Confidentialité et journalisationSept registres existent. Les voici, un par un.

Pas une politique sur le soin avec lequel nous gardons vos données — un inventaire de la faible quantité jamais créée. Une promesse de protéger un enregistrement peut être annulée par une ordonnance. Un enregistrement qui n’existe pas ne le peut pas.

journaux d'accès24 heures

L'inventaire

Aucun document d'identité · Aucun historique d'IP · Aucun netflow

Ce qui existe

Le schéma complet, et l'horodatage sur chaque ligne.

C’est la même liste que celle affichée dans votre espace client, et la même que nous remettons à un tribunal. Si ces trois-là venaient à différer, l’une serait un récit — il n’y en a donc qu’une seule.

Adresse e-mailVous pouvez utiliser n’importe quelle adresse, y compris jetable ou hébergée sur onion. Elle n’est jamais vérifiée contre rien d’autre qu’elle-même. Le seul moyen pour nous de vous joindre Durée de vie du compte

Hash du mot de passeHaché, jamais le mot de passe. Une demande de divulgation produit un hachage, ce qu'il est conçu pour valoir. Pour que vous puissiez vous connecter Durée de vie du compte

Solde et registreDes montants et des dates. Les paiements en cryptomonnaie renvoient à une transaction que vous avez choisi de faire sur une chaîne publique ; nous n'y ajoutons rien qui ne soit déjà public. Comptabilité : ce que vous avez payé, ce que vous avez dépensé Durée de vie du compte

Configuration du serviceRégion, spécification, image de système d’exploitation. Pas le contenu du disque, que nous ne pouvons pas lire et dont nous ne détenons pas la clé. Pour construire et faire tourner ce que vous avez acheté Durée de vie du service, puis 7 jours

Journaux d'accès HTTPRenouvelées et détruites sur une minuterie, pas sur demande. Une demande arrivant jeudi pour un lundi ne peut être satisfaite par personne, nous y compris. Déboguer et arrêter les attaques en cours 24 heures, puis détruit

Correspondance avec le supportCe que vous choisissez de mettre dans un message. Nous recommandons d'en dire moins que ce qui semble naturel. Continuité au fil d'une conversation 90 jours après sa clôture

Compteurs d'interfaceBits par seconde sur un port. Délibérément pas de netflow : rien à une résolution qui permettrait de reconstituer qui a parlé à qui. Planification de la capacité 13 mois, agrégé uniquement

Jamais créé

La liste qui fait le vrai travail.

Chaque élément ici est une catégorie que les systèmes ont été conçus pour ne pas produire, et non une catégorie que nous supprimons sur demande. Toute la différence est là : une suppression est une politique qu'on peut vous ordonner d'annuler, une absence est un fait du schéma.

Documents d'identité gouvernementaux, de quelque nature que ce soit, à tout niveau
Votre nom légal, adresse, pays ou numéro de téléphone
Coordonnées de carte bancaire, coordonnées bancaires ou tout dossier KYC
Un historique des adresses depuis lesquelles vous vous connectez
Historique d'IP, historique de session ou empreintes d'appareil
Netflow assez détaillé pour reconstituer qui a parlé à qui
Le contenu de vos disques, de la mémoire, des bases de données ou des sauvegardes
Clés de chiffrement, frappes console ou captures d'écran
Journaux de requêtes DNS pour les résolveurs que nous exploitons

Les décisions derrière le schéma

Chacun de ces choix nous coûte quelque chose sur le plan opérationnel. Ils sont listés avec leur coût, car une décision de confidentialité qui était gratuite est une décision que personne n'a eu à prendre.

Aucune identité à l'inscription: Une adresse e-mail, et rien d'autre Cela nous coûte la capacité de récupérer un compte pour quelqu'un qui a perdu son mot de passe et son adresse e-mail. C'est une réelle charge de support, et nous l'acceptons.
Journaux d'accès sur une minuterie de 24 heures: Roulés et détruits, non archivés Cela nous coûte la capacité d'enquêter sur tout ce qui a plus d'un jour. Chaque hébergeur qui conserve quatre-vingt-dix jours les garde exactement pour cette commodité.
Compteurs, jamais netflow: Des bits par seconde, pas qui parle à qui Cela nous coûte une analyse fine des attaques. Nous pouvons voir un port saturé ; nous ne pouvons délibérément pas reconstituer une conversation.
Aucun historique d'adresses de connexion: Pas même pour votre propre sécurité Cela vous prive de l'alerte « nouvel appareil » que proposent d'autres services. Cette fonctionnalité est un historique de localisation vous concernant, conservé par nous, et nous préférons ne pas le conserver.
Aucun analytics, aucun tiers: Pas de gestionnaire de balises, pas de pixel, pas de police CDN Cela nous coûte de savoir quelles pages convertissent. Chaque ressource de ce site est servie depuis ce site ; rien de ce que vous chargez ici ne dit à personne d'autre que vous êtes passé.
Cookies seulement lorsque vous agissez: Une session, et un jeton CSRF sur les formulaires Consulter la brochure ne dépose rien du tout. Il n'y a pas de bandeau de consentement ici parce qu'il n'y a rien à consentir.

S'en débarrasser

Fermer le compte efface le compte. Il n'y a pas de suppression douce.

