La première protection de vos documents, c'est qu'ils sont lus sur votre ordinateur, Mac, Windows ou Linux, par un modèle installé dessus. Voici ce que fait l'app pour cela, ce qui sort de l'ordinateur et quand, ses limites, et de quoi le contrôler vous-même.
Dernière mise à jour : 5 octobre 2026
Ils sont lus et indexés sur place, par le modèle installé sur votre ordinateur, pas par un service d'IA en ligne ; dans une conversation gardée sur votre compte, le texte utilisé pour une réponse est conservé avec elle, chiffré de bout en bout depuis la version 0.13.20 (bêta).
Le serveur intégré à l'app n'écoute que cet ordinateur tant que vous ne cochez pas « Laisser mes autres appareils joindre cet ordinateur » ; ensuite, seuls les appareils qui saisissent son code d'appairage entrent, et leurs échanges sont scellés. Le moteur des modèles, lui, n'écoute jamais que cet ordinateur, avec une nouvelle clé à chaque lancement.
Sur Mac, l'app est notarisée par Apple, et macOS n'installe qu'une mise à jour signée par l'éditeur de Twoody ; sous Windows, l'installateur et ses mises à jour sont signés par Osmove. L'app vérifie à son lancement et la nuit s'il existe une nouvelle version, sans identifiant de votre ordinateur, et vous demande avant de l'installer. Sous Linux, vous installez vous-même les nouvelles versions.
Un modèle installé depuis Twoody est téléchargé depuis Hugging Face, puis son empreinte (SHA-256) est vérifiée avant qu'il serve.
Twoody Code travaille dans le dossier que vous ouvrez. Par défaut, il demande avant de modifier un fichier ou de lancer une commande ; en mode « Auto », il applique ses modifications de fichiers sans demander, mais une commande attend toujours votre accord. Le piloter depuis l'iPhone reste désactivé tant que vous ne l'activez pas.
Elles sont dans le dossier de données de Twoody, dans votre compte utilisateur ; sur Mac, il n'est lisible que par votre compte macOS. Depuis la version 0.13.99, Twoody chiffre sa base (conversations, mémoires, index des documents) et les jetons des connecteurs, avec une clé gardée par le trousseau du système ; sous Linux sans trousseau, la base reste en clair. Les modèles et vos documents ne sont pas chiffrés par Twoody : chiffrez votre disque, avec FileVault sur Mac, BitLocker sous Windows ou LUKS sous Linux.
Selon ce que vous activez. La politique de confidentialité détaille tout ce que Twoody traite, et pourquoi.
| Quoi | Vers où | Quand |
|---|---|---|
| Les diagnostics techniques de la bêta : des mesures sur les réponses (modèle, durées, tokens, erreurs), les versions de l'app et du système, et les rapports de plantage ; jamais une question, une réponse, un document ni un nom de fichier | twoody.com : votre compte s'il est relié, sinon sous un numéro tiré au hasard par votre installation | Pendant la bêta, par défaut, toutes les 15 minutes ; se désactive dans les Réglages (« Partager des diagnostics techniques avec twoody.com ») |
| La recherche de mises à jour : un petit fichier lu, sans identifiant de votre ordinateur | downloads.twoody.com | Au lancement et la nuit ; se désactive dans les Réglages |
| Le téléchargement d'un modèle | huggingface.co | Quand vous installez un modèle |
| Le téléchargement du modèle de voix (whisper.cpp) | huggingface.co | La première fois qu'il sert : sous Windows et Linux, au premier appui sur le micro |
| Le téléchargement de MLX : un Python à lui et les paquets de MLX, vérifiés par leur empreinte | github.com, pypi.org et files.pythonhosted.org | Seulement si vous installez MLX, sur un Mac à puce Apple |
| Votre recherche, puis la lecture des pages trouvées | DuckDuckGo par défaut, Brave ou votre serveur SearXNG, puis les sites trouvés | Seulement si vous activez la recherche web |
| Le compte en ligne, avec les conversations que vous y gardez | twoody.com | Seulement si vous vous connectez à un compte, facultatif ; les conversations privées restent sur l'ordinateur |
| Vos échanges avec vos autres appareils, scellés de bout en bout | Le relais de votre compte, sur twoody.com | Seulement avec un compte, si vous cochez « Joignable hors de chez moi » ; le relais n'a pas les clés pour les lire |
| Ce qu'un outil d'un connecteur reçoit (les arguments affichés) | Le service du connecteur que vous avez ajouté (Notion, GitHub, Linear…) | Seulement si vous ajoutez un connecteur, à chaque appel que vous autorisez (ou « Toujours autoriser » pour cet outil) |
| Vos commandes de la maison (allumer, éteindre, lire un état) | Votre Home Assistant, à l'adresse que vous donnez | Seulement si vous activez la capacité Maison |
| La connexion Microsoft (agenda et contacts Outlook / Microsoft 365), puis son renouvellement | login.microsoftonline.com | Seulement si vous reliez un compte Microsoft, à la connexion puis environ une fois par heure tant que la capacité concernée est activée |
| La lecture de votre agenda et de vos contacts Outlook / Microsoft 365 | graph.microsoft.com | Seulement si vous reliez un compte Microsoft dans Agenda ou Contacts, tant que la capacité est activée (toutes les 15 minutes) |
Votre iPhone qui interroge votre ordinateur, un ordinateur qui en interroge un autre, une personne de votre foyer à qui vous prêtez votre ordinateur : ces échanges sont scellés par l'appareil qui les envoie, et seul l'appareil qui les reçoit peut les ouvrir.
