Comment Dogood traite vos données

Votre journal

Les pages, chapitres, objectifs, habitudes, réglages de livre et préférences sont enregistrés dans la base de données de votre navigateur (IndexedDB), sur l’appareil que vous utilisez. Ils ne sont pas envoyés à Dogood. Si vous activez la synchronisation (plus bas), une copie va dans votre propre Google Drive, pas chez Dogood.

Comme le journal vit dans votre navigateur, effacer les données de ce site dans le navigateur l’efface. Vous pouvez exporter à tout moment une sauvegarde complète et la restaurer plus tard, sur le même appareil ou un autre.

Dogood garde aussi dans le stockage local de votre navigateur une simple note oui ou non indiquant si un journal s’y trouve, pour que l’adresse de Dogood vous mène directement à votre journal plutôt qu’à ce site. Elle ne quitte jamais votre appareil.

Chiffrement

Si vous ajoutez une phrase secrète, Dogood chiffre sur votre appareil, avec AES-256-GCM, les titres et textes des pages, les noms de chapitres, les objectifs, les habitudes et les jours cochés, les réglages de livre et les liens d’images. La clé est dérivée de votre phrase secrète avec PBKDF2 (SHA-256, 310 000 itérations), gardée seulement en mémoire tant que Dogood est déverrouillé, et effacée quand il se verrouille, automatiquement après un moment d’inactivité.

Les dates, humeurs et nombres de mots restent non chiffrés pour que le calendrier et les statistiques puissent être calculés. Les sauvegardes d’un journal chiffré restent chiffrées. Il n’existe pas de clé de secours : une phrase secrète oubliée ne peut pas être réinitialisée.

Sur un appareil, vous pouvez aussi choisir de déverrouiller avec un code de 6 à 8 chiffres, ou avec Face ID ou une empreinte. Chacun garde sur cet appareil une copie de la clé du journal, chiffrée par le code (PBKDF2, 1 000 000 d’itérations) ou par un secret que seule la clé d’accès de votre appareil peut fournir (WebAuthn PRF). Cinq codes faux désactivent le code. Aucun ne quitte l’appareil, aucun n’est dans les sauvegardes, et votre phrase secrète ouvre toujours tout.

Photos

Les photos ajoutées depuis votre appareil y sont redimensionnées et gardées dans le journal, dans la même base de données du navigateur, chiffrées comme le reste si vous utilisez une phrase secrète. Elles font partie de vos sauvegardes et ne sont jamais envoyées.

Pour une image ajoutée par un lien vers le web, Dogood enregistre le lien, pas le fichier. Votre navigateur charge chaque image depuis le site qui l’héberge, qui peut voir votre adresse IP, comme pour toute image sur le web. Dogood demande aux navigateurs de ne pas transmettre l’adresse de la page avec ces requêtes.

Synchronisation avec Google Drive (Dogood Plus, sur demande)

La synchronisation est désactivée tant que vous ne l’activez pas. Dogood garde alors votre journal dans un dossier caché de votre propre Google Drive, le dossier de données d’application, que seul Dogood peut ouvrir : ni vous, ni d’autres applications ou fichiers ne le voient, et Dogood ne voit rien d’autre de votre Drive. Chaque appareil connecté au même compte Google garde le journal entier et y ajoute ce qui a été écrit sur les autres. Votre journal va directement de votre navigateur à Google ; il ne passe jamais par Dogood, et Dogood ne connaît jamais votre compte Google.

Ce qui est copié : vos journées et leurs photos, les chapitres, objectifs, habitudes, espaces, réglages de livre, les dates de la frise et la licence Dogood Plus. Les préférences propres à un appareil, comme le déverrouillage rapide, le partage d’usage ou un dossier de sauvegarde, y restent. Quand votre journal est protégé par une phrase secrète, tout est scellé sur votre appareil avant de partir (AES-256-GCM, avec la clé du journal) : Google détient alors des fichiers dont il voit les noms et les tailles, jamais un mot, une date, une humeur ou une photo. Sans phrase secrète, la copie sur Drive n’est pas chiffrée par Dogood, et Google la stocke comme vos autres fichiers.

