Politique de confidentialité de KeepWatch

HYPER C · En vigueur le 11 novembre 2026

Cette traduction est fournie à titre indicatif. Seule la version anglaise fait foi ; en cas de divergence, le texte anglais prévaut.

En bref. KeepWatch trouve les caméras de votre propre réseau et vous montre ce qu’elles voient, sans compte. Les adresses et les identifiants de vos caméras, ce que vous regardez, ce que le téléphone garde pour revenir en arrière, les captures et les clips que vous enregistrez et le mouvement qu’il trouve restent tous sur votre téléphone. Par défaut, rien n’en sort, sauf les rapports d’incident, qui vont à un serveur que nous exploitons nous-mêmes, et une demande au lancement à Firebase, de Google, pour les réglages à distance de l’application ; un rapport sur une caméra qui ne se connecte pas n’en sort que si vous l’envoyez, et les rapports d’utilisation anonymes sont désactivés tant que vous ne les activez pas. Si vous vous connectez — avec Apple, avec Google ou avec un code envoyé à votre adresse e-mail —, nous détenons votre adresse e-mail, avec Google aussi votre nom et un lien vers votre photo de profil, et les enregistrements qui vous maintiennent connecté. Si vous activez le Relais, le téléphone resté à la maison garde la vidéo de toutes ses caméras, regardées ou non, sur ce seul téléphone, et nous envoie la liste de ses caméras — leurs noms, leurs adresses sur votre réseau domestique et leurs identifiants, vos zones et vos murs — scellée sous une phrase secrète de relais que nous ne pouvons pas ouvrir, et la vidéo, les captures et les commandes de caméra voyagent scellées sous la même phrase secrète d’un de vos téléphones à l’autre. Vos téléphones essaient de se connecter directement l’un à l’autre ; quand ils n’y parviennent pas, ce trafic scellé transite par notre serveur en temps réel, sans être stocké, et nous ne pouvons pas le lire là non plus. Si vous activez la Synchronisation, votre configuration est conservée sur notre serveur pour vos autres téléphones, scellée sous la même phrase secrète. Pro s’achète sur l’App Store ou Google Play, et rien de l’achat ne parvient à nos serveurs ; si vous avez activé les rapports d’utilisation, Firebase, de Google, le compte avec le reste de ces rapports, sans le rattacher à vous. Nous n’affichons pas de publicité, et nous ne vendons ni ne partageons vos informations personnelles à des fins publicitaires.

Cette politique explique quelles données l’application KeepWatch (« l’application ») traite, ce qui parvient à HYPER C (« nous ») et ce qui reste sur votre téléphone et sur votre réseau. Elle s’applique à l’application sur iOS et Android, au service de relais qui la sous-tend et aux e-mails que nous envoyons à cause d’elle. HYPER C est le nom commercial de 임중혁 (Joong Hyuk Im), entrepreneur individuel en République de Corée, numéro d’enregistrement d’entreprise 494-01-04265 ; « nous » désigne 임중혁, exerçant sous le nom HYPER C. Vos questions sont les bienvenues à [email protected]. Cette politique est rédigée en anglais et publiée aussi en espagnol, en portugais, en français, en japonais, en chinois simplifié et en coréen ; les traductions sont fournies à titre indicatif et, si l’une d’elles diffère du texte anglais, le texte anglais prévaut.

