Confidentialité · Extension de navigateur
BiVelio Shield — Politique de confidentialité
BiVelio Shield (« l'extension ») est publiée par BiVelio, Inc., une société du Delaware (États-Unis) opérant depuis l'Andorre. Cette politique décrit précisément ce que l'extension fait et ne fait pas de vos données. Elle est rédigée pour correspondre au comportement réel du logiciel — si les deux venaient à diverger, il s'agit d'un bug ; signalez-le à privacy@bivelio.com.
En un coup d'œil
- S'exécute dans votre navigateurLa détection et l’occultation ont lieu sur votre appareil. Avec un gateway de noms — inclus dans l’offre Team, ou configuré par votre organisation sur toute offre payante, Pro ou Team — le texte de chaque message part en outre vers ce gateway, pour y trouver des noms, répondus sous forme de positions et conservés nulle part.
- Aucun compte, aucune analyse d'audienceAucune inscription, aucun traqueur, aucun cookie, aucun SDK publicitaire. Rien à refuser.
- Rien de ce que vous tapez n’est envoyé à BiVelio — avec une exception que vous pouvez voirDans l'offre gratuite, l'extension ne nous adresse aucune requête de son propre chef ; la seule chose qu'elle fait d'elle-même est d'ouvrir une fois, lors d'une nouvelle installation sans licence, un onglet visible sur privacy.bivelio.com/activar, et elle n'y envoie rien. Pro et Team envoient une vérification de siège et des comptes sans valeurs — combien de valeurs de chaque type sont restées à l'intérieur — et jamais un mot de ce que vous avez écrit. L’exception : un gateway de noms. Avec l’offre Team, c’est celui que BiVelio exploite pour votre organisation dans le cadre d’un accord de sous-traitance, inclus dans l’offre ; sur toute offre payante, votre administration peut à la place pointer l’extension vers un gateway à elle. Le texte du message y va, reçoit des positions en réponse et n’est conservé nulle part.
- La clé du coffre-fort ne touche jamais le disqueLa table valeur ↔ token est chiffrée en AES-GCM ; sa clé vit en mémoire et est supprimée à la fermeture du navigateur.
La version courte
- L'extension a pour seule mission de garder vos données sur votre machine. Dans l'offre gratuite, elle n'envoie rien à BiVelio ni à un quelconque tiers. La seule chose qu’elle fait d’elle-même : lors d’une nouvelle installation sans licence, elle ouvre une fois un onglet visible sur privacy.bivelio.com/activar, pour que le site vous rende votre licence si vous y êtes connecté ; c’est une page que votre navigateur charge comme n’importe quelle autre, l’extension n’y envoie rien, et vous pouvez la fermer.
- Vos prompts sont inspectés et occultés localement, dans votre navigateur, avant d'atteindre le fournisseur d'IA que vous avez choisi (ChatGPT / Claude, et Gemini là où vous avez donné accès à l’extension). Le fournisseur reçoit des tokens de substitution à la place de vos valeurs sensibles — c'est tout l'intérêt.
- Aucun compte, aucune inscription, aucune analyse d'audience, aucune publicité. Nous ne collectons, ne vendons, ne louons ni ne partageons vos données personnelles.
- Une exception, dans toute offre payante — Pro comme Team : si votre organisation dispose d’un gateway de noms — inclus dans l’offre Team, ou configuré par son administration dans la politique centrale —, le texte de chaque message que vous envoyez — et tout texte de 1 000 caractères ou plus que vous collez dans le champ de saisie du chat, au moment du collage ; et, avec l’offre Team, le texte d’une pièce jointe, déjà masqué dans votre navigateur — part vers ce gateway, qui répond par les positions des données personnelles qu’il détecte — noms et lieux, mais aussi coordonnées, identifiants, données financières, adresses réseau, secrets et termes de catégorie particulière de l’art. 9 du RGPD — et ne conserve rien.
Périmètre : quel document vous lisez
- Cette politique couvre l'extension de navigateur BiVelio Shield et rien d'autre. C'est le document vers lequel pointe la fiche du Chrome Web Store.
- Le site web depuis lequel vous l'avez éventuellement téléchargée, le compte, l'offre équipe et le Sandbox sont couverts par la politique de confidentialité distincte du site web et du compte.
- Les documents juridiques sur bivelio.com sont au niveau de la société et décrivent d'autres produits BiVelio. Ils ne décrivent pas l'extension.