HTTPS protège un message entre votre appareil et le serveur qui le reçoit, puis ce serveur le lit en clair. Hors de chez vous, vos appareils se joignent par le relais du compte Twoody, et par l'hébergeur et le réseau qui le portent : avec HTTPS seul, eux pourraient lire vos questions. Twoody les scelle donc avec des clés que seuls vos appareils possèdent. Le relais voit que vos appareils se parlent, quand et combien ; il n'a pas les clés pour lire ce qu'ils se disent.
Un téléphone ou un autre ordinateur ne rejoint le vôtre qu'avec un code affiché par l'ordinateur lui-même. Avant d'ajouter un ordinateur à votre compte, Twoody vous montre son nom, son système et son empreinte, à comparer avec ce qu'il affiche : si quelque chose diffère, ne l'ajoutez pas. Un téléphone qui demande à joindre votre ordinateur attend votre accord, donné sur l'ordinateur.
Un ordinateur ajouté à votre compte ne reçoit que la conversation : ni vos mémoires, ni vos contacts, ni votre calendrier, ni vos documents, tant que vous ne cochez pas, pour lui seul, « Faire confiance à cet ordinateur » (Appareils). Les ordinateurs que d'autres personnes vous partagent ne sont jamais choisis automatiquement. Un ordinateur sans écran relié au compte y envoie son état — ses modèles, sa charge, sa vitesse — pour que vos appareils sachent où envoyer une question.
Vous n'avez pas à nous croire sur parole. Trois contrôles, à la portée de tout le monde.
Une fois le modèle installé, déconnectez votre ordinateur d'Internet : Twoody continue de répondre et de lire vos documents. Ce qui passe par Internet s'arrête : la recherche web, les connecteurs en ligne, le compte.
Un pare-feu applicatif montre chaque connexion qu'une app ouvre : LuLu (gratuit, d'Objective-See) ou Little Snitch sur Mac, OpenSnitch sous Linux ; sous Windows, l'onglet Réseau du Moniteur de ressources les liste. Vous y retrouverez celles du tableau ci-dessus, selon ce que vous avez activé, et celles que décrit la politique de confidentialité.
Sur Mac, dans le Terminal, la commande ci-dessous doit répondre « accepted » et « Notarized Developer ID » : l'app est bien celle d'Osmove, vérifiée par Apple. Installée avant la version 0.11.5, elle s'appelle peut-être encore « Twoody Desktop.app ». Sous Windows, les propriétés de l'installateur, onglet « Signatures numériques », doivent nommer Osmove.
Twoody
spctl -a -vv /Applications/Twoody.app
Conversations, mémoires, index des documents et modèles sont dans le dossier de données de Twoody : ~/Library/Application Support/twoody-desktop sur Mac, %APPDATA%\twoody-desktop sous Windows, ~/.config/twoody-desktop sous Linux, dans votre compte utilisateur. Twoody n'en fait pas de sauvegarde de son côté : si vous sauvegardez votre ordinateur, la sauvegarde les contient, alors chiffrez-la. Les conversations gardées sur votre compte facultatif sont aussi sur le compte. Pour tout effacer, suivez ces deux étapes.
Twoody est gratuit, pour un usage personnel comme professionnel. Les modèles gardent leur propre licence (Apache 2.0 pour Qwen3.5) et le moteur llama.cpp est sous licence MIT : toutes les licences sont dans Réglages › À propos. Le détail est dans les conditions d'utilisation.
Twoody n'en a pas besoin. Le compte Twoody en ligne est facultatif et gratuit : il relie vos appareils, et un compte gratuit n'utilise que les modèles de vos ordinateurs. Depuis la version 0.13.20, les nouvelles conversations que vous y gardez sont synchronisées chiffrées de bout en bout (bêta) : vos appareils partagent une clé, et Osmove ne détient aucune clé permettant de lire cet historique chiffré. Une conversation gardée sur le compte avant cet historique chiffré — avec le texte de ce que vous y joignez et des passages que Twoody lit pour elle — y reste lisible. Les modèles du cloud (ChatGPT, Claude) ne sont proposés qu'aux personnes pour qui Osmove les active : signalés comme tels, ils ne reçoivent que la conversation, qui passe alors en clair par le compte. Il est hébergé chez Heroku (Salesforce), dans sa région Europe (Irlande), derrière Cloudflare. Ce que fait le compte de vos données est décrit dans sa propre politique.
Écrivez à support@twoody.com, avec « Sécurité » dans l'objet et de quoi reproduire le problème, et laissez-nous le temps de le corriger avant de le rendre public.
support@twoody.com