Document légal

Politique de confidentialité

Ce texte explique ce que Le Fil de Famille fait des données de votre famille. Il est écrit pour être lu, pas pour être seulement publié.

Version 1.9, mise à jour du 29 octobre 2026. Date d'entrée en vigueur de la version initiale : 19 août 2026.

Mise à jour du 29 octobre 2026 : le point 2.3 décrit désormais l'arbre que l'on peut commencer sans compte, gardé dans votre navigateur sous la clé « lfdf.guestTree » et envoyé seulement avec votre inscription.

Mise à jour du 25 octobre 2026 : le point 2.3 décrit désormais les compteurs de fréquentation du site vitrine et de l'application (visites, visiteurs, étapes de l'inscription), les clés « llnt_v » et « llnt_s » gardées dans votre navigateur, et ne mentionne plus de choix entre deux titres d'accueil, qui n'existe plus.

Mise à jour du 25 octobre 2026 : la section sur la suppression d'un compte dit désormais que les contenus écrits ou déposés par le membre sont supprimés avec son compte, et non conservés.

Mise à jour du 5 octobre 2026 : la politique décrit désormais « Nous écrire », la messagerie qui vous relie à l'éditeur.

Mise à jour du 26 septembre 2026 : le point 2.3 décrit désormais les compteurs anonymes du site vitrine (affichages, clics sur les boutons, arrivées par un lien marqué) et le choix du titre d'accueil gardé dans votre navigateur. Aucun de ces compteurs ne vous identifie.

Mise à jour du 29 août 2026 : les fichiers que vous déposez, photos, portraits, documents et images de recettes, sont hébergés par OVHcloud, qui en conserve aussi la copie de sauvegarde. o2switch continue d'héberger le serveur web, la base de données et les journaux du serveur. Les deux sociétés sont françaises et leurs machines sont situées en France : aucun contenu familial ne sort de l'Union européenne. Le tableau des prestataires du point 7.3 comporte une ligne de plus.

L'essentiel en dix lignes

• Votre espace familial est fermé. Il n'existe aucune page publique, aucun partage par lien, aucun index de moteur de recherche.
• Vos photos, vos documents et votre arbre sont hébergés en France, chez deux prestataires français : o2switch pour le serveur et la base de données, OVHcloud pour les fichiers que vous déposez.
• Nous ne vendons rien, nous n'affichons aucune publicité, nous n'entraînons aucun modèle d'intelligence artificielle sur vos contenus, et nous ne posons aucun cookie publicitaire ni aucun cookie de mesure d'audience. L'application dépose en revanche un identifiant technique de terminal dans votre navigateur, décrit au point 2.2.
• Une famille ne voit jamais le contenu d'une autre famille.
• Vous pouvez à tout moment exporter la totalité de vos données, supprimer votre compte, ou supprimer l'espace de votre famille si vous l'avez créé.
• Quatre prestataires interviennent : nos deux hébergeurs en France, notre service d'envoi d'emails, et Stripe pour le paiement de l'abonnement.
• Une partie de vos données sort de l'Union européenne dans un seul cas précis, le paiement, et cela ne concerne jamais vos contenus familiaux. Le détail est au chapitre 8.
• Les emails de notification contiennent des prénoms et des extraits de vos publications. C'est le point à connaître avant de garder ces emails activés.

1. Qui traite vos données

Le service Le Fil de Famille est édité et exploité par une seule personne, qui décide de ce que le service fait des données et en répond. En vocabulaire du règlement général sur la protection des données (le RGPD), c'est le « responsable de traitement ».

Il n'y a pas de délégué à la protection des données. Le service n'entre pas dans les cas où la loi en impose un, mais ce point sera réexaminé si le nombre de familles hébergées devient important.

Ce que cela veut dire pour votre famille

Vous êtes libres de ce que vous déposez dans votre espace : c'est votre mémoire de famille, pas la nôtre. Nous en sommes responsables sur le plan technique et légal, mais nous ne décidons pas de son contenu, nous ne le lisons pas, et nous n'en tirons rien.

