1. Who we are

The DAX Foundation runs daxfoundation.org and the services on it: Meta DAX universal learning, the Re·UI research interface and the DAX research pipeline.

These services are built and operated by Obsidian Delta Corp., a Canadian company and the DAX Foundation’s technology provider (Obsidian Delta calls itself the cognition provider). Obsidian Delta writes the code, runs the servers and carries out every measure described on this page. In this policy, “we” means the DAX Foundation together with Obsidian Delta Corp. acting for it.

Accountability. The Managing Director of Obsidian Delta Corp. is accountable for the privacy and security of these services and acts as their privacy officer. Write to [email protected], in English or French.

2. Architecture, not policy

Five rules are built into how we make things. Everything else on this page follows from them.

1. Collect only what a feature needs. Every form lists its fields, and nothing else is kept.
2. Process on your device whenever we can. Re·UI reads your hand on your phone; a Meta DAX learning record is a file saved to your own device.
3. No trackers. No advertising, no third-party tracking scripts, no cookies on public pages.
4. Every service is mapped before it launches. Each service has an entry in our internal data map (what, why, where, how long, who can read it) before it collects anything, and this policy is updated first.
5. In public. The source of this site is published at github.com/ObsidianDelta/published, so anyone can check what a page does.

3. What we collect, service by service

3.1 Reading daxfoundation.org

No account and no cookies. To count visits we use Cloudflare Web Analytics, which does not use cookies or local storage and does not fingerprint your browser. It receives the page address, the page you came from, your browser type, your country and how fast the page loaded. Pages where we ask for your consent, such as the preview list, do not load it at all.

Some pages remember a display choice (for example a reading lens) in your browser’s own local storage. It never leaves your device.

A few Meta DAX sample pages load fonts from Google Fonts or a graphics library from cdnjs (run by Cloudflare). When your browser fetches those files, that provider receives your IP address and browser type.

3.2 The preview list (daxfoundation.org/preview/)

If you join, we keep: your name, email, role (learner, parent, teacher, school, other), country, your message if you write one, your language, when you joined or updated your entry, and which consent text you agreed to.

We do not keep your IP address with your entry. To stop spam, a salted, scrambled (hashed) form of your IP address is counted per hour and deleted after two hours. We send no email automatically; when we write, it is only about the preview.

3.3 Re·UI and its relay (re.ui.research.daxfoundation.org)

On your phone. Your phone reads your hand as 21 points per hand, on the phone. The hand-reading software is downloaded to your phone from servers run by Google and by jsDelivr, which receive your IP address and browser type when it downloads. No image is ever sent to us.

Voice is optional. When your browser can recognise words on the phone itself, it does. Otherwise your browser uses its own speech service (in Chrome, Google’s), under your browser maker’s terms. We never receive sound, only the recognised words. You can turn voice off at any time.

What reaches us. Hand points, gesture names and commands, the recognised words, learning snapshots (which gesture was meant, how strong it was, whether it was right) under a scrambled person code, movement measures in some research rooms, and a role label such as “guest”. Hand points from the phone are passed live to the screens of the same room and are not stored. The rest is kept in that room’s record.

No names needed. A room has no account and needs no name. Please do not say personal details aloud: recognised words are kept in the room’s record.

Room keys. A room made with “create a room” gets a key. Its records open only with that key, and we store only a scrambled (hashed) form of it. Anyone who has the key can read that room’s records, so keep it private. Your browser keeps the key and your settings in its own local storage.

3.4 Research (research.daxfoundation.org)

You first see a consent screen and can say no. If you take part, we keep the country and language you choose, your answers, how long each took, and whether the listening check passed. If you came through a research recruitment platform, we also keep the participant, study and session codes that platform gives us, so it can confirm you finished.

The answers become part of a free, open dataset. The public dataset carries a random code, country, language, times and answers, and never your name or your platform codes.

The request form for one-time sampler links (for universities and colleges) is not open yet and stores nothing today. This policy will be updated before it opens.

3.5 Meta DAX play, samples and showcases

Nothing is sent to us. “Save this session to my record” builds the record on your device and downloads it as a file. It refuses diagnoses, email addresses, social handles and links. If you choose to publish a record, you do it in your own GitHub repository, under GitHub’s terms.

