Ce que nous conservons,
et ce que nous refusons de collecter.

Docs Flowy est exploité par Tulmira Ltd, numéro d'immatriculation 17497033, dont le siège est situé 128 City Road, London EC1V 2NX. Pour les données à caractère personnel décrites ici, Tulmira Ltd est le responsable du traitement au sens du règlement général sur la protection des données.

Écrivez à [email protected] pour tout ce qui relève de cette politique, y compris pour exercer vos droits. Les signalements de sécurité vont à [email protected]. Nous n'avons pas désigné de délégué à la protection des données, n'y étant pas tenus ; si cela change, cet article le nommera.

Regroupé par origine. Rien de tout cela n'est collecté à des fins publicitaires et rien n'en est vendu.

Votre compte

Votre adresse e-mail, votre nom complet, et l'identifiant public que vous revendiquez une seule fois. Cet identifiant ne peut plus être modifié ensuite, car il est inscrit à côté de votre nom sur des enregistrements qui lui survivent. Si vous vous connectez par mot de passe, nous conservons une empreinte argon2 et jamais le mot de passe. Si vous connectez un compte GitHub, nous conservons son identifiant numérique, son login et l'adresse de son image d'avatar. Si vous importez une image ou choisissez l'un de nos avatars, nous l'enregistrons avec votre compte : une image importée est ré-encodée en deux petites tailles, et les données de localisation de l'original sont supprimées. Seuls vous, les propriétaires et administrateurs de votre organisation, et les personnes qui partagent un projet avec vous peuvent la voir ; elle n'est jamais affichée sur un site Handbook public. Une image importée est supprimée lorsque votre compte est désactivé ou supprimé.

Sessions

Une étiquette grossière décrivant l'appareil — plateforme et famille de navigateur, sans numéro de version — une adresse IP tronquée à un /24 ou un /48, et une heure de dernière activité arrondie à cinq minutes. Aucune ville, aucun pays, et aucun indicateur devinant si une connexion était inhabituelle : l'un exige une base de géolocalisation et l'autre un modèle de ce qui est habituel chez vous, et nous ne construisons ni l'un ni l'autre.

Organisations

Le nom d'une organisation, qui en fait partie, les rôles de chacun, les équipes, et les invitations envoyées. Un lien d'invitation est lui-même un secret : seule une empreinte SHA-256 du token d'invitation est stockée — jamais le token, ni en base de données ni dans une ligne de journal.

Contenu des repositories

Les fichiers markdown et .mdx situés dans la racine documentaire d'un repository que vous connectez, récupérés en lecture seule via les API GitHub et GitLab. Un repository n'est jamais cloné et rien n'y est jamais réécrit. Nous stockons le markdown brut comme source de vérité, un rendu assaini comme cache, ainsi que le chemin et le blob SHA de chaque fichier afin de repérer un changement sans récupérer le fichier à nouveau.

Ce que votre équipe crée ici

Le statut de relecture et d'implémentation posé sur un document, les notes et leurs réponses, les accusés de lecture, les événements d'audit, les notifications, les artifacts déposés par un agent, et les constats de l'analyse de santé documentaire. Il s'agit d'un travail effectué dans Docs Flowy, et non de quoi que ce soit extrait de votre repository.

Facturation

Les paiements passent par Stripe. Aucun numéro de carte, date d'expiration ou cryptogramme ne nous parvient. Nous conservons les identifiants Stripe du client, de l'abonnement et du tarif, ainsi que le nombre de sièges occupés par une organisation durant une période de facturation.

Sécurité et exploitation

L'adresse du client résolue pour chaque requête, qui est ce qui applique la liste d'adresses autorisées d'une organisation ; le journal d'audit ; et les journaux applicatifs conservés pour le diagnostic.

La règle est de conserver la forme la moins durable d'un secret qui fonctionne encore.

Les tokens d'installation GitHub sont émis à la demande à partir de la clé privée de l'App et gardés en mémoire pendant l'heure où ils sont valables. Rien qui ressemble à un token GitHub n'est écrit en base de données.

Un token d'accès GitLab que vous collez est chiffré sous une clé qui ne sert à rien d'autre : faire tourner le secret de session — une opération de routine — ne le touche pas. Un token portant une portée d'écriture est refusé à la connexion, nommément, et un token sans expiration l'est également.

Une clé d'API n'existe en entier qu'une seule fois, dans la réponse qui la crée. Seule une empreinte SHA-256 en est conservée et il n'existe aucun moyen de la retrouver, car un tel moyen signifierait que la clé est gardée quelque part.