Quand vous déposez une photo, un récit ou une fiche concernant quelqu'un d'autre, vous agissez dans un cadre familial et privé. Vous restez la personne la mieux placée pour savoir si cette personne accepterait d'y figurer. Les conditions générales détaillent cet engagement.

2. Ce que nous collectons, et pourquoi

Il y a deux choses très différentes derrière le mot « données » : ce que vous écrivez et déposez vous-même, et ce que le fonctionnement du service produit au passage. Les deux sont détaillées séparément.

2.1 Ce que vous nous donnez

2.2 Ce qui est produit par votre usage

Ces données ne sont pas saisies par vous, elles naissent du fonctionnement du service.

• Un jeton de connexion, créé quand vous vous connectez. Il sert à reconnaître votre appareil sans vous redemander votre mot de passe à chaque page. Il est conservé sous forme d'empreinte, pas en clair.
• La date de votre dernier passage dans l'espace de votre famille. Elle sert à repérer les espaces gratuits totalement abandonnés, pour ne pas les conserver indéfiniment.
• L'espace de stockage consommé par votre famille, pour appliquer la limite de votre offre.
• Vos préférences de notification, et si vous les activez, l'abonnement de votre navigateur aux notifications sur l'écran.
• Un identifiant technique de terminal, déposé par l'application dans la mémoire locale de votre navigateur, sous la clé « llnm_device ». C'est une suite de caractères tirée au hasard, sans lien avec votre compte ni avec votre nom, mais elle reste en place tant que vous n'effacez pas les données du site : elle permet donc de reconnaître votre appareil d'une visite à l'autre. Elle accompagne les mesures de vitesse d'affichage de l'application, envoyées à la supervision technique de l'éditeur, sur un autre domaine que le service. Voir le point 2.3.
• Des journaux techniques : erreurs de l'application, temps de réponse anormaux, et les journaux du serveur web, tenus par l'hébergeur de ce serveur, qui contiennent les adresses IP des visiteurs comme sur n'importe quel site.
• L'historique des modifications des fiches de l'arbre, avec la version avant et après. Il existe pour qu'une correction malheureuse puisse être annulée.
• Le marqueur du lien par lequel vous êtes arrivé, lorsque le lien sur lequel vous avez cliqué en portait un. C'est une étiquette courte que nous plaçons nous-mêmes dans les adresses que nous publions, du type « forum-genealogie » ou « article-gedcom ». Elle ne dit rien de vous : ni où vous êtes, ni ce que vous avez consulté. Elle nous sert seulement à savoir quelle annonce amène des inscriptions. Elle reste trente jours dans la mémoire locale de votre navigateur, puis elle est rangée à côté de votre compte si vous en créez un.

L'application que vous utilisez au quotidien ne crée pas de session sur nos serveurs et ne conserve donc pas votre adresse IP dans notre base. Une exception : l'interface d'administration technique, réservée à l'éditeur, enregistre l'adresse IP et le navigateur de ses propres connexions.

