Version du document 2.3.2, mise à jour : 3 novembre 2026
Cette politique décrit le lanceur Android Workspace de schukai, paquet com.schukai.nucleus, dans la version avec historique local de diagnostic facultatif. Elle couvre l’écran d’accueil, les applications professionnelles séparées, les connexions d’entreprise, l’authentificateur local, la synchronisation facultative entre appareils et les diagnostics. Les informations antérieures restent accessibles pour les anciennes versions. La version du document désigne cette politique, pas le numéro de build de l’application installée.
Responsable et contact
Le responsable de l’offre de l’application est schukai, Eichenstraße 26, 82290 Landsberied, Allemagne. Adressez vos questions relatives aux données personnelles à hey@schukai.com. Les autres coordonnées figurent dans les mentions légales de schukai.
Lors d’une connexion d’entreprise, l’exploitant de l’instance schukai Workspace choisie traite aussi des données. Ses informations relatives aux données personnelles et sa responsabilité pour les comptes professionnels et les données serveur s’appliquent en complément.
Écran d’accueil et données locales
Le lanceur fonctionne sans compte ni connexion d’entreprise. Il utilise Android pour connaître les entrées d’applications, noms, icônes et profils professionnels accessibles. Cela permet d’afficher la liste et d’ouvrir l’application choisie. Le lanceur n’envoie pas cet inventaire à schukai.
Favoris, listes nommées, informations d’entreprise, apparence, filtres et préférences gestuelles sont stockés localement. Les données de disposition sélectionnées ne sont transmises à d’autres appareils que si vous activez la synchronisation et les associez expressément selon la description ci-dessous. Pour trier par utilisation, Workspace conserve localement nombres et dates d’ouvertures d’applications depuis le lanceur. Il ne contient ni publicité ni services d’analyse.
Ouvrir une autre application lui transfère le contrôle. Ses contenus, comptes et serveurs ont leurs propres informations de confidentialité. Cela ne permet pas à Workspace de lire ses messages, contacts ou contenus.
Fonds personnalisés et sélection d’images
Si vous choisissez un fond personnalisé, Workspace lit le fichier image sélectionné par Android, le traite localement et en conserve une copie dans son stockage privé. Workspace ne téléverse pas l’image vers schukai. Un fournisseur de fichiers ou de cloud sélectionné par Android peut traiter cet accès selon sa propre politique.
La copie locale de l’image, la couleur, le dégradé et l’orientation de l’écran choisis ne sont pas inclus dans l’exportation de disposition ni dans la synchronisation. Retirer ou remplacer une image supprime la copie locale inutilisée dans l’application. Le fichier original reste intact chez le fournisseur choisi.
Applications professionnelles séparées et boutiques externes
À votre choix et après confirmation, Android crée un profil professionnel. Workspace gère uniquement le profil qu’il a inscrit. Celui-ci sépare ses applications et données installées du profil personnel. Une simple liste de favoris ne crée pas cette séparation.
Workspace répertorie les applications professionnelles prises en charge et peut ouvrir, suspendre ou, après confirmation Android, désinstaller les applications installées. Les protections concernent seulement son propre profil professionnel. Un nom d’entreprise saisi localement n’est pas une connexion d’entreprise vérifiée.
Workspace n’importe, ne partage, ne télécharge et n’installe aucun fichier APK. Vous ouvrez expressément les liens de boutiques disponibles ; le fournisseur externe gère installation et traitement des données selon ses propres informations. Toutes les boutiques ne sont pas disponibles dans chaque profil professionnel. La gestion locale du profil ne transmet aucun inventaire à un serveur de gestion.
Lors d’une mise à niveau depuis une ancienne version, Workspace nettoie ses sessions d’installation en attente, fichiers APK préparés et anciennes routes APK entre profils. Les applications installées et leurs données, le nom d’entreprise et les empreintes de certificats de signature déjà conservées localement restent intacts. Aucune installation en attente n’est achevée automatiquement.
Android permet aussi de suspendre ou supprimer le profil professionnel. Confirmer sa suppression supprime ses applications et données locales, pas les données personnelles des applications. Supprimer un profil ne supprime pas automatiquement les données déjà enregistrées sur un serveur par une application professionnelle.
