Politique de confidentialité

PrayerSpace est un lieu privé de prière. Ce que vous y écrivez ne regarde que vous et Dieu, et la présente politique explique exactement ce que nous recueillons, pourquoi, où vont ces renseignements, combien de temps ils sont conservés et ce que vous pouvez faire à leur sujet. Nous l'avons rédigée pour être lue, et non parcourue : elle est donc plus longue que la plupart. Chaque affirmation qu'elle contient est vérifiée par rapport au code source de l'application.

1. Qui nous sommes et comment nous joindre

PrayerSpace (prayerspace.ca) est exploité par son propriétaire, un particulier établi à St. John's (Terre-Neuve-et-Labrador, Canada), à titre non commercial. Il n'y a ni société, ni investisseurs, ni publicité. L'exploitant est la personne responsable de vos renseignements personnels au sens de la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE, principe 1 — Responsabilité), la « personne responsable de la protection des renseignements personnels » au sens de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, et le « responsable du traitement » au sens du Règlement général sur la protection des données (RGPD) de l'Union européenne et du Royaume-Uni.

Pour toute question, demande ou plainte concernant vos renseignements personnels, écrivez à no-reply@prayerspace.ca. Nous répondons dans un délai de 30 jours. Une adresse postale est disponible sur demande.

2. Champ d'application

La présente politique s'applique au site PrayerSpace à l'adresse prayerspace.ca, à l'application Web installable (PWA) servie à la même adresse et aux courriels que nous vous envoyons. Elle ne s'applique pas aux sites tiers vers lesquels nous renvoyons, comme netbible.com ou salvationarmy.org, qui ont leurs propres politiques.

Cette politique est rédigée en anglais et offerte en français. En cas de divergence entre les deux versions, la version anglaise prévaut.

3. Ce que nous recueillons

Nous ne recueillons que ce dont le service a besoin. Les tableaux ci-dessous énumèrent chaque catégorie de renseignements personnels que l'application conserve, leur provenance et s'ils sont chiffrés.

3.1 Renseignements sur le compte

3.2 Contenu de prière — votre journal et votre liste de prière

Les entrées de votre journal de prière (titre, texte, date) et votre liste de prière (groupes et éléments) sont la raison d'être du service. Elles révèlent vos convictions religieuses et constituent donc des renseignements sensibles au sens de la LPRPDE et une catégorie particulière de données au sens de l'article 9 du RGPD. Nous les traitons en conséquence :

• Elles sont toujours chiffrées au repos (AES-256-GCM) avant d'atteindre la base de données.
• Par défaut, la clé de chiffrement est détenue par notre serveur afin que vous puissiez consulter vos entrées sur n'importe quel appareil. Dans ce mode, l'exploitant pourrait techniquement lire vos entrées en accédant directement à la base de données avec la clé du serveur. Nous ne le faisons pas, nous ne l'avons jamais fait, et aucun écran d'administration n'affiche les prières d'une autre personne.
• Vous pouvez activer le chiffrement de bout en bout (article 10). Vos entrées sont alors chiffrées sur votre propre appareil avec une clé dérivée d'une phrase secrète que vous seul connaissez, et nous ne conservons qu'un texte chiffré que nous ne pouvons pas lire — avec aucun outil et en réponse à aucune demande.
• Les dates des entrées ainsi que l'heure de création et de dernière modification sont conservées en clair dans les deux modes, car le calendrier en a besoin.

Nous ne transmettons jamais le contenu de prière à un tiers, ne l'utilisons jamais pour entraîner ou interroger un système d'intelligence artificielle et ne l'analysons jamais.

3.3 Paramètres

3.4 Sécurité et renseignements de connexion

Pour protéger votre compte, nous conservons un bref historique de chaque connexion :

Vous pouvez consulter votre historique de connexions et mettre fin à toute session depuis la page de votre compte. Nous vous envoyons un courriel lorsque votre compte est utilisé depuis un appareil ou un pays absent de votre historique récent.

