Ce qui est collecté
Ta réponse (une note de 1 à 5, ou de 0 à 10 pour l'eNPS trimestriel, que ton organisation peut désactiver), la semaine de la vague, ton organisation, et les segments que ton organisation a définis pour regrouper les résultats : ton équipe, ton rattachement hiérarchique (la chaîne des managers au-dessus de toi, dont les périmètres regroupent ta réponse), et éventuellement d'autres axes qu'elle a créés (par exemple un site ou une tranche d'ancienneté). Pas de position précise, pas d'horodatage affiché. Un seul texte libre, FACULTATIF : le commentaire anonyme que tu peux laisser après une note basse (voir « Si ta semaine s'est mal passée »). Il n'est RATTACHÉ à rien : ni ton compte, ni l'heure, ni ton équipe, ni ta note ; la base sait que tu as commenté, jamais quoi. C'est pourquoi il ne peut ni t'être rendu ni être effacé à ta demande, et il n'apparaît pas dans l'export de tes données. Et un contenu qui te désigne te désigne, quoi que Kwoji fasse. Chaque segment est figé avec ta réponse au moment du vote et jamais relu ensuite : c'est précisément ce qui garantit que changer d'équipe, de manager, de site ou d'ancienneté plus tard ne peut pas révéler une réponse passée. Les segments ne servent qu'à regrouper les résultats, toujours au-dessus du seuil d'anonymat.
Ce qui n'est jamais montré, à personne
Une réponse individuelle. Il n'existe aucun écran « détail par personne » : ni pour ton manager, ni pour les RH, ni pour le propriétaire de l'organisation. Pendant la vague, ta réponse est enregistrée avec ton compte : il le faut pour t'empêcher de voter deux fois et pour te rendre tes propres réponses si tu demandes tes données. Kwoji sait donc qui a répondu, et s'en sert pour ne compter qu'une réponse par personne et, si ton organisation l'active, pour relancer par e-mail les seules personnes qui n'ont pas répondu à la vague ouverte (le jeudi, une fois par vague ; le lien « Ne plus recevoir les e-mails Pulse » l'arrête). Ton organisation ne l'apprend jamais : elle ne sait pas qui reçoit cette relance. Sept jours après la clôture d'une vague, ta réponse n'est plus rattachée à ton compte (voir « La rétention »). D'ici là, ce lien ne ressort nulle part : aucun écran, aucune interface de programmation, aucun export demandé par quelqu'un d'autre ne permet de savoir qui a répondu quoi. Seules sortent des moyennes calculées sur un nombre minimal de réponses (le seuil d'anonymat, voir plus bas), et, pour l'administration seulement, les commentaires anonymes que certains choisissent de laisser, qui ne portent ni nom ni groupe. Si ton organisation l'active (c'est coupé par défaut) et qu'elle est au palier payant, ton manager peut lire dans son espace Cohésion, section Pulse, la moyenne de ses collaborateurs directs, ou celle de tous ses collaborateurs (directs et indirects), sans sa propre réponse : elle ne s'affiche qu'une fois la vague close et seulement si assez d'autres personnes ont répondu pour atteindre le seuil, jamais découpée par sous-groupe, et jamais le nombre de réponses tant qu'il est sous ce seuil. L'administration de ton organisation lit, manager par manager, exactement le même groupe, lui aussi sans la réponse du manager, et rien de plus. Cette règle est appliquée dans la base de données, pas seulement dans l'interface. Et si ton organisation est au palier gratuit, elle ne lit rien de plus que le nombre de réponses reçues : aucune moyenne, aucun score, aucune répartition par groupe. Un décompte ne dit pas ce que quelqu'un a répondu.
