Produit

Certains documents ne peuvent pas partir sur un serveur

Le dossier d'un client, les notes d'un patient, un manuscrit inédit. Runlix n'a pas de compte, pas de télémétrie et pas de rapport d'incident, et il ne touche au réseau que lorsque vous partez chercher un modèle.

Mis à jour 2026-09-12

Il existe une catégorie de travail où « nous n'entraînons pas sur vos données » n'est pas la garantie que la phrase laisse entendre. Le dossier d'un avocat, les notes d'une médecin, les résultats non publiés d'une entreprise, la source d'une journaliste, un manuscrit que personne n'a encore lu — pour ceux-là, la question n'est pas ce qu'un fournisseur promet de faire du texte. C'est de savoir si le texte part quelque part, tout court.

Runlix y répond en n'ayant nulle part où l'envoyer.

Jamais de compte Rien à créer, pas d'e-mail à donner, pas de clé de licence. L'application ne sait pas qui vous êtes parce qu'elle ne le demande jamais.

Deux connexions, toutes deux lancées par vous Chercher dans le catalogue et télécharger un modèle. C'est la liste complète — des connexions, pas de « ce que nous envoyons à votre sujet ».

Vos fichiers restent des fichiers Les modèles en safetensors, que vous pouvez compter et supprimer dans le Finder ; les conversations en SQLite, que n'importe quel outil ouvre.

Vérifiable de l'extérieur Un pare-feu sortant et lsof tranchent les affirmations de cette page sans que vous ayez à nous croire sur aucune.

Ce qui n'est pas là

Il n'y a pas de compte. Rien à quoi s'inscrire, aucune adresse électronique à donner, aucune clé de licence à activer, aucun « connectez-vous pour continuer ». L'application ne sait pas qui vous êtes parce qu'elle ne le demande jamais.

Il n'y a pas de télémétrie. Aucune statistique d'usage, aucun service d'indicateurs de fonctionnalités qui téléphone à la maison, aucun identifiant anonyme attribué au premier lancement. Cela vaut d'être dit dans ces termes, parce que la « télémétrie anonyme » est devenue assez banale pour ne plus ressembler à rien — et un identifiant qui survit aux sessions, ce n'est pas rien.

Il n'y a pas de rapport d'incident. Quand quelque chose casse, le journal reste dans un fichier sur votre disque, vous pouvez le lire, et vous décidez si vous l'envoyez à quelqu'un.

Et il n'y a pas de palier dans le nuage. Il n'existe aucune version de Runlix où votre texte part ailleurs pour être traité — donc aucun réglage que vous pourriez rater, et aucune valeur par défaut qui pourrait changer lors d'une mise à jour.

Ce qui touche réellement au réseau

Deux choses, et c'est vous qui déclenchez les deux.

Chercher dans le catalogue de modèles demande une liste à Hugging Face, et télécharger un modèle récupère des fichiers chez Hugging Face. Ces requêtes partent vers Hugging Face et relèvent de leurs conditions, pas de quoi que ce soit sur ce site. Si vous n'ouvrez jamais le catalogue, l'application n'ouvre jamais de connexion.

C'est la liste complète. Pas « la liste complète de ce que nous envoyons à votre sujet » : la liste complète des connexions que l'application établit.

Où se trouvent les choses, sur votre disque

Les modèles vivent dans votre dossier Application Support, sous forme de fichiers que vous pouvez voir, compter et supprimer dans le Finder. Il n'y a ni magasin opaque ni conteneur propriétaire : les safetensors publiés par Hugging Face sont exactement les fichiers posés sur votre disque.

Les conversations vivent dans une base SQLite au même endroit, séparée de la base des réglages. SQLite est un format public dont les outils existent partout, ce qui veut dire que vous pouvez l'ouvrir, la lire, la sauvegarder et la détruire sans nous réclamer une fonction d'export.

Votre jeton Hugging Face, si vous choisissez d'en mettre un, va dans le trousseau de macOS plutôt que dans cette base — le magasin chiffré du système, protégé par votre session, et lisible avec les mêmes outils que vous utilisez déjà pour vérifier qui détient vos identifiants.

Le seul endroit où des données circulent : l'API locale

Runlix peut servir une API HTTP pour que d'autres applications de votre Mac utilisent le modèle chargé. Elle se lie à 127.0.0.1 et à rien d'autre, ce qui la rend joignable depuis votre machine et pas depuis votre réseau. Elle est éteinte jusqu'à ce que vous l'allumiez, et lorsqu'elle est allumée, tout ce que vous braquez dessus y envoie du texte — ce que vous branchez compte donc, et c'est votre décision plutôt qu'un défaut que nous aurions choisi pour vous.

