Politique de confidentialité

LifeOS est un organisateur de vie personnelle : projets, tâches, planning, séances, wiki, habitudes, santé et assistance à la planification. Ce document décrit honnêtement ce que le service collecte et ce qu'il en fait. Il est écrit d'après le fonctionnement réel du produit, pas d'après un modèle.

Qui est responsable ?

Le responsable du traitement est l'opérateur de l'instance : Matteo Éléouet. Pour toute question sur tes données, et pour exercer tes droits : eleouet.matteo@gmail.com. Le service est hébergé sur un serveur OVH situé dans l'Union européenne.

Âge minimum

LifeOS est réservé aux personnes de 18 ans ou plus (voir les conditions d'utilisation). Il ne collecte pas sciemment de données de mineurs : si tu sais qu'un compte appartient à une personne de moins de 18 ans, écris à l'adresse ci-dessus pour qu'il soit supprimé.

Ce que LifeOS collecte

• Connexion. La connexion se fait via Google : LifeOS reçoit ton nom, ton adresse e-mail et ta photo de profil. Aucun mot de passe LifeOS n'est créé. Les sessions sont matérialisées par un cookie valable au maximum 30 jours.
• Le contenu que tu écris. Tout ce que tu saisis dans l'application — projets, tâches, plannings, séances, pages de wiki, notes libres, listes de courses, réglages — est stocké sur les serveurs de LifeOS pour faire fonctionner le service.
• Données de santé dans Fitness. LifeOS conserve le profil (sexe, âge, taille, poids cible), le poids, les mensurations, le cardio, les entraînements et la nutrition que tu saisis, pour ton seul suivi personnel, sans les transmettre à personne. Ce traitement repose sur ton consentement explicite, demandé à la première ouverture de Fitness et enregistré avec sa date et la version du texte accepté. Sans lui, le serveur refuse toute lecture et toute écriture de ces données dans Fitness (l'export de ton compte, lui, les contient toujours). L'option « Fitness » du menu, elle, n'affiche ou ne masque que la page : ce n'est pas un consentement. Ces données ne sont jamais conservées dans le cache hors ligne de ton appareil.
• Journal de sécurité. Chaque connexion, lecture de donnée sensible et suppression est consignée avec l'heure, l'adresse IP et une empreinte du navigateur, pendant 180 jours. Ce journal ne contient aucun contenu, il n'est pas une mesure d'audience, et il survit à la suppression du compte sans y rester rattaché.

Ce que LifeOS ne fait pas

• Aucun traceur publicitaire, aucun outil d'analyse tiers.
• Aucune revente de données, aucun partage entre comptes.
• Aucune décision automatisée produisant un effet juridique : LifeOS propose un plan, tu l'appliques ou non.
• Depuis le 5 octobre 2026, LifeOS n'envoie plus rien à un fournisseur de modèle d'IA : l'assistant IA intégré est désactivé, et l'emoji suggéré pour un projet est calculé par LifeOS lui-même.
• Aucune donnée de localisation, hors l'adresse IP des journaux techniques.

