Politique de confidentialité
Ce document décrit ce que BookOrbit conserve, pourquoi, qui d’autre y accède et combien de temps cela reste. Il a été écrit en lisant le code plutôt qu’un modèle type, il nomme donc aussi les endroits où une colonne existe sans que rien n’y écrive encore, et ceux où une promesse affichée est en avance sur la mise en œuvre.
Pour qui ceci est écrit, et pour qui non
Cette politique couvre toute personne qui utilise BookOrbit. BookOrbit n’est pas destiné aux moins de 16 ans — il n’y a pas de vérification d’âge dans le produit : si un enfant a créé un compte, dites-le-nous et nous le supprimerons. Si vous voulez savoir qui est le responsable du traitement, il est nommé au bas de cette page et dans les conditions.
Ce que nous collectons, et pourquoi
Votre compte : nom, e-mail, un nom de plume facultatif, le type de compte choisi à l’inscription, le nom et le site de la structure sous laquelle vous publiez si vous les donnez (visibles par notre équipe, jamais affichés sur votre profil), si votre adresse a été confirmée, la formule choisie avant l’inscription, votre formule et les dates d’essai, et si vous voulez des rappels pour ajouter un lien vers un avis. Votre activité : les livres que vous mettez en rayon (titre, description, genre, langue, boutiques, l’ASIN, le PDF si vous en envoyez un et le nombre de pages compté à partir de lui), les demandes de retours que vous ouvrez avec le nombre de lecteurs demandés, les tâches que vous prenez avec leurs horodatages, les retours que vous écrivez avec leur note et leur texte, et vos favoris. Vos points : un registre de chaque point crédité sur votre compte ou repris, avec sa cause — un livre pris, un délai manqué, une demande ouverte ou fermée, une correction par un modérateur et la raison donnée. Vos sessions : un jeton de session, ainsi que l’adresse IP et l’agent utilisateur du navigateur que notre bibliothèque d’authentification enregistre avec lui. Les actions de l’équipe : un journal, uniquement complété, des décisions de modération et de chaque téléchargement de fichier de livre, rattaché au compte qui l’a fait. Si vous nous écrivez par un formulaire de contact : le message, son objet, votre adresse e-mail pour qu’on puisse vous répondre, la langue dans laquelle vous lisiez le site et une empreinte à sens unique de votre connexion. Si vous nous dites avoir aussi publié votre avis dans une boutique — facultatif, et proposé pendant une semaine après votre retour —, le lien que vous collez ou la capture d’écran que vous envoyez, et le moment où vous l’avez fait. Les deux sont supprimés dès qu’un membre de l’équipe les a regardés ; reste un nombre, celui de vos avis confirmés. Si vous activez la connexion en deux étapes : un secret partagé avec votre application d’authentification et dix codes de secours à usage unique, les deux conservés chiffrés, ainsi que la mention indiquant si vous avez prouvé que l’application fonctionne. Nous ne pouvons relire ni l’un ni l’autre — par aucun écran, et pas davantage sur demande.
La base légale de chaque catégorie
Votre compte, vos livres, vos demandes de retours, vos tâches, vos points et les retours que vous écrivez sont traités pour exécuter le contrat conclu à l’inscription — sans eux, il n’y a pas de service. Les sessions et le registre des téléchargements reposent sur l’intérêt légitime à garder les comptes sûrs et à savoir qu’un manuscrit a été servi à quelqu’un qui y avait droit. Les décisions de modération, le journal des actions du personnel et les messages que vous nous envoyez reposent sur l’intérêt légitime à faire tourner une plateforme à laquelle des auteurs peuvent confier un texte inédit, et à répondre aux personnes qui l’utilisent. Une seule chose repose sur votre consentement : le lien vers la boutique ou la capture d’écran, si vous choisissez d’en donner une. Vous la donnez parce que vous le choisissez, vous pouvez la retirer vous-même tant que personne ne l’a regardée, et refuser ne change rien — c’est précisément ce qui en fait un consentement et non une condition. Au delà, nous ne nous appuyons sur aucun consentement, parce que nous ne faisons rien d’autre qui en demanderait : pas de publicité, pas de profilage, pas de cookies non essentiels. Nous tenons tout de même un compte : combien de pages ont été ouvertes chaque jour, et depuis quel pays. Il ne demande aucun consentement parce qu’il n’enregistre personne : rien dedans ne pourrait dire que deux ouvertures sont la même personne.
