N'importe qui peut promettre la confidentialité. Lucent est conçu de telle façon que l'enfreindre demanderait un effort délibéré — l'architecture n'a tout simplement nulle part où envoyer vos données.
Rien ne quitte votre appareil tant que vous ne l'exportez pas ou ne donnez pas à un modèle une raison de le consulter. Voici la version courte — la politique complète suit ci-dessous, et le code en fait tout autant.
Vos notes résident dans une base de données chiffrée avec SQLCipher ; les pièces jointes sont chiffrées individuellement. Les voies critiques — la dérivation de clé PBKDF2 et AES-256-GCM — tournent en Rust via JNI, avec des solutions de repli Kotlin identiques pour que l'application ne soit jamais prise en otage par une bibliothèque native. Qu'une personne tienne votre téléphone déverrouillé est une chose ; qu'une personne s'empare de vos fichiers ne lui donnera rien d'autre que du bruit.
Il s'agit d'une véritable politique anti-force brute, et non d'une simple prière : des délais d'attente croissants, un compteur persistant qui survit aux redémarrages, une question de sécurité optionnelle, une autodestruction facultative — tandis que l'empreinte digitale sur Android et Windows Hello sur ordinateur se mettent poliment en congé pendant toute la durée du blocage. Trompez-vous trop souvent et l'application cesse purement et simplement de négocier.
Les sauvegardes se résument à un unique fichier .lcb emportant notes, tâches, historique, conversations, pièces jointes et paramètres d'un appareil à l'autre — prévisualisé avant qu'un seul élément ne soit modifié, prêt à s'exécuter automatiquement et protégeable par mot de passe. Une sauvegarde illisible étant un bibelot plutôt qu'une sauvegarde, celle-ci est vérifiée à la sortie et à nouveau à l'entrée.
Intégration au menu de partage : désactivée. Diagnostic : désactivé, et conservé localement lorsqu'il est actif. Les services d'assistance que vous connectez relèvent entièrement de votre choix. La réplication cloud est un module que vous configurez vous-même, via WebDAV — votre serveur, vos règles. Il n'y a nulle part dans cette application de « activé par défaut, enfoui sous trois sous-menus ».
Les modèles cloud ne voient exactement que ce que vous placez sous leurs yeux — rien n'est synchronisé, indexé ou « amélioré » en arrière-plan. Vous préférez le mode ermite complet ? Exécutez un fichier .gguf en local et le réseau peut rester totalement coupé. La seule exception délibérée au chiffrement est l'exportation vers Markdown, Word, PDF ou Excel — un fichier que vous pouvez ouvrir partout ailleurs, ce qui est précisément tout l'intérêt.
Lucent est une application de notes et de tâches pour Android et Windows. Cette politique décrit ce que l'application stocke, ce qu'elle transmet hors de votre appareil, et comment vous contrôlez l'un et l'autre. Elle décrit Lucent tel qu'il est compilé dans ce dépôt.
La suite de ce document détaille chacune de ces affirmations, y compris leurs limites.
Lucent est développé par Jessica Martinez. Toute question relative à cette politique ou au traitement des données par l'application peut être adressée à yuan47578@gmail.com.
Lucent est un logiciel libre publié sous licence MIT. La développeuse n'exploite aucun service collectant ou stockant des données utilisateur, et l'application ne comporte aucun composant serveur.
Tout ce que vous créez dans Lucent réside dans l'espace de stockage privé de l'application sur votre appareil. Cet espace n'est pas accessible aux autres applications ordinaires, et il est supprimé lorsque vous désinstallez l'application ou effacez ses données.
Les éléments stockés comprennent :
La base de données est chiffrée avec SQLCipher. Sur Android, l'application utilise Room sur SQLCipher ; sur Windows, elle utilise SQLite via le pilote JDBC fourni, configuré avec l'algorithme SQLCipher et le même type de clé 256 bits. Les notes, tâches, conversations, historiques et paramètres sont tous conservés dans cette base de données.
Les pièces jointes sont chiffrées séparément. Chaque fichier est écrit dans un conteneur authentifié AES-256-GCM, par blocs de 64 Kio, avant d'atteindre le disque. Le nom de fichier sur le disque est un identifiant aléatoire et non le nom visible dans l'application.
