Confidentialité · Cookies · Publicité · Mis à jour le 23 octobre 2026

Ce que ce site collecte

En bref : presque rien, et tu peux le vérifier toi-même.

1. Qui gère ce site

SaveSaveSaveSave (savesavesavesave.xyz) est exploité par Stefan Tsezarov, en Bulgarie, en tant que projet indépendant. Il décide de ce que ce site traite et pourquoi, et il est le responsable de ce traitement au sens du Règlement général sur la protection des données de l’UE (RGPD). Contact pour tout ce qui concerne cette politique : savesavesavesave@tuta.io.

2. Analyser un message ou un prompt

Quand tu colles du texte dans le scanner de messages, l’analyse s’exécute entièrement en JavaScript dans ton propre navigateur. Le texte n’est pas envoyé, pas journalisé, pas conservé et montré à personne. Quand tu fermes l’onglet, il disparaît.

Tu peux vérifier cette partie toi-même. Ouvre les outils de développement de ton navigateur, va dans l’onglet Réseau, colle un message et lance l’analyse. Ton texte ne figure dans aucune requête. La seule requête que tu verras est le comptage d’analyse vers notre propre Worker (section 5), et elle n’est pas envoyée du tout si ton navigateur utilise Global Privacy Control. C’est la vérification d’une visite, pas une preuve pour toutes les visites possibles.

Aucun script tiers ne s’exécute sur la page du scanner. La page qui contient ton message et son résultat ne charge ni publicité, ni outil de consentement, ni script d’analyse d’audience. Sa Content-Security-Policy n’autorise que les scripts de ce site et ne laisse la page se connecter qu’aux services d’adresses et de paquets de la section 4 et à notre propre Worker ; c’est le navigateur qui l’impose. Du code venant d’autres sites pourrait sinon lire ce qui est sur la page ; le tenir à l’écart de cette page est la protection, pas une promesse sur ce que ce code ferait. Les extensions de navigateur autorisées à accéder à ce site peuvent lire les informations saisies ici.

Repère le piège. Sur les pages de défis, la réponse que tu choisis reste dans la page tant qu’elle est ouverte. Elle n’est pas envoyée, pas écrite dans le stockage du navigateur et pas incluse dans un lien ou une carte partagés ; recharger relance la manche. Les pages de défis individuelles ne chargent ni publicité, ni analyse d’audience, ni script tiers. La liste des défis sur /spot-the-trap affiche de la publicité Google dans les colonnes latérales sur grand écran (section 7) ; elle ne contient ni défi ni réponse. Comme toutes les pages, elles sont distribuées par Cloudflare, qui reçoit les informations ordinaires de requête, comme ton adresse IP.

2a. La vérification de logiciels espions

Sur la page de vérification de logiciels espions, ce que tu vérifies reste dans ton navigateur : un message collé et une collecte Android que tu sélectionnes sont lus et comparés dans cet onglet uniquement. Ils ne sont ni envoyés, ni conservés dans le navigateur, ni transmis à nous ou à qui que ce soit. Un résultat n’est téléchargé que si tu appuies sur « Enregistrer ce résultat ». La page n’a ni analyse d’audience, ni publicité, ni compteur d’analyses.

Quand tu appuies sur « Charger les listes », ton navigateur télécharge depuis ce site les listes d’indicateurs publiées. Cette requête arrive chez Cloudflare, notre hébergeur, avec les métadonnées de connexion de toute requête de page (ton adresse IP, l’agent utilisateur du navigateur, l’heure et les fichiers de listes demandés), et elle est traitée comme toute autre requête (section 8). Elle ne contient rien de ce que tu vérifies. Aucun autre site n’est contacté, et aucune adresse qui correspond à une liste n’est jamais ouverte.