Quelles données l'extension traite, et où elles restent
| Donnée | De quoi il s'agit | Où elle réside | Quitte votre appareil ? |
|---|---|---|---|
| Texte du prompt | Ce que vous saisissez dans ChatGPT / Claude — et dans Gemini, là où vous avez donné accès à l’extension | Traité dans la mémoire de votre navigateur | Seule la version tokenisée atteint le fournisseur d’IA — et BiVelio n’en voit rien, sauf si votre organisation est sur la voie des noms face à un gateway que BiVelio exploite pour elle, par l’offre Team ou parce que son administration y a pointé l’extension (ligne suivante) |
| Texte du message envoyé au gateway de noms de votre organisation (avec l’offre Team, ou par politique centrale en Pro et Team); avec l’offre Team, aussi le texte d’une pièce jointe, déjà masqué | Le texte de chaque message que vous envoyez, tel que vous l’avez tapé et avant que le masquage local ne s’exécute — de sorte que les identifiants, les secrets et les termes de l’art. 9 que la couche déterministe aurait retirés avant le fournisseur d’IA arrivent intacts au gateway, sauf les termes de votre liste de termes confidentiels ou de celle de votre organisation, remplacés au préalable par des astérisques de même longueur —, jusqu’à 20 000 caractères avec l’offre Pro et 50 000 avec l’offre Team, par segments de 4 000 au plus vérifiés en parallèle, dès lors que votre organisation est sur la route des noms : l’offre Team porte l’adresse de ce gateway signée dans sa propre licence, et sur toute offre payante l’administration peut en fixer une dans la politique centrale gérée, qui prime sur celle de la licence ; et tout texte de 1 000 caractères ou plus que vous collez dans le champ de saisie du chat, au moment du collage. Avec l’offre Team, il reçoit aussi le texte d’une pièce jointe que l’extension lit (un fichier texte, ou un PDF, Word, Excel, PowerPoint ou OpenDocument), mais APRÈS le masquage local : les identifiants qu’il détecte sont déjà des jetons [BV:…] ; jusqu’à 50 000 caractères par pièce jointe, dans les mêmes fragments de 4 000 au plus — d’une pièce jointe plus longue, le début est vérifié et un avis vous le dit. C’est tout le texte que l’extension y lit — commentaires, notes, en-têtes et pieds de page, suivi des modifications, texte caché et propriétés du document compris —, sauf les champs d’auteur, remplacés dans votre navigateur et jamais envoyés. Le fichier lui-même, les images et les numérisations ne lui sont jamais envoyés. | Envoyé en TLS depuis votre navigateur vers ce gateway — le BiVelio Privacy Gateway de votre propre organisation ou, dans le cadre d’un accord de sous-traitance avec votre organisation, un service que BiVelio exploite en Allemagne. Il répond par les positions — et le texte correspondant — des données personnelles qu’il détecte : noms et lieux, mais aussi coordonnées, identifiants, données financières, adresses réseau, secrets et termes de catégorie particulière de l’art. 9 du RGPD. Il ne garde rien : aucun stockage, aucun journal du texte. La substitution et le coffre-fort restent dans votre navigateur. La requête porte comme justificatif le jeton de licence de votre organisation et, pour un message assez long pour être découpé en fragments, le code de langue que déclare la page du chat. | Oui, vers ce gateway uniquement, et seulement tant que votre organisation est sur cette voie. Si le gateway ne répond pas dans le budget de temps, ou si le texte dépasse ce que permet votre offre, le message part avec la seule couche déterministe ; si certains segments répondent à temps et d’autres non, les noms trouvés dans ceux qui ont répondu sont aussi appliqués. Dans tous les cas, un avis vous dit à chaque fois que les noms n’ont pas été entièrement vérifiés. Sans gateway par l’une ou l’autre voie, rien n’est envoyé et cette ligne ne s’applique pas. |
| Table valeur ↔ token (le « coffre-fort ») | p. ex. un e-mail ↔ [BV:EMAIL:…] | chrome.storage.local, chiffré en AES-GCM ; la clé n'est conservée qu'en mémoire dans le stockage de session et n'est jamais écrite sur le disque | Non — les valeurs brutes ne sont jamais récupérables à partir du seul disque, et ne sont jamais transmises |
| Paramètres | L'interrupteur marche/arrêt et l'option facultative « Occulter selon la forme », et si votre organisation a verrouillé la protection en position activée (`locked`, un oui/non reflétant sa politique gérée) | chrome.storage.local | Non |
| Compteur « éléments protégés » | Un nombre d'occultations effectuées | chrome.storage.local | Le nombre lui-même reste sur votre appareil. Avec Pro et Team, sa RÉPARTITION sort sous forme de comptes : combien de valeurs de chaque famille sont restées à l'intérieur. Aucun texte, aucune valeur, aucun jeton — et rien qui dise qui, quand à la minute, ni dans quelle conversation. |
| Horodatage « protection interrompue » | L'heure du dernier blocage fail-closed (`lastBlock`) ; la fenêtre de l'extension s'en sert pour vous signaler qu'un envoi a été arrêté | chrome.storage.local | Non — une simple heure ; il ne contient aucun texte de prompt, valeur ni token |
| Marqueurs de diagnostic | La version du schéma de stockage et la dernière fois que l'extension a constaté qu'un site avait changé de forme | chrome.storage.local | Non — un numéro de version et un horodatage ; aucun texte ni aucune valeur |
| Jeton de licence Pro | Le droit BVLIC1… collé depuis Tableau de bord → Facturation (offre et expiration uniquement — aucune donnée personnelle) | chrome.storage.local, vérifié hors ligne avec la clé publique de BiVelio | En Pro et Team, le jeton et un identifiant d'appareil aléatoire sont envoyés à BiVelio lors d'une vérification périodique des sièges (le jeton est un document public, pas un secret ; l'identifiant nomme un siège, pas une personne). Le niveau gratuit n'envoie ni l'un ni l'autre — et aucun ne transporte jamais de texte, de valeurs ni de jetons du coffre. Et si une vérification répond que la licence a été révoquée — après un changement d’offre, par exemple —, le jeton seul part une fois vers privacy.bivelio.com, qui répond avec la licence que votre organisation détient maintenant : au plus une telle requête par licence révoquée et par jour, et jamais le moindre contenu. Ce même jeton est aussi le justificatif du rapport agrégé et des requêtes à la passerelle de noms : il identifie la licence de votre organisation, pas vous. |
