Politique de confidentialité de Doci

Demandes sur liste d’attente bêta

Pour éviter les abus, nous limitons les requêtes à l’aide de hachages de l’e-mail et de l’adresse IP. Nous ne conservons pas l’adresse IP d’origine et gardons ces hachages au plus deux jours. Supprimer une demande supprime aussi l’enregistrement de limitation lié au hachage de l’e-mail. Un hachage n’est pas une information anonyme.

Pour envoyer les invitations à la bêta, nous enregistrons votre e-mail, votre langue, la source d’inscription, l’heure de votre consentement et la version de l’information. Nous les conservons un an ou jusqu’à votre retrait. Nous n’envoyons pas d’e-mails publicitaires. Vous pouvez utiliser Doci sans accepter.

L’envoi d’e-mails est en cours de mise en place : les demandes restent donc en attente de confirmation. Dès qu’un fournisseur sera prêt, nous prévoyons de vérifier les adresses avant d’envoyer les invitations. L’attente de confirmation n’est pas une vérification. Les opérateurs ne peuvent pas encore marquer une demande comme vérifiée ni envoyer d’e-mail.

Utilisez votre lien de suppression pour supprimer immédiatement la demande et l’enregistrement du consentement. Sans lien, contactez-nous pour une vérification d’identité et la suppression. Nous ne conservons pendant 30 jours qu’un identifiant de demande aléatoire et l’heure de suppression afin de réappliquer la suppression après une restauration de sauvegarde. Les sauvegardes expirent sous 30 jours.

Si la finalité, les informations collectées, la durée de conservation ou les destinataires des messages changent, nous publions une nouvelle version de l’avis de liste d’attente et demandons un nouveau consentement avant d’utiliser les demandes existantes pour la nouvelle finalité. Les simples corrections de fautes ne changent pas la version du consentement.

Participation à la bêta et avis de modification

Lorsque vous acceptez une invitation, nous enregistrons sur votre compte votre groupe de recrutement, la source de l’invitation, l’heure de participation et l’éligibilité à la remise. Nous ne conservons pas le code brut. La suppression de votre compte efface aussi les enregistrements de participation. Les statistiques d’utilisation ne conservent que des valeurs fixes de groupe et de source, sans code ni e-mail, et suivent les règles existantes de désactivation, d’exclusion régionale et de conservation.

L’éligibilité à une réduction est un enregistrement destiné à expliquer les conditions d’application à l’ouverture des paiements ; ce n’est ni un paiement ni un droit d’utilisation payant. Les annonces hebdomadaires de modifications se lisent dans l’application et, à leur publication, sont envoyées dans la boîte de réception et sur les appareils des membres actifs. Il n’y a ni publication automatique sur des canaux externes ni envoi d’e-mails.

Connexions et autorisations des applications externes

Une application externe que vous choisissez de connecter peut lire vos documents, les documents partagés et vos tâches, dans les limites que vous approuvez. Les documents partagés peuvent inclure du contenu d’autres participants ; assurez-vous d’avoir le droit de le partager. Doci transmet le contenu demandé à votre application connectée sans traitement par IA. Les informations de confidentialité de l’application régissent ensuite son traitement, sa conservation et ses transferts internationaux. Se déconnecter ne supprime pas automatiquement les copies que l’application a déjà reçues.

Nous enregistrons le nom et l’identifiant de l’application connectée, les autorisations accordées, l’heure de connexion et de dernière utilisation, ainsi que le type, le résultat et l’heure des requêtes. Les enregistrements d’activité sont supprimés après 90 jours et ne contiennent ni contenu de document, ni requêtes de recherche, ni liens de partage. La révocation d’une autorisation bloque immédiatement l’utilisation des jetons pour cette portée. La déconnexion complète de l’application supprime l’enregistrement de connexion après 90 jours. La fermeture de votre compte supprime ses connexions, jetons et enregistrements d’activité. Les propriétaires de l’espace peuvent désactiver les connexions d’applications externes pour l’espace.

Vous consentez séparément à la lecture, aux suggestions et à la création de documents. Les suggestions, le nom de l’application, la personne qui les a soumises, les horodatages et les résultats de la revue sont enregistrés dans le document. Un éditeur applique ou refuse les suggestions. Les nouveaux documents sont créés immédiatement et conservent le nom de l’application. Les suggestions et leur provenance sont supprimées avec le document. Révoquer une autorisation bloque les demandes futures ; cela ne supprime pas les suggestions ni les documents existants. Désactiver les applications externes d’un espace bloque la lecture, les suggestions et la création. Pour les suggestions de responsables, l’application connectée reçoit les noms des personnes assignables dans le document et des références propres au document. Nous n’envoyons pas d’identifiants de compte. Doci ne retransmet pas ces demandes à une autre IA externe.

Équipes et collections de documents

Nous utilisons le nom et la description de l’équipe, ses membres, invitations et autorisations, ainsi que les liens entre l’équipe, ses documents et ses collections pour fournir les fonctions de collaboration. Les membres d’une équipe peuvent voir les pseudos et les autorisations d’équipe les uns des autres. Quitter l’équipe ou en être exclu met fin à l’accès aux documents obtenu par l’équipe, et la suppression du compte efface vos enregistrements de membre et d’invitation. Déplacer une collection personnelle existante vers une équipe conserve les anciens liens de partage ; les documents d’équipe ajoutés ensuite ne sont pas exposés via ces liens externes.

Paramètres par défaut d’inscription Naver

Lors de votre première inscription avec Naver, nous préremplissons votre pseudo avec celui que vous avez accepté de partager. Modifiez-le s’il est déjà utilisé ou s’il ne respecte pas les règles de pseudo de Doci. Une fois l’inscription terminée, nous importons dans le stockage de Doci la photo de profil Naver que vous avez acceptée pour en faire votre photo par défaut, après avoir supprimé ses métadonnées et réduit sa taille. Si l’importation échoue, nous utilisons une icône de profil. Les pseudos et photos des membres existants ne sont pas remplacés. Vous pouvez les modifier ou supprimer votre photo dans Mes paramètres. Une fois l’inscription terminée, nous supprimons le pseudo temporaire et l’adresse externe de la photo ; votre photo de profil enregistrée est supprimée lorsque vous supprimez votre compte.

Recherche d’amis et e-mail

Pour permettre de trouver des amis, nous enregistrons dans votre compte l’e-mail que votre fournisseur de connexion sociale partage avec votre accord, et nous le mettons à jour à chaque connexion. Pour Google et Kakao, nous n’utilisons que des adresses e-mail vérifiées. Si aucun e-mail n’est fourni, vous ne pouvez pas être trouvé par e-mail, mais vous pouvez l’être par pseudo. Votre e-mail n’apparaît ni dans les résultats de recherche ni chez les autres membres, et vous pouvez désactiver la recherche par e-mail dans Mes paramètres → Amis. Nous ne fusionnons pas les comptes d’après l’e-mail : si la même adresse est déjà enregistrée sur un autre compte, nous ne l’enregistrons pas à nouveau. Lorsque vous supprimez votre compte, l’e-mail du compte est également supprimé.

Informations du compte et consentement

Nous utilisons l’identifiant unique de compte fourni par votre service de connexion sociale, votre pseudo, ainsi que la version et l’heure de votre consentement pour authentifier les membres et fournir le service. Vos réglages d’affichage (taille du texte, page de démarrage, etc.) sont conservés avec votre compte, et la photo de profil que vous importez vous-même dans Mes paramètres (facultatif) est conservée dans le stockage de fichiers de Doci. Les photos de profil importées auparavant restent avec les informations de votre compte sous forme de petite image carrée jusqu’à leur transfert vers le stockage de fichiers. Les photos de profil sont enregistrées à nouveau sous forme d’une image d’au plus 1024 px sur le grand côté et d’une petite image carrée, avec suppression des informations de la photo comme le lieu de prise de vue, et ne sont actuellement visibles que dans votre propre menu et votre écran de paramètres. Nous ne collectons pas votre date de naissance et nous ne copions pas automatiquement votre vrai nom, votre photo de profil ou votre e-mail issus d’autres services dans votre pseudo public. Si vous n’acceptez pas la collecte et l’utilisation des informations nécessaires à l’inscription, vous ne pouvez pas devenir membre.

