Tengo Time

Responsable du traitement

Tobias Nawa, Hummelweg 22, 82178 Puchheim, Allemagne — voir l' Impressum.

Ce que nous ne faisons pas

Le minuteur fonctionne sans compte — sans connexion, sans adresse e-mail, sans obstacle. Un compte est une offre, pas une condition.

Nous n'affichons aucune publicité. Sans compte, nous ne te reconnaissons pas, pas davantage d'un jour à l'autre — un profil n'existe que si tu t'en crées un toi-même. Aucune police n'est chargée depuis un serveur étranger, aucun script non plus : sur le minuteur, ton navigateur n'adresse pas une seule requête à un tiers. La mesure d'audience passe par notre propre domaine et sans cookie (voir plus bas).

Il y a une exception, et elle tient à un interrupteur : tant que tu as activé les notifications, nous conservons l'adresse de terminaison que ton navigateur crée pour elles (voir plus bas). Cette adresse reste la même pour un même navigateur — tant que l'interrupteur est ouvert, nous pourrions le reconnaître à cela. Nous ne la relions à rien et ne l'exploitons pas ; elle est là pour que le réveil sache où sonner. Sans cet interrupteur, rien de tout cela n'a lieu.

Nous ne déposons de cookie que si tu te connectes — et alors exactement un, strictement nécessaire à la connexion. C'est pourquoi il n'y a pas de bandeau cookies ici : il n'y a rien pour quoi nous aurions à te demander la permission.

Ce qui est enregistré sur ton appareil

Tes tâches, tes durées, tes réglages et la session en cours restent uniquement dans ton navigateur (localStorage et IndexedDB). Ces données ne nous sont pas transmises et ne quittent pas ton appareil. Elles disparaissent lorsque tu effaces les données de navigation de ce site.

Cet enregistrement est strictement nécessaire à la fonction que tu as demandée et ne requiert donc pas de consentement au titre du § 25, al. 2, n° 2, TDDDG — la règle allemande qui soumet à consentement toute écriture ou lecture sur ton appareil et en dispense ce sans quoi le service demandé ne fonctionne pas. Chaque tâche reçoit à cette occasion un identifiant qui lui est propre : un nombre aléatoire portant l'instant de sa création, sous lequel la ligne est rangée dans ton navigateur. Il appartient à la tâche et non à toi, et il ne nous est pas transmis. Ce qui n'existe pas, c'est un identifiant pour toi — rien là-dedans n'est un numéro qui nous permettrait de te reconnaître d'une visite à l'autre.

Journaux du serveur

À chaque appel de la page, notre hébergeur traite des données techniquement nécessaires : adresse IP, horodatage, fichier appelé, code de statut, volume transmis et agent utilisateur. La base légale est l'art. 6, § 1, f), du RGPD — notre intérêt légitime à une exploitation sûre et sans incident. Les journaux sont effacés au bout de 7 jours et ne sont rapprochés d'aucune autre donnée.

L'hébergement a lieu dans l'Union européenne, chez Scaleway S.A.S., 8 rue de la Ville l'Évêque, 75008 Paris, France, avec qui un contrat de sous-traitance au titre de l'art. 28 du RGPD est conclu. La journalisation du serveur ne donne lieu à aucun transfert vers un pays tiers.

Mesure d'audience

Nous utilisons Plausible Analytics (Plausible Insights OÜ, Estonie) pour voir à quelle fréquence chaque page est ouverte et si le minuteur sert. Plausible ne dépose aucun cookie et n'enregistre rien dans ton navigateur. Les visites sont comptées au moyen d'une valeur dont la clé est changée et supprimée chaque jour ; aucune adresse IP brute n'est conservée. Toute reconnaissance sur plusieurs jours est ainsi exclue.

La mesure passe par notre propre domaine : ton navigateur ne parle qu'à notre serveur, jamais à Plausible. Notre serveur transmet le comptage et, ce faisant, ton adresse IP et l'identification de ton navigateur (agent utilisateur). Plausible en déduit le pays et le type d'appareil et forme la valeur de comptage qui change chaque jour ; ni l'une ni l'autre n'y sont conservées.

