Confidentialité

Dernière mise à jour : 23 octobre 2026

En bref

PLANEUR n'a aucun traceur, aucune publicité, et ne vend rien de toi. Sans compte, ce que tu écris reste dans ton navigateur. Avec un compte, ton agenda part sur un serveur pour te suivre d'un appareil à l'autre, mais chiffré sur ton appareil avant de partir : ni l'éditeur ni l'hébergeur ne peuvent le lire. Ce que tu échanges avec tes amis est chiffré entre vous de la même façon.

Quelques fonctions font sortir des données précises, et seulement si tu t'en sers : l'IA, les rappels par e-mail et les notifications, la recherche d'adresses et de trajets, la dictée. Chacune est décrite plus bas : ce qui part, vers qui, pour combien de temps.

Qui est responsable

Responsable du traitement : Mathieu Willaw, éditeur de PLANEUR — planeurocontact@gmail.com.

Sans compte : tout reste sur ton appareil

Évènements, tâches, notes, pages du Cahier, projets, humeur et habitudes, mémoire de PLANY, réglages : tout est enregistré dans le stockage local de ton navigateur (localStorage), sur l'appareil que tu utilises, et n'est envoyé nulle part. Vider les données du site, changer de navigateur ou de téléphone les fait disparaître : la sauvegarde en fichier (Réglages › Mes données) ou le compte les gardent.

Ce stockage sert uniquement à faire marcher PLANEUR, que tu as ouvert toi-même : ce n'est ni un traceur ni une mesure d'audience. Le site ne dépose aucun cookie, n'utilise aucun outil de statistiques extérieur et ne charge aucune ressource extérieure, sauf au moment de créer un compte ou de s'y connecter : le contrôle anti-robot de Cloudflare (ci-dessous). Sa politique de sécurité interdit au navigateur de contacter un autre serveur que celui des comptes, le service d'adresses de l'IGN et ce contrôle : c'est vérifiable, pas seulement promis.

Ce que voit l'hébergeur du site

Comme tout site, l'hébergement garde une trace technique du téléchargement de la page : adresse IP, date, type de navigateur. Ces journaux appartiennent à Cloudflare, Inc. (États-Unis), qui les conserve selon sa propre politique. PLANEUR ne les consulte ni ne les exploite.

Le contrôle anti-robot

Quand tu crées un compte, que tu te connectes, que tu demandes un lien pour un nouveau mot de passe ou que tu fais renvoyer l'e-mail de confirmation, PLANEUR demande à Cloudflare Turnstile (Cloudflare, Inc., États-Unis) de vérifier que la demande vient d'une personne et pas d'un robot qui essaie des mots de passe en série. Le plus souvent, tu ne vois rien ; parfois, une case à cocher apparaît. Turnstile lit pour cela des signaux techniques de ton navigateur : adresse IP, empreinte de la connexion sécurisée, type de navigateur, et l'adresse du site. Il ne lit ni ton e-mail ni ton mot de passe. Cloudflare traite ces signaux pour le compte de PLANEUR afin de bloquer les robots, et pour son propre compte afin d'améliorer sa détection (politique de Turnstile). Base : l'intérêt légitime de l'éditeur à protéger les comptes (article 6, 1, f du RGPD). Rien de tout cela n'est chargé tant que tu ne fais pas l'un de ces gestes.

Si tu crées un compte

Ce qui est gardé : ton adresse e-mail ; un secret tiré de ton mot de passe (le serveur ne reçoit jamais le mot de passe lui-même) ; la clé de ton coffre, fermée par ton mot de passe ; ton agenda, chiffré ; la date de chaque envoi, et un identifiant tiré au sort pour chacun de tes appareils. Si tu as choisi un jour l'habillage PLANY : le jour de ce choix, et, une fois par jour au plus, s'il est encore choisi (oui ou non). Ça sert seulement à savoir combien le gardent, en totaux. Pour mesurer la phase de test : chaque jour où tu ouvres PLANEUR, la date et le nombre de tâches cochées ce jour-là, jamais leurs titres. Effacé après 13 mois, avec ton compte, ou dès que tu coupes « Compter mon usage » (Mon compte).

Pourquoi, et sur quelle base : faire marcher ton compte et la synchronisation, en exécution du service que tu demandes (article 6, 1, b du RGPD) ; protéger le service contre les abus et suivre, en totaux, combien de personnes s'en servent, au titre de l'intérêt légitime de l'éditeur (article 6, 1, f).

