Conditions générales d'utilisation (CGU) : Nawame

Version 1.2.2 du 5 octobre 2026

Article 1 : Éditeur du service

Le service Nawame (ci-après « le Service ») est édité par :

HTTP5000, SAS au capital de 15 024 €,
immatriculée au RCS de Lyon sous le numéro 431 903 376,
SIRET 43190337600033, TVA intracommunautaire FR48431903376,
Siège social : 3 rue Passet, 69007 Lyon, France,
Directeur de la publication : Maximilien HAIBI,
Contact : info@nawame.eu.

Ci-après « Nawame » ou « l'Éditeur ».

Article 2 : Objet

Le Service est une plateforme de mémoire de projet portable et partageable, destinée à conserver, versionner et organiser du contenu textuel (notes, décisions, réflexions) et à le rendre accessible à des intelligences artificielles (IA) que l'utilisateur connecte lui-même via le protocole MCP (Model Context Protocol).

Les présentes CGU définissent les conditions d'accès et d'usage du Service. Elles s'appliquent à tout utilisateur, qu'il accède au Service via le site web ou via une connexion applicative (MCP).

Article 3 : Définitions

Utilisateur : toute personne physique disposant d'un compte.
Compte : l'espace nominatif d'un utilisateur, identifié par une adresse e-mail.
Espace personnel : l'espace de réflexion privé d'un utilisateur, dont le contenu lui appartient et reste invisible des tiers (voir article 6).
Organisation : espace juridique de travail partagé, titulaire des droits sur le contenu produit dans son cadre (voir articles 6 et 8).
Équipe : unité par laquelle l'accès au contenu d'une organisation est accordé aux membres.
Mémoire : le contenu textuel déposé (notes, décisions, versions, métadonnées associées).
IA tierce : un service d'intelligence artificielle édité par un tiers (par exemple Anthropic/Claude, OpenAI/ChatGPT, Google/Gemini, Mistral), que l'utilisateur choisit de connecter au Service.
MCP : le protocole standard de connexion permettant à une IA tierce d'accéder au Service au nom de l'utilisateur, dans la limite de ses droits.

Article 4 : Acceptation des CGU et preuve du consentement

L'utilisation du Service suppose l'acceptation pleine et entière des présentes CGU.

4.1. L'acceptation intervient au premier accès au Service, que ce soit via le site web ou via le flux d'authentification lors d'une connexion applicative (MCP). Cette acceptation est horodatée, datée et conservée par l'Éditeur à titre de preuve.

4.2. En cas d'évolution des CGU (article 13), la poursuite de l'utilisation après information vaut acceptation de la version en vigueur, sous réserve des dispositions impératives applicables.

4.3. Deux niveaux de version. La version de consentement (les deux premiers chiffres, par exemple 1.2) est celle à laquelle l'accord est donné. La version affichée (par exemple 1.2.1) ajoute un troisième chiffre pour les mises à jour d'information, qui n'imposent aucune obligation nouvelle : elles sont publiées et signalées, sans nouvel accord, et la preuve conserve la version affichée lue par la personne. Une évolution substantielle change la version de consentement et appelle un nouvel accord. Certaines fonctions facultatives (par exemple offrir Nawa, article 8 bis) supposent en outre un accord propre, recueilli à leur première utilisation. Il en va de même de l'attestation d'âge (article 5.4).

Article 5 : Compte et sécurité

5.1. L'utilisateur s'engage à fournir une adresse e-mail exacte et à préserver la confidentialité de ses moyens d'accès (codes de connexion, clés de connexion applicative).

5.2. L'utilisateur est responsable des actions réalisées depuis son compte, y compris via une IA tierce qu'il a connectée. Une clé de connexion applicative confère au plus les droits de son détenteur, et peut être restreinte à une organisation ou à un périmètre plus étroit.

5.3. Toute utilisation suspecte doit être signalée sans délai à l'Éditeur.

5.4. Âge minimum : 18 ans ou plus. Le Service, et Nawa en particulier (bêta publique), est réservé aux personnes âgées de 18 ans ou plus. L'utilisateur qui accède à Nawa atteste avoir 18 ans ou plus par une case ou un bouton explicite, non pré-coché, au moment où il donne son accord à Nawa (application, WhatsApp ou Telegram). Cette attestation est un accord propre (« majorité », version 1.0), horodaté et conservé ; elle ne modifie pas l'accord général donné aux présentes CGU. Pour un compte antérieur à cette règle, elle est demandée à son prochain accès à Nawa, qui reste fermé tant qu'elle n'est pas donnée. Elle est déclarative : l'Éditeur ne demande ni date de naissance ni pièce d'identité. Sans attestation, rien n'est ouvert et rien n'est conservé de plus. L'Éditeur ne propose aucun parcours pour les mineurs ni d'accord parental. Il peut fermer le compte d'une personne dont il apprend qu'elle a moins de 18 ans ; l'article 12.4 s'applique alors.

Article 6 : Propriété du contenu (disposition centrale)

Le principe directeur du Service distingue la réflexion (qui appartient à la personne) et le résultat (qui appartient à l'organisation dans le cadre de laquelle il est produit).

