Ceci est une traduction réalisée avec l'aide de l'IA. La version anglaise fait foi : en cas de différence, le texte anglais s'applique. Lire la version anglaise

Politique de confidentialité de ToldForward

Version 6. En vigueur le 1er novembre 2026.

Dernière mise à jour : 1er novembre 2026.

Si quelqu’un vous a désigné

Une personne qui utilise ToldForward vous a désigné pour un rôle concernant son récit : en tant que destinataire désigné (designated recipient), qui reçoit le récit après son décès, ou en tant que personne de confiance désignée (designated trustee) ou personne de confiance désignée suppléante (backup designated trustee), qui signale son décès et ne lit jamais le récit. Elle nous a donné votre nom, votre lien avec elle, votre e-mail, votre téléphone mobile et votre date de naissance, et peut-être votre adresse personnelle. Nous ne les utilisons que pour vous inviter, vous joindre au sujet de votre rôle, et vérifier votre identité lorsque votre accès s’ouvre. Nous ne les vendons pas, et nous ne vous envoyons jamais de marketing parce que quelqu’un vous a désigné. Vous pouvez refuser l’invitation à tout moment, et vous pouvez nous demander ce que nous détenons à votre sujet. La section 3.4 donne les détails, et la section 12.1 explique ce que nous pouvons et ne pouvons pas vous dire sur le récit de quelqu’un d’autre.

Si vous êtes seulement mentionné dans le récit ou l’arbre généalogique de quelqu’un, vous n’avez de ce fait aucun rôle, aucun compte et aucun droit sur le récit. Les sections 3.5 et 3.6 expliquent ce que nous détenons.

Si vous aidez quelqu’un

Un membre vous a demandé de l’aider à utiliser ToldForward. Vous avez votre propre compte, avec vos propres nom, e-mail, téléphone mobile, date de naissance et connexion. Tant que votre lien existe, vous pouvez voir ce en quoi vous aidez le membre, et chaque requête que vous effectuez sur son compte est consignée dans un journal et lui est résumée par e-mail. Nous n’utilisons vos informations que pour faire fonctionner votre compte et l’aide que vous apportez, et pour protéger le récit du membre. La section 3.4a donne les détails.

Si vous avez seulement visité notre site web

Sur nos pages publiques, comme la page d’accueil, nos pages d’information et nos pages juridiques, nous vous demandons si vous acceptez la mesure d’audience. Ce n’est que si vous acceptez que Google Analytics compte vos visites, à l’aide de deux cookies. Il ne fonctionne jamais à la connexion, dans votre compte ni dans votre récit, et jamais lorsque votre navigateur envoie Global Privacy Control (section 16). Cloudflare, qui héberge notre site web, voit votre adresse IP et votre navigateur, comme tout hébergeur de site web. Sur le formulaire de contact, la liste d’attente et le formulaire pour agir au nom de quelqu’un (/act-for), et à la connexion après plusieurs mots de passe erronés, Cloudflare Turnstile vérifie que vous êtes une personne (section 7.3). Si vous utilisez le formulaire de contact, nous envoyons votre message par e-mail à notre boîte d’assistance.

Si vous vous êtes inscrit sur notre liste d’attente

Nous conservons votre e-mail, ainsi que votre nom et votre État si vous les avez donnés, uniquement pour vous inviter à ToldForward. Nous ne les vendons jamais et ne les utilisons jamais pour du marketing. Si vous ne confirmez pas votre place, nous la supprimons après 48 heures ; une place confirmée est conservée pendant 365 jours, ou jusqu’à ce que nous vous invitions. Le lien figurant dans notre e-mail vous retire de la liste à tout moment. La section 3.9 donne les détails.

1. Qui nous sommes

ToldForward est un service fourni par D2X Enterprises LLC, 30 S 15th St Ste 1550 PMB 852931, Philadelphia, PA 19102, USA (« nous »). Nous sommes responsables des informations personnelles décrites ici. Contactez-nous via https://toldforward.com/contact (choisissez « Privacy and my data », Confidentialité et mes données) ou par courrier à cette adresse.

ToldForward n’est proposé qu’aux États-Unis. Ceci est la version 6, rédigée pour notre lancement progressif, pendant lequel l’adhésion se fait uniquement sur invitation. Lorsqu’un élément est ici temporaire jusqu’à notre lancement public, nous le précisons.

2. La version courte

• Votre récit reste privé de votre vivant. Il n’est jamais public ni consultable par une recherche. Si vous choisissez un aidant, il peut voir ce en quoi il vous aide. Quelques membres du personnel peuvent y accéder en cas d’urgence, et chacun de ces accès est consigné dans un journal.
• Du texte uniquement. Nous ne recevons jamais votre voix ni votre image, à l’exception d’un appel vidéo en direct que vous demandez pour récupérer votre compte, que nous n’enregistrons jamais et n’utilisons jamais pour une reconnaissance faciale. Si vous préférez parler, la fonction de dictée de votre propre appareil convertit vos mots en texte avant que quoi que ce soit ne nous parvienne.
• Nous ne vendons jamais vos informations et n’utilisons jamais votre récit à des fins publicitaires. Nous ne vous envoyons des actualités et des offres par e-mail que si vous les demandez, et vous pouvez les arrêter à tout moment (section 5.2).
• Aucun entraînement d’IA sur votre récit sauf si vous l’acceptez séparément. Nous n’utilisons jamais d’informations personnelles pour entraîner de grands modèles de langage, à l’exception du propre récit d’un membre en vertu de cette acceptation distincte et autonome.
• Seules les personnes que vous désignez reçoivent votre récit, ainsi qu’une bibliothèque ou un service d’archives si vous choisissez un Dépôt historique (Historical Deposit). Votre propre instruction, que vous pouvez retirer et donner de nouveau, nous enjoint de ne jamais le remettre, ni un catalogue de celui-ci, à un exécuteur testamentaire, un mandataire, un tuteur ou un autre fiduciaire, sauf si un tribunal l’ordonne (section 7.5).
• Hébergé par Cloudflare, stocké aux États-Unis. Cloudflare fait fonctionner ToldForward, et son réseau transporte chaque requête, dans le monde entier. Votre récit, ainsi que la base de données et les fichiers qui le contiennent, sont stockés, chiffrés, aux États-Unis ; des copies de sauvegarde chiffrées vont aussi dans notre Google Drive (section 8). Nos prestataires d’e-mail, de paiement et d’e-mails marketing peuvent traiter votre nom et votre adresse e-mail ailleurs, jamais le contenu de votre récit.
• Mesure d’audience seulement si vous l’acceptez, sur nos pages publiques seulement. Google Analytics compte les visites des pages que tout le monde peut lire, seulement après que vous l’avez acceptée dans notre bandeau cookies. Il ne fonctionne jamais à la connexion, dans votre compte ni dans votre récit, et jamais lorsque votre navigateur envoie Global Privacy Control (section 16).
• Après votre décès, vos destinataires désignés reçoivent l’intégralité de votre récit, au plus tôt 6 mois après la confirmation de votre décès.
• Vous pouvez exporter ou supprimer votre récit à tout moment de votre vivant.
• Nous faisons fonctionner ToldForward et détenons nous-mêmes les récits. Il n’y a aucun dépositaire. Si le service devait un jour prendre fin, chaque récit serait remis de manière anticipée, et jamais vendu (section 9.1).