3.5 Rapports d'incident technique

Lorsqu'une erreur survient, l'application enregistre un rapport d'incident pour que nous puissions la corriger. Un rapport contient le chemin de la page (jamais la chaîne de requête), le message d'erreur et la trace d'exécution, la chaîne d'identification de votre navigateur, quelques mesures autorisées (par exemple le nombre de mots d'une sauvegarde échouée) et un lien vers votre compte. Chaque rapport passe, deux fois, par une étape de caviardage qui supprime les adresses courriel, les blocs chiffrés, les jetons et les clés de récupération. Le texte de vos prières n'entre jamais dans un rapport d'incident — seulement sa longueur. Les rapports sont supprimés avec votre compte et, dans tous les cas, après 90 jours.

3.6 Renseignements conservés sur votre appareil

L'application conserve certaines données dans votre propre navigateur. Elles ne quittent jamais votre appareil, sauf mention contraire :

Ordinateurs partagés ou publics : le stockage des brouillons et la clé mémorisée restent sur l'appareil après la déconnexion. Effacez les données du site dans votre navigateur, ou utilisez une fenêtre privée, sur tout appareil que vous ne contrôlez pas.

3.7 Ce que nous ne recueillons délibérément pas

Aucune analyse d'audience ni suivi d'utilisation. Aucun identifiant publicitaire. Aucun témoin tiers. Aucun pixel de suivi dans les courriels. Aucun renseignement de paiement (le service est gratuit). Aucune localisation précise. Aucun contact, photo ou fichier autre que la photo de profil que vous choisissez. Aucun jeton de notification poussée. Aucun profilage. Aucune donnée d'enfant (article 12).

4. Pourquoi nous utilisons vos renseignements, et sur quel fondement juridique

Nous ne prenons aucune décision à votre sujet par des moyens automatisés et nous ne vous profilons pas.

5. Consentement et choix

• À l'inscription, vous acceptez la présente politique et les conditions d'utilisation en cochant une case ; la version et l'heure sont enregistrées. Si vous vous inscrivez avec Google, l'acceptation vous est demandée lors de votre première visite.
• Le chiffrement de bout en bout est facultatif. Vous pouvez l'activer, changer votre phrase secrète ou le désactiver à tout moment dans les paramètres du compte.
• Le fuseau horaire est détecté automatiquement ; vous pouvez le remplacer dans les paramètres du compte.
• Les courriels de sécurité (vérification, réinitialisation du mot de passe, liens de connexion, alertes de nouvel appareil) font partie du fonctionnement de votre compte et ne peuvent pas être désactivés tant que le compte existe. Nous n'envoyons aucune infolettre ni aucun message promotionnel : il n'y a donc rien dont se désabonner. Il s'agit de messages « transactionnels » au sens de la Loi canadienne anti-pourriel.
• Retirer votre consentement pour tout autre élément consiste à supprimer les renseignements concernés ou votre compte (article 11).

6. À qui nous communiquons vos renseignements

Nous ne vendons, ne louons, n'échangeons ni ne communiquons vos renseignements personnels à quiconque pour ses propres fins. Le service repose sur l'infrastructure des fournisseurs suivants, qui traitent les données pour notre compte et selon leurs propres engagements de sécurité :

Deux autres outils ne sont utilisés que par les administrateurs pour préparer le contenu dévotionnel quotidien (doctrines, passages bibliques, cantiques et citations historiques) et ne reçoivent jamais aucun renseignement sur les utilisateurs : Google Gemini (un modèle d'IA qui aide à extraire des citations d'un manuel de doctrine du domaine public) et API.Bible (consultation de textes bibliques).

Nous ne communiquerons de renseignements personnels en dehors de cette liste que si la loi canadienne, une ordonnance judiciaire ou une autre demande juridiquement contraignante l'exige, et seulement dans la mesure requise. Le cas échéant, nous vous en informerons, sauf interdiction légale. Lorsque les renseignements sont chiffrés de bout en bout, nous ne pouvons remettre qu'un texte chiffré, car c'est tout ce que nous possédons.

