Politique de confidentialité

Politique de confidentialité de PalmaPlan

Version du 12/10/2026.

Cette page dit ce que PalmaPlan sait de vous, pourquoi, combien de temps, et ce que vous pouvez en faire. Elle est écrite pour être lue jusqu'au bout : en français, sans formules creuses, et sans rien promettre que le produit ne fasse pas.

Qui est responsable

Xavier Baril, personne physique, en France. PalmaPlan est un projet individuel.

Contact : contact@palmaplan.com — pour exercer vos droits, poser une question sur cette page, ou signaler un problème de sécurité. Une seule adresse, parce qu'une seule personne la relève.

Où sont vos données. PalmaPlan est en version bêta, avant sa version 1.0, et il est en ligne sur palmaplan.com. Le service tourne sur un serveur loué à OVH, dans un centre de données en France. Le courrier qu'il envoie part par Scaleway, à Paris, et c'est aussi chez Scaleway, à Paris, que sont déposées les copies de nos sauvegardes — chiffrées avant de quitter le serveur. Ce sont nos deux sous-traitants : ils traitent vos données pour notre compte, sous un contrat qui les y oblige, et la section 6 dit exactement ce que chacun voit. Il n'y a pas de service d'analyse ni de publicité : personne d'autre ne traite vos données pour nous. Si vous choisissez « Continuer avec Google », Google intervient aussi, pour son propre compte (§ 8).

En bref

Nous ne vendons rien, nous ne revendons rien, nous ne faisons aucune publicité. Il n'y a rien à monétiser dans vos données : ce serait un autre produit.
Aucun traceur, aucune mesure d'audience, aucun outil tiers. Votre navigateur ne contacte personne d'autre que PalmaPlan. C'est aussi pourquoi vous n'avez pas vu de bandeau cookies.
Aucun profilage, aucune décision automatisée vous concernant.
Vos données sont stockées dans l'Union européenne — en France chez OVH, à Paris chez Scaleway —, et ces deux sous-traitants sont les seuls à les traiter pour nous (§ 6).
Vous exportez tout d'un bouton, et vous supprimez votre compte d'un bouton.
La suppression de votre compte efface tout ce qui vous identifie — mais ce que vous avez écrit dans les plannings des autres y reste, signé « Utilisateur supprimé ». Nous vous expliquons pourquoi, en détail, plus bas : c'est le point le plus important de cette page.

1. Ce que nous collectons, et pourquoi

Votre compte

Votre adresse e-mail, votre nom, et votre mot de passe — dont nous ne gardons jamais le mot de passe lui-même, seulement une empreinte impossible à remonter. Si vous avez choisi « Continuer avec Google », nous gardons aussi l'identifiant que Google nous transmet. C'est ce qui vous permet de vous connecter et d'être reconnu par les personnes avec qui vous travaillez. Sans cela, il n'y a pas de service.

Vos sessions

Quand vous vous connectez, votre navigateur reçoit un cookie ; nous en gardons une empreinte, la date, et le nom du navigateur que vous déclarez, pour que vous puissiez voir et fermer vos sessions ouvertes depuis votre profil.

Une adresse e-mail est à qui la prouve

Un compte ne tient vraiment son adresse qu'une fois qu'elle est prouvée : par le lien de vérification reçu dans la boîte, par un lien « mot de passe oublié », ou par Google qui certifie l'adresse. Quelqu'un peut donc avoir créé un compte à votre adresse sans l'avoir prouvée. Le jour où vous la prouvez, ce compte ne lui reste pas :

s'il est vide — aucun planning, aucun accès au planning d'un autre, aucune trace dans un journal des modifications, aucune invitation, aucun commentaire, aucun jeton ni agent, aucune absence, aucun signalement : rien de ce que compte la liste écrite dans notre code —, il est effacé, comme on efface un compte (§ 5), et vous repartez sur un compte neuf à votre adresse. Les invitations qui avaient été adressées à cette adresse vous restent : elles sont à l'adresse, pas au compte effacé ;
sinon, vous le reprenez, avec ce qu'il contient : ses sessions sont fermées, ses agents et ses jetons révoqués, son lien Google retiré, et l'ancien mot de passe ne vaut plus rien — vous en choisissez un, ou, si vous passez par Google, le compte n'a plus de mot de passe du tout et votre Google seul l'ouvre. L'écran vous le dit à l'arrivée, et vous invite à regarder ce que le compte contient s'il n'était pas le vôtre.

C'est ce que le produit faisait déjà depuis le 30/09/2026 par « mot de passe oublié » (la reprise du compte), sans que cette page le dise ; depuis le 05/10/2026, il le fait par les trois voies, et il efface le compte quand il est vide. Si vous créez un compte à une adresse qui n'est pas la vôtre, sachez donc qu'il peut être effacé, ou repris avec ce que vous y avez mis, par la personne à qui elle appartient.

Le lien de vérification, ouvert ailleurs que dans une session du compte, vous redemande le mot de passe de ce compte — ou, si vous ne le connaissez pas parce que ce compte n'est pas le vôtre, vous en fait choisir un et prend l'adresse comme ci-dessus. Un compte sans mot de passe (né de Google) n'a rien à redemander ; dans une session du compte, un clic suffit.

