Ce que nous collectons

Hôtes, identités, clés privées, mots de passe, extraits et clés d’hôte mémorisées sont stockés chiffrés sur votre propre machine, sous une clé dérivée de votre mot de passe maître. Nous n’avons pas ce mot de passe et ne pouvons pas le dériver.

Si vous activez la synchronisation, les enregistrements chiffrés sont copiés sur nos serveurs afin que vos autres appareils puissent les récupérer. Le chiffrement a lieu avant tout envoi. Qui exploite le serveur — nous compris — voit des tailles d’enregistrement et des horodatages, pas des contenus.

Nous ne collectons pas le contenu de vos sessions de terminal, ni les adresses des serveurs auxquels vous vous connectez, ni vos noms d’utilisateur, ni vos clés. Il n’y a aucun enregistrement des frappes et aucun enregistrement de session — sauf si vous activez les journaux de session, conservés sous le même chiffrement que le reste.

La saisie vocale n’envoie rien tant que vous n’avez pas donné votre accord : la première fois que vous appuyez sur le micro, Termiyo explique ce qui va se passer et n’enregistre rien tant que vous n’avez pas accepté. Ensuite, ce que vous dites passe par notre serveur jusqu’à Deepgram, un service de transcription vocale, et le texte vous revient sous forme de brouillon. Notre serveur transmet l’audio et n’en conserve rien. Il faut être connecté à un compte Termiyo, et la saisie vocale compte chaque mois dans l’IA incluse dans votre offre.

Pendant que vous parlez, le son reste dans la mémoire de l’application, sur votre ordinateur, et l’application le coupe à vos pauses en courts morceaux et envoie chacun au serveur de Termiyo (pendant une longue dictée, alors que vous parlez encore, et le reste quand vous vous arrêtez). Le serveur de Termiyo ne garde aucun son : il n’est écrit ni dans notre base de données, ni dans un fichier, ni dans un journal, et ce qui est décompté de votre quota, c’est le nombre de jetons d’IA facturés pour chaque morceau selon sa durée.

À chaque requête, nous demandons à Deepgram de l’exclure de son Model Improvement Program, et selon la documentation de Deepgram, les données de ces requêtes ne sont conservées que le temps nécessaire à leur traitement ; sa page « Your Data at Deepgram » précise que Deepgram ne garde alors ni le son ni le texte après avoir répondu, et ne s’en sert pas pour entraîner ses modèles. Rien de ce que vous dictez n’atteint un terminal ou l’assistant IA tant que vous n’avez pas appuyé sur un bouton du brouillon.

Termiyo envoie un court rapport sur lui-même, au plus une fois toutes les 24 heures, et il est activé dès l’installation. Il porte la version de l’application, votre plate-forme et votre processeur, le mode d’installation de cette copie, la langue de l’interface, si la recherche de mises à jour est active, et combien de vidages de plantage se trouvent dans son propre dossier. C’est la liste complète. Il part sans identifiant d’aucune sorte : un rapport ne peut donc être relié ni à un autre ni à vous, et rien n’est conservé ici à votre sujet que l’on puisse consulter. Rien de vos sessions ne voyage avec lui : aucun nom d’hôte, aucun nom d’utilisateur, aucune commande, aucune sortie, aucun chemin, aucune clé. Termiyo vous le dit au premier démarrage, et l’interrupteur qui le désactive est à un clic dans Paramètres → Aide. Les rapports de plantage sont une autre chose : désactivés sur une installation neuve, désactivés après une mise à jour, et désactivés jusqu’à ce que vous alliez les activer.

Quand l’application plante, le vidage du système d’exploitation est écrit dans un dossier de votre propre machine. Paramètres → Aide énumère ce qu’il contient, dit en mots simples ce qu’un vidage peut renfermer, et l’ouvre. Tant que l’envoi est désactivé — et c’est ainsi que commence toute installation — le vidage reste là, et il ne part que si vous le joignez vous-même à un rapport de bug.

Si vous l’activez : le vidage est envoyé en HTTPS à termiyo.com et conservé pour que les personnes qui construisent Termiyo puissent l’ouvrir dans un débogueur. Il porte le vidage lui-même, sous le nom que votre propre machine a donné à ce fichier, la version, la plate-forme et l’architecture, ainsi qu’un identifiant pour cette installation — créé la première fois que quelque chose est envoyé, si bien qu’une installation qui n’active jamais ceci n’en a aucun. Nous n’enregistrons pas l’adresse d’où il vient. Un vidage de plus de 2 Mo n’est pas envoyé du tout. Le même écran énumère tout ce qui a été envoyé et comporte un bouton qui demande à notre serveur de supprimer ces rapports et les vidages avec eux.

Ce n’est pas une position générale sur la vie privée. Un client SSH voit les noms d’hôtes, les identifiants et les commandes avec lesquels vous atteignez la production. Un vidage peut contenir n’importe lequel d’entre eux, et il n’existe pas de version filtrée d’une image mémoire : c’est de la mémoire, pas un formulaire. Voilà pourquoi c’est un interrupteur que vous devez trouver et activer, pourquoi l’écran où il se trouve vous dit d’abord ce qu’il y a dans le fichier, et pourquoi c’est la seule chose de cette page que cela change.

Ce qui a changé ici, dit plutôt que corrigé en silence : cette section affirmait auparavant que les rapports de plantage n’étaient pas seulement désactivés mais absents, qu’il n’y avait rien à activer ici, et qu’un rapport n’avait nulle part où aller. Les trois étaient vraies de toutes les versions antérieures à celle qui a ajouté l’adresse d’envoi, et cette version les a rendues fausses. Ce qui n’a pas changé est la partie qui compte, et c’est de toute façon la meilleure phrase : rien ne quitte votre machine si vous n’activez pas cela.

Termiyo vous demande de créer un compte lors d’une nouvelle installation, et vous pouvez refuser et continuer à l’utiliser. Un compte contient une adresse e-mail, un vérificateur de mot de passe (pas le mot de passe), vos clés publiques, l’état de votre abonnement et — pour chaque machine depuis laquelle vous vous connectez à ce compte — un libellé, qui est le nom d’hôte de cet ordinateur suivi de son système d’exploitation entre parenthèses, à côté de la date du dernier contact de cette machine avec nous. Le libellé est stocké tel quel plutôt que chiffré, parce que tout son intérêt est que vous puissiez lire la liste et reconnaître vos propres machines. Supprimez le compte et tout cela part avec lui.

Les questions à ce sujet vont à info@termiyo.com.