Politique de confidentialité

En bref

Obscura Vault ne vend aucune donnée et ne contient ni publicité, ni mesure d’audience, ni rapport de plantage automatique. Vos fichiers, votre bibliothèque et vos archives restent sur votre Mac et sur les supports et destinations que vous choisissez : Oorun n’y a pas accès. Les seules données qu’Oorun reçoit sont celles de votre compte et de votre licence, décrites ci-dessous.

Compte et licence

Pour activer une licence, vous vous connectez avec l’adresse e-mail et le mot de passe de votre compte Obscura. Obscura Vault échange alors avec le serveur de licences d’Oorun (api.obscuraflow.app) :

à la connexion : votre adresse e-mail et votre mot de passe ; « Mot de passe oublié ? » envoie votre adresse e-mail pour recevoir un lien de réinitialisation ;
à l’enregistrement de ce Mac pour la licence : un identifiant propre à cette installation (tiré au hasard), le nom de ce Mac, la plateforme (macos), la version d’Obscura Vault, une empreinte à sens unique (SHA-256) de l’identifiant matériel du Mac — l’identifiant lui-même ne quitte jamais le Mac — et le produit concerné (obscura-vault) ;
au lancement, lorsque le réseau revient et lorsque vous choisissez « Vérifier maintenant » : la demande de la licence en cours, de vos limites et de la liste de vos appareils ;
lorsque vous retirez un appareil : l’identifiant de cet appareil.

Ces échanges n’envoient aucun fichier, aucun nom de projet, aucune empreinte de fichier et aucun contenu de votre bibliothèque. La licence signée renvoyée par le serveur est gardée dans le dossier License de la bibliothèque, pour être vérifiée hors connexion.

Oorun traite ces données pour gérer votre compte et votre licence. Ce traitement repose sur l’exécution du contrat de licence (ou des mesures précontractuelles prises à votre demande) et sur le respect des obligations légales d’Oorun.

Hébergement : le serveur de licences est hébergé par Oracle Cloud Infrastructure (Oracle Corporation, 2300 Oracle Way, Austin, Texas 78741, États-Unis) et joint à travers le réseau de Cloudflare, Inc. (101 Townsend Street, San Francisco, Californie 94107, États-Unis). Lorsqu’un transfert hors de l’Union européenne a lieu, il est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne ou cadre d’adéquation applicable).
Durée de conservation : les données du compte et des appareils sont conservées tant que votre compte existe. Elles sont supprimées à sa clôture ; un appareil que vous retirez est effacé aussitôt.
Vos droits : conformément au RGPD et à la loi Informatique et Libertés, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données, et vous opposer à leur traitement. Écrivez à mtay@oorun.fr en précisant votre demande et l’adresse e-mail de votre compte ; une réponse vous est apportée dans les délais légaux. Vous pouvez aussi saisir la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Sans compte, Obscura Vault ne contacte jamais le serveur de licences.

Recherche de mises à jour

Au lancement, puis à intervalles réguliers, Obscura Vault télécharge la liste des versions publiées (un fichier appcast.xml) depuis GitHub (github.com, service de GitHub, Inc.), puis, si vous acceptez d’installer une nouvelle version, son image disque. Comme toute requête Internet, elle transmet à GitHub l’adresse IP de votre Mac et un en-tête technique (nom et version de l’app et du composant Sparkle). Elle n’envoie aucun contenu de votre bibliothèque, aucun identifiant de votre Mac ni de votre compte, et aucun profil du système. GitHub traite ces données selon sa propre déclaration de confidentialité (https://docs.github.com/site-policy/privacy-policies/github-general-privacy-statement) ; Oorun n’y a pas accès.

Une mise à jour ne s’installe qu’avec votre accord, après vérification de sa signature. Vous pouvez couper la recherche automatique dans Réglages › Mises à jour : Obscura Vault › Rechercher les mises à jour… ne lance alors une recherche que lorsque vous la choisissez.

Services que vous configurez

Destinations hors site : lorsque vous ajoutez une destination (Amazon S3, Backblaze B2, Cloudflare R2, MinIO, un autre service compatible S3, ou un dossier sur un NAS ou un disque), Obscura Vault y envoie les archives que vous choisissez, telles que vous les avez créées (chiffrées si vous avez choisi le chiffrement), les y relit pour les vérifier et les en télécharge pour les restaurer. Ces services sont choisis et payés par vous et traitent les données selon leurs propres conditions ; Oorun n’y a pas accès. Les clés d’accès que vous saisissez sont gardées dans le trousseau de votre Mac.
Horodatage des certificats : si vous indiquez une autorité d’horodatage (RFC 3161), Obscura Vault lui envoie, à chaque émission, l’empreinte SHA-256 du certificat, et rien d’autre. Sans autorité, l’émission n’établit aucune connexion.
Publication de votre clé : la clé publique des certificats est publiée par vous, à l’adresse que vous choisissez. Obscura Vault prépare le fichier mais ne l’envoie nulle part.