Ce que vous mettez dans vos plannings

Les lignes, les blocs, les dates, les colonnes, les notes, les fichiers que vous joignez, les commentaires que vous écrivez. C'est votre contenu : nous ne le lisons pas, nous n'en tirons rien, nous le stockons pour vous le rendre — avec une seule exception, que vous seul décidez : l'instantané que vous pouvez joindre au signalement d'un bug (voir « Vos signalements et vos idées » ci-dessous). Si vous y mettez des informations sur d'autres personnes — un nom sur une tâche, par exemple —, c'est vous qui en décidez et vous qui en répondez ; nous ne sommes que le support.

Le journal des modifications

Chaque modification d'un planning est enregistrée : qui, quoi, quand. Ce n'est pas une surveillance, c'est le mécanisme du produit : c'est ce qui permet d'annuler, de voir l'historique, de revenir à un état passé, et de voir en direct ce que font les autres sur le même planning. Sans ce journal, l'annulation et l'historique n'existeraient pas.

Le partage

Quand vous êtes membre d'un planning, nous gardons votre rôle, qui vous a invité et quand. Les autres membres d'un planning voient votre nom et votre adresse e-mail dans la liste des membres : c'est la condition d'un partage entre personnes identifiées.

Vos absences

Vous pouvez dire quand vous ne serez pas là : une période (des congés du 4 au 22 août), un jour ou une demi-journée, ou un jour qui revient (tous les vendredis, un vendredi sur deux). Nous gardons les dates et un motif choisi dans une liste fermée — congés, temps partiel, formation, autre. Il n'y a pas de champ libre, et jamais de motif médical : un outil de planning n'a pas besoin de savoir pourquoi vous êtes absent, seulement que vous l'êtes, et une donnée de santé n'a rien à faire ici.

Les autres membres des plannings que vous partagez voient vos absences et leur motif, comme les agents qu'ils ont autorisés : c'est à cela qu'elles servent, voir quel travail tombe quand quelqu'un n'est pas là. En dehors d'eux et de l'administrateur de l'instance, personne ne les voit — pas même quelqu'un dont un planning porte une ligne à votre nom, si vous n'en êtes pas membre. Une exception, que seul le propriétaire d'un planning décide : s'il publie ce planning et coche « Montrer l'agenda des absences » (décochée par défaut), quiconque a le lien voit votre nom affiché et vos dates d'absence sur ce planning — jamais le motif, jamais votre adresse e-mail, jamais l'identifiant de votre compte ; décocher la case ou dépublier les retire aussitôt. Vous les modifiez quand vous voulez ; l'administrateur de l'instance peut le faire aussi, le propriétaire d'un planning non. Une absence ne déplace rien dans les plannings : elle signale un risque.

Les invitations

Quand vous invitez quelqu'un par e-mail, nous gardons son adresse le temps que l'invitation vive. C'est l'adresse d'une personne qui ne nous a rien demandé : nous ne l'utilisons que pour lui envoyer cette invitation, jamais pour autre chose, et elle est effacée peu après. Si vous êtes cette personne et que vous voulez que votre adresse disparaisse tout de suite, écrivez-nous : c'est fait le jour même.

Les notifications et le courrier du soir

Nous vous prévenons de ce qui s'est passé sur vos plannings en votre absence, dans le produit et — si vous le souhaitez — par un message récapitulatif une fois par jour. Ce sont des messages de service : ils ne disent que ce qui est arrivé sur vos plannings, ils ne proposent rien, ils sont en texte simple, sans image et sans lien de suivi — nous ne savons pas si vous les ouvrez. Vous pouvez couper ce courrier dans vos préférences. Ces messages, comme les invitations et les liens de vérification ou de réinitialisation, partent par notre fournisseur de courrier, Scaleway (§ 6).

Les agents que vous autorisez

PalmaPlan peut être piloté par un agent — un assistant, un script, un client MCP. Si vous en autorisez un, nous gardons de quoi le reconnaître et la trace de ce qu'il a écrit dans vos plannings. Autoriser un agent, c'est lui montrer vos plannings : ce qu'il en fait ne dépend plus de nous, et vous pouvez retirer son accès à tout moment depuis vos préférences.

Vos signalements et vos idées

Quand quelque chose ne marche pas, vous pouvez le signaler depuis l'écran : « Signaler un problème », dans le menu de votre compte, dans le menu de l'éditeur, ou sous un message d'erreur. Quand une idée vous vient, vous pouvez la proposer : « Proposer une idée », dans le menu de votre compte et dans « Mes signalements et idées ». C'est le même formulaire, qui s'ouvre sur un choix : « Signaler un bug » ou « Proposer une idée ». C'est un geste que vous faites ; rien n'est envoyé sans lui.

Pour un bug, nous gardons ce que vous écrivez — ce qui s'est passé, ce que vous attendiez, la gravité que vous choisissez — et un contexte capté par l'écran, que le formulaire vous montre en entier avant l'envoi : la version de PalmaPlan, l'adresse de l'écran (débarrassée des secrets qu'une adresse peut porter), l'identifiant du planning ouvert — pas son contenu —, votre navigateur et votre langue, les dernières erreurs affichées (leur code et leur message) et les types de vos dernières modifications sur ce planning, sans leurs libellés. Rien d'autre : le serveur refuse tout champ que cette liste ne nomme pas.