Les sauvegardes sont également toujours chiffrées ; voir la section 6.
La clé de la base de données et la clé des pièces jointes sont des valeurs aléatoires de 256 bits générées sur votre appareil. Elles ne dérivent d'aucune saisie de votre part et ne sont jamais écrites en texte brut sur le disque. Sur Android, elles sont encapsulées par une clé conservée dans le Keystore Android, adossé au matériel lorsque l'appareil le propose, avec une solution de repli locale à la machine si le Keystore est indisponible. Une copie de récupération de chaque clé est conservée afin qu'un problème de Keystore ne détruise pas vos données.
Les clés d'API, mots de passe WebDAV, mots de passe de sauvegarde et identifiants de verrouillage de l'application sont stockés par ce même mécanisme de secrets chiffrés, jamais en texte brut. Votre mot de passe de verrouillage de l'application et votre réponse de sécurité ne sont jamais stockés : seul un hachage salé est conservé, et le mot de passe lui-même ne peut en aucun cas être reconstitué à partir de celui-ci.
Le chiffrement protège ici les données au repos : une copie de la base de données, un fichier joint ou une sauvegarde extraite de l'appareil ne peuvent être lus sans la clé. Il ne protège pas contre une personne utilisant votre appareil déverrouillé avec votre compte de système d'exploitation, et il ne protège pas les données pendant que l'application est ouverte, car le contenu déchiffré réside nécessairement dans la mémoire de l'appareil pendant son affichage ou sa modification.
Lucent ne fait aucune fausse promesse à ce sujet. Si la bibliothèque de chiffrement ne peut être chargée, ou si une base de données ne peut être chiffrée ou déverrouillée, l'application enregistre le fait et le signale plutôt que de prétendre au succès ; les Paramètres proposent une vérification du chiffrement attestant que les valeurs sont correctement scellées et s'ouvrent sans encombre. Si une base de données ne peut être déchiffrée avec la clé stockée, Lucent la met de côté sans la supprimer et vous en avertit, afin que vous puissiez restaurer vos données depuis une sauvegarde.
Les widgets d'écran d'accueil sur Android affichent les titres des notes ou des tâches sur votre lanceur d'applications. Tout ce qu'un widget affiche est visible par quiconque a les yeux sur cet écran. Les widgets sont facultatifs et peuvent être retirés.
Par défaut, rien ne quitte l'appareil. Lucent n'exige aucune connexion réseau pour les notes, tâches, rappels, historiques, pièces jointes, la recherche locale ou l'assistant sur l'appareil.
Précisément, Lucent ne contient aucun SDK d'analyse, aucun SDK publicitaire, aucun service de rapport de plantage et aucun identifiant de suivi. Il n'y a pas de système de compte ni d'empreinte d'appareil transmise où que ce soit. Crash Shield, lorsque vous l'activez, consigne les erreurs interceptées dans un fichier journal local sur l'appareil sans les transmettre. La journalisation de diagnostic fonctionne de la même manière : elle est désactivée par défaut, écrit localement, et n'est envoyée nulle part sauf si vous l'exportez vous-même et choisissez de partager le fichier.
En l'absence de serveur Lucent, la développeuse n'a aucun moyen de lire vos données, ni de les récupérer pour vous.
Chacun des éléments suivants est optionnel, désactivé par défaut et soumis à votre contrôle. Lorsqu'une de ces fonctionnalités est active, les données quittent l'appareil directement depuis l'application vers le tiers que vous avez configuré ; elles ne transitent par aucun service Lucent, puisqu'il n'en existe aucun.
L'assistant en mode cloud utilise une clé d'API fournie par vos soins et un prestataire que vous choisissez. Lucent comprend les formats de requêtes des points de terminaison compatibles OpenAI, Anthropic et Google, et toute adresse compatible OpenAI fonctionne, y compris DeepSeek et les passerelles auto-hébergées. Vous pouvez conserver plusieurs profils de prestataires et basculer entre eux.