Ce que voit l'éditeur : pour chaque compte, l'adresse e-mail, la date d'inscription, la dernière visite, si l'adresse est confirmée, et des nombres (rappels en attente, demandes à l'IA du jour). Et des totaux : comptes créés, actifs, qui reviennent (le lendemain, après une semaine, après une absence), combien gardent l'habillage PLANY. Jamais le contenu de l'agenda, et ces totaux ne sont croisés avec rien.

Qui l'héberge : Supabase Pte. Ltd. (Singapour), en sous-traitant, sur des serveurs situés dans l'Union européenne (Dublin, Irlande). Supabase peut traiter des données depuis les États-Unis ou Singapour pour faire fonctionner et assister son service ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, que prévoit son accord de traitement des données. Les e-mails de confirmation et de mot de passe oublié partent par Brevo (Sendinblue SAS, Paris, France), en sous-traitant, qui ne reçoit que ton adresse et le message à t'envoyer.

Combien de temps : tant que ton compte existe. Tu le supprimes toi-même, à tout moment (Mon compte › Supprimer mon compte) : tout ce qui est à toi sur le serveur est effacé, définitivement. Un compte sans aucune connexion pendant trois ans est supprimé de la même façon.

Le revers, dit franchement : personne d'autre que toi ne peut ouvrir ton coffre, donc personne ne peut le rouvrir à ta place. Si tu oublies ton mot de passe, ce qui est dans ton compte est perdu ; ce qui est sur tes appareils reste intact.

Ton profil et tes amis

Avec un compte, tu choisis un nom d'utilisateur (« @ »), unique, avec lequel on peut te demander en ami. Tes amis, et les personnes à qui tu demandes d'être ami, voient ton prénom, ta photo (ou, sans photo, ton avatar ; réduite à 96 pixels), ton nom d'utilisateur, ta ligne sur toi, ton statut tant qu'il est en cours, ta série de jours d'affilée et le nom et la figure de tes projets achevés (six au plus), si tu les as remplis, ainsi que la date de votre amitié. Personne d'autre. Le reste de ton agenda n'en fait pas partie.

Le serveur garde ces informations, la liste de tes amitiés et des demandes en cours (des identifiants techniques, jamais vos adresses e-mail entre vous), les personnes que tu as bloquées, et une clé publique qui permet à tes amis de te transmettre, chiffrées pour toi seul, les clés de vos conversations et projets. Tu peux changer ou effacer ton profil, retirer un ami ou bloquer quelqu'un à tout moment. Base : l'exécution du service (article 6, 1, b).

Tes conversations et tes projets partagés

Une conversation entre deux amis, comme un projet partagé, est chiffrée avec une clé que seuls ses membres ont. Elle naît sur l'appareil de celui qui ouvre la conversation ou crée le projet, et voyage chiffrée pour chaque membre. Ni l'éditeur ni l'hébergeur ne peuvent lire les messages, les moments proposés, les rendez-vous partagés ou le contenu d'un projet.

Le serveur garde : le contenu chiffré ; pour chaque message, son auteur et son heure ; la liste des membres et leur rôle. Il voit donc qui écrit à qui, et quand, rien de plus. Une conversation garde ses 1 000 derniers messages. Tu peux effacer tes messages ; quitter un projet ou supprimer ton compte te retire de tes espaces (tes messages restent chez les autres membres, sans ton nom). Base : l'exécution du service (article 6, 1, b).

Ces données servent aussi, en cas de demande d'une autorité judiciaire, à répondre selon la loi (article 6, 1, c) : le serveur ne peut alors fournir que ce qu'il connaît — l'adresse e-mail et le nom d'utilisateur d'un compte, l'auteur et l'heure d'un message —, jamais leur contenu.

Les signalements

Quand tu signales un message, l'éditeur reçoit : qui signale, le message en cause, son auteur, le motif et le texte du message (c'est le seul moyen pour lui de le lire). Ils servent à examiner le signalement, prendre une mesure et en informer la personne concernée, comme le prévoit le règlement (UE) 2022/2065 sur les services numériques (article 6, 1, c du RGPD) et pour la sécurité des utilisateurs (article 6, 1, f). Ils sont gardés douze mois au plus, puis effacés automatiquement.

Les notifications sur ton téléphone

Seulement si tu les actives. Ton téléphone s'abonne alors au service de notifications de son navigateur — Apple, Google ou Mozilla selon l'appareil — et le serveur garde cet abonnement : une adresse technique, ses clés, et le type d'appareil.