1. Les données qui restent sur votre téléphone

L’application est complète sans compte. Tout ce dont elle a besoin se trouve sur votre téléphone :

• Vos caméras — le nom, le modèle et l’adresse de chaque caméra sur votre réseau, les adresses de flux enregistrées avec elle et le nom d’utilisateur avec lequel l’application s’y connecte, dans la base de données locale de l’application, avec vos zones et vos murs. Le mot de passe de chaque caméra, et toute adresse de flux qui contient des identifiants, sont conservés à part de cette base, dans le trousseau sécurisé de votre téléphone (Trousseau iOS / Android Keystore) ; sur un iPhone, ils ne peuvent être lus que sur ce téléphone, et seulement une fois qu’il a été déverrouillé après son démarrage. Ils sont exclus de la sauvegarde dans le cloud du téléphone et du transfert vers un nouveau téléphone : un téléphone restauré depuis une sauvegarde retrouve vos caméras, mais redemande le mot de passe de chacune. L’application les relit pour se connecter à vos caméras ; quiconque peut utiliser votre téléphone déverrouillé et l’application peut donc toujours s’en servir.
• Ce que vous regardez — l’image en direct va tout droit de la caméra au téléphone par votre propre réseau. Tant qu’une caméra ou un mur est à l’écran, ce qui y joue est gardé sur le téléphone pour que vous puissiez revenir en arrière, dans le stockage temporaire de l’application et nulle part ailleurs. Un téléphone dont le Relais est activé garde plus que ce qui y est regardé : tant que le Relais est activé, il garde la vidéo de toutes ses caméras, que quelqu’un regarde ou non, dans le même stockage de ce téléphone, pour que vos autres téléphones puissent y revenir en arrière. Il le fait à moins que vous ne désactiviez « Garder toutes les caméras », un interrupteur de l’onglet Relais, sous LECTURE, qui est activé tant que vous ne le désactivez pas ; une fois celui-ci désactivé, le téléphone ne garde que ce qui y est regardé. Ce qui a déjà été gardé y reste après que vous avez fermé la caméra, et après que vous avez désactivé le Relais ou cet interrupteur, et rien n’est supprimé du seul fait de son ancienneté. La place que cela peut prendre, c’est vous qui la fixez dans les Réglages, sous « Place pour la lecture » : de 256 Mo à 5 Go, et 1 Go si vous n’y changez rien ; ce qu’un téléphone garde parce que le Relais est activé partage cette place avec ce qui y est regardé. Quand cette place est pleine, le plus ancien part pour faire de la place au plus récent. En dehors de cela, tout ce qui est gardé s’en va quand vous désactivez « Garder ce que vous regardez » ou que vous l’effacez dans les Réglages, et tant que cet interrupteur est désactivé rien n’est gardé, que le Relais soit activé ou non ; ce qui est gardé d’une caméra s’en va quand vous retirez cette caméra de l’application ; et ce qui est gardé des caméras que vous avez regardées par l’intermédiaire d’un autre de vos téléphones, par le Relais, s’en va quand vous vous déconnectez. Comme il s’agit d’un stockage temporaire, le système du téléphone peut aussi le vider quand le téléphone manque de place. Tant que c’est là, un autre de vos téléphones connecté au même compte peut y revenir en arrière par le Relais : cela voyage alors scellé d’un téléphone à l’autre, comme la vidéo en direct, et notre serveur n’en garde rien (section 4).
• Captures et clips — les images fixes que vous prenez et les clips que vous faites à partir de ce que le téléphone a gardé sont enregistrés dans les bibliothèques propres à l’application, sur le téléphone, jusqu’à ce que vous les supprimiez.
• Événements — le mouvement est cherché sur le téléphone, dans les images qui sont à l’écran, et ce qu’il trouve est écrit dans le fil des événements avec une image fixe de cet instant. Les événements sont supprimés après le nombre de jours que vous choisissez dans les Réglages. On ne demande à aucune caméra de nous signaler du mouvement, et rien de ce que le téléphone trouve ne le quitte.
