Politique de confidentialité
1. Introduction
Cette politique de confidentialité décrit comment Xi collecte, utilise, partage et protège les informations lorsque tu utilises le service à l’adresse xiexperiments.com. Quand cette politique dit « nous » ou « Xi », elle désigne l’opérateur du service. Pour toute question sur cette politique ou sur les données personnelles que nous détenons, écris-nous à xiexperiments.app@gmail.com.
2. Ce que nous collectons
Informations de compte
Quand tu t’inscris, notre fournisseur d’authentification crée un compte pour toi. Nous recevons et stockons les éléments de base nécessaires pour t’identifier dans le service : ton adresse e-mail, un nom d’affichage, une URL d’avatar (si ton fournisseur de connexion en a une) et les identifiants qui relient ton compte Xi à ce fournisseur.
Contenu du workspace et des expériences
Nous stockons les expériences, hypothèses, seuils de succès et de kill, tags, paramètres de time-box, définitions de métrique, valeurs de métrique, notes et apprentissages que tu enregistres. Nous stockons aussi les paramètres du workspace et les rôles des membres de chaque workspace.
Tu décides de ce que tu enregistres. Si tu choisis de tracker des métriques de mode de vie ou liées à la santé (par exemple, scores de sommeil, humeur, charge d’entraînement), ce contenu reste dans ton workspace, sous ton contrôle. Voir Contenu sensible ci-dessous pour un contexte important.
Préférences de notifications et de push
Nous stockons tes préférences de notifications (quelles alertes tu veux, quand tu les veux, tes plages « ne pas déranger ») et, si tu actives les notifications push du navigateur, le push subscription endpoint que ton navigateur émet. Cet endpoint est un token utilisé pour livrer les pushes ; ce n’est pas ton identité.
Intégrations connectées
Si tu connectes ton compte Google Analytics pour que Xi puisse récupérer une métrique en ton nom, nous stockons les tokens OAuth nécessaires à ces requêtes (chiffrés au repos) et un enregistrement de la configuration que tu as choisie. Nous récupérons uniquement les données de métrique que tu nous indiques.
Événements de product analytics
Sur le site de production à xiexperiments.com, nous utilisons un fournisseur de product analytics pour comprendre comment le service est utilisé afin de l’améliorer. Les événements que nous capturons aujourd’hui se limitent aux actions de cycle de vie : quand une expérience est committed, shipped, killed, étendue, revisitée ou supprimée ; quand un metric log est ajouté ; quand un apprentissage est enregistré ; quand une connexion Google Analytics est ajoutée ou supprimée ; et quand un compte ou un workspace est supprimé. Ces événements incluent l’identifiant de l’utilisateur ou du workspace qui a effectué l’action, pour pouvoir les regrouper par compte.
Le product analytics n’est pas chargé hors production, donc les previews et le développement local n’envoient pas ces événements.
Site analytics sur le site marketing
Les pages marketing du site utilisent Google Analytics 4 pour enregistrer des données de visite agrégées (pages, referrers, géographie large, type d’appareil). Nous l’utilisons uniquement pour comprendre comment les gens trouvent le service.
Logs serveur
Notre hébergeur conserve des logs serveur standard des requêtes au service, incluant adresses IP, agents utilisateur, horodatages et chemins de requête. Nous les utilisons pour la sécurité, la prévention de l’abus, le debugging et l’exploitation. Ils sont conservés selon les durées standard de l’hébergeur.
3. Comment nous utilisons les informations
Nous utilisons les informations décrites ci-dessus pour :
- Fournir le service : stocker tes expériences, faire tourner tes contrats jusqu’au verdict, afficher ton archive.
- T’authentifier et protéger ton compte.
- Envoyer les notifications que tu as demandées (dans l’app, push ou e-mail).
- Faire fonctionner le connecteur Google Analytics optionnel à ta demande.
- Détecter, prévenir et traiter les problèmes de sécurité ou d’abus.
- Comprendre comment le service est utilisé et l’améliorer.
- Respecter les obligations légales et faire respecter nos Conditions.
Nous ne vendons pas d’informations personnelles et nous ne diffusons pas de publicité ciblée sur le service.
4. Bases légales
Pour les utilisateurs dans l’Espace économique européen, au Royaume-Uni et dans d’autres juridictions ayant des lois similaires, les bases légales sur lesquelles nous traitons tes données personnelles sont :
- Exécution d’un contrat, pour fournir le service auquel tu t’es inscrit. Le contenu que tu choisis d’enregistrer dans tes expériences (titres, hypothèses, valeurs de métrique, notes, apprentissages) est traité sur cette base : tu le fournis comme input du service et nous le traitons uniquement pour faire fonctionner le service pour toi.
- Intérêts légitimes, pour garder le service sécurisé, détecter les abus et comprendre et améliorer son utilisation. Quand nous nous appuyons sur cette base, nous mettons en balance nos intérêts avec tes droits.