Cloudflare ajoute aussi à ses réponses une instruction standard « Network Error Logging ». Si une connexion à ce site échoue, ton navigateur peut signaler cet échec (l’adresse tentée, l’erreur, la durée et ton adresse IP) à Cloudflare sur a.nel.cloudflare.com. Les requêtes réussies ne sont pas signalées. Cela fait partie de l’hébergement, pas de la vérification de logiciels espions, et ne contient jamais ce que tu vérifies.

3. Analyser une adresse crypto ou un token

Cette partie utilise le réseau, car les données de sécurité se trouvent ailleurs. Quand tu vérifies une adresse, l’adresse elle-même et l’identifiant de la chaîne sont envoyés à un fournisseur tiers de données de sécurité et, pour les vérifications de sanctions, à un nœud blockchain public via notre propre proxy.

Ce qui est envoyé, c’est l’adresse et la chaîne. Ce qui n’est pas envoyé, c’est le message d’où vient l’adresse, tout autre texte de la page, et tout ce qui t’identifierait au-delà des informations ordinaires de n’importe quelle requête web (ton adresse IP et l’agent utilisateur de ton navigateur, que reçoit chaque site que tu visites).

Si une adresse vient d’un message que tu as collé, seule l’adresse voyage. Le message reste dans ton navigateur.

Vérifier un paquet npm. Quand tu vérifies un paquet, son nom (et la version, si tu en indiques une) est envoyé depuis ton navigateur au registre npm et au compteur de téléchargements de npm (registry.npmjs.org, api.npmjs.org) ainsi qu’à OSV.dev (api.osv.dev), la base de vulnérabilités ouverte de Google. Comme toute requête web, elles transportent ton adresse IP et l’agent utilisateur de ton navigateur. Rien d’autre n’est envoyé, le code du paquet n’est jamais téléchargé ni exécuté, et rien de la vérification ne parvient à un annonceur.

4. Les tiers qui reçoivent quelque chose

Qui est responsable de quoi. Cloudflare (distribution du site, notre Worker, Web Analytics) traite les données de requête de ce site pour le compte de l’exploitant, selon les conditions de traitement des données de Cloudflare ; les demandes concernant ces données nous sont adressées (section 9). GoPlus, PublicNode, npm, OSV.dev et Google reçoivent une requête directement de ton navigateur, ou de notre Worker pour les vérifications que tu lances, et décident eux-mêmes de ce qu’ils conservent ; chacun le fait selon sa propre politique de confidentialité, que ce site ne contrôle pas.

Transferts hors de l’UE. Plusieurs de ces fournisseurs sont établis, ou traitent des données, hors de l’Espace économique européen, notamment aux États-Unis. Quand l’exploitant transfère des données à un fournisseur agissant pour son compte, le transfert repose sur les conditions de traitement des données de ce fournisseur, qui incluent les clauses contractuelles types de la Commission européenne, ou sur le cadre de protection des données UE–États-Unis lorsque le fournisseur y est certifié.

5. Analyse d’audience

Ce site utilise Cloudflare Web Analytics pour compter les pages vues sur toutes les pages sauf le scanner. Cloudflare indique ne déposer aucun cookie et ne pas te suivre d’un site à l’autre. L’outil enregistre l’URL de la page, le référent, le pays approximatif, le type de navigateur et d’appareil, et le temps de chargement.

Il n’est pas chargé sur la page du scanner, donc il n’est pas présent là où un message ou un résultat est affiché.

Comptage des analyses. Quand une analyse se termine, la page envoie une petite requête à notre propre Worker Cloudflare indiquant le type d’analyse (adresse ou message ; pour les adresses, token ou wallet et la chaîne) et le verdict obtenu. Le Worker ajoute un à un total quotidien. Le total conservé ne contient que ces mots : jamais l’adresse ou le texte analysés, et aucun cookie, identifiant ou adresse IP. Tant que la journalisation du Worker était active, la requête elle-même était journalisée avec ton adresse IP et d’autres détails de requête. La journalisation courante des requêtes de notre Worker a été désactivée le 20 octobre 2026, retrouvée réactivée par un déploiement ultérieur, puis désactivée de nouveau le 23 octobre 2026. La configuration de déploiement la maintient désormais désactivée, et un test échoue si elle est modifiée. Les enregistrements antérieurs au 23 octobre expirent selon la durée de conservation de Cloudflare. Un navigateur qui envoie Global Privacy Control n’envoie pas la requête de comptage.