• Diffusion — si vous activez la Diffusion depuis son onglet, la caméra du téléphone et, avec son interrupteur Son activé, son microphone sont servis aux appareils du même Wi-Fi qui les demandent, comme une caméra le ferait, sans mot de passe : n’importe quel appareil de ce Wi-Fi peut regarder. Si le Relais est activé lui aussi, le téléphone propose également sa Diffusion à vos autres téléphones connectés au même compte, même quand il n’a pas de Wi-Fi, par le Relais et scellée comme tout ce que transporte le Relais ; elle n’est proposée que pendant que la Diffusion est activée, et elle n’est jamais ajoutée à vos caméras, si bien que la Synchronisation ne la copie pas. Tant que le Relais est activé, le téléphone garde aussi ce qu’envoie sa Diffusion, sous forme d’enregistrements, sauf si vous avez désactivé « Garder toutes les caméras » dans l’onglet Relais ou « Garder ce que vous regardez » dans les Réglages : l’image, et aussi le son quand l’interrupteur Son est activé. Les enregistrements sont gardés sur ce seul téléphone, dans le dossier de cache propre à l’application, dans autant de place encore que ce que vous accordez sous « Place pour la lecture », si bien qu’avec les deux le téléphone peut garder jusqu’au double de ce chiffre, et le plus ancien part en premier. Vous pouvez jeter un enregistrement ou tous dans l’onglet Diffusion, sous ENREGISTREMENT, dans « Gardé en ce moment », et tous s’en vont quand vous désactivez « Garder ce que vous regardez » ; effacer ce qui est gardé dans les Réglages supprime la vidéo gardée de vos caméras et laisse les enregistrements d’une Diffusion où ils sont. Qui peut regarder la Diffusion peut revenir en arrière dans ses enregistrements de la même façon : n’importe quel appareil de ce Wi-Fi, sans mot de passe, et vos autres téléphones par le Relais ; notre serveur n’en garde rien. En dehors de cela, un enregistrement ne quitte l’application que lorsque vous le partagez ou l’enregistrez dans Photos, sous forme de vidéo, depuis cette page. Relais désactivé, ou « Garder toutes les caméras » désactivé, une Diffusion ne garde rien de nouveau ; ce qu’elle a gardé auparavant, y compris les enregistrements faits par une version antérieure de l’application, reste jusqu’à ce que la place soit nécessaire ou que vous le jetiez. La caméra et le microphone ne servent à rien d’autre, et ni l’un ni l’autre n’est touché tant que vous n’activez pas l’interrupteur.
• Fichiers de configuration — un fichier de configuration que vous exportez contient les noms, les adresses et les flux de vos caméras, vos zones et vos murs, où chaque caméra surveille le mouvement, et vos réglages. Les identifiants des caméras n’y entrent que si vous scellez le fichier avec une phrase secrète, et alors seulement scellés. Le fichier ne va que là où vous l’envoyez.
• Réglages de l’application et vos réponses — le thème, la langue, vos réglages de flux, de lecture, de mouvement et d’alertes, si vous avez dit oui aux rapports d’utilisation, conservé pour ne pas vous le redemander, et ce que l’App Store ou Google Play a dit en dernier au sujet de Pro.
• Votre compte et vos clés de relais — si vous vous connectez, les jetons qui vous maintiennent connecté sont conservés dans le magasin de clés sécurisé de votre téléphone (trousseau iOS / Keystore Android). Si vous définissez une phrase secrète de relais, le téléphone y conserve une clé dérivée de celle-ci, jamais la phrase secrète elle-même ; un téléphone qui regarde via le Relais, ou qui synchronise une configuration scellée par un autre téléphone, conserve la clé qu’il a dérivée quand vous y avez saisi la phrase secrète. Rien de tout cela ne nous parvient jamais.