À qui tes données peuvent circuler

• Quiconque a le lien d'une page partagée. Une page du wiki que tu partages par lien est lisible par toute personne qui détient ce lien, sans compte, jusqu'à ce que tu arrêtes le partage (ses sous-pages ne sont pas partagées). « Révoquer les autres sessions », dans Profil › Sécurité, arrête aussi le partage de toute page qui n'a pas été partagée depuis la session en cours, y compris depuis une session déjà terminée ; révoquer une session depuis la liste des sessions arrête le partage des pages partagées depuis elle. Une simple déconnexion ne touche à aucun lien.
• Google reçoit ta demande d'authentification à chaque connexion. Si tu relies ton agenda, LifeOS lit par défaut les titres et horaires des événements de tous tes agendas Google. Tu peux ensuite masquer chaque agenda. Les titres et horaires des blocs acceptés, ainsi que les modifications que tu fais sur des événements Google depuis LifeOS, sont envoyés à Google Calendar. Chaque événement exporté porte aussi des identifiants techniques de LifeOS (espace de travail, bloc), invisibles dans ton agenda.
• Les outils d'IA que tu choisis toi-même. Le studio de projet peut te proposer un texte à copier (un « prompt ») décrivant ton projet. Si tu le colles dans un outil d'IA de ton choix, c'est toi qui le transmets, sous les conditions de cet outil : LifeOS ne l'envoie à personne. La réponse que tu recolles dans LifeOS est traitée comme le reste de ton contenu.
• Fournisseurs de modèles d'IA, jusqu'au 5 octobre 2026. Jusqu'à cette date, LifeOS envoyait à OpenRouter ou directement à Google AI Studio (traitement notamment aux États-Unis), à chaque échange avec les assistants, ton message, l'historique de la conversation et le contexte du projet ou de la semaine, et la suggestion d'emoji envoyait le nom, la description, le type et le profil de séance du projet à Google AI Studio. OpenRouter n'était pas certifié au cadre de protection des données UE–États-Unis (DPF) : ces envois reposaient sur les clauses contractuelles types de la Commission européenne, et les hébergeurs des modèles qu'il sollicitait pouvaient se trouver dans des pays sans décision d'adéquation. Plus rien ne leur est envoyé ; les copies qu'ils détiennent éventuellement expirent selon leurs propres règles de conservation, sur lesquelles LifeOS n'a pas de prise.
• Ton assistant IA connecté (Claude, service d'Anthropic, ou ChatGPT, service d'OpenAI), si tu relies LifeOS à ton propre compte chez lui depuis Profil › Sécurité, « Connexions IA ». Tu choisis sur la page d'autorisation les domaines qu'il peut lire, et lui seul les lit, quand tu le lui demandes dans une conversation : tes projets, jalons et tâches (titres, descriptions, dates, échéances, estimations, étiquettes), tes programmes sportifs (séances, exercices, consignes) ; tes cours et leur texte ; les blocs de ta semaine, tes réglages de planification, les créneaux occupés de ton agenda Google, sans leurs titres, l'état de ton minuteur et le temps prévu de tes semaines ; tes notes du wiki ; tes listes de courses ; ton temps de travail et ta progression (niveau, objectif de la semaine, série, élan, défis) ; et, seulement avec une case de consentement explicite, tes habitudes et tes résolutions de l'année, qui peuvent révéler ta santé. S'y ajoutent les cartes de ta boîte de réception qui relèvent de ces domaines, ton nom affiché, la date et ton fuseau horaire. Il ne lit jamais Fitness. Si tu lui donnes l'écriture, il crée, modifie, déplace, archive et met à la corbeille directement, sans te demander à chaque fois, et lit puis ajuste tes réglages (nom affiché, couleur, notifications, plage de travail profond, modules, phrases de ton manifeste, auxquelles il peut en ajouter) ; tout s'applique aussitôt, même ce qui ne se défait pas. « Connexions IA » montre ce qu'il a changé, et son bouton « Annuler » remet comme avant, tant que tu n'y as pas touché depuis, une tâche, un projet (hors réglages de planification), une étape ou le plan d'un projet, une note, les fiches et exercices réécrits d'un cours ou une habitude archivée ; l'assistant peut aussi annuler lui-même ce qu'il a fait. Ce qu'il a mis à la corbeille s'y restaure pendant 30 jours (s'il n'y a plus de place, il ne supprime rien). Le reste se reprend à la main, et trois choses ne se défont jamais : retirer de l'agenda une révision posée par LifeOS, passer une occurrence de routine, marquer un souhait acheté ou offert. Il reçoit aussi le prompt que tu lui écris dans « Connexions IA ». Les propositions en attente d'avant restent à accepter ou à refuser. Tu ajoutes ou retires un domaine dans « Connexions IA », après avoir relu l'accord pour un ajout. L'accord vaut jusqu'à ce que tu le révoques. Ce que l'assistant conserve de tes conversations, et s'il en apprend, dépend des réglages de ton propre compte chez lui ; sur un compte professionnel, ton employeur peut voir ces conversations.
• Zotero, si tu la relies, ne reçoit aucun de tes contenus : LifeOS lui transmet ton identifiant et ta clé Zotero pour lire ta bibliothèque.
• Wikimedia Commons, si tu cherches une photo libre pour la couverture d'une page, reçoit les mots que tu tapes, envoyés par LifeOS sans rien qui t'identifie : ni ton adresse, ni ton compte. L'image que tu choisis est ensuite enregistrée chez toi, comme une image que tu aurais envoyée.
• Google Drive, si tu le relies, apprend que tu utilises LifeOS et quels fichiers tu choisis ou envoies : LifeOS lui demande leur nom, leur type et leur taille, et ne lit jamais un fichier que tu n'as pas choisi. Un fichier que tu envoies vers ton Drive part directement de ton navigateur chez Google, sans passer par LifeOS.
• Le service de stockage des médias de LifeOS (un stockage d'objets compatible S3) héberge les vidéos et les fichiers que tu lui envoies, directement depuis ton navigateur ; LifeOS ne garde que leur nom, leur type et leur taille. Ces fichiers sont supprimés avec ton compte.
• OVH héberge la base de données et les fichiers, par nature.
• Ce que ton navigateur charge lui-même : les photos des programmes de sport sont servies par LifeOS lui-même ; une vidéo YouTube insérée dans le wiki ne se charge (depuis youtube-nocookie.com) qu'après un clic sur « Lire » ; une image distante que tu insères est chargée depuis son site d'origine ; les notifications passent par le service de notification de ton navigateur (Google, Apple, Mozilla ou Microsoft), qui n'en voit pas le contenu, chiffré de bout en bout.