La connexion avec Kakao n’est possible que lorsque la fonction est activée. Si vous l’utilisez, une demande de connexion est envoyée à Kakao, et Doci enregistre votre numéro de membre Kakao et vos historiques de connexion pour authentifier les membres. Nous ne recevons ni votre nom ni votre photo de profil Kakao, et nous ne montrons à aucun autre participant votre numéro de membre ni les jetons de connexion externes. Les jetons de connexion externes sont conservés chiffrés. Lorsque vous supprimez votre compte, nous supprimons les connexions et historiques de connexion du compte et demandons à Kakao de rompre le lien avec Doci. Si la rupture échoue, nous conservons les jetons jusqu’à 7 jours et réessayons. Votre compte Kakao lui-même n’est pas supprimé.

Documents et enregistrements de participation

Nous enregistrons les titres, le texte, la mise en forme, les tableaux et les informations jointes des documents, l’historique des modifications, les autorisations de partage, les commentaires et les réponses, afin de conserver les documents et de permettre le travail à plusieurs. La bibliothèque d’un membre et Mes modèles sont liés à son compte. Les noms et les détails de modification des participants peuvent être affichés selon les autorisations d’accès de chaque document, et les membres qui ont supprimé leur compte apparaissent sans nom sous la mention « Utilisateur supprimé ». N’écrivez pas d’informations personnelles sensibles ni de mots de passe dans les documents.

Nous enregistrons, associés au compte et au document, l’heure de la dernière consultation d’un document par un membre et la version du document à ce moment-là, afin d’afficher ce qui a changé depuis sa dernière visite. Le propriétaire peut comparer avec l’historique de l’époque ; les autres participants ne voient que le contenu auquel ils ont accès actuellement.

« Mes tâches » rassemble et vous affiche les titres, statuts, échéances et autres informations des éléments non terminés qui vous sont attribués dans les documents que vous pouvez actuellement ouvrir. Cette liste rassemblée n’est pas enregistrée séparément sur le serveur.

La liste des partages des frais auxquels vous participez enregistre, liés à votre compte, les identifiants de documents et de partages que vous avez vous-même ajoutés. Nous ne déduisons jamais la participation à partir des noms. Seuls les partages auxquels vous avez actuellement accès sont affichés. Retirer une entrée de la liste, supprimer votre compte ou supprimer définitivement le document efface cet enregistrement.

Suggestions, réactions et mentions des commentaires

Lorsque vous citez une phrase ou proposez une modification, nous enregistrons le commentaire, son auteur et son heure de création, le texte d’origine et sa position, un court passage environnant servant à le retrouver, et le remplacement proposé. Nous enregistrons aussi si la suggestion a été appliquée ou refusée, par qui et quand. Les personnes qui peuvent voir le document voient ses commentaires et suggestions. Le texte d’origine cité n’est affiché que tant qu’il peut encore être retrouvé dans le texte actuel, et il n’est plus affiché une fois la suggestion appliquée. Le passage environnant servant à le localiser n’est pas affiché. Le propriétaire et les personnes autorisées à modifier peuvent appliquer ou refuser les suggestions.

Pour les réactions, nous enregistrons qui a réagi à quel commentaire, le type de réaction et l’heure. Les personnes pouvant consulter le document ne voient que le nombre par type et leur propre choix. Même le propriétaire ne voit pas la liste des personnes ayant réagi. Les réactions n’envoient pas de notification. Si vous retirez votre réaction, son enregistrement est supprimé.

Lorsqu’un membre mentionne quelqu’un avec @ dans un commentaire, nous enregistrons dans le commentaire une référence au compte de cette personne et affichons son nom d’affichage aux personnes qui peuvent voir le document. Le membre mentionné est notifié. Les nouvelles propositions de modification sont notifiées au propriétaire et aux membres ayant le droit de modifier qui peuvent voir le document ; le résultat d’une application ou d’un refus est notifié au membre qui l’a proposée. Vous n’êtes pas notifié de vos propres actions, et aucune notification n’est envoyée aux personnes qui ont désactivé les notifications ou perdu l’accès au document.

Supprimer un commentaire efface sa citation, le passage qui l’entoure, le texte proposé, les liens de mention et les réactions. Masquer un commentaire conserve ces informations mais cesse de les afficher. Lorsque vous supprimez votre compte, nous supprimons vos réactions, commentaires et suggestions ; les commentaires et suggestions ayant reçu des réponses d’autres personnes laissent un emplacement vide. Nous supprimons aussi les liens vers votre compte dans les mentions d’autres commentaires. En revanche, les modifications déjà appliquées au contenu du document d’une autre personne et les noms saisis directement dans le texte ne sont pas supprimés automatiquement. La suppression définitive d’un document supprime aussi ses commentaires, suggestions, réactions et enregistrements de mentions.

Espace de groupe

Lorsqu’un membre crée un espace de groupe, nous enregistrons le nom de l’espace, son propriétaire, la liste des documents ajoutés et les autorisations de partage de chaque document, les informations servant à vérifier et à réafficher le lien de l’espace, ainsi que les membres qui l’ont rejoint et l’heure de leur arrivée. Les personnes invitées par le lien de l’espace peuvent voir le nom de l’espace, le titre, l’heure de dernière modification et les autorisations de partage des documents qu’elles peuvent ouvrir, ainsi que le nombre de participants. Chaque document s’ouvre avec les autorisations qui lui sont propres. Seule la personne qui a créé l’espace voit les pseudos des membres et l’heure de leur arrivée.

Lorsqu’un membre quitte l’espace ou en est retiré, nous supprimons son enregistrement de participation. Supprimer un espace efface son nom, ses liens, sa liste de documents et les enregistrements de participation, mais les documents eux-mêmes sont conservés. Les liens propres à l’espace sont aussi désactivés pour les documents que le créateur de l’espace possède toujours et qui ne sont pas dans la corbeille. La suppression définitive d’un document le retire aussi de la liste de l’espace.

Notifications

Pour afficher les notifications aux membres, nous enregistrons le destinataire, le type de notification, le document et l’élément concernés, la personne à l’origine de la notification, l’heure de création et l’heure de lecture. Seul le destinataire peut voir une notification. Nous ne copions pas le contenu des documents dans les notifications : à chaque affichage, nous vérifions le contenu actuel et les autorisations d’accès. Si vous n’avez plus accès à un document, ses notifications ne sont plus affichées.

Quand un document partagé change, nous en informons les membres qui y ont accès, en une ligne par document. Pour cela, nous enregistrons, pour chaque document, la position et l’heure de la dernière modification notifiée et le nombre de modifications non encore notifiées ; pour les modifications qui ne laissent pas d’historique (ajout d’un document à une équipe, verrouillage, restauration depuis la corbeille, etc.), nous enregistrons pendant 90 jours qui les a faites, leur type et leur heure. La notification indique les personnes qui ont modifié (jusqu’à 3), leur nombre, ainsi que le nombre de nouveaux commentaires et de nouvelles réponses. Lorsque vous n’avez plus accès à un document, nous vous l’indiquons simplement, sans le titre du document.

Nous enregistrons, liés à votre compte, le niveau de notification choisi pour chaque document (Toutes les modifications, Uniquement ce qui me concerne ou Désactivées) et l’heure de ce réglage. Des rappels peuvent être créés lorsque l’échéance d’une tâche ou la clôture d’un vote ou d’un sondage approche ou est dépassée. Vous pouvez désactiver les rappels dans Mes paramètres. Votre choix de recevoir ou non des rappels est conservé avec votre compte.

Une fois par jour, lors du nettoyage des notifications, nous supprimons celles de plus de 90 jours ainsi que, pour chaque membre, les plus anciennes notifications lues au-delà des 100 dernières notifications de modification de document et des 500 dernières autres notifications. Nous conservons aussi des enregistrements distinguant le document, l’élément, l’échéance, etc., pour ne pas créer plusieurs fois le même rappel. Les enregistrements anti-doublon des notifications d’échéance de tâche sont supprimés lors de la suppression définitive du document ; les autres enregistrements de rappel sont nettoyés après 60 jours.