Le geste facultatif distinct de verrouillage nécessite l’autorisation Android d’administrateur de l’appareil pour verrouiller l’appareil personnel. Cette autorisation ne permet ni administration à distance ni transfert des contenus privés des applications.
Connexion d’entreprise et appareil photo
L’accès d’entreprise est désactivé par défaut et peut être activé pour cet appareil dans les paramètres. Il est indépendant de la synchronisation et de l’authentificateur local. Workspace ne contacte l’instance HTTPS choisie que lorsque vous lancez une connexion d’entreprise. L’association transmet l’identifiant d’association, les données de confirmation, le libellé « Workspace Android », la plateforme Android et la version de l’application. Le serveur traite aussi l’adresse IP nécessaire à la connexion.
Après votre confirmation, l’instance retourne une session et un contexte d’entreprise. Les demandes ultérieures d’identité et de déconnexion utilisent cette session. Les identifiants de session sont chiffrés sur l’appareil avec Android Keystore et exclus des exports de configuration et de la sauvegarde Android configurée par l’application.
L’appareil photo lit un code QR de connexion avec votre autorisation. Les images sont traitées localement, sans téléversement d’images ni enregistrement. Les informations du code QR servent à la connexion d’entreprise que vous avez lancée.
Les informations de l’exploitant de l’entreprise déterminent quels journaux serveur et données de compte il conserve et pour combien de temps. Une entreprise saisie manuellement n’est pas encore une connexion serveur vérifiée.
Synchronisation directe facultative entre appareils par Bluetooth
La synchronisation est désactivée par défaut. Si vous l’activez, Android demande l’accès aux appareils à proximité, sauf autorisation déjà accordée. Workspace utilise Bluetooth pour trouver et connecter les appareils choisis, pas pour déduire votre position. Le lecteur QR n’utilise l’appareil photo que si vous l’ouvrez expressément et accordez l’autorisation ; les images sont traitées localement, sans téléversement ni enregistrement.
L’association utilise une invitation limitée dans le temps et un code que vous comparez et confirmez sur les deux appareils. Workspace crée une identité d’installation distincte dont la clé privée est conservée dans Android Keystore. Les appareils vérifient mutuellement leurs certificats ; l’association Bluetooth Android seule n’établit pas la confiance dans Workspace. Les données passent directement par Bluetooth, avec chiffrement TLS 1.3 supplémentaire et vérification mutuelle des certificats. Aucun serveur schukai, cloud ou service Google Nearby ne participe à cet échange.
Les données transférées sont les listes portables de favoris : noms, identifiants, ordre, identifiants de paquets et composants d’applications, libellés et réglages d’apparence et clair/sombre associés. Elles peuvent révéler vos applications favorites. Leurs contenus ne sont ni lus ni transférés. Informations et sessions d’entreprise, contenus de l’authentificateur, compteurs et historique d’utilisation, identifiants Android propres au profil professionnel, sélection de la liste active et autres réglages locaux sont exclus. Les images de fond, couleurs, dégradés et orientations décrits ci-dessus restent également locaux.
Workspace conserve dans son stockage privé les noms et adresses Bluetooth des appareils associés, empreintes de certificats et relations de confiance, l’heure de la dernière synchronisation réussie et des instantanés communs de comparaison des dispositions. En cas de conflit, les dispositions concernées et le choix effectué pour le résoudre sont conservés. Ces données permettent reconnexion, détection des changements et résolution visible des conflits. Identité d’installation, confiance et instantanés de comparaison sont exclus des exports de configuration, de diagnostic et de la sauvegarde Android configurée par l’application.
La synchronisation ne fonctionne que si elle est activée, si Workspace est au premier plan et si l’appareil est déverrouillé et actif. Les appareils déjà associés peuvent alors se reconnecter et synchroniser les changements de disposition. Aucune livraison en arrière-plan n’est promise. Les dispositions peuvent se propager par d’autres appareils expressément associés ; chaque connexion directe nécessite sa propre relation de confiance. Android peut aussi voir les métadonnées Bluetooth et appareils associés. L’application ne rend pas les appareils anonymes vis-à-vis d’Android.