Lorsque vous envoyez un message, Lucent émet une requête HTTPS depuis votre appareil vers l'URL de base configurée. Cette requête contient :
Votre clé d'API est transmise à ce prestataire dans l'en-tête d'authentification de la requête. Elle n'est envoyée nulle part ailleurs. Veuillez consulter la politique de confidentialité propre au prestataire choisi pour savoir comment il traite le texte reçu ; ces conditions ne regardent que vous et ce tiers, et Lucent n'a aucune visibilité ni aucun contrôle sur celles-ci.
L'assistant ne peut modifier vos données en douce. Avant d'écrire quoi que ce soit, il vous montre ce qu'il a l'intention de faire, et cette étape de confirmation est active par défaut. Les outils sont facultatifs : le modèle local possède son propre interrupteur d'outils, et l'accès aux outils de l'assistant cloud est un paramètre que vous pouvez désactiver. Désactiver l'un ou l'autre signifie que le modèle peut discuter mais ne peut ni lire ni modifier vos notes et tâches.
La recherche web est désactivée par défaut. Lorsque vous l'activez et que l'assistant juge une recherche nécessaire, Lucent transmet la requête de recherche à un moteur de recherche public. Vous choisissez lequel, ou le laissez en mode Automatique, qui les interroge successivement jusqu'à obtenir une réponse : Bing, DuckDuckGo, Google, Brave, Mojeek, Yandex, Baidu, Sogou, 360 Search et l'API de recherche Wikipédia. Aucune clé d'API de recherche n'est requise et aucun compte n'est créé. Le texte de la requête quitte votre appareil ; les résultats reviennent à l'assistant et sont incorporés dans sa réponse. Le moteur qui répond voit la requête et votre adresse IP. La recherche web nécessite le mode agent et, sur le modèle local, l'interrupteur d'outils ; le mode Blackout la bloque intégralement.
La recherche sémantique de Lucent suit l'assistant utilisé, sans aucun réglage supplémentaire. Lorsque le modèle local est actif, l'indexation reste sur l'appareil et n'est pas implémentée dans la version actuelle, de sorte que rien ne quitte l'appareil. Lorsque le modèle cloud est actif, le texte indexé est envoyé au point de terminaison de plongements vectoriels (embeddings) de votre fournisseur d'IA configuré pour générer chaque vecteur, ce qui signifie que le texte des notes quitte votre appareil. Basculer entre les deux modèles bascule également ce comportement.
La sauvegarde cloud est désactivée par défaut. Si vous l'activez, vous renseignez l'adresse, l'identifiant et le mot de passe d'un service compatible WebDAV auprès duquel vous détenez déjà un compte (comme Nutstore, Nextcloud, Koofr ou tout autre serveur WebDAV). Lucent téléverse vos fichiers de sauvegarde .lcb dans le dossier désigné sur ce serveur, et peut les lister et les télécharger pour une restauration. Les fichiers sont chiffrés avant d'être téléversés ; le service stocke le fichier chiffré, et les identifiants saisis sont envoyés à ce service pour s'authentifier. Le téléversement automatique dans le cloud est un commutateur distinct, également désactivé par défaut.
La vérification automatique des mises à jour est désactivée par défaut. Lorsque vous l'activez ou demandez à Lucent de vérifier, l'application sollicite les informations de dernière version auprès de l'API publique des versions GitHub de ce dépôt et compare les numéros de version. La requête ne contient aucune donnée personnelle en dehors de ce qu'emporte toute requête HTTPS, comme votre adresse IP et un user agent identifiant Lucent. Si une version plus récente existe, Lucent vous la propose ; le programme d'installation ou l'APK n'est téléchargé depuis GitHub que si vous choisissez d'effectuer la mise à jour.
Lucent n'émet rien de son propre chef. Deux fonctionnalités confient des données à d'autres applications, toutes deux restant sous votre contrôle :
Si vous importez un modèle GGUF, l'assistant peut l'exécuter avec llama.cpp directement sur l'appareil. Dans ce mode, rien n'est envoyé nulle part : aucun compte, aucune clé d'API et aucune requête réseau ne sont impliqués dans la génération d'une réponse. Le fichier du modèle reste sur votre appareil, et le modèle est déchargé de la mémoire dès que vous quittez l'application. Les outils locaux dépendent d'un commutateur séparé, désactivé par défaut. L'accélération GPU est facultative et peut être désactivée.
