Confidentialité

GRILL ME vous pose des questions sur une décision. Ce que vous dites pendant ce temps est la chose la plus privée de l’application, alors elle est construite pour ne rien en garder dès le départ.

Responsable du traitement

Oliver Strebel-Mark
Emmericher Weg 76a
47574 Goch, Allemagne
hello@grillofficer.app

Aucun compte

Pas d’inscription, pas de connexion, pas d’adresse e-mail. L’application ne vous demande jamais quoi que ce soit qui vous identifie.

Votre voix ne quitte pas l’appareil

Quand vous parlez, ce que vous avez dit devient du texte sur votre iPhone. L’enregistrement n’est jamais transmis et jamais conservé.

Ce qui est envoyé, et pas conservé

Votre sujet et vos réponses sont envoyés à notre serveur sous forme de texte pour que la question suivante, et finalement le verdict, puissent être produits. Notre serveur ne conserve pas ce texte. L’état de la conversation vit sur votre appareil et voyage avec chaque question.

Ce que le serveur tient, c’est un décompte, jamais un contenu. Pour que le quota gratuit et un abonnement puissent fonctionner, il enregistre en face de l’identifiant de votre appareil : quels Grills ont été commencés, combien vous en avez utilisés sur la période en cours, et si un abonnement est actif, chacun avec l’heure d’écriture. Votre sujet, vos réponses et le verdict n’en font pas partie.

Une exception, et c’est un cas d’erreur. Si le modèle renvoie une réponse que le serveur ne parvient pas à lire, le serveur écrit quelques centaines de caractères de cette réponse dans son propre journal d’exploitation chez Cloudflare, afin que la panne puisse être trouvée et corrigée. Ce texte est celui de l’Officier et peut reprendre ce que vous avez dit. Il ne part pas vers notre outil d’analyse.

Pour le traitement, et non pour une conservation de notre part, ce texte parvient à :

• Anthropic (via Vercel AI Gateway) : produit les questions et le verdict.
• ElevenLabs : produit la voix, si vous la laissez activée. Seule la phrase que dit l’Officier est envoyée, jamais votre réponse.
• Cloudflare : exploite le serveur par lequel les deux passent.

Ce qui reste sur votre appareil

Quand un Grill se termine, il est écrit sur votre appareil : le sujet, vos réponses telles que l’Officier les a consignées, les affirmations et leur issue, et le verdict. C’est conservé là et nulle part ailleurs. Ce n’est pas envoyé chez nous, et ce n’est ni dans votre iCloud ni dans la sauvegarde de l’appareil. Personne d’autre ne peut le lire, sauf si vous l’envoyez : l’application peut transformer un verdict en carte à partager, et ce que vous partagez ainsi quitte votre appareil parce que vous avez choisi de l’envoyer.

Vous pouvez tout effacer à tout moment dans Réglages → Sur cet appareil → Supprimer tous les Grills. Supprimer l’application les efface aussi. Comme nous ne les recevons jamais, c’est le seul endroit où ils existent et le seul où il faut les supprimer.

Ce que nous mesurons

Nous comptons comment l’application est utilisée : qu’un Grill a commencé ou s’est terminé, combien de temps une question a pris, si la voix a fonctionné. Ces événements sont construits pour ne pas porter de texte libre. Une valeur peut être un nombre, une valeur vrai/faux, ou un texte court de quarante caractères au plus, délibérément trop petit pour contenir un sujet, une question ou une réponse. Votre sujet, vos réponses et les questions de l’Officier n’y sont pas mis. C’est une règle que l’application respecte et une limite que le serveur impose, pas une impossibilité mathématique, et nous préférons vous le dire plutôt que vous en promettre une.

Les événements portent un identifiant d’appareil, l’identifierForVendor d’Apple. Ce n’est pas votre nom et il ne contient rien de ce que vous nous avez dit. Mais c’est le même identifiant partout : le comptage d’usage, le quota gratuit, l’abonnement et l’analyse en dépendent tous, ces enregistrements vont donc ensemble et appartiennent à un appareil. Apple ne l’applique qu’à nos applications et ne le réinitialise qu’une fois que toutes nos applications ont été retirées de cet appareil, si bien que supprimer GRILL ME seul ne le change pas toujours. Ils sont analysés via notre serveur chez PostHog, dont le centre de données pour nous se trouve dans l’UE. PostHog Inc. est une société américaine et traite aussi ces données hors de l’UE ; la section plus bas le couvre.

Il n’y a aucun identifiant publicitaire et aucun suivi sur d’autres applications ou sites, et donc pas d’invite de suivi Apple.

Quand quelque chose ne va pas

Quand l’application intercepte une erreur, elle la signale pour que la panne puisse être corrigée : le type d’erreur, le message que l’application a écrit sur elle-même, sur quel écran cela s’est produit, le domaine et le numéro d’erreur d’Apple, et jusqu’à quarante lignes de la pile d’appels interne de l’application. Cela part vers PostHog, sous le même identifiant d’appareil que les événements d’usage.

