Mise à jour du 8 septembre 2026

Confidentialité

Mossy est une application macOS faite par une seule personne. Cette page liste tout ce qui quitte votre Mac, sans rien omettre. Si quelque chose ici s'avère inexact, écrivez à hello@heymossy.com et ce sera corrigé.

Aucun compte, aucun pistage

Pas d'inscription, pas de connexion, pas de mot de passe. L'application ne contient aucun SDK publicitaire ou de pistage, et aucune dépendance tierce. Rien de ce qu'elle envoie ne vous identifie, et les compteurs quotidiens peuvent être désactivés. Le numéro de version est la seule exception, et il est décrit plus bas.

Deux précisions sur le site, qui n'est pas l'application. Il utilise la mesure d'audience de Cloudflare lui-même : aucun cookie, aucune requête vers un tiers. Et si vous n'êtes pas sur un Mac, il vous propose de laisser votre adresse e-mail pour la liste d'attente — et, si vous votez pour la prochaine plante, il garde une empreinte brouillée de votre connexion, décrite plus bas. C'est toute la donnée personnelle que ce site collecte, et seulement si vous la saisissez ou cliquez.

La liste d'attente, seulement si vous la demandez

Mossy fonctionne sur macOS. Si vous venez d'un autre système, la page vous propose de vous prévenir quand cela change. Si vous laissez votre adresse, trois choses sont enregistrées : l'adresse, la date à laquelle vous l'avez laissée, et un mot pour votre système — windows, linux, etc. — déduit de l'identification du navigateur que votre requête porte déjà. Rien d'autre. Pas de nom, pas de page visitée, pas d'adresse IP.

Ce mot existe pour une raison qui mérite d'être dite : la promesse est un seul e-mail, il doit donc partir aux bonnes personnes. Annoncer une version Windows à quelqu'un sous Linux dépenserait son unique message pour rien.

Elle est stockée par le même relais Cloudflare décrit plus haut, dans sa base, et nous envoyons exactement un e-mail : le jour où la version que vous attendez existe. Pas de newsletter, aucun compte rendu d'avancement, aucune invitation à une bêta. Si elle n'est jamais faite, vous n'entendrez jamais parler de nous. L'adresse est conservée jusqu'à l'envoi de cet e-mail, puis supprimée. Vous voulez sortir plus tôt ? Écrivez à hello@heymossy.com et elle est retirée le jour même.

Le vote pour la prochaine plante

heymossy.com/vote vous laisse choisir la prochaine plante, une voix par plante et par connexion. Pour s'en tenir à une, le relais enregistre une empreinte de votre adresse IP : l'adresse passée dans SHA-256 avec une clé secrète que seul le relais détient. L'empreinte ne se retransforme pas en adresse sans cette clé, et l'adresse elle-même n'est jamais écrite. À côté : la plante et la date. Pas de cookie, pas de compte, pas de nom. La table est supprimée à la clôture du vote.

Une seule chose reste dans votre navigateur, et nulle part ailleurs : une fois que vous avez voté, cette page y écrit un drapeau pour que la page d'accueil cesse de vous le redemander. Sa valeur est le caractère 1 : ni la plante choisie, ni l'heure. Son nom, lui, désigne le vote (mossy-vote-2609). Il ne quitte jamais votre machine, et vider les données du navigateur l'efface.

Ce qui est stocké sur votre Mac, et y reste

Vos réglages, la phrase que vous écrivez pour vos pauses, votre compteur et votre journal d'événements vivent dans ~/Library/Application Support/Mossy, sur votre machine. Supprimer ce dossier les efface tous. Rien de cela n'est envoyé ailleurs.

Si votre Mossy vous a été offert, le prénom et le mot de la personne qui vous l'a donné y vivent aussi — c'est ce que la fenêtre de vos réglages vous laisse relire. Ils sont arrivés dans le lien qu'on vous a envoyé, après le dièse : cette partie d'une adresse n'est jamais transmise au serveur par un navigateur, donc nous ne l'avons jamais vue et nous ne pouvons pas la voir. Offrir une bouture n'envoie rien non plus : le lien est fabriqué sur votre Mac.

