Confidentialité

Le trajet d’une question

Quand vous posez une question, elle passe par le serveur du site jusqu’à Anthropic, qui fournit Claude, le modèle qui rédige la réponse. Elle y part telle que vous l’avez écrite, avec les derniers messages de la conversation, pour que l’assistant suive le fil. Anthropic les traite selon ses propres règles, que ce site ne contrôle pas : n’y écrivez rien que vous ne diriez pas à un inconnu.

Selon Anthropic, les questions et les réponses qui passent par son API sont effacées de ses serveurs dans les 30 jours. Anthropic peut les garder plus longtemps si la loi l’exige, ou jusqu’à 2 ans si ses systèmes de sécurité signalent un échange contraire à ses règles d’utilisation. Sa page sur la conservation des données (nouvel onglet) fait foi.

Vos questions quittent l’Union européenne : Anthropic les stocke aux États-Unis, et la réponse peut être calculée dans un autre pays. Pour ces transferts, son accord sur le traitement des données (nouvel onglet) s’appuie sur les clauses contractuelles types de la Commission européenne, l’une des garanties prévues par le RGPD.

La conversation vit dans votre navigateur et disparaît quand vous fermez ou rechargez la page. Le serveur ne la garde pas : il ne retient que chaque question, une fois anonymisée.

Ce que le site garde

Chaque question transmise à Claude laisse une ligne dans le journal des questions, une base de données sur le serveur du site, sauf si l’anonymiseur échoue : dans ce cas, rien n’est écrit. Seule la dernière question est écrite, pas les messages qui la précèdent. La ligne contient cette question anonymisée, le jour de son enregistrement en temps universel (UTC), sans l’heure, sa langue, l’issue de la réponse et les fiches que la réponse a citées. L’issue dit seulement si l’assistant a répondu, esquivé, refusé, s’il a rencontré une erreur, ou si la réponse a été interrompue en cours de route.

Le journal ne garde jamais la réponse de l’assistant, ni le reste de la conversation, ni votre adresse IP, ni aucun identifiant de conversation ou de visiteur. Une question refusée avant d’arriver à Claude, parce qu’une limite est atteinte ou que l’assistant est coupé, n’y laisse aucune trace.

L’anonymisation se fait sur le serveur du site, sans envoyer la question à un autre service. Les noms, les adresses de courriel, les numéros de téléphone, les IBAN et les autres données personnelles qu’elle repère sont remplacés par une étiquette, comme [NOM]. Si l’anonymiseur échoue ou met trop de temps, rien n’est écrit. La page Comment ça marche montre comment il fonctionne, sur un exemple.

Aucun anonymiseur n’est parfait. D’après ses auteurs, Rampart, l’outil de détection utilisé, laisse passer environ une donnée personnelle sur 64 sur leur jeu de test. Mieux vaut donc ne rien écrire de personnel dans une question.

Une ligne reste 90 jours dans le journal. Au-delà, elle est effacée automatiquement, au moment où le journal écrit la ligne suivante, ou à la première question qui suit un redémarrage du serveur.

Le journal technique

Pour suivre ce que coûte l’assistant, le serveur écrit aussi, dans son journal technique, une ligne par réponse, même interrompue : le modèle demandé, le nombre de tokens et la durée. Cette ligne ne contient ni le texte de la question ou de la réponse, ni votre adresse IP. En cas d’erreur, il note seulement le type de l’erreur.

Le code du site ne se sert de votre adresse IP que pour limiter le nombre de questions par visiteur. Il la garde dans la mémoire du serveur, ne l’écrit nulle part, et elle disparaît au redémarrage.

Le proxy du serveur, le programme qui reçoit chaque visite avant de la transmettre au site, tient en revanche un journal d’accès. À chaque visite, il note l’adresse IP, la date et l’heure, et la page demandée, pour diagnostiquer une panne ou une attaque. Ces journaux d’accès sont gardés 7 jours, puis effacés.

Pas de cookie, pas de mesure d’audience, pas de publicité. Les polices et les images sont servies par le site lui-même : ouvrir une page n’envoie aucune requête à un service tiers.

Où sont gardées ces données

Le site, son journal des questions et les journaux d’accès sont sur un serveur loué à OVH SAS, en France, à Strasbourg.

OVH sauvegarde ce serveur en entier, chaque jour. Ce qui est effacé du serveur, une ligne du journal des questions comme un journal d’accès, peut donc rester dans ces sauvegardes jusqu’à 7 jours de plus, selon les options de sauvegarde d’OVH (nouvel onglet).

Qui tient le journal, et pourquoi

Mathis Fumel est responsable du journal des questions. Il s’en sert pour voir ce que les visiteurs demandent, repérer les questions restées sans bonne réponse, et améliorer l’assistant et ses fiches. Le journal ne sert à rien d’autre : pas de publicité, pas de revente, pas de profil.

Le journal repose sur l’intérêt légitime de Mathis à améliorer son site, l’une des bases prévues par le RGPD.

Vos droits

Vous pouvez demander à voir une question que vous avez posée, la faire effacer, ou vous opposer à ce qu’elle soit gardée. Le journal ne garde aucun identifiant : pour retrouver une ligne, il faut donner le jour où la question a été posée et son texte. Écrivez à fml.Mathis@gmail.com.

Vous avez aussi le droit de déposer une réclamation auprès de la CNIL, l’autorité française de protection des données, sur cnil.fr (nouvel onglet).

Pour toute autre question sur vos données, vous pouvez aussi écrire à Mathis sur LinkedIn (nouvel onglet).