Ce message est écrit par l’application sur elle-même, jamais par vous. Il contient des choses comme un code de statut ou un échec de décodage, et il est limité à trois cents caractères. Ce n’est pas un endroit où l’on met votre sujet ou vos réponses.

Ce site

Le site compte lui aussi les visites : quelle page, dans quelle langue, et depuis quel site vous êtes arrivé. L'analyse passe par PostHog dans l'UE, via notre propre adresse z.grillofficer.app, pour que la requête n'aille pas chez un tiers.

Rien n'est enregistré sur votre appareil : ni cookies, ni stockage local. C'est pourquoi aucune bannière ne demande votre consentement ici, et pourquoi chaque visite est une première visite, puisque rien ne vous reconnaît. Votre adresse IP est traitée pour livrer la page et pour en déduire le pays.

Aucun clic n'est enregistré et aucune session n'est rejouée.

Achats

L’abonnement passe par Apple. Nous gérons le droit d’accès avec RevenueCat, avec le même identifiant d’appareil. Nous ne voyons jamais de données de paiement ; elles restent chez Apple.

Combien de temps c’est conservé

Sur votre appareil : un Grill terminé reste jusqu’à ce que vous l’effaciez, et supprimer l’application l’efface aussi. Rien n’y expire tout seul, parce que rien là-bas ne nous appartient.

Sur notre serveur : la trace qu’un Grill donné a été commencé est effacée au bout de sept jours. Les compteurs derrière, combien de Grills gratuits cet appareil a utilisés et si un abonnement est actif, sont conservés sans limite de durée. Nous préférons le dire clairement plutôt qu’inventer un délai : le quota gratuit vaut par appareil tant que cet identifiant existe, et nous n’apprenons jamais que vous avez supprimé l’application, il n’y a donc aucun événement qui pourrait déclencher un effacement. Deux lignes, sans contenu, et vous pouvez les faire effacer en écrivant à l’adresse ci-dessus.

Chez nos sous-traitants :

• PostHog, événements d’usage et rapports d’erreur : sept ans au plus, fixés par notre offre. PostHog applique cette limite projet par projet et elle ne s’applique pas encore au nôtre, donc rien n’est retiré automatiquement aujourd’hui. Notre contrat prévoit l’effacement ou la restitution à son terme.
• Cloudflare, le journal d’exploitation qui peut contenir quelques centaines de caractères d’une réponse illisible : sept jours au plus.
• RevenueCat, l’état de l’abonnement : destruction ou restitution dans les trente jours suivant la fin de notre contrat.
• ElevenLabs, qui ne reçoit jamais que la phrase dite par l’Officier : suppression après cent quatre-vingts jours sans usage.
• Vercel, qui porte la requête jusqu’au modèle : effacement à la fin de notre contrat.

Où cela part hors de l’UE

Votre sujet et vos réponses sont traités hors de l’UE, les événements d’usage aussi. Chacune des sociétés ci-dessous est établie aux États-Unis, et chaque transfert repose sur un contrat que nous avons signé avec elle.

• Vercel Inc. porte la requête jusqu’au modèle, et Anthropic produit les questions et le verdict en tant que sous-traitant ultérieur de Vercel. Nous n’avons pas de contrat propre avec Anthropic, et l’application ne l’atteint jamais directement. Clauses contractuelles types de la Commission européenne, décision d’exécution (UE) 2021/914, module deux, sous le droit irlandais.
• ElevenLabs Inc. produit la voix. Clauses contractuelles types et cadre de protection des données UE-États-Unis, sous le droit irlandais.
• PostHog Inc. analyse les événements d’usage. Son centre de données pour nous est dans l’UE, mais le traitement a aussi lieu en dehors. Cadre de protection des données et, en plus, clauses contractuelles types, module deux, sous le droit irlandais.
• RevenueCat Inc. gère l’abonnement. Clauses contractuelles types, module deux, avec l’addendum britannique, sous le droit irlandais.
• Cloudflare Inc. exploite le serveur par lequel tout passe. Clauses contractuelles types, module deux, et cadre de protection des données.

Chacune de ces sociétés publie la liste de ses propres sous-traitants, et chaque contrat l’oblige à leur répercuter ces obligations.

Bases légales

Envoyer ce que vous écrivez, c’est le service lui-même (art. 6, §1, b, RGPD). La mesure anonyme d’usage repose sur notre intérêt légitime à une application qui fonctionne (art. 6, §1, f).

Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité et vous opposer : écrivez à l’adresse ci-dessus. Comme nous ne conservons aucun contenu, cela concerne en pratique les événements d’usage ; indiquez-nous la période approximative pour que nous puissions les retrouver. Vos Grills ne sont pas concernés, parce qu’ils ne nous parviennent jamais : ils sont sur votre appareil et vous les effacez là. Vous pouvez aussi introduire une réclamation auprès d’une autorité de contrôle.

La voie la plus rapide ne demande rien de notre part : supprimer l’application retire l’identifiant d’appareil. Après cela, plus rien ne peut vous être attribué.