Confidentialité

Qui est responsable

Le responsable du traitement est React Consulting SARL AU, société établie au Maroc, représentée par son gérant Jordan Monier, qui édite Pupitre. Écrivez à privacy@pupitre.studio pour tout ce qui concerne vos données ; nous répondons sous trente jours.

Pour les données qu’une organisation nous confie sur ses membres et ses machines, nous agissons aussi pour le compte de cette organisation, comme le dit l’accord de traitement des données.

Ce que nous stockons

Votre compte. Votre adresse email, votre nom si vous le donnez, votre langue, et votre manière de vous connecter : un lien envoyé par email, un compte GitHub ou Google — dont nous recevons l’adresse email et le nom qu’ils partagent, et rien d’autre —, une clé d’accès, ou un second facteur. Chaque session de connexion garde son adresse IP et l’identifiant du navigateur ou de l’app dont elle vient.

Vos appareils. Le nom de chaque ordinateur depuis lequel vous avez lié l’app, et la moitié publique de la clé SSH qu’il a générée. La moitié privée reste sur cet ordinateur ; nous ne la voyons jamais. Quand un de vos appareils autorise un autre appareil sur une machine, l’approbation qu’il signe : la machine, la clé publique autorisée, l’utilisateur qui la porte, la date, l’empreinte de la clé qui signe et la signature, gardées tant que la machine et les deux appareils existent.

Votre organisation. Son nom, ses membres et leurs rôles, ses invitations, et un journal de ce qui y a été fait : qui a rattaché, retiré, suspendu ou rétabli une machine, invité ou retiré un membre, avec la date.

Vos machines. Ce que les conditions énumèrent, et rien d’autre : le nom et l’adresse que vous avez donnés à chaque machine, la moitié publique de sa clé d’hôte SSH, la version de l’agent, l’architecture du processeur, le compte qui porte les clés SSH, l’état de son droit d’usage, et — rafraîchis toutes les cinq minutes et gardés sur une fenêtre de sept jours — la taille et l’espace libre de son disque, la taille et l’occupation de sa mémoire, sa charge moyenne, la version de la stack installée, les noms des modules installés, les empreintes des clés SSH que l’agent tient pour sûres et de celles qui attendent une approbation, et les noms des sessions tmux en cours, qui sont en général les noms de vos projets.

Vos sauvegardes. Quand vous les activez, une référence par sauvegarde, telle que les conditions l’énumèrent : sa date, sa place dans votre propre stockage (endpoint, région, bucket, préfixe des objets), l’empreinte de son manifeste, sa taille, ce qu’elle contient en nombres — jamais en noms —, la révision de la configuration, la version de l’agent, la clé publique pour laquelle elle est chiffrée et son sel, et le nom que vous donnez à une sauvegarde lancée vous-même, si vous lui en donnez un ; avec le heartbeat, l’intervalle des sauvegardes et l’issue de la dernière tentative ; et, quand vous en restaurez une, sur quelle machine. La sauvegarde elle-même vit dans votre stockage, chiffrée pour une clé que seule votre passphrase donne ; nous ne la recevons jamais, et personne ne garde la passphrase. La clé d’accès à votre stockage reste dans le trousseau de votre ordinateur et sur votre machine : la plateforme ne la reçoit jamais et refuse une référence qui la contiendrait. Une référence est gardée jusqu’à ce que la machine efface la sauvegarde ou qu’un administrateur de votre organisation l’oublie.

Votre licence. Combien de machines votre organisation a rattachées et, quand elle détient une licence au-delà des serveurs gratuits, son nombre de places, ses dates et qui l’a accordée. Aucune donnée de paiement n’existe, puisque rien n’est payé.

Ce que vous nous écrivez. Chaque email envoyé à une adresse en pupitre.studio est stocké sur la plateforme — son texte, ses en-têtes et ses pièces jointes — et lu par l’équipe depuis la console, où chaque lecture d’un fil sensible est elle-même journalisée.

D’où vous venez. Quand vous arrivez par un lien d’affiliation (?ref=), le code du lien est gardé 90 jours dans le cookie pupitre_ref sur pupitre.studio, pour que la console note quel lien vous a amené quand vous créez votre compte. Il ne contient rien d’autre que ce code, il n’est envoyé à personne d’autre, et sans ce paramètre il n’est jamais posé. La plateforme compte aussi une visite pour ce lien, une fois par session de navigation, sans rien garder de vous, et, pour chaque lien, combien de machines les organisations qu’il a amenées ont rattachées. Cette note ne dit que d’où vous venez : aucune offre, aucun prix ni aucune récompense ne s’y attache.

Tout ce que le site et la console écrivent dans votre navigateur est décrit dans la politique relative aux cookies.

Ce que nous ne stockons jamais

Aucun code, aucun fichier de projet, aucun secret de service, aucun log applicatif, aucun contenu de terminal, aucune variable d’environnement, aucun contenu de base de données, aucune clé privée. Ce qui vit sur votre machine reste sur votre machine : la plateforme n’a aucun moyen technique d’aller le chercher, comme les conditions l’expliquent.

