Questions et journal de tarot : quelles données restent privées ?

Avant d’écrire « je ne sais pas si je dois rester avec lui » dans un champ de journal, vous méritez de savoir où ce texte va atterrir.

Cet article ne vous propose pas un slogan « tout reste chez vous » : il vous donne la méthode pour vérifier vous-même, dans votre navigateur, ce qui est écrit, ce qui pourrait sortir et ce qu’une suppression locale efface réellement.

Cinq classes de données circulent sur une page de tarot interactive : la question que vous formulez, les notes de journal, le résultat du tirage, vos préférences d’affichage et l’état de vos consentements.

Chacune a une sensibilité différente et un chemin différent.

Notre règle éditoriale est ferme sur un point : aucun texte brut de question, de note ou de résultat ne doit se retrouver dans une URL, une mesure d’audience ou une métadonnée.

En revanche, les clés de stockage exactes, les sous-traitants, les points de terminaison réseau et les durées de conservation du produit déployé restent à vérifier avant publication, et nous les affichons comme tels plutôt que de les deviner.

Cette page décrit une méthode d’audit et l’intention de conception d’Arcane Clair. Elle ne constitue pas un conseil juridique et ne vaut pas certificat de conformité. « Local » ne signifie pas secret, chiffré, sauvegardé, ni inaccessible aux scripts de même origine ou aux autres personnes qui utilisent l’appareil. Tant que l’inventaire de déploiement n’a pas été audité par l’éditeur, l’hébergeur et une revue juridique qualifiée, aucune garantie de confidentialité ne peut être affirmée ici.

Question, journal, résultat, préférences et consentement

La question est le champ le plus exposé. Vous y tapez souvent un prénom, une date, une situation professionnelle ou médicale, parfois trois lignes qui suffiraient à vous identifier auprès de quelqu’un qui vous connaît. C’est du texte libre sensible, pas une métadonnée technique.

Les notes de journal appartiennent à la même catégorie, en pire : elles s’accumulent. Une entrée isolée est anodine, quarante entrées datées forment un dossier sur votre vie intime. Leur finalité prévue est étroite - vous permettre de relire vos propres réflexions dans le temps.

Le résultat du tirage (cartes obtenues, position, horodatage) est moins parlant seul, mais il devient sensible dès qu’il voisine la question. « Le Diable » ne dit rien; « Le Diable » collé à une question sur une rupture, si.

Les préférences (affichage, langue, taille de texte, choix d’interface) sont techniques et faiblement identifiantes. L’état de consentement est différent par nature : il doit être conservé pour être opposable, sinon vous ne pouvez ni le prouver ni le retirer.

D’où la règle produit, non négociable, que nous appliquons à l’écriture de ce site : le texte brut d’une question, d’une note ou d’un résultat ne part jamais dans un outil de mesure, ni dans un paramètre d’URL, ni dans un titre de page, ni dans un message d’erreur.

Si un jour vous voyez votre propre phrase apparaître dans la barre d’adresse d’une page de tarot, quelle qu’elle soit, arrêtez-vous là. C’est le signal le plus simple et le plus fiable qu’un champ privé a été traité comme un champ public.

Le RGPD encadre ce raisonnement depuis le 25 mai 2018 (règlement (UE) 2016/679, article 99(2)), et ses principes de limitation des finalités, de minimisation, de transparence et de protection dès la conception (articles 5, 12 et 25) sont exactement les critères par lesquels on juge un champ de journal.

Mémoire du navigateur ou stockage persistant

Tant que vous tapez, votre texte est censé vivre dans la mémoire de l’onglet : en fermant l’onglet, il est censé disparaître. C’est l’intention la plus discrète, et c’est aussi celle qui peut vous faire perdre une entrée si le téléphone se met en veille et que le système recycle la page. Le déclencheur réel de cette persistance reste à vérifier sur le produit déployé, comme indiqué plus loin.

Le stockage persistant, lui, écrit sur le disque de l’appareil. Il survit à la fermeture du navigateur et au redémarrage. C’est ce qui permet de retrouver un journal la semaine suivante, et c’est aussi ce qui crée une trace que quelqu’un d’autre peut ouvrir.

