Mise à jour : 3 novembre 2026. Ces informations couvrent Community et Hosted Team 1.0 pour Android, Linux et les fonctions de navigateur associées. Les informations Hosted s’appliquent lors de l’utilisation du service concerné.
1. Responsabilité et contact
Le responsable des traitements décrits ci-dessous pour ses propres finalités est schukai, adresse postale Eichenstraße 26, 82290 Landsberied, Allemagne. Contact confidentialité, support et sécurité : hey@schukai.com. L’identité juridique complète figure dans les mentions légales. N’incluez aucun véritable identifiant d’accès, clé privée ou contenu utile dans un rapport ordinaire de support ou de sécurité.
schukai est responsable de sa gestion contractuelle, de la vérification des droits et de la sécurité nécessaire du service. Pour les contenus Hosted et les processus d’organisation traités sur instructions, schukai agit comme sous-traitant dans le périmètre convenu. L’organisation détermine les finalités et bases légales des contenus, y compris pour les expéditeurs par navigateur sans compte ni application. Les finalités propres des boutiques et destinataires externes restent distinctes.
2. Usage local et autorisations de l’appareil
Community permet des transferts locaux chiffrés entre appareils associés, sans compte utilisateur Hosted. L’application traite localement les contenus transférés, identifiants d’appareils et d’organisation, clés publiques et privées, dossiers d’association, politiques, échéances et enregistrements empêchant la réutilisation de messages déjà utilisés.
Les images de l’appareil photo sont analysées sur l’appareil pour lire les QR. L’accès à l’appareil photo et à Bluetooth nécessite les autorisations respectives du système. Les anciennes versions Android peuvent exiger une autorisation de localisation pour la découverte Bluetooth ; cela n’affirme pas que schukai collecte une localisation. L’application dispose d’Internet pour Hosted ; cela ne fait pas passer un transfert Community local par schukai.
Les données locales résident dans le stockage privé de l’application ou le magasin de clés de l’appareil. L’application Android exclut ses données de la sauvegarde système et du transfert d’appareil Android. Vous êtes responsable des exports et sauvegardes créés. La saisie locale à usage unique conserve temporairement le contenu en mémoire. D’autres applications ou services peuvent lire un presse-papiers alternatif ; l’effacer ensuite ne rappelle pas ces copies. Les claviers peuvent traiter séparément les codes d’activation saisis.
Le déverrouillage Android utilise l’authentification du système, par exemple biométrie forte ou verrouillage de l’appareil. schukai ne reçoit aucun modèle d’empreinte ou de visage. Le service de saisie facultatif WithinCells insère le contenu libéré dans le champ cible choisi. L’application cible peut ensuite le conserver ou le traiter.
Après copie, Android programme une tentative d’effacement dans les 20 secondes ou à l’expiration antérieure du message. Les restrictions du système peuvent empêcher l’accès en arrière-plan ; la tentative reste alors en attente jusqu’à ce que le focus permette à nouveau l’accès. Cela ne garantit pas l’effacement dans d’autres applications, historiques ou presse-papiers synchronisés.
L’audit local de l’appareil conserve un historique limité d’opérations techniques. Ce n’est pas une information exhaustive d’accès côté serveur.
3. Hosted Team et le navigateur
Lorsque Hosted est activé, messages et modèles chiffrés et métadonnées techniques sont transmis au service HTTPS affiché : identifiants pseudonymes d’organisation et d’appareil, clés publiques, adhésion et rôles, état des droits, dates, tailles, versions, état de remise et enregistrements basés sur des empreintes pour usage unique et protection contre la répétition. La connexion révèle aussi l’adresse IP. Des compteurs anti-abus traitent en mémoire les adresses IPv4 ou préfixes réseau IPv6 /64 avec fenêtres à la minute ; ce n’est pas un historique de navigation persistant.
Le contenu est chiffré et déchiffré sur les appareils participants ou dans le navigateur. Le service ne reçoit ni contenu en clair ni clés privées de contenu. Ce chiffrement ne protège pas contre un appareil compromis, un destinataire autorisé ou un code de navigateur manipulé. La partie qui fournit l’application navigateur appartient donc à son périmètre de confiance. Les paquets privés de récupération restent chez l’utilisateur ; les enregistrements serveur ne permettent pas à schukai de récupérer des clés privées perdues.