Google connecte Dogood avec un jeton valable une heure, gardé seulement en mémoire, qui n’ouvre que ce dossier (l’autorisation drive.appdata). Dogood garde sur l’appareil l’adresse du compte Google, pour montrer où votre journal est synchronisé, et ce qu’il a vu en dernier sur Drive, pour savoir ce qui a changé. Vous pouvez arrêter la synchronisation sur un appareil à tout moment, et effacer le dossier de Dogood sur Drive depuis l’application ; vous pouvez aussi retirer l’accès de Dogood dans les réglages de votre compte Google. Ce que Google fait de ce qu’il stocke relève de sa propre politique de confidentialité.

L’utilisation et le transfert par Dogood des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d’usage limité (Limited Use). En clair : ce que Dogood lit dans votre Drive sert uniquement à garder votre journal identique sur vos appareils ; ce n’est jamais envoyé à Dogood ni à personne, jamais vendu, jamais utilisé pour la publicité, et jamais lu par un humain.

Partage d’usage (anonyme, sur demande)

Le partage d’usage est désactivé par défaut. Si vous l’activez, pendant la prise en main ou plus tard depuis Partage d’usage dans le menu, Dogood envoie des comptages d’actions pour que nous voyions quelles parties servent et où l’on bloque :

• Des événements comme app_opened, entry_created, chapter_created, goal_created, habit_created, book_previewed, book_printed et feedback_submitted.
• Quelques détails qui n’identifient personne : la section ouverte, si une nouvelle page est datée dans le futur ou a une image, le type d’un objectif, combien de jours par semaine une nouvelle habitude est prévue, l’étendue et le nombre de jours d’un livre, la catégorie d’un retour et son nombre de notes.
• Un identifiant d’installation et un identifiant de session aléatoires créés dans votre navigateur, et l’heure de chaque événement.

Le partage d’usage n’inclut jamais le texte des pages, les titres, les noms de chapitres, d’objectifs ou d’habitudes, les recherches, les humeurs, les liens d’images ni les légendes. Vous pouvez le désactiver à tout moment.

Retours

Quand vous envoyez un retour depuis Dogood, nous recevons ce que vous avez saisi : vos notes, le type de remarque, votre message, votre adresse e-mail si vous avez choisi de l’ajouter et, si le partage d’usage a été activé un jour, l’identifiant d’installation aléatoire. Rien de votre journal n’est joint. Un message envoyé depuis la page Contact est gardé de la même façon : son sujet, votre message, votre adresse e-mail et votre nom si vous l’avez donné ; il est aussi transmis par e-mail à l’éditeur pour qu’il puisse y répondre.

Dictée (Dogood Plus)

La dictée est la seule fonction qui envoie hors de votre appareil quelque chose que vous dites, et seulement quand vous touchez Dicter. Dogood enregistre le micro dans votre navigateur et envoie l’enregistrement, chiffré pendant le transfert et par morceaux d’une minute au plus, au serveur de Dogood, qui le transmet à Whisper (large-v3-turbo), un modèle de transcription exécuté par Cloudflare Workers AI. Le texte revient dans votre navigateur et s’ajoute à votre page, où il est enregistré comme ce que vous tapez.

Dogood ne stocke ni l’enregistrement ni le texte, et ne les journalise pas. Cloudflare ne s’en sert pour entraîner aucun modèle (confidentialité de Workers AI). Pour que la dictée reste dans son quota mensuel, le serveur de Dogood compte les secondes dictées par chaque licence dans le mois, rattachées au numéro aléatoire de la licence ; rien d’autre. Dogood demande votre accord avant la première dictée, et le navigateur demande l’accès au micro.

Dogood Plus, cadeaux et paiements

Dogood Plus est payé via Creem, notre revendeur officiel (merchant of record), qui gère le paiement, la taxe et le reçu. Les données de carte vont à Creem, jamais à Dogood. De Creem, Dogood reçoit ce qui a été acheté, le montant, votre pays et votre adresse e-mail, que nous utilisons seulement pour envoyer le lien qui active Plus, ou le lien du cadeau, et le renvoyer si vous le demandez.