Au-delà des notes et des tâches, l'assistant peut disposer d'une véritable boîte à outils : un dossier d'espace de travail où il peut lire et écrire, des commandes shell, des documents, des plugins et des connexions à des services externes. Chacun de ces éléments dispose d'un interrupteur distinct dans Paramètres → Avancé → Boîte à outils, et les fonctions interagissant hors de votre appareil n'agissent que si vous les activez et, par défaut, vous demandent d'abord confirmation.
sub-agents de l'espace de travail sur votre appareil, et rien n'est envoyé nulle part.Une sauvegarde est un fichier unique .lcb que vous créez. Il peut contenir les notes, tâches, l'historique des versions, les carnets, conversations, pièces jointes, paramètres et clés d'API, et facultativement les polices et modèles locaux importés. Vous choisissez les éléments à inclure ainsi que l'emplacement d'enregistrement du fichier.
Chaque fichier .lcb est chiffré. Il existe deux modes :
Une sauvegarde protégée par mot de passe peut comporter une question et une réponse de sécurité facultatives afin de réinitialiser le mot de passe plus tard. Cette option est désactivée par défaut et ramène la solidité de la sauvegarde au maillon le plus faible entre le mot de passe et la réponse ; choisissez donc une question dont personne d'autre ne connaît la réponse.
Les sauvegardes automatiques, lorsqu'elles sont activées, écrivent dans un dossier de votre choix, conservent le nombre d'exemplaires défini par vous et peuvent également être téléversées vers votre dossier WebDAV configuré. Le fichier de sauvegarde reste le même conteneur chiffré dans tous les cas. L'emplacement de stockage de vos sauvegardes et le nombre de copies conservées relèvent exclusivement de votre décision, tout comme leur suppression.
L'intégration du shell privilégié de Lucent est facultative, désactivée par défaut, et requiert un logiciel ainsi qu'une autorisation extérieurs à Lucent.
Sur Android, l'application peut employer Shizuku pour exécuter des opérations privilégiées lorsque vous avez installé Shizuku, lancé son service et octroyé l'autorisation à Lucent dans le système. Ce mécanisme permet d'accomplir des actions explicitement demandées que les applications ordinaires ne peuvent réaliser seules, comme installer une mise à jour d'application téléchargée. Lucent ne peut ni démarrer Shizuku, ni s'auto-octroyer l'autorisation, et n'accomplit rien par ce biais à moins d'avoir activé l'intégration et consenti l'autorisation. Vous pouvez révoquer cette permission à tout instant dans Shizuku ou dans les paramètres d'Android, et désactiver l'intégration dans Lucent. L'identité privilégiée effective peut être vérifiée dans l'application, qui affiche l'UID obtenu.
Lucent déclare également les autorisations Android ordinaires nécessaires à son fonctionnement, chacune répondant à un but précis ; voir la section 8.