Le cookie de session est chiffré et pas seulement signé, puisqu'il peut porter un token GitHub. Les mots de passe sont hachés avec argon2 et ne sont jamais conservés sous une forme lisible.

Exécution du contrat, art. 6(1)(b). Tout ce qui est nécessaire pour vous donner un compte, lire les repositories que vous connectez, afficher les documents aux personnes que vous autorisez, et encaisser le paiement d'un plan payant.

Intérêts légitimes, art. 6(1)(f). Assurer la sécurité du service, tenir un journal d'audit sur lequel une organisation peut s'appuyer, prévenir les abus et diagnostiquer les pannes. Nous mettons cela en balance avec vos intérêts, et les données que nous avons choisi de ne pas collecter en font partie.

Consentement, art. 6(1)(a). Les fonctions d'IA, qui restent désactivées tant que personne ne les active, et tout courriel facultatif. Le consentement peut être retiré à tout moment, et son retrait ne rend pas illicite ce qui a eu lieu avant.

Obligation légale, art. 6(1)(c). Les pièces fiscales et comptables relatives aux paiements, et la réponse à une demande à laquelle la loi nous oblige à répondre.

Les fonctions d'IA sont désactivées par défaut. Une organisation les active délibérément, par l'intermédiaire d'une personne habilitée, et le changement est inscrit à son journal d'audit avec le nom de cette personne. Jusque-là, aucun document ne parvient à un modèle.

Lorsqu'elles sont actives, le texte du document concerné et la question posée sont traités par un modèle de langage privé que nous exploitons sur notre propre infrastructure. Vos contenus ne sont pas transmis à un fournisseur de modèle tiers, et ils ne servent jamais à entraîner un modèle, ni le nôtre ni celui de quiconque.

Il n'y a pas de question en texte libre. Seule une question que le résumé courant a lui-même proposée peut être posée, ce qui empêche un lecteur authentifié de transformer la fonction en canal ouvert vers un modèle aux frais de l'organisation.

Un document vide ne déclenche aucun appel. Demander à un modèle de ne rien inventer est une requête ; ne pas l'appeler est une garantie.

Une réponse est mise en cache en regard du blob SHA du contenu qu'elle décrit. Servir une réponse depuis le cache ne déclenche aucun nouvel appel et ne consomme aucun crédit ; lorsque le contenu change, le résumé est signalé comme décalé plutôt que servi en silence comme s'il correspondait encore.

Ce qui est conservé, c'est le résumé ou la réponse générée, stocké en regard du document et supprimé lorsque le document, le repository ou l'organisation est supprimé. La comptabilisation des crédits enregistre le nombre d'appels et jamais leur contenu.

Un résultat généré peut être faux. C'est un point de départ, et la personne qui s'en sert est responsable de le vérifier. Un agent peut déclarer qu'un retour a été traité ; seule une personne peut le clore.

Un document est conservé tant que son repository est connecté. Déconnectez le repository et ce que nous en avions récupéré est supprimé, de même que le rendu mis en cache à côté.

Le journal d'audit et les notifications sont conservés 30, 90, 180 ou 365 jours selon le plan. Passer à un plan dont la durée est plus courte masque aussitôt les événements d'audit plus anciens, qui sont supprimés dans la journée. La durée des notifications s'applique aussi à celles qui n'ont pas été lues — une durée qui épargnerait ce que vous n'avez jamais ouvert serait une durée que l'on peut viser.

Une session est conservée jusqu'à sa révocation ou son expiration. Supprimer votre compte le supprime, ainsi que les données qui s'y rattachent. Supprimer une organisation la supprime avec le compte de chaque membre et les données qui s'y rattachent, car un compte appartient à son organisation.

Les pièces que la loi nous oblige à conserver à des fins fiscales et comptables le sont aussi longtemps qu'elle l'exige, et pas davantage.

La liste est courte à dessein et personne n'y figure pour la publicité. Nous ne vendons pas de données à caractère personnel, et ni ce site ni le produit ne comportent de mesure d'audience tierce ou de cookie de pistage.

Le modèle de langage fonctionne sur une infrastructure que nous exploitons nous-mêmes. Il n'est pas un sous-traitant et aucun fournisseur de modèle ne reçoit vos contenus.

[HOSTING PROVIDER]

Hébergement et base de données managée, en [HOSTING REGION]. Tout ce qui est décrit ci-dessus y est stocké.

Stripe

Paiements, facturation et calcul de la taxe. Vos données de carte vont directement à Stripe et nous en recevons des identifiants en retour.

[EMAIL PROVIDER]

Courriels transactionnels uniquement : invitations, vérification d'adresse, réinitialisation de mot de passe et courriels de notification. Il n'existe aucune liste de diffusion commerciale.

