Politique de Confidentialité

Version faisant foi : la version contraignante de cette Politique de Confidentialité est la version anglaise. Veuillez consulter la Politique de Confidentialité en anglais. Le résumé ci-dessous est fourni à titre indicatif uniquement.

Responsable du Traitement

Creatiwi AI
République de Pologne
Contact : [email protected]

Traitement Local

Maskeno privilégie le traitement local. La détection et le masquage des données personnelles (PII) s'exécutent sur votre appareil, une fois les modèles présents sur celui-ci : reconnaisseurs à motifs et à somme de contrôle issus de Microsoft Presidio, classifieur multilingue nym et modèle OPF pour les personnes et les adresses, plus un modèle GLiNER2 réservé au polonais, ces modèles tournant via ONNX Runtime. Aucune étape de détection n'envoie vos documents à un serveur. La reconnaissance de texte (OCR) des pages et images numérisées s'exécute elle aussi uniquement en local : avec Tesseract intégré à l'application (par défaut) ou avec Ollama sur cette machine. Il n'existe pas d'OCR cloud, et le document original ne quitte jamais votre appareil. En revanche, l'application n'est pas une application sans réseau : elle émet les requêtes listées ci-dessous. La détection est incomplète et un texte masqué n'est pas anonymisé : relisez le texte masqué avant de l'envoyer où que ce soit.

Ce Qui Quitte Votre Appareil

L'utilisation de l'application implique certaines requêtes réseau. Nous les énumérons clairement plutôt que d'affirmer que rien ne quitte "jamais" votre appareil :

