Politique de confidentialité

Cette page explique quelles données passent par ce site et par l'application CodeWorking, pourquoi, combien de temps elles sont gardées, et comment exercer tes droits. Dans cette page, « je » désigne l'éditeur, L&A DIGITAL.

La version courte :

• Rien de tes conversations ne quitte ton ordinateur : ni tes transcripts Claude Code, ni ton code, ni tes prompts.
• Le site ne dépose aucun cookie. La mesure d'audience (Umami) se fait sans cookie et sans rien stocker dans ton navigateur.
• L'app envoie un petit signal quotidien anonyme à mon serveur, et contacte Freemius pour ta licence. Rien d'autre.
• Ton adresse IP n'est jamais enregistrée par le service qui reçoit le signal de l'app.

En bref

1. Qui est responsable de tes données

Le site et l'application CodeWorking sont édités par L&A DIGITAL, entreprise individuelle (EI) basée en France, SIRET 992 561 563 00014, TVA intracommunautaire FR41992561563 (TVA non applicable, article 293 B du CGI). L&A DIGITAL est le responsable du traitement des données décrites dans cette page. Voir aussi les mentions légales.

Pour toute question sur tes données, écris-moi par le formulaire de contact, sujet « Mes données personnelles ». C'est le seul moyen de contact : aucune adresse e-mail ni aucun numéro de téléphone ne sont publiés.

Il n'y a pas de délégué à la protection des données : c'est moi, l'éditeur, qui te réponds directement.

2. Sur ce site

2.1 Aucun cookie, aucun bandeau

Le site ne dépose aucun cookie et n'écrit rien dans le stockage de ton navigateur. Les polices, les images et les scripts sont servis par le site lui-même : aucune ressource n'est chargée chez Google ou chez un autre fournisseur, à une exception près, la mesure d'audience décrite juste en dessous. C'est pour cela qu'il n'y a pas de bandeau de cookies.

2.2 Mesure d'audience : Umami Cloud, sans cookie

Pour savoir quelles pages sont lues et améliorer le site, j'utilise Umami Cloud, un service de la société américaine Umami Software, Inc. (28 Geary St, Suite 650 #243, San Francisco, Californie, États-Unis), qui agit pour mon compte comme sous-traitant, dans le cadre de son accord de traitement des données.

• Aucun cookie, rien de stocké dans ton navigateur, aucun suivi d'un site à l'autre. Les statistiques sont anonymes et agrégées : je vois des totaux, jamais une personne.
• Ce qui est envoyé à chaque page vue : l'adresse de la page (sans ses paramètres), son titre, le site d'où tu viens, la langue de ton navigateur, la taille de ton écran, ton type de navigateur, de système et d'appareil, et ton pays ou ta région approximatifs.
• Deux évènements sont comptés en plus : le clic sur un bouton de téléchargement (avec le système choisi : Mac Apple Silicon, Mac Intel ou Windows) et l'envoi réussi du formulaire de contact (sans son contenu, ni ton nom, ni ton e-mail).
• Ton adresse IP est reçue par Umami, comme par tout serveur que ton navigateur contacte. Umami s'en sert sur le moment pour compter les visiteurs uniques et estimer le pays, sans l'enregistrer dans les statistiques. Elle peut toutefois apparaître dans les journaux techniques et de sécurité d'Umami et de ses prestataires.
• Transferts hors de l'Union européenne : Umami est une société américaine et la plupart de ses prestataires (hébergement, diffusion, journaux) sont aux États-Unis, par exemple Amazon Web Services, Cloudflare et Vercel. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, intégrées à l'accord de traitement d'Umami. Les statistiques sont stockées dans la région [À COMPLÉTER : région de stockage choisie à la création du compte Umami Cloud : Union européenne (conseillé) ou États-Unis] ; même dans la région européenne, une partie du traitement (diffusion, sécurité, journaux) peut avoir lieu hors de l'Union européenne.
• Base légale : mon intérêt légitime à connaître l'audience de mon site. Umami ne dépose rien sur ton appareil et ne te suit pas d'un site à l'autre : aucun consentement ne t'est donc demandé.
• Durée : les statistiques sont gardées 6 mois (durée de l'offre gratuite d'Umami Cloud).
• Pour ne pas être compté : active le réglage « Ne pas me pister » (Do Not Track) de ton navigateur s'il le propose ; Umami n'envoie alors rien. Un bloqueur de contenu fonctionne aussi. Tu peux également t'y opposer en m'écrivant par le formulaire de contact (sujet « Mes données personnelles »).