| Rapport de confidentialité agrégé (Pro et Team) | Uniquement des comptes : combien de valeurs de chaque famille sont restées à l'intérieur, combien d'envois ont été bloqués et combien sont partis sans protection par choix, et combien sont partis avec des noms non vérifiés ou vérifiés en partie parce que le gateway de noms n’a pas répondu à temps ou que le texte dépassait la limite de l’offre ; et, pour un envoi que vous avez choisi de faire sans protection, laquelle de cinq raisons fixes vous avez choisie (ou aucune) — un code, jamais des mots que vous tapez ; et, pour tout envoi où la carte proposant de l’envoyer sans protection a été affichée, qu’elle a été affichée, que vous ayez ensuite envoyé ou annulé ; et, pour un envoi au-delà de la limite de personnes par message de votre organisation que vous avez choisi d’envoyer en jetons, laquelle de ces mêmes cinq raisons vous avez choisie, et que cette carte a été affichée | chrome.storage.local (une file bornée), envoyée à BiVelio environ une fois par heure | Oui, avec Pro et Team — et ce ne sont que des comptes. Aucun texte, aucune valeur, aucun jeton, aucun nom, aucun e-mail, aucun identifiant ; les heures sont conservées à l'HEURE, et rien n'enregistre le chat, l'outil ou le fil. L'offre gratuite n'en envoie rien. Il est envoyé avec le jeton de licence de votre organisation, qui dit à qui appartient le rapport, et avec le nombre de lignes perdues avant d’avoir pu être envoyées. |
| Table des routes signée (offres payantes) | Une liste des adresses des sites de chat IA pris en charge vers lesquelles un message peut être envoyé — site, type de requête, chemin, et si l'extension doit le protéger ou le bloquer —, signée par BiVelio et reçue avec la réponse à la vérification périodique des sièges (`bv_routes`), plus, pour chaque clé de signature, la version la plus récente acceptée jusqu'ici, afin qu'une liste plus ancienne ne remplace jamais une liste plus récente (`bv_routes_floor`). Elle décrit les sites de chat, pas vous : aucune donnée personnelle. | chrome.storage.local, conservée uniquement après vérification hors ligne avec une clé publique de BiVelio intégrée à l'extension | Non — elle ne fait qu'arriver, et rien à son sujet n'est envoyé. Elle est reçue sur une offre payante, dans la réponse à la vérification que la licence effectue déjà ; le niveau gratuit n'en reçoit jamais. Elle peut seulement ajouter une protection à une route d'envoi que l'extension ne connaît pas encore, et ne peut retirer ni affaiblir aucune protection que l'extension possède déjà. |
| Vos termes confidentiels (`personalTerms`) — dans toutes les offres, Gratuite comprise | La liste de termes — noms de clients, de dossiers ou de projets, noms de code — que vous saisissez dans la page d’options de l’extension pour que chacun soit remplacé par un token avant qu’un message ne parte, comme un IBAN. La liste de votre organisation, quand sa politique centrale en fixe une (`confidentialTerms`), est lue dans la zone des politiques gérées du navigateur, ne vous est pas montrée dans la page d’options et peut être lue par quiconque ouvre chrome://policy sur cet ordinateur. | chrome.storage.local, conservée telle que vous l’avez saisie et NON chiffrée : contrairement au coffre-fort, elle doit toujours être là après la fermeture du navigateur, donc toute personne ayant accès à votre profil de navigateur peut la lire — un nom de code protège aussi bien qu’un vrai nom. | Non — aucune des deux listes n’est jamais envoyée nulle part. Un terme trouvé dans un message part sous forme de token. Là où votre organisation est sur la route des noms, la passerelle reçoit, à la place de chaque terme, des astérisques de la même longueur : elle apprend où se trouve un terme et sa longueur, jamais son texte. En Pro et Team, un terme remplacé est compté dans le rapport agrégé comme un nombre, comme toute autre valeur. |
| Revue avant envoi (`reviewBeforeSend`, `reviewFamilies`) — là où la politique de votre organisation l’active | Là où la politique centrale de votre organisation rend la revue facultative : si vous l’avez activée dans la page d’options, et sur quelles familles de valeurs détectées vous voulez décider vous-même. Avec la revue active — par votre choix, ou parce que la politique l’exige — une carte vous montre ce qui a été trouvé dans un message avant qu’il ne parte, et vous choisissez, valeur par valeur, de la garder telle que vous l’avez écrite ou de la laisser remplacer par un token. Seules les familles que votre organisation autorise peuvent être gardées ; les secrets, jamais. | chrome.storage.local : un oui/non et une liste de noms de familles — ni texte ni valeurs. La liste de la carte n’est pas conservée. | Les deux réglages, non. Une valeur que vous choisissez de garder part telle que vous l’avez écrite, en clair, vers le fournisseur d’IA — c’est votre décision. Tout le reste du message part sous forme de tokens ; annuler ou fermer la carte n’envoie rien. |
Lorsque vous fermez complètement votre navigateur, la clé de chiffrement en mémoire est supprimée, le coffre-fort stocké devient indéchiffrable, et les conversations plus anciennes se dé-identifient d'elles-mêmes pour redevenir des tokens opaques. C'est intentionnel.
Ce que l'offre gratuite occulte localement
Avant que votre prompt ne quitte le navigateur, le moteur déterministe détecte et remplace :
- Les e-mails et numéros de téléphone
- Les numéros de carte bancaire (validés par Luhn)
- Les IBAN et coordonnées bancaires (validés par mod-97)
- Les identifiants nationaux — DNI / NIE / CIF espagnols, SSN américain, et d'autres
- Les clés d'API et secrets — OpenAI, AWS, GitHub, Stripe, Slack, et d'autres
- Les adresses IP
- Termes de santé, de religion, biométriques et génétiques — un lexique multilingue curé (catégories particulières de l'art. 9 du RGPD)
Périmètre honnête : pour garder une précision élevée, les identifiants structurés sont validés par leur clé de contrôle ; une valeur bien formée mais invalide peut donc passer, sauf si vous activez « Masquer sur la forme » (ci-dessous). L'offre gratuite masque bien les termes de l'art. 9 de son lexique curé, mais elle NE supprime PAS les noms de personnes, les adresses ni le texte libre en général — il n'existe aucun motif fixe, et une formulation de l'art. 9 absente du lexique passera aussi. Les noms et le contexte ne sont recherchés que par une seule voie : lorsque votre organisation dispose d’un gateway de noms — inclus dans l’offre Team, ou fixé par son administration dans la politique centrale sur toute offre payante, Pro ou Team —, le texte de chaque message est envoyé à ce gateway, qui répond par les positions des données personnelles qu’il détecte — une couche qui réduit la fuite des noms et qui, mesurée, ne l’élimine pas (voir « Noms via le gateway de votre organisation », ci-dessous). Sans gateway par l’une ou l’autre voie, l’extension ne cherche de noms à aucun niveau. L'erreur inverse ne dépend pas de ce réglage : un identifiant est validé après suppression de ses séparateurs, de sorte qu'une correspondance à clé de contrôle valide peut absorber les mots voisins — mesuré, « BTW NL123456789B01 on file » emporte six caractères de votre propre phrase dans le jeton. Rien de plus n'atteint le fournisseur (il en voit moins que ce que vous avez tapé), mais le prompt est modifié sans avertissement.