• Essai : à l'enregistrement, un identifiant machine pseudonyme (un hachage de votre matériel réseau, ou un ID aléatoire), la plateforme du système d'exploitation et la version de l'application ; pour les vérifications de statut, l'identifiant machine ; pour les rapports d'usage, l'identifiant machine avec le nombre de projets et de pages. Ces données vont à notre serveur d'essai (un Cloudflare Worker), ne sont pas conditionnées au consentement d'analyse et ne sont pas interrompues par une licence : une licence valide lève les limites de l'essai, mais l'application continue de demander le statut de l'essai et d'envoyer les rapports d'usage.
• Données linguistiques pour l'OCR : lorsque vous lancez l'OCR dans une langue dont le fichier de langue ne figure pas dans le cache de données linguistiques de l'application (la première fois, puis de nouveau après que ce cache a été vidé), l'application télécharge le fichier de langue Tesseract correspondant (par exemple polonais et anglais) depuis le CDN de données linguistiques de tesseract.js (jsDelivr). L'application conserve ce cache dans le dossier temporaire de votre système d'exploitation, que le système ou un outil de nettoyage peut vider. Il s'agit d'une simple requête de téléchargement, sans contenu de document, sans identifiant machine ni clé de licence. Pour que l'OCR fonctionne entièrement hors ligne, définissez la variable d'environnement TESSDATA_PATH, dans l'environnement depuis lequel l'application est lancée, sur un dossier contenant les fichiers de langue compressés en gzip, nommés <lang>.traineddata.gz (pour un document polonais, pol.traineddata.gz et eng.traineddata.gz). Les fichiers .traineddata non compressés fonctionnent aussi, si le dossier contient sous cette forme toutes les langues dont l'application a besoin et aucune en .gz ; ne mélangez pas les deux formes dans un même dossier. Pour une langue dont le fichier y manque, l'application ne se rabat pas sur le téléchargement.
• Licences : si vous saisissez une clé de licence, la clé et l'identifiant machine sont envoyés à Polar.sh pour activer la licence puis, environ tous les 7 jours, pour la revalider. L'activation envoie aussi la plateforme et la version de l'application.
• Téléchargement des modèles de détection : lorsqu'un préréglage a besoin d'un modèle absent de votre appareil, les fichiers sont téléchargés. Les préréglages secure, legal et medical utilisent le modèle nym (environ 376 Mo). legal et medical utilisent aussi le modèle OPF (environ 917 Mo), tout comme secure pour un texte qui n'est pas en polonais. Pour le texte polonais, legal et medical utilisent en plus le modèle polonais GLiNER2 (environ 395 Mo). Tous trois viennent de models.audior.app, notre propre stockage sur Cloudflare R2 ; les modèles nym et OPF se rabattent sur Hugging Face si cet hôte est injoignable, répond par une erreur ou sert d'autres octets. Le modèle GLiNER2 n'a pas de repli. Chaque fichier est vérifié au téléchargement par rapport à une taille et à un hachage SHA-256 fixés. Aucune donnée de document n'est envoyée ; si la variable d'environnement HF_TOKEN est définie, elle est envoyée à Hugging Face comme jeton bearer lors d'un téléchargement de repli. Le préréglage developer n'utilise que des reconnaisseurs à motifs et ne télécharge rien.
• Liste des modèles Ask AI et vérification de la clé API : lorsque le sélecteur de modèle d'Ask AI n'a pas de liste en cache (la liste est conservée une heure) ou que vous l'actualisez, l'application récupère la liste des modèles auprès d'OpenRouter, avec votre clé API OpenRouter si vous en avez enregistré une. Tester la clé OpenRouter dans les Paramètres envoie cette clé à OpenRouter. Aucune donnée de document n'est envoyée. Si vous ne configurez pas OpenRouter, ces requêtes n'ont pas lieu.
• Ollama : l'application communique uniquement avec Ollama sur cette machine. Pour Ollama, elle n'accepte qu'une adresse de bouclage (localhost, 127.x.x.x ou ::1) et refuse toute autre adresse. Elle la vérifie à l'enregistrement, supprime à chaque démarrage une adresse enregistrée qui n'est pas de bouclage et la vérifie de nouveau avant chaque exécution de l'OCR, car l'OCR voit le document original non masqué. Il s'agit de requêtes d'état, de version et de liste de modèles, de téléchargements et suppressions de modèles, des images de page lorsque vous lancez l'OCR avec Ollama, et du prompt avec le texte masqué lorsque vous lancez Ask AI avec Ollama. Les vérifications d'état s'exécutent automatiquement à chaque ouverture des Paramètres ou du panneau Ask AI, même si vous n'utilisez jamais Ollama, et aucun réglage ne permet de les désactiver. Toutes ces requêtes vont vers cette adresse de bouclage.
• OCR : rien ne quitte votre appareil. L'OCR est exclusivement local : Tesseract intégré à l'application (par défaut) ou Ollama sur cette machine. Il n'existe pas d'OCR cloud, et les images de page ne sont jamais envoyées à un fournisseur cloud.
• Ask AI et packs de prompts (optionnel) : le prompt choisi et le texte masqué du projet sont envoyés à OpenRouter avec votre propre clé API, à Ollama sur cette machine, à chatgpt.com via un lien qui contient le texte, ou là où vous collez un prompt copié. La section suivante décrit ce que contient ce texte.
• Rapports de plantage et analyse d'usage (opt-in) : désactivés par défaut. Après votre consentement, donné dans la boîte de dialogue de consentement ou dans les Paramètres, Sentry reçoit des rapports de plantage (messages d'erreur et traces d'appels, avec un ID d'installation aléatoire stable d'un lancement à l'autre) et Aptabase reçoit des événements d'usage. Aucun contenu de document n'y est joint volontairement. Dans le processus principal, le texte d'une erreur (message, pile, fil d'Ariane, étiquettes) passe par un épurateur strict qui remplace chemins, adresses e-mail, IBAN, longs nombres et texte entre guillemets, ainsi que tout mot qui n'appartient pas aux propres messages de l'application, par un tiret bas ; le signalement des plantages dans la fenêtre de l'application n'épure que les chemins de fichiers, d'autres textes peuvent donc y être envoyés tels quels. Un épurateur est un filet de sécurité, pas une garantie. Les noms et les valeurs texte des événements d'usage sont validés et raccourcis avant l'envoi. Retirer son consentement arrête les nouveaux événements d'usage et les nouveaux rapports de plantage du processus principal ; les rapports déjà en file d'attente peuvent encore être envoyés, et le signalement des plantages dans la fenêtre de l'application reste actif jusqu'au redémarrage.
• Retour (optionnel) : si vous soumettez le formulaire de retour, notre équipe reçoit, via un webhook Slack, vos réponses et sélections dans le formulaire (certains champs de texte sont raccourcis et les chaînes sensibles reconnues sont remplacées), un horodatage de l'envoi, la version de l'application, la plateforme et la version du système d'exploitation, le nom du fournisseur OCR configuré et la présence ou non d'un fichier de licence. Pour les rapports de bogue, la case "inclure les journaux" est cochée par défaut. Le formulaire affiche les lignes de journal avant l'envoi et le texte affiché est le texte envoyé : uniquement des entrées d'avertissement et d'erreur écrites par une version qui épure le contenu, au plus 20 entrées et 2 900 caractères. Chaque ligne passe par l'épurateur strict (chemins, adresses e-mail, IBAN, longs nombres et texte entre guillemets sont remplacés, ainsi que tout mot qui n'appartient pas aux propres messages de l'application). L'application écrit ses entrées sous forme de messages fixes avec nombres et codes, pas de texte libre. C'est une garde, pas une garantie : un mot de document qui est aussi un mot propre à l'application peut passer. Le texte que vous saisissez dans le formulaire est lui aussi épuré. Décochez la case pour n'envoyer aucune ligne de journal. Si aucune adresse de webhook n'est configurée dans l'application, rien n'est envoyé.
• Mises à jour : l'application interroge GitHub Releases environ 10 secondes après chaque lancement et à la demande, et télécharge les mises à jour automatiquement. Les requêtes contiennent la plateforme et un ID aléatoire de mise à jour, et le téléchargement d'une mise à jour peut révéler la version que vous utilisez. Toutes les versions de production le font, y compris la version portable, et aucun réglage ne permet de le désactiver. Les versions de développement empaquetées ont la publication désactivée.