Les fonctions de domaine traitent le nom fourni, la preuve DNS, les heures de contrôle et la validité. Les liens de partage peuvent contenir un secret d’accès dans leur fragment d’URL. Ne partagez les liens complets qu’avec les destinataires voulus, pas dans des rapports de support ni sur des pages publiques.
4. E-mails et webhooks
Seulement si configuré, le service traite les adresses destinataires et métadonnées de remise pour les notifications, ou la destination webhook configurée et son secret d’authentification chiffré. Les notifications ne contiennent ni contenu en clair, liens secrets de partage ou clés de contenu. L’utilisateur partage séparément tout lien complet nécessaire.
Les notifications passent par un adaptateur Hosted et la passerelle de messagerie schukai à Landsberied vers le service de messagerie du destinataire désigné. Ce service traite le message sous sa propre responsabilité ou les accords de son organisation. La durée maximale configurée de file d’attente à la passerelle schukai est de cinq jours, rebonds inclus. Les journaux tournent chaque semaine, avec quatre générations archivées en plus du fichier courant. Il s’agit de configuration, pas de preuve d’une suppression effectivement exécutée.
Les durées et exclusions de sauvegarde Hosted ne s’appliquent pas automatiquement aux journaux, sauvegardes de passerelle ou systèmes destinataires. Les sauvegardes de passerelle peuvent contenir des métadonnées de remise. Supprimer la ligne destinataire de l’application n’efface donc pas toutes les copies de messages. Les destinataires conservent leurs messages selon leurs règles.
5. Vérification des achats et droits gratuits de test
Pour les achats Android, Google Play traite paiement et compte selon ses propres conditions. schukai ne reçoit aucun détail de carte bancaire. L’application transmet la preuve d’achat par TLS au service de droits, qui la vérifie auprès de Google pour l’application, l’organisation, le produit et la validité concernés. La preuve d’achat reste séparée de l’adhésion et des clés de contenu.
Le jeton d’achat brut n’est pas conservé comme valeur de base de données non chiffrée, ni inclus dans URL, journaux, exports ou QR. Un enregistrement de nouvelle tentative chiffré séparément peut exister pour un accusé en attente au maximum 24 heures à partir de sa création, sans sauvegarde. Le traitement durable conserve seulement les empreintes de corrélation nécessaires et données vérifiées d’état, de durée et de propriété. Les commandes directes peuvent aussi nécessiter hors application des données de commande, facturation et gestion contractuelle, utilisées pour celle-ci et les conservations légales.
Les codes réutilisables de test accordent des droits gratuits distincts, pas un achat ni un essai consommateur. Chaque nouvelle installation active une organisation de test isolée. Le service conserve empreinte du code, validité, révocation, plafond d’organisations et liaison initiale à l’appareil, pas le code brut ni la clé privée d’appareil.
Une provenance minimale d’achat est en outre conservée pendant la vie de l’organisation : HMAC du jeton, identifiant d’organisation, catégorie d’achat (payant ou achat de test Google), heure de première vérification et éventuelle référence de fenêtre de test. Elle empêche de réattribuer des achats purgés ou de reclasser des achats de test en droits payants. Elle ne contient ni jetons bruts, numéros de commande ni réponses Google complètes. Les fenêtres de test contiennent aussi l’identifiant exact de l’organisation, le périmètre produit et les dates d’émission, d’expiration et de clôture. Ces dossiers n’ont pas de tâche d’effacement automatique et ne sont pas couverts par le nettoyage des achats à 30 jours.
6. Conservation et sauvegardes
Les données locales restent jusqu’à suppression dans l’application, effacement du stockage ou désinstallation. Sur Android : Paramètres → Applications → WithinCells → Stockage et cache → Effacer le stockage. Cela ne supprime ni exports/sauvegardes séparés ni données Hosted.
Les durées suivantes décrivent les cycles de vie applicatifs. Expiration ou révocation de droits et effacement effectif sont distincts. Un échec de maintenance peut retarder le nettoyage physique sans créer une finalité supplémentaire de traitement.