La seule chose que Mossy change hors de son dossier

Avec votre accord, Mossy s'ajoute aux éléments d'ouverture de session pour être là après un redémarrage. macOS vous prévient quand cela se produit, la case dans les réglages de Mossy reflète l'état réel du système, et la décocher retire l'entrée. Rien n'est envoyé.

Ce qui quitte votre Mac : la liste complète

Quatre requêtes. Deux vont vers relay.heymossy.com, un petit Worker Cloudflare opéré par le développeur. Les deux autres ne portent aucun identifiant : elles demandent seulement « y a-t-il une version plus récente », et la téléchargent si vous le voulez.

1. Demander un exercice de pause

Envoyée quand vous prenez une pause. Elle contient :

• La phrase que vous avez écrite pour dire à quoi servent vos pauses, plus un court contexte (depuis combien de temps vous êtes assis, et quels exercices vous venez de recevoir pour ne pas avoir deux fois le même). Plafonnée à 4 000 caractères.
• Un identifiant d'installation anonyme : un UUID aléatoire tiré au premier lancement. Il n'est dérivé ni de votre Mac, ni de votre nom, ni de quoi que ce soit vous concernant. Son seul rôle est un quota quotidien par installation, pour qu'une seule installation ne puisse pas épuiser le budget commun.
• La version de Mossy que vous utilisez : une chaîne du genre 0.2.11+a1b2c3d. Elle ne dit rien de vous — douze machines partagent la même. Elle existe pour que je sache si une mise à jour est réellement arrivée, ce que le ping quotidien facultatif ne disait que pour une installation sur trois.

Le relais transmet ce texte à Anthropic, qui rédige l'exercice et le renvoie. Le traitement par Anthropic relève de sa propre politique de confidentialité et de ses conditions commerciales, selon lesquelles les données envoyées ne servent pas à entraîner de modèles. La clé d'API n'existe que comme secret Cloudflare : elle n'est jamais dans l'application.

Si Anthropic est indisponible, le relais rédige l'exercice lui-même. Anthropic refuse purement et simplement les requêtes venant de certaines régions, et il peut aussi tomber en panne ; plutôt que de retomber sur un étirement écrit d'avance, le relais fait alors tourner un modèle sur les machines de Cloudflare (Workers AI), avec le même texte qu'il aurait envoyé à Anthropic. Aucun nouveau destinataire : Cloudflare héberge déjà le relais et transporte déjà la requête, et Cloudflare déclare ne pas utiliser ce contenu pour entraîner de modèles. Si cela échoue aussi, votre Mac rédige l'exercice hors ligne, et plus rien n'en sort du tout.

Le relais ne stocke aucun contenu de requête dans sa base. Votre phrase et l'exercice ne sont écrits nulle part. Deux choses sont enregistrées : un compteur du nombre de générations utilisées aujourd'hui par cet identifiant, et la version ci-dessus, écrite une fois par jour. Deux exceptions honnêtes, parce que cette page vise l'exactitude plutôt que la flatterie :

• Votre adresse IP sert de clé de limitation de débit : 6 requêtes par 60 secondes, pour empêcher un script de vider le budget commun. Elle est traitée par le limiteur de Cloudflare le temps de cette fenêtre et n'est pas écrite en base — l'empreinte du vote, décrite plus haut, est la seule exception dérivée. Cloudflare la traite aussi en tant que fournisseur réseau acheminant la requête, comme pour n'importe quel site que vous visitez.
• Si Anthropic renvoie une erreur, une ligne de diagnostic est écrite dans le journal éphémère du Worker : le code HTTP et jusqu'à 300 caractères de la réponse d'Anthropic, puis — si le repli Cloudflare se déclenche — s'il a réussi, votre code pays à deux lettres, et en cas d'échec le motif et la forme de ce qui est revenu (quels noms de champs étaient présents, jamais leur contenu). C'est ce qui rend les pannes analysables. Cela ne contient pas votre phrase.