Une case à part, décochée par défaut, vous permet de joindre un instantané du planning ouvert, tel qu'il est au moment de l'envoi : certains problèmes ne se reproduisent qu'avec les données. Sans cette case, seul l'identifiant du planning part. Si vous la cochez, c'est le serveur qui prend la copie, et seulement d'un planning que vous pouvez lire ; elle peut donc contenir ce que d'autres membres y ont écrit. Elle est gardée avec le signalement, pour pouvoir reproduire le problème ; l'écran d'administration ne l'affiche pas.

Pour une idée, nous gardons ce que vous écrivez — votre idée, et ce qu'elle vous apporterait — et un contexte réduit, montré lui aussi avant l'envoi : la version de PalmaPlan, l'adresse de l'écran (débarrassée de ses secrets) et votre langue. Ni le planning ouvert, ni votre navigateur, ni vos erreurs, ni vos commandes, et jamais d'instantané : une idée ne se reproduit pas, et le contenu d'un planning n'aide pas à la comprendre — même si la case arrivait cochée, le serveur l'ignore. Le formulaire ne vous demande pas de gravité pour une idée : il envoie « gênant » par défaut, gardé avec elle.

À quoi ils servent. Un signalement sert à corriger les défauts du service. Une idée sert à recueillir vos propositions, pour décider de ce que PalmaPlan fera ensuite : elle est lue, et elle peut être classée — la partie du produit qu'elle touche, un ordre de grandeur de l'effort, les autres idées qu'elle rejoint. Cette seconde finalité est nouvelle le 05/10/2026 (voir § 11). Les deux reposent sur notre intérêt légitime : un service qui marche, et qui évolue avec ce que demandent les personnes qui s'en servent. Rien d'autre : ni statistique d'usage, ni profilage, ni prospection. Qui les lit : l'administrateur de l'instance, et personne d'autre — avec votre nom et votre adresse e-mail, pour savoir de qui vient le signalement ou l'idée. Il peut publier une réponse, que vous retrouvez avec le type et le statut de chacun dans vos préférences, sous « Mes signalements et idées ». Un compte peut en envoyer dix par période de vingt-quatre heures, bugs et idées ensemble.

Le journal technique du serveur

Pour que le service tourne et pour pouvoir comprendre une panne, le serveur écrit ce qu'on lui demande : la méthode, l'adresse demandée (débarrassée des secrets qu'elle peut porter), l'heure. Il y écrit aussi certains gestes, avec l'identifiant technique du compte concerné : une session fermée parce qu'un compte en avait trop d'ouvertes (avec le navigateur déclaré), la suite donnée à une adresse prouvée par son propriétaire alors qu'un autre compte la détenait (les identifiants des deux comptes, jamais l'adresse), l'envoi du courrier du soir, la désactivation ou la réactivation d'un compte par l'administrateur de l'instance. Les messages que le service envoie — une invitation, un lien de réinitialisation, le courrier du soir — partent par son service de courrier et ne s'écrivent pas dans ce journal. Il n'y écrit pas votre adresse IP — le mécanisme qui freine les tentatives de connexion la garde en mémoire quelques minutes, sans jamais l'écrire nulle part. Il n'y écrit jamais un mot de passe, ni le contenu de ce que vous envoyez.

Devant le service, le serveur web qui reçoit les connexions tient son propre journal d'accès : il y écrit l'adresse IP de chaque requête, avec l'adresse demandée débarrassée de ses secrets. Il tourne, et sa durée est au § 3.

Les sauvegardes

Une copie complète de la base est faite chaque jour et les quatorze dernières sont conservées sur le serveur, pour que personne ne perde son travail à cause d'une panne. Une copie de chacune est déposée hors du serveur, chez Scaleway, à Paris, chiffrée avant de partir avec une clé que Scaleway n'a pas : il garde des fichiers qu'il ne peut pas lire. Et notre hébergeur, OVH, prend de son côté chaque jour une copie du serveur entier, qu'il garde vingt-quatre heures, et qui n'est pas chiffrée.

2. Ce que nous ne faisons pas

Aucune publicité, aucun partenaire publicitaire, aucun identifiant publicitaire.
Aucune vente, aucune location, aucun partage de vos données avec qui que ce soit.
Aucune mesure d'audience, aucun outil d'analyse, aucune carte de chaleur, aucun enregistrement de session.
Aucun traceur tiers, aucune police de caractères ni script chargé depuis un autre domaine. L'application est servie entièrement par PalmaPlan.
Aucun profilage, aucune décision automatisée vous concernant : ce que fait un agent, c'est vous qui le lui avez demandé.
Aucune lecture de vos plannings à des fins d'entraînement d'un modèle, d'amélioration produit ou de statistique. Ils sont stockés, pas exploités. La seule copie d'un planning qui sorte de ce cadre est l'instantané que vous joignez vous-même au signalement d'un bug, gardé pour corriger le problème que vous signalez ; une idée n'en emporte jamais.
Aucun signalement ni aucune idée transmis à qui que ce soit. Ce que vous signalez ou proposez reste sur l'instance, et seul son administrateur le lit.
Aucun transfert de vos données hors de l'Union européenne, à une réserve près, que nous préférons écrire : notre hébergeur peut accéder au serveur à distance, pour sa sécurité et sa maintenance, et sa liste de sous-traitants nomme deux sociétés de son groupe établies au Canada et au Royaume-Uni — deux pays que la Commission européenne reconnaît comme offrant une protection adéquate (§ 6). Et si vous choisissez « Continuer avec Google », vous vous authentifiez auprès d'une entreprise dont le groupe est établi hors de l'Union (§ 8).