Où sont vos données

La bibliothèque (base de données, archives, sauvegardes de la base, certificats émis, licence signée, réglages des certificats) est enregistrée sur votre Mac, dans ~/Library/Application Support/com.oorun.obscuravault/.
Les clés (signature et chiffrement des archives, clé des certificats, clés d’accès hors site) et la session de votre compte sont gardées dans le trousseau de votre Mac, services com.oorun.obscuravault.secrets et, pour les destinations hors site, com.oorun.obscuravault.offsite.
Les réglages de l’application sont enregistrés dans les préférences macOS de votre compte.
Vos fichiers originaux restent où ils sont. Les restaurations sont écrites dans les dossiers que vous désignez.

Fichiers originaux

Lorsque vous importez un dossier, Obscura Vault lit chaque fichier pour en calculer l’empreinte SHA-256 et en extraire les métadonnées techniques (nom, taille, dates ; pour les images : dimensions, profil de couleur, date de prise de vue). Il ne modifie et ne déplace jamais vos fichiers. Les contrôles d’intégrité les relisent, y compris en arrière-plan selon la fréquence que vous choisissez : macOS peut vous demander d’autoriser l’accès aux dossiers Bureau, Documents, Téléchargements ou aux volumes externes et réseau.

Journaux et rapport de problème

Obscura Vault inscrit quelques journaux techniques dans le journal système de macOS, sur votre Mac (visibles dans l’app Console) : durées de création des archives, erreurs d’écriture du journal de la bibliothèque. macOS les efface lui-même au fil du temps. Le journal de la bibliothèque (écran Journal) reste dans la base, sur votre Mac.

Aide › Signaler un problème… prépare un rapport (votre description, la version de l’app et de macOS, l’architecture du Mac) que vous relisez, puis enregistrez ou copiez. Obscura Vault ne l’envoie à personne : vous décidez de le joindre au formulaire de contact https://vault.obscuraflow.app/contact.

Données personnelles dans vos fichiers

Les fichiers que vous préservez peuvent contenir des données personnelles. Vous, ou l’organisation pour laquelle vous agissez, en êtes le responsable de traitement au sens du RGPD : c’est à vous de définir leur base légale, leur durée de conservation et les conditions d’accès. Les archives, leurs copies sur vos supports et hors site, et les sauvegardes de la base sont des fichiers que vous gérez : pour effacer des données personnelles, supprimez-les là où elles se trouvent, y compris dans les sauvegardes prises auparavant.

Mesure d’audience du site

Cette section concerne le site vault.obscuraflow.app, pas l’application : Obscura Vault ne contient aucune mesure d’audience.

Le site est hébergé par Cloudflare (Cloudflare Pages) et mesure sa fréquentation et ses performances avec Cloudflare Web Analytics. Cloudflare ajoute pour cela aux pages un script (beacon.min.js, chargé depuis static.cloudflareinsights.com), qui envoie ses mesures au site lui-même (adresse /cdn-cgi/rum).

Ce qui est mesuré : l’adresse de la page consultée (sans ses paramètres), la page d’où vous venez (référent) et des temps de chargement et d’affichage (dont les Core Web Vitals). Cloudflare en déduit le pays, le type d’appareil, le navigateur et le système d’exploitation, et compte des pages vues et des visites (une visite est une page atteinte depuis un autre site ou par un lien direct).
Ce qui ne l’est pas : aucun cookie n’est déposé et rien n’est enregistré dans votre navigateur (ni stockage local, ni stockage de session, ni IndexedDB). Cloudflare ne vous suit pas d’un site à l’autre et ne fait pas d’empreinte (« fingerprinting ») à partir de votre adresse IP, de l’en-tête User-Agent ou d’une autre donnée. Votre adresse IP est écartée dans le centre de données Cloudflare le plus proche et n’est enregistrée ni dans ses bases ni dans ses journaux.
Visiteurs de l’Union européenne : la mesure est réglée en mode « lite » : pour les visiteurs qui se connectent à un centre de données Cloudflare situé dans l’Union européenne ou l’Espace économique européen, le script n’est pas ajouté aux pages et aucune mesure n’est traitée. Le critère est le centre de données qui vous sert, non votre nationalité ni votre lieu de résidence : servi par un centre de données situé ailleurs, vous êtes mesuré comme les autres visiteurs.
Sous-traitant : Cloudflare, Inc. (101 Townsend Street, San Francisco, Californie 94107, États-Unis) traite ces mesures pour le compte d’Oorun. Lorsqu’un transfert hors de l’Union européenne a lieu, il est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne ou cadre d’adéquation applicable).
Durée de conservation : Cloudflare garde les mesures détaillées 7 jours, puis n’en conserve qu’un échantillon d’environ 10 % ; Oorun n’en voit que des statistiques, consultables sur les six derniers mois.
Base légale et opposition : ce traitement repose sur l’intérêt légitime d’Oorun à connaître la fréquentation de son site et à en améliorer les performances (article 6, paragraphe 1, point f, du RGPD). Vous pouvez vous y opposer en bloquant le script de static.cloudflareinsights.com (bloqueur de contenu ou réglages du navigateur) : le site fonctionne de la même façon sans lui. Vos droits s’exercent comme indiqué à la section « Compte et licence ».

Contact

Pour toute question : voir les coordonnées d’Oorun dans les mentions légales.