01

Immédiatement

La ligne disparaît, et les hachages avec elle

Adresse email, hachage du mot de passe, grand livre et fiches de service sont supprimés en une seule transaction. Pas marqués inactifs — supprimés.
02

Sous 24 heures

Tout journal d'accès vous mentionnant expire de toute façon

Sur la même minuterie que toujours. Fermer le compte ne l'accélère pas, et rien ne l'accélère : c'est cette propriété qui lui donne sa valeur.
03

Sous 30 jours

Les sauvegardes tournent sans vous

Les sauvegardes chiffrées expirent selon leur propre calendrier. C'est le seul endroit où un enregistrement supprimé subsiste brièvement, et prétendre le contraire serait malhonnête.
04

Définitivement

Rien n'est conservé pour plus tard

Aucune copie fantôme, aucun enregistrement analytique anonymisé, aucune liste marketing. Un compte fermé ne laisse rien qui puisse être rattaché à une personne.

Lorsqu'une obligation légale de conservation s'applique à une entité donnée — les documents comptables, dans certaines des juridictions huit — le minimum conservé est un montant et une date, sans contrepartie identifiée. Ces obligations lient les registres, pas l'identité du payeur, et cette identité n'a jamais été collectée au départ.

Les questions gênantes.

Pouvez-vous lire mon disque ?

Un opérateur d’hyperviseur peut techniquement copier le disque d’une machine invitée qu’il fait tourner, et tout fournisseur qui prétend le contraire se méprend sur sa propre pile ou ment. Ce que nous ne faisons pas, c’est détenir une clé d’un disque que vous avez chiffré, et nous n’avons pas accès au contenu de la couche de stockage pour la même raison. Chiffrez au repos avec une clé que nous ne voyons jamais, et la réponse technique devient aussi solide que la réponse politique.

Conservez-vous les adresses IP ?

Elles apparaissent dans les journaux d'acces HTTP pendant 24 heures, puis le fichier journal est detruit par une minuterie. Il n'existe aucun historique d'IP separe, aucun enregistrement de lieu de connexion, aucune empreinte d'appareil. Rien nulle part dans le systeme ne relie une adresse a un compte une fois ce jour passe.

Qu'en est-il des paiements en cryptomonnaie ?

Une blockchain est un registre public et nous ne pouvons pas la rendre privée. Ce que nous enregistrons, c'est qu'un paiement d'un montant donné est arrivé à une date donnée. Nous ne regroupons pas les adresses, nous ne faisons pas d'analyse de chaîne et nous n'ajoutons rien au registre public qui n'y figurait déjà. Choisir un actif préservant la confidentialité est une décision que vous pouvez prendre sur notre page de paiement, et c'est la plus forte dont vous disposiez.

Y a-t-il une bannière de consentement à cause du RGPD ?

Non, parce qu'il n'y a rien à consentir. Pas d'analytique, pas d'identifiants publicitaires, aucune requête tierce quelle qu'elle soit, et des cookies placés uniquement lors d'une connexion ou de la soumission d'un formulaire. Une bannière demandant la permission de ne rien faire est du théâtre, et ce secteur en a déjà assez.

Quelles données le support voit-il ?

Ce que vous mettez dans le message, plus le meme enregistrement de compte que vous pouvez voir vous-meme. La correspondance est conservee 90 jours apres la cloture d’une conversation, puis supprimee. Notre conseil permanent : en dire moins que naturel dans un ticket de support — c’est l’endroit ou les clients creent le plus souvent un enregistrement qui n’avait pas besoin d’exister.

Qui d'autre a accès ?

Aucun prestataire de paiement tiers, aucun fournisseur d'analytique, aucun CDN devant l'espace compte, et aucun support externalisé. L'infrastructure est exploitée par les entités qui la possèdent, ce qu'affirme aussi le warrant canary renouvelé chaque trimestre.

Comment vérifier tout cela ?

Une partie, vous pouvez la verifier directement : ouvrez les outils de developpement et constatez qu’aucune requete ne quitte ce domaine, et que les pages vitrines ne posent aucun cookie. Les delais de conservation, vous ne pouvez pas les verifier de l’exterieur, c’est pourquoi le rapport de transparence publie ce que les requetes ont produit, et pourquoi le canary est signe plutot qu’affirme.

La seule chose que ce site envoie ailleurs

Ajouté le 29 juillet 2026

Chaque page charge un seul script propriétaire, qui envoie vers /api/h.php sur ce domaine. Ce point d'entrée transmet, depuis notre serveur et non depuis votre navigateur, vers un compteur partagé avec les autres sites que cette société exploite. C'est ce qui rend possible un compteur de visiteurs en direct, et c'est la seule chose sur ce site qui en sort.

Ce qui part : votre adresse, hachée à l'autre bout et jamais stockée en clair ; le pays vers lequel elle résout ; la chaîne user-agent que votre navigateur envoie de toute façon ; et la page sur laquelle vous vous trouvez. Ce qui ne l'est pas : un cookie de quelque nature que ce soit, un identifiant qui survit à la visite, votre compte, ou quoi que ce soit que vous ayez saisi.

Elle renvoie immédiatement et ne fait rien du tout si votre navigateur envoie Do Not Track. L'activer dans votre navigateur est l'interrupteur, et nous préférons le montrer que l'enterrer.