Politique de confidentialité

1. Responsable et contact

Le responsable du traitement est Emilie Perron EI, exerçant sous le nom commercial NOVA2G, 101 Rue au Bois Marcel, 50000 Saint-Lô, France, SIRET 999 096 829 00018. Demandes RGPD : contact@jodevelop.com.

2. Données, finalités et fonctionnement

• Autorisations dans l’application : rien n’est envoyé pour une transcription ou un export avant que vous n’autorisiez la transcription cloud, dans le guide de bienvenue ou à la première transcription. Les fonctions d’IA demandent leur propre autorisation à la première utilisation de l’une d’elles (sous Windows, une seule autorisation couvre la dictée et les notes) et les voix connues demandent la leur. Chaque autorisation dit ce qui est envoyé et à qui, et se retire dans les réglages de confidentialité de l’application (Paramètres, Réglages ou Préférences selon le système) ; le retrait arrête les envois suivants mais ne peut pas rappeler une demande déjà transmise.
• Applications iPhone et Android : le micro ne s’ouvre qu’à votre geste (toucher ou maintien du micro, bouton d’une note). Sur Android, une note qui continue écran éteint et l’envoi d’un fichier à transcrire tournent comme services au premier plan (micro, synchronisation de données), avec une notification qui permet de les arrêter ; l’autorisation des notifications sert à afficher cette notification. Sur iPhone, l’accès complet du clavier ne sert qu’à ses fonctions en ligne. Pour la liste des appareils du compte, le téléphone transmet un identifiant d’installation aléatoire, gardé sous forme d’empreinte, le nom ou le modèle de l’appareil, sa plateforme et la version de l’application.
• Clavier TalkyText (iPhone et Android) : ce que vous tapez est traité sur le téléphone ; les touches, les suggestions et la vérification orthographique ne sont pas envoyées. Le clavier n’envoie que ce que vous demandez : le son d’une dictée et, pour l’enchaîner, la fin du texte déjà écrit (1 000 caractères au plus), jamais le contenu d’un champ de mot de passe ou de carte bancaire ; une correction ou une mise en forme par l’IA envoie le texte concerné, après l’autorisation de l’IA. L’historique de frappe est facultatif, désactivé au départ et soumis à son propre accord ; il reste sur le téléphone et ignore les champs de mot de passe et de carte bancaire (sur Android, aussi les champs en navigation privée ou qui demandent de ne pas apprendre la saisie).
• Dictée cloud : TalkyText envoie l’audio du microphone, via Cloudflare, à ses serveurs de transcription et renvoie le texte obtenu. Le microphone ne sert que pendant que vous dictez ou enregistrez. Votre dictionnaire accompagne chaque transcription, pour cette seule transcription. Quand vous dictez de nouveau là où TalkyText vient d’écrire, la fin de ce texte, 1 000 caractères au plus, accompagne la dictée pour l’enchaîner ; le serveur ne s’en sert que pour cette dictée. Le routeur et le service de transcription traitent l’audio et le texte de la demande sans en enregistrer le contenu dans leurs journaux de fonctionnement. L’historique, les notes et les enregistrements conservés restent sur votre appareil ; une dictée échouée peut conserver son audio localement pour permettre un nouvel essai.
• Fichiers et intervenants : le média choisi est ouvert localement et son audio est envoyé à TalkyText Cloud. La séparation des intervenants, lorsqu’elle est activée, et les horodatages sont calculés sur le serveur. Les groupes vocaux numérotent les prises de parole du fichier sans identifier les personnes. Les copies locales de décodage sont temporaires et nettoyées après traitement, avec reprise du nettoyage après interruption. Sous Windows et macOS, le son d’un fichier transcrit est gardé sur votre appareil, compressé, avec sa transcription pour la lecture synchronisée, et s’efface avec elle. Les noms saisis et le texte structuré sont envoyés au service d’export à votre demande (sous Windows, aussi pour « Copier le texte » et le PDF) ; le fichier produit vous est retourné sans y être conservé.
• Voix connues (facultatif) : les empreintes vocales sont des données biométriques. Après votre accord explicite, l’empreinte de la voix d’un intervenant que vous nommez peut être gardée sur votre appareil avec le nom choisi. Les empreintes accompagnent chaque fichier ou note dont les intervenants sont séparés vers le serveur de transcription TalkyText, qui propose le nom d’une voix reconnue et ne conserve rien ; les noms restent sur votre appareil. Vous pouvez supprimer une voix ou toutes, ce qui retire aussi l’accord. Mémoriser une voix demande de confirmer que la personne a accepté. Sur iPhone et Android, la bibliothèque des voix est chiffrée sur le téléphone et exclue de ses sauvegardes.