3. Combien de temps nous gardons quoi

Ce tableau est la liste complète, dans l'ordre. Il est le même que celui du document legal/retentions.md de notre dépôt de code, où chaque durée est accompagnée du bout de programme qui l'applique : nous préférons une durée vérifiable à une durée annoncée.

Donnée	Durée
Votre compte : l'adresse e-mail, le nom, l'empreinte du mot de passe, le lien vers un compte Google	Tant que le compte existe. À la suppression du compte, tout cela est effacé immédiatement ; il ne reste qu'un identifiant technique vide, sans durée
Vos sessions ouvertes : l'empreinte du cookie, le navigateur déclaré, les dates	30 jours après la dernière utilisation, en glissant ; effacées à la déconnexion, au changement de mot de passe, à la suppression du compte, et quand la personne à qui appartient l'adresse du compte la prouve et le reprend
Le cookie `palmaplan_session` sur votre appareil	30 jours
Le cookie `palmaplan_google`, le temps de l'aller-retour vers Google	10 minutes
Le cookie `palmaplan_public`, le déverrouillage d'un planning publié protégé par mot de passe	24 heures
Le contenu d'un planning : lignes, blocs, colonnes, notes, fichiers joints	Tant que le planning existe ; 30 jours après sa mise à la corbeille
Le journal des éditions d'un planning : qui a fait quoi, quand	La vie du planning — 30 jours après sa mise à la corbeille. La suppression de votre compte ne l'efface pas : elle en retire votre nom
Les versions quotidiennes d'un planning	30 jours ; la plus récente est gardée quel que soit son âge, et une version que vous avez nommée reste la vie du planning
Les commentaires, les réponses et les actions que vous avez écrits dans un planning	La vie du planning ; votre nom en est retiré à la suppression de votre compte
Vos accès aux plannings des autres : le rôle, qui vous a invité, quand	Tant que l'accès dure ; effacés quand le propriétaire le retire et à la suppression de votre compte
Vos préférences d'affichage et de courrier	Tant que le compte existe ; effacées à la suppression du compte
Vos absences : les périodes, les demi-journées et les jours récurrents que vous posez, avec leur motif (congés, temps partiel, formation, autre)	30 jours après leur dernier jour ; une absence récurrente sans date de fin, tant que le compte existe ; toutes sont effacées à la suppression du compte
Vos signalements et vos idées : le type (bug ou idée), ce qui s'est passé ou votre idée, ce que vous attendiez ou ce qu'elle vous apporterait, la gravité, le contexte capté (version, écran sans secret d'adresse, identifiant du planning, navigateur, langue, dernières erreurs, types des dernières commandes — pour une idée, la version, l'écran et la langue seulement), l'instantané du planning si vous l'avez autorisé (jamais pour une idée), et la suite qui leur a été donnée (statut, réponse publiée, conclusion et décision)	90 jours après la clôture du signalement ou de l'idée ; tant qu'il ou elle est en cours, sans limite ; tous sont effacés à la suppression du compte
Vos notifications lues	30 jours
Vos notifications non lues	1 an
Une invitation, et l'adresse e-mail invitée	7 jours pour être acceptée ; la ligne est effacée 30 jours après son acceptation, son expiration ou sa révocation
Une demande de réinitialisation de mot de passe	Le lien vaut 1 heure ; la ligne est effacée à 24 heures
Une demande de vérification d'e-mail	Le lien vaut 24 heures ; la ligne est effacée à 7 jours
Une demande de changement d'adresse e-mail, et l'adresse demandée	Le lien vaut 24 heures ; la ligne est effacée à 7 jours
Un compte jamais vérifié : son e-mail, son mot de passe, tout ce qu'il porte	Sept jours après sa création, comme la ligne de vérification elle-même ; un compte vérifié à temps, même de justesse, n'est jamais visé, ni un compte qui a accès à un planning ou que l'historique d'un planning nomme — celui d'une personne invitée qui n'a pas encore confirmé son adresse. Et plus tôt, si la personne à qui appartient l'adresse la prouve : effacé aussitôt s'il est vide, sinon repris par elle avec ce qu'il contient
Un code d'invitation, et qui l'a créé	Sans limite tant qu'il reste ouvert ; effacé 30 jours après avoir été révoqué ou entièrement consommé
Vos jetons nommés : le libellé, l'empreinte du secret, les portées, les dates	Tant que le compte existe, révoqués ou non — la liste de vos jetons est votre histoire et reste lisible dans vos préférences ; tout est effacé à la suppression du compte
Les agents que vous avez autorisés par OAuth : le client, ses jetons de rafraîchissement	Un jeton d'accès vaut 30 jours, un rafraîchissement 90 jours ; les traces d'un agent inutilisé sont effacées 90 jours après son dernier usage, et tout part à la suppression du compte
Les codes d'autorisation OAuth	10 minutes
Le lien public d'un planning publié	Tant que la publication dure ; la ligne est retirée à la dépublication, et republier tire un autre lien
Le journal technique du serveur	Au plus 30 Mo, soit quelques jours d'exploitation ; il ne porte plus d'adresse IP
Le journal d'accès du serveur web, qui porte les adresses IP	7 jours au plus, par rotation
Les sauvegardes quotidiennes de la base	14 jours — quatorze copies tournantes
Les copies de ces sauvegardes déposées hors de la machine, chiffrées	14 jours, comme les locales ; le seau qui les reçoit, chez Scaleway, efface de lui-même tout fichier de plus de 15 jours
La liste des comptes supprimés : un identifiant technique et une date, tenue hors de la base	Sans limite — c'est ce qui rend une suppression effective après la restauration d'une sauvegarde

