Politique de confidentialité

Ce que nous ne recevons jamais

Le code source, le contenu des fichiers, les chemins des repos, les prompts, la sortie des agents, la sortie du terminal et le contenu de votre historique git. Tout cela reste sur votre machine. L’application n’a aucun canal de télémétrie qui les transporte, et cela est garanti par des tests dans le produit, pas seulement par une politique.

Les identifiants de vos CLI d’agent. Les clés que vous confiez à l’application sont stockées dans le trousseau macOS (Keychain), ne sont jamais journalisées et ne nous sont jamais transmises.

Ce que nous stockons lorsque vous avez un compte

Votre adresse e-mail et l’empreinte (hash) de votre mot de passe (ou l’identifiant du fournisseur d’identité avec lequel vous vous êtes connecté), l’état de votre abonnement, et un enregistrement par appareil connecté : un nom d’appareil, une plateforme et la date de dernière activité. C’est l’intégralité de l’enregistrement du compte.

Si vous vous connectez avec Apple, Google ou GitHub, ce fournisseur nous communique votre adresse e-mail et un identifiant de compte — c’est tout ce que nous conservons. La connexion via GitHub demande l’accès en lecture à votre profil et à vos adresses e-mail (scopes read:user et user:email), et nous n’en conservons rien au-delà de l’adresse et de l’identifiant ; le fournisseur voit seulement que vous vous êtes connecté à SuperDevSpace.

Envoi des e-mails : si un e-mail adressé à une adresse fait l’objet d’un rejet définitif (hard bounce) ou est signalé comme spam, le service de compte place l’adresse sur une liste de suppression et ne lui envoie plus rien ; écrivez à l’adresse de confidentialité ci-dessous pour qu’elle en soit retirée. Les fournisseurs de messagerie nous envoient également des rapports DMARC agrégés — le nombre d’e-mails envoyés au nom de notre domaine, par serveur d’envoi — qui ne contiennent aucune donnée client.

Ce que nous stockons pour la liste d’attente

Votre adresse e-mail, le moment où vous l’avez soumise, le moment où vous l’avez confirmée, et un jeton de confirmation à usage unique qui expire au bout de 7 jours. Nous conservons également, pour une courte durée, un enregistrement haché de l’adresse réseau d’où provient une soumission, uniquement pour empêcher l’inondation du formulaire ; il est supprimé sous 24 heures.

Rien d’autre. Pas de nom, pas d’entreprise, pas de pixel de suivi dans l’e-mail de confirmation. Si vous ne cliquez jamais sur le lien de confirmation, l’enregistrement en attente est supprimé au bout de 7 jours.

Cookies et mesure d’audience du site

Ce site ne dépose aucun cookie — ni les siens, ni ceux d’un tiers. Votre choix de thème clair ou sombre est conservé dans le stockage local de votre navigateur et ne quitte jamais votre appareil.

Pendant une visite, l’onglet ouvert conserve également dans son stockage de session — effacé à la fermeture de l’onglet — le lien de campagne qui vous a amené ici (ses balises utm et l’adresse du site référent, jamais la page d’où vous venez) et, le cas échéant, le code promo que ce lien contenait, ainsi que le fait que vous ayez coché ou non la case relative aux e-mails sur la page d’inscription. Aucune de ces informations n’est transmise où que ce soit, sauf si vous créez un compte ; elles sont alors enregistrées une seule fois avec le compte, et le choix relatif aux e-mails uniquement si vous avez coché la case.

Lorsque la mesure d’audience est activée, il s’agit de Cloudflare Web Analytics : des comptages agrégés de pages vues, sans cookie, sans empreinte numérique (fingerprinting) et sans suivi d’un site à l’autre. Rien d’autre ne mesure ce site.

Le paiement est la seule exception. La page de paiement sur account.superdevspace.com charge Paddle.js, le script de paiement de notre revendeur officiel (merchant of record), et Paddle y dépose ses propres cookies pour traiter le paiement et prévenir la fraude. Ces cookies appartiennent à Paddle, sont régis par la politique de confidentialité de Paddle et n’apparaissent que sur la page de paiement.

Statistiques d’usage dans l’application

Désactivées par défaut. Si vous les activez, l’application envoie des faits anonymes au niveau de l’événement — « une organisation a été créée », « une première directive a été envoyée » — au cloud européen de PostHog, et jamais un chemin, un prompt, un nom de fichier ou un morceau de code. Avec ce même interrupteur activé, l’application envoie aussi un rapport de plantage minimal à notre service de compte lorsqu’elle échoue : le type de l’erreur, son message débarrassé des chemins de fichiers et de tout contenu personnel, et la pile d’appels réduite aux noms de fichiers. Il est conservé 90 jours.

Si votre compte y a consenti, le service de compte envoie à PostHog quelques événements de parcours — inscription, début d’essai, début ou résiliation d’abonnement — sous l’identifiant de votre compte. Désactiver les statistiques dans l’application arrête les deux, à tout moment.

Qui d’autre a accès aux données

Uniquement les sous-traitants listés sur la page des sous-traitants, chacun pour une finalité précise : Cloudflare héberge le site, le service de compte et ses e-mails ; Paddle encaisse les paiements en tant que revendeur officiel (merchant of record) ; PostHog reçoit des statistiques uniquement si vous y avez consenti ; Apple, Google ou GitHub uniquement lorsque vous vous connectez avec eux. Nous ne vendons pas de données personnelles et ne les partageons pas à des fins de marketing pour le compte de tiers.

Durée de conservation

Les données de compte, aussi longtemps que le compte existe, puis supprimées dans les 30 jours suivant sa clôture, sauf lorsque le droit fiscal impose de conserver plus longtemps une trace de facturation. Nos sauvegardes quotidiennes chiffrées en gardent une copie jusqu’à 30 jours de plus, de sorte que la dernière trace disparaît au plus tard 60 jours après la clôture ; une sauvegarde ne sert jamais qu’à restaurer le service, jamais à faire revivre un compte supprimé. Les adresses de la liste d’attente, jusqu’à votre désinscription ou la fermeture de la liste, selon ce qui survient en premier.

Vos droits

Vous pouvez demander une copie de vos données, leur rectification, leur suppression, et vous opposer à leur traitement. Écrivez à l’adresse de confidentialité ci-dessous et vous recevrez une réponse sous 30 jours. En vertu du GDPR (RGPD), vous pouvez également introduire une réclamation auprès de votre autorité de contrôle locale ; en vertu de la KVKK, auprès de l’Autorité turque de protection des données personnelles.