3. Ce que nous collectons

3.1 Chaque compte

• Informations du compte : prénom et nom, e-mail, téléphone mobile, langue, date de naissance complète et, pour les membres, adresse postale complète. Votre adresse est chiffrée ; l’État qui y figure lors de l’inscription est votre État de résidence, que nous conservons tel quel même si vous déménagez.
• Informations de connexion : une empreinte (hachage) de votre mot de passe, jamais le mot de passe lui-même, les clés publiques et les libellés de vos clés d’accès (passkeys), un secret d’authentification (chiffré), les sessions de connexion et les codes de vérification (stockés uniquement sous forme d’empreinte).
• Invitations à s’inscrire : si nous vous avons invité, votre e-mail, le nom que nous avons saisi, la date d’envoi de l’invitation et la date à laquelle vous l’avez utilisée. Le code lui-même n’est stocké que sous forme d’empreinte.
• Consentements et accords : quelle version vous avez acceptée, une empreinte du texte exact lorsque nous la détenons, quand, depuis quelle adresse IP et quel navigateur, et si vous l’avez retiré : votre acceptation des Conditions d’utilisation (qui comprennent la Politique d’utilisation acceptable) et de cette Politique de confidentialité, que tout le monde donne lors de la création d’un compte ; votre consentement aux informations sensibles ; votre instruction sur qui peut recevoir votre récit ; le renouvellement automatique ; l’entraînement ; le consentement biométrique ; les actualités et les offres par e-mail, si vous les choisissez (section 5.2) ; et les accords que vous signez, avec votre nom saisi.
• Modifications du compte : ce que nous vous avons montré et ce que vous avez reconnu lorsque vous avez commencé, modifié ou résilié une adhésion ou une option.
• Facturation : votre adhésion et vos options, leur statut, les dates d’essai et de renouvellement, les avis que nous avons envoyés, et les résiliations. Les données de carte vont à Stripe, pas à nous.
• Données techniques : le service écrit une ligne pour chaque requête : le chemin demandé, avec les liens privés et tout ce qui suit un ? masqués, la méthode, l’heure et le résultat. Elle ne contient jamais ce que vous avez envoyé ni votre adresse IP, et ces lignes ne sont pas conservées. Cloudflare conserve un journal des requêtes adressées à notre site web pendant 7 jours au plus. Nous comptons les requêtes de chaque adresse IP, dans notre base de données, pour limiter les abus.
• Messages que nous vous envoyons : le fait que nous avons envoyé un e-mail ou un SMS, et son type, mais jamais rien de votre récit. Si vous avez accepté les actualités et les offres par e-mail, notre prestataire de marketing par e-mail détient aussi votre adresse e-mail et l’information indiquant si vous vous êtes désabonné (section 5.2).

3.2 Le récit de chaque membre

• Vos réponses et vos écrits, avec la question, la date à laquelle vous l’avez écrit pour la première fois et la date de chaque modification. Chiffrés.
• Versions antérieures. Lorsque vous modifiez une réponse, nous conservons votre formulation antérieure sous forme de version datée. Elle fait partie de votre récit, est incluse dans vos exports, et est reçue par les personnes que vous avez désignées. Pour supprimer des mots définitivement, supprimez l’entrée.
• Votre arbre généalogique : les proches que vous ajoutez (noms, lien avec vous, dates de naissance et de décès, et notes, les noms et les notes étant chiffrés), et les invitations que vous envoyez à des proches pour relier leur propre arbre (leur e-mail).
• Vos réponses « À propos de vous » : les questions facultatives posées après l’inscription : le nom que vous souhaitez voir utilisé dans votre récit, votre lieu de naissance et l’endroit où vous avez grandi, votre genre (facultatif, comme chaque réponse ici), vos mariages et partenaires, vos enfants et petits-enfants, votre retraite et votre service militaire. Chiffrées, privées, ne faisant jamais partie du récit remis, et utilisées uniquement pour choisir les questions à vous montrer.
• Les personnes que vous désignez (section 3.4), et vos paramètres les concernant : votre délai d’attente (the waiting period), qui est le même pour toutes, la désactivation du guide, et la possibilité pour elles de partager leur copie en privé.
• Les questions que vous avez passées, afin que vous puissiez y revenir.

3.3 Avec l’Adhésion Archives, en plus

• L’index de recherche qu’utilise le guide (the guide) : des passages scellés (chiffrés), des plongements vectoriels (embeddings), des noms, des lieux et des périodes, construits à partir de vos entrées. Il est reconstruit lorsque les modèles changent. Le récit de l’Adhésion Récit (Record Membership) n’est jamais indexé.
• Le résultat de votre vérification d’identité, une fois la vérification d’identité ouverte : réussite ou échec, si votre nom et votre date de naissance correspondaient, et quand. Pas les images (section 13.2).
• Votre Accord de participation signé (section 3.1).
• Votre choix concernant l’entraînement.
• Les conversations de l’Aperçu (Preview) avec le guide, chiffrées.
• Votre choix de Dépôt historique et votre acte de donation, si vous en faites un, ainsi que la date à laquelle nous vous l’avons proposé et votre réponse.

3.4 Les personnes qu’un membre désigne (destinataires désignés et personnes de confiance désignées)

Cette section concerne les personnes qu’un membre a choisies pour un rôle : les destinataires désignés (« destinataires »), les personnes de confiance désignées et les personnes de confiance désignées suppléantes. Être mentionné dans un récit n’est pas une désignation (section 3.6).

• De la part du membre : vos prénom et nom, votre lien avec lui, votre e-mail, votre téléphone mobile, votre date de naissance et, facultativement, votre adresse personnelle.
• De votre part, si vous acceptez : votre propre compte ToldForward (section 3.1), la version des Conditions d’accès que vous avez acceptée, votre nom saisi, et la date.
• Après le décès du membre : le résultat de votre vérification d’identité lorsque votre accès s’ouvre (section 13.2), le jour que vous choisissez pour commencer, votre introduction, vos achats de Dialogue (Dialogue), vos conversations Dialogue (chiffrées, conservées 90 jours), le téléchargement du dossier de remise et votre confirmation qu’il est pour vous.
• Si vous êtes personne de confiance : tout signalement de décès que vous déposez, avec ses documents et votre déclaration attestant qu’il est vrai (section 3.7).
• Si vous refusez : le fait que vous avez refusé, que le membre peut voir, avec les informations que le membre nous a données, jusqu’à ce que le membre vous retire ou que le récit soit supprimé.
• Si le membre a scellé votre désignation, nous détenons vos informations sans vous en informer jusqu’après son décès.

Nous n’utilisons ces informations que pour exécuter les instructions du membre, protéger le guide et le récit, et vous joindre à leur sujet.

3.4a Les aidants

• Votre propre compte : vos prénom et nom, votre e-mail, votre téléphone mobile, votre langue, votre date de naissance et votre connexion (section 3.1), ainsi que votre acceptation des Conditions d’utilisation et de cette Politique de confidentialité. Vous devez avoir 18 ans ou plus.
• Votre lien avec le membre : qui vous a invité, quand vous avez accepté, et quand le lien a pris fin. Le membre peut y mettre fin à tout moment ; il prend fin lorsque son décès est confirmé.
• Ce que vous faites : chaque requête que vous effectuez sur le compte du membre est consignée comme un accès par un aidant (qui, quand et quoi), les réponses ajoutées avec votre aide sont signalées comme telles, et le membre reçoit un résumé de votre activité à son propre e-mail.
• Le résultat de votre vérification d’identité, une fois la vérification d’identité ouverte (section 13.2).

