Politique de confidentialité

1. Qui nous sommes

Maguyva est un service d'intelligence de code exploité par UT INTERNATIONAL PTE. LTD., une société enregistrée à Singapour.

2. Ce que nous collectons

Nous collectons quatre catégories de données :

• Données de compte : votre nom, votre adresse e-mail, et votre jeton OAuth GitHub (utilisé pour accéder aux dépôts que vous autorisez)
• Données de code : votre code source (stocké pour servir le contenu des fichiers et alimenter la recherche), les arbres syntaxiques abstraits, les graphes de symboles, et les embeddings sémantiques dérivés de votre code
• Données d'usage : les outils que vous appelez, les horodatages, et les tendances agrégées de requêtes
• Données de performance et d'erreurs du site web : nous utilisons Grafana Faro, exploité sur notre propre infrastructure, pour mesurer la performance des pages et détecter les erreurs. Il collecte le chemin de la page (paramètres de requête supprimés), le navigateur, le système d'exploitation et le type d'appareil, les mesures de performance, les erreurs JavaScript et les durées des requêtes de la page, reliés par un identifiant de session aléatoire enregistré dans le stockage local ; il expire après environ 16 minutes d'inactivité et est remplacé lors de votre prochaine visite. Il ne contient ni nom, ni adresse e-mail, ni identifiant de compte, et n'est pas combiné avec des données de compte ou publicitaires. Nous nous fondons sur notre intérêt légitime à maintenir le site en état de fonctionnement (à Singapour, la finalité d'amélioration de l'activité). Les journaux sont conservés 30 jours et les traces 14 jours. Pour vous y opposer, contactez privacy@maguyva.ai.

Stockage navigateur. Ce site web stocke une petite quantité de données dans le stockage local de votre navigateur pour mémoriser votre préférence de mode couleur (clé : "maguyva-color-mode"). Si vous déclenchez l'easter egg CRT optionnel, le thème visuel actif est stocké dans le stockage de session pour l'onglet en cours uniquement. Aucune de ces données ne quitte votre navigateur ni n'atteint nos serveurs. Si vous arrivez depuis l'une de nos publicités, les paramètres de campagne et les identifiants de clic publicitaire présents sur ce lien sont également conservés dans le stockage de session pour l'onglet en cours (clé : "maguyva_utm") et transmis à notre application lorsque vous suivez un lien d'inscription ou de connexion ; voir « 6. Cookies et publicité » ci-dessous. Cloudflare, notre fournisseur d'infrastructure, peut définir des cookies fonctionnels à des fins de sécurité. Pour les statistiques d'usage agrégées, nous utilisons Umami, un service d'analyse respectueux de la vie privée et sans cookies, qui ne dépose aucun cookie et ne collecte aucune donnée personnellement identifiable. Pour la performance des pages et la surveillance des erreurs du navigateur, nous utilisons Grafana Faro, qui stocke un identifiant de session généré aléatoirement dans le stockage local de votre navigateur (clé : "com.grafana.faro.session"), qui expire après environ 16 minutes d'inactivité et est remplacé lors de votre prochaine visite, afin qu'une suite de mesures soit reconnue comme une seule visite ; il ne contient ni nom, ni adresse e-mail, ni identifiant de compte (voir « Données de performance et d'erreurs du site web » ci-dessus). Faro n'est pas chargé et cette clé n'est pas écrite pour les visiteurs situés dans l'Espace économique européen, au Royaume-Uni ou en Suisse, ni lorsque nous ne pouvons pas déterminer votre région — la même règle régionale que pour les cookies publicitaires décrits dans « 6. Cookies et publicité » ci-dessous.

3. Comment nous l'utilisons

Nous utilisons vos données pour indexer votre code et fournir les fonctionnalités d'intelligence de code, traiter les paiements via Stripe, envoyer des e-mails transactionnels (confirmations de compte, reçus de facturation), et calculer des statistiques d'usage agrégées. Nous n'utilisons pas le code des clients pour entraîner des modèles d'apprentissage automatique. Nous ne vendons pas vos données.