Pour éviter que les modifications d’un même document n’arrivent trop souvent sur vos appareils, nous enregistrons, pour chaque membre et chaque document, l’heure de la dernière notification d’appareil envoyée et celle du prochain envoi groupé ; ces données sont supprimées un jour après qu’il n’y a plus rien à envoyer. Pour vous prévenir une fois lorsque l’espace de stockage dépasse 80 %, 95 % et 100 %, nous enregistrons le seuil franchi et l’heure ; ces données sont supprimées lors du prochain enregistrement de fichier, si l’utilisation est repassée à plus de 10 points de pourcentage sous ce seuil. Pour vous prévenir lorsqu’une longue tâche d’IA se termine après la fermeture de sa fenêtre, nous enregistrons l’heure de la dernière consultation de cette tâche, et la supprimons avec l’historique de la tâche.

Pour vous prévenir d’une connexion depuis un nouvel appareil, nous enregistrons, pour chaque navigateur ou application où vous vous connectez, un identifiant d’appareil, la famille du navigateur et du système d’exploitation (par exemple Chrome · macOS) ainsi que la première et la dernière date de consultation, liés à votre compte. Nous n’enregistrons ni adresse IP ni localisation. Nous supprimons l’enregistrement d’un appareil non vu depuis 400 jours, et tous les enregistrements si vous supprimez votre compte.

Nous enregistrons dans les paramètres de votre compte un fuseau horaire de notification, par exemple Asia/Seoul. Nous le détectons d’abord depuis le navigateur où vous êtes connecté, et vous pouvez le modifier dans vos paramètres. Il définit « Aujourd’hui » dans Mes tâches, les heures calmes des notifications de l’appareil et les regroupements quotidiens de notifications. Les rappels sont aussi ajoutés à votre boîte la nuit ; seule la remise sur l’appareil est différée selon le fuseau horaire et les réglages de chaque destinataire.

Nous enregistrons dans votre compte vos heures calmes, la portée des notifications de modification de documents et les réglages de notification de l’appareil par type. Pour une notification de l’appareil retenue, nous enregistrons avec elle l’heure d’envoi prévue.

Pour regrouper en une seule par heure les notifications de l’appareil sur les modifications de documents au-delà de 20 par jour, nous enregistrons pour chaque membre les heures d’envoi des notifications de l’appareil et les supprimons au bout de deux jours. Elles sont aussi supprimées si vous supprimez votre compte.

Webhooks par document et notifications du téléphone

L’affichage du contenu dans les notifications de l’appareil est activé par défaut. Lorsqu’il est activé, les titres de documents, d’espaces et d’éléments, les noms d’affichage des participants et les messages de contexte déjà visibles dans vos notifications sont envoyés via des services de notifications push tels que ceux d’Apple, de Google et de Mozilla. Les notifications web sont chiffrées pendant leur transmission ; les notifications de l’application passent par Google FCM et, sur iPhone, par APNs. Nous n’envoyons ni le corps des documents, ni le texte intégral des commentaires, ni les secrets des liens de partage. Si vous désactivez « Afficher le contenu dans les notifications de l’appareil » dans Mes paramètres, vous ne recevrez qu’un message générique signalant une nouvelle notification. Android suit le réglage de l’écran de verrouillage qui masque le contenu sensible ; les notifications déjà affichées se gèrent depuis votre appareil.

Les webhooks par document sont actuellement désactivés en production. Ce n’est que lorsque cette fonction est activée que le propriétaire peut envoyer les notifications de modification d’un document vers un service externe de son choix. Les données envoyées comprennent les titres, statuts, types de modification, heures et nombres des documents, tableaux, éléments, votes et sondages, l’identifiant du document et l’adresse du document sans le secret du lien de partage. Nous n’envoyons ni le texte du document, ni le contenu des commentaires, ni la liste des participants, mais des informations personnelles, comme des noms saisis dans un titre ou un statut, peuvent être incluses. Les personnes qui peuvent voir les notifications dans le service externe peuvent aussi voir ces informations.

Lorsqu’un webhook est configuré, nous chiffrons et enregistrons l’adresse du service destinataire. Nous enregistrons aussi, pour l’écran de paramètres, son domaine et ses quatre derniers caractères, les types de notification, l’état activé, qui l’a configuré et quand, ainsi que les résultats d’envoi. Les enregistrements d’envoi sont conservés 30 jours, puis supprimés. Supprimer le webhook ou supprimer définitivement le document supprime ses paramètres et ses enregistrements d’envoi. Changer de propriétaire désactive l’envoi et supprime l’adresse de destination. Les notifications déjà envoyées à un service externe ne sont pas effacées lorsque vous supprimez le document ou votre compte Doci ; elles suivent les règles de conservation et de suppression du service destinataire.

Un membre peut s’abonner après avoir activé les notifications de l’appareil dans Mes paramètres et les avoir autorisées sur l’appareil. À l’abonnement, nous enregistrons l’adresse de réception des notifications push de l’appareil (endpoint), les clés de chiffrement, l’heure d’abonnement et l’état d’envoi, associés à la connexion, à l’appareil et au compte. Les notifications sont chiffrées et envoyées via les services push des navigateurs, comme ceux d’Apple, de Google et de Mozilla. Selon votre réglage d’affichage du contenu, nous envoyons soit un message contextuel sur la notification reçue, soit un message général. Si vous vous désabonnez ou vous déconnectez, les informations d’abonnement correspondantes sont supprimées ; si vous supprimez votre compte, celles de tous vos appareils sont supprimées. Gérez les notifications déjà affichées sur votre appareil dans ses réglages de notifications.

Noms d’affichage des invités

Pour que les invités puissent se reconnaître dans les commentaires et les votes nominatifs, ils peuvent saisir un « Nom pour ce groupe » facultatif pour chaque document. Le nom est enregistré dans le document (40 caractères maximum) et affiché sous la forme « Nom · Numéro de visiteur » aux personnes qui peuvent voir ce document. Seul le propriétaire voit les noms et les choix individuels des votes nominatifs. Vous pouvez modifier ou effacer le nom tant que vous avez accès au document depuis le même appareil invité. Si vous effacez les données de l’appareil ou si la session d’appareil de 30 jours expire et est recréée, vous ne pourrez peut-être plus modifier ou effacer vous-même l’ancien nom. Dans ce cas, contactez Doci.

Pour préremplir le nom dans votre prochain document, nous conservons le dernier nom enregistré et l’heure de son enregistrement dans le stockage du navigateur de cet appareil. Enregistrer un nom vide efface aussi le nom mémorisé sur cet appareil. Effacer les données du navigateur n’efface pas les noms enregistrés dans les documents.

Sondages de présence et votes de date

Les sondages de présence enregistrent les noms, notes et réponses numériques que vous saisissez dans les questions, vos réponses sélectionnées, ainsi que les heures d’envoi et de modification, afin de recueillir les présences. Les réponses sont liées aux enregistrements de participation de membre ou d’invité pour éviter les envois en double et vous permettre de retrouver vos propres réponses. Vous pouvez voir vos propres réponses ; seul le propriétaire du document peut voir les réponses individuelles des autres et leur heure d’envoi. Les noms de compte et les informations sur l’appareil ne s’affichent pas automatiquement avec les réponses au sondage. Si le propriétaire active le partage des résultats avant la publication, les participants peuvent voir des totaux tels que le nombre de réponses par choix et les sommes numériques, selon les paramètres de visibilité des résultats. Les noms, notes et réponses de date ne sont pas partagés. Avec peu de réponses, il est possible de deviner une réponse individuelle à partir des totaux.

Les sondages de dates enregistrent les dates que vous avez choisies ainsi que l’heure d’envoi et de modification, rattachées à votre fiche de participation, afin de recueillir les dates disponibles. Pour un sondage nominatif, seul le propriétaire voit les noms d’affichage et les choix individuels. Pour un sondage anonyme, même le propriétaire ne voit pas les choix individuels. Vous pouvez consulter vos propres choix. Les autres participants ne voient que les totaux, selon la visibilité des résultats définie par le propriétaire.