2.3 Ce que nous ne faisons pas

• Aucun cookie publicitaire, aucun cookie de mesure d'audience, aucun traceur commercial. Le site vitrine ne charge aucune ressource d'un tiers, pas même ses polices de caractères. Une seule vient d'ailleurs que du site lui-même : le script de « Nous écrire », servi par le serveur de l'éditeur (lelaboratoirenumerique.com). Il ne pose aucun cookie, et son chargement ne fait connaître à ce serveur que ce que toute visite fait connaître à un site : votre adresse IP et votre navigateur. Une réserve, que nous préférons écrire : l'application dépose un identifiant technique de terminal dans votre navigateur et l'envoie, avec des mesures de vitesse d'affichage, à la supervision technique de l'éditeur. Il ne sert ni à la publicité, ni à mesurer une audience, ni à vous suivre sur d'autres sites, mais c'est bien un identifiant persistant posé sur votre appareil. Seconde réserve, de la même veine : le site vitrine garde trente jours, dans votre navigateur, le marqueur du lien par lequel vous êtes arrivé, décrit au point 2.2. Aucun cookie n'est posé, aucun script d'un tiers n'est chargé, et ce marqueur ne vous suit sur aucun autre site. Troisième réserve : le site vitrine et l'application tiennent des compteurs de fréquentation, reçus par le serveur de l'éditeur (lelaboratoirenumerique.com). Ils comptent, jour par jour, les pages affichées, les visites, les visiteurs, les clics sur les boutons, les étapes de l'inscription et la provenance d'une visite : le marqueur du lien, ou le nom du moteur de recherche ou du réseau social d'où vous venez, jamais une adresse. Pour ne compter un visiteur qu'une fois, le site et l'application gardent dans la mémoire de votre navigateur une clé « llnt_v », qui ne contient que quatre repères de calendrier (le jour de votre premier passage, puis le dernier jour, la dernière semaine et le dernier mois où vous êtes venu), et une clé « llnt_s », qui marque la visite en cours et disparaît à la fermeture de l'onglet, comme la clé « lfdf.inapp » qui évite de compter deux fois une ouverture dans le navigateur intégré de Facebook ou d'Instagram. La clé « llnt_v » reste en place tant que vous n'effacez pas les données du site. Elle ne quitte pas votre appareil : seules partent des indications du type « première visite du jour, de la semaine ou du mois », sans identifiant. Un visiteur qui change d'appareil ou efface ces données est donc compté une seconde fois. Ces compteurs ne retiennent ni votre adresse IP, ni votre navigateur, ni l'heure, ni aucun identifiant : il n'y a nulle part où les écrire. Les totaux sont conservés treize mois. L'envoi d'un compteur ne fait connaître au serveur que ce que toute requête lui fait connaître : votre adresse IP et votre navigateur. Depuis ce site, « Nous écrire » garde dans votre navigateur un identifiant de conversation (stockage local, clé « lln-chat:lefildefamille »), pour que vous retrouviez vos échanges en revenant. Il est strictement nécessaire au service que vous demandez, ne sert à rien d'autre et ne vous suit pas d'un site à l'autre. Quatrième réserve : l'application permet de commencer un arbre sans créer de compte. Les fiches que vous y saisissez (noms, sexe, dates et lieux de naissance et de décès, liens de famille) restent alors dans la mémoire de votre navigateur, sous la clé « lfdf.guestTree », et ne sont envoyées à personne : nous ne les recevons pas. Elles peuvent disparaître si vous effacez les données du site, si vous naviguez en mode privé ou si votre navigateur les efface de lui-même, et elles ne passent pas d'un navigateur à l'autre, pas même du navigateur intégré de Facebook ou d'Instagram à Safari ou Chrome. Si vous créez ensuite un compte depuis ce navigateur, l'arbre part avec votre inscription, il est gardé chiffré avec votre compte jusqu'à la création de votre espace de famille, puis versé dans cet espace, où il est traité comme le reste de l'arbre ; la clé est alors effacée de votre navigateur. Ces fiches parlent de vos proches : n'y notez que ce qu'ils accepteraient de voir dans un arbre de famille privé.
• Aucun profilage, aucun classement automatique de votre fil, aucune suggestion calculée.
• Aucune reconnaissance faciale. Quand une personne est identifiée sur une photo, c'est un membre de votre famille qui l'a nommée à la main.
• Aucune vente, aucune location, aucun partage de vos données à des fins commerciales.
• Aucun entraînement de modèle d'intelligence artificielle sur vos contenus, par nous ni par un tiers.
• Aucune décision automatisée n'est prise à votre sujet. La seule action automatique du système est la suppression d'un espace gratuit resté inactif très longtemps, décrite au chapitre 6.