Deux limites comptent plus que la technique elle-même.

D’abord le profil partagé. Le stockage local est attaché au profil du navigateur, pas à vous. Sur le portable familial où tout le monde utilise la même session Chrome ou Firefox, votre journal est à deux clics pour n’importe qui, sans mot de passe, sans manipulation savante.

Ce n’est pas une faille : c’est le fonctionnement normal.

Ensuite la même origine.

Tout ce qui s’exécute sous le même domaine peut lire ces données : le code du site, mais aussi n’importe quel script tiers qu’un éditeur y aurait ajouté. « Stocké en local » ne veut donc pas dire « personne d’autre ne peut le lire ».

Cela veut dire « lisible par ce domaine, sur cet appareil, par cette session de navigateur ».

Le déclencheur d’écriture mérite votre attention : est-ce que le site enregistre à chaque frappe, à la validation, ou seulement quand vous cliquez sur un bouton explicite ? La réponse change tout, parce qu’un enregistrement automatique écrit un brouillon que vous n’avez jamais voulu garder. Pour Arcane Clair, ce déclencheur doit être confirmé sur le produit déployé, clé par clé.

Si votre problème est plutôt le choix du support et le risque de perdre vos notes, c’est un autre sujet : comparer les supports et les risques de perte.

Le parcours réel des données, étape par étape

Ce tableau est le cœur de l’audit.

Il est volontairement inconfortable : les colonnes que l’éditeur ne peut pas encore prouver portent la mention « À vérifier avant publication », et nous préférons cet aveu à une ligne rassurante et fausse.

Classe de données	Action utilisateur	Emplacement de stockage	Finalité	Déclencheur de persistance	Sorties réseau possibles	Statut de consentement	Action de suppression	Limite résiduelle	Source vérifiée
Question (texte libre)	Saisie dans le champ avant tirage	Mémoire de l’onglet en intention; écriture persistante à vérifier	Formuler le tirage, afficher le contexte	À vérifier avant publication (frappe, validation ou bouton explicite)	Aucune en intention; absence à confirmer par inspection réseau et journaux	Hors champ de l’article 82 si rien n’est écrit ni lu sur le terminal; à confirmer	Effacement du champ, puis suppression locale en deux étapes	Captures d’écran, presse-papiers, copies partagées	Plan de site figé §§5.1, 5.4, 5.5, intention non encore auditée
Notes de journal	Rédaction et enregistrement	Stockage local du navigateur en intention; clés exactes non publiées	Relecture personnelle dans le temps	À vérifier avant publication	Aucune en intention; à confirmer	Écriture sur le terminal : analyse par finalité au titre de l’article 82	Suppression locale en deux étapes après aperçu	Sauvegardes d’appareil, exports, profil partagé	Article 82; inventaire de déploiement à vérifier
Résultat du tirage	Tirage puis affichage	Mémoire de l’onglet, persistance optionnelle à vérifier	Afficher et relire le tirage	À vérifier avant publication	Aucune URL publique de résultat en intention; à confirmer	Même analyse par finalité que le journal	Suppression locale	Copies déjà envoyées à un tiers	Plan de site figé §5.4
Préférences d’affichage	Réglage d’interface	Stockage local du navigateur	Restituer votre réglage	Au changement de réglage	Aucune en intention	Nécessité stricte pour un service demandé : plausible, revue de configuration requise	Suppression locale	Réinitialisation de l’interface après suppression	Article 82, exception de stricte nécessité
État de consentement	Choix dans le bandeau	Stockage local du navigateur	Prouver, appliquer et permettre le retrait	À l’enregistrement du choix	Aucune en intention; sous-traitants à inventorier	Conservation nécessaire au respect du choix; qualification à faire valider	Suppression locale (le bandeau reparaîtra)	Traces éventuelles côté serveur si un choix a été transmis	Article 82; RGPD articles 5, 12, 25
Requête HTTP de la page	Chargement de la page	Serveur, CDN, WAF, journaux d’erreur	Servir la page, sécurité, diagnostic	Automatique à chaque requête	Adresse IP, horodatage, agent utilisateur, chemin demandé	Hors consentement terminal, mais traitement de données personnelles au sens du RGPD	Non supprimable par vous depuis le navigateur	Durées de conservation et destinataires : à vérifier avant publication	Plan de site figé; audit hébergeur requis
Mesure d’audience	Navigation	Outil de mesure, sous-traitant non inventorié	Statistiques d’usage	Selon configuration	Événements techniques; jamais de texte brut de question, note ou résultat	Exemption dépendante de la configuration selon les lignes directrices de la CNIL	Retrait via le bandeau; suppression locale de l’état	Événements déjà transmis non révocables	CNIL, mesure d’audience