• IA facultative : la mise en forme, la traduction, la correction, le mode commande, les notes IA, les comptes rendus de réunion, les thèmes et les questions sur vos notes n’interviennent qu’à votre demande ou après activation d’une option, une fois l’autorisation de l’IA donnée. Le texte concerné est transmis au service IA TalkyText puis à Anthropic (Claude, États-Unis) : le texte dicté ou sélectionné et votre consigne, le texte des notes concernées et vos questions ; votre dictionnaire peut servir de glossaire. L’audio n’est pas transmis à Anthropic. Le service IA TalkyText ne stocke aucun texte : il ne garde que des traces techniques (identifiant de la licence, identifiants, dates et états des demandes) contre les doublons et les abus, effacées 7 jours après leur usage. Anthropic efface les entrées et sorties de son API sous 30 jours, sauf conservation plus longue nécessaire au respect de sa politique d’usage ou imposée par la loi ; NOVA2G ne revendique pas d’accord de conservation nulle. Désactiver l’IA ne désactive pas la transcription ordinaire.
• Sur votre appareil : l’historique des dictées (avec l’audio si vous le conservez), les notes et leurs enregistrements, les transcriptions récentes de fichiers, votre dictionnaire et vos remplacements, les empreintes vocales mémorisées et vos réglages restent sur votre appareil et ne sont pas synchronisés ; vous pouvez les supprimer dans l’application. Sur iPhone et Android, l’historique, les notes, les enregistrements et les voix mémorisées sont exclus des sauvegardes du téléphone (sur Android, aussi du transfert vers un nouvel appareil). L’application tient un journal technique sur l’appareil ; il n’est envoyé que si vous acceptez de le joindre à un signalement de problème.
• Actions d’une note et intégrations du système : « Actions » transmet le texte de la note IA au service IA TalkyText puis à Anthropic, avec le même accord que la note IA, pour en extraire des tâches et des dates. Celles que vous choisissez vont dans vos Rappels ou votre Calendrier (iPhone, Mac), votre agenda (Android) ou un fichier de calendrier créé sur votre appareil (Windows, Linux) ; TalkyText n’y lit rien. Sur iPhone et Mac, Spotlight garde le titre et le texte de vos notes dans l’index de l’appareil : une note supprimée en sort, et toutes à la déconnexion. L’app Apple Watch envoie l’enregistrement directement à votre iPhone, qui le transcrit comme une note.
• Essai et licence : preuves matérielles hachées propres à TalkyText, nom de l’appareil, plateforme, version et dates de validation empêchent les remises à zéro abusives, limitent les nouveaux essais à 7 jours par ordinateur ou compte mobile, rattachent les licences à vie historiques à leurs ordinateurs, appliquent la limite d’appareils du compte et délivrent une autorisation locale signée renouvelable d’au plus 24 heures. Les essais déjà commencés gardent leur échéance initiale. TalkyText tente normalement le renouvellement toutes les six heures lorsqu’il reste ouvert et exige une validation en ligne au redémarrage. Les identifiants matériels bruts ne sont pas transmis. Les jetons de liaison vers un achat sont aléatoires, temporaires et conservés sous forme d’empreintes uniquement. Pour qu’un essai sur téléphone ne soit offert qu’une fois, une empreinte de l’adresse e-mail et de l’identifiant d’installation est gardée, y compris après la suppression du compte ; elle ne permet pas de retrouver l’adresse. Les clés de l’API publique, quand elle sera ouverte, sont gardées sous forme d’empreinte et comptent comme un appareil du compte.
• Compte : e-mail, empreinte salée du mot de passe, session et liens licences/appareils permettent l’espace client et les changements d’ordinateur. Le compte TalkyText est tenu par TalkyText seul : l’adresse e-mail et le mot de passe saisis dans l’application ou sur le site sont transmis par HTTPS au service de compte TalkyText, qui les vérifie lui-même ; le mot de passe n’est jamais conservé en clair et aucun autre service ne reçoit ces identifiants. Le compte se supprime dans l’application (Compte, Supprimer le compte) ou sur le site, dans Mon compte, « Supprimer le compte » (https://talkytext.com/compte#delete-account). La suppression arrête l’abonnement du site et le renouvellement des abonnements Google Play et Microsoft Store ; un abonnement App Store reste facturé par Apple jusqu’à son annulation dans les réglages de votre identifiant Apple.