Plausible sert le script et le comptage via un réseau de diffusion de contenu (BunnyWay d.o.o., Slovénie ; diffusion depuis un site situé en Allemagne). Ce chemin-là reste lui aussi entièrement dans l'UE. Ton navigateur ne s'y adresse jamais — il ne voit que notre serveur.

Le traitement a lieu exclusivement dans l'UE. La base légale est l'art. 6, § 1, f), du RGPD — notre intérêt légitime à une lecture sobre de l'usage du site. Un contrat de sous-traitance au titre de l'art. 28 du RGPD est conclu. Rien n'est enregistré sur ton appareil au passage. Le script lit un seul emplacement : une clé que toi seul poses, si tu ne veux pas être compté — chez tous les autres, elle n'existe pas. Aucun consentement au titre du § 25 TDDDG n'est requis pour cela.

Le texte de tes tâches n'est pas transmis. Il reste dans ton navigateur.

Compte et connexion

Sans compte, nous ne traitons rien pour cela. Le minuteur fonctionne entièrement sans connexion ; tes données restent alors uniquement dans ton navigateur. Les comptes n'existent pour l'instant que sur invitation — tu ne peux pas t'en créer un, il n'y a pas d'inscription. Ce que dit cette section vaut pour le cas où tu en aurais un.

Pour la connexion, nous utilisons Hanko (Hanko GmbH, Ringstr. 19, 24114 Kiel, Allemagne). Sont traitées ton adresse e-mail, la clé publique de ta clé d'accès ainsi que les dates de connexion. La clé privée de ta clé d'accès ne quitte pas ton appareil — ni nous ni Hanko ne la voyons jamais.

Hanko fait tourner la connexion dans un centre de données à Francfort-sur-le-Main, au sein de l'UE ; aucune conservation hors de l'UE n'a lieu. Dans la mesure où un accès par la maison mère américaine du fournisseur d'infrastructure serait envisageable, il s'appuie sur la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE—États-Unis du 10 juillet 2023, et à titre complémentaire sur des clauses contractuelles types au titre de l'art. 46, § 2, c), du RGPD. Un contrat de sous-traitance au titre de l'art. 28 du RGPD est conclu.

Dans notre propre base de données, nous conservons pour ton compte l'adresse e-mail, notre identifiant à nous pour toi, l'identifiant de ton accès chez Hanko, ton rôle, ta formule ainsi que les dates de création du compte et de ta dernière connexion. La base de données se trouve dans l'UE, chez le même hébergeur que ce site. La base légale est l'art. 6, § 1, b), du RGPD — l'exécution de la relation d'utilisation que le compte fait naître.

Il n'y a rien à acheter ici. La table comporte une colonne pour un numéro de client chez le prestataire de paiement ; elle est vide chez tout le monde, parce qu'il n'existe aucun achat d'où elle pourrait venir. S'il y avait un jour quelque chose à acheter, ce n'est pas nous qui le vendrions : le cocontractant de l'achat serait le prestataire de paiement, et il en est à ce titre responsable du traitement pour son propre compte — il ne traite pas pour nous, et une sous-traitance au titre de l'art. 28 du RGPD serait la mauvaise description d'une vente. Son nom figurera ici avant que la colonne ne reçoive sa première valeur.

Toute modification d'un compte est journalisée : qui l'a faite, quand, sur qui, et quelles valeurs valaient avant et après. Cela vaut aussi pour une suppression, et cette entrée y survit à dessein — sans elle, il ne serait plus possible ensuite d'établir qu'une suppression a bien eu lieu.

Elle est alors vidée de sa substance : l'adresse e-mail, l'identifiant chez Hanko et le numéro de client chez le prestataire de paiement en tombent — de l'entrée sur la suppression comme de toute entrée plus ancienne qui te concernait. Ce qui reste est un événement sans nom : notre propre identifiant, qui ne pointe alors plus vers aucune ligne, le rôle et la formule, la date et la personne qui a agi.

La même chose arrive, indépendamment de toute suppression, à chaque entrée de journal au bout de 24 mois. Jusque-là, elle peut rester complète : la base qui permet de garder des éléments identifiants au-delà d'un effacement est la constatation, l'exercice ou la défense de droits en justice (art. 17, § 3, e), du RGPD), et cette base est bornée dans le temps.