Les enregistrements d’appareil, et pourquoi nous les gardons
Des auteurs déposent ici des manuscrits inédits, et un PDF qui fuit est un livre qui ne peut plus être vendu. Savoir à quel compte un fichier est allé est notre façon de protéger le travail d’autrui, et nous préférons le dire ainsi plutôt que de le ranger sous « lutte contre la fraude ». Voici donc ce que cela vous coûte. Chaque fois que vous vous connectez ou vous inscrivez, une ligne est écrite indiquant que votre compte a été vu depuis cet appareil. Elle contient deux empreintes à clé — HMAC-SHA256, tronquées à trente-deux caractères — l’une de l’adresse d’où vient votre connexion, l’autre de cette adresse et de la chaîne user-agent de votre navigateur ensemble, plus le nombre de fois où cette paire a été vue et les dates de première et dernière apparition. L’adresse elle-même n’est jamais stockée, ni le user-agent. Se reconnecter depuis la même machine et la même connexion n’ajoute pas de ligne ; le compteur avance d’une unité. Changez l’un des deux et une nouvelle ligne apparaît, puisque l’adresse fait partie de ce qui est haché. À l’inscription, l’empreinte de l’adresse est aussi apposée sur votre compte. La clé qui fabrique ces empreintes est un secret gardé sur notre serveur : elles ne peuvent donc pas être retransformées en adresse, et la table ne vaut rien pour qui en prendrait une copie sans cette clé. Aucun script de votre navigateur ne mesure votre écran, vos polices ou votre canvas — tout ceci est construit à partir de deux éléments que chaque requête transporte déjà. Ces lignes ne font qu’une chose automatique : lorsqu’un autre compte partage un appareil ou une connexion avec le vôtre, on vous refuse mutuellement vos tâches. C’est tout. Personne n’est suspendu par ce biais, rien n’est supprimé, aucun compte n’est fermé. Retrouver un manuscrit fuité se fait par l’enregistrement de téléchargement décrit plus haut, qui nomme le membre, le livre et la tâche pour laquelle le fichier a été pris ; les lignes d’appareil servent à relier deux comptes quand il s’avère qu’ils sont une seule personne. L’autre signal automatique est inchangé : le nombre de tâches que vous laissez expirer fait monter un score visible par le personnel, et ce score réduit le nombre de tâches que vous pouvez tenir. La base de tout cela est l’intérêt légitime — le nôtre à garder l’échange honnête, et celui de chaque auteur sur son propre livre inédit. Vous pouvez vous y opposer, et la section sur vos droits explique comment. Fermer votre compte supprime vos lignes d’appareil et efface l’empreinte d’inscription de votre compte, ce que cette section promet. Sachez que rien d’autre ne les supprime : aucune tâche ne fait vieillir ces lignes, elles restent donc tant que votre compte est ouvert.
Pas de publicité, pas de profilage, pas de revente
Nous ne vendons ni ne partageons vos données, nous ne faisons pas de publicité, et nous ne construisons pas de profils publicitaires ni de décisions automatisées ayant un effet juridique sur vous. Il n’y a dans cette application ni SDK d’analytique, ni SDK de remontée d’erreurs, ni pixel de suivi — nous avons vérifié, il n’y a rien à retirer. Ce que nous comptons à la place, c’est un nombre par jour et par pays : combien de pages ont été ouvertes. Aucun identifiant ne s’y trouve, il ne peut donc pas distinguer un lecteur qui a ouvert dix pages de dix lecteurs qui en ont ouvert une — le savoir supposerait de marquer votre navigateur, et nous préférons le nombre le plus vague. Les robots évidents en sont exclus. Les polices sont hébergées chez nous au moment de la compilation, précisément pour que charger une page n’envoie pas votre IP à un fournisseur de polices, et les images de couverture sont récupérées par notre serveur plutôt que par votre navigateur, de sorte que les boutiques ne voient pas non plus votre adresse. Trois cookies sont posés, tous strictement nécessaires et aucun utilisé pour du suivi : l’un vous garde connecté, l’autre retient la langue que vous avez choisie, et le troisième retient une connexion qui attend sa deuxième étape — celui-là ne dure que dix minutes et n’est posé que pendant que vous la terminez. Votre choix de thème clair ou sombre est conservé par votre propre navigateur et ne nous parvient jamais.
