Politique de confidentialité

Qui est responsable

Le responsable du traitement est Nicolas Caussin, entrepreneur individuel (EI), nom commercial Aumana Studio, éditeur de Lucerna. Adresse : 8 hameau de la ferme, 78240 Aigremont. Pour toute question sur vos données : hello@aumana-studio.com.

Pour la Loi 25 du Québec, la personne responsable de la protection des renseignements personnels est l’éditeur, Nicolas Caussin, entrepreneur individuel (EI), nom commercial Aumana Studio, joignable à hello@aumana-studio.com.

Aucun délégué à la protection des données n’a été désigné. Les coordonnées complètes de l’éditeur figurent dans les mentions légales.

Sur votre appareil d’abord

Vos livres (texte, plan, fiches, notes, images, historique des versions) sont enregistrés dans le stockage de votre navigateur, sur votre appareil. Lucerna fonctionne hors ligne et ne dépend pas de nos serveurs pour écrire.

Si vous choisissez un dossier de sauvegarde, Lucerna y écrit en continu une copie lisible de vos livres (fichiers Markdown) et une archive datée : ce dossier est sur votre ordinateur, nous n’y avons pas accès.

Le navigateur garde aussi vos réglages (thème, police, raccourcis, IA activée ou non) et, si vous êtes connectée, la session de votre compte. Lucerna ne dépose aucun cookie publicitaire ni de mesure d’audience, et les polices sont servies par Lucerna : ce stockage est strictement nécessaire au service et ne demande pas de consentement. Lucerna ne charge rien chez un tiers, sauf quand vous le demandez : définition d’un mot, article de Wikipédia et vignettes d’une recherche d’images (voir plus bas).

Si vous arrivez par un lien qui indique sa provenance (par exemple ?src=instagram ou une adresse courte comme /s/salon), le navigateur garde ce seul mot (« instagram », « salon »…) et le jour de la visite, pour le premier et le dernier lien suivi, 90 jours au plus. Ce n’est pas un cookie : rien ne vous suit sur d’autres sites, aucun identifiant publicitaire n’est créé et rien n’est transmis à TikTok, Meta ni à aucun autre tiers.

Ordinateur partagé : se déconnecter ferme la session mais laisse vos livres dans ce navigateur. Un autre compte ne les voit pas dans Lucerna, mais une personne qui utilise la même session de l’ordinateur peut les retrouver dans le stockage du navigateur. Pour les retirer, choisissez « Se déconnecter et effacer cet ordinateur » (menu du compte), effacez les données du site dans les réglages du navigateur ou supprimez votre compte depuis cet appareil ; le carnet du téléphone, lui, est vidé à la déconnexion. L’aide détaille la marche à suivre.

Sans compte (installation sans comptes activés), rien ne quitte votre appareil en dehors des fonctions décrites plus bas que vous déclenchez vous-même.

Ce que nos serveurs reçoivent

Votre compte

Adresse e-mail et mot de passe (conservé uniquement sous forme d’empreinte irréversible), ou, avec « Continuer avec Google », l’adresse e-mail, le nom et la photo de profil que Google transmet. S’y ajoutent les dates de création et de dernière connexion, et les journaux techniques de connexion du service d’authentification (date, nature de l’opération, adresse IP, adresse e-mail du compte).

Pour qu’une même personne ne reçoive qu’une fois l’essai de 30 jours et le crédit d’IA de bienvenue, nous gardons une empreinte chiffrée et irréversible de votre adresse e-mail, jamais l’adresse elle-même, pendant 2 ans, y compris après la suppression de votre compte. Pour limiter les essais abusifs de codes d’offre, une empreinte de votre adresse réseau est gardée 24 heures.

Le parrainage

Si vous créez votre compte avec le lien d’une marraine, elle voit votre prénom et l’initiale de votre nom, la date de votre inscription et l’état du parrainage (essai, abonnement, récompense) ; jamais votre adresse e-mail, vos livres ni vos paiements. Vous voyez son prénom sur la page d’invitation, sauf si elle le masque. Un lien seulement ouvert n’est pas enregistré. Pour vérifier qu’on ne se parraine pas soi-même, nous gardons une empreinte chiffrée de l’adresse de facturation et de la carte de chaque paiement, jamais leur valeur.