Données reçues des API Google (Limited Use)

L'utilisation et le transfert par LifeOS des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences de « Limited Use » (utilisation limitée).

• LifeOS n'utilise les données de Google Agenda que pour te fournir et améliorer les fonctions que tu vois dans l'application : connaître tes créneaux occupés, afficher ton agenda et, si tu l'as autorisé, y écrire les blocs que tu as acceptés.
• Par défaut, LifeOS lit les événements de tous tes agendas Google ; tu peux ensuite masquer chaque agenda. L'écriture est une autorisation séparée, que tu actives toi-même : elle permet à LifeOS de modifier ou supprimer tes événements Google depuis l'application, et tu peux la retirer à tout moment.
• Elles ne sont ni vendues, ni transférées à des courtiers en données, ni utilisées pour de la publicité, y compris ciblée ou fondée sur les centres d'intérêt.
• Elles ne servent pas à développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique généralistes.
• Aucun humain ne les lit, sauf avec ton accord pour une demande précise, pour la sécurité du service ou si la loi l'exige.
• Les créneaux occupés dérivés de Google Agenda (sans les titres des événements) ne sont envoyés à ton assistant IA connecté que si tu l'y autorises, sur la page d'autorisation /autoriser, en cochant le domaine concerné.

Où ces données sont traitées, et avec quelles garanties

• OVH : dans l'Union européenne — en France d'après les registres publics d'adresses IP, confirmation en cours. Aucun transfert hors de l'Union européenne pour le stockage. Le contrat de sous-traitance d'OVH s'applique depuis la commande du serveur.
• Google, connexion et agenda : pour les utilisateurs européens, Google Ireland Limited est responsable du traitement pour ton compte Google. LifeOS les transmet donc à une société établie dans l'Union européenne ; ce que Google en fait ensuite relève de sa propre responsabilité.
• Zotero : aux États-Unis, sans certification ni clauses contractuelles ; seuls ton identifiant et ta clé Zotero y partent, à ta demande.
• Wikimedia Commons : aux États-Unis, sans certification ni clauses contractuelles ; seuls les mots cherchés y partent, sans identifiant, à ta demande.
• Ton assistant IA connecté : Anthropic et OpenAI ne sont pas des sous-traitants de LifeOS. Chacun traite tes conversations comme responsable de traitement indépendant, selon les conditions que tu as acceptées chez lui ; pour un compte personnel dans l'Union européenne, Anthropic indique que c'est Anthropic Ireland, Limited, et OpenAI indique qu'il s'agit d'OpenAI Ireland Limited. Où il traite ensuite ces données, et avec quelles garanties, relève de sa propre politique de confidentialité. Cette analyse a été confirmée par l'opérateur le 11 octobre 2026.

Le contrat de sous-traitance de l'hébergeur est publié par lui : contrats d'OVH. Une copie est aussi disponible sur demande à eleouet.matteo@gmail.com.