| Données | Cycle de vie |
|---|---|
| Contenus Relay | Suppression à l’état terminal ou à l’expiration ; sans sauvegarde ni archive WAL |
| Dossiers Relay sans contenu | Sept jours |
| Remise de notification | Sept jours après achèvement ; remise en attente selon son cycle de vie |
| Destinataire e-mail | Chiffré tant qu’activé ; effacé immédiatement sur effacement explicite ; désactivé/achevé sans tentative : immédiatement, sinon 24 heures après dernière tentative ; sans sauvegarde |
| Nouvelle tentative Play chiffrée | Accusé ou maximum 24 heures depuis création ; sans sauvegarde ; une vérification ultérieure ne prolonge pas la fenêtre |
| Empreintes d’événements Play | 30 jours après réception, événements ignorés inclus |
| Ancienne association d’achat Play | 30 jours après expiration terminale si elle n’est plus la lignée actuelle et aucun événement ne la référence ; l’association actuelle demeure tant que le droit existe |
| Vérifications DNS | Durée configurée plus 30 jours |
| Empreinte de code de récupération | 30 jours après utilisation ou expiration ; une utilisation reste conservée tant que la rotation d’organisation est en attente |
| Cache technique des réponses aux demandes répétées | 24 heures ; sans sauvegarde |
| Empreintes de nonces des requêtes signées | Jusqu’à une seconde après la fenêtre de signature autorisée ; sous les limites d’horloge documentées au maximum 8 minutes et 1 seconde après acceptation en base |
| Réservation de modèle non achevée | 15 minutes |
| Protection contre répétition de modèle supprimé | 24 heures ; contenu du modèle retiré à la suppression |
| Organisation, appareils, modèles, configuration et reçus de récupération | Données Control durables ; reçus de réparation/révocation liés à l’organisation ou appareil. Aucun effacement automatique de toute l’organisation dans cette version ; demandez accès ou effacement au contact ci-dessous |
| Droit et association de test | Aucune purge automatique des lignes en v1 ; expiration/révocation termine les droits sans effacer les métadonnées. Association d’accès gratuit et prévention des abus ; demandez l’effacement au contact ci-dessous |
Demandez accès ou effacement à hey@schukai.com, objet « WithinCells privacy ». Fournissez seulement les informations nécessaires au rapprochement, sans clés privées ni liens secrets complets. Pour un traitement sur instructions, l’autorité est vérifiée avec l’organisation responsable. L’application ne propose actuellement aucun effacement serveur automatique de toute l’organisation. Désinstaller, résilier l’abonnement, révoquer l’accès de test ou clôturer une fenêtre de test n’efface pas les données. Les dossiers durables sont conservés seulement tant que nécessaires aux finalités décrites ou obligations légales ; leur persistance technique ne justifie aucune conservation indéfinie.
Au lancement prévu, la mise en œuvre et la vérification des sauvegardes Control de production sont reportées après la sortie. L’exception documentée du responsable court de 2026-10-27T22:14:10Z à 2026-11-10T22:14:10Z (exclu). Avant mise en œuvre et vérification, aucune sauvegarde Control disponible ou récupérable n’est promise ; la perte de données Control durables peut être définitive. L’expiration de l’exception ne prouve pas qu’une sauvegarde a été mise en œuvre.
Des sauvegardes Control chiffrées séparées sont prévues, comprenant modèles chiffrés et dossiers techniques de droits. Contenus Relay, jetons d’achat bruts, clés de contenu, destinataires transitoires et nouvelles tentatives n’y ont pas leur place. Une sauvegarde Control de production n’est pas présentée comme disponible dans cette version. Fournisseur, lieu et durée seront annoncés dans des informations actualisées avant activation. Une sauvegarde ne peut intégrer rétroactivement les suppressions ou révocations ultérieures ; celles-ci doivent être rapprochées avant reprise du trafic. La récupération de contenus Relay ou clés privées perdus n’est pas promise.
7. Destinataires, bases légales et droits
L’hébergement est prévu chez DigitalOcean, LLC dans la région serveur Francfort (fra1), pour les contenus Hosted chiffrés et métadonnées décrits. La section 4 décrit la chaîne de messagerie. Google Play traite les informations d’achat et de boutique pour ses propres finalités ; destinataires et exploitants de webhooks désignés par l’organisation peuvent recevoir des données. Une région serveur allemande n’exclut pas les accès hors EEE. Ces transferts ne sont autorisés que selon le chapitre V du RGPD, par exemple une décision d’adéquation applicable ou des clauses contractuelles types avec mesures supplémentaires requises. Contactez hey@schukai.com pour les garanties d’un transfert précis et leur copie.