4. Vos droits, et comment les exercer

Dans votre profil, section Vos données :

Voir ce que nous détenons : la liste par catégorie, avec la durée de chacune.
Tout exporter : un bouton, un fichier. Il contient votre compte, vos préférences, vos sessions, vos jetons, les agents que vous avez autorisés, vos accès, vos plannings au format d'échange de PalmaPlan — réimportables tels quels ailleurs —, vos commentaires, vos notifications, vos invitations, vos entrées du journal des modifications, en clair, vos absences, et vos signalements et vos idées — chacun avec son type (bug ou idée), le contexte capté, son statut, la réponse publiée et, s'il y en a une, la conclusion enregistrée à son sujet (sa nature et son résumé) et la décision de l'administrateur. Le classement d'une idée (la partie du produit, l'effort, les idées rejointes) n'y est pas : c'est une analyse interne, comme celle d'un bug. L'instantané d'un planning que vous auriez joint n'y est pas : c'est la copie d'un planning, peut-être celui de quelqu'un d'autre ; l'export dit seulement que vous l'aviez joint, et quand. Il ne contient pas les empreintes de mots de passe ni les secrets de jetons — ils ne vous apprendraient rien et apprendraient tout à qui volerait le fichier —, ni les plannings des autres personnes, qui sont leurs données et pas les vôtres.
Supprimer votre compte : un bouton, et la section 5 ci-dessous dit exactement ce qui se passe.

Dans la section Profil : corriger votre nom et votre adresse e-mail, quand vous voulez.

Par écrit, à contact@palmaplan.com : la limitation d'un traitement, l'opposition à un traitement, ou toute demande que les boutons ne couvrent pas. Nous répondons sous un mois. Nous n'avons pas fait d'interface pour ces deux droits-là parce qu'une interface qui ferait semblant serait pire qu'un e-mail qui arrive chez une personne réelle.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr. C'est votre droit, et nous n'y voyons rien à redire.

5. Supprimer votre compte : ce qui part, ce qui reste, et pourquoi

C'est le passage de cette page qu'il faut lire avant de vous inscrire, pas après. Nous le disons franchement, parce qu'une personne doit pouvoir être en désaccord au moment du choix.

Ce qui est effacé, immédiatement

Votre adresse e-mail, votre nom, l'empreinte de votre mot de passe, le lien vers votre compte Google. Vos sessions, vos jetons, les agents que vous aviez autorisés. Vos notifications, vos préférences, vos accès aux plannings des autres, vos absences, vos signalements et vos idées — entiers, instantané compris. Les invitations que vous avez envoyées et qui n'avaient pas été acceptées — elles portent l'adresse de quelqu'un d'autre, rien ne justifie de les garder — et celles qui vous étaient adressées. Et les liens en cours qui portent une adresse : un lien de vérification d'e-mail, une demande de changement d'adresse que vous n'aviez pas confirmée. Après cela, PalmaPlan ne détient plus aucune donnée qui vous identifie, et n'a plus aucun moyen de savoir qui vous étiez.

Ce qui reste

Un identifiant technique, et ce que vous avez écrit dans les plannings des autres : les entrées du journal des modifications, vos commentaires, vos réponses, les actions dont vous étiez responsable. Partout où votre nom s'affichait, on lit désormais « Utilisateur supprimé ».

Pourquoi

Parce que le journal des modifications n'est pas une trace que nous gardons par prudence : c'est le mécanisme du produit. L'annulation rejoue les modifications à l'envers ; l'historique et la comparaison de deux dates les rejouent dans l'ordre. Effacer vos entrées d'un planning partagé ne supprimerait pas une trace — cela casserait le planning des autres, rendrait leur annulation incohérente et les empêcherait de revenir à un état passé. Nous avons choisi de protéger leur travail en retirant votre identité plutôt qu'en détruisant le leur.