| Autorisation | Pourquoi Lucent la demande |
|---|---|
Accès réseau (Android INTERNET) | Envoi de messages au fournisseur d'assistance configuré, recherche web lorsque vous l'activez, sauvegarde WebDAV lorsque vous l'activez, et vérification des mises à jour lorsque vous l'activez. Rien n'est envoyé sans que l'une de ces fonctionnalités soit active. |
Notifications (Android POST_NOTIFICATIONS) | Affichage des rappels de tâches et de la progression d'un téléchargement, d'une sauvegarde ou d'une génération en cours. |
Alarmes exactes (Android SCHEDULE_EXACT_ALARM) | Déclenchement des rappels de tâches à l'heure précise fixée plutôt que de manière approximative. |
Démarrage au lancement (Android RECEIVE_BOOT_COMPLETED) | Réenregistrement de vos rappels après redémarrage de l'appareil, pour qu'un rappel programmé pour demain subsiste après extinction. |
Service de premier plan (Android FOREGROUND_SERVICE, FOREGROUND_SERVICE_DATA_SYNC) | Maintien en cours d'une sauvegarde, d'un téléchargement ou d'une génération de modèle lorsque l'application passe en arrière-plan, au lieu d'être interrompue en plein vol. |
Déverrouillage biométrique (Android USE_BIOMETRIC ; Windows Hello sous Windows) | Possibilité de déverrouiller l'application par empreinte digitale ou reconnaissance faciale au lieu de saisir le mot de passe du verrou. Facultatif, désactivé par défaut, et employé uniquement pour le déverrouillage local. |
Vibration (Android VIBRATE) | Retour haptique et tactile lors de la frappe. |
Installation de paquets (Android REQUEST_INSTALL_PACKAGES) | Installation d'une mise à jour téléchargée par vos soins via l'installateur du système. |
Autorisation de service Shizuku (Android moe.shizuku.manager.permission.API_V23) | Intégration privilégiée facultative décrite à la section 7. Déclarée uniquement pour permettre l'usage de Shizuku ; sans effet tant que Shizuku n'est pas installé et autorisé. |
Accès à tous les fichiers (Android MANAGE_EXTERNAL_STORAGE) | Facultatif, inactif sans votre accord, servant uniquement à permettre la lecture et l'écriture de fichiers ordinaires dans le dossier d'espace de travail désigné. Sans cela, Lucent cantonne l'espace de travail à son propre stockage. |
Position géographique (Android ACCESS_COARSE_LOCATION, ACCESS_FINE_LOCATION) | Consultée uniquement lorsque l'assistant appelle son outil de localisation, ce qui ne survient que si le contrôle de l'appareil est activé et l'autorisation accordée. Lucent ne vous suit jamais en arrière-plan. |
Lucent ne sollicite aucun accès généralisé à vos fichiers ou à votre stockage, sauf si vous activez la boîte à outils de l'agent et la pointez vers un dossier d'espace de travail, auquel cas l'accès à tous les fichiers permet à ce répertoire unique d'être manipulé comme des fichiers normaux ; vous pouvez le refuser et conserver l'espace de travail dans le stockage interne de Lucent. Partout ailleurs, les fichiers et répertoires sont sélectionnés par vous via le sélecteur de documents du système, et Lucent ne reçoit que l'élément spécifique choisi. Il en va de même pour les polices et modèles : vous les sélectionnez, et ils sont copiés dans l'espace privé de l'application.
La confidentialité dans Lucent repose sur un ensemble d'interrupteurs entièrement entre vos mains, tous situés dans les Paramètres. En voici les principaux :
Lucent conserve vos données sur votre appareil jusqu'à ce que vous les supprimiez. Les notes et tâches effacées rejoignent d'abord la corbeille et sont supprimées définitivement après 30 jours, à moins que vous ne vidiez la corbeille ou ne réinitialisiez toutes les données plus tôt. L'historique des versions n'est conservé que tant que le réglage d'historique correspondant demeure actif, et disparaît avec la note ou la tâche associée.
Pour tout supprimer :
Trois éléments échappent à l'emprise de Lucent, et l'application ne peut les supprimer à votre place :
Si vous souhaitez les voir disparaître également, supprimez les fichiers et faites usage des commandes de suppression propres à ces fournisseurs.
Lucent est une application polyvalente de prise de notes et de gestion de tâches. Elle ne s'adresse pas aux enfants, ne propose aucun système de compte, aucune publicité et aucune fonction sociale, et la développeuse ne recueille aucune information personnelle auprès de quiconque, y compris des enfants. Les données de l'application restent sur l'appareil de la personne qui l'utilise.
Si une future version de Lucent vient à modifier la façon dont les données sont traitées, cette politique sera mise à jour et la date en tête de page changera. Les modifications de fond, c'est-à-dire celles influant sur ce qui quitte votre appareil, seront exposées dans les notes de version de la mise à jour concernée. La version de cette politique qui s'applique à vous est celle livrée avec la version de Lucent que vous utilisez, et son historique complet demeure consultable dans les commits du dépôt.
Les questions, remarques et préoccupations touchant à la vie privée dans Lucent peuvent être transmises à yuan47578@gmail.com.
Développeuse : Jessica Martinez
Copyright © 2026-2027 Jessica Martinez.