Most software collects everything it can and promises to be careful with it. This one was built the other way round, and that decision came first, before a single screen was drawn.
Every company says it. It is a statement about intentions, and intentions change when a company is sold, subpoenaed, or short of money.
A veteran writing about the worst years of their life should not have to rely on our intentions.
So the question we started from was not "how do we protect this data." It was
"how do we arrange things so there is nothing to protect."
The test everything gets held to.
Can we describe it as a thing the software does, rather than a thing we promise?
"The server writes no record of your claim" is checkable, and a test fails the build if a file changes. "We would never look at it" is a sentence anyone can type.
If a claim on this site cannot be written the first way, it does not go on the site.
None of these were free. Here is what was given up for each.
The words you write go to be processed and come back. Nothing is stored at our end afterwards. There is no database row with your narrative in it, because the code that would have written one was removed.
What it cost:
we cannot help you recover anything, we cannot look at your claim to work out what went wrong, and we cannot learn from your writing to improve the product. Every one of those would have been useful to us.
Everything you keep is sealed on your own device with a key made from your recovery phrase. It lives on your device and, if you want, in your own cloud account.
No part of the app contains code that sends the key, or the sealed contents, to us.
What it cost:
if you lose your phrase, nobody can get it back, and we have to say so plainly instead of offering a comforting reset link.
No identifying details. Government-issued identifiers create a risk that helps you not at all.
What it cost:
signing in still needs an email address, so the claim is "we do not ask for your name," not "we know nothing." We would rather be exact than sound better.
There are two options today, and a third is coming.
Nothing is sent until you choose one.
One keeps everything in Canada on a lighter model. The other is more capable and runs in the United States. The choice screen says which is which, including that the Canadian one can get details wrong.
What it cost:
a choice screen is friction, and admitting our own Canadian option is weaker costs us the easy marketing line. The alternative was picking for you and not mentioning it.
Crisis numbers are free at every level, forever, with or without an account.
What it cost:
the most compelling upgrade prompts in the product are the ones we will never show.
Canadian privacy law, and Quebec's Law 25 in particular, is stronger than most. Building here means those rules apply to us rather than being something we opted into.
But
"Canadian" is not a magic word
, and it gets used as one. The honest version is narrower: our servers are in Canada, and the Everyday option keeps your words here too.
Balanced runs in the United States. The screen where you choose says so, and we ask before your first message goes there.
This page would be worth less if it only listed the good decisions.
We would rather look unfinished than sound finished.
If you find a claim here that is not a description of something the software does, tell us. That is a defect, and it gets treated like one.
La plupart des logiciels collectent tout ce qu'ils peuvent et promettent d'en prendre soin. Celui-ci a été conçu à l'inverse, et cette décision est venue en premier, avant même qu'un seul écran ne soit dessiné.
Toutes les entreprises le disent. C'est une déclaration d'intentions, et les intentions changent quand une entreprise est vendue, assignée en justice, ou à court d'argent.
Un vétéran qui écrit sur les pires années de sa vie ne devrait pas avoir à se fier à nos intentions.
La question de départ n'était donc pas « comment protégeons-nous ces données ». C'était
« comment organisons-nous les choses pour qu'il n'y ait rien à protéger ».
Le test auquel tout est soumis.
Pouvons-nous le décrire comme une chose que le logiciel fait, plutôt qu'une chose que nous promettons?
« Le serveur n'écrit aucun registre de votre demande » est vérifiable, et un test fait échouer la build si un fichier change. « Nous ne le regarderions jamais » est une phrase que n'importe qui peut taper.
Si une affirmation sur ce site ne peut pas être formulée de la première façon, elle ne figure pas sur le site.
Aucune de ces décisions n'était gratuite. Voici ce à quoi nous avons renoncé pour chacune.
Les mots que vous écrivez sont envoyés pour être traités, puis reviennent. Rien n'est stocké de notre côté par la suite. Il n'existe aucune ligne de base de données contenant votre récit, car le code qui en aurait écrit une a été retiré.
Ce que ça a coûté :
nous ne pouvons rien vous aider à récupérer, nous ne pouvons pas consulter votre demande pour comprendre ce qui n'a pas fonctionné, et nous ne pouvons pas apprendre de vos écrits pour améliorer le produit. Chacune de ces choses nous aurait été utile.
Tout ce que vous gardez est scellé sur votre propre appareil avec une clé créée à partir de votre phrase de récupération. Il vit sur votre appareil et, si vous le voulez, dans votre propre compte infonuagique.
Aucune partie de l'application ne contient de code qui nous envoie la clé, ou le contenu scellé.
Ce que ça a coûté :
si vous perdez votre phrase, personne ne peut la récupérer, et nous devons le dire clairement plutôt que d'offrir un lien de réinitialisation rassurant.
Aucun détail d'identification. Les identifiants émis par le gouvernement créent un risque qui ne vous aide en rien.
Ce que ça a coûté :
la connexion nécessite quand même une adresse courriel, alors l'affirmation est « nous ne demandons pas votre nom », pas « nous ne savons rien ». Nous préférons être exacts plutôt que de paraître meilleurs.
Il y a deux options aujourd'hui, et une troisième s'en vient.
Rien n'est envoyé avant que vous en choisissiez une.
L'une garde tout au Canada, avec un modèle plus léger. L'autre est plus performante et fonctionne aux États-Unis. L'écran de choix indique laquelle est laquelle, y compris que l'option canadienne peut se tromper sur des détails.
Ce que ça a coûté :
un écran de choix crée de la friction, et admettre que notre propre option canadienne est moins puissante nous prive d'un argument marketing facile. L'alternative aurait été de choisir à votre place sans le mentionner.
Les numéros de crise sont gratuits à tous les niveaux, pour toujours, avec ou sans compte.
Ce que ça a coûté :
les invites de mise à niveau les plus convaincantes du produit sont celles que nous ne montrerons jamais.
La loi canadienne sur la protection de la vie privée, et la Loi 25 du Québec en particulier, est plus stricte que la plupart. Construire ici signifie que ces règles s'appliquent à nous plutôt que d'être quelque chose que nous avons choisi d'adopter.
Mais
« Canadien » n'est pas un mot magique
, et on l'utilise souvent ainsi. La version honnête est plus étroite : nos serveurs sont au Canada, et l'option Quotidien garde aussi vos mots ici.
Équilibré fonctionne aux États-Unis. L'écran de choix le dit, et nous vous le demandons avant que votre premier message y soit envoyé.
Cette page vaudrait moins si elle ne présentait que les bonnes décisions.
Nous préférons avoir l'air inachevé que de sonner fini.
Si vous trouvez ici une affirmation qui ne décrit pas quelque chose que le logiciel fait, dites-le-nous. C'est une défaillance, et elle sera traitée comme telle.