2.4 Un point qui mérite d'être dit

Nous ne vous demandons aucune donnée dite sensible : santé, religion, opinions, origines. Aucun champ du service ne les réclame. Mais trois endroits sont des zones de texte entièrement libres : la biographie d'une fiche, les récits de vie et hommages, et les publications du fil.

Un hommage à un proche disparu mentionne très souvent sa maladie. Un récit de famille parle d'une religion, d'un engagement, d'une origine. Un document numérisé peut être un acte médical. Ces informations existeront donc dans votre espace, parce que c'est la nature même d'une mémoire familiale. Nous ne les analysons pas, ne les catégorisons pas, n'en extrayons rien et ne les transmettons à personne. Nous préférons vous le dire plutôt que de prétendre qu'elles n'existent pas.

3. Les enfants

Un espace de famille contient des photos d'enfants. Ce n'est pas un cas marginal, c'est le cas normal, et il mérite d'être traité en face plutôt que dilué dans un paragraphe général.

Ce que le service contient

Des photographies de mineurs, leurs prénom et nom, leur date de naissance, leur place dans l'arbre, et parfois des récits les concernant. Ces contenus sont déposés par les adultes de leur famille, jamais par les enfants eux-mêmes.

Le service ne s'adresse pas aux enfants

Les comptes et les invitations visent des adultes. Un enfant n'a pas vocation à créer un compte ici. Précision honnête : la création d'un compte exige de déclarer que l'on est majeur, et la date de cette déclaration est enregistrée. C'est une déclaration sur l'honneur, pas une vérification : rien ne prouve l'âge de la personne qui coche la case. Nous ne pouvons donc pas garantir techniquement qu'un mineur ne créera jamais de compte, seulement que le service n'est ni conçu ni proposé pour cela, et que l'inscription le dit explicitement.

La responsabilité de l'adulte qui dépose

Publier la photo d'un enfant dont vous n'avez pas la charge suppose l'accord des personnes qui exercent l'autorité parentale. Cet accord relève de vous, pas de nous : nous ne sommes pas présents au moment de la prise de vue et nous ne pouvons pas le recueillir à votre place.

Le rôle de l'administrateur de la famille

Chaque espace a un ou plusieurs administrateurs, dont la personne qui l'a créé. Ce sont eux qui décident qui entre dans l'espace et qui en sort, qui peuvent retirer un membre, et qui disposent des réglages du groupe. En pratique, la première demande d'un parent doit leur être adressée : ils peuvent agir tout de suite, sans nous, et supprimer une photo ou un contenu.

Ce qu'un parent peut nous demander

• Le retrait d'une photo ou d'un contenu montrant son enfant, même s'il n'est pas membre de la famille concernée.
• Le retrait de l'identification nominative de son enfant sur une photo.
• La suppression de la fiche de son enfant dans l'arbre d'une famille.

Ces demandes se font à l'adresse de contact du chapitre 1. Elles sont traitées en priorité et sans discussion sur l'intérêt de la famille à conserver le contenu. Nous ne demandons pas à un parent de négocier avec des cousins pour obtenir le retrait de l'image de son enfant.

Ce que le service ne fait jamais

Aucun contenu n'est public. Il n'existe ni page ouverte, ni partage par lien, ni indexation par un moteur de recherche. Une photo n'est délivrée qu'à un membre actif de la famille concernée, après vérification de son identité et de son droit d'y accéder. Aucune analyse d'image, aucune reconnaissance faciale, aucune publicité, aucun profilage.

4. Les personnes décédées

Un arbre généalogique est en grande partie composé de personnes disparues. Le RGPD ne s'applique pas aux personnes décédées, mais la loi française reconnaît des directives laissées de leur vivant et des droits à leurs héritiers.