2. Le signe de vie quotidien, facultatif

Une fois par jour, l'application peut envoyer un petit résumé de la veille. Il existe pour que le développeur puisse savoir si les gens prennent vraiment leurs pauses, la seule question à laquelle ce projet cherche à répondre. Il contient :

C'est tout le contenu. Il ne contient jamais la phrase que vous avez écrite, les exercices reçus, ni aucun texte tapé par vous.

Vous pouvez le désactiver dans les réglages de l'application, avec l'interrupteur des compteurs. Une fois coupé, plus aucun compteur n'est envoyé. Le numéro de version ci-dessus ne fait pas partie de ce ping et part dans tous les cas, avec chaque demande de pause.

3. Regarder s'il existe une version plus récente

Toutes les six heures, et chaque fois que vous le demandez, Mossy lit un petit fichier : version.json, hébergé sur GitHub à l'adresse raw.githubusercontent.com. Il contient un numéro de version, une ligne de note et une adresse de téléchargement — rien qui vous concerne.

Rien n'est envoyé au-delà de ce que porte n'importe quelle requête web : votre adresse IP arrive chez GitHub, comme pour n'importe quelle page que vous ouvrez. Aucun identifiant, aucun compteur, pas même votre propre version. Cette requête a toujours existé ; elle manquait sur cette page jusqu'au 2 septembre 2026, et c'était un oubli de notre part.

4. Télécharger la nouvelle version

Seulement quand une version plus récente existe et que la mise à jour se fait — vous avez cliqué, ou vous avez laissé cochée la case « m'installer mes mises à jour au démarrage ». Mossy télécharge le paquet depuis heymossy.com, la même adresse que sert le bouton de la page d'accueil.

Rien n'est envoyé au-delà de la demande du fichier. Aucun identifiant. Avant de se remplacer, Mossy vérifie que le paquet est signé par nous, notarisé par Apple, et strictement plus récent — sinon il refuse et ouvre la page de téléchargement à la place.

La case des réglages change le moment où cela se produit, jamais ce qui est envoyé : au démarrage tout seul, ou après votre clic. En pleine journée, il demande toujours d'abord.

Conservation

Les lignes du signe de vie sont supprimées au bout de 60 jours, automatiquement, par le relais lui-même. Les compteurs de quota suivent le même sort. Il n'y a aucune sauvegarde et aucun export de ces données ailleurs.

Qui d'autre les voit

Deux sous-traitants, et personne d'autre :

• Cloudflare : héberge le relais et la base (Workers et D1), et rédige l'exercice lui-même quand Anthropic est indisponible (Workers AI).
• Anthropic : rédige le texte de l'exercice.

Rien n'est vendu, partagé avec des annonceurs, ni utilisé à un autre usage que les deux décrits ci-dessus.

Vos droits

Au titre du RGPD, vous pouvez demander une copie de ce qui est détenu sur votre installation, ou sa suppression. Comme le seul identifiant est l'UUID aléatoire stocké sur votre Mac, joignez-le à votre demande : il figure dans les réglages. Écrivez à hello@heymossy.com, réponse sous 30 jours. Supprimer le dossier de données de Mossy rend aussi l'identifiant orphelin pour de bon, et les lignes serveur expirent d'elles-mêmes sous 60 jours.

Enfants

Mossy ne s'adresse pas aux enfants de moins de 16 ans.

Modifications

Si cette page change, la date en haut change avec elle. Tout ce qui élargirait ce qui quitte votre Mac sera annoncé dans les notes de version, pas glissé en silence.

Contact

Alban Bertolini, Bordeaux, France — hello@heymossy.com