Politique de confidentialité d'Umami : umami.is/privacy.

2.3 Formulaire de contact

• Données : ton nom, ton adresse e-mail, le sujet choisi et ton message.
• Pourquoi : te répondre (question avant achat, support, licence ou autre). Rien d'autre : pas de lettre d'information, pas de prospection, jamais de revente.
• Base légale : mon intérêt légitime à répondre aux personnes qui m'écrivent et, pour une question avant achat, les mesures préalables à un contrat que tu demandes.
• Chemin de ton message : le serveur du site ne le stocke pas. Il le transmet aussitôt par e-mail, par le relais d'envoi de Brevo (société française, données hébergées dans l'Union européenne), à ma boîte de réception, hébergée par Gmail (Google Ireland Limited ; des données peuvent être traitées aux États-Unis par Google LLC, qui adhère au cadre de protection des données UE–États-Unis). Ton adresse est seulement placée en « Répondre à », pour que je puisse te répondre.
• Durée : les messages sont gardés 3 ans après notre dernier échange, puis supprimés.
• Protection contre les abus : 5 envois au plus par visiteur toutes les 10 minutes. Pour cela, ton adresse IP est gardée en mémoire, 10 minutes au plus, et n'est jamais écrite. Un champ invisible piège les robots ; il n'y a pas de captcha d'un service tiers.
• Le serveur ne note dans son journal ni ton adresse e-mail en clair, ni le contenu de ton message.

2.4 Journaux techniques du serveur web

Comme tout site, le serveur web (nginx, chez OVH en France) note chaque requête : adresse IP, date et heure, page demandée, code de réponse, page d'origine et type de navigateur.

• Pourquoi : sécurité (repérer les attaques et les abus) et diagnostic des pannes.
• Base légale : mon intérêt légitime à protéger le site et à le faire fonctionner.
• Durée : 14 jours, puis effacement automatique.
• Exception : les requêtes envoyées par l'app pour son signal quotidien ne sont pas journalisées (voir 3.2).

Le serveur de l'application, derrière nginx, n'écrit ni adresse IP, ni adresse e-mail en clair dans son journal. Si ton navigateur bloque une ressource à cause des règles de sécurité du site, il peut m'envoyer un rapport technique (la page concernée et la ressource bloquée, sans les paramètres de l'adresse) : il est noté sans ton adresse IP.

2.5 Achat de la licence : Freemius

La licence s'achète depuis l'application, avec son bouton « Acheter », ou depuis la section des prix de ce site, avec le lien « Acheter la licence ». Dans les deux cas, tu arrives sur la page de paiement de Freemius. Ce lien est une simple adresse vers le site de Freemius : aucun paiement ni aucune donnée de paiement ne transite par ce site, et rien n'y est chargé depuis Freemius. En suivant le lien, ton navigateur indique seulement à Freemius l'adresse du site d'où tu viens (sans la page exacte).

Freemius, Inc. (4023 Kennett Pike, Wilmington, Delaware 19807, États-Unis) est le revendeur de la licence : il encaisse le paiement, applique la TVA, émet la facture et délivre la clé de licence. Il collecte pour cela tes données d'achat (nom, adresse e-mail, pays pour la TVA et moyen de paiement) et les traite pour son propre compte, selon sa politique de confidentialité : freemius.com/privacy. Selon cette politique, ses transferts hors de l'Union européenne sont encadrés notamment par les clauses contractuelles types de la Commission européenne.