Chaque requête qui quitte votre machine révèle votre adresse IP (ou celle de votre VPN ou proxy) au serveur qui la reçoit.

L'identifiant machine est une empreinte matérielle pseudonyme, et non votre nom ou votre adresse e-mail. Il sert à appliquer les limites de l'essai et à lier une licence à un appareil.

Ce Que Reçoit un Fournisseur d'IA avec Ask AI

Ask AI envoie le prompt ainsi que le texte masqué. Ce texte n'est pas sans risque :

• Un span que vous avez rejeté reste visible, sauf si un autre masque le couvre.
• Les données personnelles que les détecteurs n'ont pas trouvées sont envoyées telles quelles.
• Les espaces réservés comme <PRIVATE_PERSON_1> sont des pseudonymes, pas une anonymisation : les valeurs normalisées identiques partagent un espace réservé et certaines formes fléchies reprennent celui de leur forme d'origine, tandis que les fragments fusionnés et les spans ajoutés à la main reçoivent leur propre numéro. Ce regroupement n'est pas une identité fiable, mais des espaces réservés répétés laissent deviner au fournisseur combien de personnes distinctes le document contient à peu près.
• Tout ce qui entoure les espaces réservés (rôles, dates, lieux, événements) est envoyé tel qu'écrit.

Les destinations possibles sont OpenRouter (avec votre propre clé API), Ollama sur cette machine, un lien chatgpt.com qui contient le texte, ou l'endroit où vous collez un prompt copié. Relisez le texte masqué avant de l'envoyer. Lorsque le risque évalué est élevé, une confirmation est demandée pour certains envois (pas pour Ollama), mais la confirmation suffit pour envoyer ; Ask AI est en revanche indisponible tant que la détection est marquée comme incomplète ou indisponible. Seul ce texte masqué, lorsque vous choisissez de l'envoyer, peut parvenir à un fournisseur cloud. Les requêtes vers OpenRouter vont directement de votre appareil au fournisseur, avec la clé API que vous avez saisie, sans passer par un serveur Maskeno.

L'OCR intégré note chaque page numérisée qu'il lit. Si une page est notée médiocre ou illisible, Ask AI et l'export du texte masqué vous demandent de confirmer que vous l'avez examinée, et le processus principal refuse l'export tant que vous ne l'avez pas fait ; votre confirmation vaut pour le texte de cette page et tombe si la page est relue. La note est un filet de sécurité aux limites connues : elle ne couvre pas les pages lues avec Ollama (sans score de confiance), les documents sans OCR ni les projets antérieurs, et une bonne note ne prouve pas que tout a été lu, car le texte écarté par l'analyse de page n'est pas compté.

Stockage sur Votre Appareil

La base de données des projets est chiffrée avec SQLite3 Multiple Ciphers (ChaCha20-Poly1305, et non le format SQLCipher). Sa clé est stockée dans un fichier db.key protégé par safeStorage d'Electron : DPAPI sous Windows (tout programme exécuté sous votre compte Windows peut la déchiffrer), le Trousseau sous macOS et un service de secrets sous Linux. Si safeStorage n'est pas disponible, la clé est écrite en clair et seul un avertissement est consigné. Les clés API et la clé de licence utilisent le même mécanisme ; s'il n'est pas disponible, les clés API sont stockées en clair (les Paramètres affichent un avertissement) et la clé de licence est seulement encodée en base64, ce qui n'est pas du chiffrement. Les requêtes normales envoient votre clé enregistrée directement au fournisseur sélectionné, sans passer par un serveur Maskeno. L'assainissement des retours et des rapports d'erreur ne garantit pas que tout identifiant soit retiré du texte libre.