Désactiver la fonction arrête les connexions et synchronisations en cours, sans effacer les relations de confiance ni vos dispositions. Retirer un appareil associé supprime cette relation locale directe et son instantané de comparaison, pas les relations d’autres appareils ni les données déjà conservées sur ceux-ci. Des synchronisations ultérieures remplacent les instantanés. L’identité propre de l’installation reste jusqu’à une réinitialisation distincte de la synchronisation, un effacement des données ou une désinstallation.
La réinitialisation distincte de la synchronisation supprime les relations de confiance locales actives, leurs instantanés de comparaison et de conflit, l’identité de synchronisation et les fichiers temporaires de transfert. Vos listes de favoris et votre coffre d’authentificateur restent intacts. Cette réinitialisation ne crée pas de copie supplémentaire d’un stockage de confiance corrompu.
Au démarrage après la mise à jour, Workspace tente de supprimer les copies privées d’erreur de ce stockage laissées par d’anciennes versions, même si la synchronisation est désactivée. Les échecs de suppression sont affichés localement et la suppression est réessayée aux démarrages suivants. Les anciens fichiers peuvent rester jusqu’à une suppression réussie. Ils ne sont pas exportés ou téléversés à la place. Ce nettoyage ne modifie pas les favoris valides ni le coffre d’authentificateur.
Transfert distinct d’une sauvegarde chiffrée de l’authentificateur
Indépendamment des dispositions, vous pouvez demander l’envoi d’une sauvegarde distincte de l’authentificateur à un appareil de confiance choisi. Après une nouvelle authentification et la saisie de votre phrase secrète, Guard crée un fichier de sauvegarde chiffré des comptes actuels. L’appareil destinataire doit aussi accepter la réception. Seul ce fichier, chiffré en plus par phrase secrète, passe par la connexion Bluetooth chiffrée. Le coffre n’est pas synchronisé automatiquement. Clés d’appareil, phrases secrètes et clés de configuration en clair ne sont pas transférées.
Pour le transfert, le fichier chiffré et les métadonnées d’association à l’appareil restent temporairement dans le stockage privé des deux appareils. Ce stockage est exclu des fichiers publics, des exports de configuration et de la sauvegarde Android configurée par l’application. Les fichiers temporaires ont une durée de vie de 24 heures ; les fichiers expirés sont nettoyés au prochain accès à ce stockage. Workspace supprime le fichier sortant après un transfert réussi, et le fichier reçu après une restauration réussie. Vous pouvez aussi supprimer expressément les fichiers proposés à cet endroit. schukai ne reçoit ni fichier ni phrase secrète par un serveur.
Le fichier reçu n’est importé que par le parcours existant de restauration, après saisie distincte de votre phrase secrète, vérification de l’aperçu et authentification. Un transfert réussi ne prouve pas une restauration réussie. Déconnecter les appareils ne supprime ni les comptes déjà restaurés chez le destinataire ni les sauvegardes enregistrées séparément. Conservez une sauvegarde indépendante utilisable et sa phrase secrète séparément.
Historique local de diagnostic facultatif
L’historique est désactivé par défaut, y compris après une mise à niveau depuis une version à diagnostic automatique. Workspace n’enregistre des événements techniques qu’après votre information, votre consentement exprès et votre activation. Vous pouvez utiliser le lanceur, y compris favoris et Guard, sans cet historique.
L’historique aide à examiner les échecs de chargement, listes d’applications incomplètes et rechargements du lanceur. Il ne sert ni à la publicité ni à évaluer votre travail. Il contient des horodatages, des codes prédéfinis d’écrans Workspace et d’événements du cycle de vie, des durées de chargement, nombres agrégés d’applications/icônes et états d’erreur ou de chargement.
Il n’enregistre ni noms d’applications, identifiants de paquets, recherches, noms de listes, données de compte ou de connexion, secrets de l’authentificateur, contenus libres de messages d’erreur ni traces de pile. Les horodatages et changements d’écran peuvent néanmoins révéler des habitudes d’utilisation combinés à d’autres informations. L’historique n’est pas considéré comme catégoriquement anonyme.
L’historique reste dans le stockage privé de l’application. Il est exclu de sa sauvegarde Android configurée, de la synchronisation Bluetooth et des exports de configuration ordinaires. Il n’est pas transmis automatiquement à schukai ni à un service d’analyse. La protection Android du stockage s’applique ; Workspace ne chiffre pas en plus le fichier de diagnostic lui-même.