Ce que nous ne prétendons pas

Nous ne disons pas que le résultat est une anonymisation au sens juridique complet du terme : un identifiant subsiste, et ce que vous avez écrit subsiste. Quelqu'un qui disposerait d'informations venues d'ailleurs pourrait, en théorie, faire un rapprochement. Ce que nous affirmons est plus modeste et vérifiable : de notre côté, le lien est rompu et il est irréversible.

C'est notre position, appuyée sur la minimisation des données et sur l'intérêt légitime à préserver l'intégrité des plannings d'autrui, qui recoupe la réserve que le règlement prévoit lorsque l'effacement porterait atteinte aux droits d'autres personnes. Elle nous paraît juste ; elle est discutable, et vous avez le droit de la discuter — écrivez-nous.

Si vous voulez vraiment que tout disparaisse

Le propriétaire d'un planning peut le supprimer entièrement, et alors son journal part avec lui, trente jours plus tard. Si les entrées qui vous gênent sont dans un planning que vous possédez, vous avez donc le moyen de tout faire disparaître. Si elles sont dans le planning de quelqu'un d'autre, c'est à lui de décider du sort de son planning.

Si vous possédez des plannings

Nous refusons la suppression de votre compte tant que vous possédez un planning — un planning sans propriétaire n'a plus personne pour gérer ses accès. L'écran vous dit lesquels, et vous offre les deux chemins : les transférer à un membre, ou les supprimer. Les plannings qui sont à la corbeille comptent encore, et vous pouvez les vider tout de suite sans attendre trente jours. Vous n'êtes jamais retenu : supprimer est toujours possible.

Les sauvegardes

La suppression est immédiate dans le service et effective dans les sauvegardes sous quatorze jours, le temps que les copies quotidiennes tournent — les nôtres sur le serveur comme celles, chiffrées, déposées chez Scaleway, que le seau qui les reçoit efface de toute façon au bout de quinze jours. La copie du serveur entier que garde notre hébergeur disparaît, elle, en vingt-quatre heures. Si nous devions restaurer une sauvegarde, nous rejouons les suppressions faites depuis, avant de remettre le service en ligne : c'est une étape écrite dans notre procédure interne, pas une intention.

Avant de partir

Le dernier écran vous propose d'exporter vos données. Nous ne faisons pas partir les gens les mains vides.

6. Qui peut voir vos données

Vous, et l'auteur de PalmaPlan, qui administre l'instance.
Les autres membres d'un planning partagé : votre nom, votre adresse e-mail dans la liste des membres, ce que vous écrivez dans le planning, et vos absences avec leur motif.
Toute personne à qui un propriétaire donne le lien d'un planning publié. Un planning publié montre le planning, ses commentaires et les identifiants techniques de leurs auteurs. Il ne montre ni les noms ni les adresses e-mail — sauf si le propriétaire a coché « Montrer l'agenda des absences » : le lien montre alors aussi le nom affiché des membres et leurs dates d'absence, jamais le motif, l'e-mail ni l'identifiant du compte. Publier est un acte volontaire du propriétaire, révocable à tout instant, et le lien peut être protégé par un mot de passe.
Les agents que vous avez autorisés, dans la limite des droits que vous leur avez donnés.
Vos signalements et vos idées : l'administrateur de l'instance seul. Ni les membres de vos plannings, ni un lien public, ni les agents que vous avez autorisés ne les voient, et aucun n'est transmis à un tiers.
Nos deux sous-traitants, OVH et Scaleway, chacun pour ce qu'il fait pour nous, détaillé ci-dessous.
Personne d'autre. Pas d'outil d'analyse, pas de prestataire de publicité, aucun autre prestataire. Un sous-traitant nouveau serait nommé ici, avec ce qu'il traite et où sont ses serveurs, avant d'entrer en service.
Et, s'il y avait une obligation légale de communiquer quelque chose à une autorité, nous nous y conformerions ; cela n'est jamais arrivé.

Nos sous-traitants

Un sous-traitant traite vos données pour notre compte, sur nos instructions, sans en faire quoi que ce soit pour lui-même. Les deux nôtres sont liés par un contrat de sous-traitance — une annexe de leur contrat, que nous avons acceptée avant la mise en ligne — qui les oblige à la confidentialité, à la sécurité, à nous aider à répondre à vos demandes et à nous prévenir d'une violation de données.

OVH SAS (siège à Roubaix), notre hébergeur. Le service entier tourne sur un serveur qu'il nous loue, dans un centre de données en France choisi à la commande, et qu'il s'interdit de déplacer sans notre accord. Il détient donc tout : la base de données, nos quatorze sauvegardes quotidiennes, les journaux du serveur. Le disque de ce serveur n'est pas chiffré (§ 9) : OVH a techniquement accès à vos données, et c'est son contrat qui l'en empêche, pas la technique. Il peut accéder au serveur à distance, pour sa sécurité et sa maintenance, y compris depuis deux sociétés de son groupe au Canada et au Royaume-Uni, deux pays reconnus comme adéquats par la Commission européenne ; son contrat l'engage aussi à s'opposer aux demandes d'autorités de pays tiers. Il garde enfin, de lui-même, une copie du serveur entier faite chaque jour, pendant vingt-quatre heures.