3.6 Email

When you write to an @daxfoundation.org address, we receive your address and your message. Mail is delivered through Cloudflare Email Routing to a mailbox hosted by Google.

3.7 Administration pages

Our administration pages are not public. They sit behind Cloudflare Access with Google sign-in, open only to our administrator addresses, and they check the sign-in again in our own code.

3.8 Technical logs

Our hosting provider, Cloudflare, keeps short technical logs of requests to our servers (for example the time, the address requested and network details) so we can run and protect the services. For the Re·UI services these logs are switched on, and they are kept for up to 7 days.

4. What never happens

• We never sell or rent personal information.
• No advertising, no advertising profiles, no third-party trackers.
• Re·UI never sends us an image or sound.
• We do not give your personal information to service providers to train their AI models.
• We make no decisions about you by automated means that have legal or similarly significant effects.

5. Why we use it, and on what basis

• To provide what you asked for (a room, the preview list, a reply): your consent, and our legitimate interest in answering you.
• Research (Re·UI rooms, the research pipeline): your consent, given when you start.
• Counting visits and keeping services safe (cookieless analytics, technical logs, spam limits): our legitimate interest, using the least data that works.
• When the law requires it.

Under Canada’s PIPEDA and provincial laws we rely on your consent, which you can withdraw at any time. For people where the GDPR or UK GDPR applies, the legal bases are consent, legitimate interests and legal obligation, as listed above.

6. Consent and withdrawing it

You give consent with a clear action: a checkbox, “I agree”, or starting a session. You can withdraw it at any time by writing to [email protected], or by turning a feature off (for example voice in Re·UI). Withdrawing does not undo what was lawfully done before, and published open-dataset rows (which carry no name or platform code) cannot be recalled from copies others already hold.

7. Who else handles it (service providers)

We share personal information only with the providers that run our services, only for that purpose, and only what they need:

• Cloudflare: hosting, databases and storage, DNS, email routing, access control for administration pages, cookieless analytics, technical logs.
• Google: the mailbox that receives email sent to us; sign-in for our administrators; hosting of the Re·UI hand-reading model file and Google Fonts. If your browser uses Google’s speech service for Re·UI voice, that is between you and your browser.
• jsDelivr: delivery of the Re·UI hand-reading software to your phone.
• GitHub: our source code and the public record of this site; your own records if you choose to publish them there.
• Research recruitment platforms, if you came through one: they are responsible for what they hold about you; we send back only a completion code.

We disclose personal information to authorities only when the law requires it, and we will tell you unless the law forbids it. If the operation of these services passes from Obsidian Delta Corp. to the DAX Foundation or to another organization, we will tell you first, and the commitments on this page will go with the data.

8. Where it is stored (international transfers)

Cloudflare runs a global network. Our main database is located in eastern North America, in the United States; other storage is placed by Cloudflare, usually in the same region. Google and GitHub process data mainly in the United States. We cannot guarantee storage in Canada today. Data held in another country can be subject to that country’s laws, including access by its authorities. We choose providers that protect data with encryption in transit and at rest.

9. How long we keep it

• Preview list: until you ask to be removed or the preview list closes; then we delete it. Spam counters: two hours.
• Re·UI room records: each room keeps its latest 3,000 events and latest 600 learning batches. There is no automatic deletion period yet; we delete a room’s records when you ask. Movement clips saved in the Gesture Lab, and older lab records of hand points, have no limit yet either. Automatic periods will be set before any school use.
• Research answers: kept for the open dataset. Before publication, we delete your answers on request.
• Email: as long as needed to answer you and keep a record of the conversation.
• Technical logs: up to 7 days, under Cloudflare’s log retention.

10. Your rights

You can ask us to:

• tell you what personal information we hold about you and give you a copy (access, portability);
• correct it;
• delete it;
• stop using it, or withdraw your consent;
• explain how it was used and with whom it was shared.

Write to [email protected]. We answer within 30 days, for free. To protect you, we may ask you to write from the address you signed up with, or, for a Re·UI room, to give the room name and its key. These rights come from PIPEDA and provincial laws (including Québec’s Law 25, and Alberta’s and British Columbia’s PIPA). If you live where the GDPR or the UK GDPR applies, you have the same rights and may also object to processing based on legitimate interests.

11. Children

We treat anyone under 16 as a child for these services. We do not knowingly collect personal information from a child without a parent or guardian: a child should not join the preview list or the research pipeline themselves.

