Local par défaut
Reconnaissance Apple sur l’appareil ou Whisper installé sur votre Mac. L’audio est traité sur l’appareil. La transcription cloud existe mais reste un choix soumis à un consentement séparé.
Sécurité vérifiable
Vos mots ne sont pas un produit.
Marcelus privilégie la transcription locale, limite chaque transfert réseau à une action explicite, et vous laisse exporter ou supprimer vos données sans passer par un support.
0enregistrement audio conservé
3modes de conservation locale : toujours, 24 h, jamais
512caractères de contexte au maximum, jamais conservés
92 joursde journal d’audit administratif
Les trois frontières
Ce qui reste, ce qui part, ce que vous contrôlez.
Chaque fonction appartient clairement à l’une de ces catégories.
Réseau sur action explicite
Seul le texte que vous demandez de transformer ou de traduire est envoyé. Les clés des fournisseurs d’IA restent côté serveur et ne transitent jamais par le client.
Conservation choisie
Historique local conservé toujours, limité à 24 heures, ou désactivé. Purge et export disponibles dans les réglages, sans intervention de notre part.
Mesure sans contenu
Les statistiques d’usage restent sur votre Mac. La télémétrie agrégée est désactivée par défaut et ne transporte que des compteurs, des latences et des résultats techniques.
Défense en profondeur
Des limites concrètes, pas une promesse vague.
Les mécanismes ci-dessous sont implémentés dans le produit et vérifiables dans son comportement.
- Sessions de compte stockées dans le Trousseau macOS.
- Rôles propriétaire, administrateur et membre revérifiés côté serveur.
- Synchronisation personnelle versionnée, bornée et isolée par utilisateur et par espace.
- Journaux d’erreur sans transcription, sans jeton, sans secret.
- Modèles locaux distribués par manifeste signé avec contrôle d’intégrité.
- Protection anti-abus par limitation de débit durable côté serveur.
Permissions macOS
Trois autorisations, trois usages précis.
Chaque permission sert à une chose et une seule, et reste révocable dans Réglages Système.
- Microphone : capte la voix uniquement pendant une dictée active.
- Reconnaissance vocale : laisse macOS convertir la parole en texte sur l’appareil.
- Accessibilité : active le raccourci global et l’insertion dans le champ actif. Marcelus ne parcourt pas vos documents et n’enregistre pas vos frappes.
- Surveillance de l’entrée : demandée seulement si vous activez le déclenchement par bouton de souris.
Contexte du champ actif
Une aide à la précision, strictement bornée.
Si vous l’activez, jusqu’à 512 caractères avant et après le curseur peuvent être fournis au moteur de reconnaissance pour désambiguïser un terme.
- Option désactivée par défaut.
- Champs sécurisés — mots de passe notamment — systématiquement exclus.
- Ce contexte n’est jamais conservé ni transmis en dehors du traitement en cours.
Contexte développeur
Le pont éditeur reste un fichier local.
Fichier actif, fichiers ouverts, symboles, diagnostics et branche git servent à mieux écrire les noms propres de votre projet. Rien n’en sort par défaut.
- Envoi cloud soumis à un consentement distinct du consentement de transcription.
- Charge bornée : 20 fichiers, 50 symboles, 10 diagnostics au maximum.
- Une politique d’organisation peut interdire complètement cet envoi.
Gouvernance
Pour les organisations qui doivent en rendre compte.
Un espace de travail ajoute des contrôles administratifs sans centraliser le contenu dicté.
- Politiques d’organisation appliquées localement chez chaque membre.
- Provisioning SCIM 2.0 ; jeton affiché une seule fois et stocké en hash.
- Usage agrégé sur 30 jours, sans transcription ni audio.
- Journal d’audit administratif conservé 92 jours.
Signalement
Une faille à nous signaler ?
Écrivez à security@marcelus.ai avec les étapes de reproduction et l’impact estimé. Ne joignez ni transcription confidentielle, ni jeton, ni clé d’API. Nous accusons réception avant toute publication.
Questions de sécurité.
Marcelus peut-il fonctionner sans aucune connexion réseau ?
Oui. Avec la préférence « Local uniquement » et un modèle Whisper installé, la dictée, l’insertion, le dictionnaire, les extraits et les styles fonctionnent hors ligne. Aucune requête sortante n’est nécessaire.
Qu’est-ce qui est envoyé au backend, exactement ?
Uniquement lors d’une action explicite : le texte à transformer ou à traduire, et — si vous avez activé la transcription cloud — le flux audio de la session en cours, transmis de façon éphémère et jamais stocké. Les journaux applicatifs ne doivent contenir ni transcription, ni jeton, ni secret.
Comment les modèles locaux sont-ils distribués ?
Par un manifeste signé, avec contrôle d’intégrité au téléchargement, et un runtime notarisé. L’état de ces contrôles est visible sur la page d’état du service.
Où sont stockées les sessions de compte ?
Dans le Trousseau macOS. Les rôles propriétaire, administrateur et membre sont revérifiés côté serveur à chaque appel d’API, jamais uniquement dans le client.
Puis-je récupérer ou supprimer mes données ?
Oui, depuis l’application : export des données de compte, purge des données locales, et suppression définitive du compte après saisie d’une confirmation explicite.
Le contexte de mon champ de saisie est-il lu ?
Seulement si vous activez la prise en compte du contexte. Dans ce cas, jusqu’à 512 caractères avant et après le curseur peuvent être fournis au moteur de reconnaissance pour améliorer la précision. Les champs sécurisés sont exclus, et ce contexte n’est jamais conservé.
Transparence opérationnelle
Vérifiez la disponibilité du backend en direct.
La page d’état interroge le contrôle de santé public, sans exposer aucune donnée utilisateur.