Pour les questions d’heure et de note, nous enregistrons l’heure saisie et la note choisie (1 à 5) avec vos autres réponses au sondage. Seuls vous et le propriétaire du document pouvez voir les réponses individuelles. Les sondages dont le partage des résultats est activé affichent le nombre de réponses par note et la moyenne selon leurs réglages de visibilité. Les réponses d’heure ne sont pas partagées avec les autres participants. Les sondages par ordre d’arrivée affichent la capacité et les places restantes quel que soit le réglage de visibilité des résultats, et les votes avec limite de capacité affichent le nombre de personnes par choix. Ces nombres peuvent permettre de deviner combien de personnes ont répondu ou le choix d’une personne.

Noms et montants du partage des frais

Pour répartir les coûts et calculer qui paie ou reçoit combien, le partage des frais enregistre comme contenu du document les noms de personnes et de groupes que vous saisissez, les membres des groupes, les montants et dates des dépenses, les payeurs et les personnes exclues d’un partage. Les personnes qui peuvent consulter le document voient ces informations et les parts calculées. Une mention d’auteur liée à un compte devient « Ancien utilisateur » après la suppression du compte, mais les noms et montants saisis directement dans le partage des frais du document d’une autre personne ne sont pas supprimés automatiquement. Ils peuvent être modifiés ou supprimés selon les droits de modification du document.

Lorsque vous sélectionnez « Envoyé », l’expéditeur et le destinataire (personnes ou groupes), le montant et la date sont enregistrés comme une ligne du tableau de partage des frais. Il s’agit d’une note laissée par un participant, et non d’un virement réel ni d’une confirmation de la banque. Les personnes qui peuvent consulter le document la voient, et les droits de modification déterminent qui peut l’annuler ou la corriger. Annuler une note masque la ligne, qui peut être restaurée depuis les éléments masqués. L’historique conserve le contenu au moment de l’enregistrement du document. Comme le reste du partage des frais, elle suit les règles d’historique, de conservation et de suppression du document. Les notes laissées dans le document d’une autre personne, ainsi que les noms et montants saisis, ne sont pas supprimés automatiquement à la fermeture de votre compte.

Calculs, liens et CSV du tableau

Les formules, les liens vers des lignes d’autres tableaux du même document et les paramètres de synthèse liée sont enregistrés comme contenu du document. Les résultats des calculs et des synthèses sont calculés à la demande à partir des valeurs du tableau, et non enregistrés comme valeurs de cellules distinctes. Les chronologies et les graphiques redessinent ou calculent eux aussi, sur votre appareil, des valeurs de tableau que vous pouvez déjà consulter.

L’importation CSV lit le fichier sur votre appareil. Lorsque vous créez le tableau, le contenu des cellules et les paramètres des colonnes sont envoyés au serveur pour être enregistrés dans le document. Le fichier CSV lui-même n’est ni importé ni conservé, mais les données personnelles importées, comme les noms et les coordonnées, suivent les mêmes règles de droits, d’historique, de conservation et de suppression que le contenu saisi à la main dans le tableau.

Le téléchargement CSV crée un fichier sur votre appareil. Il peut contenir les noms et valeurs affichés dans le tableau, ainsi que les noms des créateurs et des auteurs de modifications que vous avez le droit de voir. La suppression d’un document ou de votre compte n’efface pas les fichiers téléchargés ; gérez-les vous-même sur l’appareil où ils ont été enregistrés.

Règles du tableau, éléments récurrents et rappels de frais non réglés

Quand le propriétaire active une règle automatique du tableau, nous enregistrons sa condition, son action, sa colonne cible, son état activé, son auteur et l’heure de création. Terminer un élément peut remplir la cellule de date choisie avec la date du jour ; terminer ou ajouter un élément peut notifier le propriétaire ou le responsable. Le propriétaire et les personnes autorisées à modifier voient les réglages de la règle, et toute personne pouvant consulter le document voit les valeurs modifiées. Les réglages de répétition sont enregistrés avec l’élément. Lorsque l’échéance d’un élément terminé est passée et que l’occurrence suivante arrive, le système rouvre son statut, déplace son échéance et enregistre la date de l’occurrence précédente. Ces valeurs suivent les règles d’historique, de conservation et de suppression du document.

Les rappels de frais non réglés vérifient s’il reste des virements dans un tableau de partage de frais et ne préviennent que le membre propriétaire du document. La notification ne contient ni montants ni noms de participants. Nous enregistrons un identifiant du résultat du calcul pour ne pas répéter les rappels pour un même état. Ces rappels suivent les mêmes réglages de notification, de conservation et de suppression que les autres rappels. Vous pouvez désactiver les rappels dans les paramètres de votre compte ou mettre le document en sourdine.

Sommaire et contenu d’autres documents

Le sommaire est construit à partir des titres du document actuel. « Contenu d’un autre document » n’enregistre que des références au document source et à l’emplacement du texte. La source est lue avec les autorisations actuelles de chaque lecteur et affichée en lecture seule. Pouvoir consulter le document qui contient la référence ne permet pas de voir la source sans autorisation. Aucune copie du contenu source n’est enregistrée dans le texte, l’index de recherche, l’index IA ni l’historique du document qui le contient, et dupliquer ce document ne crée pas non plus de copie du contenu source. Si la source est supprimée ou si vous perdez l’accès, elle n’est plus affichée.

Fichiers joints et photos

Les fichiers et photos que les membres importent dans les documents sont traités comme du contenu de document. Les fichiers sont conservés sur un périphérique de stockage de fichiers (NAS) géré directement par l’exploitant de Doci, avec le nom, la taille, le type, l’auteur de l’importation et l’heure d’importation de chaque fichier. Lors de l’importation de photos (JPEG, PNG, WebP, GIF), nous supprimons les métadonnées telles que le lieu de prise de vue et les informations sur l’appareil photo, et créons séparément de petites images d’aperçu. Si une photo ne peut pas être lue, par exemple parce que le fichier est endommagé, elle peut être conservée comme fichier à télécharger uniquement, sans suppression de ses métadonnées. Nous ne supprimons pas les métadonnées des autres fichiers, comme les informations d’auteur dans les PDF ou les documents bureautiques : vérifiez-les avant l’importation. Seules les personnes qui peuvent voir le document (le propriétaire et les personnes ayant le droit de modifier, de commenter ou de consulter) peuvent prévisualiser et télécharger ses fichiers ; les liens de réponse aux votes et sondages n’y donnent pas accès. Chaque fichier peut peser jusqu’à 20 Mo, un document peut contenir jusqu’à 100 Mo de fichiers au total, et les fichiers exécutables ne sont pas acceptés.

Drive

Seul le membre qui a importé un fichier du Drive peut le voir et le télécharger. En revanche, un fichier lié à un document peut aussi être consulté et téléchargé, dans sa version actuelle, par toute personne qui peut voir ce document, et les nouvelles versions et les nouveaux noms se répercutent immédiatement dans tous les documents auxquels le fichier est lié. Les fichiers du Drive sont conservés sur le même dispositif de stockage de fichiers (NAS) que les pièces jointes des documents, avec leur nom, leur taille, leur type, l’heure d’importation, le marquage en favori, l’état dans la corbeille, les noms et emplacements des dossiers, l’indication d’un lien avec des documents ainsi que l’heure et le motif de la suppression d’un lien. Lorsqu’une nouvelle version est importée, les fichiers des versions précédentes sont aussi conservés, jusqu’aux 10 plus récents par fichier, et les versions et dossiers supprimés sont effacés de la même manière que les fichiers supprimés définitivement. Même lorsqu’un fichier du Drive est supprimé définitivement, le même fichier joint à un document reste une pièce jointe de ce document. Les métadonnées des photos sont traitées comme pour les pièces jointes.