7. Lieu de conservation et transferts internationaux

La base de données qui contient votre compte et votre contenu de prière est située au Canada (AWS ca-central-1, Montréal, Québec). Deux des fournisseurs de l'article 6 traitent des données à l'extérieur du Canada, aux États-Unis : Vercel, par les serveurs duquel transite chaque requête (votre adresse IP et les pages demandées y sont donc traitées, et le contenu de prière chiffré y transite), et Google, qui achemine nos courriels et gère la connexion avec Google. Lorsque des renseignements se trouvent aux États-Unis, ils sont soumis aux lois de ce pays et peuvent être accessibles à ses tribunaux ainsi qu'à ses autorités policières et de sécurité nationale en vertu de ces lois. C'est la mention que le Commissariat à la protection de la vie privée du Canada demande aux organisations de faire au sujet du traitement transfrontalier.

Si vous utilisez PrayerSpace depuis l'Espace économique européen, le Royaume-Uni ou la Suisse : la Commission européenne et le Royaume-Uni reconnaissent que la LPRPDE offre une protection adéquate pour les données traitées par les organisations qui y sont assujetties. Les transferts ultérieurs vers nos fournisseurs américains reposent sur leur participation au Cadre de protection des données UE–États-Unis et à ses extensions britannique et suisse, ainsi que sur les clauses contractuelles types intégrées à leurs conditions de traitement des données. Le chiffrement de bout en bout, lorsque vous l'activez, constitue une garantie technique supplémentaire qui rend votre contenu de prière illisible pour tout destinataire.

8. Durée de conservation

Lorsque vous supprimez votre compte (article 11), les éléments suivants sont retirés en une seule opération : votre profil, votre journal de prière, votre liste de prière, vos clés de chiffrement, vos sessions et votre historique de connexions, le lien avec votre compte Google, le condensé de votre mot de passe, les rapports d'incident, les liens de courriel en attente et la photo de profil téléversée. La seule trace qui subsiste se trouve dans le journal d'audit du contenu dévotionnel qu'un compte administrateur a pu modifier, où l'auteur est remplacé par « Utilisateur supprimé ». Rien à votre sujet n'est conservé après la suppression « pour nos dossiers ».

9. Comment nous protégeons vos renseignements

• Chiffrement au repos. Les entrées du journal et les listes de prière sont chiffrées en AES-256-GCM avant d'être écrites dans la base de données, chaque enregistrement avec son propre vecteur d'initialisation, le journal et la liste sous des clés distinctes. Les clés sont conservées dans la configuration d'environnement du serveur, jamais dans la base de données ni dans votre navigateur.
• Mots de passe hachés avec Argon2id (64 Mio de mémoire, 3 itérations, 4 voies). Le mot de passe en clair n'est jamais stocké et ne peut être récupéré par personne, nous compris.
• En transit. Chaque connexion à prayerspace.ca utilise HTTPS (TLS). Les courriels sont remis au serveur de messagerie par une connexion chiffrée (SMTPS).
• Sessions. Votre témoin de session est HttpOnly (invisible aux scripts), Secure (HTTPS seulement) et SameSite (résistant à la falsification de requête intersite). Les sessions expirent après 7 jours. Une nouvelle connexion depuis un appareil ou un pays inconnu déclenche une alerte par courriel.
• Contrôle d'accès. Chaque requête de contenu de prière est limitée à l'utilisateur connecté. Aucun chemin de code ne permet à un utilisateur de lire les entrées d'un autre. Les administrateurs voient la liste des comptes (nom, courriel, état, dates d'inscription et de dernière activité — jamais les adresses IP ni les chaînes de navigateur), des statistiques agrégées et les rapports d'incident ; ils ne peuvent ouvrir le journal de personne, et la possibilité pour un administrateur de « se connecter en tant que » un autre utilisateur est désactivée.
• Limitation de débit sur la connexion, l'inscription, la réinitialisation du mot de passe et l'envoi de courriels, pour ralentir les tentatives de devinette et le bombardement de courriels.
• Hygiène des journaux. La chaîne de traitement des rapports d'incident applique une liste blanche de champs et retire secrets et adresses courriel avant toute écriture (article 3.5).
• Politique de sécurité du contenu et autres en-têtes de durcissement du navigateur limitant les scripts pouvant s'exécuter sur le site.