6.1. Espace personnel : propriété de la personne. Le contenu déposé par un utilisateur dans son espace personnel est privé : il reste sa propriété, est invisible des autres utilisateurs et de toute organisation, y compris lorsque l'utilisateur accède au Service dans un cadre professionnel. Nul ne peut y accéder sans un acte volontaire de partage de sa part.

6.2. Contenu produit dans une organisation : propriété de l'organisation. Le contenu créé, partagé ou établi dans le cadre d'une organisation (savoir-faire, décisions, contenu de travail, éléments faisant autorité) appartient à cette organisation.

Dans le cadre du salariat, cette attribution découle des règles applicables à ce qui est produit par un salarié dans l'exercice de ses fonctions. En particulier, l'article L113-9 du Code de la propriété intellectuelle dispose que les droits patrimoniaux sur les logiciels et leur documentation créés par un ou plusieurs employés dans l'exercice de leurs fonctions, ou d'après les instructions de leur employeur, sont dévolus à l'employeur, seul habilité à les exercer, sauf dispositions statutaires ou stipulations contraires. Ce texte s'applique également aux agents de l'État, des collectivités publiques et des établissements publics à caractère administratif.

Pour les contenus qui ne relèvent pas de ce texte (contenus autres que des logiciels et leur documentation), ainsi que pour les relations autres que le salariat, l'attribution du contenu à l'organisation résulte des règles de l'organisation que le membre accepte en la rejoignant (article 8.2) et, le cas échéant, de son contrat. Les droits moraux de l'auteur personne physique, qui sont incessibles, demeurent réservés.

6.3. Partage volontaire. Le passage d'un contenu de l'espace personnel vers une organisation résulte toujours d'un acte explicite de l'utilisateur. Il n'existe aucun transfert automatique du privé vers le partagé.

6.4. Licence d'exploitation technique. L'utilisateur (ou l'organisation titulaire) concède à l'Éditeur la licence strictement nécessaire à l'hébergement, à la sauvegarde, à l'affichage et au fonctionnement du Service. Cette licence est limitée à ces finalités et ne confère à l'Éditeur aucun droit d'exploitation du contenu à d'autres fins.

Article 7 : Contenu et responsabilité de l'utilisateur

7.1. L'utilisateur est seul responsable du contenu qu'il dépose : de sa légalité, de sa licéité, et du respect des droits des tiers (propriété intellectuelle, données personnelles, secret des affaires, etc.).

7.2. L'utilisateur garantit disposer de tous les droits nécessaires sur le contenu qu'il dépose ou partage.

7.3. L'utilisateur s'interdit de déposer tout contenu illicite, contrefaisant, diffamatoire, ou portant atteinte aux droits ou à la dignité d'autrui.

7.4. Nawame n'exerce pas de contrôle éditorial a priori sur le contenu des utilisateurs et n'en est pas responsable. Nawame agit à cet égard comme un prestaire technique. L'Éditeur peut toutefois retirer un contenu manifestement illicite qui lui serait signalé, dans les conditions prévues par la loi.

Article 8 : Organisations et équipes

8.1. Une organisation est un espace juridique (propriété du travail produit, facturation, cadre d'usage). Aucune personne n'accède au contenu d'une organisation du seul fait d'en être membre : l'accès passe par une ou plusieurs équipes auxquelles des droits sont accordés.

8.2. Adhésion. En rejoignant une organisation, le membre accepte ses règles par un acte explicite (un clic), une seule fois, à l'entrée : propriété du travail produit (article 6.2), périmètre d'accès, et conditions de sortie (article 8.3). Cet acte est horodaté et conservé.

8.3. Sortie d'un membre.

Son espace personnel lui reste : il peut l'exporter ou en demander la suppression.
Ce qu'il a produit dans l'organisation y demeure ; son accès est coupé, sans transfert de ce contenu vers un autre compte.
Le contenu de l'organisation reste confidentiel ; il n'est ni rendu public ni exploité, sauf réquisition judiciaire régulière, sous réserve de l'article 11 ter.5 pour le contenu placé en mode souverain (l'Éditeur ne peut alors remettre que du chiffré).
L'attribution nominative des contributions peut faire l'objet d'une pseudonymisation à la demande de la personne, sans altérer le travail conservé.

8.4. Restriction d'organisation. Une organisation peut, le cas échéant, restreindre l'emport de contenu hors de son périmètre. Toute restriction de ce type est annoncée une seule fois, à l'entrée dans l'organisation.

Article 8 bis : Offrir Nawa à une autre personne (règles de la personne qui offre)

8 bis.1. Objet. Le Service permet à un utilisateur (« la personne qui offre ») d'offrir Nawa à une autre personne (« le bénéficiaire ») : préparer son accueil (quelques éléments racontés, des questions, un message) puis transmettre lui-même un lien d'invitation, depuis sa propre messagerie. Nawa n'envoie pas l'invitation et n'écrit pas le premier au bénéficiaire.