Sur quelle base

• Faire fonctionner le service (compte, contenu) : l'exécution du contrat qui te lie à LifeOS.
• Données de santé de Fitness : ton consentement explicite, demandé à la première ouverture de Fitness, enregistré avec sa date et la version du texte accepté, et vérifié par le serveur avant toute lecture ou écriture. Tu peux le retirer à tout moment : le retrait efface toutes tes données Fitness (voir « Tes droits »).
• Habitudes lues par ton assistant IA connecté : ton consentement explicite, donné par une case à part sur la page d'autorisation et enregistré avec la version du texte. Tu le retires à tout moment en décochant « Habitudes » dans « Connexions IA » ou en révoquant la connexion.
• Agenda Google et Zotero : ton consentement, donné en reliant l'intégration et retiré en la déconnectant.
• Photos libres (Wikimedia Commons) : ton geste, en ouvrant l'onglet puis en cherchant ; l'ouverture n'envoie qu'un mot fixe (« painting »), jamais rien de toi.
• Connexion d'un assistant IA : ton consentement, donné domaine par domaine sur la page d'autorisation et retiré en révoquant la connexion ou en décochant un domaine.
• Journal de sécurité : l'intérêt légitime à protéger le service et tes données contre les accès illégitimes.

Ce que les serveurs peuvent lire

Aucun contenu n'est chiffré de bout en bout aujourd'hui : les serveurs LifeOS lisent tes contenus en clair pour faire fonctionner le service. Ce sont l'isolation entre comptes (appliquée par la base de données elle-même), le chiffrement des secrets enregistrés et le chiffrement du transport (HTTPS) qui protègent tes données — pas un secret que le serveur ignorerait. Les connexions Google (agenda) et Zotero sont stockées sous forme chiffrée et ne sont jamais affichées.

Combien de temps

• Le contenu de ton compte est conservé jusqu'à la suppression du compte.
• Un projet, une tâche, une étape de plan, un cours, une fiche, un exercice, une partie de cours, un programme sportif, un échange avec l'assistant d'un projet, un article de courses (ou les articles cochés que tu vides d'un coup), un dossier de cours, une piste ou une playlist de musique, un modèle de prompt de cours ou une entrée de ton suivi santé que tu supprimes reste 30 jours dans ta corbeille (Profil › Sécurité), le temps de pouvoir le restaurer, puis il est effacé. Les entrées de suivi santé n'y figurent que tant que ton consentement est actif : le retirer les efface aussi de la corbeille, avec tes données Fitness. Le fichier audio d'une piste supprimée est gardé tant que la piste est dans la corbeille (il compte dans ton espace musique, et reste dans les sauvegardes nocturnes jusqu'à sa suppression), puis effacé. L'export de ton compte liste cette corbeille (type, titre, dates) sans son contenu, hors articles de courses ; elle disparaît seule après 30 jours.
• Les versions antérieures d'une page du wiki sont gardées pour que tu puisses revenir en arrière : les plus récentes des dernières 24 heures (jusqu'à 20), puis une par jour pendant 30 jours, puis une par semaine jusqu'à 90 jours. Elles disparaissent avec la page (et avec le compte) ; elles figurent dans l'export de ton compte, et gardent jusqu'à 90 jours les images qu'elles montrent, même retirées de la page.
• Les sessions expirent au plus tard 30 jours après leur ouverture.
• Le journal de sécurité est purgé au bout de 180 jours.
• Une connexion d'assistant IA dure jusqu'à ce que tu la révoques ; son accès doit être renouvelé toutes les heures, il expire après 30 jours sans utilisation et il faut la reconnecter au plus tard 180 jours après l'autorisation. La reconnecter depuis l'assistant une fois l'accès expiré la renouvelle en un clic : tes choix précédents sont repris tant que l'accord n'a pas changé depuis (la case de consentement des habitudes reste à cocher), et l'ancienne connexion est fermée. LifeOS n'en garde que des empreintes de jetons, jamais les jetons eux-mêmes.
• Les sauvegardes conservent les données supprimées jusqu'à leur propre rotation : un effacement n'est donc complet qu'à l'issue de ce cycle.