Les totaux sont publics. La page d’accueil indique combien d’analyses ont eu lieu ces sept derniers jours, et chacun peut lire le même résumé, ventilé par type et par verdict, à l’adresse de statistiques publiques de notre Worker. Pour afficher cette ligne, la page d’accueil demande le chiffre à notre Worker au chargement ; cette requête ne contient rien sur tes analyses. L’historique de la journalisation et les réglages actuels sont décrits en section 8.

Cartes d’avertissement. Après un résultat FAIL ou CAUTION, tu peux créer une image « Partager cet avertissement ». Elle est dessinée dans ton navigateur à partir du résultat déjà affiché et n’est jamais envoyée chez nous. Une carte d’analyse de message ne contient pas le texte du message, seulement des descriptions fixes de ce qui a été trouvé. Où va l’image ensuite, c’est toi qui décides.

6. Cookies et stockage du navigateur

Le code de ce site ne dépose aucun cookie et n’écrit rien dans localStorage, sessionStorage ou IndexedDB. Notre code n’enregistre pas ce que tu analyses dans le stockage du navigateur. L’analyse des messages s’exécute localement, et notre code ne transmet ni ne conserve le texte du message. Les vérifications d’adresses peuvent impliquer un stockage hors de ton navigateur, notamment le cache périphérique de courte durée et les journaux de requêtes antérieurs au 23 octobre 2026, décrits aux sections 4 et 8.

La publicité de Google, c’est autre chose. La diffusion des publicités, et la fenêtre de consentement qui l’accompagne, peuvent déposer des cookies dans ton navigateur. Ils sont sous le contrôle de Google, pas du nôtre. Rien sur cette page ne les lit.

Si tu es dans l’UE ou l’EEE, l’outil de consentement de Google t’affichera un message avant toute publicité personnalisée et enregistrera ta réponse. Tu peux la modifier plus tard dans la même fenêtre.

Un bloqueur de publicité supprime tout cela. Nous ne le détectons pas, nous ne te demandons pas de le désactiver, et le scanner fonctionne de la même façon dans les deux cas.

7. Publicité

Certaines pages de guides et la liste des défis Repère le piège affichent de la publicité. Le scanner, jamais. Le fournisseur est Google AdSense, identifiant d’éditeur ca-pub-7192453271158919, affiché dans deux colonnes étiquetées sur les côtés des grands écrans. Il n’apparaît pas du tout sur les téléphones ni dans les fenêtres étroites.

La publicité est entièrement désactivée sur le scanner et sur les pages où elle pourrait nuire, et sur ces pages les hôtes publicitaires sont retirés de la Content-Security-Policy de la page ainsi que de son balisage, pour que rien ne puisse se charger, même par accident :

• Les douze mots, Lis-le en partant de la droite, L’instruction que tu n’as pas écrite, Le texte que tu ne vois pas et L’adresse que tu ne peux pas payer : quelqu’un peut les lire en étant en train de se faire escroquer, et un lien commercial à côté de cet avertissement pourrait passer pour notre recommandation.
• Le scanner lui-même : du code publicitaire sur la page qui contient ton message pourrait le lire, donc il n’y en a pas du tout. Jusqu’au 20 octobre 2026, le scanner affichait des publicités dans ses colonnes latérales.
• Cette page et les Conditions : un engagement ne devrait pas être entouré de publicité.