Pour te prévenir même PLANEUR fermé, ton application dépose sur le serveur, pour les sept jours à venir, le titre et l'heure de tes rappels en clair : ta journée, l'heure de partir et le trajet d'un rendez-vous, le point du soir. Un message d'ami ne dit que son nom (« Léa t'a écrit. »), jamais le texte. Chaque notification part chiffrée pour ton appareil seul — le service d'Apple, de Google ou de Mozilla ne peut pas la lire — et sa ligne est effacée du serveur dès qu'elle est partie (ou deux heures après son heure). Le reste de ton agenda reste chiffré. Base : ta demande, en les activant (article 6, 1, b) ; tu les coupes à tout moment (Réglages › Notifications), et ce qui attendait est effacé.

Les rappels et les e-mails

Les rappels par e-mail, si tu les actives : pour chaque évènement qui a une heure dans les sept jours à venir, le titre et l'heure du rappel — et, si tu choisis le tour du matin, le titre de ce qui est prévu chaque jour — sont déposés sur le serveur en clair, transmis à Brevo (Sendinblue SAS, Paris, France), en sous-traitant, pour l'envoi, et effacés dès que l'e-mail est parti.

Les e-mails entre amis : une demande d'ami, une invitation à un projet, une tâche confiée. Brevo envoie un e-mail court : le prénom de l'ami et ce qu'il a fait, jamais le contenu d'un projet ou d'un message. Vingt par jour au plus ; tu les coupes dans Réglages › Notifications.

Pour tenir les plafonds d'envoi, le serveur compte combien d'e-mails tu as reçus dans la journée : un nombre, effacé au bout de deux jours.

PLANY et l'IA

Sans compte, PLANY répond avec des règles, sur ton appareil : rien ne part.

Avec un compte, quand tu lui écris, il peut répondre avec une IA générative. Part alors vers le serveur des comptes, qui le transmet à Anthropic, PBC (États-Unis), en sous-traitant : ta question et le fil de votre conversation ; ton prénom et ce que tu lui as dit de toi (questionnaire, souvenirs, journal) ; ton agenda des quinze prochains jours (titres, heures, durées, lieux, heures de départ), tes rendez-vous du mois, ce qui est en retard ; tes projets (titre, échéance, avancement, prochaine étape) et tes projets partagés (titre, échéance, tâches à faire et le prénom de qui s'en charge) ; les titres de tes pages du Cahier ; tes horaires de travail, ton niveau d'aide et quelques chiffres (ce que tu as fait la semaine passée, si ta journée tient). S'il en a besoin pour répondre, il va chercher dans ton agenda ou tes pages le passage utile. Jamais ton adresse e-mail, ton mot de passe, ton adresse de départ, ton humeur, ni tes conversations avec tes amis.

Pour une question qui dépend du monde (un horaire, une démarche, la météo), l'IA peut chercher sur Internet : les mots de la recherche partent alors au service de recherche du prestataire, avec une localisation limitée au pays (France).

Les autres outils marqués « IA » n'envoient que ce qu'il leur faut, et seulement quand tu cliques : « Ranger avec l'IA », le texte de la case ; l'import d'un emploi du temps en PDF, le fichier ; « Optimiser », les titres, dates, heures et durées de tes sept prochains jours, tes retards et tes projets ; « Découpe-le pour moi », le nom, l'intention, l'échéance et les tâches du projet ; « PLANY lit ce document » (résumer, faire une fiche, tirer les étapes, faire réviser), le document choisi — le fichier PDF ou l'image, ou le texte de la page — avec son titre et le nom, l'intention, l'échéance et les étapes de son projet. La première fois, PLANEUR te le redit avant d'envoyer quoi que ce soit.

Les fichiers de tes dossiers (PDF, images) restent sur l'appareil où tu les as ajoutés, dans le stockage de ton navigateur : ils ne partent pas au serveur des comptes. Seuls leur nom, leur taille et leur dossier suivent ton compte, chiffrés avec ton agenda. Un fichier part à l'IA seulement quand tu demandes à PLANY de le lire.

Selon ses propres règles, Anthropic efface ces données sous 30 jours (jusqu'à deux ans pour celles que ses contrôles signalent comme contraires à sa politique d'usage) et, par défaut, ne s'en sert pas pour entraîner ses modèles. Le transfert vers les États-Unis est encadré par les clauses contractuelles types de la Commission européenne, incluses dans son contrat de sous-traitance. Le serveur des comptes ne garde ni les questions ni les réponses : il compte seulement combien de demandes tu as faites aujourd'hui et hier, pour tenir le plafond (un nombre, effacé au bout de deux jours). Les réponses de PLANY restent sur tes appareils, dans ton coffre. Base : l'exécution du service que tu demandes en écrivant à PLANY ou en cliquant (article 6, 1, b).

