# Vie privée — Quotum

> **Daté du 23 septembre 2026.** Ce fichier est versionné avec le code de l'application, dans
> un dépôt qui n'est pas public : chaque modification y a un commit, un auteur et une date, mais
> cet historique ne t'est pas ouvert. Ce qui suit vaut pour la version `2026.9.18` et les
> suivantes, jusqu'à ce qu'une nouvelle version datée de ce fichier dise autre chose.

Ce document a deux moitiés, et elles ne se lisent pas de la même façon. La première décrit
**ce que l'application fait aujourd'hui** — vérifiable, et démenti par le code le jour où
elle serait fausse. La seconde est un **engagement sur ce que le produit ne deviendra pas** :
elle ne se vérifie pas, elle se tient.

---

## I. Ce que l'application fait aujourd'hui

### Ce qu'elle lit

Quotum ne te demande aucun mot de passe et n'ouvre aucune session. Il relit les identifiants
que les outils en ligne de commande ont déjà posés sur la machine — **et seulement pour les
fournisseurs que tu as armés**. Ils arrivent tous éteints : sur une installation neuve, aucune
de ces sources n'est ouverte.

| Outil | Où l'identifiant est lu |
|---|---|
| Claude | Trousseau, élément `Claude Code-credentials`, par `/usr/bin/security` |
| Warp | Trousseau, éléments `dev.warp.Warp-Stable` et `dev.warp.Warp-Stable.tui` |
| ChatGPT | `~/.codex/auth.json`, ou `$CODEX_HOME/auth.json` |
| Windsurf | `~/.local/share/devin/credentials.toml`, et la base `state.vscdb` de Windsurf ou de Devin |
| Cursor | La base `state.vscdb` de Cursor, clé `cursorAuth/accessToken` |
| Codebuff | `~/.config/manicode/credentials.json` |
| Augment | `~/.augment/session.json` |
| opencode | `~/.local/share/opencode/auth.json`, entrée `opencode-go` |
| Grok | `~/.grok/auth.json`, ou le fichier désigné par `$GROK_AUTH_PATH` / `$GROK_HOME` ; la variable `GROK_DEPLOYMENT_KEY` prime sur le fichier |

Et six autres sources, qui **ne dépendent pas de cet armement** : elles sont lues à chaque
relevé, qu'un fournisseur soit armé ou non, y compris sur une installation neuve. Aucune ne sert
à interroger un fournisseur. Ce sont `~/.claude.json` (l'objet `oauthAccount`, qui nomme le compte connecté sans porter de jeton) ; les fichiers d'adresse et de secret des
proxys locaux — **le secret en est un, d'identifiant** : il est posé dans le chemin de l'adresse
interrogée, et ne circule que sur la boucle locale ; `~/Applications` et le `Local State` de
Chrome ; `ps -axo command`, pour savoir quelles applications tournent ; l'historique de
consommation que Claude Code écrit lui-même (`plan-usage-history.json`) ; et les journaux de
session du CLI Codex (`<CODEX_HOME>/sessions/…/rollout-*.jsonl`), dont seule **la fin** est lue,
à la recherche des en-têtes de quota que le serveur y a laissés.

⚠️ **Ces journaux de session sont les transcriptions de tes conversations.** Nous les ouvrons
pour y chercher un pourcentage, rien n'en sort de la machine — et nous préférons l'écrire ici
plutôt que de le taire au motif qu'aucun jeton n'y figure.

**Le jeton ne fait que transiter.** Il est lu, posé dans l'en-tête d'une requête, et rien
d'autre : il n'est recopié dans aucun fichier, inscrit dans aucun journal, gardé dans aucun
cache. La session réseau est déclarée `ephemeral`, son cache est mis à `nil`, et sa politique
ignore tout cache local.

### Où elle se connecte

Aux interfaces de quota des neuf fournisseurs, et à deux ports de la boucle locale de ta
propre machine. La liste complète des adresses, ligne de code par ligne de code, est sur la
page « Ce que Quotum lit sur ta machine » du site.

Chaque lecteur cherche d'abord son identifiant sur la machine et **ne part sur le réseau que
s'il l'a trouvé**. Sur un ordinateur où un outil n'est pas installé, aucune requête ne part
vers ce fournisseur.

### Ce qui ne part nulle part

Aucune de tes mesures, aucun de tes noms de comptes, aucun de tes jetons ne sont envoyés à
l'éditeur. Il n'y a aucun compte à créer, aucune mesure d'audience, aucun identifiant de
machine, aucun rapport d'incident automatique.