Si vous l'exposez délibérément au-delà de la machine, mettez un mandataire devant et laissez-le décider qui entre. L'application ne le fera pas à votre place, parce qu'une case à cocher intitulée « autoriser l'accès distant » est exactement le genre de chose qu'on coche une fois et qu'on oublie.

Ce que cela ne veut pas dire

Local n'est pas synonyme de sûr, et il serait malhonnête de laisser le mot faire ce travail.

Le modèle n'est pas audité par nous. Vous téléchargez des poids publiés par quelqu'un d'autre, et Runlix vérifie s'ils tournent, pas comment ils se comportent. Un modèle peut produire des absurdités assurées, et le faire tourner sur votre propre machine ne le rend pas plus véridique.

Votre disque est le périmètre. Si votre Mac n'est pas chiffré, vos conversations ne sont pas protégées. FileVault fait ici davantage pour vous que n'importe quelle promesse de cette page.

Les outils sortent si vous le leur dites. Runlix parle MCP, et un serveur MCP que vous configurez fait ce qu'il fait — y compris appeler un service distant. Rien n'arrive configuré ; tout ce qui est dans ce fichier, c'est vous qui l'y avez mis. Mais dès lors que c'est fait, la garantie de cette page s'arrête au bord de l'outil.

L'application n'est pas encore notariée par Apple. Elle est signée en ad hoc, ce qui fait que macOS bloque la première ouverture jusqu'à ce que vous l'autorisiez explicitement. C'est un vrai manque, il est sur la feuille de route et il n'est pas caché.

Comparé aux autres solutions

Il vaut la peine d'être précis sur ce qui distingue Runlix des autres façons de faire, parce que plusieurs d'entre elles sont locales elles aussi et que les écarts sont plus étroits que le marketing ne l'admet d'habitude.

Un assistant hébergé avec promesse de non-entraînement est la position la plus faible pour ce genre de travail, et pas parce que la promesse serait insincère. C'est que le texte traverse quand même un réseau, séjourne dans les journaux d'un fournisseur pendant une certaine durée de conservation, relève d'une juridiction, et peut être atteint par une réquisition, une fuite ou un changement de propriétaire. Rien de tout cela n'est hypothétique, et rien de tout cela ne dépend de ce que le fournisseur fait du texte pour l'entraînement.

Une application locale avec un compte en est bien plus proche, et pour la plupart des gens elle convient très bien. La distinction qui compte ici, c'est qu'un compte est un lien entre vous et les registres d'une entreprise : il y a donc quelque part une base de données avec votre adresse dedans, une connexion qui peut être exigée à nouveau après une mise à jour, et un commerce qui peut changer ce que contient le palier gratuit.

Un exécutable en ligne de commande vous donne la même localité sans aucun compte, et beaucoup de gens qui lisent ceci en utilisent déjà un. Runlix ne plaide pas contre : le moteur en dessous est vérifié contre la même référence. Ce qu'il ajoute, c'est un chat qui se souvient, un catalogue qui vérifie avant de télécharger, et un seul processus au lieu de plusieurs.

Pourquoi vous n'avez pas à nous croire sur parole

Vérifiez-le vous-même

Tout ce qui est sur cette page est vérifiable depuis l'extérieur de l'application, et c'est le seul genre d'affirmation sur la vie privée qui vaille la peine d'être fait.

Lancez lsof -i -a -p $(pgrep Runlix) et regardez quelles sockets existent. Ouvrez Little Snitch, LuLu ou n'importe quel pare-feu sortant et observez ce pour quoi il demande la permission — la réponse devrait être « rien », jusqu'à ce que vous ouvriez le catalogue. Pointez la Console sur le fichier de journal et lisez ce qu'il consigne. Ouvrez la base des conversations avec n'importe quel explorateur SQLite et regardez ce qui y est stocké.

Si quoi que ce soit là-dedans contredit ce qui est écrit ici, c'est la page qui a tort et qui doit être corrigée. C'est un engagement plus utile qu'une politique de confidentialité, parce qu'on peut le réfuter.

Bâti ainsi, pas seulement réglé ainsi

Presque toute application qui envoie des données quelque part possède un réglage pour l'arrêter, et ce réglage est en général respecté. La différence tient à qui porte la charge : avec un réglage, rester privé est quelque chose sur quoi vous devez continuer d'avoir raison — au fil des mises à jour, au fil des valeurs par défaut qui changent, au fil d'une fonctionnalité ajoutée par quelqu'un qui ignorait votre situation.

Runlix n'a pas ce réglage parce qu'il n'a pas cette fonctionnalité. C'est une promesse plus petite que « nous protégeons vos données », et plus durable : ce qui n'existe pas ne peut pas être mal configuré, ne peut pas régresser, et n'a pas besoin qu'on lui fasse confiance.