8 bis.2. Accord propre à cette fonction. L'usage de cette fonction suppose l'acceptation des présentes règles et, s'il y a paiement, des conditions de vente du cadeau (CGV, article 6 bis), à la première préparation d'un cadeau : case non pré-cochée, accord horodaté et conservé avec la version du texte. Cet accord est propre à la fonction ; il ne modifie pas l'accord général donné aux présentes CGU.

8 bis.3. Obligations de la personne qui offre. Elle s'engage :

à ne raconter que ce qu'elle sait de la personne et peut légitimement dire d'elle, et à le faire avec exactitude ;
à ne rien raconter qui révèle la santé, les croyances, les opinions politiques, la vie ou l'orientation sexuelle, l'origine, l'appartenance syndicale ou des condamnations de la personne. Nawa repère et refuse les thèmes sensibles, mais ce repérage est automatique et ne garantit rien : la personne qui offre reste responsable de ce qu'elle écrit ;
à ne pas offrir Nawa à une personne qui l'a refusé ou s'y oppose, et à ne pas relancer ;
à n'offrir Nawa qu'à une personne qu'elle sait âgée de 18 ans ou plus (article 5.4) : le bénéficiaire en est informé avant d'accepter, et sa propre attestation est exigée avant tout geste ;
à ne pas utiliser cette fonction pour harceler, démarcher, tromper ou obtenir des informations.

8 bis.4. Ce que la personne qui offre ne reçoit pas. Elle n'a aucun accès à la mémoire du bénéficiaire ni à ses gestes. Elle sait seulement que le bénéficiaire a accepté l'invitation, et c'est elle qui décide ensuite de lui ouvrir ce qu'elle a préparé. Le refus du bénéficiaire, son blocage ou l'effacement de son compte ne lui sont pas signalés.

8 bis.5. Responsabilité et suspension. La personne qui offre est responsable du contenu qu'elle rédige, dans les limites prévues par la loi. L'Éditeur peut refuser, suspendre ou supprimer un cadeau contraire aux présentes règles ou à la demande du bénéficiaire, et mettre fin à l'accès à cette fonction en cas d'abus.

8 bis.6. Données du bénéficiaire. L'information du bénéficiaire sur le traitement de ses données figure à la section 5 ter de la politique de confidentialité. Le paiement éventuel et ses conséquences (rétractation, remboursement) relèvent de l'article 6 bis et de l'article 7 des CGV.

Article 9 : Connexion aux IA tierces (clause spécifique)

9.1. Choix par l'utilisateur. C'est l'utilisateur qui choisit et connecte l'IA tierce de son choix (par exemple Anthropic/Claude, OpenAI/ChatGPT, Google/Gemini, Mistral) via le protocole MCP. Nawame fournit le moyen de connexion, pas l'IA. Le Service est neutre quant au fournisseur d'IA.

9.2. Conditions du fournisseur d'IA. En connectant une IA tierce, l'utilisateur est soumis aux conditions d'utilisation et à la politique de confidentialité de cette IA, qu'il accepte directement auprès du fournisseur concerné. Ces conditions échappent au contrôle de l'Éditeur.

9.3. Contrôle de ce qui est transmis. L'utilisateur maîtrise le contenu qu'il transmet à l'IA tierce qu'il a connectée. Le Service transmet à l'IA, au nom de l'utilisateur et dans la limite de ses droits, le contenu qu'elle demande à lire ou à écrire.

9.4. Absence de responsabilité de Nawame. Nawame n'est pas responsable des traitements réalisés par les IA tierces que l'utilisateur a lui-même choisi de connecter, ni de l'usage que ces IA font des données que l'utilisateur décide de leur transmettre.

9.5. Ce que l'IA connectée peut lire, et où cela va. Une IA connectée (ChatGPT, Claude ou autre) hérite au plus des droits de l'utilisateur. Pour la mémoire personnelle de Nawa, elle peut lire ce qui est rangé et, si l'utilisateur a activé cette option, ce qu'il a dit récemment à Nawa et qui n'est pas encore rangé, ainsi que ses propositions en attente. Le contenu lu part chez le fournisseur de cette IA, qui le traite selon sa propre politique, hors du contrôle de l'Éditeur, lequel ne peut pas rappeler ce que ce fournisseur a déjà reçu. La lecture des paroles récentes est désactivée tant que l'utilisateur ne l'a pas activée ; il peut la désactiver à tout moment dans les réglages de connexion des IA, ou révoquer la connexion de l'IA. Le détail figure au paragraphe 7 de la politique de confidentialité.

Article 10 : Disponibilité et limitation de responsabilité

10.1. Service « en l'état ». Le Service est fourni « en l'état », sans garantie de disponibilité absolue ni engagement de niveau de service (SLA) au lancement. L'Éditeur met en œuvre des moyens raisonnables pour assurer la continuité et la sécurité du Service.

10.2. Hébergement par un tiers. Nawame n'est pas l'hébergeur du Service. L'hébergement est assuré par un prestataire tiers (Hetzner, Allemagne, Union européenne). Nawame n'est pas responsable des incidents relevant de l'infrastructure d'hébergement de ce tiers.