• Abonnements et achats dans les stores : pour chaque abonnement, TalkyText garde la caisse (site, App Store, Google Play ou Microsoft Store), l’offre, les dates, l’état, l’environnement (réel ou test), le pays du store s’il est fourni et les identifiants du store : Apple (originalTransactionId, transactionId, appAccountToken), Google (purchaseToken, numéro de commande, identifiant de compte masqué) et, quand ce paiement sera ouvert, Microsoft (identifiant de récurrence, clés d’identité Microsoft Store chiffrées). Le jeton d’achat du compte est un identifiant aléatoire, sans lien direct avec votre adresse : l’application le transmet au store lors d’un achat pour le rattacher à votre compte. TalkyText ne reçoit des stores ni carte ni identité de paiement. Ces données servent à ouvrir l’offre sur les appareils du compte, à éviter un double abonnement, à appliquer les remboursements et révocations décidés par le store et à l’assistance. Pour un abonnement pris sur le site, l’accord aux conditions, l’éventuelle demande d’accès immédiat, avec leur version et leur date, et les confirmations de souscription et de résiliation sont gardés comme preuve du contrat.
• Cession de licence : comptes source et cible, e-mails, commande et licences concernées, déclarations et consentements, empreinte du jeton temporaire, statut, dates et reçus permettent de vérifier une cession en bloc, d’empêcher l’usage simultané et d’en conserver la preuve. Le jeton en clair n’est jamais écrit en base : une copie chiffrée et authentifiée est supprimée après l’envoi de l’invitation. À défaut d’envoi, aucune nouvelle acceptation ne commence après l’expiration ; la copie chiffrée est purgée au premier passage réussi suivant l’échéance et, si une acceptation avait déjà commencé, la fin de sa lease technique de deux minutes. Après acceptation, l’empreinte anti-rejeu atteint son échéance au bout de 7 jours puis est remplacée au passage réussi suivant par une valeur sans lien avec le jeton. Le cessionnaire ne reçoit ni la facture, ni la commande, ni les autres données du primo-acheteur.
• Achat, remboursement, notifications et documents fiscaux : commande, identifiants Stripe de paiement, débit et client, éventuel poste d’origine et dates de son essai, e-mail, identité et adresse de facturation finales, montant, devise, détail fiscal, éventuel taux de change, version des consentements et horodatages servent à calculer et présenter le prix, encaisser immédiatement le paiement unique, livrer la licence, afficher pendant 15 jours le remboursement commercial intégral, traiter cette demande et désactiver les licences de la commande, émettre la facture ou l’avoir immuable avec son empreinte SHA-256, prouver la transaction et respecter les obligations comptables. Chaque notification durable conserve son contenu figé, son empreinte, un Message-ID, sa date et son état d’envoi ou de transport pour permettre une reprise identique. Les empreintes sont revérifiées lors de chaque téléchargement. NOVA2G ne reçoit jamais les données de carte.
• Pays et réseau : Stripe recueille l’adresse de facturation finale pendant le paiement ; son pays sert au calcul fiscal et à la facture. Le prix public est débité en USD partout dans le monde. Cloudflare traite l’adresse IP à la périphérie du réseau et transmet uniquement le pays qui en est déduit comme preuve secondaire éventuelle et pour la sécurité, sans restreindre les ventes selon le pays. L’application TalkyText ne conserve pas cette IP en clair ; un compartiment réseau pseudonymisé et temporaire sert à limiter les abus.
• Rétractation : nom, e-mail d’accusé, adresse postale facultative, date et référence de commande, déclaration, contenu et horodatage de l’accusé permettent de recevoir, prouver et traiter la notification. Une alerte interne indépendante reprend seulement la référence réelle de la notification, l’e-mail, la date et la référence de commande déclarées et son état d’envoi ou de transport ; elle ne recopie ni l’adresse postale, ni le nom, ni la déclaration intégrale.
• Signalement d’un contenu IA : le formulaire de l’application envoie la fonction concernée, le motif, votre commentaire, le texte de l’IA seulement si vous le collez, votre adresse e-mail seulement si vous la donnez, la plateforme, la version de l’application et la langue de l’interface. Le signalement part par e-mail à la boîte du support ; le site ne garde qu’une ligne d’audit sans texte (plateforme, fonction, motif, référence). S’il ne peut pas partir, l’application propose d’écrire un e-mail.
• Mises à jour : la vérification des mises à jour des applications de bureau n’envoie que la version et la plateforme ; la version du Microsoft Store est mise à jour par le Store.
• Sécurité et support : limites de débit à courte durée, compartiments réseau pseudonymisés, journaux techniques et messages protègent le service et permettent de répondre.