- Consentement, pour les choses auxquelles tu opt in, comme les notifications push et le connecteur Google Analytics. Tu peux retirer ton consentement à tout moment depuis tes paramètres.
- Obligation légale, lorsque nous devons traiter des données pour respecter la loi applicable.
Quand le contenu que tu choisis d’enregistrer inclut des données personnelles de catégorie particulière au sens de l’Article 9 du RGPD(ou de son équivalent britannique), par exemple des informations sur la santé, l’état mental, la vie sexuelle, la biométrie ou des catégories sensiblement comparables, nous les traitons uniquement comme des données que tu as manifestement rendues publiques pour nous dans le cadre de l’utilisation du service que tu as demandée, et seulement dans la mesure nécessaire à la fourniture de ce service. Voir Contenu sensible pour ce que cela signifie en pratique et où se situe la responsabilité.
5. Partage et sous-traitants
Nous partageons des données personnelles avec un petit nombre de prestataires qui font tourner des morceaux de la plateforme pour notre compte. Ils sont liés par leurs propres conditions et engagements de protection des données et ne traitent les données que pour faire fonctionner le service. Aujourd’hui, nous utilisons :
- Clerk, authentification et identité (création de compte, connexion, OAuth pour l’endpoint MCP).
- Neon, base de données Postgres managée qui stocke le contenu de ton workspace et de tes expériences.
- Vercel, hébergement, traitement des requêtes et runtime logs.
- PostHog, product analytics, traité aux États-Unis. Chargé uniquement sur le hostname de production.
- Google, Google Analytics 4 pour la mesure du site marketing, et la Google Analytics Data API pour le connecteur de métrique optionnel quand tu l’actives.
- Services de push du navigateur, les services de push d’Apple, Google et Mozilla délivrent les notifications push du navigateur que tu actives.
Nous pouvons ajouter ou changer des sous-traitants au fur et à mesure que le produit évolue. Quand nous le ferons, nous maintiendrons cette liste à jour. Nous pouvons aussi divulguer des informations quand la loi l’exige, pour faire respecter nos Conditions ou pour protéger les droits, la propriété ou la sécurité des utilisateurs ou d’autres.
6. Agents IA et MCP
Xi expose un endpoint distant Model Context Protocol (MCP). Quand tu connectes un client IA (par exemple, Claude) via OAuth, tu autorises ce client à lire et écrire dans ton workspace dans le scope que tu as accordé.
Une fois que tes données sont accédées par un client IA, Xi ne peut pas contrôler comment ce client les utilise. Les données que l’agent lit ou écrit sortent de Xi et entrent dans l’environnement du client IA. À partir de ce moment, ce qui arrive aux données est régi par les politiques du client IA et du fournisseur de modèle qui le sous-tend, pas par cette politique de confidentialité.
Les fournisseurs IA tiers peuvent traiter tes données selon leurs propres conditions.Cela peut inclure l’envoi à leur propre infrastructure de modèles, l’application de leurs propres règles de rétention et de surveillance des abus, et, dans certaines configurations, l’utilisation pour améliorer leurs services. Avant de connecter un client IA à Xi, lis la politique de confidentialité du fournisseur et choisis une configuration dont les pratiques de données te conviennent.
Tu peux révoquer l’accès d’un client IA à tout moment depuis tes paramètres ou depuis ton client IA. La révocation arrête les futures lectures et écritures via Xi, mais ne peut pas rappeler les données que le client a déjà reçues.
7. Transferts internationaux
Nos sous-traitants peuvent stocker et traiter des données aux États-Unis et dans d’autres pays. Quand des données personnelles sont transférées depuis l’EEE, le Royaume-Uni ou d’autres régions réglementées vers un pays sans décision d’adéquation, nous nous appuyons sur les garanties mises en place par ces sous-traitants (telles que les EU Standard Contractual Clauses).
8. Conservation
Nous conservons les données de compte et de workspace tant que ton compte est actif. Quand tu supprimes ton compte depuis tes paramètres de profil, nous supprimons les données personnelles que nous détenons sur toi, avec une brève rétention pour les sauvegardes, les enquêtes de sécurité et les besoins légaux. Supprimer un workspace supprime les expériences, logs, apprentissages et autres contenus de workspace associés.
Les logs serveur et les analytics agrégés sont conservés selon les durées standard des fournisseurs qui les produisent.
9. Tes droits
Selon où tu vis, tu peux disposer de tout ou partie des droits suivants sur tes données personnelles :
- Accès, demander une copie des données personnelles que nous détenons sur toi.
- Rectification, nous demander de corriger des données erronées ou incomplètes.
- Effacement, nous demander de supprimer tes données. Tu peux le faire toi-même en supprimant ton compte depuis les paramètres de profil.
- Portabilité, demander une copie structurée des données que tu as fournies.