La licence qui active Plus est gardée avec votre journal, sur votre appareil et dans ses sauvegardes. Elle contient un numéro aléatoire, sa provenance, le jour de sa création et le numéro aléatoire du journal auquel elle appartient ; rien sur vous ni sur ce que vous écrivez. Le serveur de Dogood garde à quel numéro de journal chaque licence appartient, pour qu’un Plus reste dans un seul journal. Activer Plus, puis vérifier une fois par jour qu’il n’est pas passé à un autre journal, envoie au serveur la licence et ce numéro de journal, jamais ce qui est écrit dans le journal.

Si vous demandez à Dogood d’envoyer un cadeau par e-mail le jour venu, le matin de Noël ou un autre jour de votre choix, nous gardons l’adresse de la personne à qui il est destiné, les prénoms et les quelques mots que vous avez écrits, avec le fuseau horaire, jusqu’au jour et à l’heure choisis. L’e-mail part alors, et ils sont effacés ; d’ici là, vous pouvez le modifier ou l’annuler depuis la page du cadeau. Ils ne servent à rien d’autre.

Si vous demandez votre lien pour l’offre entre amis, le serveur de Dogood garde son code avec votre licence et note chaque achat fait avec. Vous savez combien d’amis ont acheté Dogood Plus par ce lien, jamais lesquels ni leur adresse e-mail.

Les livres imprimés se commandent à l’imprimeur de votre choix, selon sa propre politique de confidentialité : vous lui envoyez les fichiers, Dogood n’intervient pas.

Compagnons d’écriture (sur demande)

Si vous invitez quelqu’un comme compagnon d’écriture, ou acceptez une invitation, votre journal envoie au serveur de Dogood le prénom que vous avez choisi, votre série en cours, le nombre de jours écrits et le dernier jour écrit, à chaque changement. Chacun de vos compagnons d’écriture, jusqu’à dix, voit exactement cela, et vous voyez la même chose de lui. Ils ne se voient pas entre eux, sauf s’ils sont aussi compagnons d’écriture. Jamais un mot, un titre, une humeur, une photo ni une date autre que le dernier jour écrit.

Une invitation peut porter le code d’affiliation de la personne qui l’envoie. Dogood vous demande alors s’il faut la créditer, et ne garde son code que si vous êtes d’accord, comme pour tout lien partenaire.

Chaque journal détient un jeton aléatoire qui lui permet d’envoyer ses chiffres ; le serveur n’en garde qu’une forme brouillée (une empreinte). Une invitation que personne n’ouvre est supprimée au bout de 14 jours. Chacun peut arrêter de partager à tout moment : vous cessez alors tous deux de voir l’autre, et le serveur supprime ce qu’il gardait pour vous deux.

Newsletter (sur demande)

Si vous vous inscrivez à la newsletter, depuis le pied de page du site, votre adresse e-mail et votre langue sont gardées pour vous envoyer quelques e-mails par an : une offre, un concours, une nouvelle qui vaut le coup. Vous n’êtes sur la liste qu’une fois votre inscription confirmée depuis l’e-mail reçu, et nous gardons la date et l’heure de cette confirmation ; une adresse non confirmée sous une semaine est supprimée.

La newsletter part par Resend, notre prestataire d’e-mail. Chaque e-mail porte un lien pour se désinscrire en un clic, et se désinscrire supprime votre adresse. Jusqu’à la confirmation, et une semaine au plus, une forme brouillée (une empreinte) de l’adresse réseau qui a fait la demande est gardée avec elle, seulement pour empêcher quiconque d’utiliser le formulaire pour envoyer des e-mails à d’autres.

Équipes et devis

Ouvrir un lien d’équipe ne demande ni nom ni e-mail. Dogood compte combien de fois chaque lien d’équipe s’ouvre, par jour, pour qu’un pack reste dans sa taille et que son acheteur puisse le suivre dans l’espace d’équipe ; rien d’autre, et rien sur qui l’a ouvert. On accède à l’espace d’équipe par une adresse aléatoire envoyée à l’acheteur.