Les autorisations suivent la même logique. Sur un iPhone, l’autorisation d’accès au réseau local est ce qui permet à l’application de trouver vos caméras et de leur parler ; la caméra et le microphone ne sont utilisés que par la Diffusion ; et l’accès à Photos est demandé en ajout seul, de sorte que l’application peut y déposer une capture, un clip ou un enregistrement et ne peut pas voir ce qui s’y trouve déjà.

2. Ce qui quitte votre téléphone par défaut

Sans compte, voici les seules choses qui quittent le téléphone : trois d’elles-mêmes, et une quatrième seulement quand vous l’envoyez.

• Rapports d’incident et d’erreur — envoyés à un serveur de suivi d’erreurs que nous exploitons nous-mêmes (GlitchTip, compatible Sentry), et non à un tiers. Un rapport contient l’erreur, la version de l’application, le modèle de l’appareil et la version du système, et il peut nommer l’adresse d’une caméra sur votre réseau. Les mots de passe des caméras, la partie identifiants de toute adresse de flux et, si vous avez un compte, votre adresse e-mail et vos jetons sont retirés de chaque rapport avant son envoi. Les champs identifiants et les captures d’écran sont désactivés dans le client de rapport : une capture d’écran de cette application serait une image de l’intérieur de votre domicile.
• Un rapport de problème de caméra, seulement si vous l’envoyez — quand une caméra n’apparaît pas dans la recherche ou ne se connecte pas, les étapes d’ajout d’une caméra et la page d’une caméra enregistrée proposent « Toujours absente ? Envoyez-nous un rapport » ou « Toujours pas de connexion ? Envoyez-nous un rapport ». Rien n’est envoyé tant que vous n’avez pas touché Envoyer sur la feuille qui s’ouvre, laquelle dit ce qui part. Le rapport part comme un événement à part entière vers le même serveur de suivi d’erreurs que les rapports d’incident, et contient l’étape où vous en étiez, la note que vous écrivez si vous en écrivez une, les adresses et les modèles des caméras concernées et ce que chacune a répondu, jusqu’à 200 lignes du journal récent de l’application, ainsi que la version de l’application, le modèle de l’appareil et la version du système qu’un rapport d’incident contient. Il ne contient jamais de mot de passe : ce que vous avez saisi dans le champ du mot de passe, et la partie identifiants de toute adresse, sont retirés de tout son contenu avant l’envoi. L’écran Confidentialité et données de l’application l’indique sous le nom « Un rapport que vous nous envoyez ».
• Les rapports d’utilisation sont désactivés tant que vous ne les activez pas. L’application utilise Google Analytics pour Firebase afin de compter quels écrans sont ouverts et quelles étapes sont franchies — une caméra ajoutée, un flux ouvert, un clip enregistré — ainsi que quelques indications sommaires sur la façon dont l’application est configurée, par exemple si elle a une caméra ou plusieurs, jamais leur nombre. Tant qu’ils sont activés, le SDK Firebase mesure aussi de lui-même les achats faits dans l’application via l’App Store ou Google Play — le produit acheté, son nom et son prix — comme des événements semblables aux autres (section 6). La collecte est désactivée dans les réglages de compilation de l’application et le reste jusqu’à ce que vous cochiez la case à la fin de la visite guidée du premier lancement ou activiez l’interrupteur dans Réglages → Vos données. Lorsqu’ils sont activés, les événements sont rattachés à un identifiant anonyme d’instance de l’application, jamais à un compte, et l’application est construite de sorte qu’aucun événement ne puisse contenir le nom d’une caméra, son adresse, un nom d’utilisateur ou un mot de passe, le nom d’une zone ou d’un mur, ni une image. Les consentements publicitaires sont refusés au SDK quel que soit votre choix. Désactiver les rapports demande aussi à Google de supprimer l’identifiant anonyme, de sorte que les événements antérieurs restent orphelins au lieu d’attendre le reste d’un profil.
• Les réglages à distance de l’application — à chaque lancement, l’application demande à Firebase Remote Config, de Google, les quelques réglages que nous modifions de là, comme le fait que Pro soit en vente ou non. La demande contient un identifiant que Firebase crée pour cette installation de l’application, qui n’est lié ni à votre compte ni au matériel de votre téléphone, avec la version de l’application et la version du système, la langue, la région choisie et le fuseau horaire du téléphone, dont Firebase se sert pour choisir les réglages à envoyer. Elle ne contient rien sur vos caméras, et elle est faite que les rapports d’utilisation soient activés ou non.