Tant que votre lien existe, vous pouvez voir les parties du compte du membre pour lesquelles vous l’aidez : les questions et leurs réponses, ses écrits, son arbre généalogique et ses réponses « À propos de vous ». Vous ne pouvez ni voir ni faire les choix qui n’appartiennent qu’au membre. Gardez pour vous ce que vous voyez (Politique d’utilisation acceptable, section 11.2).

3.5 Les proches figurant dans un arbre généalogique

Un membre peut ajouter des proches, y compris des personnes vivantes et des enfants, avec leurs noms, leur lien, leurs dates de naissance et de décès, et des notes. Nous ne conservons ces informations que pour le membre, en privé, de son vivant. L’arbre généalogique fait partie du récit que reçoivent les destinataires désignés du membre, ainsi que d’un Dépôt historique si le membre en a choisi un. Si vous pensez qu’un membre vous a ajouté, vous pouvez nous contacter (section 12.3) ; la section 12.1 explique ce que nous pouvons et ne pouvons pas faire au sujet du récit d’une autre personne.

3.6 Les autres personnes mentionnées dans un récit

Les histoires des membres mentionnent naturellement d’autres personnes. Être mentionné dans un récit ne vous donne aucun rôle, aucun compte et aucun droit sur le récit, et nous ne vous contactons pas de ce fait. Nous n’extrayons, ne signalons ni n’indexons séparément les informations d’autres personnes à aucune autre fin que de permettre au guide de trouver des passages dans ce seul récit. Le guide présente ce qu’un membre a dit des autres comme sa version, et non comme un fait.

3.7 Les signalements de décès

Le signalement de la personne de confiance : la date et le lieu du décès, un document qui atteste le décès (un acte de décès, ou un avis de décès accompagné d’une lettre de l’entreprise de pompes funèbres), chiffré, et la déclaration de la personne de confiance attestant que ce qu’elle signale est vrai et que le document est authentique. Nous conservons les documents jusqu’à ce que la remise aux destinataires désignés du membre soit effectuée (section 11).

3.8 Le formulaire de contact

Votre nom, votre e-mail, le sujet et votre message, ainsi que la vérification de Turnstile (section 7.3). Nous envoyons le message par e-mail à notre boîte d’assistance ; il n’est pas stocké dans le service ToldForward lui-même. Notre personnel l’y lit pour vous répondre. Nous le conservons, avec nos réponses, pendant 2 ans après notre dernière réponse, puis le supprimons. Veuillez ne pas envoyer de codes de connexion, de pièces d’identité ni quoi que ce soit de votre récit par le formulaire.

3.9 La liste d’attente

Tant que l’inscription se fait sur invitation, toute personne sans invitation peut s’inscrire sur notre liste d’attente.

• Ce que nous conservons : votre e-mail et, si vous les donnez, votre nom (chiffré) et votre État. Lorsque vous vous inscrivez, Cloudflare Turnstile vérifie que vous êtes une personne, à l’aide de votre adresse IP et de signaux de votre navigateur (section 7.3), et le service compte les requêtes provenant de votre adresse IP pour limiter les abus (section 3.1, données techniques).
• Pourquoi : uniquement pour vous inviter à ToldForward. Notre personnel voit les places confirmées sur notre site de gestion et envoie les invitations depuis celui-ci.
• Combien de temps : nous vous envoyons par e-mail un lien pour confirmer votre place. Si vous ne la confirmez pas dans les 48 heures, nous la supprimons. Une place confirmée est conservée jusqu’à ce que nous vous invitions, ou pendant 365 jours, selon la première éventualité, puis supprimée ; vous êtes le bienvenu pour vous réinscrire.
• Quitter la liste : le lien figurant dans notre e-mail vous retire immédiatement de la liste.
• Jamais vendue, jamais de marketing. Nous ne vendons jamais votre place sur la liste et ne l’utilisons jamais pour du marketing, et l’inscription ne vous abonne pas aux actualités et aux offres. Seuls les prestataires qui envoient nos e-mails et effectuent la vérification anti-robot la traitent pour nous (section 7.1).

4. Ce que nous ne collectons ni ne conservons jamais

• Votre voix, tout enregistrement audio ou vidéo de vous, ou une empreinte vocale. Nous ne les recevons jamais : si vous dictez, votre propre appareil convertit votre parole en texte, et seul le texte nous parvient. Si vous nous demandez de récupérer votre compte, nous confirmons votre identité lors d’un appel vidéo en direct (Conditions d’utilisation, section 15.2), que nous n’enregistrons jamais et n’utilisons jamais pour une reconnaissance faciale.
• Des images ou vidéos de vous, des images de pièces d’identité, des selfies ou des modèles faciaux. Votre prestataire de vérification d’identité les traite et les supprime (section 13.2).
• Des traductions de votre récit. Elles sont produites au moment où quelqu’un lit, signalées comme telles, et jamais enregistrées.
• Des données provenant de toute autre personne que le membre sur la propre vie du membre. Nous n’acceptons pas le téléversement d’écrits d’autres personnes.
• Votre numéro de carte complet.

5. Comment nous les utilisons

Nous n’utilisons jamais votre récit pour la publicité, le profilage ou la vente. Nous n’utilisons pas non plus vos informations personnelles pour la publicité, sauf pour vous envoyer des actualités et des offres par e-mail si vous les avez demandées (section 5.2). Nous n’utilisons jamais le contenu d’un récit pour choisir ce que nous vous envoyons.

5.1 Les e-mails que nous envoyons au sujet de votre compte et de votre récit

Les e-mails propres au service proviennent de toldforward.com, envoyés par Cloudflare Email Service (section 7.1) : codes de connexion et de vérification, avis concernant votre compte, votre adhésion, votre facturation et votre récit, invitations, e-mails de la liste d’attente, reçus, et messages concernant un signalement de décès, un délai d’attente ou une remise. Ils font partie du service : vous les recevez donc tant que vous avez un compte, quel que soit votre choix concernant les actualités et les offres. Ils contiennent votre nom et votre adresse e-mail, et parfois le nom d’un membre ou d’une personne qu’il a désignée, mais ils indiquent seulement que quelque chose s’est produit, jamais ce que dit un récit. Chacun d’eux comprend notre adresse postale. Ils ne contiennent aucune publicité, à une exception près : une invitation que nous vous envoyons à rejoindre ToldForward est en soi une offre ; elle vous indique donc aussi comment nous demander de cesser de vous envoyer des invitations, et nous n’en envoyons plus à votre adresse une fois que vous l’avez demandé.