10.3. Exclusions. Dans les limites permises par la loi, la responsabilité de l'Éditeur ne saurait être engagée pour :

les dommages indirects (perte d'exploitation, de chiffre d'affaires, de chance, atteinte à l'image) ;
la perte de données imputable à l'utilisateur, à un tiers, ou à une IA tierce connectée par l'utilisateur ;
un usage non conforme du Service ou des présentes CGU.

10.4. Plafond. Dans toute la mesure permise par le droit français, la responsabilité de l'Éditeur, si elle venait à être engagée, est limitée au montant des sommes effectivement versées par l'utilisateur au titre du Service au cours des douze mois précédant le fait générateur. Pour un utilisateur de l'offre gratuite, aucune somme n'étant versée, ce montant est nul. Ces limitations ne s'appliquent pas aux dommages résultant d'une faute lourde ou dolosive de l'Éditeur, d'un dommage corporel, ni à toute responsabilité qui ne peut, selon la loi, être écartée ou limitée.

10.5. Sauvegarde. L'utilisateur est responsable de la sauvegarde et de l'export de ses données importantes. Le Service met à disposition des moyens d'export à cette fin.

10.6. Interruption ou arrêt du Service. L'Éditeur peut suspendre temporairement le Service pour maintenance ou raison technique, et peut décider d'en cesser l'exploitation. En cas d'arrêt définitif, l'Éditeur en informe les utilisateurs par un préavis raisonnable et maintient, pendant une période permettant l'export, l'accès aux moyens d'export des données. La pérennité du Service n'est pas garantie ; l'utilisateur est invité à conserver ses exports. L'arrêt du Service ne peut, en lui-même, donner lieu à indemnisation au-delà, le cas échéant, du remboursement au prorata de la période payée d'avance et non utilisée, dans les limites de l'article 10.4.

Article 11 : Nature du contenu accepté

Le Service stocke du texte (y compris Markdown et schémas décrits en texte). Il n'héberge pas de fichiers binaires (images, PDF, maquettes) : au mieux, un lien vers un contenu hébergé ailleurs peut être référencé dans une note.

Article 11 bis : Secrets et pointeurs (Nawame n'héberge pas les mots de passe)

11 bis.1. Nawame n'est pas un coffre-fort. Le Service n'héberge pas les mots de passe, clés d'API ou autres valeurs de secrets de l'utilisateur. Il est conçu pour ne jamais recevoir ni voir la valeur d'un secret : aucun outil de connexion applicative (MCP) n'accepte une valeur de secret, et le serveur ne détient aucun moyen de lire la valeur d'un secret dans un coffre tiers.

11 bis.2. Modèle « pointeur ». Lorsque l'utilisateur choisit de mémoriser où se trouve un secret, le Service ne conserve qu'un pointeur : un nom logique lisible, un emplacement lisible, l'usage, et, le cas échéant, les coordonnées de l'élément chez le coffre externe du client (fournisseur, identifiant, projet ou collection, région) ainsi qu'un lien direct vers ce coffre. La valeur du secret, elle, ne transite jamais par le Service et reste chez le détenteur.

11 bis.3. Coffre externe. Le coffre où vivent réellement les secrets (par exemple un gestionnaire de secrets professionnel) est fourni et maîtrisé par l'utilisateur ou son organisation ; il n'est pas un composant du Service. L'utilisateur reste responsable de ce coffre et de ses accès.

11 bis.4. Clé communiquée par erreur. Si une valeur de secret venait à être transmise au Service par erreur, celle-ci est traitée comme compromise : sa trace est purgée, l'incident est journalisé (jamais la valeur), le Service refuse toute restitution et recommande de renouveler (faire tourner) le secret concerné.

Article 11 ter : Mode souverain (chiffrement de bout en bout)

11 ter.1. Un mode optionnel, qui coexiste avec le mode standard. Le Service propose, en option, un mode souverain : le contenu des mémoires est chiffré au moyen d'une clé dérivée d'une phrase secrète que seul l'utilisateur détient. Ce mode n'est pas activé par défaut ; il résulte d'un acte explicite de l'utilisateur et s'applique au périmètre qu'il désigne. Il coexiste avec le mode standard, dans lequel le contenu est chiffré au repos avec une clé détenue par l'Éditeur (voir la politique de confidentialité). Les stipulations du présent article ne s'appliquent qu'au contenu effectivement placé en mode souverain ; le contenu resté en mode standard demeure régi par les règles de ce mode.

11 ter.2. Ce qui est chiffré, ce qui reste en clair. Le mode souverain chiffre le contenu des mémoires, le résumé de modification qui accompagne chaque nouvelle version, et la carte d'un espace, c'est-à-dire la note d'orientation tenue automatiquement par le Service, dont le fil rouge est rédigé librement par l'utilisateur ou par son IA. Restent en clair chez l'Éditeur, parce qu'ils sont nécessaires à la navigation, à l'organisation et au fonctionnement du Service :

les titres des mémoires ;
les tags ;
les noms d'espaces, de dossiers, de sous-dossiers et de rubriques ;
les mots-clés de recherche employés par l'utilisateur ou par son IA, ainsi que les filtres et les sujets de regroupement qui les accompagnent ;
le nom, l'emplacement et l'usage des pointeurs de secrets, ainsi que les coordonnées du coffre externe qu'ils désignent (article 11 bis) ;
l'auteur (humain ou IA), les dates et horodatages, l'enchaînement des versions ;
les noms d'organisations, d'équipes et de cercles ;
les invitations et partages (destinataires, rôles, dates) ;
le journal d'audit (actions et refus d'accès : qui, quoi, quand, jamais le contenu), le journal des lectures par une IA et les journaux techniques des appels au Service (outil appelé, client d'IA déclaré, préfixe de clé, durée, issue ; jamais les arguments ni le contenu) ;
les données de compte et de facturation.