Fichiers de modèles téléchargés et données linguistiques pour l'OCR : ce sont des téléchargements publics, sans contenu de document. L'application ne les chiffre pas, et "Réinitialiser toutes les données" ne les supprime pas. Les modèles de détection sont conservés dans le dossier de cache par défaut de la bibliothèque transformers.js : un dossier .cache dans le dossier du paquet de la bibliothèque, parmi les fichiers de l'application. L'application ne définit aucun autre emplacement. Les fichiers de langue pour l'OCR (pol.traineddata, eng.traineddata, etc.) sont conservés dans un dossier nommé maskeno-tessdata, à l'intérieur du dossier temporaire de votre système d'exploitation, que le système ou un outil de nettoyage peut vider. L'application les télécharge alors de nouveau au prochain besoin, sauf si TESSDATA_PATH est défini. Lorsque TESSDATA_PATH est défini, l'application conserve en outre des copies des fichiers lus dans ce dossier, dans un sous-dossier de maskeno-tessdata dont le nom est src- suivi de douze caractères hexadécimaux.

Clés API, qualité de lecture et journaux : les Paramètres ne conservent que votre clé OpenRouter. Les clés que des versions antérieures ont enregistrées pour des fournisseurs que l'application n'utilise plus (ElevenLabs, Resemble, Gemini, OpenAI et Anthropic) sont supprimées une fois du fichier de paramètres au premier démarrage de cette version ; si une suppression échoue, elle est retentée au démarrage suivant. Pour chaque page numérisée lue par l'OCR intégré, la base de données conserve en outre un résumé de la qualité de lecture (note, confiance moyenne, nombres de mots et plages de caractères des mots douteux, sans texte) et le moment où vous l'avez confirmée. Le journal de l'application est écrit à partir d'une liste fixe d'événements (messages fixes avec nombres, références et codes). L'application est conçue pour ne pas écrire de noms de fichiers, de chemins, de texte de document ni, pour les opérations pouvant traiter un document, de messages d'erreur, et le texte qu'elle ne maîtrise pas passe d'abord par un épurateur. C'est une règle de conception testée, pas une garantie ; les entrées de versions antérieures peuvent contenir davantage. Le journal de plantage de votre dossier personnel contient, pour une erreur, la classe, le code et les positions dans l'application, pas le message, ainsi que l'ID d'installation.

Ne sont pas chiffrés : les images de page, les copies des fichiers sources importés, les journaux de l'application, le fichier de paramètres lui-même (les clés qu'il contient sont chiffrées individuellement), les métadonnées du fichier de licence, les fichiers d'identifiant machine et d'ID de mise à jour, le fichier d'état de l'essai (lisible, protégé contre la falsification), le fichier d'index en mémoire partagée de SQLite, ainsi que, dans votre dossier personnel, les journaux de plantage et de démarrage et un journal de débogage lorsque le débogage au démarrage est activé.

Analyse du Site Web

Ce site charge le script de Plausible Analytics. Consultez la politique de données de Plausible pour savoir ce qu'il collecte.

Conservation et Effacement des Données

• La suppression d'un projet retire ses lignes de la base de données et son dossier d'images de page. Les anciennes copies restent dans les sauvegardes chiffrées jusqu'à leur remplacement par des sauvegardes plus récentes.
• "Réinitialiser toutes les données" dans les Paramètres supprime la base de données (avec ses fichiers WAL et de mémoire partagée), les sauvegardes, le fichier de paramètres, les échantillons vocaux et le fichier de licence. Elle laisse plusieurs fichiers : images de page, fichiers importés, journaux, db.key, fichiers d'identifiant machine et d'ID de mise à jour, copies de récupération Maskeno.db.corrupted-* (elles peuvent encore contenir des données de projet), fichiers de modèles téléchargés et données linguistiques pour l'OCR, journaux du dossier personnel et fichier d'état de l'essai. Ce dernier est conservé hors du dossier de données utilisateur afin qu'une réinstallation ne réinitialise pas l'essai. Supprimez vous-même ceux que vous voulez effacer.
• Notre serveur d'essai stocke votre identifiant machine pseudonyme et les compteurs d'usage. L'application n'affiche pas cet identifiant ; pour demander l'effacement de cet enregistrement, écrivez à [email protected].
• Les données de licence sont gérées par Polar.sh selon leur politique de confidentialité.

Vos Droits en Vertu du RGPD

En tant que personne concernée dans l'Union européenne, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité des données, d'opposition et de retrait du consentement. Les flux de données décrits ci-dessus comprennent l'enregistrement d'essai, des entrées de limitation de débit liées à l'adresse IP et de courte durée, ce que vous envoyez via le formulaire de retour, les rapports de plantage et d'usage auxquels vous avez consenti, l'analyse du site web et les données de licence détenues par Polar.sh. Contactez-nous à [email protected].

Nous Contacter

• E-mail : [email protected]
• GitHub : Ouvrir un issue