D’où vous venez

Si vous créez un compte ou demandez la lettre d’information après être arrivée par un tel lien, sa provenance (le mot du lien, le jour, premier et dernier lien suivis) est enregistrée une seule fois avec votre compte ou votre inscription, puis effacée de votre navigateur. Nous en tirons des totaux par provenance (combien d’inscriptions sont venues d’Instagram, d’un salon du livre…). Par ailleurs, à chaque nouveau compte, l’éditeur de Lucerna reçoit un e-mail interne indiquant le prénom, la provenance et l’offre de départ, sans l’adresse e-mail.

La synchronisation avec le carnet

Quand vous êtes connectée, chaque appareil qui détient vos livres en publie un instantané complet (texte, plan, fiches, notes, sans les images intégrées) dans votre espace, pour que le carnet de votre smartphone les affiche. Les images de vos livres y sont envoyées séparément, dans un dossier privé à votre nom, accessible seulement par des adresses temporaires que notre serveur délivre après avoir vérifié votre session. Les notes, pense-bêtes, fiches et mots du dictionnaire saisis sur le smartphone y transitent jusqu’à ce que l’ordinateur les applique. Personne d’autre que vous ne peut lire cet espace : chaque ligne est réservée à son propriétaire par des règles d’accès appliquées par la base elle-même.

Les lecteurs tests

Quand vous publiez une version de lecture, une copie figée des chapitres choisis (sans vos commentaires de marge) est conservée pour vos lecteurs. Quand vous invitez un lecteur, nous enregistrons l’adresse e-mail et le nom que vous saisissez, pour lui envoyer l’invitation, les relances et l’annonce des nouvelles versions ; le lien d’invitation expire au bout de 30 jours. Un lecteur qui accepte crée un compte lecteur ; ses surlignages, commentaires, réactions et sa progression (position, pourcentage, temps passé par chapitre) sont visibles par l’autrice du livre, et par les autres lecteurs seulement si elle a ouvert les annotations au groupe. L’accès s’arrête dès que l’autrice le retire.

Les notes vocales

Un lecteur test, une correctrice ou l’autrice peut joindre une note vocale à un commentaire. Elle est gardée sur les serveurs de Lucerna à Paris (Supabase) et jamais utilisée pour entraîner une IA. La note d’un lecteur test ou d’une correctrice n’est entendue que par l’autrice ; une réponse de l’autrice, par la personne à qui elle répond. Elle est supprimée avec le commentaire, quand l’accès au livre est retiré, et au plus tard 12 mois après la fermeture de la version de lecture par l’autrice, ou, si elle n’est pas fermée, 12 mois après le dernier commentaire sur cette version ; vous pouvez aussi la supprimer à tout moment dans Réglages › « Vos notes vocales ». La transcription, si vous la demandez, se fait sur votre appareil : votre voix n’est envoyée nulle part pour cela.

Les livres écrits à plusieurs

Quand vous partagez un livre, son texte, son plan, ses fiches et sa Lanterne sont conservés dans un espace commun, lisible seulement par les co-autrices du livre tant qu’elles en font partie. Vos notes privées, pense-bêtes, objectifs et réponses de l’IA restent à vous seule.

Les co-autrices voient votre prénom, votre couleur, le jour de votre dernière visite (jamais l’heure), et, pendant que vous écrivez, la position de votre curseur, qui n’est pas conservée. Vos commentaires sont signés de votre prénom, et l’historique du livre indique, pour chacune, les mots écrits et les séances de travail. Votre relevé du processus créatif n’est réuni à celui du livre que si vous le décidez, et vous pouvez le retirer.

Les correctrices voient seulement les chapitres qui leur sont confiés.

Discussion du livre : les messages sont lisibles par les co-autrices et par les correctrices des chapitres qui leur sont confiés, tant qu’elles font partie du livre. Ils sont gardés tant que le livre partagé existe. Une citation reprend au plus 200 signes du texte.

Si vous quittez le livre, ou si on vous en retire, votre accès s’arrête aussitôt ; vous gardez une copie du livre tel qu’il était.