Qui d’autre touche à vos données
Neon héberge la base Postgres, c’est-à-dire tout ce qui est listé plus haut. Vercel héberge l’application et reçoit les journaux de requêtes et de fonctions. Vercel Blob stocke les PDF des livres, ainsi que toute capture d’écran d’avis que vous choisissez d’envoyer, dans un espace privé, accessible uniquement par des liens que nous signons à chaque requête et qui expirent en soixante secondes. Resend (Resend, Inc., États-Unis) achemine le courrier que ce service envoie, ce qui veut dire que Resend traite le message et votre adresse ; il n’existe que trois sortes de messages — un lien qui confirme votre adresse à l’inscription et cesse de fonctionner après une heure ; un lien de réinitialisation de mot de passe, que vous demandez et qui cesse également de fonctionner après une heure ; et un message que vous nous envoyez via un formulaire de contact. Nous n’envoyons aucun courrier commercial. Paddle est notre prestataire de paiement et le marchand officiel de chaque formule payante : lorsque vous vous abonnez, c’est Paddle — et non BookOrbit — qui collecte vos données de carte, votre adresse de facturation et les informations fiscales exigées par votre pays, saisies dans la fenêtre de paiement de Paddle et n’atteignant jamais nos serveurs ; nous ne voyons ni ne stockons jamais de numéro de carte. De Paddle nous recevons seulement l’état de votre abonnement, la formule achetée, la date de renouvellement et un identifiant d’abonnement, ce qui indique à ce compte qu’il est à jour. Paddle est un responsable de traitement indépendant pour les données de paiement qu’il détient, et sa propre politique de confidentialité s’y applique. La connexion Google est branchée. Si vous la choisissez, Google nous communique l’adresse de votre compte Google, votre nom et si cette adresse est vérifiée, et Google apprend que vous vous êtes connecté à ce service ; nous n’envoyons rien d’autre à Google, et vous pouvez vous inscrire avec un mot de passe à la place.
Où se trouvent vos données
La base de données est hébergée par Neon aux États-Unis (AWS us-east-1), et Vercel sert l’application depuis sa propre infrastructure mondiale. Si vous êtes dans l’UE, l’EEE ou au Royaume-Uni, il s’agit d’un transfert de vos données personnelles hors de cette zone, fondé sur les clauses contractuelles types que chaque prestataire propose. Déplacer la base vers une région européenne est la solution la plus simple et figure sur la liste ; si cela se fait, cette section changera et le changement sera la première chose annoncée sur cette page.
Combien de temps nous le gardons
Les sessions expirent au bout de trente jours. Dès qu’une session a expiré, la tâche nocturne supprime la ligne — avec l’adresse IP et l’agent utilisateur qu’elle contient — ainsi que tout jeton de vérification expiré. Les fichiers envoyés vers lesquels plus aucun livre ne pointe sont supprimés automatiquement un jour après être devenus orphelins, et un livre que vous retirez de votre rayon garde son fichier trente jours avant de le devenir. Tout le reste — vos livres, retours, tâches, registre de points, notifications et le journal des actions de l’équipe — est conservé jusqu’à ce que vous demandiez sa suppression, et le journal des actions est conçu pour ne jamais être effacé, votre identifiant en étant retiré. Une capture d’écran de boutique que vous nous donnez est supprimée dès qu’un membre de l’équipe l’a regardée, et supprimée sans avoir été lue au bout de sept jours si personne ne le fait ; un lien est supprimé une fois regardé, ou sans avoir été lu au bout de trente jours — les durées de conservation de cette page que le logiciel fait respecter, et non une personne. Un secret de connexion en deux étapes et ses codes de secours sont conservés jusqu’à ce que vous désactiviez la connexion en deux étapes ou fermiez votre compte, et partent avec les identifiants dans les deux cas. Le compte quotidien des pages ouvertes est conservé treize mois, pour qu’un mois d’octobre puisse être comparé au suivant, puis supprimé par l’entretien nocturne.
Vos droits, et comment les exercer
Vous avez le droit d’accéder à vos données, de les rectifier, de les faire effacer, de les recevoir dans un format portable, de vous opposer au traitement fondé sur l’intérêt légitime, de demander une limitation du traitement, et de saisir votre autorité de protection des données. Vous pouvez corriger vous-même votre nom et votre nom de plume dans les réglages, et y fermer votre compte — ce qui supprime votre nom, votre adresse e-mail, votre nom de plume et l’empreinte de l’adresse d’inscription, et efface vos identifiants, vos sessions et vos enregistrements d’appareil. Une chose y survit volontairement : le relevé des séparations auxquelles vous participez, parce qu’une séparation appartient à deux personnes. Pour l’accès, la portabilité, la limitation ou l’opposition, écrivez-nous et une personne s’en chargera à la main — ce n’est pas encore automatisé, et nous préférons le dire plutôt que de laisser croire le contraire. Cette page décrit le fonctionnement réel du système aujourd’hui ; ce n’est pas un conseil juridique.
Comment nous joindre
Écrivez à [email protected], ou utilisez .