Confidentialité

OpenCaseLaw est un projet de recherche public. Il n’existe ni compte utilisateur ni identifiant permanent reliant automatiquement une requête à une personne. Cela ne signifie pas que nous ne collectons aucune donnée : texte des requêtes, horodatage, identifiants de session et de client, ainsi que les journaux d’accès du serveur, sont enregistrés, comme décrit en détail ci-dessous. Cette page indique ce qui est réellement collecté, pourquoi, et pour combien de temps.

• Aucun cookie. Le site n’installe aucun cookie, ni nécessaire ni facultatif.
• Aucun fingerprinting. Ni canvas, ni polices, ni audio, ni WebGL. Aucune analyse tierce.
• Pas de Google Analytics, pas de Plausible Cloud, pas de Sentry. Toute analyse s’exécute sur notre propre serveur en Allemagne.
• Données de développement : capture complète, archive de recherche permanente. Pour améliorer la recherche, à des fins de recherche scientifique et pour entraîner nos propres modèles, nous enregistrons des données de requête complètes : outil, paramètres y compris le texte de la requête, horodatage, classe de client et un identifiant de session. Aucune adresse IP n'est stockée avec les requêtes; les sessions ne peuvent pas être rattachées à des personnes — pas de compte, pas de connexion permanente, l'identifiant change à chaque connexion. Le texte des documents du complément Word n'est jamais stocké, seulement sa longueur. Les textes des requêtes sont conservés de manière permanente, sans référence de session ni de personne, dans une archive de recherche privée à accès restreint — pour la qualité de la recherche, la recherche scientifique et l'entraînement de modèles; aucune durée maximale ne s'y applique. La durée de conservation sur les serveurs des données brutes portant une référence de session est laissée à l’appréciation du développeur. Subsistent durablement les statistiques agrégées, cette archive de requêtes et les modèles entraînés à partir de celles-ci. Le code de collecte est open source (mcp_server.py, scripts/collect_dev_data.py).
• Pas de compte utilisateur, pas d’identifiant permanent. Il n’y a pas de connexion. Les identifiants qui existent sont limités dans le temps et tournent : l’identifiant de session MCP à chaque connexion, la pseudonymisation du grand livre des coûts chaque jour, le hash d’installation de l’add-in Word chaque mois (détails ci-dessous, §02 et §04).
• Tous les chiffres publiés sont différentiellement privés (ε = 1,0) et soumis à un seuil d’anonymat k = 10.

Tout serveur web journalise les requêtes — c’est techniquement inévitable. Une partie de nos logs est structurée de telle sorte qu’elle se désintègre en agrégats inoffensifs en quelques jours ; les exceptions à conservation plus longue ou indéfinie figurent ci-dessous.

Le code d’agrégation est open source et vérifiable : scripts/rollup_analytics.py. La configuration nginx se trouve dans ops/nginx/ocl-logging.conf.

Nous ne mesurons que ce qui est nécessaire aux décisions opérationnelles — et au niveau agrégé, jamais par utilisateur. Les métriques suivantes sont calculées quotidiennement et publiées sur opencaselaw.ch/stats.json :

• Appels d’outil par jour, ventilés par classe client et point d’accès.
• Temps de réponse p50 et p95 par point d’accès.
• Taux d’erreur par point d’accès (4xx, 5xx, 429).
• Nombre approximatif d’installations actives par classe client (via une esquisse HyperLogLog, à rotation mensuelle).
• Distribution des codes HTTP sur toutes les requêtes.

