Anonymat & sécurité
Comment nous protégeons votre anonymat
Un service de questions anonymes n'a de valeur que si l'on peut lui faire confiance. Voici, sans jargon inutile, ce que nous faisons, ce que voit chacun, et les limites qu'il vaut mieux connaître.
Ce que voit chacun
| Votre direction | Vos collègues | |
|---|---|---|
| Le texte d'une question privée | Oui | Non |
| Le texte d'une question publique | Oui | Oui |
| Qui a écrit une question ou un message | Non | Non |
| Si deux questions viennent de la même personne | Non | Non |
| Qui a soutenu une question (▲) | Non, seulement le total | Non, seulement le total |
| L'heure exacte d'envoi | Non, seulement le jour | Non, seulement le jour |
| Qui a un compte (nom, e-mail, actif ou désactivé) | Oui, pour gérer les accès et la facturation | Non |
| Quand les personnes se connectent, ou leur niveau d'activité | Non | Non |
| Qui sont les profils direction (nom, fonction, e-mail) ; certains peuvent être des profils RH | Oui | Oui, toujours |
Les mesures techniques
- La direction ne peut jamais relier une question à un compte. Rien de ce que voit votre organisation n'identifie l'auteur·e. Dans notre base, l'auteur·e n'est enregistré·e que sous forme d'empreinte cryptographique (HMAC-SHA256) calculée avec une clé secrète conservée hors de la base. Lorsque les notifications par e-mail sont activées (c'est le réglage par défaut), le service conserve en plus, pour cette question, l'identifiant de votre compte, chiffré (AES-256-GCM) : il sert uniquement à vous envoyer l'e-mail de notification et n'est jamais affiché à personne. Désactiver les notifications le supprime.
- Contenus chiffrés. Titres, questions, réponses et liens de notification sont chiffrés (AES-256-GCM) avant d'être enregistrés. La clé de chiffrement n'est pas stockée dans la base de données.
- Horodatages flous. Les dates sont enregistrées à l'heure près et affichées au jour près, pour empêcher les recoupements du type « il était le seul connecté à 10 h 02 ».
- Notifications différées et muettes. Une nouvelle question n'apparaît aux responsables qu'après un délai aléatoire de 10 à 60 minutes, et leur e-mail de notification part au même moment : ni l'affichage ni l'e-mail ne révèlent l'heure exacte. Les e-mails ne contiennent jamais le texte de la question, et la file d'envoi est chiffrée puis effacée après envoi.
- Pas de journal d'activité nominatif. L'application n'enregistre pas qui a posté quoi, ni depuis quelle adresse IP.
- Connexion déléguée. Vous vous connectez avec votre compte Google professionnel : nous ne recevons jamais votre mot de passe, ni l'accès à vos e-mails ou documents, uniquement votre nom et votre adresse e-mail.
- Sécurité web. HTTPS obligatoire, cookies sécurisés, protection CSRF sur chaque formulaire, politique de sécurité de contenu stricte (aucun script tiers), limitation du nombre de requêtes, aucun traceur ni outil d'analyse d'audience.
Nos engagements
- Nous ne communiquons jamais à une organisation, ni à quiconque, l'identité d'une personne ayant posé une question, sauf obligation légale impérative (réquisition judiciaire). Dans ce cas, nous ne pouvons transmettre que ce que nous détenons, et le contenu reste chiffré et non rattaché à un compte dans nos tables.
- Nous nous interdisons toute tentative de ré-identification, et l'interdisons contractuellement aux organisations clientes (voir les CGU).
- Nous ne vendons, ne louons et n'exploitons aucune donnée à des fins publicitaires.
Les limites à connaître
Aucun système n'offre un anonymat absolu. Pour être honnêtes avec vous :
- Votre employeur peut savoir que vous avez un compte. Les administrateurs Google Workspace voient les applications auxquelles les salarié·es se connectent. Ils ne voient en revanche rien de ce que vous écrivez ici.
- Ce que vous écrivez peut vous trahir. Un détail précis (votre poste, une réunion à trois, une date) peut suffire à vous reconnaître. Relisez-vous.
- Les petites équipes. Dans une organisation de quelques personnes, l'anonymat est mécaniquement plus fragile. Nous vous prévenons quand peu de comptes sont inscrits.
- Les notifications. Les notifications de réponse sont envoyées à votre adresse professionnelle. Elles ne contiennent aucun contenu et portent un objet neutre (« Nouvelle activité »), mais une personne ayant accès à votre messagerie professionnelle (par exemple un administrateur informatique) pourrait voir que vous utilisez le service et, en rapprochant l'heure de l'e-mail de celle d'une réponse, deviner que vous êtes l'auteur·e d'une question. Si cela vous gêne, décochez la notification : il vous suffira de revenir consulter les réponses.
- Notre propre rôle. En tant qu'opérateur, nous détenons les clés de chiffrement : techniquement, le service pourrait relier une question à un compte. Nous nous interdisons de le faire, aucun outil d'administration ne le permet, et la console d'administration ne donne jamais accès au contenu des questions.
- Nous opérons le service. En tant qu'hébergeur technique, nous administrons les serveurs et les clés. C'est précisément pourquoi le service est opéré en dehors de toute organisation cliente et encadré par les engagements ci-dessus : aucune entreprise cliente, y compris celle que dirige son fondateur, n'a accès aux serveurs, à la base de données ni aux clés.
Ce que ce service n'est pas
Like a Jester n'est pas un dispositif d'alerte professionnelle au sens de la loi « Sapin II » ni un canal de signalement de harcèlement. Si vous êtes témoin ou victime de faits graves, adressez-vous aux référents de votre entreprise, à vos représentants du personnel, à la médecine du travail, à l'inspection du travail ou au Défenseur des droits.
Une question sur la sécurité, une vulnérabilité à signaler ? Écrivez-nous à contact@likeajester.com.