5.2 Actualités et offres par e-mail (facultatif)

• Uniquement si vous l’acceptez. Lorsque vous créez un compte, vous pouvez cocher « Send me occasional news and offers from ToldForward by email » (M’envoyer de temps en temps des actualités et des offres de ToldForward par e-mail). La case n’est pas cochée tant que vous ne la cochez pas, et ce n’est jamais une condition de quoi que ce soit. Vous pouvez activer ou désactiver ce choix à tout moment dans les Paramètres.
• Ce que nous conservons comme preuve : la version du texte que vous avez vu, la date de votre accord, votre adresse IP et votre navigateur, et la date de votre retrait. Nous conservons cette trace tant que vous recevez ces e-mails et pendant 3 ans après votre retrait, pour montrer ce que vous avez accepté.
• Qui les envoie. Nous n’avons pas encore commencé à les envoyer. Lorsque nous le ferons, nous les enverrons depuis e.toldforward.com, une adresse distincte de celle des e-mails propres au service, par l’intermédiaire de notre prestataire de marketing par e-mail, Brevo (section 7.1), et uniquement aux personnes qui l’ont accepté. Brevo reçoit votre adresse e-mail, votre prénom et l’information indiquant si vous vous êtes désabonné, et rien de votre récit. Nous désactivons le suivi par Brevo de l’ouverture de ces e-mails et des liens sur lesquels vous cliquez : il n’y a donc aucun suivi des ouvertures ni des clics.
• Jamais en raison d’un rôle. Nous n’envoyons jamais d’actualités ni d’offres à quiconque parce qu’un membre l’a désigné, et jamais à une personne qu’un membre a désignée pendant le délai d’attente du membre.
• Les arrêter. Utilisez le lien de désabonnement figurant dans n’importe lequel de ces e-mails, ou désactivez ce choix dans les Paramètres. Chaque e-mail comprend notre adresse postale, et son lien de désabonnement fonctionne pendant au moins 30 jours après son envoi. Nous arrêtons dans un délai de 10 jours ouvrables au maximum, et nous ne vous facturons jamais rien ni ne vous demandons autre chose que votre adresse e-mail pour vous désabonner. Les arrêter n’arrête jamais les e-mails de la section 5.1. Après votre désabonnement, Brevo ne conserve votre adresse e-mail que sur une liste « ne pas envoyer », afin que nous ne vous envoyions pas d’e-mail de nouveau par erreur.

6. Comment nous utilisons l’IA

L’IA ne fonctionne que sur le récit d’un membre Archives. Le récit de l’Adhésion Récit n’est jamais indexé ni envoyé à un modèle d’IA.

• L’index de recherche utilisé par le guide est construit à partir de vos entrées par un modèle d’embeddings ouvert (BGE-M3) que Cloudflare fait fonctionner pour nous sur Workers AI. Nous lui envoyons le texte de chaque passage, et chaque question posée au guide, et conservons ce qu’il renvoie sous scellé (chiffré). Les conditions de Cloudflare indiquent qu’il n’utilise pas ce que Workers AI traite pour entraîner des modèles et ne le conserve pas une fois la requête traitée. Elles n’indiquent pas où le modèle fonctionne, ce qui peut être hors des États-Unis.
• Le guide (Aperçu et Dialogue) trouve des passages et compose des réponses sur le membre, en le citant exactement. Il indique qu’il est une IA au début de chaque conversation et toutes les 3 heures. Pour composer et vérifier une réponse, il envoie la question et les passages qu’il a trouvés à son modèle. Le même modèle examine chaque question, et ce que le guide s’apprête à montrer, à la recherche de signes de suicide ou d’automutilation (Conditions d’utilisation, section 13.6).
• La traduction d’affichage traduit pour la lecture, et n’est jamais enregistrée.
• L’examen des documents : des outils automatisés, dont l’IA, nous aident à examiner les preuves de décès qui nous sont envoyées. Ils lisent le document, comparent ses informations avec ce que nous détenons sur le membre, et signalent tout ce qui semble incohérent ou falsifié. Ces vérifications peuvent ne pas détecter une contrefaçon et peuvent signaler un document authentique : elles ne décident donc jamais seules. Un membre de notre équipe examine chaque preuve de décès et prend chaque décision de confirmer un décès, et examine tout autre document contesté ou peu clair. Ces outils ne reçoivent que ce dont chaque vérification a besoin. Les vérifications d’identité sont effectuées uniquement par notre prestataire de vérification d’identité (section 13.2), jamais par ces outils.

Quel modèle, pendant le lancement progressif. Jusqu’à notre lancement public, le guide et les vérifications de documents utilisent Claude Haiku 5.5, un modèle conçu par Anthropic, PBC, au moyen de l’API d’Anthropic. Anthropic traite ce que nous envoyons uniquement aux États-Unis, ne l’utilise pas pour entraîner ses modèles, et ne le conserve que pendant la durée limitée que permet sa conservation standard des données commerciales (au moment où nous écrivons ces lignes, supprimées dans un délai de 30 jours, sauf conservation plus longue pour enquêter sur une violation de ses règles d’utilisation ou parce que la loi l’exige). Avant notre lancement public, nous remplacerons le modèle d’Anthropic par nos propres modèles, et nous mettrons à jour cette politique, en indiquant où ils fonctionnent, avant de le faire. Nous n’envoyons que ce dont chaque tâche a besoin. Aucun modèle ne décide jamais de ce que quelqu’un peut lire : ces règles s’exécutent d’abord dans notre propre logiciel.

Entraînement. Votre récit n’est utilisé pour entraîner des modèles que si vous l’acceptez, séparément de tout le reste, et ce choix ne modifie jamais votre prix. Vous pouvez le retirer à tout moment dans les Paramètres. Le retrait exclut votre récit de toute session d’entraînement ultérieure, et les modèles déjà entraînés dessus sont retirés lors de notre prochain réentraînement. Seuls les propres modèles de ToldForward sont entraînés sur un récit ; nous ne laissons jamais un prestataire s’entraîner dessus. Nous n’utilisons jamais d’informations personnelles pour entraîner de grands modèles de langage, à l’exception du propre récit d’un membre en vertu de cette acceptation distincte et autonome de l’entraînement.

Profilage. Nous choisissons les questions à montrer à un membre en fonction de son âge et de ses réponses « À propos de vous ». C’est automatisé, mais cela ne décide rien à votre sujet au-delà de la question suivante : nous ne faisons aucun profilage produisant des effets juridiques ou des effets similaires significatifs.

7. Qui reçoit vos informations

7.1 Les prestataires de services

Ils ne traitent les informations que pour nous, en vertu de contrats qui les y limitent.

Pas encore choisis. Nous n’envoyons pas encore de SMS, et la vérification d’identité n’est pas encore ouverte. Avant que l’un ou l’autre ne commence, nous nommerons ici son prestataire, avec le lieu où il traite vos informations.

7.2 Les personnes que vous choisissez

Les personnes que vous désignez, au moment et de la manière que prévoient vos instructions (section 9). Si vous choisissez un Dépôt historique, la bibliothèque ou le service d’archives partenaire (section 10).

7.2a Si le service prend fin : l’agent séquestre de cessation d’activité

Avant notre lancement public, nous désignerons un agent séquestre indépendant pour la cessation d’activité (section 9.1). Si ToldForward prend fin alors qu’un récit est encore dans son délai d’attente, l’agent détient des copies chiffrées pour les destinataires désignés du membre et les leur remet à la date où le délai d’attente aurait pris fin. Il ne recevra que ce dont cette remise a besoin : les récits chiffrés, ainsi que les noms et les coordonnées des personnes qui les reçoivent ; il ne pourra les utiliser à aucune autre fin. Nous le nommerons ici, avec le lieu où il les traite, une fois qu’il aura été désigné.

7.3 Cloudflare Turnstile

Pour bloquer les robots, nous utilisons Cloudflare Turnstile, en mode invisible, à quatre endroits : le formulaire de contact, la liste d’attente, le formulaire destiné à une personne agissant pour un membre en vertu d’une procuration ou d’une tutelle (/act-for), et la connexion, une fois que plusieurs mots de passe erronés ont été saisis pour la même adresse e-mail. Lorsque l’un d’eux se charge, votre navigateur charge Turnstile depuis Cloudflare, qui traite des signaux tels que votre adresse IP, votre empreinte TLS, votre navigateur (User-Agent) et le site sur lequel vous vous trouvez pour distinguer les personnes des robots. Lorsque vous envoyez le formulaire ou vous connectez, le service envoie à Cloudflare le jeton obtenu et votre adresse IP pour confirmer la vérification. Cloudflare ne reçoit ni votre nom, ni votre e-mail, ni votre mot de passe, ni votre message par l’intermédiaire de Turnstile. Pour cette vérification, Cloudflare traite les signaux pour notre compte ; Cloudflare les utilise aussi pour améliorer Turnstile, en tant que responsable de traitement pour son propre compte. L’utilisation par Cloudflare est décrite dans le Cloudflare Turnstile Privacy Addendum : https://www.cloudflare.com/turnstile-privacy-policy/ et dans la politique de confidentialité de Cloudflare. Pour exercer vos droits concernant la vérification anti-robot, contactez-nous.