Exemple annoté : une question suivie à la trace

Prenons une question de test, écrite pour cet article et jamais enregistrée ailleurs : « Est-ce que je quitte mon poste avant décembre ? »

Voici où elle est censée vivre, et surtout tous les endroits où elle ne doit jamais apparaître.

Dans le champ de saisie : présente, en mémoire d’onglet. Normal.
Dans l’URL : interdite. Ni ?question=Est-ce+que+je+quitte... dans la chaîne de requête, ni dans le chemin de route : ces deux parties sont copiées, collées, mises en favori, parfois transmises dans l’en-tête Referer et journalisées par le serveur, le CDN et le pare-feu applicatif. Un fragment #... suit une règle différente : il n’est pas envoyé au serveur ni inclus dans l’en-tête Referer, mais il reste visible dans la barre d’adresse, l’historique et les favoris du navigateur, donc tout aussi interdit pour du texte intime. C’est l’un des pires endroits possibles pour du texte intime.
Dans le corps d’une requête réseau : interdite en intention. Si l’onglet Réseau de votre navigateur montre une requête sortante contenant votre phrase au moment du tirage, l’intention locale n’est pas respectée. À vérifier sur le produit déployé.
Dans un message d’erreur : interdite. Un « Impossible d’enregistrer : Est-ce que je quitte mon poste… » recopie votre texte dans un journal d’erreurs que vous ne contrôlez pas.
Dans une propriété d’événement de mesure : interdite. Un événement peut dire « tirage effectué »; il ne dit pas sur quoi.
Dans les métadonnées de la page : interdite. Ni titre de document, ni balise de description, ni nom d’ancre.
Dans le titre d’un export : à surveiller. Un fichier nommé d’après votre question expose votre question dans le gestionnaire de fichiers et dans toute sauvegarde automatique.

Ce parcours en sept points est celui que nous appliquons quand nous relisons une page. Il ne demande aucune compétence particulière : la barre d’adresse, l’onglet Réseau et l’onglet Console suffisent.

Pour comprendre au passage comment la carte est tirée sans aller-retour serveur : voir comment la carte est choisie dans le navigateur.

Article 82 : examiner chaque lecture ou écriture par finalité

L’article 82 de la loi Informatique et Libertés ne parle pas de cookies. Il parle d’accès à des informations stockées dans votre terminal et d’inscription d’informations dans ce terminal. Toute opération de ce genre exige votre consentement préalable, après information claire sur la finalité.

Deux exceptions seulement, d’après le texte : l’accès ou l’inscription qui a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, et celui strictement nécessaire à la fourniture d’un service de communication en ligne que vous avez expressément demandé.

Retenez la conséquence pratique. Ni le mot « première partie », ni le mot « stockage local », ni l’absence de cookie nommé ne décident du résultat. Le raisonnement se fait finalité par finalité, opération par opération.

Un enregistrement de journal que vous déclenchez volontairement pour retrouver vos notes ne se juge pas comme un identifiant statistique posé au chargement.

C’est aussi pour cela qu’une page ne peut pas se contenter d’annoncer « aucun cookie ».

La formule est vraie au sens étroit et trompeuse au sens utile : les technologies de terminal sont plus larges que les cookies nommés, et le traitement d’infrastructure (adresses IP, journaux) continue d’exister par-dessus.

Sur la mesure d’audience, la CNIL publie des lignes directrices et une liste de conditions pour qu’un outil puisse être exempté de consentement. L’exemption dépend de la configuration réelle : périmètre limité à la production de statistiques anonymes, absence de recoupement, absence de transmission à des tiers, entre autres critères.