3. Bases légales

Les mesures précontractuelles et l’exécution du contrat couvrent le compte, l’achat, la livraison, l’activation, la cession demandée et le support. Les obligations légales couvrent factures, comptabilité et rétractation. L’exécution du contrat couvre aussi l’ouverture de l’offre sur les appareils du compte, la prévention d’un double abonnement et l’application des remboursements et révocations des stores ; les obligations légales couvrent la comptabilité des reversements des stores. L’intérêt légitime couvre la sécurité, la prévention de la fraude et la défense de droits. Les champs signalés comme obligatoires pendant l’achat ou la rétractation sont nécessaires à ces finalités ; sans eux, l’opération concernée ne peut pas aboutir. Les actions facultatives reposent sur votre choix. La transcription cloud, les fonctions d’IA et les voix connues (données biométriques) reposent aussi sur les autorisations données dans l’application, retirables à tout moment sans remettre en cause les traitements antérieurs. Aucun profilage publicitaire ni décision automatisée produisant un effet juridique n’est réalisé.

4. Destinataires et transferts

Les personnes habilitées chez NOVA2G n’accèdent qu’aux informations nécessaires. Stripe traite le paiement hébergé, les données de facturation et les reçus. Cloudflare assure l’hébergement de l’application et de sa base, l’envoi des e-mails transactionnels, sa diffusion, sa protection réseau et les connexions chiffrées vers les services de transcription et d’IA TalkyText. Des traitements peuvent avoir lieu hors EEE. Ils sont encadrés, selon le service et le pays, par une décision d’adéquation et/ou les clauses contractuelles types intégrées aux accords de traitement de Stripe et de Cloudflare. Les demandes IA facultatives impliquent aussi Anthropic. Pour un achat dans un store, Apple, Google ou Microsoft encaisse le paiement et reste responsable de ses propres traitements de paiement ; Google Cloud Pub/Sub achemine les notifications de Google Play et Microsoft Entra ID authentifie le serveur auprès du Microsoft Store. Ces transferts vers les États-Unis reposent sur les garanties de chacun (Data Privacy Framework, clauses contractuelles types). Vous pouvez demander des informations ou une copie des garanties au contact indiqué à l’article 1. Aucune donnée n’est vendue.