Re·UI rooms need no name or account. For children, an adult creates and runs the room. Use by a school, with its students, will happen only under a written agreement with that school, after a legal review. That is not offered yet.

If you think a child has given us personal information, write to [email protected] and we will delete it.

12. Security

How we protect information, and how to report a weakness, is in our Security Policy.

13. If something goes wrong

If a breach of security safeguards involving personal information creates a real risk of significant harm, we will tell the people affected as soon as feasible, report it to the Office of the Privacy Commissioner of Canada (and to the Commission d’accès à l’information du Québec or another authority where the law requires it), and tell anyone who can reduce the harm. We keep a record of every breach for at least 24 months.

14. How this policy evolves

This is version 1.0, in force since 5 November 2026. Every change is listed on the changelog, and every past version stays readable in the public record.

• A new service, or a new kind of data, gets its data-map entry and an update of this policy before it launches.
• We review this policy every quarter. Next review: 5 February 2027.
• Any use with schools or with children under 16 gets a legal review first.
• For a material change, we post a notice on this site at least 30 days before it applies, and, where it changes what we do with your preview-list entry, we email you.

15. Contact and complaints

Questions, requests and complaints: [email protected]. We aim to resolve every concern directly.

You can also complain to the Office of the Privacy Commissioner of Canada (1-800-282-1376), to your provincial commissioner (in Québec, the Commission d’accès à l’information), or, in the European Union or the United Kingdom, to your data protection authority.

1. Qui nous sommes

La DAX Foundation exploite daxfoundation.org et les services qui s’y trouvent : Meta DAX, l’apprentissage universel, l’interface de recherche Re·UI et la chaîne de recherche DAX.

Ces services sont conçus et exploités par Obsidian Delta Corp., une société canadienne, fournisseur technologique de la DAX Foundation (Obsidian Delta se décrit comme le fournisseur de cognition). Obsidian Delta écrit le code, exploite les serveurs et applique chacune des mesures décrites ici. Dans cette politique, « nous » désigne la DAX Foundation et Obsidian Delta Corp. agissant pour elle.

Responsabilité. Le directeur général d’Obsidian Delta Corp. est responsable de la protection et de la sécurité des renseignements de ces services et en est le responsable de la protection des renseignements personnels. Écrivez à [email protected], en français ou en anglais.

2. Une architecture, pas une politique

Cinq règles sont intégrées à notre façon de construire. Tout le reste de cette page en découle.

1. Ne recueillir que ce dont une fonction a besoin. Chaque formulaire liste ses champs, et rien d’autre n’est gardé.
2. Traiter sur votre appareil dès que possible. Re·UI lit votre main sur votre téléphone ; un dossier d’apprentissage Meta DAX est un fichier enregistré sur votre propre appareil.
3. Aucun traceur. Aucune publicité, aucun script de pistage tiers, aucun témoin sur les pages publiques.
4. Chaque service est répertorié avant son lancement. Chaque service a une entrée dans notre carte interne des données (quoi, pourquoi, où, combien de temps, qui peut le lire) avant de recueillir quoi que ce soit, et cette politique est mise à jour d’abord.
5. En public. Le code de ce site est publié à github.com/ObsidianDelta/published : chacun peut vérifier ce que fait une page.

3. Ce que nous recueillons, service par service

3.1 Lire daxfoundation.org

Aucun compte et aucun témoin. Pour compter les visites, nous utilisons Cloudflare Web Analytics, qui n’utilise ni témoins ni stockage local et ne prend pas l’empreinte de votre navigateur. Il reçoit l’adresse de la page, la page d’où vous venez, le type de navigateur, votre pays et la vitesse de chargement. Les pages où nous demandons votre consentement, comme la liste d’aperçu, ne le chargent pas du tout.

Certaines pages retiennent un choix d’affichage (par exemple une lentille de lecture) dans le stockage local de votre navigateur. Il ne quitte jamais votre appareil.

Quelques pages d’exemples Meta DAX chargent des polices de Google Fonts ou une bibliothèque graphique de cdnjs (exploité par Cloudflare). Quand votre navigateur télécharge ces fichiers, ce fournisseur reçoit votre adresse IP et le type de navigateur.