Scaleway SAS (siège à Paris), pour le courrier. Les messages que PalmaPlan envoie — invitations, liens de vérification et de réinitialisation, courrier du soir — partent par son service de courrier transactionnel, qui n'existe qu'à Paris. Il voit donc l'adresse du destinataire — y compris celle d'une personne invitée qui n'a pas de compte — et le contenu du message. Il n'archive pas les messages : ils sont transmis, puis supprimés. Il garde en revanche, pour chaque envoi, l'expéditeur, le destinataire, l'objet et l'issue de la remise, pendant une durée que sa documentation ne fixe pas ; cette page la dira dès que nous l'aurons obtenue de lui. Aucune fonction de suivi d'ouverture ni de clic n'est documentée pour ce service, et nos messages ne contiennent ni image ni lien de suivi.

Scaleway SAS, pour les copies de sauvegarde. Une copie de chaque sauvegarde quotidienne est déposée dans un espace de stockage privé, à Paris, chiffrée sur notre serveur avant de partir, avec une clé que Scaleway n'a pas : il garde des fichiers qu'il ne peut pas lire. Ces copies tournent avec les nôtres, et l'espace qui les reçoit efface de lui-même tout fichier de plus de quinze jours.

Le certificat qui chiffre vos échanges avec palmaplan.com vient d'une autorité de certification, Let's Encrypt, qui ne voit qu'un nom de domaine — aucune donnée vous concernant : ce n'est pas un sous-traitant.

7. Les cookies : il y en a trois, et il n'y a pas de bandeau

PalmaPlan pose trois cookies, et pas un de plus. Tous les trois sont HttpOnly — un script ne peut pas les lire — et limités à PalmaPlan.

Cookie	À quoi il sert	Durée
`palmaplan_session`	Vous garder connecté d'une page à l'autre	30 jours
`palmaplan_google`	Tenir l'aller-retour vers Google quand vous choisissez ce bouton, et seulement à ce moment-là	10 minutes
`palmaplan_public`	Se souvenir que vous avez donné le mot de passe d'un planning publié protégé — quand ce planning est intégré dans la page d'un autre site, ce cookie est rangé à part pour ce site-là (cloisonné) et ne sert nulle part ailleurs	24 heures

Aucun traceur. Aucune mesure d'audience. Aucun cookie d'un autre site. Aucune publicité.

Et c'est pour cela qu'il n'y a pas de bandeau. Les cookies strictement nécessaires à la fourniture d'un service que vous avez expressément demandé sont dispensés de consentement — c'est ce que prévoit l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne sur la vie privée dans les communications électroniques, et c'est la lecture que la CNIL retient dans ses lignes directrices sur les traceurs. Nos trois cookies sont exactement cela : sans eux, vous ne pouvez pas rester connecté, vous connecter avec Google, ni ouvrir un planning protégé.

Un bandeau n'aurait donc rien à vous demander. Nous préférons vous dire pourquoi il n'y en a pas plutôt que d'en afficher un pour faire sérieux. Et si un jour nous envisagions une mesure d'audience, elle viendrait avec un vrai choix, ou elle n'entrerait pas.

8. « Continuer avec Google »

Cette option est facultative, et elle est proposée sur palmaplan.com, sur la page de connexion comme sur la page d'inscription. Avant de cliquer :

Google n'est pas notre sous-traitant : c'est une entreprise distincte, dont le groupe est établi hors de l'Union européenne, qui vous authentifie pour son propre compte, selon ses propres règles et sa propre politique de confidentialité ;
vous vous authentifiez chez Google, sur le site de Google ; nous ne voyons jamais votre mot de passe Google ;
Google nous transmet quatre choses : un identifiant de compte, votre adresse e-mail, l'indication qu'elle est vérifiée, et votre nom. Rien d'autre, et nous ne demandons rien d'autre ;
Google apprend que vous utilisez PalmaPlan, du simple fait que vous passez par lui. C'est vrai de tout site qui propose ce bouton. Si cela vous dérange, créez un compte avec une adresse e-mail et un mot de passe : le produit est identique ;
vous pouvez délier votre compte Google à tout moment depuis votre profil ;
l'écran de Google affiche, pour PalmaPlan, une adresse d'assistance, palmaplan-assistance@googlegroups.com : ses messages arrivent chez la même personne que contact@palmaplan.com, qui reste l'adresse où exercer vos droits.