En pratique, l'application ne traite pas différemment la fiche d'une personne vivante et celle d'une personne décédée. Un héritier qui souhaite le retrait ou la correction d'une fiche peut nous écrire, et sa demande sera traitée comme toute autre demande. Les modalités précises, notamment la preuve de qualité d'héritier, font partie des points en attente de relecture juridique.

5. Pourquoi nous avons le droit

La loi demande de dire sur quel fondement chaque traitement repose. Il y en a quatre ici, et ils se traduisent en français courant.

Quand un traitement repose sur l'intérêt légitime, vous avez un droit d'opposition. Il est expliqué au chapitre 10.

6. Combien de temps nous gardons vos données

Le principe est simple : tant que votre famille se sert du service, nous gardons tout. C'est l'objet même du produit. Un espace de mémoire familiale qui effacerait vos photos au bout de trois ans n'aurait aucun sens.

La limitation prend donc deux formes : la suppression dès que vous la demandez, et la suppression des espaces gratuits totalement abandonnés.

La suppression des espaces gratuits n'est pas encore active

Le mécanisme est écrit et s'exécute chaque nuit, mais en observation seulement : il se contente de noter dans un journal les espaces qu'il aurait avertis et ceux qu'il aurait supprimés. À ce jour, aucun avertissement n'est envoyé et aucun espace n'est supprimé de cette façon. Effacer la mémoire d'une famille est irréversible : nous voulons lire ces relevés pendant plusieurs mois avant de laisser le mécanisme agir pour de bon.

Quand il sera activé, il fonctionnera comme le tableau l'annonce : douze mois d'inactivité totale, un premier avertissement par email aux administrateurs, un second trois semaines plus tard, puis suppression au bout de treize mois. Il ne concernera que les espaces de l'offre gratuite, jamais les espaces payants. Ces délais restent à confirmer et pourraient être allongés. Toute modification sera annoncée ici et par email aux administrateurs concernés.

Ce qui reste après la suppression d'un compte

Quand vous supprimez votre compte, votre accès, vos jetons, vos préférences et vos abonnements aux notifications disparaissent, ainsi que ce que vous aviez écrit ou déposé : vos publications, commentaires, réactions, récits, événements, recettes, documents et photos sont supprimés avec le compte, y compris les commentaires que d'autres avaient laissés sous vos publications. Les albums que vous aviez ouverts restent à la famille et passent à un autre membre, avec les photos que les autres y ont déposées.

En revanche, votre fiche dans l'arbre généalogique reste, simplement détachée de votre compte. C'est un choix assumé : une généalogie où chaque départ creuse un trou n'est plus une généalogie, et la fiche appartient à la mémoire de toute la famille. Il ne vous empêche pas de demander expressément la suppression de votre fiche : écrivez-nous, cette demande sera traitée. Ce point fait partie de ceux qui doivent être confirmés par la relecture juridique.

Ce que « supprimé » veut dire

La suppression d'un espace efface d'abord tous les fichiers sur le disque, puis toutes les lignes correspondantes dans la base. C'est irréversible, et personne ne peut revenir en arrière, nous compris.

Une donnée effacée peut subsister quelque temps dans les sauvegardes de la base, jusqu'à leur propre expiration. Quatorze copies quotidiennes sont conservées : la plus ancienne a donc au plus quatorze jours, et c'est le délai au bout duquel une ligne supprimée a disparu de partout. Vos fichiers, photos et documents, ne figurent dans aucune sauvegarde et sont donc effacés sans rémanence. Rien de tout cela ne réapparaîtra dans le service, sauf restauration complète après un incident grave, auquel cas la suppression serait rejouée.

7. Qui d'autre voit vos données

7.1 À l'intérieur de votre famille

• Les membres actifs de votre espace voient les contenus de leur espace, dans la limite de l'audience choisie par l'auteur de chaque contenu. Une publication réservée à une branche ne s'affiche que chez elle.
• Les administrateurs voient en plus la liste des membres, les invitations en cours et les réglages du groupe.
• Aucun membre d'une autre famille ne voit quoi que ce soit de la vôtre.