Le seuil d'anonymat
Aucun résultat ne s'affiche en dessous d'un nombre minimal de réponses, le seuil d'anonymat : 5 réponses par défaut. Ton organisation peut le fixer à 4 ou à 3, jamais plus bas (la base de données refuse tout seuil sous 3), et seul le propriétaire du compte peut le changer. Un seuil abaissé ne vaut que pour les vagues suivantes, jamais pour les réponses déjà données : elles restent protégées par le seuil sous lequel tu les as données. Un seuil remonté, lui, s'applique tout de suite à toutes les vagues. Le seuil de ton organisation est indiqué dans l'app : depuis ta carte de vote, le lien « Comment c'est protégé ? » dit celui qui vaut pour la vague en cours. Ce seuil s'applique au niveau de l'organisation entière comme d'un groupe (équipe, site, ancienneté ou tout autre axe). Un groupe trop petit n'a jamais de chiffre à lui : il est regroupé avec d'autres, et si ce regroupement reste sous le seuil, on masque aussi le groupe voisin le plus petit jusqu'à ce que ce qui est caché atteigne le seuil. Personne ne peut donc déduire une réponse en recoupant les moyennes. Un manager lit ses collaborateurs sans sa propre réponse, et toujours sur au moins autant d'autres personnes que le seuil. Quand deux groupes sont presque les mêmes personnes (une équipe et les collaborateurs d'un manager, par exemple), un seul des deux s'affiche : comparer les deux moyennes permettrait sinon de retrouver la note de quelques personnes. Cette protection contre les comparaisons entre groupes reste active quel que soit le seuil. Elle vaut pour tout ce qui s'affiche, à l'administration comme à chaque manager, et l'écran dit quel groupe n'est pas affiché, et pourquoi. Chaque moyenne porte ainsi sur au moins autant de personnes que le seuil, et aucune comparaison entre deux groupes ne permet de descendre en dessous. Enfin, aucun résultat ne s'affiche tant que la vague est ouverte : l'organisation voit le nombre de réponses arriver, jamais la moyenne bouger, et les résultats n'apparaissent qu'après la clôture du vendredi 18 h. Une moyenne qu'on regarde changer réponse après réponse se soustrait. Les signaux « Où agir cette semaine », que lisent l'administration et chaque manager pour son périmètre, ne portent que sur ces chiffres déjà affichés : une moyenne publiée qui baisse, un groupe durablement sous la moyenne, ou un groupe publié d'habitude qui passe sous le seuil, sans jamais dire combien, et, après une vague eNPS, un eNPS publié négatif ou en forte baisse. Ils ne révèlent rien de plus que l'écran. Le vendredi après la clôture, l'administrateur désigné pour suivre une équipe peut recevoir par e-mail le nom des signaux de cette équipe, sans aucun chiffre ni commentaire.
La rétention : 6 mois
Sept jours après la clôture d'une vague, ta réponse n'est plus rattachée à ton compte : Kwoji ne garde que la note et les groupes auxquels tu appartenais au moment du vote, et elle reste dans les moyennes. L'heure exacte de ta réponse est effacée en même temps : il ne reste que l'heure ronde. Ces sept jours ne servent qu'à corriger une erreur si quelqu'un en signale une. L'export de tes données ne rend donc que tes réponses encore rattachées (la vague ouverte, et celles closes depuis moins de sept jours) : il ne peut pas rendre ce qui n'est plus rattaché à ton compte. Les réponses sont ensuite supprimées 6 mois après la vague, et les commentaires anonymes avec elles. Rien n'est conservé à côté : les moyennes hebdomadaires et les scores eNPS sont recalculés à chaque affichage depuis les réponses encore présentes, et la courbe de l'administration, comme celle d'un manager, ne montre que les 12 dernières vagues. Répondre ne rapporte aucun point et n'entre dans aucun classement. Si tu supprimes ton compte Kwoji, tes réponses restent dans les moyennes mais en sont détachées aussitôt, sans attendre les sept jours. C'est ce qui protège les autres, et toi la semaine d'après : si ta réponse disparaissait, chaque vague perdrait exactement une voix, et la différence des moyennes dirait ce que tu avais répondu. Les sauvegardes techniques, conservées 30 jours, s'effacent ensuite d'elles-mêmes.