Nous enregistrons, uniquement sous forme de numéros d’identification et sans nom ni contenu de fichier, quand et à la demande de qui un fichier du Drive a été importé, a reçu une nouvelle version, a été renommé, quand un dossier a été créé ou déplacé, quand un fichier a été lié à un document ou un lien supprimé, et quand des éléments ont été placés dans la corbeille, restaurés ou supprimés définitivement. Ces enregistrements sont conservés 1 an, puis supprimés. Une fois un fichier supprimé définitivement ou le compte de son propriétaire supprimé, ces enregistrements ne conservent que les numéros d’identification et la mention « Utilisateur supprimé » jusqu’à la fin de la durée de conservation.

Assistant IA

L’assistant IA est facultatif. Le traitement par IA a lieu lorsqu’un membre fait une demande dans le panneau de l’assistant IA, ou lorsqu’une fonction planifiée qu’il a activée lui-même (comme le résumé hebdomadaire de l’avancement) s’exécute. La demande, le texte sélectionné et le contenu du document dont la fonction a besoin, dans la limite de ce que le demandeur peut voir à ce moment-là (texte, tableaux, commentaires, résultats de votes et de sondages, décisions, texte des fichiers texte joints, etc.), sont alors envoyés à un modèle d’IA. Dans un document partagé, cela peut inclure le contenu rédigé par d’autres participants et les noms qui y figurent. Lorsqu’une fonction d’IA a besoin de photos ou de PDF joints, le serveur Doci en lit lui-même le texte (reconnaissance de texte intégrée à macOS) et envoie ce texte et, si nécessaire, la photo elle-même au modèle d’IA. Les invités peuvent uniquement utiliser les suggestions de modèles publics. En revanche, l’index de recherche des documents est créé pour tous les documents, que vous utilisiez ou non l’assistant IA (voir ci-dessous).

Le traitement par IA passe par OpenRouter, un service d’IA américain, et est effectué par les fournisseurs de modèles d’IA auxquels OpenRouter se connecte. OpenRouter choisit l’un des fournisseurs proposant le modèle et lui envoie la demande ; Doci ne limite pas séparément la conservation des données par les fournisseurs ni leur utilisation pour l’entraînement. Selon le fournisseur, le contenu des demandes et des réponses peut donc être conservé pendant un certain temps ou servir à améliorer ses propres services (y compris l’entraînement de modèles). Si le fournisseur qui traite une demande échoue, la demande est renvoyée uniquement au même fournisseur, jamais à un autre. Aucun identifiant de compte n’est joint aux demandes. Doci n’utilise ni les demandes à l’IA ni le contenu des documents pour entraîner l’IA. Le texte original des demandes n’apparaît pas dans les écrans d’administration courants ; les personnes habilitées qui enquêtent sur les erreurs peuvent consulter des journaux de diagnostic privés, selon les règles de conservation ci-dessous. Les résultats de l’IA sont d’abord présentés au demandeur sous forme d’aperçu et n’entrent dans le document que s’il les applique.

Pour les demandes qui nécessitent des informations à jour (création d’un document, ajout de contenu, etc.), l’IA construit une courte requête de recherche à partir de votre demande et du contenu du document, et un méta-moteur de recherche que Doci exploite sur son propre serveur (SearXNG) envoie cette requête à des moteurs de recherche externes, y compris hors de Corée. Les requêtes de recherche peuvent contenir ce qui est écrit dans votre demande ou dans le document (y compris des données personnelles comme des noms et des coordonnées) : n’écrivez donc rien dans votre demande que vous ne souhaiteriez pas voir envoyé à des moteurs de recherche externes. Les moteurs de recherche reçoivent la requête depuis le serveur de Doci ; les informations de votre compte et de votre appareil ne leur sont donc pas transmises. Pour chaque demande, le serveur de Doci ouvre et lit au maximum 3 pages web très pertinentes, et leur texte est supprimé à la fin du traitement. Les résultats qui s’appuient sur des ressources web indiquent les sources utilisées (titre, lien et date de recherche). La recherche web ne peut pas être désactivée séparément.

Pour les recommandations de modèles, le sujet que vous saisissez (invités compris) et les titres et résumés des modèles publics ; pour la recherche par sens, les documents associés et l’interrogation de vos documents, les termes recherchés : tout cela est envoyé à la fonction d’embeddings d’OpenRouter (modèle bge-m3), qui le transforme en listes de nombres représentant le sens. Pour cette recherche de documents, Doci envoie à la fonction d’embeddings d’OpenRouter, et indexe à chaque création ou modification de document, le titre et les extraits de texte visibles avec le droit de consultation de tous les documents qui ne sont pas dans la corbeille (documents de membres et d’invités), que l’assistant IA soit utilisé ou non. Les résultats de recherche n’affichent que les documents que le membre qui cherche peut ouvrir à ce moment-là.

Les noms d’affichage des invités peuvent aussi figurer dans les commentaires ou les informations de modification lus par l’IA. Les noms des participants liés comme responsables sont inclus dans l’index de recherche du document et envoyés au service d’embeddings d’OpenRouter.

Conservation et suppression des enregistrements de l’IA

Les demandes, le contenu des documents et les résultats d’outils utilisés dans une tâche d’IA ne sont conservés que pendant le traitement de la tâche, et un résultat prêt ne peut être ouvert ou appliqué que pendant 30 minutes s’il s’agit d’une réponse, ou 15 minutes s’il s’agit d’une proposition de modification du document. Lorsqu’une tâche est appliquée, annulée, échoue ou expire, le contenu de la demande et du résultat est supprimé, et le journal de la tâche sans contenu (fonction, statut, heures et identifiants des résultats appliqués) est supprimé après 30 jours. Les résultats que vous appliquez deviennent du contenu du document et suivent les règles de conservation des documents ; les informations nécessaires pour annuler une modification par l’IA sont conservées 30 jours. Dans la conversation à côté du document, vos demandes (jusqu’à 1 000 caractères) et les réponses (jusqu’à 1 600 caractères) ne sont visibles que sur l’appareil et le compte qui ont démarré la conversation, et sont supprimées 30 jours après leur envoi. Vous pouvez aussi supprimer vous-même une conversation. Les aperçus de résumé hebdomadaire de l’avancement qui n’ont pas été appliqués sont supprimés après 7 jours. L’index de recherche de tous les documents (titres, extraits de texte et listes de nombres) est conservé dans la base de données de Doci, recréé lorsqu’un document change, et supprimé lorsque le document est déplacé dans la corbeille ou supprimé définitivement. Le texte extrait des fichiers texte pour être lu par l’IA est supprimé avec le fichier. Les statistiques d’utilisation ne conservent que la fonction, le statut, la durée, le nombre de caractères, le nombre de jetons, le coût et la réussite ou non de la recherche, sans aucun contenu de demande, et elles ne peuvent plus être rattachées à personne une fois le journal de la tâche supprimé ou le membre parti. Par ailleurs, la date de votre première utilisation de l’IA et la fonction utilisée sont conservées dans les enregistrements des « statistiques d’utilisation » avec un identifiant pseudonymisé pendant 13 mois, et supprimées lorsque vous quittez le service. Lorsque vous quittez Doci, vos conversations avec l’IA, vos journaux de tâches et les informations d’annulation sont également supprimés. Ces données peuvent aussi subsister jusqu’à 30 jours dans les sauvegardes de la base de données destinées à la reprise après sinistre. Afin d’enquêter sur les erreurs et d’éviter qu’elles se reproduisent, nous conservons des journaux de diagnostic distincts pour les problèmes de traitement par l’IA, hors pannes des fournisseurs. Ils peuvent inclure la demande d’origine et les conditions de saisie, les identifiants des cibles (documents, blocs, etc.), une partie de la sortie du modèle en échec, l’étape et le code de l’erreur, l’heure de survenue et la version du logiciel. Les jetons d’authentification, les cookies et les secrets des liens de modification ou de récupération sont masqués. Les journaux sont stockés dans des fichiers du serveur à accès restreint pendant 30 jours au plus et peuvent être supprimés plus tôt lorsque les limites de stockage sont atteintes. Ils ne servent qu’à enquêter sur les problèmes et à les corriger, et seules les personnes habilitées peuvent les consulter. Après la suppression d’un compte, ces journaux sont supprimés dans cette même durée de conservation distincte ; les demandes de suppression peuvent être envoyées via le contact Doci. Lorsque les quotas quotidiens d’IA s’appliquent, nous enregistrons, pour chaque compte et pour la période concernée, le nombre de résultats obtenus et de brouillons, le fuseau horaire, l’heure de réinitialisation et la prise en compte de chaque tâche. Ces compteurs ne contiennent pas le contenu des demandes, sont remis à zéro au début de la période d’utilisation suivante et sont supprimés lorsque vous fermez votre compte.