7.2 L'éditeur

Pour exploiter et dépanner le service, l'éditeur dispose d'un accès technique complet au serveur et d'une interface d'administration listant les comptes et les espaces. C'est inévitable pour toute personne qui héberge un service, et nous préférons l'écrire.

Cet accès est limité à ce que l'exploitation et le support exigent. Aucun contenu familial n'est consulté sans motif technique, et jamais par curiosité.

Vos messages par « Nous écrire » sont conservés sur le serveur de l'éditeur, chez o2switch, en France, à part des données des familles.

7.3 Nos prestataires

Ce sont les seuls tiers auxquels des données sont transmises. Chacun agit sur nos instructions et pour notre compte uniquement.

En dehors de cette liste, vos données ne sont communiquées à personne. Nous pourrions y être contraints par une décision de justice ou une réquisition légale, comme n'importe quel service. Cela ne s'est jamais produit à ce jour.

8. Ce qui sort de l'Union européenne

Il serait plus simple d'écrire « rien ne sort de l'Union européenne ». Ce serait faux, et une politique de confidentialité fausse ne protège personne. Voici la situation exacte.

Vos contenus ne quittent pas la France

La base de données est hébergée par o2switch, et les fichiers, photos, portraits, documents et images de recettes, par OVHcloud, qui en garde aussi la copie de sauvegarde. Les deux sont des sociétés françaises, et les machines utilisées sont situées en France. Aucun contenu familial n'est copié, répliqué ou traité en dehors de l'Union européenne.

Le paiement passe par les États-Unis

Notre contrat est conclu avec Stripe Payments Europe Limited, société établie à Dublin. Cela ne suffit pas à écarter tout transfert : le groupe Stripe comprend une société américaine, Stripe, Inc., à laquelle des données sont communiquées pour le traitement des paiements, le support et la lutte contre la fraude.

Ce transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne, qui imposent contractuellement à Stripe un niveau de protection équivalent à celui du droit européen. Stripe, Inc. est par ailleurs certifiée au titre du cadre de protection des données entre l'Union européenne et les États-Unis.

Ce que cela représente concrètement : l'adresse électronique du payeur et les éléments de son abonnement. Rien d'autre. Aucune photo, aucune fiche, aucune donnée d'enfant, aucun contenu familial. Si vous restez sur l'offre gratuite, ce transfert ne vous concerne pas du tout.

Nos emails

Nous utilisons l'interface européenne de Mailgun : les messages sont traités et journalisés dans l'Union européenne. L'éditeur du service reste toutefois un groupe dont une société américaine peut accéder aux données pour des besoins de support et d'administration. Ce cas est encadré par les mêmes clauses contractuelles types.

Les notifications sur votre écran

Si vous les autorisez, votre navigateur vous attribue une adresse d'abonnement chez son éditeur, le plus souvent hors de l'Union européenne. Nous y déposons un message chiffré de bout en bout : l'intermédiaire l'achemine sans pouvoir le lire. Ce qui sort se limite donc à l'existence d'un envoi et à un identifiant sans signification. Ce mécanisme tient au fonctionnement des navigateurs, pas à un choix de notre part, et il ne se déclenche qu'après votre autorisation explicite.

9. Comment vos données sont protégées

Voici les mesures en place.

Les familles sont étanches

Chaque demande adressée au service doit préciser de quelle famille elle relève, et un même contrôle, situé à un seul endroit du code, vérifie avant tout traitement que vous appartenez bien à cette famille et que votre adhésion est active. Toutes les données portent l'identifiant de leur famille et chaque requête est filtrée dessus. Ce cloisonnement est couvert par des tests automatisés dédiés, rejoués à chaque modification du service, dont un jeu de tests consacré à l'isolation entre familles et un autre à l'isolation des notifications.