Freemius me donne accès, dans son espace vendeur, aux informations utiles au suivi des licences et au support, notamment ton nom, ton adresse e-mail, la licence achetée et ses paiements. Je ne reçois jamais tes données bancaires. Ces informations me servent à t'aider (licence, remboursement, support) pendant la durée de ta licence et de ses mises à jour, puis pendant les délais imposés par la loi.

3. Dans l'application CodeWorking

3.1 Ce qui reste sur ton ordinateur

CodeWorking lit les transcripts que Claude Code garde déjà sur ton disque et les affiche. Tes conversations, ton code, tes prompts et les réponses de Claude ne sont ni copiés ni envoyés chez moi. Tes notes, tes post-it et tes réglages restent eux aussi sur ton ordinateur.

Le rapport du soir et les jauges d'usage passent par ton Claude Code, installé sur ton ordinateur : l'app le lance et lit ses fichiers locaux. Quand Claude Code échange avec Anthropic, par exemple pour rédiger le rapport du soir, c'est avec ton compte et selon les conditions d'Anthropic, comme pour toute demande faite à Claude Code. Rien de tout cela ne passe par moi ni par un autre service.

3.2 Le signal quotidien anonyme

Au plus une fois par jour, quand elle est lancée, l'app envoie à mon serveur (hébergé chez OVH, en France) :

• un identifiant anonyme : une suite de caractères tirée au hasard au premier lancement et gardée par l'app sur ton ordinateur. Il n'est tiré ni de ton matériel, ni de ton nom, ni de ton compte ;
• la version de CodeWorking ;
• ton système (macOS ou Windows) et sa version ;
• l'architecture de ton ordinateur (Apple Silicon ou Intel, ARM ou x64) ;
• la langue de ton système ;
• l'état de ta licence (essai, licence active, verrouillée, ou version de développement) et, pendant l'essai, sa date de fin ;
• la date d'envoi du signal.

Ce que je garde : l'identifiant, la date du premier et du dernier signal reçus (heure de mon serveur), le nombre de jours où un signal a été reçu, et les dernières valeurs reçues (version, système et sa version, architecture, langue, état de la licence, date de fin d'essai). La date d'envoi sert seulement à vérifier le signal : elle n'est pas conservée.

Ton adresse IP n'est jamais enregistrée : ni dans le fichier des installations, ni dans ses sauvegardes, ni dans les journaux du serveur, et nginx ne journalise pas l'adresse qui reçoit le signal. Pour bloquer les abus (trop de requêtes), le serveur n'en garde en mémoire qu'une empreinte brouillée, avec une clé renouvelée chaque jour et jamais écrite.

• Pourquoi : compter les installations actives, savoir sur quels systèmes et dans quelles versions l'app tourne (compatibilité, priorités), et repérer les essais qui se prolongent après leur fin (respect de la licence).
• Base légale : mon intérêt légitime à mesurer l'usage de l'app et à faire respecter sa licence. Les données sont réduites au minimum, ne contiennent ni ton nom, ni ton e-mail, ni ton adresse IP, et sont effacées d'elles-mêmes.
• Qui y a accès : moi seul. Ces données ne sont ni vendues, ni partagées, ni envoyées à un outil tiers.
• Durée : l'enregistrement d'une installation est supprimé 12 mois après son dernier signal. Les sauvegardes quotidiennes, gardées 30 jours, peuvent le contenir jusqu'à 30 jours de plus.
• Arrêter le signal : l'app n'a pas de réglage pour le couper. Le signal s'arrête quand tu désinstalles l'app.
• T'y opposer ou faire supprimer ton enregistrement : écris-moi par le formulaire de contact (sujet « Mes données personnelles ») en me donnant l'identifiant de ton installation ; je t'indique dans ma réponse où le trouver sur ton ordinateur. Je supprime alors ton enregistrement et j'ignore les signaux suivants de cette installation : l'app peut continuer à les envoyer tant qu'elle est installée, mais ils ne sont plus enregistrés. Pour les reconnaître, je garde seulement une empreinte brouillée de ton identifiant, jamais l'identifiant lui-même. Ton enregistrement disparaît des sauvegardes dans les 30 jours. Sans ton identifiant, je ne peux pas retrouver ton enregistrement, puisqu'il n'est relié à rien qui te désigne ; il sera de toute façon supprimé 12 mois après le dernier signal.