Sous-traitance du traitement par IA et transfert hors de Corée

Pour fournir l’assistant IA, Doci confie le traitement de contenus pouvant contenir des données personnelles à des prestataires situés hors de Corée, comme indiqué ci-dessous.

• Noms inclus dans les données transférées : les noms des responsables dans l’index de recherche des documents et les noms d’affichage des invités dans les commentaires ou les informations de modification nécessaires à une demande à l’IA peuvent aussi être inclus.
• Destinataires : OpenRouter, Inc. (169 Madison Ave #2404, New York, NY 10016, USA · contact confidentialité privacy@openrouter.ai) et un fournisseur de modèles d’IA choisi par OpenRouter pour chaque demande. Actuellement, les fournisseurs sont Reka, Wafer, DekaLLM, Ionstream, DeepInfra, Phala, Mancer, Parasail, Chutes, AkashML, CoreWeave, Novita, Alibaba, Cloudflare et Venice pour le modèle de chat (Qwen3.8 27B), et Parasail et DeepInfra pour les embeddings (bge-m3). La liste peut changer et peut être consultée sur la page des fournisseurs d’OpenRouter pour chaque modèle.
• Pays de destination : États-Unis (OpenRouter traite les données dans des régions Google Cloud aux États-Unis). La plupart des fournisseurs de modèles sont aussi des entreprises américaines, mais certains ont leur siège dans un autre pays (par exemple Alibaba en Chine), certains n’indiquent pas où ils traitent les données, et certains sont des fournisseurs décentralisés qui traitent les données sur des serveurs répartis dans plusieurs pays.
• Quand et comment : envoyées via une connexion chiffrée (HTTPS) à chaque demande d’une fonction d’IA ou exécution d’une fonction planifiée que vous avez activée, et à chaque création ou mise à jour de l’index des documents.
• Éléments transférés : demandes à l’IA et texte sélectionné, contenu du document nécessaire à une fonction (pouvant contenir des données personnelles comme le texte écrit par d’autres participants et les noms figurant dans le document), texte lu dans les photos et PDF joints et, si nécessaire, les photos, thèmes de recommandation de modèles et, pour l’index de recherche, les titres et extraits de texte de tous les documents ainsi que les termes recherchés. Les identifiants de compte ne sont pas envoyés.
• Finalité : produire les résultats de l’assistant IA, recommander des modèles, rechercher par sens et trouver des documents associés
• Durée de conservation et d’utilisation : conformément à son accord de traitement des données, OpenRouter supprime le contenu des requêtes et des réponses juste après la génération de la réponse, et ne conserve que des données d’utilisation sans contenu (nombre de jetons, durée de traitement, etc.) pendant la durée exigée par ses obligations commerciales et légales. La durée de conservation des données par les fournisseurs de modèles et la manière dont ils peuvent les utiliser (y compris pour l’entraînement) relèvent de la politique propre à chaque fournisseur, et Doci ne les restreint pas séparément. Vous pouvez consulter la politique de chaque fournisseur sur la page des fournisseurs de chaque modèle chez OpenRouter.
• Comment refuser et conséquences d’un refus : si vous n’utilisez pas l’assistant IA, aucune donnée n’est envoyée à cause de demandes à l’IA. Vous ne pouvez alors pas utiliser les fonctions d’IA, mais toutes les fonctions de document continuent de fonctionner. Dans un document partagé, vos écrits peuvent être inclus lorsqu’un autre participant utilise l’IA ; ne partagez donc pas le document si vous ne le souhaitez pas. L’envoi destiné à l’index de recherche a lieu pour tous les documents, que l’IA soit utilisée ou non, et il n’existe pour l’instant aucun moyen de refuser uniquement cela. Si vous ne le souhaitez pas, supprimez le document (le déplacer dans la corbeille supprime aussi immédiatement son index enregistré) ou faites-le-nous savoir via le formulaire de contact de Doci.
• Moteurs de recherche externes : pour les recherches sur le web, les requêtes construites à partir de votre demande et du contenu du document sont envoyées à des moteurs de recherche et d’actualités externes (DuckDuckGo, Naver, Google Actualités, Bing Actualités, Wikipédia, Wikinews). Les requêtes de recherche peuvent contenir des informations personnelles.

Accès opérateur

Pour assurer le fonctionnement du service (statistiques d’utilisation, traitement des demandes et signalements, vérification des incidents), un opérateur désigné peut consulter la liste des membres (pseudo, date d’inscription, heure de dernière connexion, mode de connexion, langue et nombre de documents) et la liste des documents (titre, mode de création, statut, heures de création et de modification, nombre de participants, de commentaires et de liens de partage, nombre et taille des fichiers). L’opérateur ne voit ni le contenu des documents, ni les noms et contenus des fichiers, ni les secrets des liens de partage, et chaque consultation de l’opérateur est enregistrée. Les statistiques quotidiennes ne sont conservées que sous forme de totaux ne permettant d’identifier personne, et les données de statistiques d’utilisation ne sont jamais consultées personne par personne, sauf pour traiter votre propre demande de consultation ou de suppression (voir « Statistiques d’utilisation »).

Statistiques d’utilisation

Pour améliorer le service et produire des statistiques d’utilisation, les serveurs de Doci enregistrent eux-mêmes quelques étapes d’utilisation : l’inscription, la création d’un premier document (y compris s’il est parti d’un document vierge, d’un modèle, d’une copie ou de l’IA), la création d’un partage (lien, lien de réponse, invitation, équipe ou espace de groupe), la première ouverture d’un lien de partage, l’utilisation de Doci un jour donné (une fois par jour, les jours où vous ouvrez un écran de Doci ou un document, ou faites quelque chose dans un document), la première utilisation d’un tableau de tâches et la première utilisation de l’IA (votre première demande à l’IA).

Ces enregistrements proviennent de requêtes que Doci traite déjà pour fournir le service aux membres et aux invités, et ils ne sont conservés qu’avec des identifiants de compte ou d’appareil transformés à l’aide d’une clé secrète distincte. Nous les utilisons donc de façon complémentaire, dans la limite de ce qui est raisonnablement lié à la finalité initiale de la collecte, en vertu de l’article 15, alinéa 3, de la loi coréenne sur la protection des informations personnelles. Les critères appliqués par Doci au titre de l’article 14-2 de son décret d’application : l’usage est lié à la finalité initiale de fournir le service aux membres et aux invités, il est prévisible au regard du fonctionnement du service, il ne vous cause aucun préjudice, les identifiants sont stockés transformés avec une clé secrète distincte, et il ne contient aucun contenu de document.

Ces enregistrements ne contiennent que l’étape et son heure (à la minute près), la langue d’affichage, le statut de membre ou d’invité, l’indication que le compte ou l’appareil utilisait déjà Doci avant le début de ces enregistrements, la façon dont un document a été créé (vierge, modèle, copie ou IA), la façon dont quelque chose a été partagé (lien, lien de réponse, invitation, équipe ou espace de groupe) et si un lien a été recréé, la première fonction d’IA utilisée, ainsi qu’un identifiant pseudonymisé propre à chaque personne (l’identifiant de votre compte ou de votre appareil transformé à l’aide d’une clé secrète). Ils n’indiquent pas de quel document, lien, invitation ou équipe il s’agit. Les enregistrements des statistiques d’utilisation ne contiennent jamais les titres ni le contenu des documents, les secrets des liens, les noms ou adresses e-mail, les adresses IP, les informations sur le navigateur ou la localisation. Nous n’utilisons aucun outil d’analyse tiers et ne créons aucun nouveau cookie ni stockage dans le navigateur ; pour ces statistiques, nous utilisons aussi l’identifiant d’appareil contenu dans le cookie existant, ou dans les informations de connexion de l’application, qui sert à la connexion et à la vérification des appareils, ainsi que votre réglage de langue d’affichage. Si vous vous connectez depuis l’Espace économique européen (EEE), le Royaume-Uni ou la Suisse, ou si votre navigateur ou votre application envoie le signal Global Privacy Control (GPC, un signal de refus du suivi), nous n’enregistrons pas de statistiques d’utilisation.