Vos fichiers ne sont accessibles par aucune adresse publique

Photos, portraits, documents et images de recettes sont écrits dans un dossier privé du serveur, en dehors de tout répertoire publié par le serveur web. Aucune adresse ne permet d'y accéder directement. Chaque fichier est délivré par un point d'accès qui revérifie, à chaque demande, votre identité, votre appartenance à la famille et votre droit de voir ce contenu précis. Une adresse de photo devinée par un tiers ne donne rien.

L'audience choisie est respectée partout

Quand vous réservez une publication à une branche de la famille, cette restriction s'applique à l'affichage, mais aussi aux emails, aux notifications, à la rubrique des souvenirs, à la recherche et à l'accès aux fichiers joints.

Les échanges sont chiffrés

Le service n'est accessible qu'en HTTPS, et nos échanges avec les prestataires se font également en HTTPS. Les notifications envoyées sur votre écran sont chiffrées de bout en bout : le service de votre navigateur les transporte sans pouvoir les lire.

Les mots de passe

Ils ne sont jamais conservés en clair, mais sous forme d'empreinte chiffrée. Il faut au minimum huit caractères, et les mots de passe apparaissant dans les fuites de données connues sont refusés. Cette vérification se fait sans jamais transmettre votre mot de passe : seuls les cinq premiers caractères de son empreinte quittent notre serveur.

Les données de localisation des photos sont retirées

Toute image que vous déposez est réencodée avant d'être écrite sur le disque, et ce réencodage efface ses métadonnées, à commencer par les coordonnées GPS du lieu de la prise de vue. L'orientation de la photo est préservée, en étant appliquée aux pixels eux-mêmes. Les images dont le plus grand côté dépasse 3 500 pixels sont réduites à cette taille.

Une seule information est volontairement réinscrite dans le fichier : la date de prise de vue. Un album de famille dont les photos ont perdu le jour où elles ont été prises perd la moitié de son intérêt. Cette date est donc relue avant le réencodage, puis réécrite seule dans le fichier, sans rien d'autre autour. Le lieu, l'appareil et le reste des métadonnées, eux, ne reviennent pas.

À savoir : ce nettoyage ne concerne que les images. Un fichier que le service ne sait pas réencoder, en particulier un PDF déposé dans les documents familiaux, est conservé tel quel, avec les métadonnées qu'il contient : auteur, logiciel utilisé, parfois localisation. Si un document vous paraît sensible sur ce point, nettoyez-le avant de le déposer.

Les tentatives d'intrusion sont freinées

Le nombre d'essais est limité : dix tentatives de connexion par minute, cinq pour une inscription ou une demande de nouveau mot de passe, six pour l'acceptation d'une invitation. Les liens sensibles ont une durée de vie courte, quatorze jours pour une invitation, une heure pour une réinitialisation de mot de passe, et les liens de désabonnement sont signés pour ne pas pouvoir être fabriqués.

Les rôles sont séparés

L'interface d'administration technique est réservée à l'éditeur : un administrateur de famille n'y a aucun accès. La suppression d'un espace entier est réservée à la personne qui l'a créé, et exige de retaper le nom exact de la famille.

Le paiement est hors de notre portée

Aucune donnée de carte bancaire n'entre dans l'application. La saisie a lieu sur les pages de Stripe, qui prend en charge la sécurité du paiement et l'authentification forte. Les messages que Stripe nous renvoie sont vérifiés par signature.

10. Vos droits, et comment les exercer

La loi vous donne des droits sur vos données. La plupart s'exercent directement depuis l'application, sans nous écrire et sans attendre. Pour les autres, écrivez à l'adresse du chapitre 1 : bonjour@lefildefamille.fr. Toute demande reçoit une réponse dans un délai d'un mois, porté à trois mois si elle est complexe, auquel cas vous en êtes informé.