9. La sécurité : ce que nous faisons, et ce que nous ne promettons pas

Ce que nous faisons :

votre mot de passe n'est jamais conservé, seulement une empreinte calculée par une fonction lente conçue pour cela (scrypt), avec un sel différent pour chacun ;
aucun secret — session, jeton, lien d'invitation, lien de réinitialisation — n'est conservé en clair : seule une empreinte l'est, et un jeton ne vous est montré qu'une fois ;
les cookies sont HttpOnly et Secure, et palmaplan.com est servi en https, avec un certificat TLS (Let's Encrypt) : vos échanges avec le service sont chiffrés en transit ;
les droits sont vérifiés à chaque requête, avant toute lecture ;
les tentatives de connexion sont limitées, sans que votre adresse IP soit conservée — et un lien de vérification suivi hors d'une session du compte, qui redemande son mot de passe, compte dans la même limite ;
une sauvegarde par jour, quatorze jours d'historique, et une copie de chacune hors du serveur, chiffrée (AES-256-GCM) avant de le quitter, avec une clé gardée ailleurs que chez le prestataire qui la stocke ;
et nous avons une procédure écrite en cas de violation de données, avec les délais que la loi impose : nous prévenons la CNIL sous 72 heures à compter du moment où nous l'apprenons — y compris quand c'est l'un de nos sous-traitants qui nous l'apprend, ce que leurs contrats prévoient « dans les meilleurs délais », sans nombre d'heures — et, si le risque pour vous est élevé, nous vous prévenons vous.

Ce que nous ne promettons pas :

la base n'est pas chiffrée au repos, ni le disque du serveur qui la porte : notre contrat avec OVH laisse ce chiffrement à notre charge, et il n'est pas en place. Il en va de même des quatorze sauvegardes posées sur ce serveur et de la copie de vingt-quatre heures que garde notre hébergeur ; seules les copies déposées chez Scaleway sont chiffrées ;
le serveur n'a pas de qualification de sécurité particulière : il n'est pas qualifié SecNumCloud ;
PalmaPlan est une bêta, tenue par une seule personne, sur un seul serveur, sans engagement de disponibilité. Si cela ne vous convient pas pour vos données, c'est une raison légitime d'attendre la version 1.0 — et nous préférons l'écrire que de laisser croire autre chose.

10. Les mineurs

PalmaPlan est un outil de planification de projets, destiné à un usage professionnel. Il n'est pas conçu pour des enfants et nous ne collectons pas sciemment les données d'une personne de moins de 15 ans. Si cela arrivait, écrivez-nous et le compte sera supprimé.

11. Les modifications de cette page

Cette page est versionnée avec le code de PalmaPlan, dans le fichier legal/confidentialite.md du dépôt. Chaque modification est donc un enregistrement daté et lisible : vous pouvez voir ce qui a changé, quand, et à côté de quelle modification du produit. Nous ne réécrivons pas le passé.

Une modification qui change ce que nous faisons de vos données — un prestataire nouveau, une finalité nouvelle, une durée allongée — est annoncée dans le produit, et pas seulement publiée ici.

Ce qui a changé le 12/10/2026, avec la mise en ligne de palmaplan.com : où sont vos données (en tête de cette page) — sur un serveur d'OVH en France, et non plus sur la machine de l'auteur ; nos deux sous-traitants, OVH et Scaleway, nommés avec ce qu'ils traitent et où (§ 6, « Nos sous-traitants ») ; la réserve de l'accès à distance de notre hébergeur (§ 2) ; « Continuer avec Google », désormais proposé (§ 8) ; le courrier, qui part par Scaleway et ne s'écrit plus dans le journal du serveur (§ 1) ; le journal d'accès du serveur web, qui existe désormais (§ 1 et § 3) ; les copies de sauvegarde déposées hors du serveur, chiffrées, et la copie que garde notre hébergeur (§ 1, § 3 et § 5) ; ce que nous faisons et ne promettons pas en matière de sécurité (§ 9). Cette page avait promis de nommer un hébergeur avant qu'il entre en service : elle le fait dans le commit même qui met le service en ligne.

Une finalité nouvelle, le 05/10/2026 : recueillir vos propositions. Depuis ce jour, vous pouvez proposer une idée depuis l'écran, et nous la gardons pour décider de ce que PalmaPlan fera ensuite — ce qui n'est pas corriger un défaut, et que cette page ne disait pas. Ce que nous en gardons, combien de temps et qui la lit : § 1 (« Vos signalements et vos idées »), § 3, § 4, § 5 et § 6. Rien de ce qui a été envoyé avant ce jour ne change de finalité : un signalement reçu avant reste un signalement de bug.

Ce qui a changé une seconde fois le 05/10/2026, avec la version 0.27.0 : les idées — une finalité nouvelle, recueillir vos propositions, annoncée ci-dessus — et ce que nous en gardons (§1 « Vos signalements et vos idées », §2, §3, §4, §5 et §6) ; une adresse e-mail est à qui la prouve — le compte créé à votre adresse sans l'avoir prouvée, effacé ou repris quand vous la prouvez, et le mot de passe que redemande le lien de vérification ouvert hors d'une session du compte (§1, §3 et §9) ; ce que porte vraiment le journal technique du serveur, que cette page décrivait trop court (§1).

Ce qui a changé le 05/10/2026 : les signalements — ce que nous gardons et pourquoi (§1, « Vos signalements »), l'exception de l'instantané que vous joignez vous-même (§1 et §2), leur durée (§3), l'export (§4), l'effacement (§5), et qui les voit (§6). La version du 03/10/2026 portait encore, ici, la date du 02/10/2026 : c'est corrigé.

Date de cette version : 12/10/2026.

Contact

contact@palmaplan.com — pour vos droits, pour vos questions, et pour nous signaler un problème de sécurité. Écrivez en français ou en anglais.