Si vous supprimez votre compte :

• un livre dont vous êtes propriétaire est d’abord transmis à une co-autrice, pour que rien ne soit perdu ;
• votre prénom reste affiché dans le livre pour signer ce que vous avez écrit, sans adresse ni accès ;
• vos messages de discussion restent signés « Ancienne membre » ;
• l’historique du livre d’avant le partage est conservé avec lui, en lecture seule.

Les envois aux maisons d’édition

Quand vous envoyez un manuscrit à une maison d’édition par Lucerna, la maison reçoit une copie figée de votre texte (sans images), votre nom d’autrice, le titre, le genre, votre mot d’accompagnement et, seulement si vous le choisissez, les chiffres de votre relevé « écrit à la main » avec son lien de vérification ; jamais votre livre lui-même, vos notes, votre Bible ni votre Lanterne. Vous pouvez retirer votre envoi à tout moment : le manuscrit et le relevé sont alors effacés aussitôt, et le lien de vérification donné à la maison est retiré ; sinon, ils sont effacés un an après la réponse de la maison. Les notes de la maison sur votre envoi restent à la maison.

Les illustratrices des maisons d’édition

Pour inviter une illustratrice sur l’un de ses livres, la maison saisit son adresse e-mail : nous l’enregistrons pour lui envoyer l’invitation. Quand elle accepte, l’équipe du livre voit son nom et sa marque. Les fichiers qu’elle dépose (illustrations, visuel de couverture, et chaque version) sont gardés avec le livre de la maison, dans un stockage privé, tant que ce livre existe chez la maison. Seules l’équipe de la maison qui suit le livre et ses illustratrices peuvent les ouvrir ; une illustration validée entre dans la mise en page du livre.

L’illustratrice lit le texte du livre sans pouvoir le modifier. Elle ne voit ni le catalogue ni les autres livres de la maison. Quand elle quitte le livre, son accès s’arrête et elle n’en garde aucune copie ; ses dépôts et ses messages restent avec le livre.

Les agents littéraires

Quand vous confiez des livres à un agent, nous enregistrons l’adresse e-mail que vous saisissez, pour lui envoyer l’invitation. Quand il accepte, nous gardons son nom et, s’il l’indique, son agence. Pour chaque livre confié, une fiche est copiée pour lui : titre, résumé, genre, longueur et état du livre, avec le suivi des envois (maisons, dates, réponses, relances). Jamais le texte, la Bible, le Liège, le Plan, vos notes privées, la Lanterne, vos autres livres, votre compte ni votre offre, ni le contact et la note de chaque envoi.

L’agent peut ajouter des envois en son nom, noter des réponses et écrire des notes sur le livre. Vous voyez ses notes, sauf celles qu’il garde pour lui. Un envoi par Lucerna qu’il propose ne part qu’avec votre accord ; la maison voit alors son nom et son agence, et ses réponses vont à vous deux.

Ces copies sont gardées tant que la relation dure. Quand vous retirez l’accès à un livre, ou quand l’un de vous deux arrête, l’agent ne voit plus rien de ce livre et les notes qu’il gardait pour lui sont supprimées. Le reste de l’historique (envois, réponses, notes qu’il vous montrait) reste chez vous, avec votre compte ; son nom reste sur les envois de votre historique, parce que l’autrice a besoin de savoir qui a envoyé quoi. L’autre personne est prévenue par e-mail.

Les demandes de démonstration

Demande de démonstration (maisons d’édition) : quand vous remplissez le formulaire « Demander une démonstration », nous recueillons votre nom, le nom de votre maison, votre adresse e-mail, le nombre de titres par an et votre message s’il y en a un. Ces données servent seulement à vous répondre : elles nous sont transmises par un e-mail interne et ne servent à aucune autre fin, ni prospection ni publicité. Elles sont effacées au bout d’un an sans suite, sauvegardes comprises.

Vos signalements et idées

Quand vous signalez un problème ou proposez une idée depuis Lucerna, son contenu (titre, description, étapes, informations techniques, et la capture d’écran si vous en joignez une) et votre nom affiché sont enregistrés dans un outil de suivi privé, GitHub, réservé à l’équipe qui fait Lucerna. Votre adresse e-mail n’y figure pas : elle reste dans notre espace d’administration. La capture d’écran, elle, reste dans notre stockage privé ; le ticket ne contient qu’un lien que seule l’équipe peut ouvrir.