Cette énumération est limitative quant à l'engagement de chiffrement : tout élément qui n'y figure pas est chiffré. Elle est en revanche indicative quant à la sensibilité : l'utilisateur est seul juge de ce qu'il place dans un intitulé. Le mode souverain protège ce que vous écrivez, non la manière dont vous le rangez ni ce que vous cherchez.

Le mode souverain ne rend donc ni anonyme ni invisible l'usage du Service : il ne dissimule ni l'existence, ni l'intitulé, ni le rythme des mémoires. L'utilisateur est invité à ne pas placer d'information sensible dans un titre, un tag, un nom de dossier ou un mot-clé de recherche.

Nawa reste indisponible en mode souverain, dans cette version (voir la politique de confidentialité, §5 bis) : son contenu propre n'est pas encore chiffré à cette exigence, et l'Éditeur refuse l'accès à Nawa pour un compte souverain plutôt que d'y écrire en clair.

11 ter.3. Phrase secrète détenue par le seul utilisateur. La phrase secrète est choisie et conservée par l'utilisateur. L'Éditeur ne la reçoit pas en dépôt, ne la conserve pas, ne la journalise pas, et ne détient aucun mécanisme de récupération, de séquestre, de réinitialisation ou de contournement permettant de retrouver cette phrase ou la clé qui en dérive.

11 ter.4. Perte de la phrase secrète : contenu définitivement illisible. En cas de perte, d'oubli ou de destruction de la phrase secrète, le contenu chiffré devient définitivement illisible. Il n'existe aucun recours, aucune restitution et aucune récupération possible, y compris par l'Éditeur, qui ne dispose d'aucun moyen technique de rétablir l'accès. Les sauvegardes et les exports ne contiennent eux aussi que du chiffré. Cette conséquence est la contrepartie assumée du mode souverain : elle est rappelée à l'activation, qui exige une confirmation explicite de l'utilisateur, et à chaque export. L'utilisateur est seul responsable de la conservation de sa phrase secrète.

11 ter.5. Impossibilité de déchiffrer, y compris sur réquisition. Sur le contenu placé en mode souverain, l'Éditeur ne détient pas la clé et ne peut pas déchiffrer. Saisi d'une réquisition judiciaire régulière ou de toute autre demande à laquelle il est légalement tenu de répondre, l'Éditeur ne peut remettre que le contenu chiffré et les métadonnées restées en clair énumérées au 11 ter.2. Il ne peut fournir ni la phrase secrète, ni la clé, ni le contenu en clair. L'Éditeur n'est pas responsable des conséquences de cette impossibilité, ni pour l'utilisateur, ni à l'égard des tiers.

11 ter.6. Accès d'une IA connectée : deux modalités. Le chiffrement étant le même dans les deux cas, l'utilisateur choisit où s'effectue le déchiffrement lorsqu'une IA connectée doit lire ou écrire du contenu chiffré.

Modalité en session (offre A). L'utilisateur ouvre lui-même une session depuis la console du Service, dans son navigateur, où il saisit sa phrase secrète. Celle-ci n'est jamais communiquée à l'IA et ne transite jamais par le canal de connexion applicative (MCP) : l'outil prévu à cet effet n'accepte aucune phrase secrète et se borne à rappeler où ouvrir la session. Une phrase secrète écrite dans une conversation serait vue et conservée par le fournisseur d'IA : le Service est construit pour que cela n'ait pas lieu d'être. La clé est alors dérivée en mémoire vive pour la durée de la session, n'est jamais écrite sur disque ni journalisée, et est effacée à la fermeture de la session, à son expiration, ou au redémarrage du Service. Pendant cette session, que l'utilisateur a lui-même ouverte, le serveur manipule le contenu en clair en mémoire vive, le temps de répondre aux demandes de l'IA. Hors d'une session ouverte par l'utilisateur, et au repos, l'Éditeur ne dispose d'aucun moyen de lire le contenu. L'utilisateur qui exige qu'aucun contenu en clair ne soit jamais manipulé par le Service, même temporairement, doit retenir la modalité relais.
Modalité relais (offre B). Le déchiffrement a lieu dans un relais auto-hébergé par l'utilisateur (11 ter.7). Dans cette modalité, la phrase secrète et la clé ne sont jamais transmises à l'Éditeur, y compris pendant une session de travail.