Nous ne pouvons donc pas écrire ici qu’Arcane Clair est exempté; nous pouvons écrire que la grille de la CNIL doit être appliquée au déploiement effectif et validée par une revue juridique qualifiée.

Dernier point souvent mal compris : une exemption de consentement au titre de l’article 82 ne supprime pas les obligations du RGPD sur les données personnelles associées. Information, limitation des finalités, minimisation, protection dès la conception (articles 5, 12 et 25) restent dues.

Pour l’identité de l’éditeur, l’hébergeur et l’inventaire des traceurs : vérifier l’éditeur, l’hébergeur et les cookies.

Serveur, CDN, WAF, journaux d’erreur et mesure d’audience

Même sur un site qui ne stocke rien côté serveur, votre visite laisse des traces techniques. Elles ne sont pas suspectes; elles sont simplement réelles, et vous ne pouvez pas les effacer depuis votre navigateur.

Ce que reçoit l’infrastructure, par construction : l’adresse IP, l’horodatage, la méthode et le chemin demandé, l’agent utilisateur, parfois l’en-tête de provenance. Un réseau de diffusion de contenu et un pare-feu applicatif voient la même chose, souvent avant le serveur d’origine. Les journaux d’erreur, eux, conservent le contexte d’un incident.

Six endroits où du texte brut ne doit jamais se glisser :

le chemin de la route (/tirage/est-ce-que-je-quitte-mon-poste/),
la chaîne de requête et le fragment,
les en-têtes personnalisés,
le message d’une exception remontée au journal,
une propriété d’événement de mesure,
un enregistrement de session qui rejouerait la frappe dans les champs privés.

Ce dernier point mérite une phrase de plus.

Un outil qui rejoue les sessions peut capturer ce que vous tapez selon sa configuration; appliqué à un champ de journal intime, il risquerait de transformer une note privée en enregistrement vidéo hébergé chez un sous-traitant.

La position que nous tenons est simple : pas d’enregistrement de session sur des champs privés, point.

Restent les questions que seul l’éditeur peut trancher, et que nous laissons ouvertes : quels sous-traitants et destinataires interviennent, quelles durées de conservation s’appliquent aux journaux, quel schéma d’événements est réellement envoyé, et si des transferts hors Union européenne existent.

Tant que ces réponses ne sont pas documentées, aucune promesse de confidentialité ne tient sur cette page. C’est frustrant à écrire. C’est plus honnête que l’inverse.

Supprimer localement : portée et limites

La suppression locale a une portée testable. Elle a aussi des angles morts, et le deuxième point compte autant que le premier.

L’inspecteur Arcane Clair, tel qu’il est prévu : c’est l’outil que la section « Passez à la vérification » vous invite à ouvrir.

Il fonctionne dans votre navigateur courant, ne s’active que si vous le déclenchez vous-même, et n’affiche que les clés que le site déclare gérer (liste blanche à confirmer par l’éditeur avant mise en production).

Il propose un export facultatif avant toute suppression, exécute la suppression locale en deux étapes, puis relance un contrôle pour vérifier l’état vide et rappelle les limites résiduelles ci-dessous.

Son résultat est un état vérifié de ce navigateur, pas une preuve sur les serveurs, les copies partagées ou la conformité légale.

Algorithme en cinq temps :

Aperçu. Ouvrez l’inspecteur d’Arcane Clair et affichez la liste des clés que le site déclare gérer dans le navigateur courant. Vous voyez ce qui existe avant de décider. La liste blanche des clés en production doit être confirmée par l’éditeur.
Avertissement d’export. Si vous voulez garder vos notes, exportez avant. Un export crée un fichier qui sort du périmètre de la suppression locale : il vit dans vos téléchargements, et sans doute dans la sauvegarde automatique de l’appareil.
Suppression en deux étapes. Demandez la suppression, puis confirmez. Deux étapes, parce qu’un effacement de journal est irréversible et qu’un clic accidentel sur un téléphone arrive vite.
Rechargement et contrôle. Rechargez la page et relancez l’aperçu. Vous devez voir un état vide. Si une clé revient, notez laquelle : c’est soit une réécriture automatique, soit une clé hors périmètre.
Énoncé des limites. Relisez le bloc ci-dessous avant de considérer l’opération comme terminée.