Ce que nous ne collectons jamais

• Profils individuels permanents — aucune adresse IP avec les requêtes, aucun compte d'utilisateur, aucun lien entre une session et une personne. Pendant la période d'évaluation, les requêtes d'une même session sont liées entre elles; la durée de conservation de ces données brutes relève de l’appréciation du développeur et suit les finalités indiquées. Ce qui est conservé durablement ne comporte aucune référence de session ni de personne.
• Quelles décisions ou lois une personne donnée consulte.
• Adresses IP brutes dans les agrégats ou les données de niveau 3.
• Chaînes User-Agent complètes au-delà de 72 heures (seulement la classe).
• En-tête Referer — révélerait depuis quel chat ou document un outil a été appelé.
• Fingerprinting (canvas, polices, WebGL, audio) — jamais, en aucune circonstance.
• Association des données client Stripe (Word Add-in Pro) avec l’utilisation.

L’add-in Word est la seule partie d’OpenCaseLaw qui envoie, de manière optionnelle, un hash de cohorte d’installation pour que nous puissions estimer le nombre approximatif d’installations actives par mois. Le mécanisme est délibérément conçu pour qu’un suivi d’un mois à l’autre soit cryptographiquement impossible :

1. Au premier lancement, l’add-in génère un UUID aléatoire et le stocke localement dans localStorage.
2. À chaque requête API, il calcule SHA-256(uuid + "AAAA-MM") et envoie les 8 premiers caractères hexa comme en-tête X-Install-Cohort.
3. Le sel mensuel change chaque mois. Les hashes d’avril et de mai sont cryptographiquement non liés — même si nous conservions tous les hashes pour toujours (ce qui n’est pas le cas).
4. Nous utilisons ces hashes exclusivement pour remplir une esquisse HyperLogLog par jour et par classe client. L’esquisse fournit une estimation — les valeurs d’entrée ne peuvent pas en être reconstruites.

Désactivation : dans le menu de l’add-in sous «Préférences → Statistiques anonymes d’utilisation», vous pouvez désactiver cet en-tête à tout moment.

Les abonnements Pro sont gérés par Stripe. OpenCaseLaw ne voit que la clé de licence et la compare lors des requêtes Pro. Il n’existe aucun lien entre les données client Stripe et les statistiques d’utilisation.

La loi suisse révisée sur la protection des données (nFADP, en vigueur depuis septembre 2023) et le RGPD européen vous accordent des droits d’accès, de rectification et de suppression. OpenCaseLaw ne tient ni compte utilisateur ni identifiant permanent reliant automatiquement une requête à une personne. Cela limite ce que nous pouvons vous attribuer en pratique, mais n’abolit pas ces droits :

• Droit d’accès : sans compte ni identifiant permanent, nous ne pouvons généralement pas relier une requête à vous de notre propre initiative. Si vous nous communiquez l’identifiant de session, le moment approximatif et l’outil utilisé (par exemple depuis vos propres journaux client), nous recherchons les entrées correspondantes dans les systèmes décrits au §02 et vous indiquons ce que nous trouvons.
• Droit de suppression : les entrées qui peuvent vous être attribuées de cette manière sont supprimées sur demande, dans la mesure où une suppression est techniquement possible dans le système concerné. Si vous avez installé l’add-in Word, la désinstallation efface en outre l’UUID d’installation local sur votre appareil.
• Portabilité : là où des entrées peuvent être attribuées, nous vous les fournissons sur demande dans un format courant.
• Opposition : vous pouvez vous opposer aux logs de niveau 1 de 72 heures en n’utilisant pas les services ; une exception est techniquement impossible, car les serveurs web doivent journaliser les requêtes pour pouvoir répondre aux abus. Pour les autres systèmes décrits au §02, adressez votre opposition à l’adresse de contact ci-dessous.

Responsable du traitement au sens de la nFADP : Jonas Hertner, e-mail team@jonashertner.com. Les serveurs sont opérés par Hetzner Online GmbH en Allemagne.

Tous les mécanismes décrits ici sont open source et vérifiables dans le dépôt GitHub. Si vous constatez un écart entre cette page et le comportement réel du système, considérez cela comme un bug — signalez-le et nous le corrigerons.

E-mail : team@jonashertner.com
Les questions de confidentialité reçoivent une réponse en quelques jours.