7.4 Notre personnel

Un petit nombre de membres du personnel peuvent utiliser un site de gestion distinct et protégé pour examiner les signalements de décès, placer des conservations à des fins légales (legal holds) et, en cas d’urgence, lire un récit. Il se trouve derrière une passerelle d’accès, et le personnel s’y connecte avec un mot de passe, avec une application d’authentification facultative et des clés d’accès facultatives. L’accès d’urgence dure au plus une heure, alerte immédiatement notre contact sécurité, consigne chaque entrée lue, et est contrôlé chaque semaine. Nous ne donnons pas aux chercheurs l’accès aux récits.

7.5 La loi

Nous divulguons des informations lorsque la loi nous y oblige, par exemple en vertu d’une décision de justice ou d’un mandat, et uniquement ce qu’elle exige. Une demande de l’exécuteur testamentaire, du représentant personnel, du mandataire, du tuteur, du curateur ou du fiduciaire (trustee) d’un membre reçoit une réponse conforme aux instructions du membre et à la loi qui nous lie. Les instructions du membre comprennent son instruction distincte selon laquelle son récit, toute partie de celui-ci et tout catalogue de celui-ci ne vont qu’aux personnes qu’il désigne, jamais à un fiduciaire sans décision de justice (Qui peut recevoir votre récit). C’est la loi sur les actifs numériques de l’État où vit le membre qui détermine le rang de cette instruction : la plupart des États lui donnent priorité sur un testament, une fiducie ou une procuration ; le Delaware, la Louisiane et le Massachusetts peuvent ne pas le faire (Conditions, sections 10.9 à 10.12). Nous pouvons d’abord demander une décision de justice. Nous en informons la personne concernée, sauf si la loi l’interdit ou si cela mettrait quelqu’un en danger. Une conservation à des fins légales peut empêcher une suppression tant qu’elle dure.

7.6 Transferts d’entreprise

Nous faisons fonctionner ToldForward et détenons nous-mêmes les récits ; il n’y a aucun dépositaire. Nous ne vendons jamais d’informations personnelles. Si ToldForward fait l’objet d’une fusion, d’une vente ou d’une procédure de faillite, les informations personnelles et les récits ne peuvent être transmis qu’à un successeur qui poursuit le service conformément à cette Politique de confidentialité et aux instructions de chaque membre pour son récit. S’il n’existe aucun successeur de ce type, nous remettons les récits comme le prévoit la section 9.1 et supprimons le reste ; nous ne les vendons pas. Si nous confions plus tard les récits à un dépositaire, la même condition s’applique, et nous vous en informerons au moins 90 jours à l’avance.

7.7 Jamais

Nous ne vendons jamais vos informations personnelles, ne les partageons jamais à des fins de publicité comportementale intercontextuelle, et ne les donnons jamais à des courtiers en données. Notre mesure d’audience n’y change rien (section 16).

8. Où elles sont traitées

ToldForward n’est proposé qu’aux États-Unis. Cloudflare, Inc. l’héberge et le fait fonctionner entièrement : notre site web, le service, notre site de gestion et nos sauvegardes. Voici où vont vos informations :

• Stockées aux États-Unis. Notre base de données, les fichiers que nous stockons et les copies de sécurité chiffrées des récits supprimés sont conservés dans la juridiction États-Unis de Cloudflare, qui les garde stockés aux États-Unis. Nous chiffrons nous-mêmes le texte des récits, les noms et les autres champs personnels avant leur stockage.
• Traitées sur le réseau de Cloudflare, dans le monde entier. Chaque requête adressée à notre site web et au service, et chaque réponse, passe par le réseau de Cloudflare. Cloudflare déchiffre chacune dans son centre de données le plus proche de la personne qui utilise le site, qui peut se trouver hors des États-Unis, et le service y fonctionne pour y répondre, en n’ouvrant, en mémoire, que ce dont cette réponse a besoin. Nos tâches planifiées, comme la construction de l’index de recherche, fonctionnent aussi sur le réseau de Cloudflare.
• L’index de recherche. Workers AI, qui le construit, peut fonctionner hors des États-Unis (section 6).
• Exportations. Les paquets d’exportation et les copies de transmission sont assemblés et chiffrés dans un Container de Cloudflare qui n’a pas accès à internet et ne conserve rien. Cloudflare choisit où il fonctionne. Le paquet terminé est stocké aux États-Unis.
• Sauvegardes. Chaque nuit, nous copions notre base de données et nos fichiers et chiffrons la copie, avec une clé que ni Cloudflare ni Google ne détient, avant de la stocker : pendant 7 jours dans la juridiction États-Unis de Cloudflare, et les deux copies les plus récentes dans notre propre Google Drive, là où Google conserve les fichiers Drive, au cas où nous perdrions notre compte Cloudflare. La base de données conserve aussi son propre historique pendant 30 jours. Les données supprimées quittent chaque sauvegarde, copie et historique dans un délai de 30 jours.
• E-mail. Cloudflare Email Service, qui envoie les e-mails propres au service et les messages du formulaire de contact, peut les traiter en dehors des États-Unis. Ces e-mails contiennent des noms et des adresses e-mail, jamais ce que dit un récit. Notre boîte d’assistance est conservée par son prestataire selon ses propres conditions.
• Paiements. Stripe traite les paiements selon ses propres conditions, ce qui peut inclure un traitement en dehors des États-Unis.
• E-mails marketing. Brevo, qui envoie des actualités et des offres par e-mail uniquement aux personnes qui l’ont accepté, stocke leur adresse e-mail et leur prénom en France et en Belgique (section 5.2).
• La vérification anti-robot. Turnstile, sur le formulaire de contact, la liste d’attente, le formulaire pour agir au nom de quelqu’un et la connexion, fonctionne sur le réseau mondial de Cloudflare (section 7.3).
• Mesure d’audience. Google Analytics, sur nos pages publiques seulement et seulement si vous l’acceptez, envoie à Google ce qu’énumère la section 16. Google peut le traiter hors des États-Unis.
• Le modèle du guide. Anthropic traite ce que le guide lui envoie uniquement aux États-Unis (section 6).

Une bibliothèque ou un service d’archives partenaire (section 10) se trouve aux États-Unis. Nous indiquerons où l’agent séquestre de cessation d’activité traite les informations lorsque nous le nommerons (section 7.2a).