Ce que la suppression locale n’atteint pas :

les captures d’écran, sur le téléphone comme sur l’ordinateur,
les fichiers exportés et téléchargés,
les copies que vous avez envoyées par message, courriel ou messagerie de groupe,
les sauvegardes de navigateur et d’appareil (synchronisation de profil, sauvegarde système),
le presse-papiers et les suggestions apprises par le clavier,
les journaux d’infrastructure et les données déjà transmises à un outil de mesure.

Liste de contrôle d’audit (à faire sur le produit déployé, dans l’ordre) :

Lister les clés présentes dans le stockage du navigateur courant pour ce domaine, et comparer à la liste annoncée par le site.
Ouvrir l’onglet Réseau, taper une question de test, tirer une carte, vérifier qu’aucune requête sortante ne contient le texte.
Relever tous les sous-traitants et destinataires chargés par la page (scripts, polices, images distantes, outil de mesure).
Demander à l’éditeur les durées de conservation des journaux serveur, CDN et pare-feu applicatif.
Demander le schéma d’événements de la mesure d’audience, propriété par propriété.
Tester la suppression et vérifier l’état vide après rechargement, puis après redémarrage du navigateur.
Vérifier qu’aucune URL publique ne contient ni résultat, ni question, ni identifiant de journal.
Vérifier les métadonnées de la page (titre, description) pendant un tirage en cours.

Nous avons appliqué cette liste à des maquettes pendant la préparation du site, pas encore à une installation de production auditée. La distinction est volontaire, et elle vaut pour tout ce guide.

Le cas le plus fréquent n’est pas une attaque : c’est votre conjoint qui ouvre le portable pour chercher une recette et tombe sur un onglet resté ouvert. Sur un profil de navigateur partagé, un journal local n’est protégé par rien. Si l’appareil est commun, la vraie mesure de protection est un profil ou un compte système séparé, pas un réglage sur la page.

La navigation privée réduit les traces persistantes après fermeture de la fenêtre, selon les navigateurs et leurs versions.

Nous ne détaillons pas ici le comportement exact de chacun, parce que cela varie et que nous ne l’avons pas testé de façon systématique : le principe utile est qu’une fenêtre privée sert à ne rien garder, donc à ne pas tenir un journal que vous voulez relire.

Le partage, lui, est une décision, pas un accident. Exporter, faire une capture, montrer l’écran : à chacun de ces gestes, la donnée quitte le périmètre que vous contrôlez et la suppression locale ne pourra plus rien. Une question à vous poser avant d’envoyer une entrée de journal à quelqu’un : est-ce que j’accepte qu’elle existe dans le téléphone d’une autre personne dans deux ans ?

Sur le partage, le contrat de conception est explicite : aucune URL publique de résultat. Un tirage ne doit pas produire un lien partageable qui contiendrait votre question ou votre tirage, parce qu’un lien fuit toujours plus loin qu’on ne l’imagine.

Le choix de partager ou non des données de préférence relève d’un autre article de la série : revenir au guide de confidentialité.

Noindex n’est pas la confidentialité

Un noindex empêche une page d’apparaître dans les résultats de recherche. Il n’empêche personne d’y accéder. Google le dit dans sa documentation sur le contrôle de ce que vous partagez : les directives d’indexation gèrent l’éligibilité à la recherche, pas le contrôle d’accès.

Une page non indexée reste publique pour quiconque connaît son adresse.

La conséquence pour un site de tarot est nette. L’explication publique - cette page, la méthode, les règles - a vocation à être indexée : elle est faite pour être lue. Ce qui doit rester hors des routes publiques et des métadonnées, c’est l’état privé : questions, notes, résultats, identifiants de journal.

Autrement dit, la protection ne vient pas d’une balise. Elle vient de l’endroit où la donnée est écrite. Si un texte intime n’entre jamais dans une URL, dans un titre ni dans une requête sortante, il n’y a rien à cacher aux moteurs.

Si l’inverse se produit, aucune directive robots ne réparera la fuite.