11 ter.7. Relais auto-hébergé : composant de l'utilisateur. Dans la modalité relais, le déchiffrement est réalisé par un relais que l'utilisateur déploie et exploite lui-même, à partir d'un guide et d'un code mis à disposition par l'Éditeur à titre documentaire, en l'état et sans garantie.

Ce relais est un composant fourni et maîtrisé par l'utilisateur ou son organisation ; il n'est pas un composant du Service, selon la même logique que le coffre externe de l'article 11 bis.
L'utilisateur choisit librement l'hébergeur de ce relais. Cet hébergeur peut être situé hors de l'Union européenne. Le choix de cet hébergeur, la licéité et l'encadrement du transfert de données hors de l'Union européenne qui en résulte, la configuration, la sécurité, les accès, la disponibilité, la mise à jour du relais et la conservation de la clé en son sein relèvent de la seule responsabilité de l'utilisateur, qui agit à cet égard pour son propre compte et non pour celui de l'Éditeur.
L'Éditeur n'exploite pas ce relais, n'y a pas accès, n'y dépose aucune clé, et n'est pas responsable de son fonctionnement, de sa sécurité, des traitements qui y sont réalisés, des incidents qui l'affectent, ni de la perte de la clé qui y est conservée.

11 ter.8. Dégradations fonctionnelles assumées. Le mode souverain restreint, par construction, ce que le Service peut faire sans la clé. En particulier :

la recherche sur le contenu est impossible : elle se limite aux éléments restés en clair, c'est-à-dire au titre de la mémoire et, le cas échéant, au filtre par tag, et elle ne renvoie aucun extrait du contenu ;
les fonctions supposant une lecture du contenu côté serveur (rapprochements automatiques, regroupements par sujet, suggestions) sont indisponibles ou dégradées ;
les écritures et modifications d'une mémoire chiffrée, y compris les modifications partielles, supposent une session ouverte (ou le relais) : à défaut, elles sont refusées plutôt qu'exécutées de façon dégradée ;
le partage d'une mémoire chiffrée avec une équipe et sa gravure en référence faisant foi sont refusés, dans l'une et l'autre modalité : le contenu serait soit remis en clair hors du périmètre chiffré, soit servi scellé à des personnes qui n'ont pas la phrase secrète, donc illisible pour elles ;
la fusion entre une mémoire chiffrée et une mémoire non chiffrée est refusée, afin de ne jamais déclasser du contenu chiffré ;
dans la modalité relais (offre B) sont en outre indisponibles : le remplacement d'un passage précis d'une mémoire, le serveur ne pouvant pas retrouver un passage exact dans du chiffré (la réécriture complète et l'ajout d'un bloc en fin restent possibles) ; le signalement de problème et l'avis produit, qui sont destinés à l'Éditeur et partiraient donc en clair, et qui restent accessibles depuis la console ; enfin, toute fonction que le relais ne connaît pas est refusée par défaut plutôt que transmise ;
les exports sont livrés chiffrés et ne s'ouvrent qu'avec la phrase secrète ou le relais ;
le contenu chiffré d'un espace personnel ne peut pas être transféré à une organisation tant que le mode souverain s'applique. Ce transfert n'est pas soumis à une formalité : il est impossible, et le Service le refuse sans condition. Il n'existe aucun acte, aucune option et aucune procédure, même munie de la phrase secrète, permettant de l'obtenir. La raison est qu'aucune des deux issues possibles n'est acceptable : le contenu recopié serait soit remis en clair hors du périmètre chiffré, ce qui ruinerait la promesse même du mode souverain, soit recopié scellé et donc illisible pour l'équipe à qui il est destiné, ce qui serait un partage en trompe-l'oeil. L'utilisateur qui veut porter un contenu à une organisation en rédige une version destinée à être lue par d'autres, hors du périmètre chiffré.

Ces dégradations sont inhérentes au mode souverain. Elles ne constituent ni un défaut de conformité, ni un manquement de l'Éditeur.

11 ter.9. Information préalable et preuve de l'acceptation. Le mode souverain ne peut être activé qu'après une information explicite sur ses conséquences et le cochage d'une case d'acceptation. Cette case est contrôlée par le serveur du Service, et non par le seul navigateur : sans elle, l'activation n'a pas lieu et rien n'est écrit. Sa désactivation suit la même règle et exige une confirmation explicite, elle aussi contrôlée côté serveur.

Chaque activation et chaque désactivation est enregistrée dans un journal horodaté et ajouté sans réécriture (aucune ligne n'est modifiée ni supprimée), portant l'identifiant du compte, la nature de l'acte et la version du présent texte telle qu'elle était affichée à l'utilisateur au moment de l'acte. L'utilisateur peut en demander communication à l'Éditeur. Cette trace vaut preuve de l'information reçue et de son acceptation : l'activation du mode souverain vaut acceptation éclairée des conséquences décrites au présent article.

