Qui peut voir quoi

Vos données sont privées par défaut.

Votre arbre, vos documents et vos sauvegardes vivent dans un espace qui n'appartient qu'à votre compte. Aucun autre compte n'y accède, et rien n'en sort tant que vous n'avez rien partagé. Le site entier est fermé aux moteurs de recherche.

Vous	Tout, sans restriction.
Les personnes que vous invitez	Votre arbre entier, dès leur première connexion — il n'y a pas aujourd'hui de partage partiel entre comptes invités.
Les autres comptes du site	Rien. Chacun a son propre espace, et ne voit que le sien.
Un lien de partage	Une seule branche, en lecture seule, pour une durée limitée — voir plus bas.
Un visiteur non connecté	Rien.

Les actes que vous déposez ne sont jamais servis en direct : leur dossier est fermé par le serveur, et chaque image passe par un contrôle qui exige une session ouverte sur votre espace.

Aucun document ne sort par un lien de partage, jamais — même pour la branche qu'il montre. Les actes déposés ici ne sont pas les nôtres à republier.

Toute personne invitée sur votre espace peut modifier n'importe quelle fiche, pas seulement celles qu'elle a créées. C'est un choix : un arbre de famille se tient à plusieurs, et découper les droits fiche par fiche rendrait le travail impossible.

Ce que cela implique, et il faut le savoir avant d'inviter : n'invitez que des gens en qui vous avez confiance. En contrepartie, rien ne se perd — chaque fiche garde ses états précédents, chaque import est précédé d'une sauvegarde, et une copie de l'arbre est conservée tous les jours.

Seul l'administrateur du site dépose des documents et fait appel à l'IA.

Une invitation	La personne reçoit un lien, crée son compte, et rejoint votre espace : elle voit l'arbre entier et peut y écrire. Une invitation se révoque tant qu'elle n'a pas servi.
Un rattachement d'arbres	Deux espaces fusionnent. Le site ne compare que des empreintes chiffrées — jamais des fiches — pour repérer deux cousins qui s'ignorent ; les noms et les adresses ne sont échangés que si vous acceptez tous les deux.
Un lien de partage	Une page en lecture seule : une personne et ses ascendants, sans compte, sans document. Il expire, les personnes présumées vivantes y sont réduites à leur prénom, et il se révoque d'un clic.
Un livret ou un éventail	Un PDF que vous fabriquez et que vous envoyez vous-même : à partir de là, il vit sa vie hors du site.

Tout ce qui quitte le site — lien de partage, livret, éventail, export GEDCOM — masque les personnes présumées vivantes : nées il y a moins de 100 ans et sans décès connu. Il n'en sort que le prénom.

Une exception, et c'est vous qui la demandez. Un livret et un export GEDCOM peuvent être produits sans ce masque, parce qu'on emporte parfois son propre arbre pour soi. Le partage par lien, lui, ne le lève jamais.

Publier la date de naissance et la commune d'un cousin de trente ans, c'est publier deux des trois réponses aux questions de sécurité de sa banque.

Elles servent à votre arbre, et à rien d'autre : ni publicité, ni revente, ni statistiques envoyées ailleurs. Le site n'appelle qu'un seul service extérieur, et seulement quand l'administrateur le demande : le moteur de lecture qui déchiffre un acte. Ce qui part alors, c'est l'image de l'acte — jamais votre arbre, jamais vos adresses.

L'arbre, les comptes, les transcriptions et les sauvegardes sont chiffrés avant d'être écrits sur le disque.

L'administrateur du serveur peut lire les fichiers du serveur. La clé de chiffrement doit y vivre, puisque le site lit ses données à chaque page : elle protège un fichier emporté — sauvegarde de l'hébergeur qui fuit, disque revendu —, pas quelqu'un qui obtient l'exécution de code sur ce compte. C'est déjà beaucoup ; ce n'est pas une armure.

Un lien de partage est un lien. Qui l'a peut l'ouvrir, et le transmettre. C'est pour cela qu'il expire, qu'il ne montre qu'une branche, et qu'aucun document n'en sort.

Une personne invitée voit tout et peut tout écrire. Il n'y a pas de droits par branche ni par fiche.

Emporter. Votre arbre s'exporte en GEDCOM — le format que lisent Geneanet, Heredis, MyHeritage et les autres — avec ses actes, ses dépôts et ses cotes. Un export JSON donne en plus tout ce que le site conserve de vous. Et tous les 15 jours, votre arbre vous est envoyé par courriel : le jour où ce site n'existerait plus, vous l'aurez toujours.

Effacer. Supprimer votre compte efface votre espace entier — arbre, documents, sauvegardes, transcriptions — depuis la page de votre compte. L'opération demande votre adresse en toutes lettres, et ne s'annule pas.