Ce que nous gardons, et ce que nous n’en ferions jamais.
En bref
Le reste de cette page est la version longue : ce que nous conservons, pourquoi, qui d’autre y touche, combien de temps nous le gardons, et ce que tu peux nous demander. Elle s’applique à toutes les personnes sur qui nous détenons quelque chose : celles qui ont un coffret, et les destinataires et personnes de confiance qu’elles désignent. La version anglaise est celle qui fait foi ; les pages en allemand, en français et en espagnol sont des traductions, pour plus de commodité.
Ce que nous conservons
Ton adresse e-mail, ton prénom, les lettres, vidéos, photos et fichiers que tu ajoutes, les destinataires et personnes de confiance que tu désignes, tes réglages de check-in, et les traces techniques habituelles (heures de connexion, type d’appareil) nécessaires pour sécuriser le compte.
Dans le détail. Sur toi : ton adresse e-mail ; ton prénom et ton numéro de téléphone, si tu les donnes ; ta langue ; ton forfait, et la trace de chaque paiement (le montant et la devise, la date, la référence de Paddle, et s’il a été remboursé). Dans ton coffret : les lettres, enregistrements, messages vocaux, photos, souvenirs et notes que tu ajoutes, scellés, avec leurs titres, dates et tailles, et la clé qui les scelle, elle-même scellée. Les personnes que tu désignes : le prénom, le lien, l’adresse e-mail, le numéro de téléphone, la langue et les dates que tu donnes pour chacune. Tes personnes de confiance : le nom, l’adresse e-mail et le numéro de téléphone que tu donnes, et si elles ont dit oui. Ton check-in : à quelle fréquence nous demandons, combien de temps tu as pour répondre, une pause éventuelle, le déguisement que tu as écrit, et chaque tour (quand il a commencé, ce qui a été envoyé, et ce qui a reçu une réponse, et quand). Tes appareils connectés : quand chaque session a commencé, le moyen de connexion utilisé, et le navigateur et le type d’appareil, lus dans ce que le navigateur nous dit. Les liens de connexion, gardés seulement sous forme d’empreinte pendant les 15 minutes où ils fonctionnent, et un jour après.
Le journal des ouvertures. Chaque fois qu’une chose scellée est ouverte, notre système de livraison écrit une entrée : quand, quel coffret, quelle chose (par son numéro, jamais par ses mots), et qui l’a demandé : toi, sur un appareil nommé par son navigateur ; ou une destinataire, par sa livraison. Les entrées sont chaînées et signées, et gardées deux fois : dans notre base de données, et dans un espace que personne, nous compris, ne peut modifier ni vider pendant dix ans. C’est ce qui nous permet de te montrer que rien n’a été ouvert en douce. Le journal ne contient jamais un mot de ce qui a été ouvert.
Les journaux techniques. Notre hébergement garde les journaux de requêtes 30 jours : la page demandée, quand, et l’adresse d’où elle vient. Les pages qui portent un lien (le coffret d’une destinataire, un check-in, une alerte) ne sont jamais journalisées. Nous n’avons ni statistiques d’audience ni données publicitaires. Ce que tu nous écris depuis l’Aide reste dans notre boîte de support, avec le nom et l’adresse que tu nous as donnés pour te répondre.
Ce que nous n’avons jamais : les données de ta carte (Paddle les a, et nous voyons seulement qu’un paiement a eu lieu), un mot de passe (il n’y en a pas), ni quoi que ce soit sur toi venant d’ailleurs.
Pourquoi nous le conservons
Pour faire ce que tu as demandé. Tout ce qui est dans ton coffret, les personnes que tu désignes et tes réglages de check-in sont conservés parce que tu nous as demandé de les garder et de les livrer comme tu l’as dit. C’est l’accord entre nous ; dans les mots du droit de la protection des données, nous les traitons pour exécuter notre contrat avec toi.
Pour garder ton coffret en sécurité. Les traces de connexion, les appareils connectés, le journal des ouvertures, les journaux de requêtes et les limites au nombre de liens qu’on peut demander servent à ce que ton coffret reste le tien et à empêcher les abus. Notre base légale est notre intérêt légitime à faire tourner un service sûr, qui est aussi le tien.
Pour faire ce que la loi demande. La trace de chaque paiement est conservée parce que le droit fiscal l’exige : une obligation légale. Paddle tient ses propres registres, en tant que marchand officiel.
Rien d’autre. Pas d’e-mails commerciaux, pas de profilage, pas de publicité, pas de vente, pas de partage pour les besoins de qui que ce soit d’autre. Si nous voulions un jour utiliser tes données pour quelque chose de nouveau qui demande ton consentement, nous te le demanderions d’abord, clairement, et tu pourrais dire non.