L’enregistrement reste actif jusqu’à sa désactivation, y compris après redémarrage de l’application. L’historique actif contient au maximum 128 événements. Ajouter des entrées remplace si nécessaire les plus anciennes ; celles de plus de 24 heures sont retirées de l’historique utilisable à l’accès. Le fichier est actualisé lors d’une écriture réussie. Sans utilisation supplémentaire ou en cas d’échec du stockage, d’anciens contenus du fichier peuvent rester plus longtemps. Il n’existe ni tâche de suppression programmée en arrière-plan ni promesse de suppression physique exactement après 24 heures. Les rapports préparés ou exportés sont des copies distinctes.
Vous pouvez retirer votre consentement pour l’avenir à tout moment en désactivant l’historique. L’enregistrement s’arrête ; l’historique existant, ses fichiers résiduels internes et les instantanés de rapport encore dans l’application sont supprimés. Les échecs sont signalés comme tels et la suppression peut être réessayée. Paramètres, favoris et Guard sont préservés. Le retrait ne remet pas en cause la licéité des traitements fondés sur votre consentement avant son retrait.
« Supprimer l’historique existant » permet aussi de retirer séparément l’historique et les instantanés de rapport en attente. Si l’enregistrement reste actif, de nouveaux événements sont ensuite enregistrés. Un simple rechargement du lanceur ou une réinitialisation de disposition ne supprime pas l’historique. Les contrôles locaux ne peuvent rappeler des fichiers exportés ni des copies envoyées au support.
Workspace conserve le réglage choisi et une preuve locale minimale des informations présentées et de l’heure d’octroi ou de retrait du consentement, séparément de l’historique. Aucun contenu de compte ni nouvel identifiant d’appareil n’est collecté à cette fin et aucun enregistrement n’est envoyé automatiquement à un serveur. Le réglage commande la fonction choisie. Lorsqu’une preuve de consentement est une donnée personnelle, elle répond à l’obligation de preuve de l’article 7, paragraphe 1 du RGPD, sur le fondement de l’article 6, paragraphe 1, point c, et n’est conservée que le temps nécessaire à cette preuve. Le nettoyage à 24 heures de l’historique ne lui est pas applicable.
Lors du passage à cette fonction facultative, les anciennes données de diagnostic automatique et leurs copies résiduelles/de rapport dans l’application sont nettoyées. Un ancien réglage d’enregistrement n’est pas traité comme un nouveau consentement. En cas d’échec de suppression, l’enregistrement reste désactivé et le nettoyage peut être réessayé.
Recharger le lanceur
« Recharger le lanceur » recharge l’écran d’accueil et la liste des applications. Si vous avez activé l’historique de diagnostic, Workspace tente d’abord de l’enregistrer. Un échec n’empêche pas le rechargement et est signalé. Le rechargement n’active pas l’historique sans activation. Les paramètres, favoris et données Guard/authentificateur conservés ne sont pas réinitialisés. La fonction ne promet pas de corriger la cause de la panne.
Export de diagnostic volontaire et support
Workspace ne prépare un rapport texte que si vous lancez et confirmez expressément l’export de diagnostic. Il contient version de l’application, fabricant et modèle de l’appareil, version Android dont niveau API, états techniques actuels de chargement/erreur, nombres d’applications/icônes et explication des codes d’écran. Un historique facultatif existant ajoute horodatages et événements techniques. Vous pouvez demander un rapport de l’état actuel même si l’historique est désactivé ; les événements passés ne sont pas enregistrés rétroactivement et l’export ne l’active pas.
Le rapport ne contient ni noms/identifiants de paquets des applications, listes de favoris, recherches, comptes d’entreprise, données de connexion ni secrets de l’authentificateur. Les informations sur l’appareil, horodatages et demande de support ultérieure peuvent néanmoins permettre de vous l’associer. Il n’est pas catégoriquement anonyme.
Vous choisissez la destination dans le sélecteur de documents Android. Un fournisseur de fichiers ou de cloud choisi peut traiter le fichier ou le conserver hors de votre appareil ; ses informations de confidentialité et conditions de transfert applicables s’ajoutent. Workspace ne chiffre pas en plus le rapport texte exporté. Vérifiez-le avant partage et choisissez délibérément destination et destinataire. Confirmer l’export n’envoie ni e-mail ni téléversement automatique à schukai. Vous effectuez vous-même toute communication ultérieure au support.