L'option facultative « Occulter selon la forme »
Vous pouvez activer « Occulter selon la forme » dans la fenêtre contextuelle pour masquer également les identifiants qui ressemblent à un IBAN, une carte ou un identifiant mais dont le checksum échoue (par exemple un numéro mal saisi). Elle est désactivée par défaut, s'exécute toujours entièrement en local, et nous vous prévenons clairement qu'elle peut sur-occulter des éléments comme des numéros de commande, des horodatages ou des codes de suivi. À vous de choisir.
Ce que l'extension NE fait PAS
- Elle n’envoie à BiVelio ni vos messages, ni les valeurs qu’elle masque, ni les jetons qui les remplacent — avec une exception déclarée : lorsque votre organisation est sur la voie des noms face à un gateway que BiVelio exploite pour elle dans le cadre d’un accord de sous-traitance — inclus dans l’offre Team, ou parce que son administration y a pointé l’extension —, le texte de chaque message atteint ce service tel que vous l’avez tapé, avant que le masquage local ne s’exécute (sauf les termes de votre liste de termes confidentiels ou de celle de votre organisation, remplacés au préalable par des astérisques), et il répond par les positions et le texte correspondant des données personnelles qu’il détecte — termes de catégorie particulière de l’art. 9 du RGPD compris — et ne conserve rien. Les valeurs restent dans votre navigateur sur toutes les voies. Les jetons aussi, sauf avec l’offre Team, où le texte d’une pièce jointe atteint ce service APRÈS le masquage local, avec les jetons qui remplacent déjà ses identifiants.
- Elle n'utilise ni traqueurs, ni cookies, ni SDK d'analyse d'audience, ni publicité.
- Elle ne lit ni n’agit sur aucun site web autre que les sites de chat IA pris en charge (voir Autorisations). Seules trois adresses peuvent recevoir quoi que ce soit d’elle : le point de terminaison de licence où vont la vérification de siège Pro et Team et le rapport agrégé horaire — licensing.bivelio.com, sauf si votre licence porte sa propre adresse de plan de contrôle, auquel cas ils y vont ; privacy.bivelio.com, et uniquement après qu’une vérification a répondu que la licence est révoquée, pour échanger ce jeton révoqué contre la licence que votre organisation détient maintenant — seul le jeton révoqué est envoyé, et au plus une fois par jour ; et le gateway de noms de votre organisation — l’adresse que porte sa licence Team, ou celle que son administration a fixée dans la politique centrale —, et uniquement pour envoyer le texte du message et recevoir des positions. Lors d’une nouvelle installation sans licence — ni fournie par une organisation, ni déjà présente dans l’extension —, elle ouvre en outre, une fois, un onglet visible sur https://privacy.bivelio.com/activar, pour que le site vous rende votre licence si vous y êtes connecté (supprimer l’extension efface la licence qu’elle détenait) ; l’extension n’envoie rien dans cet onglet et, sans licence, fonctionne simplement dans l’offre gratuite. Elle n’accède ni à votre historique de navigation, ni à vos autres onglets, ni à vos fichiers.
- Elle ne vend ni ne partage de données personnelles, et elle n'utilise jamais vos données pour évaluer votre solvabilité ou à des fins de prêt.
- Elle ne protège ni le mode vocal ni le temps réel. Elle expurge le texte que vous tapez ; un tour de parole dans ChatGPT Advanced Voice ou la voix de Claude passe par une connexion audio en direct distincte que l'extension ne voit jamais — et un outil textuel ne peut pas expurger de l'audio. Tapez, ne parlez pas, quand un échange contient des données sensibles.
- Elle ne couvre pas le compositeur « Cowork » de Claude. L'extension occulte l'envoi normal du chat de Claude ; Cowork écrit sur un autre point d'entrée (`PUT /v1/code/sessions/…`) que l'extension laisse volontairement intact, car cette charge utile est du code et de la configuration de session, pas de la prose. Considérez comme non protégé tout ce que vous tapez dans Cowork.
- Il n'inspecte pas les fichiers, images ni pièces jointes dans les offres Gratuit et Pro : un document téléversé, un PDF ou un passeport photographié part chez le fournisseur tel quel, et un avis vous le signale. L'offre Team caviarde les fichiers texte et les documents PDF / Word / Excel / PowerPoint dans votre navigateur avant l'envoi ; les scans, images et autres fichiers illisibles demandent toujours d'abord avant de partir sans protection. Sur Gemini, ce traitement des pièces jointes n’a jamais été mesuré sur le chemin de téléversement du site : considérez comme non protégé un fichier que vous joignez dans Gemini, quelle que soit l’offre.
Les autorisations, et pourquoi l'extension en a besoin
- storage
- pour conserver l'interrupteur marche/arrêt, le paramètre « Occulter selon la forme », le compteur sans valeurs, le coffre-fort chiffré (clé conservée en mémoire, jamais sur le disque), votre liste de termes confidentiels et vos réglages de revue avant envoi décrits ci-dessus.