La Lanterne

Ce que vous rangez dans la Lanterne est enregistré sur votre appareil ; ses notes, liens et sources voyagent avec le livre quand il est synchronisé. Avec l’Atelier, ses fichiers (images, PDF, pages, mémos) sont aussi copiés dans un dossier privé à votre nom, chez Google Cloud Storage à Paris, pour passer d’un appareil à l’autre ; avec Découverte, ils restent sur l’appareil. Quand vous collez un lien, notre serveur lit la page pour en tirer le titre, une vignette et, si vous le demandez, une copie lisible : il ne garde pas la page et n’inscrit pas son adresse dans ses journaux. Ce que vous envoyez par le Raccourci de l’iPhone attend dans un dossier de transit à votre nom jusqu’à ce que Lucerna le range, 30 jours au plus.

Les recherches d’images

Quand vous cherchez une image dans les banques d’images gratuites (Unsplash, Pixabay, Openverse, Wikimedia Commons) ou dans les fonds ouverts de la Lanterne (Gallica, Wikimedia Commons, Openverse, Wikipédia, Met Museum, Library of Congress, David Rumsey), notre serveur ne leur transmet que les mots cherchés (et, pour les fonds, le lieu et l’époque), jamais le texte du livre ni votre identité. Les vignettes des résultats sont ensuite affichées par votre navigateur directement depuis la source, qui reçoit alors votre adresse IP.

La dictée

La dictée du carnet utilise la reconnaissance vocale de votre navigateur ou de votre téléphone : Lucerna ne reçoit que le texte obtenu. Selon l’appareil, votre voix peut être traitée par l’éditeur du navigateur ou du système (Google pour Chrome, Apple pour Safari), selon ses propres règles.

Les paiements

Quand vous achetez une offre payante, vous payez sur la page sécurisée de Stripe : votre carte et les informations que cette page demande (adresse e-mail, nom…) sont saisies chez Stripe. Lucerna ne voit ni ne conserve jamais le numéro de votre carte. Nous gardons les références Stripe de votre compte et de vos paiements, le produit, le montant et les dates, ainsi que la preuve de chaque commande : version des CGV acceptée, cases cochées, date et heure. Stripe émet les factures et les reçus.

Les cartes cadeaux

Quand vous achetez une carte cadeau, même sans compte, nous enregistrons votre adresse e-mail et le nom que vous choisissez de faire apparaître (pour le reçu et la carte), et, si Lucerna envoie le code pour vous, le prénom et l’adresse e-mail de la personne qui reçoit, la date d’envoi et votre message personnel. Ces données servent seulement à exécuter la commande (reçu, envoi du code le jour choisi, suivi) et à la comptabilité : jamais à de la prospection. Le paiement passe par Stripe, comme les autres : Lucerna ne voit pas le numéro de votre carte. Le code n’est jamais gardé en clair : nous n’en gardons qu’une empreinte, qui permet de le reconnaître sans pouvoir le relire. Quand le code est utilisé, il est rattaché au compte qui l’a saisi ; la personne qui reçoit voit le nom que vous avez choisi, et vous êtes prévenue par e-mail que votre cadeau a servi.

Le correcteur grammatical

L’orthographe est vérifiée sur votre appareil. Pour la grammaire, les paragraphes affichés à l’écran sont envoyés à notre serveur, qui les analyse avec LanguageTool, un logiciel libre que nous hébergeons nous-mêmes à Paris. Le texte n’est ni conservé ni journalisé, et n’est transmis à aucun tiers.

Wikipédia et le Wiktionnaire

Quand vous cherchez ou lisez un article de Wikipédia ou une définition du Wiktionnaire, le mot ou le titre cherché est demandé directement par votre navigateur à Wikimedia (Wikimedia Foundation), qui reçoit alors votre adresse IP, comme pour toute page web. Jamais le texte de vos livres, ni vos notes, ni vos fiches, ni votre nom ou votre adresse e-mail. Rien n’est envoyé sans votre demande, et un message le dit avant la première lecture. Vous pouvez ne pas l’utiliser : Réglages › Confidentialité, interrupteur « Lire Wikipédia et le Wiktionnaire dans Lucerna ».