- Limitation ou opposition, nous demander de limiter le traitement de tes données, ou t’opposer à un traitement fondé sur les intérêts légitimes.
- Retrait du consentement, pour les traitements qui dépendent de ton consentement.
- Réclamation, auprès de ton autorité locale de protection des données.
Les résidents de Californie disposent de droits similaires au titre du California Consumer Privacy Act (CCPA), notamment le droit de savoir quelles informations personnelles nous collectons à leur sujet et le droit à la suppression. Nous ne vendons pas d’informations personnelles et nous ne les partageons pas pour de la publicité comportementale cross-context.
Pour exercer l’un de ces droits, écris à xiexperiments.app@gmail.com. Nous pouvons avoir besoin de vérifier ton identité avant de répondre.
10. Cookies et technologies similaires
Le service utilise un petit nombre de cookies et de technologies similaires :
- Cookies de sessionposés par notre fournisseur d’authentification pour te garder connecté. Ils sont nécessaires au service.
- Cookies analytics et local storageposés par Google Analytics sur le site marketing, et par notre fournisseur de product analytics sur l’app de production, pour enregistrer les événements décrits dans la section 2.
Tu peux effacer les cookies et le local storage depuis ton navigateur à tout moment. Désactiver les cookies nécessaires à la connexion empêchera le service de fonctionner.
11. Mineurs
Le service ne s’adresse pas aux mineurs de moins de 16 ans, et nous ne collectons pas sciemment de données personnelles de mineurs. Si tu penses qu’un mineur s’est inscrit, contacte-nous et nous supprimerons le compte.
12. Contenu sensible et données de catégorie particulière
Xi est un outil pour l’auto-expérimentation honnête. Les gens enregistrent souvent des métriques de mode de vie et proches de la santé : sommeil, humeur, entraînement, alimentation. Ce contenu reste à l’intérieur de ton workspace, mais Xi n’est pasun dispositif médical, un dossier médical électronique, ni un stockage de niveau clinique. N’enregistre pas d’informations dont la divulgation pourrait te nuire.
Une partie de ce que tu peux choisir d’enregistrer peut constituer des données personnelles de catégorie particulière au sens de l’Article 9 du RGPD(ou de son équivalent britannique), notamment des données révélant :
- la santé, y compris la santé physique et mentale ;
- les états psychologiques ou émotionnels (humeur, anxiété, stress) ;
- des schémas comportementaux qui, en contexte, révèlent l’un de ces éléments ; ou
- d’autres catégories spécifiquement protégées par la loi applicable.
C’est toi qui décides ce que tu enregistres. Xi ne demande, n’infère et n’exige pas de données de catégorie particulière. Si tu saisis de telles données dans ton workspace, tu le fais de ta propre initiative et tu nous les fournis en tant qu’input dont le service a besoin pour fonctionner.
Notre base de traitement.Nous traitons ce que tu enregistres uniquement pour fournir le service que tu as demandé : stocker tes expériences, calculer les verdicts par rapport au contrat que tu as écrit et te montrer les données en retour. Nous ne vendons pas de données de catégorie particulière, nous ne les utilisons pas pour entraîner des modèles tiers, et nous ne les analysons à aucune fin autre que faire fonctionner le service pour toi.
Ta responsabilité.Quand la loi applicable impose une base légale spécifique ou des garanties supplémentaires pour les données que tu enregistres, par exemple quand tu enregistres des informations sur une autre personne, quand tu opères dans un contexte réglementé, ou quand l’Article 9 s’applique autrement, tu es responsable de t’assurer que cette base existe(par exemple en obtenant un consentement éclairé ou en remplissant une autre condition légale) avant de saisir les données dans Xi. Les règles d’usage acceptable de nos Conditions s’appliquent également.
13. Sécurité
Nous utilisons des pratiques standard de l’industrie pour protéger les données personnelles : TLS en transit, contrôles d’accès sur notre infrastructure, chiffrement au repos pour les tokens OAuth, et utilisation de notre fournisseur d’authentification pour le stockage des identifiants. Aucun système n’est parfaitement sécurisé et nous ne pouvons pas garantir une sécurité absolue. Si nous prenons connaissance d’une violation affectant tes données, nous t’en informerons conformément à la loi applicable.
14. Modifications de cette politique
Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Quand nous ferons un changement substantiel, nous mettrons à jour la date de « Dernière mise à jour » en haut de cette page et, le cas échéant, donnerons un avis dans le produit ou par e-mail.
15. Contact
Des questions sur la confidentialité chez Xi ? Écris à xiexperiments.app@gmail.com.
← Retour à LegalCette politique de confidentialité est rédigée aussi clairement que possible. Ce n’est pas un avis juridique. Si tu as besoin de conseils formels sur la façon dont elle s’applique à toi, consulte un avocat qualifié dans ta juridiction.