4. Votre code

Quand vous connectez un dépôt, votre code source est stocké dans notre infrastructure de service pour alimenter les fonctionnalités d'intelligence de code, y compris la récupération de fichiers et la recherche. Nous analysons le code avec tree-sitter, générons des embeddings sémantiques via Voyage AI, et construisons un graphe de symboles des définitions et références. La requête d'embedding envoie des fragments sémantiques tenant compte de l'AST, et non des fichiers ou dépôts complets, et exclut les métadonnées identifiant le client telles que les noms de dépôts, les noms d'utilisateur, les identifiants d'organisation, et les chemins de fichiers. Ces fragments sont utilisés pour générer des embeddings dans le cadre de conditions API et de paramètres de compte qui n'autorisent pas l'entraînement sur les données clients. Les données source et dérivées de l'index sont stockées dans PostgreSQL sous les formes nécessaires à la récupération de fichiers, la recherche, et l'analyse de graphe. L'accès au produit est contrôlé par des contrôles d'accès scopés par organisation et par espace de noms ; les opérateurs de Maguyva ne peuvent accéder aux données de dépôt que si nécessaire pour exploiter, sécuriser, ou assister le service. Quand vous déconnectez un dépôt ou annulez votre compte, le code source indexé actif et les données dérivées sont retirés des systèmes du service, les copies de sauvegarde résiduelles expirant dans la fenêtre de rétention des sauvegardes.

5. Tiers

Nous utilisons les services suivants pour exploiter Maguyva :

• Supabase (hébergement de base de données, régions AWS US)
• Cloudflare (CDN, calcul en périphérie, DNS)
• Voyage AI, désormais intégré à MongoDB (génération d'embeddings - reçoit des fragments de code tenant compte de l'AST, sans identifiants client, et non des fichiers ou dépôts complets)
• Stripe (traitement des paiements)
• GitHub (authentification OAuth et accès aux dépôts)
• Umami (analyse d'usage du site sans cookies - métriques agrégées uniquement, aucune donnée personnellement identifiable)
• Railway (hébergement, à Singapour, du système de surveillance que nous exploitons nous-mêmes avec le logiciel open source de Grafana - stocke les données de performance et d'erreurs du site web décrites dans « 2. Ce que nous collectons », qui ne lui parviennent que via notre propre collecteur faro.synacy.xyz ; Grafana Labs ne reçoit pas ces données. Le script de surveillance n'est pas chargé du tout pour les visiteurs situés dans l'Espace économique européen, au Royaume-Uni ou en Suisse, ni lorsque nous ne pouvons pas déterminer votre région)
• Google Ads (mesure des conversions - reçoit les paramètres de campagne et les identifiants de clic publicitaire lorsque vous créez un compte, et non des données de compte ou de code)

6. Cookies et publicité

Nous faisons la promotion de Maguyva via Google Ads et mesurons quelles publicités mènent à des inscriptions. La balise de Google (gtag.js) se charge à la fois sur maguyva.ai et sur app.maguyva.ai. Lorsque le stockage publicitaire est autorisé, elle dépose des cookies de la famille "_gcl_" (par exemple "_gcl_aw", conservé jusqu'à 90 jours) qui enregistrent le clic publicitaire ayant précédé votre visite, et l'application signale une conversion à Google Ads lorsque vous créez un compte. Sur les deux domaines, nous déposons également notre propre cookie, "maguyva_first_touch", qui enregistre le premier lien publicitaire par lequel vous êtes arrivé afin que nous puissions savoir quelle publicité a produit un compte. Hormis les cookies de consentement et de région décrits ci-dessous, nous ne déposons aucun autre cookie publicitaire sur nos propres domaines.