Les journaux du serveur

Pour la sécurité et le bon fonctionnement, notre serveur journalise chaque requête : méthode, adresse demandée, statut, durée, et, côté hébergeur, l’adresse IP et le navigateur. Le contenu des requêtes (texte du livre, fiches, messages) n’est jamais journalisé. Pour l’IA, seuls la date, la tâche, le modèle et le nombre de jetons sont gardés.

Quand une erreur survient dans votre navigateur, Lucerna envoie à notre serveur, et à lui seul, un rapport d’erreur technique : message nettoyé, endroit du programme, version, écran ouvert sans identifiant de livre, navigateur et système, sans le texte de vos livres, ce que vous tapez ni votre adresse ; il est écrit dans les journaux du serveur, jamais en base, et se coupe dans Réglages, « Mes données », « Envoyer les rapports d’erreur techniques ».

Le processus créatif

Pour chaque livre, Lucerna enregistre la façon dont il s’écrit : les séances (début, fin, appareil), les mots tapés, supprimés, collés depuis l’extérieur ou issus d’une proposition de l’IA de Lucerna, les passages repris, la taille et la date de chaque collage. Ce journal ne contient jamais le texte du livre ni celui des collages : seulement des identifiants, des dates et des nombres. Il est tenu sur votre appareil, dès la création du livre et pour toutes les offres ; un manuscrit importé n’est décrit qu’à partir de son import.

Avec un compte, deux choses partent vers nos serveurs, sans aucun texte :

• une empreinte par jour d’écriture (SHA-256), calculée sur votre appareil à partir du livre et du journal. Le serveur l’horodate et la range dans une chaîne signée propre au livre ; une fois par jour, une seule empreinte qui résume celles de toutes les autrices est horodatée par une autorité tierce (aujourd’hui FreeTSA), qui ne reçoit rien d’autre ;
• le journal de chaque appareil (identifiants, dates et nombres, le type d’appareil « Ordinateur » ou « Smartphone » et un identifiant tiré au hasard), pour réunir les séances de vos différents appareils. Le serveur refuse tout journal qui contiendrait autre chose.

Pour compter vos usages de l’IA de Lucerna dans un livre, chaque appel garde aussi l’identifiant du livre, jamais son texte.

Rien n’est partagé sans votre demande. Avec l’Atelier, le relevé PDF est composé sur votre appareil ; un lien de vérification n’existe que si vous le créez : la page publique montre les chiffres du relevé (jamais le texte) à qui reçoit le lien, nous ne comptons que le nombre de consultations, sans savoir qui, et le lien est révocable à tout moment. Dans Réglages › Confidentialité, vous pouvez arrêter l’enregistrement d’un livre (le relevé montrera la période « non enregistré ») et télécharger votre journal, lisible et sans texte. Finalité : vous permettre de montrer comment votre livre a été écrit ; base : l’exécution du contrat (la fonction fait partie de Lucerna).

L’intelligence artificielle

Les fonctions d’IA (bêta-lecture, vérification de cohérence, révisions proposées, discussion sur le livre, propositions de quatrième de couverture, de synopsis et de pitch, synonymes, extraction des fiches) envoient à Anthropic, via notre serveur, les passages et les fiches nécessaires à la tâche, au moment où vous la lancez — ou en continu si vous avez choisi le mode arrière-plan. L’IA ne lit les retours de vos lecteurs tests que si vous demandez leur synthèse : partent alors leurs commentaires, les passages qu’ils ont surlignés et leurs réactions, sous un pseudonyme (L1, L2…), sans leur nom ni leur adresse e-mail ; Lucerna garde la synthèse, pas une copie des retours.

• Nous utilisons l’API commerciale d’Anthropic : selon ses conditions, les contenus transmis ne servent pas à entraîner ses modèles. Anthropic les conserve seulement le temps limité prévu par ses conditions, notamment pour la détection des abus.
• Un interrupteur général coupe toute l’IA d’un clic (dès les premiers pas, puis dans le volet IA) ; chaque fonction s’active ou non. IA coupée, aucun texte ne part vers Anthropic.
• L’IA ne prend aucune décision vous concernant : elle propose, vous décidez.