3.3 La vérification de ta licence : Freemius

L'app contacte Freemius (Freemius, Inc., États-Unis, voir 2.5) à trois moments : quand tu actives ta clé, lors d'une vérification de ta licence, environ une fois par semaine, et quand tu libères un poste.

• Ce qui est envoyé, et rien d'autre :
  • ta clé de licence ;
  • un identifiant de l'ordinateur sous forme d'empreinte condensée de 32 caractères, qui ne permet de retrouver ni le nom de la machine ni le tien ;
  • un nom d'appareil neutre, de la forme « CodeWorking-1a2b3c4d5e6f ».
• Ce qui n'est jamais envoyé : ni la version de l'app, ni ton e-mail, ni le nom de ta machine, ni ton nom d'utilisateur, ni aucun contenu.
• Comme tout serveur, Freemius voit aussi l'adresse IP de la connexion.
• Pourquoi : vérifier ton droit d'utiliser l'app et ses mises à jour, et gérer les postes de ta licence.
• Base légale : l'exécution du contrat de licence.
• Freemius relie ces éléments à la licence achetée, donc à ton compte d'acheteur. Les données d'achat (nom, e-mail, pays, moyen de paiement) sont collectées par Freemius au moment de l'achat : l'app n'y a jamais accès. Il traite ces données selon sa politique de confidentialité (freemius.com/privacy), avec les mêmes garanties de transfert qu'au 2.5.

3.4 Aucune autre connexion

En dehors du signal quotidien, de Freemius et de ton Claude Code (voir 3.1), l'app ne se connecte à aucun serveur de l'éditeur ni d'un tiers : pas de serveur de mises à jour, pas de rapport de plantage, pas de publicité. Pour une nouvelle version, tu la télécharges sur ce site.

4. Qui reçoit tes données

Tes données ne sont jamais vendues, ni utilisées pour de la publicité.

5. Transferts hors de l'Union européenne

Trois prestataires peuvent traiter des données aux États-Unis :

• Umami (mesure d'audience) : clauses contractuelles types de la Commission européenne, intégrées à son accord de traitement ;
• Freemius (vente et licence) : clauses contractuelles types, selon sa politique de confidentialité ;
• Google (boîte Gmail qui reçoit les messages du formulaire) : Google LLC adhère au cadre de protection des données UE–États-Unis.

Le signal quotidien de l'app, lui, ne quitte pas la France.

6. Sécurité

Le site et l'API sont servis uniquement en HTTPS, avec des règles de sécurité strictes (aucun script tiers en dehors d'Umami, aucun contenu intégré d'un autre site). Le serveur est en France. Les données du signal quotidien ne contiennent ni nom, ni e-mail, ni adresse IP ; seul l'éditeur y a accès ; elles sont sauvegardées chaque jour. Les secrets techniques (mots de passe, clés) ne sont jamais écrits dans le code du site.

7. Tes droits

Tu peux à tout moment demander l'accès à tes données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, et t'opposer à un traitement fondé sur mon intérêt légitime. Tu peux aussi définir des directives sur le sort de tes données après ton décès.

Pour cela, écris-moi par le formulaire de contact, sujet « Mes données personnelles ». Je réponds dans un délai d'un mois. Pour le signal quotidien, joins l'identifiant de ton installation (voir 3.2).

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

8. Modifications

Cette page est mise à jour à chaque changement (nouvel outil, nouvelle donnée, nouvelle durée). La date de la dernière mise à jour est indiquée en haut de la page.