google Gemini pour la conversation, la transcription, l’analyse d’images, les restitutions, la synthèse vocale, les recherches ou les illustrations, selon la fonction utilisée. Gemini est utilisé dans une offre payante. OpenAI indique ne pas entraîner ses modèles sur les données API par défaut ; Google indique ne pas utiliser les contenus des services Gemini payants pour améliorer ses produits. Ces engagements ne signifient pas une absence de conservation : OpenAI prévoit généralement jusqu’à 30 jours de journaux anti-abus, avec exceptions ; Google prévoit notamment 55 jours pour la surveillance des abus et 30 jours pour certaines fonctions de recherche ancrée.

Outils d’IA de développement et de support. Les outils Anthropic (Claude) et OpenAI (Codex) ne sont autorisés à lire les contenus que des comptes de test identifiés, dont le compte de Nicolas utilisé pour les tests, ou des comptes ayant accepté « Aider à améliorer Léa » et dont ce consentement reste actif. Pour ces derniers, la lecture se limite aux extraits non nominatifs, une fois le dispositif d’extraction disponible ; accepter le choix n’autorise pas la lecture directe du compte ou de ses contenus bruts. Aucun autre compte n’est autorisé. Tant que l’extraction n’est pas disponible, cette seconde voie de lecture reste fermée. Les requêtes d’exploitation des agents restent limitées aux métadonnées et aux agrégats.

Si un outil d’IA reçoit ces extraits, son fournisseur reçoit les données correspondantes : elles ne restent pas uniquement sur le serveur Plumany. Ce recours est distinct des fournisseurs utilisés par Léa pour te répondre. Cette restriction d’usage ne constitue pas une garantie technique que tout accès d’administration serait impossible.

Cloudflare intervient dans l’acheminement des échanges réseau et peut traiter leur contenu HTTP. Resend achemine les e-mails de validation et de récupération de compte. Apple intervient pour les notifications, la distribution, Plans, le géocodage, la météo et la connexion Apple ; Google intervient également pour la connexion Google.

Le serveur applicatif est exploité en France chez l’éditeur. Les échanges sont chiffrés pendant leur transport et certains contenus sont chiffrés au stockage. Le service doit pouvoir déchiffrer des contenus pour les traiter : ce n’est pas un chiffrement de bout en bout empêchant tout accès par l’exploitant. L’éditeur dispose de moyens techniques d’administration. Nous ne garantissons pas qu’un accès technique au contenu en clair ou au lien entre un compte et ses données soit impossible sans une autorisation individuelle supplémentaire.

Obligations légales et urgence. Les règles d’autorisation d’accès s’appliquent sauf obligation légale, notamment en cas de réquisition judiciaire. En cas d’incident de sécurité grave, un accès d’urgence strictement nécessaire à la protection du service ou des personnes peut avoir lieu sans ton autorisation préalable. L’éditeur s’engage à tracer cet accès, son motif et son périmètre, puis à te le notifier après coup si tu es concerné. Cet engagement ne signifie pas qu’un dispositif automatique d’autorisation, de journalisation et de notification de toutes les consultations est déjà en place. Ces exceptions n’élargissent pas les comptes dont les outils d’IA de développement et de support sont autorisés à lire les contenus.

Les prestataires peuvent traiter des données hors de l’Union européenne, notamment aux États-Unis. Leurs accords de traitement prévoient des mécanismes de protection des transferts, notamment des clauses contractuelles types selon le prestataire et la situation. Tu peux demander à l’éditeur des informations sur les garanties applicables. Les obligations légales restent applicables aux communications aux autorités.

5 bis. Améliorer Léa-Core

L’amélioration de Léa-Core, le moteur de Léa, vise à réduire les erreurs et les délais de réponse et à améliorer la qualité des restitutions. Cette finalité est distincte de la fourniture de ta conversation et de tes souvenirs.

Mesures techniques sans contenu. Le chemin prévu pour cette amélioration utilise des mesures comme les temps de réponse, les taux d’échec, les longueurs d’échange et les coûts, sans messages, photos, audio ni souvenirs, et sans les relier à une personne dans les résultats d’analyse. Sa base légale est l’intérêt légitime à améliorer le fonctionnement du service (article 6.1.f du RGPD), sous réserve du respect de tes droits. Tu peux t’y opposer pour des raisons tenant à ta situation particulière, en écrivant à l’éditeur à l’adresse e-mail de la section 1.

Les données techniques actuellement conservées pour l’exploitation peuvent encore être rattachées à un compte. La séparation et l’agrégation nécessaires au chemin d’amélioration décrit ici ne sont pas présentées comme déjà déployées ; aucun interrupteur d’opposition dans l’app n’est annoncé comme disponible.