Si ta semaine s'est mal passée
Si ton organisation a désigné une personne à qui parler (un référent RH, le CSE, la médecine du travail...), une réponse basse (1 ou 2 sur la semaine, 0 à 5 sur l'eNPS) fait apparaître sur ta carte « Tu veux en parler ? », avec le nom de cette personne et un moyen de la joindre. Cette proposition s'affiche seulement sur ton écran, juste après ton vote, et disparaît quand tu recharges la page. Rien n'en est enregistré ni compté : ni qu'elle s'est affichée, ni que tu as cliqué. L'affichage n'envoie aucune requête : le nom de l'interlocuteur arrive avec la carte avant même que tu votes, que ta note soit haute ou basse. Et si tu choisis de le contacter, c'est toi qui écris, depuis ta propre messagerie ou le lien indiqué, en ton nom : Kwoji ne transmet rien à ta place. La même réponse basse te propose aussi, sous cette invitation ou à sa place, de laisser un commentaire anonyme de 500 caractères au plus, un seul par vote. Rien ne part tant que tu n'appuies pas sur « Envoyer », et ton texte n'est gardé nulle part sur ton appareil. Une fois envoyé, il est enregistré sans ton compte, sans l'heure, sans ton équipe et sans ta note : la base retient seulement que tu as commenté cette semaine, pour qu'il n'y en ait qu'un. Il n'est lu que par l'administration de ton organisation (jamais par ton manager), une fois la vague close, mêlé aux autres commentaires dans un ordre tiré au hasard à chaque lecture. Si ton organisation a activé le résumé par IA, il est aussi transmis, avec les autres commentaires de la vague et tel que tu l'as écrit, au modèle qui écrit ce résumé (voir « Le résumé par IA ») : un nom que tu y écris part avec lui. Le seuil d'anonymat ne s'applique pas aux commentaires : dans une vague où peu de personnes ont répondu, un commentaire se rattache à l'une d'elles, ce qui rend l'avertissement d'autant plus important. Il n'entre ni dans le bilan imprimable ni dans les exports. Un administrateur peut retirer un commentaire qui nomme un collègue ; toi, tu ne peux ni le relire ni le faire effacer, puisque plus rien ne le relie à toi. N'y écris donc rien qui te désigne : un détail, une tournure ou un fait que peu de gens connaissent suffisent parfois à reconnaître quelqu'un.
Le résumé par IA
Ton organisation peut demander à Kwoji un résumé écrit de chaque vague close : quelques phrases et les grands thèmes des commentaires, pour préparer un point d'équipe. C'est optionnel et coupé par défaut : seule l'administration d'une organisation au palier payant peut allumer les « Fonctions IA », et le résumé ne tourne que si ton organisation utilise Pulse. Ce résumé est écrit par un modèle d'IA de Mistral hébergé par Scaleway, en France (région Paris), qui ne reçoit que deux choses : les chiffres que l'administration voit déjà à l'écran, jamais en dessous du seuil d'anonymat, y compris ceux des périmètres de managers avec le nom du manager, comme l'écran les affiche ; et le texte des commentaires anonymes de la vague, tel qu'il a été écrit et que l'administration le lit, noms compris : si tu nommes quelqu'un dans ton commentaire, ce nom part aussi au modèle. D'après ses conditions, Scaleway ne garde rien de ces données et ne s'en sert pas pour entraîner un modèle, sauf une requête qui provoque une erreur, qu'il peut garder deux semaines au plus pour son diagnostic. Le résumé peut commenter les chiffres d'une équipe ou d'un manager (« les collaborateurs de tel manager sont en baisse »), mais il ne rattache jamais un commentaire ni un thème à une équipe, à un groupe ou à un manager, puisqu'aucun commentaire n'en porte : avant d'être enregistré, il est vérifié automatiquement par Kwoji, qui le rejette en entier si une phrase fait ce lien, et qui retire toute phrase portant un chiffre qui n'est pas à l'écran ou recopiant plus de cinq mots d'un commentaire. Seul ce résumé est gardé, 6 mois comme les réponses, et il est effacé si ton organisation coupe l'IA ou si un commentaire de la vague est retiré. L'administration le relit avant de s'en servir. Le même réglage « Fonctions IA » permet aussi à la mascotte de la Galaxie (le tableau de bord) de répondre aux questions de l'administration : elle transmet au même modèle, chez Scaleway, la question posée telle qu'elle est écrite et les chiffres de la Galaxie par groupe, dont l'humeur publiée, jamais en dessous du seuil d'anonymat, avec le nom des managers dans « Équipe de … » ; jamais une réponse, jamais un commentaire. Kwoji ne garde rien de cet échange.