Les images de vos caméras ne quittent jamais le téléphone par cette voie, et rien de ce qui en sort n’en dit plus sur l’endroit où vous habitez que la région et le fuseau horaire réglés sur votre téléphone.

3. Les données que nous recevons si vous vous connectez

La connexion est facultative. Elle existe pour que le Relais et la Synchronisation puissent réunir les téléphones qui appartiennent à une même personne. Vous vous connectez avec Apple, avec Google ou avec une adresse e-mail qui reçoit un code à six chiffres ; il n’y a pas de mot de passe à définir chez nous. Chaque façon de se connecter mène à un compte distinct : nous ne réunissons jamais des comptes par leur adresse e-mail, si bien que vous connecter avec Apple puis avec un code envoyé à la même adresse vous donne deux comptes séparés.

• Identité du compte — votre adresse e-mail et la langue de votre téléphone, pour que nous puissions vous écrire dans celle-ci.
• Apple ou Google — si vous vous connectez avec Apple ou avec Google, nous recevons l’identifiant qu’Apple ou Google nous donne pour votre compte, qui nous permet de vous reconnaître la fois suivante, et votre adresse e-mail : d’Apple, celle que vous avez choisi de partager, qui peut être une adresse de relais privé qu’Apple fait suivre vers la vôtre ; de Google, votre adresse si Google l’a vérifiée. La connexion avec Google transmet aussi le nom de votre compte Google et un lien vers sa photo de profil, que nous conservons : le nom seulement pour nous adresser à vous dans les e-mails que nous envoyons, le lien tel qu’il arrive, sans récupérer la photo. L’application ne demande pas votre nom à Apple. D’Apple, nous conservons aussi, chiffré, un jeton dont le seul usage est de révoquer l’accès de KeepWatch à votre compte Apple quand vous supprimez votre compte KeepWatch, comme Apple l’exige. Apple nous prévient si vous cessez d’utiliser votre compte Apple avec KeepWatch, supprimez ce compte Apple ou désactivez le transfert vers une adresse de relais privé, et nous mettons alors fin à vos sessions ; retirons cette façon de vous connecter, en programmant la suppression de votre compte si c’était la seule ; ou cessons d’écrire à cette adresse. Nous ne voyons jamais votre mot de passe Apple ou Google.
• Codes de connexion — pour une connexion par e-mail, nous conservons une copie hachée de chaque code, avec l’adresse e-mail à laquelle il a été envoyé, l’application qui l’a demandé et une adresse réseau tronquée, afin de limiter les codes et de repérer les abus. Un code expire en quelques minutes et est épuisé après quelques essais erronés ; son enregistrement ne contient jamais le code en clair et n’est pas rattaché à votre compte.
• Sessions — un jeton de rafraîchissement haché par téléphone connecté, le nom du téléphone, l’identifiant de l’application et une adresse réseau tronquée. Un jeton de rafraîchissement expire au bout de 60 jours, et un téléphone dont le jeton a expiré doit se reconnecter ; se déconnecter met fin à la session immédiatement. L’enregistrement d’une session terminée subsiste, marqué comme terminé, jusqu’à la suppression de votre compte.
• Enregistrements de téléphones — chaque téléphone sur lequel vous vous connectez s’enregistre avec un identifiant d’installation que l’application a inventé pour le Relais (un nombre aléatoire, pas l’identifiant matériel de votre téléphone), le nom que vous donnez au téléphone, s’il s’agit d’un iPhone ou d’un téléphone Android, la version de l’application qu’il exécute, si le Relais y est activé, et la date de sa dernière connexion.
• Journaux d’audit — un relevé des actions importantes sur votre compte, comme les connexions et la suppression, avec une adresse réseau tronquée, conservé pour la sécurité et pour répondre aux contestations.