5. Durées de conservation

• compte, licence active et chaîne de titulaires : pendant la relation contractuelle et le support de la licence, puis jusqu’à 5 ans pour la preuve et la défense de droits ;
• jeton de cession : copie chiffrée supprimée après l’envoi ou au premier passage de maintenance réussi suivant l’expiration et la fin éventuelle de la lease technique de deux minutes, jamais le jeton en clair en base ; empreinte anti-rejeu échue 7 jours après l’acceptation puis remplacée au passage réussi suivant ; déclarations et reçus de cession : selon la durée de la licence puis jusqu’à 5 ans après sa fin ;
• copies contractuelles J0, de paiement et d’annulation, états d’envoi ou de transport transactionnels, factures, avoirs, preuves de paiement et comptabilité : jusqu’au 31 décembre de la dixième année suivant l’année concernée, soit 10 ans à compter de la clôture de l’exercice au 31 décembre ; la purge devient éligible le 1er janvier suivant. À ce passage, l’e-mail, l’identité et l’adresse de facturation ainsi que les identifiants Stripe de la commande sont expurgés ; seul l’identifiant pseudonyme de checkout peut subsister tant qu’une licence l’utilise pour sa chaîne contractuelle. L’empreinte et les dates des copies contractuelles liées à la commande restent comme tombstone pseudonyme ; les documents fiscaux purgés ne laissent qu’un tombstone sans nom, e-mail, adresse ni référence de paiement, composé du numéro, de la série, de l’éventuel numéro d’origine, de l’empreinte et des dates nécessaires à la continuité comptable ;
• jeton de rappel de vérification : copie chiffrée supprimée dès l’acceptation du message par le transport, la vérification de l’adresse ou l’annulation de la commande ; jamais de jeton en clair en base. L’empreinte du lien utilisable expire au plus tard après 7 jours puis est purgée par la maintenance ;
• notifications de rétractation et accusés : 5 ans à compter de leur réception, sauf litige exigeant une conservation plus longue ; alerte opérateur supprimée de l’outbox active au premier passage quotidien réussi après au moins 30 jours suivant sa remise ;
• commandes abandonnées avant confirmation du paiement : 30 jours ; les anciennes commandes différées confirmées à J0 ou annulées suivent la durée de leur copie contractuelle indiquée ci-dessus ;
• jeton technique de rattachement d’un poste à un achat : 45 minutes au plus, puis suppression au passage de maintenance suivant ; seule son empreinte est enregistrée ;
• abonnements et achats des stores : pendant l’abonnement, puis 5 ans après sa fin pour la preuve ; rapports financiers des stores, sans donnée personnelle : 10 ans ; clés d’identité Microsoft Store : effacées à la fin de l’abonnement ou à la suppression du compte ; traces d’idempotence des notifications des stores : 90 jours ;
• accord à la souscription d’un abonnement du site et sa confirmation : comme les copies contractuelles ci-dessus, dix ans ; accord suivi d’un paiement abandonné : 30 jours ; confirmation de résiliation : 5 ans ;
• preuves d’appareils sans licence et inactifs : 3 ans après le dernier contact ;
• empreintes d’essai sur téléphone : 3 ans après l’ouverture de l’essai ;
• traces techniques du service IA TalkyText : 7 jours après leur usage ; texte transmis à Anthropic : jusqu’à 30 jours chez elle, sous les exceptions indiquées plus haut ;
• contenus gardés sur votre appareil (historique, notes, enregistrements, transcriptions, empreintes vocales) : jusqu’à leur suppression dans l’application ;
• journal de sécurité : seuil de 3 ans ; limites de débit : seuil de 8 jours, couvrant la plus longue fenêtre anti-abus et sa marge de maintenance ;
• cookie de session : 7 jours au plus ; support : durée de résolution puis jusqu’à 3 ans comme preuve d’un litige.

Les outbox de confirmations, documents fiscaux, cessions, accusés et alertes opérateur sont reprises toutes les cinq minutes. Les autres effacements de la base active sont programmés quotidiennement à 03 h 17 UTC. Les durées ci-dessus sont donc les seuils d’éligibilité à l’effacement ; la suppression physique intervient au passage réussi correspondant suivant, après toute lease technique encore en cours.

Après suppression de la base active, une donnée peut subsister au plus 400 jours dans des sauvegardes chiffrées à accès restreint, utilisées uniquement pour la reprise après sinistre. Une restauration réapplique les échéances d’effacement ; ces copies expirent automatiquement.

6. Cookies

TalkyText utilise uniquement le cookie de session strictement nécessaire au compte, un cookie technique de rattachement du poste à l’achat valable au plus 45 minutes et les mécanismes de sécurité. Stripe peut déposer des cookies sur son paiement hébergé. Le site TalkyText n’utilise aucun cookie de mesure d’audience, publicitaire ou de réseau social : aucun bandeau de consentement facultatif n’est donc nécessaire à ce jour.

7. Vos droits

Selon le traitement, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité ou vous opposer pour un motif lié à votre situation. Vous pouvez aussi donner des directives post-mortem. Écrivez-nous avec les éléments permettant d’identifier le compte ; une preuve d’identité n’est demandée qu’en cas de nécessité. Vous pouvez saisir la CNIL sur cnil.fr. Effacer les identifiants de licence peut empêcher une réactivation ; les pièces imposées par la loi restent conservées.

Dans l’application, les réglages de confidentialité retirent les autorisations de transcription cloud et d’IA, les réglages des voix connues suppriment les empreintes vocales, et l’historique, les notes et les transcriptions récentes se suppriment à tout moment.

8. Sécurité et modifications

Les mots de passe sont salés et hachés, les identifiants matériels bruts ne sont pas envoyés et les cartes restent chez Stripe. Les applications ne joignent les services TalkyText que par des connexions chiffrées. Aucun système Internet n’est sans risque. Toute modification importante sera datée ici et, si nécessaire, annoncée dans le compte ou l’application.