Entre le 18 et le 20 septembre 2026, toutes les pages contenaient le code publicitaire, y compris ces quatre-là. C’était un réglage par défaut plutôt qu’une décision, et cela a été corrigé. La liste complète des pages qui affichent de la publicité, et pourquoi, se trouve dans apply-ads.js dans le dépôt public.

Au moment où ces lignes sont écrites, le site est encore en cours d’examen par Google, donc les emplacements publicitaires restants sont généralement vides, et un emplacement qui n’a rien à afficher reste désormais caché au lieu d’afficher un cadre étiqueté vide.

Ce que reçoit Google, c’est l’URL de la page, ton adresse IP, ton agent utilisateur et ce que lui disent ses propres cookies, comme sur la plupart des sites financés par la publicité. Google traite ces données selon ses propres politiques, que ce site ne contrôle pas.

Ces engagements font partie de cette politique :

• Aucun annonceur ne peut influencer un verdict, et aucun paiement ne peut supprimer ou atténuer un signal de risque.
• Les publicités sont étiquetées comme telles, tenues à l’écart de la zone de résultat et absentes des guides qui expliquent les arnaques.
• Les données d’analyse ne sont jamais vendues, partagées ni agrégées pour l’usage de quelqu’un d’autre.
• Aucun parrainage ne sera accepté d’un projet que ce scanner pourrait raisonnablement avoir à évaluer.

8. Ce qui est conservé, pourquoi et combien de temps

Il n’y a pas de système de comptes, pas d’historique d’analyses et pas de liste d’e-mails. Ce qui est conservé, et par qui :

• Texte des messages : jamais envoyé, donc jamais conservé.
• Totaux quotidiens d’analyses (section 5) : type, chaîne et verdict uniquement, conservés comme totaux publics.
• Journaux de requêtes Cloudflare de notre Worker. La journalisation courante des requêtes de notre Worker a été désactivée le 20 octobre 2026, retrouvée réactivée par un déploiement ultérieur, puis désactivée de nouveau le 23 octobre 2026. La configuration de déploiement la maintient désormais désactivée, et un test échoue si elle est modifiée. Les enregistrements antérieurs au 23 octobre expirent selon la durée de conservation de Cloudflare. Quand elle était active, les enregistrements comprenaient l’URL de la requête (qui peut contenir une adresse vérifiée), ton adresse IP, ton agent utilisateur, la page de provenance, la langue, les estimations de localisation fournies par Cloudflare et la durée. Les estimations de localisation ne signifient pas un accès au GPS de ton appareil. La journalisation des erreurs et des traces du Worker est également désactivée. Cela concerne le Worker de vérification d’adresses, pas la journalisation distincte de la distribution du site ou des fournisseurs en amont.
• Cache périphérique de Cloudflare : les réponses de GoPlus récupérées par notre Worker, indexées par l’adresse, jusqu’à 15 minutes.
• Les tiers de la section 4 conservent ce qu’ils reçoivent selon leurs propres politiques.

Pourquoi chaque traitement a lieu (base juridique selon l’article 6 du RGPD) :

• Distribuer les pages et protéger le site et le Worker (données de requête chez Cloudflare, y compris ton adresse IP) : intérêts légitimes, article 6, paragraphe 1, point f. Un site web ne peut pas être distribué ni protégé contre les abus sans elles.
• Vérifications d’adresses, de wallets, de tokens et de paquets que tu lances : intérêts légitimes, article 6, paragraphe 1, point f, pour te donner le résultat que tu as demandé. Rien n’est envoyé avant que tu lances une vérification.
• Comptage des analyses et Cloudflare Web Analytics : intérêts légitimes, article 6, paragraphe 1, point f, pour savoir globalement si le site est utilisé. Un navigateur qui envoie Global Privacy Control n’envoie pas le comptage.
• Cookies publicitaires et publicité personnalisée sur les pages de guides : ton consentement, recueilli par l’outil de consentement de Google là où la loi l’exige. Tu peux le retirer à tout moment dans la même fenêtre ; le retrait n’affecte pas ce qui a eu lieu avant.
• Les e-mails que tu nous envoies : intérêts légitimes à te répondre ; pour une demande relative à la protection des données, l’obligation légale de répondre, article 6, paragraphe 1, point c. Les e-mails sont supprimés 12 mois après la clôture du dossier, sauf s’ils sont nécessaires pour établir ou défendre un droit en justice.