Pourquoi, et sur quelle base

• Pour vous fournir le service, c’est-à-dire exécuter le contrat que forment les conditions : votre compte, vos appareils, votre organisation, vos machines, vos sauvegardes, votre licence et les emails qui font fonctionner le compte.
• Pour protéger le service et les organisations, au titre de notre intérêt légitime : l’adresse IP et l’appareil de chaque session, le journal de chaque organisation, la journalisation des lectures de fils sensibles.
• Pour vous répondre, au titre de notre intérêt légitime, ou pour préparer le contrat que vous nous demandez : les emails que vous nous écrivez.
• Pour savoir quel lien vous a amené, au titre de notre intérêt légitime : le code d’affiliation et le compte des visites d’un lien.
• Pour compter les visites du site et de la console, au titre de notre intérêt légitime, sans cookie, sans identifiant et sans distinguer un visiteur d’un autre, comme le décrit Mesure d’audience.
• Pour stocker et traiter tout ce qui précède chez Cloudflare, aux États-Unis, sur la base de votre consentement explicite, donné à la création de votre compte, comme le décrivent Où vont vos données et Transferts hors du Maroc et de l’Union européenne.
• Pour respecter la loi : garder ce que la loi nous oblige à garder, et répondre aux autorités qui peuvent légalement le demander.

Aucune décision qui vous concerne n’est prise par un traitement automatisé seul, hormis ce que le contrat prévoit lui-même : une machine sans droit d’usage valide passe en mode restreint.

Mesure d’audience

Sur le site, les visites sont comptées avec Cloudflare Web Analytics. Chaque page charge un petit script de Cloudflare, qui envoie à Cloudflare l’adresse de la page, la page d’où vous venez, le type de votre navigateur et de votre appareil, et le temps que la page a mis à s’afficher. Le script n’écrit rien dans votre navigateur — ni cookie, ni stockage local — et ne porte aucun identifiant : une visite ne peut être reliée ni à la suivante, ni à vous, ni à votre compte. Cloudflare reçoit, comme tout serveur, l’adresse IP de la requête ; il peut en déduire le pays, puis l’écarte dans le centre de données qui l’a reçue, sans la stocker. Nous ne voyons que des totaux : pages vues, pays, sites d’origine, navigateurs. Puisque rien n’est écrit dans votre navigateur et que personne n’est identifié, le site n’affiche aucun bandeau de consentement pour elle.

La console compte ses pages vues avec le même Cloudflare Web Analytics, aux mêmes conditions : rien d’écrit dans votre navigateur, aucun identifiant, jamais relié à votre compte, jamais ce qu’une page affiche.

L’app desktop n’envoie rien à un outil de mesure aujourd’hui. Si la console ou l’app se met à mesurer quelles actions sont faites, ce sera aux mêmes conditions — des noms d’événements et un contexte technique, jamais un contenu, jamais rien de vos machines, jamais un identifiant sans votre accord — et cette page le dira avec sa date.

Nous n’utilisons aucun réseau publicitaire, aucun cookie publicitaire, et nous ne vendons ni ne partageons jamais de données avec un tiers pour ses propres fins.

Emails transactionnels

Nous envoyons ce qui fait fonctionner le compte : confirmation d’adresse, lien de connexion, invitation à une organisation, alerte sur une machine, avis sur votre licence ou sur un changement de ces documents. Ils ne se désactivent pas tant que le compte existe. Tout autre message — nouveautés, conseils — se désactive en un clic depuis le message lui-même.

Paiements

Rien n’est payé, et aucune donnée de paiement n’existe. Si des licences payantes étaient proposées un jour, cette page dirait d’abord qui encaisse les paiements et ce que nous en gardons, et le changement serait annoncé par email au moins trente jours à l’avance.

Sous-traitants

Sous-traitant	Rôle	Région
Cloudflare, Inc.	Hébergement du site et de la console, base de données de la plateforme (comptes, organisations, serveurs, licences, journal), stockage des binaires et des pièces jointes, réception et envoi des emails, mesure d’audience sans cookie ni identifiant (Web Analytics)	Société américaine, réseau mondial ; la base de données et les fichiers dans l’est de l’Amérique du Nord
Stripe, Inc.	Encaissement en marchand officiel des licences au-delà des serveurs gratuits, le jour où elles seront vendues ; aucune donnée ne lui est transmise aujourd’hui	États-Unis et Irlande

L’ajout d’un sous-traitant est annoncé par email aux propriétaires de chaque organisation avant d’avoir lieu, et la liste des sous-traitants le dit avec sa date.