11 ter.10. Limitation de responsabilité propre à ce mode. Outre l'article 10 et dans les limites permises par la loi, la responsabilité de l'Éditeur ne saurait être engagée au titre : de la perte, de l'oubli ou de la divulgation de la phrase secrète par l'utilisateur ; de l'illisibilité définitive du contenu qui en résulte (11 ter.4) ; de l'impossibilité de déchiffrer et de ses conséquences, y compris face à une demande d'autorité (11 ter.5) ; du relais auto-hébergé et du transfert hors Union européenne qu'il peut impliquer (11 ter.7) ; des dégradations fonctionnelles décrites au 11 ter.8 ; ni des effets de la désactivation décrits au 11 ter.11.

Le Service s'adresse aussi bien à des utilisateurs professionnels qu'à des consommateurs. Le présent article distingue donc deux régimes.

a) Utilisateur professionnel. Est professionnel l'utilisateur qui agit à des fins entrant dans le cadre de son activité commerciale, industrielle, artisanale, libérale ou agricole. À son égard, les exclusions ci-dessus s'appliquent pleinement, dans les limites permises par la loi, et le plafond de l'article 10.4 demeure applicable.

b) Utilisateur consommateur. Est consommateur l'utilisateur qui agit à des fins n'entrant pas dans le cadre de son activité professionnelle. À son égard, l'Éditeur n'écarte ni ne limite les responsabilités que la loi ne permet ni d'écarter ni de limiter, et aucune stipulation du présent article ne peut être lue comme le faisant. Sont en particulier maintenues : la garantie légale de conformité, la responsabilité en cas de faute lourde ou dolosive de l'Éditeur, et toute responsabilité d'ordre public. À l'égard du consommateur, la position de l'Éditeur ne repose donc pas sur une exonération, mais sur deux faits :

Une impossibilité par construction, et non un refus. L'Éditeur ne détient ni la phrase secrète, ni la clé, ni aucun moyen de les reconstituer (11 ter.3). La clé est dérivée de la seule phrase secrète de l'utilisateur ; elle n'est ni stockée, ni journalisée, et le contenu scellé est opaque sans elle. Lorsque l'Éditeur ne restitue pas un contenu chiffré, il ne refuse pas : il ne le peut pas. Cette incapacité n'est pas un défaut du Service : elle en est la contrepartie exacte, et c'est précisément ce que l'utilisateur a demandé en activant ce mode.
Une information préalable prouvée. Le mode souverain est optionnel et désactivé par défaut : il ne s'active jamais de lui-même. Son activation suppose une case d'acceptation non pré-cochée, dont l'absence est refusée par le serveur et non par le seul navigateur, de sorte qu'aucune activation ne peut avoir lieu sans elle. Chaque activation et chaque désactivation est horodatée et conservée par l'Éditeur à titre de preuve, avec la version du présent texte affichée à ce moment (11 ter.9), selon la même logique que l'article 4 pour l'acceptation des présentes CGU.

Les fonctions décrites au 11 ter.8 ne sont pas davantage retirées : elles n'existent pas en mode souverain, et cette absence est annoncée avant l'activation, aux présentes comme, pour un abonnement payant, aux conditions générales de vente.

Ces limitations ne s'appliquent pas aux dommages résultant d'une faute lourde ou dolosive de l'Éditeur, ni à toute responsabilité qui ne peut, selon la loi, être écartée ou limitée.

11 ter.11. Effets de la désactivation du mode souverain. L'utilisateur peut désactiver le mode souverain à tout moment, dans les conditions du 11 ter.9. La désactivation vaut pour les écritures futures seulement : elle ne déchiffre rien. Le contenu déjà chiffré reste chiffré, continue d'exiger la phrase secrète pour être lu, et sa perte demeure irréversible dans les conditions du 11 ter.4. Le sel de dérivation et l'empreinte de vérification du compte, qui ne sont pas secrets et ne permettent ni de retrouver la phrase secrète ni de déchiffrer quoi que ce soit, sont conservés, afin que le contenu déjà chiffré reste ouvrable avec la bonne phrase secrète et que le mode puisse être réactivé sans le rendre illisible. La désactivation n'est donc en aucun cas un moyen de récupérer un contenu dont la phrase secrète a été perdue.

Article 12 : Résiliation et suspension

12.1. Par l'utilisateur. L'utilisateur peut cesser d'utiliser le Service et fermer son compte à tout moment. La fermeture du compte entraîne l'effacement réel de son contenu privé ; sa présence dans le contenu commun (partagé ou établi au sein d'une organisation) est anonymisée et non détruite (voir la politique de confidentialité, et l'article 6 sur la propriété du contenu). L'utilisateur peut à tout moment exporter sa mémoire (formats Markdown et JSON). La règle de conservation et de purge est fixée à l'article 12.4.

12.2. Par l'Éditeur. L'Éditeur peut suspendre ou fermer un compte en cas de violation des présentes CGU, de contenu illicite, ou d'usage compromettant la sécurité ou le bon fonctionnement du Service, après information lorsque cela est possible.

12.3. Les effets de la résiliation sur les abonnements payants sont régis par les conditions générales de vente (voir CGV-trame.md).