Questions fréquentes

Ma question de tarot est-elle envoyée sur un serveur ? L’intention de conception est non : la question reste dans le navigateur et le tirage se fait côté client. Nous ne pouvons pas encore l’affirmer comme un fait du produit déployé, parce que cela suppose une inspection des requêtes réseau, des journaux serveur et du schéma de mesure d’audience. Faites le test vous-même avec l’onglet Réseau : c’est la vérification la plus directe.

Le journal reste-t-il dans mon navigateur ? Oui dans l’intention : conception locale d’abord, stockage sur votre appareil, pas de compte ni de synchronisation. Les clés de stockage exactes, les déclencheurs d’écriture et l’absence complète de sortie réseau font partie de l’inventaire de déploiement encore à vérifier. Considérez donc le journal comme local et lisible sur cet appareil, pas comme secret.

Comment supprimer mes données locales ? Passez par l’aperçu des clés, exportez si vous voulez garder une copie, puis confirmez la suppression en deux étapes et rechargez pour vérifier l’état vide. La portée réelle sur le produit déployé doit être testée clé par clé. Restent hors de portée : captures d’écran, fichiers exportés, copies partagées, sauvegardes d’appareil, journaux d’infrastructure et données déjà transmises.

Un site sans cookie peut-il quand même traiter des données ? Oui.

L’article 82 vise l’accès et l’inscription d’informations dans votre terminal, quelle que soit la technique, et l’infrastructure traite de toute façon des adresses IP et des horodatages dans ses journaux. « Sans cookie » ne décrit donc pas le flux réel : seul l’audit du flux répond à la question.

Le noindex protège-t-il mes notes ? Non. D’après la documentation de Google Search Central, une directive d’indexation agit sur l’éligibilité à la recherche, pas sur le contrôle d’accès ni sur la confidentialité. Une adresse non indexée reste accessible à qui la possède.

Passez à la vérification

La lecture ne remplace pas le test. Ouvrez l’inspecteur, regardez ce qui est écrit dans votre navigateur en ce moment, exportez si besoin, puis supprimez et contrôlez l’état vide.

Vérifier et supprimer mes données locales

Sources

Loi Informatique et Libertés, article 82 (consentement préalable pour l’accès et l’inscription d’informations dans un terminal, et ses deux exceptions) : Légifrance, https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978
Règlement (UE) 2016/679 (RGPD), articles 5, 12, 25 et 99(2) - principes de licéité et minimisation, transparence, protection dès la conception, applicabilité au 25 mai 2018 : EUR-Lex, https://eur-lex.europa.eu/eli/reg/2016/679/2016-05-04/eng
CNIL, solutions pour les outils de mesure d’audience (conditions d’exemption dépendant de la configuration) : https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience
Google Search Central, Contrôler ce que vous partagez avec Google (frontière entre indexation et contrôle d’accès) : https://developers.google.com/search/docs/crawling-indexing/control-what-you-share?hl=fr
Plan de site figé Arcane Clair, §§5.1, 5.4 et 5.5, et travail de recherche interne : contrat de conception locale d’abord et règle d’absence de texte brut, inventaire de déploiement non résolu à ce jour. Vérification par l’éditeur, l’hébergeur et une revue juridique qualifiée requise.

Dernière mise à jour : 8 août 2026

Cet article décrit une méthode d’audit et une intention de conception, pas un état de conformité vérifié. Il ne constitue pas un conseil juridique. Un stockage dans le navigateur n’est ni secret, ni chiffré, ni sauvegardé, et reste accessible aux scripts de même origine comme aux autres personnes utilisant l’appareil. Une étiquette « première partie » ou « stockage local » n’entraîne aucune exemption automatique de consentement, et une exemption au titre de l’article 82 ne supprime pas les obligations du RGPD sur les données personnelles associées. La suppression locale n’efface ni les exports, ni les captures d’écran, ni les copies partagées, ni les journaux, ni les données déjà transmises. Aucune clé de stockage, aucun sous-traitant, aucun point de terminaison ni aucune durée de conservation n’est affirmé ici sans vérification par l’éditeur et l’hébergeur.