Lorsque vous vous connectez, les enregistrements créés sur cet appareil jusqu’à votre connexion sont rattachés au compte connecté à ce moment-là. Si vous importez dans votre compte, avec sa clé de récupération, un document créé par un invité, les enregistrements de cet invité sont aussi rattachés à votre compte. L’exploitant désigné n’a pas de vue personne par personne : il voit seulement les totaux par semaine de début et l’état des enregistrements par jour. Tant que les utilisateurs sont peu nombreux, le total d’une semaine peut toutefois refléter les enregistrements d’une ou deux personnes seulement. Le nombre de personnes ayant ouvert un lien de partage n’est lui aussi visible que sous forme de total et n’est jamais montré au propriétaire du document.

Les enregistrements des jours d’utilisation de Doci et de la première ouverture d’un lien de partage sont supprimés au bout de 90 jours, et les autres au bout de 13 mois. Pour les totaux hebdomadaires de plus de 13 mois, nous ne conservons que les totaux globaux d’au moins 5 personnes. Si vous partez, nous supprimons vos enregistrements ainsi que ceux créés avant la connexion et reliés à votre compte, et les totaux hebdomadaires dans lesquels vous étiez compté sont recalculés pour toute la période où les enregistrements sous-jacents sont conservés. Les totaux hebdomadaires plus anciens ne subsistent que sous forme de nombres de personnes, et les totaux de semaine de départ de moins de 5 personnes sont masqués. Ils peuvent subsister jusqu’à 30 jours dans les sauvegardes de la base de données destinées à la reprise après sinistre, et si nous restaurons à partir d’une telle sauvegarde, ils sont supprimés à nouveau. Les enregistrements d’appareils qui ne se sont jamais connectés ne sont pas liés à un compte de membre : nous ne pouvons donc pas confirmer par le formulaire de contact qu’ils sont les vôtres, et ils sont supprimés à la fin de leur durée de conservation. Les invités peuvent arrêter l’enregistrement en activant le Global Privacy Control (GPC) dans leur navigateur. Lorsque vous utilisez l’application sans vous connecter, il n’existe pas encore de réglage pour arrêter l’enregistrement. Les membres peuvent demander via le formulaire de contact de Doci à consulter, supprimer ou arrêter (ne plus enregistrer) leurs données de statistiques d’utilisation.

Statut de vérification de l’e-mail

Lorsqu’un fournisseur de connexion indique si l’adresse e-mail est vérifiée, nous enregistrons cet état et l’heure de la vérification pour chaque fournisseur. Vous pouvez aussi vous inscrire avec un fournisseur qui n’indique aucun état de vérification. Ces enregistrements sont supprimés lorsque vous fermez votre compte.

Limites de requêtes

Pour empêcher les inscriptions répétées et les démarrages en invité abusifs, nous transformons les adresses IP et le cookie d’appareil existant en empreintes pseudonymisées afin de limiter le nombre de tentatives. Les inscriptions sont limitées à 30 par jour et par IP et à 5 par jour et par appareil ; les sessions invitées à 60 par heure et par IP et à 20 par jour et par appareil. Nous n’enregistrons pas l’adresse IP brute dans ces données, nous n’utilisons pas ces empreintes pour les statistiques d’utilisation et nous ne collectons pas d’empreinte de navigateur. Les empreintes sont supprimées au bout de deux jours.

Stockage du navigateur et liens de partage

Nous conservons votre session de connexion, les informations d’identification de l’appareil, les enregistrements des accès récents aux documents et les brouillons non enregistrés dans des cookies et dans le stockage du navigateur. Les secrets des liens sont conservés sur le serveur sous forme de hachage. Si vous effacez les données de votre navigateur, vous pouvez perdre les enregistrements d’accès en tant qu’invité ou les saisies non enregistrées. Les photos et fichiers consultés dans des documents peuvent rester dans le cache de votre navigateur (l’autorisation est revérifiée à chaque ouverture). Sur un appareil utilisé par plusieurs personnes, effacez les données du navigateur lorsque vous avez terminé. Nous n’affichons ni publicité ni outil d’analyse tiers sur les écrans des documents. Les statistiques d’utilisation (voir « Statistiques d’utilisation ») sont enregistrées directement par les serveurs de Doci. Pour cela, nous ne créons aucun nouveau cookie ni stockage dans le navigateur ; nous utilisons aussi, pour ces statistiques, l’identifiant d’appareil contenu dans le cookie existant, ou dans les informations de connexion de l’application, qui sert à la connexion et à la vérification des appareils, ainsi que votre réglage de langue d’affichage.

Les choix d’affichage, comme les vues de tableau et les titres réduits, sont mémorisés dans le stockage du navigateur de cet appareil pour rouvrir la même vue. Vous pouvez les effacer avec « Réinitialiser les vues mémorisées » ou en supprimant les données du navigateur.

« Afficher le titre dans l’aperçu du lien » est désactivé par défaut. Si le propriétaire l’active pour un lien, toute personne disposant de ce lien, ainsi que les services d’aperçu de liens des messageries comme KakaoTalk, peuvent voir le titre du document (ou le titre de la question et l’heure de clôture pour un lien de vote ou de sondage). Le contenu et les noms des participants ne sont pas affichés. Si vous le désactivez, révoquez le lien ou le régénérez, Doci cesse d’afficher le titre, mais les aperçus déjà créés par une messagerie peuvent rester sur ce service.

Cet appareil mémorise aussi la colonne de date choisie pour les chronologies, les colonnes de catégorie et de valeur des graphiques, la forme du graphique et les choix de synthèse. Ces choix d’affichage ne sont pas enregistrés séparément sur le serveur ni partagés avec d’autres personnes ; vous pouvez les effacer avec « Réinitialiser les vues mémorisées » ou en supprimant les données du navigateur.

Envoi de partages et fichiers d’agenda

Quand un propriétaire choisit « Copier avec le titre » ou « Envoyer », l’appareil compose un message de partage avec le titre du document ou de la question, l’échéance du vote ou du sondage le cas échéant, et l’adresse contenant le secret du lien. Le message passe par le presse-papiers ou la fenêtre de partage de l’appareil que vous choisissez et n’est pas enregistré séparément sur le serveur de Doci. Les destinataires et l’application choisie peuvent voir le titre et le lien envoyés. Supprimer le document dans Doci ne supprime pas les messages déjà copiés ou envoyés ; leur conservation et leur suppression relèvent des destinataires et de l’application.

« Envoyer par KakaoTalk » n’est disponible que lorsque le partage KakaoTalk est activé. Lorsque le propriétaire l’utilise, le navigateur charge le script de partage de Kakao, et Kakao reçoit l’adresse IP, les informations du navigateur, ainsi que le titre, le texte d’accompagnement et le lien (secret compris) à envoyer. Le script de partage de Kakao peut enregistrer des informations dans le navigateur de cet appareil. Le message envoyé est visible par son destinataire, et la conservation et la suppression des informations restant chez Kakao et sur l’appareil dépendent des politiques de ce service et des réglages du navigateur. Supprimer un document Doci ou votre compte n’efface pas les messages déjà envoyés.