Couverture par IA. Quand vous lancez « Générer une couverture », seul le brief que vous avez relu et modifié (genre, public, résumé de la fiche, votre description, style), accompagné de nos consignes de mise en page, est envoyé à Google via notre serveur — jamais le manuscrit. Pour une variante, l’image choisie est renvoyée avec ce brief. Google traite la demande avec Vertex AI dans l’Union européenne (multi-région UE), en tant que sous-traitant :

• selon les conditions propres au service (Service Specific Terms, section 18), Google n’utilise pas ces données pour entraîner ses modèles ;
• le cache des données de Vertex AI est désactivé sur notre projet ;
• tant que la dérogation que nous avons demandée n’est pas accordée, Google peut journaliser une demande jugée suspecte par ses filtres automatiques, aux seules fins de contrôler le respect de ses règles d’utilisation, pendant 90 jours au plus, dans la même région ;
• les quatre images proposées sont enregistrées dans votre espace privé de stockage d’images ; leur nombre de générations est compté par mois pour appliquer le quota.

La bourse aux lecteurs tests

Quand vous publiez une annonce, son contenu (genre, longueur, attentes, ligne, nombre de lecteurs, extrait) et votre prénom sont visibles des personnes connectées à Lucerna. Pour vérifier qu’elle respecte les règles, ce contenu et votre prénom, ainsi que le motif d’un éventuel signalement, sont envoyés à notre sous-traitant d’IA (Anthropic), sans le titre ni le texte du livre, sans votre adresse ; ils ne servent pas à entraîner ses modèles. Quand vous répondez à une annonce, l’autrice voit votre prénom et votre mot, jamais votre adresse, que Lucerna utilise seulement pour vous envoyer l’invitation si elle vous choisit. L’annonce reste en ligne 30 jours ; annonces, réponses et signalements sont effacés 12 mois après la fin de l’annonce, ou avec votre compte. L’identité des personnes qui signalent n’est jamais communiquée à l’autrice. Vous pouvez retirer une annonce ou une réponse à tout moment.

Le coût de cette vérification est à la charge de Lucerna. Base : l’exécution du contrat (la bourse fait partie de Lucerna) et notre intérêt légitime à tenir un espace sûr. Les règles sont sur la page Règles de la bourse.

Les e-mails

Lucerna vous écrit depuis lucerna@aumana-studio.com uniquement pour le service : confirmation de l’adresse, nouveau mot de passe, lien de connexion, changement d’adresse, invitations et nouvelles versions pour les lecteurs tests, invitations des illustratrices et des agents littéraires, avis de fin d’accès d’un agent, récapitulatif des retours pour l’autrice (quotidien, hebdomadaire ou désactivé, dans « Lecteurs tests » ; chaque récapitulatif contient un lien pour l’arrêter en un clic), confirmations de commande et rappels liés à votre offre. Aucune publicité. La lettre d’information n’est envoyée qu’aux personnes qui l’ont demandée (voir ci-dessous). Ces e-mails sont envoyés par Resend.

La lettre d’information

La lettre de Lucerna (nouveautés et conseils d’écriture, chaque semaine au début puis chaque mois) n’est envoyée qu’avec votre accord explicite : case non cochée à l’inscription, interrupteur dans Réglages → Compte, ou formulaire de la page d’accueil suivi d’un clic sur le lien de confirmation reçu par e-mail (sans ce clic, l’adresse ne reçoit rien). L’inscription est réservée aux personnes de 15 ans et plus : une case « J’ai 15 ans ou plus » le confirme, et la réponse est gardée avec la preuve du consentement.

Nous gardons votre adresse, le compte lié s’il existe, l’état de l’inscription, la date, l’origine de la demande et le texte que vous avez accepté : c’est la preuve de votre consentement. Chaque lettre contient un lien de désinscription en un clic, sans connexion ; vous pouvez aussi vous désinscrire dans Réglages → Compte. La désinscription ne touche jamais les e-mails du service (factures, rappels, récapitulatif des retours).