Les messages envoyés depuis l'application sont effacés avec votre compte, et vous pouvez en télécharger une copie depuis vos réglages. Pour un message envoyé depuis ce site sans compte, écrivez à bonjour@lefildefamille.fr. Cette adresse reste la voie de référence pour exercer vos droits ou adresser une réclamation ; une demande reçue par « Nous écrire » est traitée de la même façon et dans les mêmes délais.

Récupérer toutes vos données

Un administrateur de la famille déclenche depuis les réglages l'export complet de l'espace. Vous recevez une archive contenant un fichier de données couvrant l'intégralité de ce que contient votre espace, l'arbre au format GEDCOM, standard lisible par tous les logiciels de généalogie, et tous vos fichiers dans leur organisation d'origine. L'export de l'arbre seul reste disponible séparément.

Ces formats sont ouverts et réutilisables ailleurs : c'est votre droit à la portabilité, rendu concret. Si vous n'êtes pas membre de la famille concernée mais que des données vous concernent, écrivez-nous et nous les extrairons pour vous.

Supprimer votre compte

Depuis les réglages de votre profil. Effet immédiat sur votre compte, vos adhésions, vos jetons de connexion, vos préférences et vos abonnements aux notifications. Ce qui subsiste est expliqué au chapitre 6.

Si vous êtes le dernier administrateur de votre famille, la suppression est refusée tant que vous n'avez pas nommé un autre administrateur ou supprimé l'espace. Cela évite de laisser une famille sans personne pour l'administrer.

Supprimer l'espace de votre famille

Réservé à la personne qui l'a créé, depuis les réglages, avec confirmation par saisie du nom exact de la famille. Les fichiers et toutes les données sont effacés. C'est irréversible.

Corriger ce qui est faux

Vous modifiez votre profil et votre propre fiche de l'arbre depuis l'application. Les administrateurs et les membres autorisés corrigent les autres fiches, avec un historique qui permet de revenir sur une correction erronée. Vous pouvez modifier ou supprimer vos propres publications et commentaires. Si vous n'êtes pas membre, écrivez-nous.

Ne plus recevoir d'emails

Chaque email porte un lien de désabonnement qui fonctionne en un clic, sans avoir à se connecter. Vos réglages permettent aussi de couper les emails type par type : publications, commentaires, anniversaires, événements, ou tout d'un coup.

Retirer un consentement

• Carnet d'adresses : repassez le partage à l'arrêt dans vos réglages, vos coordonnées cessent immédiatement d'être visibles.
• Notifications sur l'écran : désactivez-les depuis vos réglages ou depuis votre navigateur, l'abonnement est alors supprimé de notre base.

Vous opposer

Si vous figurez dans l'arbre d'une famille sans l'avoir demandé, si vous avez reçu une invitation que vous n'avez pas sollicitée, ou si un contenu vous concerne, vous pouvez vous y opposer en nous écrivant. Nous retirons les données concernées, sauf motif impérieux, que nous vous exposerions alors par écrit. S'agissant d'une mémoire familiale privée, ce cas sera exceptionnel : par défaut, nous retirons.

Demander la limitation d'un traitement

Il n'existe pas de bouton pour cela. Écrivez-nous : nous procédons manuellement, par exemple en suspendant l'adhésion concernée sans supprimer les données, le temps qu'une contestation soit tranchée.

Preuve d'identité

Si une demande nous parvient depuis une adresse électronique que nous ne connaissons pas, nous pouvons demander de quoi vérifier qu'elle émane bien de la personne concernée. Nous demanderons le minimum, et cette vérification ne s'appliquera pas au point de retarder une demande portant sur l'image d'un enfant.

11. Si vous n'êtes pas satisfait

Écrivez-nous d'abord : bonjour@lefildefamille.fr. Une réponse insatisfaisante de notre part ne vous prive d'aucun recours.

Vous pouvez à tout moment saisir la Commission nationale de l'informatique et des libertés, l'autorité française chargée de faire respecter ces règles.

CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. www.cnil.fr