Les vraies objections, des réponses droites

Uniquement les sœurs et frères admis au grade auquel le document est destiné. Les planches se chiffrent de bout en bout dans le navigateur, avant de partir : le serveur reçoit du texte chiffré, et la clé qui l'ouvre ne lui appartient pas. Nous ne les lisons pas, et qui administre la plateforme non plus : ce n'est pas une promesse, c'est ainsi que c'est construit. Voir la page Sécurité.

À la première connexion, chaque membre définit un code de récupération : si vous le conservez, il vous permet de redéfinir le mot de passe et de retrouver vos clés. La part honnête : si vous avez perdu aussi le code de récupération, vos clés personnelles ne sont pas restaurables : personne, pas même nous, ne peut déchiffrer à votre place. Le secrétaire peut vous réinscrire avec une clé neuve et la loge vous remet de nouveau sa clé, pour relire l'archive selon votre grade ; mais ce que vous aviez chiffré pour vous seul reste illisible. C'est le revers inévitable d'un vrai chiffrement.

La loge est suspendue, pas supprimée. L'accès des membres se bloque sur une page de courtoisie, mais les données et les clés restent intactes : la réactivation est complète et sans pertes, se raviser ne coûte rien. Nous ne faisons jamais d'effacements silencieux : la destruction définitive n'a lieu que si vous la demandez, explicitement.

Rien d'automatique. Il n'y a pas de carte à débiter ni de conversion silencieuse : au bout des quatre-vingt-dix jours, on décide ensemble, avec calme. Les contenus restent chiffrés et lisibles par la seule loge ; si l'on choisit de ne pas poursuivre, on exporte tout et l'on demande la suppression définitive.

Non. L'essai de quatre-vingt-dix jours s'active sans carte bancaire et sans coordonnées de paiement : il n'y a rien qui puisse se déclencher tout seul.

Par une facture annuelle unique au nom de l'association, payable par virement : une redevance par loge, annoncée au mois et facturée une fois l'an, par paliers selon le nombre de membres. Aucun prélèvement récurrent, aucun coût par utilisateur. Les chiffres complets sont sur la page Tarifs.

Pas en cours d'année : la redevance est par loge, jamais par personne. Le palier se vérifie au renouvellement, en en parlant ensemble : aucun comptage intrusif, aucun recalcul surprise parce que quelqu'un est entré ou sorti.

Oui, à tout moment : l'export de l'archive est compris dans la redevance, et chaque membre rouvre son propre périmètre avec son propre mot de passe, sans avoir besoin de nous. Si la loge décide de quitter le service, une fenêtre en lecture seule demeure pour achever l'export ; puis les données sont supprimées définitivement, par destruction des clés. La porte de sortie est décrite sur la page Sécurité.

L'infrastructure est hébergée chez un fournisseur cloud, sur des serveurs dans l'Union européenne ; les sauvegardes chiffrées sont gardées dans une région séparée. Le périmètre exact (fournisseur, région, rétention) est indiqué dans les mentions légales et dans le contrat de service.

Même face à une demande légitime, nous ne pouvons remettre que ce que nous détenons réellement : du texte chiffré et quelques métadonnées (qu'une loge existe, les décomptes, le rythme des tenues). Les clés, nous ne les avons pas (elles vivent sur les appareils de qui appartient à la loge) : le contenu en clair n'est pas en notre possession et nous ne pouvons pas le produire. Les tenues en ligne ne laissent rien à remettre après coup, car elles ne sont pas enregistrées ; et pendant qu'elles se déroulent, avec la discrétion renforcée leur flux est chiffré de bout en bout, de sorte qu'à notre serveur n'arrivent que des enveloppes opaques qu'il ne peut pas ouvrir. Ce qu'impliquent les métadonnées qui restent visibles, nous l'expliquons, sans remise, sur la page Sécurité.