Pourquoi, et sur quelle base

Où sont vos données, et qui les traite

Nous ne vendons ni ne louons aucune donnée. Seuls ces prestataires les traitent, pour notre compte et selon nos instructions :

Les transferts hors de l’Union européenne (Resend, Anthropic, GitHub et Stripe aux États-Unis ; accès du support de Supabase depuis Singapour) sont encadrés : pour GitHub, Resend et Stripe, par leur adhésion au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d’adéquation de la Commission européenne du 10 juillet 2023) ; pour Anthropic et Supabase, par les clauses contractuelles types de la Commission européenne, prévues par leurs accords de traitement des données. Les données sont chiffrées pendant leur transport (HTTPS) et au repos chez nos hébergeurs.

Combien de temps

• Sur votre appareil : tant que vous les gardez. Vous en êtes seule maîtresse ; la déconnexion ne les efface pas, la suppression du compte efface la copie de ce navigateur.
• Compte, photo de profil, instantanés, images, versions de lecture, invitations, annotations : tant que votre compte existe. Ils sont effacés dès sa suppression.
• Bourse aux lecteurs tests : annonces, réponses et signalements sont effacés 12 mois après la fin de l’annonce, sauvegardes techniques comprises, ou avec votre compte. Pour une volontaire choisie, le lien entre son compte et l’invitation reste tant que les deux comptes existent : il garde son adresse cachée à l’autrice.
• Notes vocales : supprimées avec leur commentaire, quand l’accès au livre est retiré, ou par vous dans Réglages › « Vos notes vocales » ; au plus tard 12 mois après la fermeture de la version de lecture par l’autrice, ou, si elle n’est pas fermée, 12 mois après le dernier commentaire sur cette version.
• Données de connexion (adresse e-mail, empreinte du mot de passe ou identifiant Google, sessions ouvertes) : tant que votre compte existe, effacées dès sa suppression. Les journaux techniques de connexion du service d’authentification (date, nature de l’opération, adresse IP, adresse e-mail du compte) sont effacés automatiquement, que le compte existe encore ou non : ils sont gardés 12 mois au plus, sauvegardes techniques comprises.
• Processus créatif : le journal reste sur votre appareil tant que vous le gardez ; sa copie, les empreintes et la chaîne du livre restent sur nos serveurs tant que votre compte existe et sont effacées avec lui. Les empreintes quotidiennes horodatées par le tiers ne résument que des empreintes, sans aucune donnée vous concernant.
• Illustrations déposées pour une maison d’édition : avec le livre de la maison, tant qu’il existe chez elle, même après le départ de l’illustratrice.
• Agent littéraire : une invitation non acceptée expire au bout de 14 jours. La fiche des livres confiés n’est visible de l’agent que tant que la relation dure ; ses notes privées sont supprimées à la fin de la relation. Le reste de l’historique (envois, réponses, notes partagées avec l’autrice) reste ensuite avec le compte de l’autrice et s’efface avec lui.
• Factures et preuves de commande : 10 ans à compter de la commande ou du paiement (obligation légale, art. L123-22 du Code de commerce), même après la suppression du compte. La preuve garde alors l’identifiant technique du compte, sans votre nom ni votre adresse. Stripe conserve aussi les factures et les données de paiement selon ses propres obligations légales.
• Cartes cadeaux : les données de la commande (adresse et nom de l’acheteuse, prénom et adresse de la personne qui reçoit, message) sont gardées 3 ans après l’utilisation du code ou la fin de sa validité ; ensuite, seules les pièces comptables sont gardées, 10 ans, comme les autres preuves de commande.
• Fichiers de la Lanterne (Atelier) : tant que votre compte existe ; un fichier que vous retirez est effacé de nos serveurs 30 jours plus tard. Envois du Raccourci de l’iPhone jamais rangés : 30 jours au plus.
• Compte gratuit inactif : un compte Découverte sans aucune connexion pendant 3 ans est supprimé, avec tout ce qu’il garde sur nos serveurs. Vous êtes prévenue par e-mail 30 jours avant, puis 7 jours avant ; il suffit de vous connecter (ordinateur ou carnet) pour le garder. Un compte qui a souscrit une offre payante, même terminée, n’est jamais supprimé de cette façon. Un journal de ces suppressions garde 3 ans leur date, sans votre adresse ni votre nom.
• Opérations du carnet : jusqu’à ce que votre ordinateur les applique, puis supprimées par l’application.
• Texte envoyé au correcteur grammatical : pas conservé, le temps de la réponse seulement.
• Brief de couverture envoyé à Google : pas conservé (cache désactivé), sauf demande jugée suspecte par les filtres de Google : 90 jours au plus, tant que la dérogation demandée n’est pas accordée.
• Lettre d’information : tant que vous êtes inscrite. Une demande jamais confirmée est effacée après 30 jours. Après une désinscription, l’adresse et la preuve du consentement et de son retrait sont gardées 3 ans au plus, puis effacées ; elles le sont aussitôt si l’inscription était liée à un compte que vous supprimez.
• Provenance d’une visite : 90 jours au plus dans votre navigateur ; enregistrée, elle suit votre compte ou votre inscription à la lettre et disparaît avec eux.
• Signalements et idées : le ticket est gardé dans l’outil de suivi tant qu’il sert à corriger ou améliorer Lucerna. Quand vous supprimez votre compte, la capture d’écran et la fiche liée au ticket sont effacées ; sur simple demande, nous retirons aussi votre nom du ticket ou le supprimons.
• Journaux du serveur : 30 jours.
• Sauvegardes techniques de la base : 42 jours au plus (copies quotidiennes gardées 7 jours, hebdomadaires 28 jours, puis une corbeille technique de 14 jours), puis écrasées.
• Images des livres, fichiers de la Lanterne, photos de profil et captures d’écran après suppression du compte : effacés aussitôt du stockage. Une corbeille technique garde encore 7 jours ceux qui sont rangés chez Google Cloud Storage (images des livres, fichiers de la Lanterne), en protection contre une erreur de manipulation, et la copie de sauvegarde de tous ces fichiers disparaît sous 45 jours.
• E-mails : l’historique d’envoi (destinataire, objet, statut) est gardé par Resend le temps limité prévu par son service.