Aucun système n'est parfaitement sûr. L'article 14 décrit ce que nous faisons en cas de problème.

10. Chiffrement de bout en bout (facultatif)

Vous pouvez activer le chiffrement de bout en bout dans les paramètres du compte. Lorsqu'il est actif :

• Vous choisissez une phrase secrète, distincte de votre mot de passe. Votre appareil la transforme en clé maîtresse au moyen d'Argon2id ; cette clé ne quitte jamais l'appareil. Une clé de chiffrement de clés en est dérivée (HKDF) et sert à envelopper une clé de données aléatoire de 256 bits qui chiffre votre journal et votre liste (AES-256-GCM).
• Le serveur ne conserve que la clé de données enveloppée (chiffrée), une seconde copie enveloppée avec votre clé de récupération, le sel aléatoire et les paramètres Argon2id. Rien de cela ne nous permet, ni à quiconque disposant d'une copie de la base de données, de lire vos entrées.
• Une clé de récupération (26 caractères) vous est présentée une seule fois, à l'activation. C'est le seul moyen de retrouver l'accès si vous oubliez votre phrase secrète. Nous ne la conservons pas et ne pouvons pas la régénérer.
• Si vous perdez à la fois votre phrase secrète et votre clé de récupération, vos entrées chiffrées sont perdues. Aucun outil d'assistance, aucune intervention administrative, aucune requête de base de données ne peut les récupérer. Ce n'est pas une limite que nous pourrions lever : c'est ce qui rend le chiffrement de bout en bout.
• La garantie s'applique à partir de la fin de la migration. L'activation télécharge vos entrées existantes sur votre appareil, les y chiffre et les renvoie au serveur. Les copies réalisées avant ce moment, y compris les sauvegardes de la base de données dans la période indiquée à l'article 8, n'étaient protégées que par le chiffrement côté serveur. La désactivation inverse le processus.
• « Se souvenir de cet appareil » conserve votre clé déverrouillée dans la base de données du navigateur, sous forme non extractible (article 3.6). Le verrouillage automatique l'efface de la mémoire après une période d'inactivité. Le verrouillage et le déverrouillage sont synchronisés entre les onglets d'un même appareil ; aucune clé ne transite par ce canal.
• Votre nom, votre adresse courriel, votre fuseau horaire, les dates des entrées et leur nombre restent non chiffrés, car le service ne peut fonctionner sans eux (article 3.2).

11. Vos droits

Pour tous

Vous pouvez, à tout moment et sans frais :

• Consulter et télécharger tout ce que nous détenons à votre sujet. Le bouton « Télécharger mes données » de la page de votre compte produit un fichier JSON contenant votre profil, toutes les entrées de votre journal, votre liste de prière, votre historique de connexions (adresses IP comprises), votre consentement et l'état de votre chiffrement. Si le chiffrement de bout en bout est actif, le fichier est déchiffré sur votre appareil lorsque votre clé est déverrouillée.
• Corriger votre nom, votre fuseau horaire, votre langue et votre photo dans les paramètres du compte ; changer votre mot de passe ; mettre fin à des sessions.
• Supprimer votre compte et tout ce qu'il contient, depuis la page de votre compte (article 8). Si vous vous êtes inscrit avec Google, vous confirmez en saisissant votre adresse courriel, et nous pourrons vous demander de vous reconnecter avec Google au préalable.
• Nous demander d'effectuer l'une de ces opérations, ou nous poser toute question, par courriel (article 1). Nous vérifierons que la demande émane du titulaire du compte — normalement en vous demandant d'écrire depuis l'adresse enregistrée — et répondrons dans un délai de 30 jours.

Au Canada (LPRPDE)

Vous avez le droit d'accéder à vos renseignements personnels, d'en contester l'exactitude et l'intégralité, de retirer votre consentement (sous réserve de restrictions légales ou contractuelles et d'un préavis raisonnable), de savoir à qui ils ont été communiqués et de contester notre conformité à la LPRPDE. Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada, 30, rue Victoria, Gatineau (Québec) K1A 1H3, 1-800-282-1376, www.priv.gc.ca.