Aucune décision produisant des effets juridiques ou d’effet similaire significatif n’est prise à ton sujet par des moyens automatisés. Un verdict décrit une adresse, un paquet ou un message, pas toi.

9. Tes droits

Selon le RGPD, tu as le droit de demander l’accès à tes données personnelles, leur rectification ou leur effacement, la limitation de leur traitement et, le cas échéant, une copie portable. Tu peux t’opposer à tout moment à un traitement fondé sur les intérêts légitimes (section 8), et retirer à tout moment ton consentement lorsqu’un traitement repose sur celui-ci.

Envoie tes demandes à savesavesavesave@tuta.io. Tu recevras une réponse dans les meilleurs délais et au plus tard dans un mois ; si une demande est complexe et prend plus de temps, on te dira pourquoi dans ce délai d’un mois. Nous ne demanderons que les informations nécessaires pour retrouver les données concernées, jamais une pièce d’identité par défaut. Comme le site n’a pas de comptes, nous pourrons avoir besoin de détails comme l’adresse que tu as vérifiée et l’heure approximative pour retrouver un enregistrement. N’inclus pas de phrase de récupération, de mot de passe, de clé privée ou de code d’authentification dans ta demande.

Cela couvre les données traitées pour ce site par Cloudflare pour notre compte, y compris les anciens journaux de requêtes du Worker : nous traitons la demande et obtenons l’aide de Cloudflare si nécessaire. Les données qu’un fournisseur de la section 4 a reçues directement et détient en tant que responsable de traitement sont hors de notre accès ; nous te dirons quel fournisseur les détient et comment le contacter.

Tu as aussi le droit d’introduire une réclamation auprès d’une autorité de protection des données. En Bulgarie, il s’agit de la Commission pour la protection des données personnelles (cpdp.bg) ; tu peux aussi te plaindre dans le pays de l’UE où tu vis ou travailles (en France, la CNIL).

10. Enfants

Ce site ne s’adresse pas aux enfants. Les métadonnées de requête et le stockage décrits ci-dessus peuvent néanmoins inclure des données personnelles, donc l’absence de système de comptes ne signifie pas qu’aucune donnée personnelle n’est traitée.

11. Sécurité

Le site est servi uniquement en HTTPS, avec une Content-Security-Policy stricte, HTTP Strict Transport Security et l’intégration dans des cadres désactivée. Ne saisis jamais une phrase secrète, une clé privée, un mot de passe ou un code d’authentification dans ce site, ni dans aucun système d’IA. Rien de légitime n’en a jamais besoin, et ce site n’a aucun champ qui les demande.

12. Modifications de cette politique

Les modifications importantes seront indiquées ici avec une nouvelle date en haut. Les changements qui touchent à ce qui quitte ton navigateur seront décrits explicitement plutôt que fondus dans une formulation générale.

13. Contact

Questions, corrections et demandes relatives à la confidentialité : savesavesavesave@tuta.io.

Tout ce qui ne concerne pas tes propres données (une correction factuelle, un bug, une suggestion) est aussi bienvenu publiquement dans le suivi des tickets du projet. L’adresse e-mail ci-dessus est la voie qui ne nécessite pas de compte GitHub, et c’est celle qui fonctionnera toujours.

Cette page décrit le fonctionnement du site. Ce n’est pas un conseil juridique, ni une affirmation de conformité à une loi particulière. Si tu as besoin de cette garantie pour ton propre usage du site, demande conseil de ton côté.