3.2 La liste d’aperçu (daxfoundation.org/preview/)

Si vous vous inscrivez, nous gardons : votre nom, votre courriel, votre rôle (apprenant, parent, enseignant, école, autre), votre pays, votre message si vous en écrivez un, votre langue, la date d’inscription ou de mise à jour, et le texte de consentement accepté.

Nous ne gardons pas votre adresse IP avec votre inscription. Pour bloquer le pourriel, une forme salée et brouillée (hachée) de votre adresse IP est comptée par heure, puis effacée après deux heures. Aucun courriel n’est envoyé automatiquement ; quand nous écrivons, c’est seulement au sujet de l’aperçu.

3.3 Re·UI et son relais (re.ui.research.daxfoundation.org)

Sur votre téléphone. Votre téléphone lit votre main en 21 points par main, sur le téléphone. Le logiciel de lecture de la main est téléchargé sur votre téléphone depuis des serveurs exploités par Google et par jsDelivr, qui reçoivent votre adresse IP et le type de navigateur lors du téléchargement. Aucune image ne nous est jamais envoyée.

La voix est facultative. Quand votre navigateur peut reconnaître les mots sur le téléphone même, il le fait. Sinon, il utilise son propre service de reconnaissance vocale (dans Chrome, celui de Google), selon les conditions de l’éditeur du navigateur. Nous ne recevons jamais de son, seulement les mots reconnus. Vous pouvez couper la voix en tout temps.

Ce qui nous parvient. Des points de la main, des noms de gestes et de commandes, les mots reconnus, des instantanés d’apprentissage (quel geste était voulu, sa force, s’il était juste) sous un code de personne brouillé, des mesures de mouvement dans certaines salles de recherche, et une étiquette de rôle comme « invité ». Les points de la main venant du téléphone sont transmis en direct aux écrans de la même salle et ne sont pas stockés. Le reste est gardé dans le dossier de cette salle.

Aucun nom requis. Une salle n’a pas de compte et n’exige aucun nom. Évitez de dire à voix haute des renseignements personnels : les mots reconnus sont gardés dans le dossier de la salle.

Clés de salle. Une salle créée avec « créer une salle » reçoit une clé. Ses dossiers ne s’ouvrent qu’avec cette clé, et nous n’en gardons qu’une forme brouillée (hachée). Quiconque a la clé peut lire les dossiers de la salle : gardez-la privée. Votre navigateur garde la clé et vos réglages dans son propre stockage local.

3.4 Recherche (research.daxfoundation.org)

Vous voyez d’abord un écran de consentement et pouvez refuser. Si vous participez, nous gardons le pays et la langue que vous choisissez, vos réponses, le temps de chacune et le résultat de la vérification d’écoute. Si vous venez d’une plateforme de recrutement pour la recherche, nous gardons aussi les codes de participant, d’étude et de séance qu’elle nous transmet, pour qu’elle confirme que vous avez terminé.

Les réponses font partie d’un jeu de données ouvert et gratuit. Le jeu public contient un code aléatoire, le pays, la langue, les heures et les réponses, et jamais votre nom ni vos codes de plateforme.

Le formulaire de demande de liens d’essai uniques (pour les universités et les collèges) n’est pas encore ouvert et ne garde rien aujourd’hui. Cette politique sera mise à jour avant son ouverture.

3.5 Meta DAX : jeu, exemples et vitrines

Rien ne nous est envoyé. « Enregistrer cette séance dans mon dossier » construit le dossier sur votre appareil et le télécharge en fichier. Il refuse les diagnostics, les adresses courriel, les pseudonymes de réseaux sociaux et les liens. Si vous choisissez de publier un dossier, vous le faites dans votre propre dépôt GitHub, selon les conditions de GitHub.

3.6 Courriel

Quand vous écrivez à une adresse @daxfoundation.org, nous recevons votre adresse et votre message. Le courrier passe par le routage de courriel de Cloudflare vers une boîte hébergée par Google.

3.7 Pages d’administration

Nos pages d’administration ne sont pas publiques. Elles sont protégées par Cloudflare Access avec connexion Google, ouvertes seulement à nos adresses d’administration, et notre propre code vérifie la connexion une seconde fois.