9. Après le décès d’un membre

• Une personne de confiance signale le décès, avec un document qui l’atteste et une déclaration attestant que le signalement est vrai. Nous envoyons au membre par e-mail, et par SMS dès que nous enverrons des SMS, un lien pour arrêter le signalement, attendons 7 jours, et examinons les documents.
• Une fois le décès confirmé, le récit est figé exactement tel que le membre l’a laissé et la facturation cesse ; rien n’est communiqué avant la fin du délai d’attente.
• Les propres droits du membre en matière de confidentialité prennent fin à son décès (l’export et la suppression sont personnels), et ses instructions prennent le relais.
• Personne ne reçoit le récit ni n’utilise le guide avant au moins 6 mois après la confirmation (jamais à compter de la date du décès figurant sur les documents), ou plus longtemps si le membre l’a choisi. Personne ne peut raccourcir ce délai, y compris notre personnel.
• Remise : chacun des destinataires désignés du membre reçoit sa propre copie chiffrée de l’intégralité du récit, après une connexion récente, un code à usage unique envoyé au moment du téléchargement et une vérification d’identité, la phrase secrète étant envoyée séparément. La personne de confiance n’en reçoit aucune. Chaque copie contient chaque version datée, l’arbre généalogique, les souhaits du membre (y compris les noms et les liens des autres personnes qu’il a désignées, et la possibilité pour elles de partager leur copie en privé), et un fichier README. Les coordonnées des personnes désignées ne sont jamais incluses. Les propres conversations des destinataires désignés avec le guide ne sont jamais incluses.
• Si aucun destinataire désigné n’accepte le récit dans les 90 jours suivant notre avis, notre personnel ouvre un dossier et continue d’essayer de les joindre, en consignant chaque tentative. Le récit ne va jamais à quiconque que le membre n’a pas désigné : ce n’est que lorsque le personnel est certain qu’aucun destinataire désigné ne peut le recevoir qu’il est supprimé, par une action finale qu’un administrateur approuve. Nous conservons une copie de sécurité chiffrée pendant 1 an, et une trace permanente de chaque étape. Un Dépôt historique choisi par le membre est effectué en premier.
• Avec l’Adhésion Récit, nous conservons le récit jusqu’à ce que chaque destinataire désigné ait téléchargé sa copie, ou jusqu’à 1 an après l’ouverture de son accès, selon la première éventualité, puis le supprimons par action finale.
• Avec l’Adhésion Archives, les destinataires désignés peuvent utiliser le guide sur la période Archives payée restante du membre, puis le prolonger en payant Dialogue. Leurs questions, les réponses du guide et les passages qu’il cite sont conservés chiffrés pendant 90 jours, puis supprimés ; ils ne sont jamais exportés, et sont supprimés avec le récit.
• Lorsque le récit quitte le service, nous le supprimons par action finale, la copie de sécurité étant conservée pendant 1 an puis supprimée, et émettons un certificat de suppression signé.
• Les instructions du membre dans le service sont ce que nous suivons, y compris son instruction selon laquelle seules les personnes qu’il désigne reçoivent le récit (Qui peut recevoir votre récit). Un testament ou une autre instruction qui entre en conflit avec elles est résolu selon la loi qui nous lie, et les exécuteurs testamentaires, les héritiers et les tribunaux disposent de pouvoirs légaux que nous devons respecter (Conditions, sections 10.9 à 10.12).

9.1 Si ToldForward prend fin

Nous remettons chaque récit de manière anticipée, par voie électronique (Conditions, section 16.4) : le récit d’un membre vivant, ou celui dont le décès signalé n’est pas confirmé, va au membre seul ; après un décès confirmé, il va à chacun des destinataires désignés du membre, et les copies encore dans leur délai d’attente sont conservées sous séquestre jusqu’à la date où il aurait pris fin. Le guide prend fin avec le service. Nous avons un plan écrit de cessation d’activité, et notre fondateur en est personnellement responsable ; avant notre lancement public, un agent séquestre indépendant détiendra les fonds et les outils nécessaires (section 7.2a). Une fois toutes les remises effectuées, nous supprimons ce que nous détenons, à l’exception de ce que la loi nous oblige à conserver.

10. Dépôt historique

Un Dépôt historique est facultatif, n’est jamais l’option par défaut, et est choisi par le membre de son vivant, au moyen d’un acte de donation distinct et signé. Si un membre l’a choisi, lorsque son récit quitte ToldForward après son décès, nous soumettons le même récit intégral à une bibliothèque ou à un service d’archives partenaire pour son État de résidence lors de l’inscription, avec l’acte de donation.

• Ce que reçoit le partenaire : l’intégralité du récit, y compris l’arbre généalogique et ce que le membre a dit d’autres personnes, les souhaits du membre (y compris les noms et les liens des personnes qu’il a désignées, mais pas leurs coordonnées), et l’acte de donation.
• À compter de la soumission, le partenaire le détient selon ses propres règles, notamment la durée de conservation, qui peut le lire et quand, et son propre examen des informations concernant des personnes encore en vie. Les souhaits du membre, énoncés dans l’acte, accompagnent le récit en tant que demandes relevant des propres règles du partenaire ; nous ne gérons aucun scellé et ne les faisons pas appliquer. Si vous êtes désigné par un membre, ou mentionné dans son récit, ce sont les règles du partenaire, et non les nôtres, qui régissent cette copie.
• Nous supprimons ensuite notre copie, et consignons que le dépôt a été effectué.
• Nos partenaires. Nous montrons aux membres les options de partenaires pour leur État avant qu’ils ne paient, et nous ne listons une institution comme partenaire qu’une fois qu’elle a signé avec nous un accord permanent.
• Pour l’instant, le Dépôt historique n’est pas proposé aux membres dont l’État de résidence est la Floride, la Virginie ou l’Indiana.
• Si le service prend fin avant que le récit d’un membre ne nous quitte, la section 16.5 des Conditions s’applique.

11. Combien de temps nous les conservons

Notre page Données et suppression indique les mêmes durées, avec la manière d’exporter et de supprimer.

12. Vos choix et vos droits

12.1 Tout le monde, dans chaque État

Que la loi de votre État l’exige ou non, vous pouvez, pour vos propres informations personnelles :

• consulter et exporter votre récit, et demander une copie des autres informations personnelles que nous détenons à votre sujet, avec une liste des tiers et des prestataires de services qui les ont reçues, et de la façon de les contacter ;
• corriger les informations de votre compte dans les Paramètres, et modifier votre récit ;
• supprimer des entrées individuelles, votre récit ou l’intégralité de votre compte, ou nous demander de supprimer d’autres informations personnelles que nous détenons à votre sujet ;
• retirer votre consentement aux informations sensibles, votre consentement à l’entraînement, votre instruction sur qui peut recevoir votre récit, ou un choix de Dépôt historique de votre vivant ;
• arrêter les SMS en répondant STOP (nous continuerons à envoyer par e-mail les avis importants, comme une vérification de sécurité), et arrêter les actualités et les offres par e-mail à tout moment, avec le lien de désabonnement figurant dans n’importe lequel d’entre eux ou dans les Paramètres (les e-mails concernant votre compte et votre récit continuent tant que vous avez un compte, section 5.1) ;
• refuser une invitation d’un membre, ou vous retirer d’un rôle que vous avez accepté.

Vos propres informations, pas le récit de quelqu’un d’autre. Ces droits couvrent vos propres informations personnelles. Le récit d’un membre, y compris ce qu’il a écrit sur d’autres personnes, et son choix des personnes qu’il désigne, appartiennent au membre et sont conservés selon ses instructions. Nous ne pouvons donc permettre à personne de consulter, de corriger ou de supprimer ce qui figure dans le récit de quelqu’un d’autre, ni dire à quiconque si un membre l’a désigné. Un membre peut sceller une désignation afin que la personne n’en soit informée qu’après le décès du membre, et une désignation scellée reste privée du vivant du membre. Si vous nous interrogez sur le récit de quelqu’un d’autre, ou sur le fait que vous y figuriez ou que vous soyez désigné pour l’un d’eux, nous répondons par écrit : nous traitons les informations personnelles que nous détenons à votre sujet en dehors du récit de tout membre, comme votre propre compte, vos messages et nos invitations ; nous vous indiquons que nous ne pouvons pas divulguer, corriger ni supprimer quoi que ce soit dans le récit d’une autre personne, ni confirmer si vous y figurez ou êtes désigné pour l’un d’eux, et pourquoi ; et nous vous indiquons comment faire appel (section 12.3). Si vous avez accepté une désignation, vous pouvez toujours la voir sur votre page Désignations.