Le rapport préparé reste local pendant le choix de document et peut être restauré pour cette opération après interruption. Workspace efface cet instantané en attente après la tentative d’export, l’annulation du sélecteur ou l’échec de son lancement. Une opération qui reste en attente n’a pas de limite distincte de 24 heures. Vous gérez et supprimez vous-même fichiers exportés et copies chez le fournisseur choisi.
Si vous envoyez un rapport à hey@schukai.com, nous recevons son contenu avec votre adresse e-mail, message et autres informations fournies volontairement. Nous les utilisons pour traiter votre demande et examiner le problème. Les demandes contractuelles relèvent de l’article 6, paragraphe 1, point b du RGPD ; les autres de notre intérêt légitime à répondre, selon le point f. Nous les conservons le temps nécessaire au traitement et à des fins probatoires légitimes et limitées dans le temps, sous réserve des obligations légales de conservation selon le point c. Les informations sur les prestataires d’e-mail/support figurent dans la politique du site. Le nettoyage local à 24 heures ne supprime pas ces dossiers de support.
Exportation, conservation et suppression
Vous exportez expressément la configuration vers le lieu choisi. La configuration exportée du lanceur ne contient aucun identifiant de session. Si vous choisissez le cloud, les conditions du fournisseur s’appliquent également. Vous devez supprimer vous-même fichiers exportés et copies sur leurs lieux de stockage.
Les préférences locales restent jusqu’à leur modification, réinitialisation ou effacement des données de l’application. Réinitialiser une disposition ne supprime pas les données d’autres applications. Retirer une connexion d’entreprise supprime la session locale ; une tentative de déconnexion serveur ne remplace pas une demande de suppression du compte d’entreprise. Contactez l’exploitant de l’instance à cet effet.
Votre navigateur ouvre les sites liés. La politique du site s’applique en complément lors de leur consultation.
Finalités, bases légales et vos droits
Le traitement sert aux fonctions demandées et, pour les connexions d’entreprise, à la connexion autorisée. Lorsque schukai traite des données personnelles pour exécuter votre contrat, la base est l’article 6, paragraphe 1, point b du RGPD. Pour les comptes d’entreprise, l’exploitant responsable fixe la base applicable. Une autorisation Android seule ne remplace pas cette base.
Pour l’historique de diagnostic facultatif, lorsque schukai traite des données personnelles à cette fin, la base est votre consentement selon l’article 6, paragraphe 1, point a du RGPD. Nous recueillons votre consentement au stockage ou à l’accès correspondant sur votre appareil selon l’article 25, paragraphe 1 TDDDG. Les fonctions essentielles du lanceur ne dépendent pas de ce consentement. Vous pouvez le retirer à tout moment en désactivant l’enregistrement ; une invocation générale des intérêts légitimes ne le remplace pas pour cet historique.
L’enregistrement du réglage choisi est exempté de consentement relatif à l’équipement terminal selon l’article 25, paragraphe 2, point 2 TDDDG dans la mesure strictement nécessaire à cette commande. Cela n’affirme aucune exemption générale pour les diagnostics. Pour un export de l’état actuel expressément demandé, lorsque des données personnelles sont traitées pour fournir ce service et que les conditions sont remplies, la base est l’article 6, paragraphe 1, point b du RGPD. Les rapports envoyés volontairement au support sont traités séparément selon les bases décrites ci-dessus.
Sous réserve des conditions légales, vous disposez de droits d’accès, rectification, effacement, limitation et portabilité. Vous pouvez vous opposer aux traitements fondés sur des intérêts légitimes et retirer votre consentement pour l’avenir. Vous pouvez aussi saisir une autorité de protection des données. Contactez schukai à l’adresse ci-dessus pour ses traitements et l’exploitant concerné pour une instance d’entreprise indépendante.
Anciennes versions de Workspace
Avant la version 2.0.0, Workspace utilisait une autre interface avec suivi du temps en ligne, tâches et discussion de service. Cette politique ne prétend pas que ces fonctions étaient exclusivement locales. Les informations du service et de l’exploitant du serveur concerné s’appliquent à ces traitements antérieurs. Le nouveau lanceur ne convertit pas les anciennes données conservées en favoris et ne les supprime pas automatiquement.