Quand vous demandez un devis sur la page équipes, nous recevons ce que vous saisissez : votre entreprise, votre nom, votre e-mail professionnel, le nombre de personnes, la façon dont vous souhaitez payer et ce que vous ajoutez. Nous l’utilisons seulement pour vous répondre et préparer la commande, et le supprimons dès qu’il n’est plus utile. Pour freiner les abus, nous gardons une forme brouillée (une empreinte) de l’adresse d’où vient la demande, jamais l’adresse elle-même.

Un hôpital ou une association qui demande Dogood Plus sur la page qui leur est dédiée envoie le même genre d’informations : son nom, le vôtre, un e-mail, le nombre approximatif de personnes et à qui c’est destiné. Elles servent seulement à répondre et à créer le lien, et ne sont pas gardées plus longtemps que nécessaire.

Cookies

Dogood ne dépose aucun cookie. Ce qu’il garde dans votre navigateur, et pour combien de temps, est listé sur la page cookies et stockage.

Où tout cela fonctionne

Les fichiers de Dogood sont servis par Cloudflare Pages. La synchronisation, si vous l’activez, stocke votre journal chez Google Drive, dans votre propre compte. Le service facultatif de retours, de statistiques, de Dogood Plus et de dictée fonctionne sur Cloudflare Workers et stocke ce qu’il reçoit dans une base de données Cloudflare D1 ; la dictée est transcrite par Cloudflare Workers AI. Comme pour tout site web, les serveurs qui délivrent les fichiers de Dogood traitent des informations de base sur chaque requête, comme votre adresse IP, pour pouvoir les servir. Les pages du site (jamais l’application du journal) comptent les visites avec Cloudflare Web Analytics : aucun cookie, rien de gardé sur votre appareil, rien qui vous reconnaisse ; seulement la page, le site d’où vous venez, votre pays et votre type d’appareil.

Combien de temps c’est gardé

Les retours : trois ans, puis supprimés. Les événements d’usage anonymes : treize mois. Les demandes de devis : trois ans. Un achat de Dogood Plus (votre adresse e-mail et la licence qui y est liée) : tant que Dogood Plus existe, pour pouvoir vous renvoyer votre licence ; le paiement et sa facture sont tenus par Creem. Un cadeau envoyé par e-mail le jour choisi : l’adresse du destinataire, les prénoms et le message sont supprimés dès l’envoi. La newsletter : jusqu’à votre désinscription ; une adresse jamais confirmée est supprimée au bout d’une semaine. Les compagnons d’écriture : jusqu’à ce que l’un de vous arrête. La dictée : ni l’enregistrement ni son texte ne sont gardés.

Vos droits

Le responsable du traitement est Benoît Morin, entrepreneur individuel, éditeur de Dogood (voir les mentions légales). Ce que vous activez vous-même (partage d’usage, newsletter, compagnons d’écriture, synchronisation, dictée) repose sur votre consentement, que vous pouvez retirer à tout moment ; un achat repose sur son contrat ; répondre aux retours et protéger le service reposent sur l’intérêt légitime de Dogood. Vous pouvez demander l’accès à ce qui vous concerne, sa rectification, son effacement, sa portabilité, ou vous opposer à son usage, en écrivant à [email protected] ; vous pouvez faire l’essentiel vous-même dans Dogood. Si vous estimez que vos données sont mal traitées, vous pouvez saisir la CNIL. Cloudflare, Google et Resend, cités plus haut, sont établis aux États-Unis : ils adhèrent au cadre de protection des données UE–États-Unis (Data Privacy Framework) ou s’appuient sur les clauses contractuelles types de la Commission européenne.

Enfants

Dogood ne demande aucun compte et s’utilise à tout âge. Avant 15 ans, ou l’âge fixé dans votre pays, demandez à un parent avant d’activer ce qui envoie quelque chose depuis votre appareil : le partage d’usage, la newsletter, les compagnons d’écriture, la synchronisation ou la dictée. Un parent qui découvre que son enfant nous a envoyé quelque chose peut nous écrire : nous l’effaçons.

Questions

Écrivez à [email protected].