• Ce qui est envoyé à Google : uniquement les paramètres de campagne et les identifiants de clic publicitaire. Le reste de l'adresse de la page, y compris toute adresse e-mail transportée par un lien d'invitation, est supprimé avant que le rapport n'atteigne Google.
• Les signaux de personnalisation des annonces sont désactivés, de sorte que ce dispositif mesure les conversions plutôt que de constituer des audiences publicitaires.
• Ce que contient "maguyva_first_touch" : les paramètres de campagne présents sur le lien par lequel vous êtes arrivé (utm_source, utm_medium, utm_campaign, utm_content, utm_term), l'identifiant de clic publicitaire qu'il transportait (gclid, gbraid, wbraid, dclid, twclid ou rdt_cid), l'adresse de la page référente, le chemin sur lequel vous avez atterri, y compris ses paramètres, et l'heure de cette arrivée. Il est déposé par nos serveurs, n'est pas lisible par les scripts s'exécutant sur la page, et est conservé jusqu'à 90 jours.
• Il n'enregistre que votre première arrivée publicitaire - un clic publicitaire ultérieur ne le remplace pas. Si vous créez un compte, ces valeurs sont copiées sur ce compte afin que nous puissions l'attribuer à la publicité qui l'a produit, et le cookie est ensuite supprimé. Si vous ne créez jamais de compte, il expire de lui-même.
• Notre site marketing à l'adresse maguyva.ai conserve en outre les identifiants de clic publicitaire de votre arrivée dans le stockage de session pour l'onglet en cours, afin qu'ils puissent être transmis à l'application lorsque vous suivez un lien d'inscription ou de connexion, comme décrit dans « 2. Ce que nous collectons ». Cette copie est supprimée lorsque vous fermez l'onglet.
• Cas où nous demandons d'abord : pour les visiteurs situés dans l'Espace économique européen, au Royaume-Uni ou en Suisse, ainsi que lorsque nous ne pouvons pas déterminer votre région, la balise se charge avec le stockage publicitaire désactivé et les identifiants de clic publicitaire retirés de ce qu'elle envoie, et nous vous demandons votre accord avant le dépôt de tout cookie publicitaire. Tant que vous n'avez pas répondu, Google ne reçoit qu'un signal sans cookie indiquant qu'une page a été consultée. Si vous acceptez, les cookies "_gcl_" et "maguyva_first_touch" sont déposés comme décrit ci-dessus. Si vous refusez, aucun des deux n'est déposé et aucun enregistrement de premier contact n'est collecté.
• Votre réponse est conservée pendant 12 mois dans un cookie nommé "maguyva_ad_consent", partagé entre maguyva.ai et app.maguyva.ai, qui ne contient que la réponse et la version de la présente politique de confidentialité sous laquelle elle a été donnée. Il est déposé que vous acceptiez ou refusiez, afin que nous ne vous le demandions pas à nouveau. Vous pouvez modifier votre choix à tout moment depuis le lien « Choix relatifs aux cookies » en pied de page de maguyva.ai ou depuis Settings > Security dans l'application ; passer au refus met fin à tout stockage publicitaire ultérieur, et les cookies que Google a déjà déposés expirent selon leur propre échéance.
• Sur maguyva.ai, un cookie d'une heure nommé "maguyva_ad_region" enregistre uniquement si votre région fait partie de celles où nous demandons votre accord. Il ne contient aucune donnée personnelle.
• Google peut déposer des cookies sur ses propres domaines lorsque la conversion est signalée ; ceux-ci sont régis par la politique de confidentialité de Google.

7. Sécurité des données

Les données sont transmises via HTTPS/TLS. Les données de dépôt indexées sont stockées sur une infrastructure managée avec chiffrement au repos au niveau du stockage. Les données source et dérivées de l'index restent lisibles par le service lorsque nécessaire pour la recherche, la récupération de fichiers, le support, et les opérations de sécurité. L'accès aux dépôts est contrôlé par des contrôles d'accès scopés par organisation et par espace de noms. Les clés API sont validées par rapport aux métadonnées stockées et aux restrictions d'accès aux dépôts.

8. Vos droits

En vertu du PDPA de Singapour et du RGPD de l'UE (le cas échéant), vous avez le droit de :

• Accéder aux données personnelles que nous détenons à votre sujet
• Corriger des données inexactes
• Demander la suppression de vos données et des dépôts indexés
• Exporter les données de votre compte
• Vous opposer au traitement ou retirer votre consentement

9. Conservation des données

Comptes actifs : les données sont conservées tant que votre compte est actif. Dépôts retirés et comptes supprimés : le code source indexé actif et les données dérivées sont supprimés sous 30 jours, les copies de sauvegarde résiduelles expirant sous 90 jours. Les registres de facturation sont conservés pendant 7 ans, comme l'exige la loi. Données de performance et d'erreurs du site web décrites dans « 2. Ce que nous collectons » : les journaux sont conservés 30 jours et les traces 14 jours, puis supprimés automatiquement ; pour vous opposer à leur collecte, contactez privacy@maguyva.ai.

10. Modifications et contact

Nous vous informerons par e-mail des modifications importantes apportées à cette politique. Pour toute question ou demande relative aux données, contactez privacy@maguyva.ai.