| Finalité sous responsabilité propre | Base légale et fourniture |
|---|---|
| Offres, contrats directs et support de notre cocontractant | Art. 6(1)(b) RGPD ; coordonnées/données contractuelles nécessaires au traitement de la commande ou demande. Sans elles, traitement impossible. |
| Contacts professionnels et association appareil/achat sans contrat propre de la personne | Art. 6(1)(f) RGPD ; intérêts à fourniture autorisée, association et prévention des abus. Métadonnées nécessaires seulement ; sans publicité ni profilage. |
| Conservation légale des factures/contrats | Art. 6(1)(c) RGPD avec règle effectivement applicable ; pièces comptables généralement huit ans et correspondance professionnelle six ans, à compter de la fin de l’année concernée, sous réserve des prolongations légales. |
| Sécurité propre du service et prévention des abus | Art. 6(1)(f) RGPD ; protection des utilisateurs, du service et des droits. Données de connexion/vérification nécessaires à l’opération Hosted concernée. |
Pour les traitements sur instructions, l’organisation détermine la base légale de ses contenus. Les autorisations photo et système contrôlent des fonctions d’appareil ; elles ne sont pas un consentement RGPD général aux traitements Hosted ou contractuels. Les destinations de notification sont facultatives ; sans adresse destinataire, aucune notification e-mail.
Le service vérifie automatiquement les droits selon validité de l’achat, association à l’organisation et preuves de sécurité. Un échec peut empêcher l’accès Hosted ; cela ne restaure pas des clés perdues. Pour contester une association ou suspension, demandez un examen humain à hey@schukai.com. Ce contrôle n’évalue ni solvabilité ni contenu de messages.
Sous réserve des conditions légales, vous pouvez demander accès, rectification, effacement, limitation et portabilité. Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime pour des raisons liées à votre situation particulière. Le consentement peut être retiré pour l’avenir. Contact : hey@schukai.com. Les demandes sur des traitements sur instructions sont traitées avec l’organisation responsable ; nous ne pouvons fournir des contenus en clair ou clés que nous ne détenons pas. De vrais secrets ne sont pas une preuve d’identité. Vous pouvez saisir une autorité compétente, dont l’autorité bavaroise de protection des données.
WithinCells n’utilise ni publicité, analyse ni services de rapport de plantage dans le périmètre décrit. La page invitée Hosted n’utilise ni cookies, stockage persistant du navigateur ni télémétrie tierce. Le site produit général a son propre avis de confidentialité. Le service ne s’adresse pas aux enfants. Les modifications importantes sont communiquées par le canal de distribution prévu.
Autres droits relatifs aux données et modifications importantes
schukai ne vend pas de données personnelles.
Les traitements et les moyens de contact décrits dans ces informations s’appliquent également lorsque l’application est utilisée hors d’Allemagne. Les droits impératifs prévus par le droit applicable à la protection des données restent garantis et ne se limitent pas aux droits du RGPD expressément mentionnés ici. Selon le droit applicable et ses conditions, il peut notamment s’agir de la confirmation d’un traitement, de l’accès, de la rectification, de l’effacement, de l’anonymisation ou du blocage de données traitées illégalement ou devenues inutiles, de la portabilité, de l’opposition et du retrait du consentement. Les demandes concernant les données traitées par schukai peuvent être adressées à hey@schukai.com. Une réclamation auprès d’une autorité de protection des données compétente reste possible.
Lorsque la LGPD brésilienne s’applique au traitement, les droits qu’elle prévoit restent garantis, notamment la confirmation et l’accès, la rectification, l’anonymisation, le blocage ou l’effacement de données inutiles, excessives ou traitées illégalement, la portabilité prévue par la loi, les informations sur les destinataires ainsi que sur la possibilité et les conséquences d’un refus de consentement, le retrait du consentement et l’effacement lié au consentement. Les exceptions légales et les obligations de conservation continuent de s’appliquer. Les demandes peuvent être présentées par le contact indiqué ci-dessus ; le droit de saisir l’ANPD reste intact.
Si les traitements décrits ici changent de manière importante, nous informons expressément les personnes concernées de la modification, de sa date de début, de ses conséquences et des droits applicables. Pour une modification d’une fonction de l’application, une information bien visible dans l’application est fournie avant le début du traitement concerné. Si une modification d’un service ou du support concerne aussi d’anciennes versions de l’application, nous assurons en outre une information directe appropriée, suffisamment tôt avant son début, par un moyen de contact ou un canal de service existant dont l’usage est licite. Une modification discrète du site ou la seule publication d’une mise à jour ne suffit pas. Tout consentement nécessaire est recueilli avant le traitement qui en dépend. Une information sur les données personnelles ne vaut pas acceptation d’une modification contractuelle.