Le cookie de connexion est strictement nécessaire à la connexion que tu as demandée et ne requiert donc pas de consentement au titre du § 25, al. 2, n° 2, TDDDG. Même avec un compte, nous n'avons pas besoin d'un bandeau de consentement.

Même avec un compte, le texte de tes tâches n'est pour l'instant pas transmis. Il reste dans ton navigateur. Si cela devait changer avec une synchronisation, ce serait écrit ici au préalable.

Notifications

Seulement si tu les actives. Le minuteur sonne, affiche le temps restant dans le titre de l'onglet et montre l'écran de fin — rien de tout ceci n'est nécessaire pour cela. Les notifications sont la seule chose qui arrive encore quand l'onglet est fermé, et sur le web cela ne passe que par un serveur.

Si tu les actives, ton navigateur crée un abonnement auprès du service de notification de son éditeur — selon le navigateur, Google (Chrome, Edge), Mozilla (Firefox) ou Apple (Safari). Nous en conservons deux choses : l'adresse de terminaison de ce service et les deux clés qui chiffrent le message pour ton appareil. Rien d'autre de l'abonnement — ni adresse e-mail, ni lien avec un compte.

Tant qu'un intervalle tourne, un ordre de réveil correspondant se trouve sur notre serveur. Il contient quatre choses : quand il faut sonner, dans quelle langue, une copie de l'adresse de terminaison et des clés citées plus haut, et un identifiant que ton navigateur crée pour ce seul intervalle. Cet identifiant appartient à l'intervalle et non à toi — il naît au démarrage, l'intervalle suivant en reçoit un autre, et il ne mène à rien de plus.

L'ordre disparaît dès qu'il a sonné ou qu'il a été annulé ; mettre en pause, réinitialiser, changer de tâche et désactiver les notifications l'annulent. Deux traces techniques lui survivent brièvement et expirent d'elles-mêmes : le message qui l'a donné reste jusqu'à 24 heures dans notre file d'attente, et un compteur, qui empêche un réveil annulé d'être réarmé par un message tardif, garde l'identifiant de l'intervalle et l'horodatage jusqu'à 48 heures. Ni l'un ni l'autre ne contient sur toi quoi que ce soit qui ne soit déjà nommé dans cette section, ni aucun texte de tâche.

La notification elle-même contient une seule phrase : que ton minuteur est arrivé au bout. Elle ne dépend de rien d'autre que de la langue dans laquelle tu lis le site et ne contient aucun contenu venant de toi — pas de texte de tâche, pas de durée, pas d'heure. La langue voyage avec la notification et s'arrête avec elle ; elle ne reste pas attachée à ton abonnement. Ici encore, le texte de tes tâches reste dans ton navigateur.

Pour la remise, nous nous adressons au service de notification cité plus haut. Chez Google et Apple, cela signifie un transfert vers les États-Unis ; il s'appuie sur la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE—États-Unis du 10 juillet 2023, et à titre complémentaire sur des clauses contractuelles types au titre de l'art. 46, § 2, c), du RGPD. Le service voit alors l'adresse de terminaison et le contenu chiffré, qu'il ne peut pas lire.

La base légale est ton consentement (art. 6, § 1, a), du RGPD), que tu peux retirer à tout moment dans les réglages ; l'enregistrement de l'abonnement sur ton appareil est strictement nécessaire à la fonction que tu as demandée et ne requiert donc pas de consentement au titre du § 25, al. 2, n° 2, TDDDG. Si tu les désactives à nouveau ou si tu retires l'autorisation dans le navigateur, la ligne conservée est supprimée dès que le service de notification la refuse la fois suivante.

Tes droits

Tu disposes des droits d'accès, de rectification, d'effacement, à la limitation du traitement, à la portabilité des données et d'opposition (art. 15 à 21 du RGPD), ainsi que du droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 du RGPD). Sans compte et sans notifications activées, nous ne conservons rien sur toi en dehors des journaux du serveur, de sorte qu'une demande d'accès ne porte en règle générale que sur ceux-ci.