Les adresses et les trajets

Quand tu tapes un lieu, ou l'endroit d'où tu pars, ce que tu tapes part au service public de l'IGN (Géoplateforme), qui renvoie les adresses correspondantes ; si tu as dit d'où tu pars, il reçoit aussi une position arrondie au kilomètre. Pour la durée d'un trajet, il reçoit les deux bouts, arrondis à une centaine de mètres, et la façon de se déplacer. Rien d'autre : ni ton agenda, ni le nom de tes rendez-vous. Les adresses et durées restent dans ton agenda, chiffrées avec lui. Données : IGN, Géoplateforme, sous Licence Ouverte.

Partir d'où je suis (une option, coupée au départ, dans Réglages › Ma journée). Si tu l'allumes, PLANEUR demande ta position à ton appareil, seulement quand il est ouvert : pour le trajet vers ton prochain rendez-vous du jour, et pour la météo d'ici. Elle n'est jamais gardée : elle part seulement à l'IGN, arrondie à une centaine de mètres, comme point de départ du trajet, et, si la météo est allumée, au service météo décrit plus bas, arrondie au kilomètre. Ce qui est gardé, c'est la durée du trajet obtenue (chiffrée avec ton agenda), deux heures au plus. Couper l'option l'efface. Base : ton consentement (article 6, 1, a), que tu retires en coupant l'option ou en refusant la position dans ton navigateur.

La météo

Le ciel de PLANEUR suit le temps qu'il fait, et l'heure de partir te prévient de la pluie, de la neige ou de l'orage. Pour cela, PLANEUR envoie au serveur des comptes, qui la transmet à MET Norway (l'institut météorologique norvégien, dans l'Espace économique européen) : ta zone, arrondie au kilomètre — là où tu es si « Partir d'où je suis » est allumé, sinon l'adresse « D'où tu pars » —, et la position des lieux de tes rendez-vous d'aujourd'hui et de demain, arrondie de même. Jamais ton agenda ni le nom de tes rendez-vous. Le serveur garde les prévisions en mémoire, sans rien enregistrer. L'avis retenu pour un départ (« pluie vers 13 h ») reste dans ton agenda, chiffré avec lui ; le temps qu'il fait ne reste que le temps de la page. Tu peux couper la météo dans Réglages › Ma journée. Données : MET Norway, sous licence CC BY 4.0. Base : l'exécution du service (article 6, 1, b).

La dictée vocale

Si tu dictes, l'audio est transmis au service de reconnaissance de ton navigateur pour être transcrit — chez Google pour Chrome, chez Apple pour Safari. Seul le texte revient dans PLANEUR. Rien ne part si tu ne dictes pas.

Quand PLANY lit ses réponses à voix haute, c'est d'abord avec la voix installée sur ton appareil : le texte ne sort pas. Si tu choisis la voix naturelle (Réglages › PLANY › Sa voix), ton navigateur télécharge une fois, depuis planeur.app, un modèle de voix d'environ 130 Mo, puis le garde dans son cache. Le son est ensuite calculé sur ton appareil : le texte ne sort pas non plus, et aucun serveur ne l'entend. Pour retirer le modèle, efface les données du site dans ton navigateur.

Tes retours, et si tu nous écris

« Donner mon avis » et « Signaler un problème » envoient au serveur ton message, l'adresse e-mail que tu donnes si tu veux une réponse, et, si la case est cochée, des informations techniques que le formulaire te montre avant l'envoi. Jamais ton agenda. Gardés douze mois au plus. Un e-mail à planeurocontact@gmail.com arrive dans une boîte Gmail (Google), qui peut le traiter hors de l'Union européenne ; il sert à te répondre, puis est supprimé.

Si tu es testeur

Pendant la phase de test, l'adresse e-mail de chaque testeur invité est gardée dans une liste, avec une courte note (un prénom, une promo) : elle permet de créer un compte quand les inscriptions sont réservées, et d'offrir l'habillage Argile. Seule l'équipe de PLANEUR la voit. Elle est effacée à la fin de la phase de test, ou plus tôt si tu le demandes à l'adresse ci-dessus.

Qui reçoit quoi

Aucune donnée n'est vendue, louée ou utilisée pour de la publicité.

L'âge

PLANEUR s'adresse aux personnes de 15 ans et plus. En dessous de 15 ans, un compte ne doit être créé qu'avec l'accord d'un parent ou d'un tuteur (article 45 de la loi Informatique et Libertés).

Tes droits

Tu peux accéder à tes données, les corriger, les effacer, en limiter l'usage, t'opposer à un traitement fondé sur l'intérêt légitime (par exemple être retiré des totaux), retirer un consentement, et les emporter.

Changements

Cette page décrit PLANEUR tel qu'il fonctionne aujourd'hui. Quand une fonction fait sortir une donnée de plus, la page est mise à jour avant sa mise en service, et la date en haut le dit.