Non. Cotisations, mouvements de caisse et bienfaisance sont chiffrés dans le navigateur de qui les enregistre, comme les planches : le serveur reçoit des boîtes scellées. Soldes et rapport se calculent sur les appareils des membres désignés par la loge ; nous voyons seulement qu'une trésorerie est en usage et le rythme des écritures, jamais des montants, des motifs ou des noms. Et chaque membre voit son propre état de cotisations, pas celui des autres.

Oui. En plus du présentiel, une tenue peut se dérouler en visioconférence, dans une salle virtuelle qui reprend le décor du temple. Elle se programme depuis le calendrier comme une tenue ordinaire, en cochant tenue en ligne, et la salle ouvre peu avant l'heure. L'entrée est gardée, jamais automatique : un Couvreur numérique accueille à la porte et admet ou refuse un par un, car le tuilage reste un acte humain, en temps réel. Les membres entrent depuis le portail d'un simple geste, les invités avec un lien et un code d'invitation. Dans la salle, vous trouvez la vidéo et l'audio en direct, les présents disposés par colonnes et par grade autour de l'Orient, la circulation de la parole, le vote à main levée et le maillet. Aucune tenue n'est enregistrée. Et il n'y a aucun service vidéo tiers : l'infrastructure qui distribue les connexions est la nôtre, sur les mêmes serveurs dans l'Union européenne que le reste du service. Ce que voit notre serveur tant que la séance est en cours, nous le disons ci-dessous, sans remise.

Ici la frontière est désormais la même que pour le reste de l'archive, et il est approprié de le dire avec clarté. Les planches, les tracés et la trésorerie sont chiffrés de bout en bout, et avec la discrétion renforcée le flux audio et vidéo d'une tenue en ligne l'est désormais lui aussi : il part chiffré des appareils des personnes présentes, et notre serveur, celui qui distribue les connexions, n'en achemine que des enveloppes opaques qu'il ne peut pas ouvrir. La clé de la tenue naît et reste sur vos navigateurs, et nous n'enregistrons rien. Restent en revanche visibles les métadonnées de la séance : qui est connecté à cet instant, avec des identités temporaires et sans le nom réel, les horaires et qui prend la parole. Le serveur ne sait pas quelles tenues se déroulent en ligne, car le fait qu'un événement ait une salle, et les coordonnées de la salle, vivent dans la donnée chiffrée de l'événement ; et les noms réels ne voyagent pas à l'entrée, c'est le Couvreur qui les attribue à la porte. Un avertissement honnête : le chiffrement en direct exige un navigateur récent, et sur un navigateur trop ancien ce participant bascule en clair, la salle le déclarant à tous. La frontière tout entière est sur la page Sécurité.

Oui, avec une discipline précise. Les candidatures (signalement, enquête, entretiens, scrutin) vivent dans une aire réservée au seul conseil désigné par la loge, et sont chiffrées comme tout le reste : nous voyons qu'il existe des dossiers et où ils en sont, jamais qui ils concernent. Le dossier ne contient que les champs essentiels ; les issues défavorables et les retraits s'effacent après un délai déclaré, sans listes permanentes. Et quand un candidat est admis, le dossier s'efface de toute façon : son histoire en loge commence à neuf, propre.

Non : il l'alimente. C'est le registre interne de la loge, sans valeur fiscale officielle. Le rapport d'exercice s'exporte depuis le navigateur du trésorier et devient la base des comptes de l'association, qui restent une obligation à part.

Non, et il n'y en a nulle part. Nous n'utilisons aucun modèle d'intelligence artificielle, ni pour le produit ni sur vos données : ce serait d'ailleurs impossible, puisque le serveur ne voit que du texte chiffré. Les outils sont ordinaires et prévisibles.

Un projet indépendant et de petite échelle, géré par qui en tient l'infrastructure ; les coordonnées du titulaire du service figurent dans les mentions légales. Mais c'est précisément le point de l'architecture : votre discrétion ne dépend pas de la confiance que vous nous faites en tant que personnes : elle dépend du fait que nous ne détenons pas les clés. Pas besoin de nous connaître pour le vérifier.