3.8 Journaux techniques

Notre hébergeur, Cloudflare, garde de courts journaux techniques des requêtes à nos serveurs (par exemple l’heure, l’adresse demandée et des détails réseau) pour faire fonctionner et protéger les services. Pour les services Re·UI, ces journaux sont activés, et ils sont gardés jusqu’à 7 jours.

4. Ce qui n’arrive jamais

• Nous ne vendons ni ne louons jamais de renseignements personnels.
• Aucune publicité, aucun profil publicitaire, aucun traceur tiers.
• Re·UI ne nous envoie jamais d’image ni de son.
• Nous ne donnons pas vos renseignements personnels à des fournisseurs pour entraîner leurs modèles d’IA.
• Nous ne prenons à votre sujet aucune décision entièrement automatisée ayant des effets juridiques ou d’importance semblable.

5. Pourquoi nous les utilisons, et sur quelle base

• Fournir ce que vous avez demandé (une salle, la liste d’aperçu, une réponse) : votre consentement, et notre intérêt légitime à vous répondre.
• La recherche (salles Re·UI, chaîne de recherche) : votre consentement, donné au départ.
• Compter les visites et protéger les services (mesure d’audience sans témoins, journaux techniques, limites anti-pourriel) : notre intérêt légitime, avec le moins de données possible.
• Quand la loi l’exige.

Selon la LPRPDE et les lois provinciales du Canada, nous nous appuyons sur votre consentement, que vous pouvez retirer en tout temps. Pour les personnes visées par le RGPD ou le RGPD du Royaume-Uni, les bases juridiques sont le consentement, l’intérêt légitime et l’obligation légale, comme ci-dessus.

6. Le consentement et son retrait

Vous consentez par un geste clair : une case à cocher, « J’accepte », ou le début d’une séance. Vous pouvez retirer votre consentement en tout temps en écrivant à [email protected], ou en coupant une fonction (par exemple la voix dans Re·UI). Le retrait n’annule pas ce qui a été fait légalement avant, et les lignes déjà publiées du jeu de données ouvert (sans nom ni code de plateforme) ne peuvent pas être rappelées des copies que d’autres détiennent déjà.

7. Qui d’autre les traite (fournisseurs de services)

Nous ne communiquons des renseignements personnels qu’aux fournisseurs qui font fonctionner nos services, seulement à cette fin, et seulement ce dont ils ont besoin :

• Cloudflare : hébergement, bases de données et stockage, DNS, routage du courriel, contrôle d’accès aux pages d’administration, mesure d’audience sans témoins, journaux techniques.
• Google : la boîte qui reçoit le courriel qui nous est envoyé ; la connexion de nos administrateurs ; l’hébergement du fichier de modèle de lecture de la main de Re·UI et de Google Fonts. Si votre navigateur utilise le service vocal de Google pour la voix dans Re·UI, cela relève de vous et de votre navigateur.
• jsDelivr : la livraison du logiciel de lecture de la main de Re·UI à votre téléphone.
• GitHub : notre code source et le registre public de ce site ; vos propres dossiers si vous choisissez de les y publier.
• Les plateformes de recrutement pour la recherche, si vous venez de l’une d’elles : elles sont responsables de ce qu’elles détiennent sur vous ; nous ne leur renvoyons qu’un code de fin.

Nous ne communiquons des renseignements personnels aux autorités que lorsque la loi l’exige, et nous vous en informerons sauf si la loi l’interdit. Si l’exploitation de ces services passe d’Obsidian Delta Corp. à la DAX Foundation ou à une autre organisation, nous vous le dirons d’abord, et les engagements de cette page suivront les données.

8. Où c’est stocké (transferts internationaux)

Cloudflare exploite un réseau mondial. Notre base de données principale se trouve dans l’est de l’Amérique du Nord, aux États-Unis ; les autres stockages sont placés par Cloudflare, habituellement dans la même région. Google et GitHub traitent les données surtout aux États-Unis. Nous ne pouvons pas garantir aujourd’hui un stockage au Canada. Des données détenues dans un autre pays peuvent être soumises à ses lois, y compris l’accès par ses autorités. Nous choisissons des fournisseurs qui protègent les données par chiffrement en transit et au repos.