Qui peut le voir
Comment ça marche. Tout ce que tu écris ou enregistres est scellé dans ton navigateur avant de quitter ton appareil, avec une clé créée pour cette seule chose. Cette clé est elle-même scellée pour notre système de livraison : un petit programme qui tourne dans une machine verrouillée chez Google, que seul un programme ayant exactement son empreinte peut utiliser, ce que Google vérifie à chaque fois. Nos serveurs, notre base de données, ses sauvegardes et notre stockage ne contiennent que des morceaux scellés. Ce qui reste lisible, parce que la livraison en a besoin : les noms, les adresses e-mail, les numéros de téléphone, les dates, le type et la taille de chaque chose, tes réglages de check-in et ton déguisement.
Les limites, honnêtement. Quiconque peut lire ta boîte de réception peut demander un lien de connexion et ouvrir ton coffret à ta place ; cette ouverture figure dans ton journal, depuis un appareil que tu ne connais pas. Le coffret d’une destinataire ne s’ouvre que dans un navigateur où un code envoyé à sa boîte a été saisi ; un lien transféré n’ouvre donc rien, mais quiconque lit sa boîte peut obtenir le code. Et une version modifiée de notre propre site pourrait, en principe, lire ce qu’un navigateur affiche ; chaque version que nous publions vient d’un code relu et laisse une trace.
Qui d’autre y touche. Google Cloud (Google Cloud EMEA Limited, Irlande) héberge le site, la base de données, les fichiers scellés, les clés et les journaux, dans sa région en Belgique. Cloudflare (Cloudflare, Inc., États-Unis) fait passer chaque visite sur lovingli.com par son réseau, et fait suivre le courrier envoyé à notre adresse. Resend (Resend, Inc., États-Unis, envoyant depuis l’Irlande) envoie chaque e-mail que nous envoyons, et en garde une trace peu de temps. Paddle (Paddle.com Market Ltd, Royaume-Uni ; Paddle.com Inc. pour les personnes aux États-Unis) encaisse ton paiement en tant que marchand officiel, et détient les données de ta carte et de facturation selon sa propre politique de confidentialité, comme responsable de traitement à part entière. Google ou Apple, si tu te connectes avec eux, apprennent que tu utilises Lovingli. Notre boîte de support est chez Proton (Proton AG, Suisse). Chacun ne voit que ce dont sa tâche a besoin, et aucun ne voit les mots de ton coffret.
Où ça va. Tes données vivent dans l’Union européenne. Cloudflare, Resend et Paddle en traitent des parties aux États-Unis ou au Royaume-Uni ; ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) quand le prestataire y est certifié, et sinon sur les clauses contractuelles types de la Commission européenne dans notre accord avec lui. Lovingli lui-même est géré depuis le Kosovo, dont la loi sur la protection des données suit celle de l’UE.
Discrétion
Par conception, notre nom n’apparaît ni sur ton relevé bancaire, ni dans tes e-mails de check-in, ni dans l’onglet du navigateur, sauf si tu en décides autrement. C’est un choix de produit, pas une faille : les données que nous détenons sont les mêmes, et tu peux toutes les consulter depuis Réglages.
Personnes de confiance et destinataires
Quand tu désignes quelqu’un, nous conservons le nom et les coordonnées que tu nous donnes, et nous ne lui disons que l’essentiel : que tu as donné son nom, et (pour les personnes de confiance) une question si nous perdons le contact avec toi. Ces personnes peuvent nous demander d’arrêter à tout moment.
Si quelqu’un a donné ton nom. Nous détenons ton nom, ton adresse e-mail et, si la personne qui a donné ton nom les a fournis, ton numéro de téléphone et votre lien. Une destinataire n’entend parler de nous que quand quelque chose est livré : un e-mail de Lovingli avec le prénom de l’expéditeur et un lien, et un code envoyé à la même adresse la première fois que le coffret s’ouvre sur un nouvel appareil. Une personne de confiance entend parler de nous à l’invitation, puis seulement pour qu’on lui demande si la personne va bien. Ni l’une ni l’autre ne voit jamais ce qu’il y a dans un coffret, et personne ne se voit vendre ou montrer quoi que ce soit d’autre.
Ce que tu peux faire. Une personne de confiance peut décliner l’invitation, ou se retirer depuis n’importe quel e-mail que nous lui envoyons ; la personne qui l’a désignée en est informée. Une destinataire peut télécharger tout ce qui lui a été laissé, nous demander de ne plus le lui rappeler, ou nous demander de ranger une livraison. Les deux ont tous les droits listés sous « Tes droits » : écris à hello@lovingli.com depuis l’adresse à laquelle nous avons écrit, et nous agirons. Nous ne pouvons pas dire à une destinataire ce qu’il y a dans un coffret avant sa livraison, parce que nous ne pouvons pas l’ouvrir non plus.