Tes droits

Ils sont exerçables par toi-même, immédiatement, sur la page Profil › Sécurité de l'application :

• Accès et portabilité : « Exporter mes données » produit un export JSON de tout le compte.
• Effacement : « Supprimer définitivement » efface le compte, son contenu, ses fichiers et retire l'accès accordé à Google. Zotero n'offre aucun moyen de révoquer une clé à distance : LifeOS détruit sa copie, et te rappelle de la révoquer toi-même chez Zotero (voir le guide de suppression).
• Retrait de l'accès à une intégration : déconnecte-la depuis ton profil.
• Retrait de l'accès d'un assistant IA : « Révoquer », dans Profil › Sécurité, « Connexions IA », coupe aussitôt son accès ; tu peux aussi seulement lui retirer un domaine. Révoquer une session depuis la liste des sessions révoque aussi les connexions autorisées depuis elle. « Révoquer les autres sessions » révoque, en plus, toute connexion qui n'a pas été autorisée depuis la session en cours, y compris celles autorisées depuis une session déjà terminée. Une simple déconnexion (« Se déconnecter ») ne ferme que la session : les connexions autorisées depuis elle restent actives jusqu'à leur révocation ou leur expiration. Ce que l'assistant a déjà lu reste dans tes conversations chez lui : LifeOS ne peut ni le modifier ni l'effacer, supprime-les chez lui.
• Retrait du consentement aux données de santé : « Retirer mon consentement », dans Profil › Modules, efface définitivement toutes tes données Fitness, y compris les entrées que tu avais supprimées et qui attendaient dans la corbeille (après t'avoir proposé l'export), et enregistre ce retrait. Tu peux consentir de nouveau plus tard : le suivi repart vide. Masquer Fitness dans le menu, en revanche, n'efface rien. Si ton compte contenait des données Fitness enregistrées avant l'existence de ce consentement, elles restent conservées mais inaccessibles dans Fitness (hors export de ton compte) jusqu'à ce que tu consentes ou que tu les supprimes (« Supprimer mes données Fitness », sans avoir à consentir).
• Rectification : tous les écrans du produit.
• Limitation du traitement : « Geler le traitement de mon compte » suspend le traitement de tes données. Elles restent conservées et lisibles, et tu peux toujours les exporter, supprimer le compte, retirer un accès ou ton consentement aux données de santé ; en revanche rien n'est plus modifié, synchronisé avec Google Agenda ou Zotero ni notifié, et les travaux en arrière-plan ignorent ton compte. Un assistant IA connecté ne peut plus rien lire, mais sa connexion reste en place jusqu'au dégel. Continuent seulement : l'effacement chez Google des événements des projets que tu avais déjà supprimés, le journal de sécurité (connexions, sessions, consultations), et une opération déjà lancée au moment du gel, qui se termine dans ses délais. Les copies que détiennent déjà Google, ton assistant IA connecté ou, pour les échanges antérieurs au 5 octobre 2026, les fournisseurs de modèles d'IA ne peuvent pas être prévenues de ton gel : elles expirent selon leurs propres durées de conservation, et plus rien ne leur est envoyé. Toi seul peux dégeler. Pour corriger une donnée, dégèle, corrige puis regèle : entre les deux, la synchronisation et les notifications reprennent. Une liste de courses partagée continue d'évoluer par les autres membres du foyer.

Tu peux aussi introduire une réclamation auprès de la CNIL (cnil.fr/fr/plaintes). La page de sécurité liste aussi le journal des accès à ton compte.

En cas de violation de données

Si un incident compromet tes données, l'autorité de contrôle (CNIL) est notifiée dans les 72 heures suivant la prise de connaissance, et tu es informé directement lorsque le risque pour toi est élevé — c'est notamment le cas si le suivi de santé était actif.

Les points encore en chantier

• Les noms et notes libres du module Habitudes ne passent pas par le consentement de Fitness (seule leur lecture par un assistant IA connecté demande un consentement explicite) : n'y écris pas d'information de santé si tu ne veux pas qu'elle soit conservée comme le reste de ton contenu.
• Assistant IA connecté : le rôle d'Anthropic et d'OpenAI (responsables de traitement indépendants, choisis par toi) et les garanties de leurs transferts ont été confirmés par l'opérateur le 11 octobre 2026. La connexion est ouverte à tous les comptes : chacun consent pour le sien.
• Un « coffre-fort privé » (contenu chiffré côté appareil, illisible par le serveur) est prévu mais n'existe pas encore : cette politique sera mise à jour le jour où il sera livré.

Pour toute question : eleouet.matteo@gmail.com.