- scripting
- pour réinjecter le script de masquage local dans un onglet de chat IA déjà ouvert au moment de l'installation ou de la mise à jour de l'extension. Sans cette permission, ces onglets resteraient non protégés jusqu'à un rechargement manuel. Elle ne peut s'exécuter que sur les sites autorisés listés ci-dessous.
- Accès aux hôtes chatgpt.com, chat.openai.com, claude.ai
- pour exécuter l'occultation locale uniquement sur ces sites de chat IA.
- alarms
- (Pro et Team) pour planifier la vérification périodique de siège décrite ci-dessous — environ deux fois par jour, ou toutes les heures quand la licence de votre organisation porte l’adresse de la passerelle de noms — et le rapport agrégé horaire. Inutilisé dans l'offre gratuite.
- Accès hôte à licensing.bivelio.com
- (Pro et Team) là où vont la vérification de siège et le rapport agrégé horaire : licensing.bivelio.com, sauf si votre licence porte sa propre adresse de plan de contrôle, auquel cas ils vont à cette adresse. L’extension ne demande d’autorisation pour aucun autre site — pas même pour le gateway de noms : son worker d’arrière-plan appelle l’adresse sur laquelle se trouve votre organisation — celle que porte sa licence Team, ou celle qu’a fixée son administration —, et seul un gateway qui accepte explicitement l’extension répond. Il en va de même pour privacy.bivelio.com, qui n’exige pas non plus d’autorisation de site : lorsqu’une vérification répond que la licence est révoquée, le worker d’arrière-plan lui demande une fois la licence que votre organisation détient maintenant, en n’envoyant que le jeton révoqué — ainsi une montée en gamme ou un changement d’offre n’a pas à être réactivé à la main sur chaque machine.
- Accès d’hôte facultatif à gemini.google.com
- demandé uniquement si vous activez Gemini dans le popup, et Chrome vous le demande d’abord. Tant que vous ne l’accordez pas, l’extension ne s’exécute pas sur Gemini ; une fois accordé, l’occultation locale y fonctionne comme sur les sites ci-dessus, et vous pouvez le retirer depuis les paramètres des extensions de Chrome.
Les fournisseurs d'IA que vous utilisez
Lorsque vous envoyez un message, l'extension transmet le prompt occulté au fournisseur d'IA que vous avez choisi (OpenAI pour ChatGPT, Anthropic pour Claude, Google pour Gemini). Votre utilisation de ces services est régie par leurs politiques de confidentialité et leurs conditions — l'extension ne modifie pas votre relation avec eux ; elle réduit seulement les données sensibles qu'ils reçoivent.
Noms via le gateway de votre organisation (Pro et Team)
L’offre Gratuite est entièrement locale, comme décrit ci-dessus, et ne cherche jamais de noms de personnes. Dans l’offre Team, le gateway vient avec l’offre : l’adresse du service de noms exploité par BiVelio arrive signée dans la licence de votre propre organisation, il n’y a donc rien à installer ni aucune URL à saisir. Dans toute offre payante — Pro comme Team — l’administration de votre organisation peut à la place fixer une adresse de gateway dans la politique centrale gérée, et cette adresse l’emporte : ce que l’extension vérifie avant d’appeler le gateway, c’est que vous avez une licence payante, pas laquelle des offres payantes c’est. Votre tableau de bord génère cette politique dans l’offre Team ; en Pro, une administration peut tout de même écrire la même adresse à la main dans la politique gérée de Chrome. Dès lors, le texte de chaque message que vous envoyez part de votre navigateur vers ce gateway tel que vous l’avez tapé, avant que le masquage local ne s’exécute — de sorte que les identifiants, les secrets et les termes de l’art. 9 que la couche déterministe aurait retirés avant le fournisseur d’IA y arrivent intacts, sauf les termes de votre liste de termes confidentiels ou de celle de votre organisation, remplacés au préalable par des astérisques de même longueur — et le gateway répond par les positions et le texte correspondant des données personnelles qu’il détecte : noms et lieux, mais aussi coordonnées, identifiants, données financières, adresses réseau, secrets et termes de catégorie particulière de l’art. 9 du RGPD ; la substitution et le coffre-fort restent dans votre navigateur, et le gateway ne conserve rien. Avec l’offre Team, le texte d’une pièce jointe part aussi vers ce gateway, mais seulement APRÈS le masquage local, ses identifiants déjà remplacés par des jetons : tout le texte que l’extension y lit — commentaires, notes, en-têtes et pieds de page, suivi des modifications, texte caché et propriétés du document compris —, sauf les champs d’auteur, remplacés dans votre navigateur et jamais envoyés ; jusqu’à 50 000 caractères par pièce jointe, et d’une plus longue seulement le début. Si le gateway ne répond pas dans son budget de temps (jusqu’à 16 secondes), la pièce jointe est quand même téléversée avec ses identifiants remplacés, et un avis vous indique que ses noms n’ont pas été entièrement vérifiés. Coller 1 000 caractères ou plus dans le champ de saisie du chat envoie ce texte collé au même gateway au moment du collage — avant que vous n’envoyiez le message, et même si vous le modifiez ensuite ou ne l’envoyez jamais. Un message est vérifié à la recherche de noms jusqu’à 20 000 caractères avec l’offre Pro et jusqu’à 50 000 avec l’offre Team : un texte de plus de 4 000 caractères est découpé en segments de 4 000 au plus, avec un léger chevauchement pour qu’un nom coupé en deux ne soit pas perdu, et les segments partent vers le gateway en parallèle. Au-delà de la limite de votre offre, le gateway n’est pas appelé du tout. Ce gateway est le BiVelio Privacy Gateway de votre propre organisation, ou le service que BiVelio exploite en Allemagne dans le cadre de l’accord de sous-traitance qui fait partie des conditions de l’offre Team ; en dehors de cela, rien n’est envoyé à BiVelio. Si le gateway ne répond pas dans le budget de temps — injoignable, trop lent, ou sa couche de noms à l’arrêt — ou si le texte dépasse la limite de votre offre, le message part avec la seule couche déterministe ; si certains segments répondent à temps et d’autres non, les noms trouvés dans ceux qui ont répondu sont aussi appliqués. Dans tous les cas, un avis vous le dit à chaque fois ; ces envois sont comptés dans le rapport agrégé de votre organisation comme « envoyés sans vérification des noms ». Cette couche réduit la fuite des noms, et nous ne promettons pas qu’elle les élimine. Lisez les 4,875 % de docs/BENCHMARKS.md pour ce qu’ils sont : ce chiffre mesure la chaîne SANS cette couche (les détecteurs déterministes plus Presidio). Mesuré sur le même corpus avec le modèle que le gateway exécute réellement, aucune des 800 valeurs n’a fui. Ce corpus est synthétique et ne note que les noms et les lieux — il ne dit rien des adresses postales ni des termes de santé —, donc un zéro là-bas n’est pas une promesse de zéro ici. Il n’y a pas d’interrupteur par utilisateur. Lorsque l’adresse arrive avec l’offre Team, un propriétaire ou un administrateur coupe la couche pour toute l’organisation depuis le tableau de bord, et cela met jusqu’à une heure à atteindre un navigateur ; lorsqu’elle vient de la politique gérée centrale — toujours avec Pro, et avec Team partout où une administration en a fixé une —, cette adresse prime, comme indiqué plus haut, et la couche s’éteint en la retirant de cette politique. Sans gateway par l’une ou l’autre voie, rien ne se passe du tout sur cette voie.
