Nous ne pouvons jamais voir (chiffré de bout en bout) :
- Les réponses à chaque question
- Les fichiers et photos téléversés et leurs noms de fichiers d'origine
- Les signatures dessinées
- Votre clé du coffre, et chaque clé protégeant les éléments ci-dessus
Ceux-ci sont scellés dans le navigateur du répondant et descellés uniquement dans le vôtre. Nos serveurs stockent des paquets scellés ; une violation, un administrateur curieux, une demande officielle — aucun d'eux ne peut produire des réponses lisibles, car des réponses lisibles n'existent pas de notre côté.
Nous pouvons voir (le minimum nécessaire pour faire fonctionner le service) :
- L'e-mail et le forfait de votre compte, ainsi que votre nom si vous l'avez indiqué
- Les questions et paramètres de vos formulaires — ils doivent être lisibles pour afficher le formulaire publiquement
- Les titres des formulaires, le nombre de réponses, les horodatages
- Uniquement si vous activez Compter les ouvertures des liens : combien de fois chaque lien personnalisé a été ouvert et quand pour la dernière fois — un nombre et une date, sans adresse IP, appareil ni historique de visites
- Des statistiques anonymes grossières (temps de complétion, classe d'appareil) qui alimentent vos analyses
- Le statut de facturation — les paiements eux-mêmes sont gérés par Stripe ; les numéros de carte ne nous atteignent jamais
Remarque
Cette séparation relève d'une physique honnête, pas de petits caractères : tout fournisseur qui affiche un formulaire public peut en lire les questions. La différence réside dans les réponses — et là, nous ne détenons rien de lisible. La version en une phrase pour vos clients : "Nous pouvons voir les questions que vous posez — jamais les réponses que les gens donnent."