12.4. Conservation, puis purge à la fermeture du compte. Pendant la vie du compte, la mémoire personnelle de l'utilisateur est conservée : c'est le service demandé. À la fermeture du compte, quel qu'en soit le motif, ses contenus personnels (mémoire privée, contenu propre à Nawa, canaux de messagerie, coordonnées) sont effacés de la base active sous 30 jours au plus, puis des copies de sauvegarde par rotation dans les 30 jours qui suivent, de la façon suivante. Lorsque l'utilisateur ferme lui-même son compte depuis le Service (12.1), l'effacement de la base active est immédiat. Lorsque la fermeture est demandée à l'Éditeur par écrit ou décidée par lui (12.2), l'Éditeur y procède sans délai et au plus tard sous 30 jours. Les copies de sauvegarde chiffrées de la base sont conservées 30 jours puis détruites par rotation : elles ne contiennent plus rien de l'utilisateur au plus tard 30 jours après l'effacement de la base active, et ne servent qu'à restaurer le Service. Ne sont conservés, sans contenu, que les éléments qu'une obligation légale ou comptable impose : données de facturation et de paiement (10 ans), et journal d'audit dépersonnalisé aux durées fixées par le paragraphe 9 de la politique de confidentialité. Les enveloppes d'un cadeau suivent leur propre durée courte (article 8 bis et paragraphe 5 ter de la politique de confidentialité).

Article 13 : Évolution des CGU

L'Éditeur peut faire évoluer les présentes CGU. Les utilisateurs sont informés des évolutions substantielles par un moyen approprié (notification, e-mail ou mention lors de la connexion). La version applicable est datée.

Historique des versions.

Mise à jour du 5 octobre 2026 (version 1.2.2). La version de consentement reste 1.2 : aucun consentement général n'est invalidé. Ajout du 5.4 (Nawa est réservé aux personnes de 18 ans ou plus ; attestation recueillie à l'entrée dans Nawa par un accord propre « majorité », version 1.0, demandée au prochain accès Nawa d'un compte existant ; aucun parcours mineur), d'un point à l'article 8 bis.3 (offrir Nawa à une personne majeure) et de l'article 12.4 (conservation pendant la vie du compte, puis, à la fermeture, effacement de la base active sous 30 jours au plus et des sauvegardes par rotation dans les 30 jours qui suivent, hors éléments imposés par une obligation légale ou comptable).
Mise à jour d'information du 5 octobre 2026 (version 1.2.1). La version de consentement reste 1.2 : aucun nouveau consentement n'est demandé pour les CGU, cette mise à jour informant ou décrivant une fonction facultative sans modifier les engagements existants. Ajout du 9.5 (ce que l'IA connectée peut lire, dont les paroles récentes si l'utilisateur l'a activé, leur départ chez le fournisseur de l'IA, la désactivation), de l'article 8 bis (règles de la personne qui offre Nawa, accord propre recueilli à la première utilisation de cette fonction) et du 4.3 (version de consentement et version affichée).
Précisions du 29 septembre 2026 (la version 1.2 reste applicable ; aucun nouveau consentement n'est requis, cette précision restreignant l'usage du Service pour un compte souverain plutôt que d'introduire un traitement nouveau) : l'article 11 ter.2 reçoit une phrase de renvoi vers le paragraphe 5 bis de la politique de confidentialité, qui explique que Nawa reste indisponible pour un compte en mode souverain, dans cette version, tant que son contenu propre n'est pas chiffré à la même exigence.
Version 1.2 du 15 septembre 2026 (évolution substantielle) : mise en accord de l'article 11 ter avec l'état réel du Service. La phrase secrète ne transite plus jamais par l'IA (11 ter.6) ; l'énumération de ce qui reste en clair est complétée et rendue limitative quant à l'engagement de chiffrement, et le résumé de modification est désormais chiffré (11 ter.2) ; les dégradations fonctionnelles sont complétées (partage, gravure, envoi vers une organisation, limites propres à la modalité relais) et le transfert du contenu chiffré vers une organisation est présenté pour ce qu'il est, une impossibilité et non une formalité (11 ter.8) ; l'information préalable et sa preuve font l'objet d'une clause propre (11 ter.9) ; la limitation de responsabilité distingue l'utilisateur professionnel du consommateur (11 ter.10) ; les effets de la désactivation sont énoncés (11 ter.11). Cette évolution a donné lieu à un nouveau recueil du consentement.
Version 1.1 du 15 septembre 2026 (évolution substantielle) : ajout de l'article 11 ter (mode souverain, chiffrement de bout en bout : phrase secrète détenue par le seul utilisateur, illisibilité définitive en cas de perte, impossibilité de déchiffrer y compris sur réquisition, relais auto-hébergé, limitations fonctionnelles et de responsabilité) et mise en cohérence des clauses de confidentialité et de réquisition (articles 8.3 et 11 ter.5). Cette évolution a donné lieu à un nouveau recueil du consentement.
Version 1.0 du 4 septembre 2026 : version initiale.

Article 14 : Droit applicable et juridiction

Les présentes CGU sont régies par le droit français. À défaut de résolution amiable, et sous réserve des règles impératives protégeant le consommateur, les tribunaux français sont compétents.

Conditions générales d'utilisation, version 1.2.2 du 5 octobre 2026. Rédigées en français, structurées pour une traduction anglaise.