Base juridique
L'extension traite votre prompt sur votre propre appareil, sur votre instruction, pour faire la seule chose pour laquelle vous l'avez installée. Lorsque le RGPD s'applique, il s'agit de l'exécution du contrat que vous avez accepté en l'installant (art. 6, par. 1, point b). BiVelio lui-même ne traite pas ces données : dans l'offre gratuite, aucune donnée personnelle ne nous parvient, il n'y a donc aucun traitement par BiVelio à justifier. En Pro, la vérification de siège — votre jeton de licence et un identifiant d'appareil aléatoire — est traitée pour faire respecter les sièges que vous avez achetés, également au titre de l'art. 6, par. 1, point b. Lorsque votre organisation est sur la voie des noms — parce que sa licence Team porte l’adresse du gateway, ou parce qu’une administration a configuré un gateway dans la politique centrale gérée — le texte qui y est envoyé est traité sur instruction de votre organisation : votre organisation est le responsable du traitement, et l’exploitant du gateway — votre organisation elle-même, ou BiVelio dans le cadre d’un accord de sous-traitance avec elle (art. 28) — agit comme son sous-traitant.
Durée de conservation des données
Sur votre appareil : le coffre-fort chiffré, les paramètres et les compteurs sans valeurs restent dans le stockage d'extension de votre navigateur jusqu'à ce que vous fermiez le navigateur (la clé de chiffrement est supprimée et le coffre-fort devient indéchiffrable) ou désinstalliez l'extension (tout est supprimé). Votre liste de termes confidentiels et vos réglages de revue avant envoi font exception à la fermeture du navigateur : ils restent jusqu’à ce que vous les changiez dans la page d’options ou désinstalliez l’extension. Sur les serveurs de BiVelio : rien du tout dans l'offre gratuite. En Pro, l'enregistrement de vérification de siège — identifiant d'appareil et jour de dernière activité — est conservé tant que le siège est actif et marqué comme désactivé lorsque vous retirez l'appareil ; il n'existe pas de purge automatisée à ce jour, comme l'indique également la politique du site web et du compte. Sur un gateway de noms, qu’il s’agisse de celui de votre organisation ou du service exploité par BiVelio : le texte d’un message, ou celui d’une pièce jointe déjà masquée dans votre navigateur, n’existe en mémoire que le temps de la requête et n’est jamais écrit sur disque ni dans un journal.
Transferts internationaux
Le prompt tokenisé va au fournisseur d'IA que vous avez choisi, selon la politique propre à ce fournisseur ; OpenAI et Anthropic traitent les données aux États-Unis. Pour Gemini, le fournisseur est Google, selon ses propres conditions et là où il traite les données. BiVelio n'est pas partie à ce transfert et ne le modifie pas — l'extension réduit seulement ce que la requête contient. En Pro, la vérification de siège atteint le serveur de licences de BiVelio en Allemagne (Hetzner Online GmbH) et reste dans l'UE. Lorsque votre organisation est sur la voie des noms — parce que sa licence Team porte l’adresse du gateway, ou parce qu’une administration a configuré un gateway dans la politique centrale gérée — le texte du message — et, avec l’offre Team, celui d’une pièce jointe, déjà masqué — part vers ce gateway : là où votre organisation l’exécute ou, pour le service exploité par BiVelio, vers Hetzner Online GmbH en Allemagne, dans l’UE.
Décisions automatisées
L’extension ne prend aucune décision vous concernant au sens de l’art. 22 et ne constitue aucun profil. Chaque décision d’occultation dans votre navigateur est une règle déterministe — motif, clé de contrôle, action — que vous pouvez examiner dans le Playground de ce site. Les noms qu’un gateway trouve proviennent d’un modèle statistique, au mieux et non exhaustif ; eux aussi ne décident que de ce qui est remplacé dans votre texte, jamais de quoi que ce soit vous concernant.