12.2 Les lois des États sur la protection de la vie privée

Les résidents des États dotés de lois générales sur la protection de la vie privée (notamment la Californie, le Colorado, le Connecticut, le Delaware, l’Indiana, l’Iowa, le Kentucky, le Maryland, le Minnesota, le Montana, le Nebraska, le New Hampshire, le New Jersey, l’Oregon, le Rhode Island, le Tennessee, le Texas, l’Utah et la Virginie ; l’Oklahoma et la Louisiane à partir du 1er janvier 2027 ; l’Alabama à partir du 1er mai 2027 ; et le Vermont à partir du 1er janvier 2028) peuvent avoir le droit de connaître leurs informations personnelles, d’y accéder, de les corriger, de les supprimer et de les transférer ; de s’opposer à leur vente et à la publicité ciblée (nous ne pratiquons ni l’une ni l’autre) ainsi qu’au profilage produisant des effets juridiques ou des effets similaires significatifs (nous ne pratiquons aucun profilage de ce type, section 6) ; de limiter l’utilisation des informations personnelles sensibles (nous ne les utilisons que pour fournir le service que vous avez demandé, avec votre consentement) ; et de faire appel de notre décision. Nous respectons ces droits pour tout le monde, pour ses propres informations personnelles comme l’indique la section 12.1, qu’une loi nous y oblige ou non.

Nous ne vous traiterons pas différemment parce que vous exercez vos droits.

12.3 Comment faire une demande

Utilisez le formulaire de contact (« Privacy and my data », Confidentialité et mes données) ou écrivez-nous à l’adresse indiquée à la section 1. Nous vérifions les demandes en vous demandant de vous connecter ou, si vous n’avez pas de compte, en confirmant votre e-mail. Un mandataire autorisé peut faire une demande en votre nom avec votre autorisation signée. Nous répondons dans un délai de 45 jours, et nous vous prévenons si nous avons besoin de 45 jours de plus au maximum. Lorsque vous nous demandez de supprimer vos informations personnelles, nous les supprimons dans les 30 jours suivant la confirmation de votre identité, à l’exception de ce que la loi nous oblige à conserver (section 11), et elles quittent nos sauvegardes dans les 30 jours qui suivent. Si nous refusons, vous pouvez faire appel en répondant ; notre fondateur examine chaque appel et y répond dans un délai de 45 jours. Si nous refusons encore, nous vous indiquons comment déposer une plainte auprès du procureur général (Attorney General) de votre État, avec un lien vers sa page de plainte.

12.4 Global Privacy Control et Do Not Track

Si votre navigateur envoie un signal Global Privacy Control, nos pages ne chargent pas du tout Google Analytics et ne vous posent pas la question. Nous ne vendons ni ne partageons d’informations personnelles à des fins de publicité comportementale intercontextuelle, et nous traitons aussi le signal comme une opposition à la vente et au partage. Nous ne répondons pas à Do Not Track, qui n’a pas de sens convenu ; Global Privacy Control et les choix de la section 16 désactivent la mesure d’audience.

13. Informations sensibles

13.1 Votre récit

Vos réponses et vos écrits peuvent révéler votre santé, y compris votre santé reproductive ou sexuelle, vos convictions religieuses ou philosophiques, votre vie sexuelle ou votre orientation sexuelle, votre origine raciale ou ethnique, votre statut d’immigration, ou d’autres informations sensibles. Nous ne les traitons que pour conserver votre récit et faire fonctionner les fonctionnalités que vous avez choisies, avec votre consentement, que vous donnez sur une page distincte avant d’écrire quoi que ce soit. Ce consentement comporte deux cases à cocher obligatoires : l’une pour les collecter et les conserver, et l’autre pour les remettre aux personnes que vous désignez après votre décès. Il indique ce que nous en faisons, qui les reçoit et comment le retirer. Elles sont chiffrées. Vous pouvez en supprimer n’importe quelle partie à tout moment de votre vivant.

Retirer l’une ou l’autre partie de ce consentement est aussi facile que de le donner, dans les Paramètres. À partir de ce moment, nous n’enregistrons plus rien de nouveau, et nous supprimons vos réponses, vos écrits, les notes de votre arbre généalogique et vos réponses « À propos de vous » dans un délai de 15 jours, après vous avoir d’abord proposé une copie complète à télécharger.

Données de santé des consommateurs (lois de l’État de Washington, du Nevada et lois similaires). Une partie de ce que vous écrivez peut constituer des « données de santé des consommateurs ». Nous ne les collectons qu’en tant que votre récit, avec ce consentement ; nous ne les utilisons que pour conserver votre récit, faire fonctionner les fonctionnalités que vous avez choisies et le remettre comme le prévoient vos instructions ; nous ne les partageons qu’avec les personnes que vous désignez, une bibliothèque ou un service d’archives partenaire si vous avez choisi un Dépôt historique, les prestataires de la section 7.1 qui les traitent pour nous, et comme la loi l’exige ; nous ne les vendons jamais ; et vous pouvez les consulter, savoir qui les a reçues, les supprimer et retirer votre consentement comme le prévoient cette section et la section 12. Notre Politique de confidentialité des données de santé des consommateurs expose cela de manière complète, comme le demandent ces lois.

13.2 Vérifications d’identité et informations biométriques

L’Aperçu et l’Adhésion Archives s’ouvrent sans vérification d’identité. Une fois notre vérification d’identité ouverte, avant le premier accès de chaque destinataire désigné après un décès (et, pour un membre qui a un aidant, avant l’enregistrement de ses réponses, et pour l’aidant avant qu’il ne soit lié), une personne vérifie son identité avec une pièce d’identité officielle et un selfie en direct. La vérification est effectuée par notre prestataire de vérification d’identité, qui capture l’image de votre pièce d’identité et votre visage pour les comparer. Cette comparaison peut utiliser des identifiants biométriques (géométrie du visage). Avant la vérification, nous vous demandons votre consentement écrit.

• Nous ne recevons que le résultat : réussite ou échec, si votre nom et votre date de naissance correspondaient, la référence du prestataire et l’heure. Nous ne recevons ni ne conservons jamais les images ni aucun modèle facial.
• Nous demandons au prestataire de supprimer tout ce qu’il détient pour la vérification dès qu’il nous a donné le résultat, et en tout état de cause dans le délai que permet la loi (pour l’Illinois, lorsque la finalité est atteinte ou dans les 3 ans suivant votre dernière interaction, selon la première éventualité).
• Nous ne vendons, ne louons, n’échangeons et ne tirons jamais profit des informations biométriques, et ne les divulguons jamais, sauf au prestataire qui effectue la vérification, ou comme la loi l’exige.

Cette section constitue notre politique écrite en matière d’informations biométriques au sens de l’Illinois Biometric Information Privacy Act, des lois du Texas et de l’État de Washington sur la biométrie, et des règles du Colorado en matière de biométrie.