Dans l'EEE, au Royaume-Uni et en Suisse (RGPD)

Vous disposez des droits d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), de portabilité (art. 20 — le téléchargement en JSON lisible par machine), d'opposition au traitement fondé sur l'intérêt légitime (art. 21) et de retrait du consentement à tout moment sans effet sur le traitement antérieur (art. 7(3)). Vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre pays de résidence ou de l'Information Commissioner's Office du Royaume-Uni. Nous n'avons pas désigné de représentant dans l'UE ou au Royaume-Uni au titre de l'article 27, en nous fondant sur l'exemption prévue pour les traitements occasionnels et non commerciaux ; vous pouvez nous joindre directement à l'adresse indiquée à l'article 1.

12. Enfants

PrayerSpace ne s'adresse pas aux enfants. Vous devez avoir au moins 16 ans pour créer un compte. Nous ne recueillons sciemment aucun renseignement personnel auprès de personnes plus jeunes. Si vous pensez qu'un enfant a créé un compte, écrivez-nous (article 1) et nous le supprimerons avec son contenu.

13. Témoins et technologies similaires

Nous utilisons exactement deux témoins et aucune technologie de suivi :

Pendant « Se connecter avec Google », des témoins de courte durée protègent l'échange de connexion lui-même et sont retirés une fois celui-ci terminé. Le stockage local, les bases de données du navigateur et le cache du service worker sont décrits à l'article 3.6. Comme aucun de ces éléments ne sert au suivi ou à la publicité, aucune bannière de témoins n'est requise et aucune n'est affichée. Vous pouvez tous les effacer à tout moment dans les paramètres de données de site de votre navigateur ; cela vous déconnecte, oublie votre clé de chiffrement mémorisée et supprime les brouillons non sauvegardés.

14. En cas d'atteinte à la sécurité

Si nous apprenons que vos renseignements personnels ont été perdus, consultés ou communiqués sans autorisation, nous évaluerons le risque, le contiendrons et — s'il existe un risque réel de préjudice grave pour vous — vous en aviserons et en ferons rapport au Commissariat à la protection de la vie privée du Canada dès que possible, comme l'exige l'article 10.1 de la LPRPDE, et conserverons un registre de l'atteinte pendant 24 mois. Pour les renseignements de résidents de l'EEE ou du Royaume-Uni, nous notifierons l'autorité de contrôle compétente dans les 72 heures lorsque le RGPD l'exige. Lorsque votre contenu était chiffré de bout en bout, une atteinte à la base de données n'expose qu'un texte chiffré, et nous le préciserons dans l'avis.

15. Modifications de la présente politique

La version et la date d'entrée en vigueur figurent en tête de cette page. Nous pouvons mettre à jour la présente politique lorsque le service ou la loi change. Si une modification réduit vos droits ou étend ce que nous recueillons ou communiquons, nous vous enverrons un courriel à votre adresse enregistrée et afficherons un avis à la connexion au moins 14 jours avant son entrée en vigueur ; continuer à utiliser le service après cette date vaut acceptation. Les corrections et précisions sans effet sur vos droits prennent effet dès leur publication. Les versions antérieures sont disponibles sur demande.

16. Notes pour certaines régions

• Québec. L'exploitant (article 1) est la personne responsable de la protection des renseignements personnels. La présente politique est offerte en français. Vous pouvez adresser une plainte à la Commission d'accès à l'information du Québec après nous avoir contactés.
• Californie. Nous ne vendons ni ne partageons de renseignements personnels, ne les utilisons pas à des fins de publicité comportementale intercontextuelle et ne l'avons pas fait au cours des 12 derniers mois. Les droits de l'article 11 vous sont ouverts.
• Ailleurs. Lorsque la loi locale vous confère des droits allant au-delà de ceux énumérés à l'article 11, contactez-nous et nous les respecterons.

17. Contact

no-reply@prayerspace.ca — pour les questions, demandes et plaintes relatives à la vie privée. Veuillez écrire depuis l'adresse courriel associée à votre compte afin que nous puissions vérifier que la demande émane bien de vous. Une adresse postale est disponible sur demande.