Vos droits
Comme l’extension ne stocke aucune donnée personnelle sur nos serveurs — un service de noms exploité par BiVelio, là où votre organisation l’a choisi, ne garde le texte d’un message qu’en mémoire et seulement le temps de la requête —, il n'y a généralement rien que nous puissions consulter, exporter ou supprimer en votre nom. Les données locales (coffre-fort, paramètres, compteur) sont entièrement sous votre contrôle : l'interrupteur et le compteur se modifient ou se réinitialisent depuis le popup, le coffre-fort se dé-identifie de lui-même lorsque vous fermez le navigateur (sa clé de chiffrement ne quitte jamais la mémoire), et la désinstallation de l'extension supprime tout. Votre liste de termes confidentiels et vos réglages de revue se modifient ou se vident à tout moment depuis la page d’options de l’extension. En vertu du RGPD et des lois similaires, vous pouvez néanmoins nous contacter pour toute question ou demande.
Réclamations et autorité de contrôle
Si vous estimez que l'extension ou BiVelio a traité vos données de manière illicite, vous pouvez introduire une réclamation auprès d'une autorité de contrôle — en particulier dans l'État membre de l'UE de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise (art. 77). Le Comité européen de la protection des données tient la liste de toutes les autorités et de leurs coordonnées. Nous préférerions que vous nous écriviez d'abord, mais vous n'y êtes pas obligé. edpb.europa.eu ↗
Délégué à la protection des données
BiVelio n'a pas désigné de délégué à la protection des données : l’extension garde son traitement sur votre appareil ou, avec un gateway de noms, sur instruction de votre organisation, et la petite quantité de données sans valeurs envoyée par Pro ne constitue pas le suivi à grande échelle ou systématique pour lequel l'art. 37 en exige un. Toutes les questions de confidentialité sont traitées directement à privacy@bivelio.com, et cette section changera le jour où cela changera.
Les enfants
BiVelio Shield ne s'adresse pas aux enfants de moins de 16 ans et ne traite pas sciemment leurs données.
Modifications de cette politique
Nous mettrons à jour cette page et sa date de « Dernière mise à jour » lorsque le comportement de l'extension vis-à-vis des données changera. Les modifications importantes y seront reflétées avant leur entrée en vigueur dans une version publiée.
Contact
Questions ou demandes relatives à la confidentialité : privacy@bivelio.com
BiVelio, Inc., 131 Continental Dr, Suite 305, Newark, DE 19713, États-Unis · opérant depuis l'Andorre 🇦🇩 · +1 302 208 5841
Historique des versions
Chaque modification de ce que ce document déclare est listée ici avec sa date. Les formulations antérieures sont conservées dans l'historique du dépôt public.
- v1.13
Les pièces jointes passent désormais aussi par la couche des noms. Jusqu’à la 1.12, une pièce jointe n’était jamais envoyée au gateway de noms, si bien que le nom d’une personne dans un document atteignait le fournisseur d’IA en clair. Depuis cette version, avec l’offre Team, le texte d’une pièce jointe que l’extension lit (un fichier texte, ou un PDF, Word, Excel, PowerPoint ou OpenDocument) part aussi vers le gateway de noms sur lequel se trouve votre organisation — l’adresse que porte sa licence Team, ou celle qu’une administration fixe dans la politique centrale —, mais APRÈS le masquage local : les identifiants qu’il détecte sont déjà des jetons [BV:…], et le gateway lit les mots qui les entourent. Jusqu’à 50 000 caractères par pièce jointe, dans les mêmes fragments de 4 000 au plus ; d’une pièce jointe plus longue, le début est vérifié et un avis le signale. Le destinataire, le sous-traitant, ce qui revient et ce qui est conservé — rien : le texte existe en mémoire le temps de la requête — ne changent pas par rapport à la 1.12 ; le fichier lui-même, les images et les numérisations ne sont toujours jamais envoyés. En Gratuit et en Pro, l’extension n’ouvre pas les pièces jointes : rien n’y change. Cette version déclare aussi un onglet qu’ouvre l’extension : lors d’une nouvelle installation sans licence — ni fournie par une organisation, ni déjà présente dans l’extension, et hors installation par l’organisation —, elle ouvre une fois un onglet visible sur privacy.bivelio.com/activar, pour que le site rende sa licence à la personne qui y est connectée (supprimer l’extension efface la licence qu’elle détenait) ; l’extension n’envoie rien dans cet onglet, et l’offre gratuite ne fait toujours aucune requête de son propre chef.
- v1.12
Déclare, avant sa publication, ce qu’ajoute la prochaine version de l’extension. Gemini : là où vous donnez à l’extension l’accès à gemini.google.com, le texte de vos messages Gemini est occulté dans votre navigateur comme sur ChatGPT et Claude et, là où votre organisation est sur la route des noms — l’adresse que porte sa licence Team, ou celle qu’une administration fixe dans la politique centrale en Pro ou Team —, il va à cette passerelle comme sur les deux autres sites. Deux nouvelles données conservées uniquement sur votre appareil : votre propre liste de termes confidentiels (`personalTerms`), telle que saisie et non chiffrée, jamais envoyée ; et les réglages de revue avant envoi (`reviewBeforeSend`, `reviewFamilies`) — une valeur que vous gardez sur cette carte part vers le fournisseur d’IA telle que vous l’avez écrite. Elle consigne aussi trois passages ajoutés au texte de la 1.11 après le 25 septembre sans nouveau numéro de version : les termes confidentiels atteignent la passerelle de noms sous forme d’astérisques de même longueur (28 septembre) ; le rapport agrégé porte le code d’un motif pris dans une liste fermée de cinq, et si la carte de décision a été affichée, pour un envoi fait sans protection (28 septembre) ou envoyé sous forme de tokens au-delà de la limite de personnes par message de l’organisation (29 septembre). Et elle dit expressément que le jeton de licence est aussi le justificatif du rapport agrégé et des requêtes de noms, que la vérification de siège a lieu en Pro et en Team, et quelle est l’autorisation facultative de Gemini. Aucun nouveau destinataire du côté de BiVelio ; ce que la passerelle de noms renvoie et conserve ne change pas.