14. Enfants et adolescents

• ToldForward est destiné aux adultes. Toute personne qui détient un compte, et toute personne qu’un membre désigne, doit avoir 18 ans ou plus.
• Nous ne collectons pas sciemment d’informations personnelles auprès d’un enfant de moins de 13 ans, ni auprès de quiconque de moins de 18 ans en tant que titulaire d’un compte. Si nous apprenons que nous l’avons fait, nous les supprimons. Un parent qui pense que son enfant nous a donné des informations peut nous contacter.
• Un membre peut ajouter des enfants à son arbre généalogique, dans le cadre de son propre récit.

15. Comment nous les protégeons

• Chiffrement en transit (TLS, HSTS) et au repos. Le texte des récits, les conversations, les secrets d’authentification, votre adresse postale, les noms et les notes de l’arbre généalogique, les documents et les exports sont également chiffrés champ par champ avec des clés que nous contrôlons.
• Les sauvegardes sont chiffrées avant d’être stockées, avec une clé que ni Cloudflare ni Google ne détient. Les exportations sont assemblées dans un Container de Cloudflare sans accès à internet, qui ne conserve rien.
• Connexion avec un mot de passe, avec une application d’authentification facultative et des clés d’accès facultatives ; jamais par SMS.
• Une couche de règles décide qui peut lire un récit, avant que quoi que ce soit ne soit récupéré. Chaque lecture d’un récit par une autre personne que son propriétaire est consignée, de façon permanente, dans un journal que personne ne peut modifier.
• Accès du personnel comme indiqué à la section 7.4.
• Nous n’écrivons jamais le contenu des récits, les messages ou les informations d’identité dans nos journaux.

Aucun système n’est parfaitement sûr. Si une violation touche vos informations personnelles, y compris le contenu de votre récit, nous vous en informerons sans retard injustifié, et dans un délai de 30 jours, et en informerons les autorités de contrôle lorsque la loi l’exige, que la loi de votre État sur les violations de données couvre ou non ce type d’informations.

16. Notre site web, les cookies et le stockage du navigateur

• Google Analytics, seulement si vous l’acceptez, sur nos pages publiques seulement. Sur les pages que tout le monde peut lire sans se connecter (la page d’accueil, À propos, Offres, nos questions et réponses, la page destinée aux personnes désignées, nos pages d’information, d’États et de villes, Accessibilité, notre protocole de crise, Contact et nos pages juridiques), un bandeau vous demande si vous acceptez la mesure d’audience, avec « Tout refuser », « Choisir » et « Tout accepter ». Rien de Google n’est chargé, et aucun cookie de mesure d’audience n’est déposé, tant que vous n’avez pas accepté. Si vous acceptez, Google Analytics 4 compte les visites et nous montre quelles pages aident les gens. Il ne fonctionne jamais à la connexion ni à l’inscription, dans votre compte, dans votre récit, sur une invitation, une vérification de sécurité, un téléchargement ou toute autre page.
• Votre choix. « Essentiels » couvre ce dont le site web lui-même a besoin et ne dépose aucun cookie de notre part ; il est toujours actif. « Mesure d’audience » reste désactivée tant que vous ne l’acceptez pas. Votre navigateur conserve votre choix dans son stockage local, et il ne nous est jamais envoyé. Vous pouvez le modifier à tout moment avec « Préférences de cookies » dans le pied de page de notre site web, ou en effaçant le stockage de votre navigateur pour toldforward.com, ce qui fait réapparaître le bandeau.
• Ce que Google reçoit : l’adresse de la page, sans rien de ce qui suit un ? ou un # ; l’adresse du site d’où vous venez, raccourcie de la même façon ; le titre de la page ; ce que vous faites sur la page, comme faire défiler ou suivre un lien ; votre navigateur, votre appareil, votre écran et votre langue ; et votre adresse IP, que Google dit utiliser seulement pour déterminer votre localisation approximative, sans la conserver. Google Signals et la personnalisation des annonces sont désactivés, de sorte que ces visites ne sont pas liées à un compte Google ni utilisées pour la publicité.
• Cookies. Si vous acceptez la mesure d’audience, Google Analytics dépose deux cookies sur toldforward.com : _ga, qui distingue un navigateur d’un autre, et _ga_87NLVTP118, qui suit une visite. Chacun dure jusqu’à 2 ans, sauf si vous le supprimez. Si vous refusez ensuite la mesure d’audience, Google Analytics n’est plus chargé et nous supprimons ses cookies pour toldforward.com ; vous pouvez aussi les supprimer dans votre navigateur. Nous ne déposons aucun autre cookie.
• Le rôle de Google. Google traite ces données pour nous, en tant que notre prestataire de services, selon ses conditions pour Google Analytics, et nous ne permettons pas à Google de les utiliser pour ses propres produits et services. Nous ne les vendons pas et ne les partageons pas à des fins de publicité comportementale intercontextuelle.
• La désactiver. Choisissez « Tout refuser », ou modifiez votre choix avec « Préférences de cookies ». Si votre navigateur envoie Global Privacy Control, nos pages ne chargent aucune mesure d’audience et n’affichent aucun bandeau. Vous pouvez aussi bloquer ou supprimer les cookies dans votre navigateur, ou installer le module complémentaire de désactivation de Google : https://tools.google.com/dlpage/gaoptout
• Nos polices sont servies avec notre site web, jamais par un service de polices.
• Lorsque vous vous connectez, votre navigateur conserve votre jeton de session dans son stockage local, afin que vous restiez connecté. La déconnexion le supprime.
• Les pages de démonstration conservent des données d’exemple dans le stockage de session de votre navigateur, qui est effacé lorsque vous fermez l’onglet, et n’envoient rien.
• Cloudflare Turnstile ne fonctionne que sur le formulaire de contact, la liste d’attente, le formulaire pour agir au nom de quelqu’un, et la connexion après plusieurs mots de passe erronés (section 7.3). L’utilisation des cookies par Cloudflare elle-même est décrite dans sa politique en matière de cookies et dans l’avenant Turnstile.

17. Modifications de cette politique

Nous vous informerons par e-mail et sur le site web au moins 30 jours avant une modification importante, et demanderons à toute personne disposant d’un compte de lire la nouvelle version. Nous n’utiliserons pas les informations que nous détenons déjà d’une manière nouvelle sans votre consentement, et une modification apportée après le décès d’un membre ne change jamais ce qu’il advient de son récit. Nous mettrons à jour cette politique avant notre lancement public, lorsque nous passerons à nos propres modèles.

18. Avis propres à certains États

18.1 Californie

Au cours des 12 derniers mois, nous avons collecté ces catégories, auprès de vous, des membres qui vous ont désigné, et de nos prestataires. Nous n’en vendons ni n’en partageons aucune, et nous conservons chacune comme l’indique la section 11.

« Shine the Light » : nous ne divulguons pas d’informations personnelles à des tiers à des fins de marketing direct de leur part.

18.2 Autres États

• Nevada : nous ne vendons pas d’informations couvertes. Vous pouvez tout de même nous envoyer une demande en ce sens, et nous la confirmerons.
• Lois de l’État de Washington, du Nevada et autres lois sur les données de santé des consommateurs : section 13.1 et notre Politique de confidentialité des données de santé des consommateurs.
• Lois de l’Illinois, du Texas, de l’État de Washington et du Colorado sur la biométrie : section 13.2.
• Tous les autres États : la section 12 s’applique intégralement à vous.

19. Contact

D2X Enterprises LLC, 30 S 15th St Ste 1550 PMB 852931, Philadelphia, PA 19102, USA. Demandes relatives à la confidentialité : https://toldforward.com/contact (« Privacy and my data », Confidentialité et mes données) ou par courrier.