Où vont vos données

En clair : tout ce que la plateforme garde est stocké et traité par Cloudflare, une société des États-Unis. Cela comprend votre compte et vos sessions, vos appareils et leurs clés publiques, votre organisation, ses membres et son journal, les métadonnées de vos machines et chaque heartbeat qu’elles envoient, les références de vos sauvegardes, votre licence, les emails que vous nous envoyez et ceux que nous vous envoyons, et les journaux techniques de la plateforme. La base de données et les fichiers sont stockés dans la région Est de l’Amérique du Nord de Cloudflare ; chaque requête passe d’abord par le centre de données Cloudflare le plus proche de vous. Le site que vous lisez et la console sont eux aussi servis par Cloudflare, et leur audience est mesurée par Cloudflare. L’équipe lit les données de la plateforme depuis le Maroc.

Deux autres sociétés ne reçoivent quelque chose que si vous les choisissez : GitHub ou Google, quand vous vous connectez par l’un d’eux. Ils apprennent alors que vous vous êtes connecté à Pupitre, et le traitent selon leurs propres politiques. Stripe ne reçoit rien aujourd’hui. Aucune autre société ne reçoit vos données.

Transferts hors du Maroc et de l’Union européenne

Stocker vos données chez Cloudflare, aux États-Unis, est un transfert de vos données hors du Maroc et hors de l’Union européenne, vers un pays dont le droit ne leur donne pas la même protection que la loi marocaine 09-08 ou le règlement général sur la protection des données de l’Union européenne.

Ce transfert repose sur votre consentement explicite. La page de connexion dit où vont vos données avant que vous saisissiez votre adresse email. Votre compte est créé quand vous ouvrez votre lien de connexion pour la première fois, ou revenez de GitHub ou de Google ; avant que vous puissiez utiliser quoi que ce soit, la console vous demande d’accepter que vos données soient stockées et traitées par Cloudflare aux États-Unis, comme cette page le décrit. Nous enregistrons ce consentement avec sa date et la version du texte que vous avez accepté ; quand le texte change, il vous est redemandé. Si vous refusez, le compte que la connexion vient de créer est supprimé aussitôt, car la plateforme n’a pas d’autre endroit où tourner. Vous le retirez en supprimant votre compte depuis la console : tout est alors supprimé comme le décrit Conservation, et vos machines continuent de fonctionner. Le retrait ne rend pas illicite ce qui a été fait avant.

Quand une organisation établie dans l’Union européenne ou au Royaume-Uni nous confie les données de ses membres, le transfert repose aussi sur les clauses contractuelles types que l’accord de traitement des données incorpore. Entre nous et Cloudflare, le transfert est aussi couvert par les conditions de traitement des données et les clauses que Cloudflare publie.

Conservation

Votre compte et votre organisation sont gardés tant que le compte existe. Supprimer le compte depuis la console le supprime immédiatement, avec vos appareils et leurs clés publiques ; une suppression que nous faisons à votre demande ou en sanction est programmée sept jours à l’avance, pour qu’une erreur puisse être rattrapée, puis exécutée. Les sessions de connexion expirent après soixante jours. Les mesures des machines sont une fenêtre glissante de sept jours. Le journal d’une organisation est gardé avec l’organisation ; quand un compte est supprimé, ses lignes perdent leur auteur. Les emails que vous nous avez envoyés sont gardés tant que l’échange peut encore servir à vous aider, et supprimés sur demande. La mesure d’audience ne contient ni adresse IP ni identifiant ; Cloudflare garde ses comptes détaillés sept jours, puis seulement un échantillon, et ils ne sont jamais reliés à votre compte.

Vos droits

Vous pouvez voir, corriger, exporter et faire supprimer vos données, en limiter le traitement, vous opposer à un traitement fondé sur notre intérêt légitime, et retirer à tout moment un consentement donné, sans que cela remette en cause ce qui a été fait avant. La suppression du compte se fait depuis la console et emporte vos appareils ; vos machines continuent de fonctionner. Pour tout le reste, écrivez à privacy@pupitre.studio ; nous pouvons vous demander de prouver que l’adresse est la vôtre avant d’y donner suite.

Vous pouvez aussi vous plaindre auprès d’une autorité de contrôle : au Maroc, la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) ; dans l’Union européenne ou au Royaume-Uni, l’autorité de votre pays. Si vous résidez en Californie ou dans un autre État américain qui vous donne des droits semblables, vous avez les mêmes droits que ci-dessus, nous ne vous traitons pas différemment parce que vous les exercez, et nous ne vendons ni ne partageons vos données au sens de ces lois.

Âge

Le service s’adresse aux professionnels et aux adultes. Nous n’ouvrons sciemment aucun compte à une personne de moins de seize ans ; écrivez-nous s’il en existe un et nous le supprimons.

Sécurité

Chiffrement en transit et au repos, connexion par lien, clé d’accès ou second facteur, sessions liées à l’appareil qui les a ouvertes, accès à la production limité aux personnes qui en ont besoin et journalisé, secrets tenus hors du code, agent distribué en binaire signé, et aucune connexion entrante vers vos machines. Une violation qui vous concerne vous est annoncée sans retard injustifié. La politique de sécurité dit comment nous signaler une faille.

Modifications

Une modification de cette politique est publiée sur cette page avec sa date, et annoncée par email aux comptes actifs quand elle élargit ce que nous collectons ou ce que nous en faisons.