- v1.11
Les longs messages sont désormais vérifiés par segments. Jusqu’à la 1.10, un message allait au gateway de noms jusqu’à 4 000 caractères, et au-delà le gateway n’était pas appelé du tout. Depuis cette version, la couche des noms vérifie un message jusqu’à 20 000 caractères avec l’offre Pro et jusqu’à 50 000 avec l’offre Team : un texte de plus de 4 000 caractères est découpé en segments de 4 000 au plus, avec un léger chevauchement, qui partent vers le même gateway en parallèle. Au-delà de la limite de l’offre, le gateway n’est toujours pas appelé du tout. Si certains segments ne répondent pas à temps, les noms trouvés dans les autres sont appliqués et l’avis dit toujours que les noms n’ont pas été entièrement vérifiés. Davantage de texte de chaque long message parvient désormais au gateway ; le destinataire, les catégories de données, ce qui revient et ce qui est conservé sont inchangés depuis la 1.10.
- v1.10
Une correction à la 1.9, et celle-ci porte sur la DÉCLARATION et non sur l’interrupteur : la base de l’art. 6 et le transfert de l’art. 44 ne décrivaient que l’organisation qui configure un gateway, si bien qu’une organisation Team — dont la licence porte cette adresse signée, sans que personne ne configure quoi que ce soit — n’y lisait ni sa base légale ni son transfert vers l’Allemagne. Les deux sections nomment désormais les deux voies à l’intérieur de la phrase qui les conditionne : l’adresse qu’une licence Team porte signée, et celle qu’une administration inscrit dans la politique centrale gérée, sur tout plan payant, Pro ou Team. Ce qui part, ce qui revient et ce qui est conservé sont inchangés par rapport à la 1.9 ; aucun nouveau destinataire, aucune nouvelle catégorie de données.
- v1.9
Une correction le jour même à la 1.8, et elle porte sur la désactivation, non sur ce qui circule : là où ce document ne décrivait qu’une voie pour désactiver la couche des noms, il les nomme désormais toutes les deux dans la même phrase. Avec Team, un propriétaire ou un administrateur désactive la couche depuis le tableau de bord ; avec Pro, et sur toute installation dont le gateway vient d’une politique gérée, c’est cette politique qui prime et la couche s’éteint en lui retirant l’adresse. Ce qui circule, ce qui revient et ce qui est conservé ne changent pas par rapport à la 1.8 ; aucun nouveau destinataire et aucune nouvelle catégorie de données.
- v1.8
La voie des noms est désormais incluse dans l’offre Team. Jusqu’à aujourd’hui elle n’existait que lorsqu’une administration avait écrit une adresse de gateway dans la politique centrale ; avec Team, l’adresse du service exploité par BiVelio voyage signée dans la licence de votre propre organisation, donc rien n’est installé et aucune URL n’est saisie, et un propriétaire ou un administrateur coupe la couche pour toute l’organisation depuis le tableau de bord — une coupure qui met jusqu’à une heure à atteindre un navigateur; avec Pro, et sur toute installation dont le gateway vient d’une politique gérée, c’est cette politique qui prime et la couche s’éteint en lui retirant l’adresse. Ce qui circule, ce qui revient et ce qui est conservé ne changent pas par rapport à la 1.7. Cette version met aussi l’en-tête à jour avec le corps : l’échange de la licence révoquée auprès de privacy.bivelio.com a été inscrit dans cet avis le 19-09 et la version est restée en 1.7, si bien que la page nommait trois adresses tout en se présentant comme le document qui en nommait deux.
- v1.7
Noms via le gateway de l’organisation déclarés : lorsque l’administration fixe une adresse de gateway dans la politique centrale (toute offre payante — Pro ou Team), le texte de chaque message — jusqu’à 4 000 caractères, jamais les pièces jointes — et tout collage de 1 000 caractères ou plus partent vers ce gateway, celui de l’organisation ou un service que BiVelio exploite en Allemagne dans le cadre d’un accord de sous-traitance, et reviennent sous forme de positions ; rien n’est conservé. Les envois sans vérification des noms (gateway ne répondant pas à temps, texte trop long) sont signalés à chaque fois et comptés dans le rapport agrégé. Les 4,875 % publiés mesurent la chaîne SANS cette couche ; avec elle, aucune des 800 valeurs du corpus n’a fui. Le corpus est synthétique, donc aucune promesse de zéro n’est faite.
- v1.6
Le caviardage des pièces jointes passe à l'offre Team : dans les offres Gratuit et Pro, une pièce jointe est téléversée sans inspection, avec un avis, exactement comme avant.
- v1.5
Mise en page en couches avec un index et un résumé en un coup d'œil. Ajout de la base juridique, de la conservation, des transferts internationaux, des décisions automatisées, des réclamations et de la déclaration relative au DPD, afin que l'information couvre à elle seule chaque point de l'art. 13.
- v1.4
Vérification de siège Pro déclarée : le jeton de licence et un identifiant d'appareil aléatoire sont envoyés périodiquement ; l'offre gratuite n'envoie toujours rien.
- v1.3
Occultation des pièces jointes Pro déclarée : les fichiers texte et les documents PDF, Word, Excel et PowerPoint sont réécrits dans le navigateur avant le téléversement ; les scans et les images demandent d'abord.
- v1.2
Tableau de stockage complété avec l'horodatage de blocage et les marqueurs de diagnostic. Trois limites de couverture déclarées : les modes vocal et temps réel, les pièces jointes non inspectées dans l'offre gratuite, et le compositeur Cowork de Claude. Sur-occultation à côté d'un identifiant à clé de contrôle valide déclarée.
- v1.1
Responsable du traitement identifié intégralement, avec l'adresse postale et le téléphone figurant dans la déclaration de commerçant du Chrome Web Store. Lexique des catégories particulières de l'art. 9 du RGPD déclaré comme faisant partie de ce que l'offre gratuite occulte.
- v1.0
Première publication.