Les fichiers ICS téléchargés pour ajouter un événement à un agenda sont créés sur votre appareil et ne sont pas stockés séparément sur le serveur de Doci. Ils contiennent le titre du document, le nom du champ d’information, la date et l’heure, mais ni lien de partage, ni liste de participants, ni corps du document. Les données personnelles saisies directement dans le titre ou le nom du champ peuvent y figurer. Les personnes qui reçoivent le fichier ou qui ont accès à l’agenda dans lequel vous l’importez peuvent en voir le contenu. Selon les paramètres de l’agenda, il peut être synchronisé avec un service externe. Supprimer un document ou quitter le service ne supprime pas les fichiers téléchargés ni les événements de l’agenda ; gérez-les vous-même sur votre appareil et dans votre agenda.

Demandes de conservation et de suppression

Les informations du compte sont conservées tant que nous fournissons le service aux membres et sont supprimées dès que vous fermez votre compte. Vous pouvez fermer votre compte immédiatement, dans Compte, au sein de Mes paramètres, en saisissant une phrase de confirmation ; vous êtes alors déconnecté de tous vos appareils. La fermeture du compte supprime votre connexion de compte, votre pseudo, vos paramètres et vos enregistrements de consentement, votre photo de profil, l’organisation de votre bibliothèque, Mes modèles et vos ensembles enregistrés, les documents dont vous êtes propriétaire (y compris les documents partagés et ceux de la corbeille), vos commentaires et vos réponses aux votes et sondages dans les documents d’autres personnes, les demandes envoyées depuis votre compte et vos statistiques d’utilisation. Si d’autres personnes ont répondu à l’un de vos commentaires, il ne reste qu’un espace « Commentaire supprimé » vidé de son contenu. Le texte, les tableaux, les enregistrements et les fichiers que vous avez ajoutés aux documents d’autres personnes font partie de ces documents et restent donc en place ; l’auteur y apparaît sans nom, sous la mention « Utilisateur supprimé ». Les documents d’invité laissés sur un appareil où vous ne vous êtes jamais connecté ne font pas partie de votre compte et restent donc. Ce qui prend plus de temps est supprimé en quelques minutes. Lorsque vous changez ou supprimez votre photo de profil, elle cesse immédiatement d’être affichée et est effacée du stockage de fichiers dans les 24 heures. Les documents placés dans la corbeille peuvent être restaurés pendant 30 jours, mais pas après leur suppression définitive. Les documents créés sans connexion sont placés dans la corbeille si personne ne les ouvre pendant 90 jours, puis supprimés définitivement 30 jours plus tard. Lorsque vous vous connectez sur un appareil, les documents créés sur cet appareil sans connexion sont déplacés dans la bibliothèque de votre compte et conservés ensuite comme documents de membre. Les fichiers d’un document placé dans la corbeille sont conservés jusqu’à la date limite de restauration mais ne peuvent pas être ouverts, et ils sont effacés du stockage de fichiers dans les 24 heures suivant la suppression définitive. Les fichiers importés dans un document mais jamais utilisés sont supprimés au bout de 24 heures, et les fichiers retirés d’un document sont conservés 30 jours pour permettre l’annulation et la restauration depuis l’historique, puis supprimés. Si un document créé par copie utilise encore le même fichier, ce fichier n’est supprimé qu’une fois retiré de ce document également. Lorsque vous fermez votre compte, les fichiers que vous avez importés mais jamais utilisés dans un document sont supprimés, et les fichiers des documents et de la photo de profil supprimés avec votre compte sont effacés du stockage de fichiers dans les 24 heures. Les copies de sauvegarde de la base de données conservées pour la reprise après incident sont supprimées 30 jours après leur création ; si nous restaurons une sauvegarde avant ce délai, les enregistrements de fermeture de compte et de suppression définitive sont appliqués à nouveau avant l’utilisation des données restaurées. Si nous commençons à sauvegarder le stockage de fichiers, nous ajouterons à cette politique la durée de conservation des copies de sauvegarde. Les jetons de connexion externe sont stockés chiffrés et révoqués lorsque le compte est supprimé ; une révocation qui échoue est retentée pendant 7 jours au maximum. Votre compte Google ou Naver n’est pas supprimé. Les documents créés dans une équipe font toutefois exception. Si un autre membre actif de l’équipe reste lorsque vous supprimez votre compte, la propriété passe à l’administrateur de l’équipe ou à un successeur, et les documents, pièces jointes et collections de l’équipe restent dans l’équipe. L’administrateur peut aussi transférer la propriété des documents de l’équipe. Les documents personnels importés dans une équipe suivent leurs règles d’origine de propriété et de suppression. S’il ne reste aucun membre éligible dans l’équipe, ils sont supprimés comme indiqué dans la confirmation de suppression du compte.

Les noms d’affichage des invités, les réponses aux sondages de présence et aux votes de date, ainsi que le contenu des partages de frais sont conservés avec le document et supprimés avec lui lorsqu’il est supprimé définitivement. Les documents placés dans la corbeille peuvent être restaurés pendant 30 jours. Les documents appartenant à un invité que personne n’ouvre pendant 90 jours sont placés dans la corbeille et supprimés définitivement 30 jours plus tard. Cette règle des 90 jours ne s’applique pas séparément aux noms et réponses d’invités dans le document d’une autre personne. Lorsqu’un membre supprime son compte, nous supprimons ses propres documents ainsi que ses commentaires, réponses aux votes et réponses aux sondages dans les documents d’autres personnes. Les commentaires qui ont reçu des réponses d’autres personnes ne subsistent que sous forme d’emplacements vides. Les informations supprimées peuvent subsister jusqu’à 30 jours dans les sauvegardes de la base de données destinées à la reprise après sinistre, à compter de leur création. Les documents créés dans une équipe font toutefois exception. Si un autre membre actif de l’équipe reste lorsque vous supprimez votre compte, la propriété passe à l’administrateur de l’équipe ou à un successeur, et les documents, pièces jointes et collections de l’équipe restent dans l’équipe. L’administrateur peut aussi transférer la propriété des documents de l’équipe. Les documents personnels importés dans une équipe suivent leurs règles d’origine de propriété et de suppression. S’il ne reste aucun membre éligible dans l’équipe, ils sont supprimés comme indiqué dans la confirmation de suppression du compte.

La suppression définitive d’un document supprime aussi ses notifications, ses paramètres de notification propres, ses enregistrements anti-doublon des rappels et ses enregistrements de dernière consultation. La suppression de votre compte supprime les notifications reçues et vos paramètres de notification, les enregistrements de dernière consultation, les espaces de groupe que vous avez créés avec leurs liens, listes de documents et enregistrements de participation, ainsi que vos enregistrements de participation dans d’autres espaces. Dans les notifications conservées chez d’autres personnes, votre activité est attribuée à « Utilisateur supprimé ». Les documents créés dans une équipe font toutefois exception. Si un autre membre actif de l’équipe reste lorsque vous supprimez votre compte, la propriété passe à l’administrateur de l’équipe ou à un successeur, et les documents, pièces jointes et collections de l’équipe restent dans l’équipe. L’administrateur peut aussi transférer la propriété des documents de l’équipe. Les documents personnels importés dans une équipe suivent leurs règles d’origine de propriété et de suppression. S’il ne reste aucun membre éligible dans l’équipe, ils sont supprimés comme indiqué dans la confirmation de suppression du compte.

Les fichiers de la corbeille du Drive sont supprimés du stockage de fichiers au bout de 30 jours, et les fichiers du Drive supprimés définitivement dans les 24 heures. Lorsque vous supprimez votre compte, tous les fichiers de votre Drive (corbeille comprise) sont supprimés.

Contact et exercice de vos droits

Vous pouvez supprimer vous-même votre compte (et vos informations) dans Mes paramètres. Envoyez via le formulaire de contact Doci vos demandes d’accès ou de rectification de vos données personnelles, vos demandes de consultation, de suppression ou d’arrêt du traitement (arrêt de l’enregistrement) de vos historiques de statistiques d’utilisation, ainsi que toute autre demande relative au compte. Le contenu de votre demande et, si vous êtes connecté, l’identifiant de votre compte sont conservés 90 jours pour traiter la demande ; les demandes envoyées depuis votre compte sont supprimées avec lui. N’envoyez pas de mots de passe, de codes de vérification ni de numéros d’identité nationaux.