Extraits de récits — « Aider à améliorer Léa ». L’utilisation d’extraits de tes échanges, notes, cartes ou éléments de mémoire pour améliorer Léa-Core est soumise à ton consentement explicite distinct, facultatif et révocable, au titre des articles 6.1.a et 9.2.a du RGPD. Ce consentement est recueilli par le choix « Aider à améliorer Léa », décoché par défaut, dans l’écran de consentement et dans les Réglages. Les quatre choix nécessaires à l’utilisation de Léa n’autorisent pas cette autre finalité. Refuser ou retirer ce choix n’a pas d’effet sur ton accès au service.

Les extraits destinés à cette amélioration doivent être détachés du compte et nettoyés : sans ton nom ni ceux de tes proches, sans lieux ni dates précises, et sans numéros identifiants. Même ainsi, un récit peut être reconnu par recoupement : ces extraits sont pseudonymisés, pas garantis anonymes. Leur analyse peut faire intervenir les outils Anthropic (Claude) et OpenAI (Codex) mentionnés en section 5.

Cette version recueille et conserve ton choix avec sa version et son historique, mais ne réalise pas l’extraction de ces contenus pour l’amélioration. Le retrait, possible à tout moment dans les Réglages, exclut ton compte des extractions futures. Aucun accès direct aux contenus bruts pour cette finalité ne découle de ton accord. Les modalités d’effacement d’éventuels extraits devront être précisées avant la mise en service de l’extraction ; nous n’annonçons pas de suppression automatique sous 30 jours déjà opérationnelle.

6. Notifications personnelles

Si tu actives les notifications, une relance de Léa peut contenir un texte personnel, évoquer ton quotidien ou citer une personne. Ce texte transite par Apple et peut apparaître sur l’écran verrouillé. Dans Réglages › Notifications › Plumany › Afficher les aperçus, choisis l’affichage qui te convient, par exemple seulement lorsque l’iPhone est déverrouillé ou jamais. Tu peux aussi désactiver les notifications.

7. Conservation et sauvegardes

Les contenus de ton compte restent disponibles tant que tu les conserves ou que ton compte existe. Les transcriptions suivent les règles de suppression du fil ou de l’entrée du journal auxquelles elles sont rattachées. Les règles particulières des audios temporaires figurent en section 3.

La télémétrie technique D06 suit une rétention de sept jours. Les journaux HTTP ont une politique de rotation fixée à 30 jours : ils décrivent les requêtes par des informations techniques, sans corps de message, paramètres de requête ni identifiant de compte. Un identifiant technique de requête peut être conservé pour le diagnostic. Leur rotation est exécutée lors du fonctionnement du service ; cette durée ne constitue pas une garantie d’effacement à la seconde près d’un journal sur un serveur arrêté. Elle ne s’étend pas à tous les autres journaux ou aux sauvegardes. Les traces de connexion, preuves de consentement, demandes d’assistance et données de consommation ont des durées distinctes ; aucune durée uniforme ne couvre ces catégories.

La suppression du fil efface les contenus concernés des systèmes actifs. Des copies peuvent subsister dans les sauvegardes et les copies techniques jusqu’à leur rotation. La durée maximale effective de conservation de l’ensemble de ces copies n’est pas actuellement garantie. Nous ne promettons donc pas leur disparition sous 30 jours. Les suppressions doivent être rejouées lors d’une restauration avant de rendre les données à nouveau accessibles. Les durées des fournisseurs d’IA restent distinctes.

À la fin de la bêta, tes données sont conservées pour assurer la continuité de ton compte dans la version suivante. Tu peux demander leur suppression pendant la bêta comme après.

8. Supprimer et exercer tes droits

Tu peux supprimer une transcription en supprimant le fil de discussion ou l’entrée du journal qui la contient. Il n’existe pas de commande dédiée pour supprimer un seul message vocal transcrit dans le fil.

La suppression du fil efface ton témoignage et les réponses du fil. Les cartes, entrées de journal et éléments de mémoire déjà créés restent autonomes : supprime-les séparément si tu souhaites également les effacer. Tu peux modifier ou supprimer des contenus et des personnes mentionnées, et demander la suppression de ton compte. Les sauvegardes suivent les limites décrites en section 7.

Tu disposes des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité et de retrait du consentement, ainsi que du droit de définir des directives sur le sort de tes données après ton décès. L’export PDF de cartes ne couvre pas l’ensemble de ces droits : pour une demande plus large, écris à l’éditeur à l’adresse e-mail de la section 1.

Nous répondons dans un délai d’un mois, prolongeable de deux mois en cas de complexité, en t’en informant. Une vérification proportionnée de ton identité peut être nécessaire. Tu peux adresser une réclamation à la CNIL.

9. Sécurité et évolution

Aucun système n’est infaillible. En cas de violation de données, les notifications aux personnes concernées et à la CNIL sont effectuées dans les conditions et délais prévus par le RGPD. Les changements importants de cette politique sont portés à ta connaissance ; sa version figure en tête de page.