**Une exception, et elle est réelle.** Quotum interroge le flux de mises à jour de l'éditeur
pour savoir s'il existe une version plus récente. Rien d'autre n'y remonte : ni compte, ni
mesure, ni statistique. Écrire « il n'y a pas de serveur de l'éditeur » serait faux, et nous
ne l'écrivons pas.

### La seule chose que l'application écrive

Tout le reste est en lecture. Une seule fonction écrit quelque part : consommer un crédit de
réinitialisation ChatGPT. Elle n'est pas réversible.

Elle a **deux chemins, et aucun ne part tout seul d'un fournisseur que tu n'as pas armé** :
sans consentement de mesure, aucun quota n'est relevé, et rien ne peut conclure qu'un compte
est à sec.

- **À la main**, depuis le tiroir d'un compte : ce que la dépense coûte est écrit avant qu'elle
  soit proposée, et rien ne part sans une seconde confirmation.
- **Sans demander**, si tu l'as armé : ce réglage est **éteint par défaut**, il ne s'arme
  qu'après un avertissement, et chaque réinitialisation dépensée t'est annoncée par une
  notification.

### Où vivent tes réglages

Dans les préférences de l'application, sur ta machine. Ils ne sont synchronisés nulle part et
ne quittent pas l'ordinateur.

---

## Le site, qui n'est pas l'application

Tout ce qui précède décrit l'**application**. Le **site** `quotum.app` est un autre objet, et il
comporte, lui, une mesure d'audience.

Il est hébergé par **Cloudflare, Inc.** (101 Townsend St, San Francisco, CA 94107, États-Unis),
qui compte ses visites avec **Cloudflare Web Analytics**, pour notre compte :

- **aucun cookie**, aucun autre stockage dans le navigateur, **aucun identifiant persistant** :
  l'outil ne reconnaît pas un visiteur d'une visite à l'autre ;
- ce qui est mesuré : des pages vues, des visites et des temps de chargement, **agrégés** par
  page, site référent, pays, navigateur, système et type d'appareil. Nous ne voyons que ces
  totaux ;
- Cloudflare est une société américaine. D'après sa politique de confidentialité, les transferts
  de données hors de l'Union européenne qu'elle opère reposent sur sa certification au Data
  Privacy Framework UE–États-Unis et, à défaut, sur des clauses contractuelles types.

Comme tout hébergeur, Cloudflare reçoit aussi l'adresse IP du visiteur pour lui servir les
pages. En dehors du script de mesure de Cloudflare, le site ne charge rien depuis un tiers :
ni police, ni script, ni image.

---

## II. Ce que le produit ne deviendra pas

Ces quatre engagements n'ont pas de date de fin.

### Jamais d'abonnement

Quotum est vendu une fois. Le prix payé ouvre le droit d'utiliser l'application sans limite de
durée. Il n'y aura pas de bascule vers un abonnement, ni de fonction déjà achetée qui se
mettrait un jour derrière un paiement récurrent.

*Ce que cet engagement ne dit pas :* une version majeure ultérieure, si elle existe un jour,
pourra être un produit payant distinct. Ce qui est promis ici, c'est que **ce que tu as acheté
reste à toi**, pas que tout ce qui sera écrit ensuite te revienne gratuitement.

### Jamais de mesure d'audience ajoutée après coup

Aucune télémétrie, aucun traceur, aucun identifiant de machine, aucun rapport d'usage — ni
aujourd'hui, ni dans une version ultérieure qui l'introduirait discrètement.

**Et si cet engagement changeait**, il changerait sous un **numéro de version majeure
différent**, avec une nouvelle version datée de ce fichier. Une version qui succède à celle-ci
sans changer de majeure ne peut pas avoir changé cela.

### Si le produit est vendu ou arrêté

La dernière version publiée reste **téléchargeable et utilisable**. Elle ne cesse pas de
fonctionner parce que l'éditeur s'arrête : son fonctionnement ne dépend d'aucun service de
l'éditeur, hormis la vérification de mise à jour, dont l'absence de réponse ne bloque rien.

### Ce que nous ne demanderons jamais

Un jeton, une clé d'API, le contenu d'un fichier d'identifiants. Aucun problème de Quotum ne
se diagnostique avec. Si une réponse de support t'en réclamait un, elle ne viendrait pas de
nous.

---

## Contact

Pour toute question sur ce document : contact@quotum.app.

Le traitement des données de facturation dépendra de la plateforme de paiement, qui n'est pas
encore arrêtée. Il sera décrit ici, dans une nouvelle version datée de ce fichier, à
l'ouverture de la vente.