Supprimer votre compte

Dans Lucerna, ouvrez les réglages (votre avatar, en haut à droite, puis « Réglages… »), rubrique « Compte et connexion », puis « Supprimer mon compte ». Sur smartphone, la feuille « Compte » du carnet le propose aussi. Après une double confirmation (et, si votre connexion date de plus de cinq minutes, votre mot de passe ou une reconnexion Google), nous effaçons immédiatement votre compte et tout ce qui s’y rattache sur nos serveurs : photo de profil, instantanés de vos livres, images, opérations du carnet, versions de lecture, invitations envoyées, accès de vos lecteurs et leurs annotations, vos propres annotations de lecteur test, fichiers de la Lanterne, réglages et quotas. Seules les factures et preuves de commande sont gardées, pour la durée légale (voir « Combien de temps »). Les analyses du livre entier et les vérifications de cohérence en différé encore en cours sont annulées et supprimées chez notre prestataire d’IA avant l’effacement du compte.

Si vous illustrez un livre de maison d’édition, vos dépôts restent avec le livre de la maison. Si vous êtes agent littéraire, vos accès aux livres confiés s’arrêtent et vos notes privées sont supprimées ; vos envois, réponses et notes partagées restent dans l’historique de l’autrice. Si vous avez confié des livres à un agent, la relation et son historique sont effacés avec votre compte.

Ce que ce compte garde dans ce navigateur est effacé aussi, puisqu’il n’y serait plus accessible : copie de vos livres, manuscrit synchronisé, historique des versions et d’annulation de vos livres, signalements en attente d’envoi. Votre dossier de sauvegarde et les archives téléchargées restent sur votre ordinateur : la fenêtre de suppression propose de télécharger une archive à jour avant de confirmer.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Votre manuscrit est déjà portable : la sauvegarde locale l’écrit en fichiers ouverts, lisibles sans Lucerna.

Pour exercer ces droits, y compris si vous avez été invitée comme lectrice ou lecteur sans avoir de compte : hello@aumana-studio.com. Nous répondons dans un délai d’un mois. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

Changements de cette politique

La date en haut de page indique la dernière mise à jour. Un changement qui modifie ce que deviennent vos données (nouveau prestataire, nouvelle finalité) est un changement important. Tout changement important vous est annoncé par e-mail et dans l’application au moins 30 jours avant de s’appliquer, sauf s’il est imposé par la loi ou s’il est seulement en votre faveur : il peut alors s’appliquer aussitôt.