Combien de temps nous gardons les choses
Tant que ton coffret est ouvert. Un brouillon reste jusqu’à ce que tu le scelles ou que tu le laisses partir. Ce qui est fait avec Gratuit et jamais payé est supprimé 30 jours après son enregistrement le plus récent, sauf les lettres, qui ne sont jamais supprimées pour ça. Après un remboursement, les enregistrements, photos et souvenirs restent 30 jours pour ton export, puis s’en vont.
Ce que tu envoies. Une livraison reste en ligne pour la personne à qui elle est destinée pendant un an à compter du jour où sa chose la plus récente est arrivée, et trois mois de plus si elle le demande. Ensuite son lien ne l’ouvre plus. Nous gardons la copie livrée, scellée, pour pouvoir la lui rendre si elle nous écrit, jusqu’à ce qu’elle ou toi nous demande de la supprimer.
Quand tu fermes ton coffret. Tout ce qu’il contient est supprimé à l’instant où le coffret se ferme : mots, fichiers, personnes, réglages, appareils. Ce qui était déjà livré reste aux personnes à qui c’était destiné, selon la règle ci-dessus. La trace de tes paiements reste aussi longtemps que le droit fiscal l’exige. Les copies dans les sauvegardes de notre base de données et dans la fenêtre de récupération de notre stockage disparaissent sous sept jours.
Traces techniques. Un lien de connexion fonctionne 15 minutes ; son empreinte disparaît après un jour. Une session dure 30 jours, ou jusqu’à ce que tu déconnectes l’appareil. Un e-mail que nous envoyons ne garde ni mots ni adresse une fois parti ; un e-mail que nous n’avons pas pu envoyer après un jour d’essais garde l’adresse, l’objet et la raison, pour que quelqu’un puisse regarder. Les journaux de requêtes sont gardés 30 jours. Le journal des ouvertures est gardé dix ans, comme dit plus haut.
Enfants
Lovingli est pour les adultes. Il faut avoir 18 ans ou plus pour ouvrir un coffret, et nous ne gardons sciemment aucun coffret pour quelqu’un de plus jeune ; si tu penses que c’est le cas, écris-nous et nous le supprimerons. Une personne de moins de 18 ans peut être destinataire (une lettre pour un dix-huitième anniversaire est l’une des raisons d’être de Lovingli). Ce que nous détenons alors, c’est le nom et l’adresse que tu as donnés, et nous n’y écrivons que quand quelque chose est livré.
Tes droits
Tout ce qui est dans ton coffret, tu peux le voir, le reprendre et le supprimer sans nous demander : « Exporter mon coffret », dans Réglages, te donne chaque lettre, enregistrement, photo et souvenir dans des formats ordinaires, avec la liste de tes personnes et de tes dates, et « Fermer mon compte » supprime tout. Réglages montre aussi, et te laisse modifier, tout le reste de ce que nous détenons sur toi, et déconnecte n’importe quel appareil.
Selon le droit de la protection des données du Kosovo, de l’Union européenne et du Royaume-Uni, tu peux aussi nous demander de confirmer ce que nous détenons sur toi et de t’en donner une copie ; de le corriger ; de le supprimer ; d’en limiter l’usage, ou de t’opposer à un usage fondé sur notre intérêt légitime ; et de le recevoir sous une forme que tu peux emporter ailleurs. Écris à hello@lovingli.com depuis l’adresse de ton coffret, ou depuis l’adresse à laquelle nous avons écrit si quelqu’un a donné ton nom. Nous répondons sous un mois, et sans jamais rien facturer. Nous pouvons te demander de montrer que c’est bien toi, comme le fait le coffret : avec un lien vers ta boîte de réception.
Si ce que nous avons fait de tes données ne te convient pas, dis-le-nous d’abord et nous essaierons d’arranger les choses. Tu peux aussi te plaindre auprès d’une autorité de protection des données : au Kosovo, l’Agence pour l’information et la vie privée (Information and Privacy Agency) ; dans l’Union européenne, l’autorité du pays où tu vis ; au Royaume-Uni, l’Information Commissioner’s Office.
Contact
Écris à hello@lovingli.com ; une personne répond, en général sous un jour. Pour tout ce qui touche à tes données, dis-le dans l’objet, et nous le traiterons comme une demande au titre de cette page.
Lovingli est géré par Albatros Sherifi B.I. (numéro d’entreprise 812020676, Pristina), entreprise individuelle immatriculée au Kosovo, responsable du traitement des données décrites ici. Nous n’avons pas de délégué à la protection des données ; un service de cette taille n’est pas tenu d’en nommer un.