Des réponses traçables, pas des noms plausibles

Vie privée

Ton texte de recherche reste hors de la télémétrie automatique

Les nouvelles recherches Explorer conservent ta description dans un fragment d’URL (/fr/explore#q=…), hors de la cible HTTP et du Referer. Tant que ce fragment est présent, Google Analytics reste suspendu même avec ton accord ; Speed Insights retire le fragment et tout ancien paramètre q avant d’envoyer un événement. Speed Insights est une mesure technique distincte qui n'est pas contrôlée par ce consentement de mesure d'audience. Le fragment reste visible dans l’historique, le presse-papiers, les extensions et les scripts same-origin autorisés ; les anciens liens /fr/explore?q=… transmettent encore q au serveur pour compatibilité. Dans le flux guidé Identifier, ta description passe une fois par le stockage de session, puis disparaît à l’ouverture de la recherche guidée. Le classement utilise localement un index immuable ; les Packs sont pré-écrits et leurs octets ne dépendent jamais de ta demande. Avec ton accord, les compteurs first-party du parcours enregistrent uniquement le jalon, l’identité de la release et de Search, la langue de résolution Search (EN/FR), la surface, l’état de résolution, la classe d’écran, la classe de chauffe du runtime en mémoire et une classe de durée propre au jalon. Les résolutions Identifier en ES ou PT-BR sont omises plutôt que réétiquetées. La classe de chauffe est un proxy dans l’instance de page, pas une preuve du cache HTTP ou navigateur. Un reçu signé de courte durée, lié seulement aux dimensions agrégées et à une fenêtre de temps grossière, est exigé avant le jalon de destination puis supprimé avant D1 ; le Worker empêche atomiquement que les activations dépassent les résultats acceptés. Aucun texte de requête, candidat, fiche, identifiant de session ou d’événement, ni horodatage individuel n’entre dans la table de compteurs. Un HMAC anti-abus de courte durée, dérivé de l’adresse fournie par la frontière edge de confiance, est stocké séparément pour la limitation puis purgé ; l’adresse brute n’est pas stockée. Un client automatisé peut encore fabriquer les deux jalons : ces compteurs restent directionnels. Utile, Presque et Pas trouvé n’envoient aucun texte de recherche par défaut. Les anciens clients qui envoient encore une requête bornée la voient expurgée, hachée, puis supprimée avant toute écriture durable. Le sink peut conserver jusqu’à 30 jours un événement pseudonymisé : hashes de requête et de pseudonyme réseau dérivé côté serveur, date, surface, langue, résultat, résolution, durée grossière, candidats et sélection, identifiants de règles et identité du build/de la recherche servi. La requête brute ne peut pas atteindre le stockage durable. Un signal anonyme de sujet confirmé à part ne conserve qu’un hash du texte filtré, 30 jours en UE, et n’est jamais publié automatiquement. L’absence de volume n’est pas une preuve positive. Les agrégats opérateur restent masqués sous cinq pseudonymes réseau ; c’est un seuil de divulgation, pas la preuve de cinq personnes. Un sink configuré n’est pas une garantie déduite de la seule configuration : le feedback reste désactivé tant que les preuves de production n’établissent pas un service HTTPS durable en région UE ; cela n’affecte pas l’atlas.