Authentificateur local depuis la version 2.1.0
Si vous utilisez l’authentificateur, Workspace conserve émetteurs, noms de compte et clés de configuration TOTP dans un coffre local chiffré distinct. L’accès nécessite les identifiants de déverrouillage Android ou une biométrie forte, ainsi qu’une protection des clés par matériel. Workspace n’obtient ni copie du PIN de l’appareil ni modèles biométriques. Quitter l’activité ou rester inactif deux minutes verrouille le coffre. La lecture du QR de configuration ne demande l’appareil photo qu’après votre action et l’autorisation Android. La génération de codes ne nécessite pas de réseau et n’envoie aucune clé à schukai.
Sauvegarde et restauration ont lieu uniquement à votre demande. Un fichier distinct contient noms de compte et clés de configuration chiffrés avec sa propre phrase secrète. Vous choisissez le fournisseur de stockage par Android ; un cloud choisi peut traiter le fichier chiffré selon ses conditions. schukai ne reçoit ni fichier ni phrase secrète. Cela est distinct de l’export de configuration du lanceur. Conservez une copie hors du téléphone et sa phrase secrète séparément ; sans sauvegarde utilisable ni phrase secrète, schukai ne peut récupérer les comptes perdus.
Les codes ne vont dans le presse-papiers Android qu’après votre action explicite Copier. Workspace les marque sensibles et tente d’effacer sa propre copie après 30 secondes ou lors du verrouillage. Android et d’autres applications peuvent traiter des copies supplémentaires ; Workspace ne peut rappeler une copie déjà transmise à une autre application.
Vous pouvez supprimer des entrées individuelles dans l’authentificateur. Effacer les données de Workspace ou désinstaller l’application supprime aussi son stockage local d’authentificateur. Cela ne supprime pas les sauvegardes conservées séparément ; retirez-les chez le fournisseur choisi.
Autres droits relatifs aux données et modifications importantes
schukai ne vend pas de données personnelles.
Les traitements et les moyens de contact décrits dans ces informations s’appliquent également lorsque l’application est utilisée hors d’Allemagne. Les droits impératifs prévus par le droit applicable à la protection des données restent garantis et ne se limitent pas aux droits du RGPD expressément mentionnés ici. Selon le droit applicable et ses conditions, il peut notamment s’agir de la confirmation d’un traitement, de l’accès, de la rectification, de l’effacement, de l’anonymisation ou du blocage de données traitées illégalement ou devenues inutiles, de la portabilité, de l’opposition et du retrait du consentement. Les demandes concernant les données traitées par schukai peuvent être adressées à hey@schukai.com. Une réclamation auprès d’une autorité de protection des données compétente reste possible.
Lorsque la LGPD brésilienne s’applique au traitement, les droits qu’elle prévoit restent garantis, notamment la confirmation et l’accès, la rectification, l’anonymisation, le blocage ou l’effacement de données inutiles, excessives ou traitées illégalement, la portabilité prévue par la loi, les informations sur les destinataires ainsi que sur la possibilité et les conséquences d’un refus de consentement, le retrait du consentement et l’effacement lié au consentement. Les exceptions légales et les obligations de conservation continuent de s’appliquer. Les demandes peuvent être présentées par le contact indiqué ci-dessus ; le droit de saisir l’ANPD reste intact.
Si les traitements décrits ici changent de manière importante, nous informons expressément les personnes concernées de la modification, de sa date de début, de ses conséquences et des droits applicables. Pour une modification d’une fonction de l’application, une information bien visible dans l’application est fournie avant le début du traitement concerné. Si une modification d’un service ou du support concerne aussi d’anciennes versions de l’application, nous assurons en outre une information directe appropriée, suffisamment tôt avant son début, par un moyen de contact ou un canal de service existant dont l’usage est licite. Une modification discrète du site ou la seule publication d’une mise à jour ne suffit pas. Tout consentement nécessaire est recueilli avant le traitement qui en dépend. Une information sur les données personnelles ne vaut pas acceptation d’une modification contractuelle.