9. Combien de temps nous les gardons

• Liste d’aperçu : jusqu’à ce que vous demandiez à être retiré ou que la liste ferme ; nous l’effaçons alors. Compteurs anti-pourriel : deux heures.
• Dossiers des salles Re·UI : chaque salle garde ses 3 000 derniers événements et ses 600 derniers lots d’apprentissage. Il n’y a pas encore de durée d’effacement automatique ; nous effaçons les dossiers d’une salle sur demande. Les extraits de mouvement enregistrés dans le Gesture Lab et les anciens relevés de points de la main du laboratoire n’ont pas encore de limite non plus. Des durées automatiques seront fixées avant toute utilisation scolaire.
• Réponses de recherche : gardées pour le jeu de données ouvert. Avant publication, nous effaçons vos réponses sur demande.
• Courriel : le temps nécessaire pour vous répondre et garder une trace de l’échange.
• Journaux techniques : jusqu’à 7 jours, selon la conservation des journaux de Cloudflare.

10. Vos droits

Vous pouvez nous demander :

• de vous dire quels renseignements personnels nous détenons à votre sujet et de vous en remettre une copie (accès, portabilité) ;
• de les corriger ;
• de les effacer ;
• de cesser de les utiliser, ou de retirer votre consentement ;
• d’expliquer comment ils ont été utilisés et à qui ils ont été communiqués.

Écrivez à [email protected]. Nous répondons dans un délai de 30 jours, gratuitement. Pour vous protéger, nous pouvons vous demander d’écrire depuis l’adresse inscrite ou, pour une salle Re·UI, de donner le nom de la salle et sa clé. Ces droits viennent de la LPRPDE et des lois provinciales (dont la Loi 25 du Québec et les lois PIPA de l’Alberta et de la Colombie-Britannique). Si vous vivez là où s’applique le RGPD ou le RGPD du Royaume-Uni, vous avez les mêmes droits et pouvez aussi vous opposer à un traitement fondé sur l’intérêt légitime.

11. Les enfants

Pour ces services, nous considérons toute personne de moins de 16 ans comme un enfant. Nous ne recueillons pas sciemment de renseignements personnels auprès d’un enfant sans parent ou tuteur : un enfant ne devrait pas s’inscrire lui-même à la liste d’aperçu ni à la chaîne de recherche.

Les salles Re·UI n’exigent ni nom ni compte. Pour les enfants, un adulte crée et anime la salle. L’utilisation par une école, avec ses élèves, se fera seulement dans le cadre d’une entente écrite avec cette école, après un examen juridique. Ce n’est pas encore offert.

Si vous croyez qu’un enfant nous a donné des renseignements personnels, écrivez à [email protected] et nous les effacerons.

12. Sécurité

La façon dont nous protégeons les renseignements, et comment signaler une faille, se trouvent dans notre Politique de sécurité.

13. Si quelque chose tourne mal

Si une atteinte aux mesures de sécurité visant des renseignements personnels crée un risque réel de préjudice grave, nous en avisons les personnes touchées dès que possible, nous la déclarons au Commissariat à la protection de la vie privée du Canada (et à la Commission d’accès à l’information du Québec ou à une autre autorité lorsque la loi l’exige), et nous avisons quiconque peut réduire le préjudice. Nous tenons un registre de chaque atteinte pendant au moins 24 mois.

14. Comment cette politique évolue

Ceci est la version 1.0, en vigueur depuis le 5 novembre 2026. Chaque changement est inscrit au journal des modifications, et chaque version antérieure reste lisible dans le registre public.

• Un nouveau service, ou un nouveau type de données, reçoit son entrée dans la carte des données et une mise à jour de cette politique avant son lancement.
• Nous révisons cette politique chaque trimestre. Prochaine révision : 5 février 2027.
• Toute utilisation avec des écoles ou des enfants de moins de 16 ans passe d’abord par un examen juridique.
• Pour un changement important, nous publions un avis sur ce site au moins 30 jours avant qu’il s’applique et, s’il change ce que nous faisons de votre inscription à la liste d’aperçu, nous vous écrivons.

15. Nous joindre et porter plainte

Questions, demandes et plaintes : [email protected]. Nous cherchons à régler chaque préoccupation directement.

Vous pouvez aussi porter plainte auprès du Commissariat à la protection de la vie privée du Canada (1-800-282-1376), de votre commissaire provincial (au Québec, la Commission d’accès à l’information) ou, dans l’Union européenne ou au Royaume-Uni, de votre autorité de protection des données.