GitHub et GitLab

Les sources que nous lisons, dans la limite de l'accès que vous accordez. Votre relation avec elles est la vôtre ; nous détenons le secret que vous nous avez confié et rien de plus.

Les données à caractère personnel sont stockées en [HOSTING REGION]. Lorsqu'un sous-traitant traite des données hors de l'Espace économique européen, le transfert repose sur une décision d'adéquation lorsqu'il en existe une et, à défaut, sur les clauses contractuelles types de la Commission européenne au titre de l'art. 46, assorties des mesures supplémentaires que ce transfert appelle.

Écrivez à [email protected] pour connaître la base retenue pour un sous-traitant donné et pour en obtenir une copie des clauses.

Vous avez le droit de demander une copie de vos données à caractère personnel, de les faire rectifier, de les faire effacer, de limiter leur traitement ou de vous y opposer, et de les recevoir dans un format portable. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment.

Une partie de cela va plus vite dans le produit que par courriel : votre profil est modifiable, vos sessions peuvent être révoquées une à une ou toutes à la fois, et un compte peut être supprimé depuis ses propres réglages. La suppression n'est refusée que dans un cas : lorsque vous êtes le dernier Owner d'une organisation à laquelle d'autres personnes appartiennent, ce qui la laisserait sans personne pour l'administrer. Transférez-la ou supprimez-la d'abord.

Pour tout le reste, écrivez à [email protected]. Nous répondons dans le mois suivant la réception de la demande, comme l'exige l'art. 12(3), et nous vous prévenons dans ce même délai si une demande complexe en réclame davantage.

Vous pouvez également introduire une réclamation auprès d'une autorité de contrôle, dans le pays où vous résidez, celui où vous travaillez ou celui où vous estimez qu'un manquement s'est produit. Nous préférerions que vous nous en parliez d'abord, mais c'est votre droit et non une étape que vous nous devez.

Trois cookies, aucun à des fins publicitaires et aucun partagé avec qui que ce soit.

Il n'y a aucun cookie de mesure d'audience, aucun cookie publicitaire, et rien qui vous suive sur un autre site. C'est aussi pourquoi aucune bannière ne vous est présentée : un cookie strictement nécessaire et une préférence que vous avez vous-même choisie n'appellent pas de consentement.

Le cookie de session

Strictement nécessaire. Chiffré et pas seulement signé, HttpOnly, et SameSite=Lax — ce qui explique aussi que la console n'appelle jamais l'API depuis une autre origine. C'est lui qui vous maintient connecté, et la déconnexion le supprime.

La préférence de langue

Retient laquelle des trois langues le site vous sert, afin qu'il y reste. Une préférence, pas un secret.

La préférence d'apparence

Retient le thème que vous avez choisi, pour qu'une page ne s'ouvre pas dans le mauvais avant de se corriger.

L'accès à un repository source se fait en lecture seule, et il est révocable depuis GitHub ou GitLab sans avoir à nous le demander.

Les documents sont assainis côté serveur, sur liste blanche, avant d'être stockés — le markdown autorise du HTML brut, et un chemin de code qui oublie de filtrer est un chemin de code qui sert un exploit. Les secrets sont chiffrés. Une organisation peut exiger que chaque requête provienne d'une adresse qu'elle a désignée, déconnecter tous ses membres d'un coup, et fixer la durée de vie d'une session.

Chaque changement qui compte est inscrit au journal d'audit dans la même transaction que le changement lui-même : un enregistrement ne peut donc pas survivre à un changement annulé, ni manquer pour un changement qui a bien eu lieu.

En cas de violation de données à caractère personnel, nous notifions l'autorité de contrôle compétente dans les 72 heures lorsque l'art. 33 l'exige, et nous informons directement les personnes concernées lorsque l'art. 34 l'exige. Aucun travail de sécurité n'est une garantie, et nous préférons l'écrire plutôt que de laisser entendre le contraire.

Docs Flowy est un outil de travail et n'est pas destiné aux personnes de moins de 16 ans. Nous ne créons pas sciemment de compte pour un enfant. Si vous pensez qu'un enfant détient un compte ici, écrivez à [email protected] et nous le supprimerons.

Lorsque cette politique change, nous mettons à jour la date en haut de la page. Lorsqu'un changement affecte sensiblement le traitement des données à caractère personnel, nous en informons les titulaires de compte par courriel avant sa prise d'effet, et lorsqu'un changement requiert votre consentement, nous le demandons plutôt que de le présumer.

La présente version prend effet le 2026-09-19 et remplace toute version antérieure.