Les adresses réseau sont tronquées avant d’être stockées dans notre base de données — en /24 pour IPv4 et en /48 pour IPv6 — de sorte que ce que nous y gardons désigne un voisinage, pas un appareil. Les journaux de requêtes de nos serveurs, conservés pour une durée limitée, peuvent contenir l’adresse complète d’où une requête est venue.

4. Les données que nous recevons si vous activez le Relais ou la Synchronisation

Le Relais vous permet de regarder les caméras de la maison depuis un autre téléphone connecté au même compte. Le téléphone resté à la maison garde une connexion ouverte vers notre serveur tant que l’application est au premier plan, le téléphone à l’extérieur se connecte au même serveur, et notre serveur réunit les deux : il les aide à se connecter directement l’un à l’autre, et achemine lui-même le trafic entre eux quand ils n’y parviennent pas. Pour cela, trois sortes de données passent par nous :

• Votre bibliothèque de caméras, scellée — pour que l’autre téléphone puisse afficher la même grille, le téléphone resté à la maison publie une description de ce qu’il regarde : le nom, le modèle et l’adresse de chaque caméra sur votre réseau domestique, les adresses de flux ainsi que le nom d’utilisateur et le mot de passe enregistrés avec elle, vos zones et vos murs et, pendant que sa propre Diffusion est activée, le téléphone lui-même, pour que vos autres téléphones puissent le regarder aussi. Tout cela est scellé avant de quitter le téléphone resté à la maison : c’est chiffré avec une clé dérivée d’une phrase secrète de relais que vous choisissez, et seul un téléphone sur lequel vous avez saisi cette phrase secrète peut l’ouvrir ; c’est pourquoi le Relais ne fonctionne pas tant que vous n’en avez pas défini une. Nous stockons la copie scellée, pour laquelle nous n’avons aucune clé, avec un court en-tête qui indique seulement quelles versions du format de configuration et du scellement du Relais le téléphone utilise. Elle est renvoyée chaque fois que quelque chose change, et la copie la plus récente est stockée sur nos serveurs jusqu’à ce que le téléphone soit retiré du compte ou que le compte soit supprimé. Nous pouvons voir la taille de la copie scellée et quand elle change, jamais ce qu’elle contient, et nous ne pouvons pas modifier ce qu’elle contient sans que vos autres téléphones la refusent ; ce que nous pourrions faire, c’est ne pas transmettre une nouvelle copie, ou en transmettre une plus ancienne. Si vous oubliez la phrase secrète, nous ne pouvons pas la récupérer ; vous en définissez une nouvelle sur le téléphone resté à la maison et la saisissez à nouveau sur les autres.
• Données de connexion — pour que vos téléphones puissent essayer de se connecter directement l’un à l’autre, notre serveur transmet à chacun les données de connexion de l’autre pendant qu’ils se connectent : les descriptions de session et les candidats réseau WebRTC, qui contiennent les adresses IP et les ports des téléphones. Il les transmet sans les stocker.
• Trafic relayé, scellé — quand vos téléphones ne parviennent pas à se connecter directement l’un à l’autre, l’image et le son en direct — dont la Diffusion du téléphone lui-même —, les captures, les commandes de panoramique, d’inclinaison et de zoom et les autres commandes de caméra, les listes d’enregistrements et la vidéo que le téléphone resté à la maison a gardée passent tous par notre serveur entre vos téléphones, en temps réel. Tout cela est scellé de bout en bout, d’un de vos téléphones à l’autre, avec la même clé que votre bibliothèque de caméras, tout comme l’adresse de la caméra à laquelle chaque partie est destinée : notre serveur ne peut rien en lire, et ce qui est modifié, perdu ou rejoué en chemin ne s’ouvre pas sur votre téléphone et ne va pas plus loin. Le serveur ne voit que ce dont il a besoin pour acheminer le trafic — le type de message de chaque morceau, celle de vos connexions à laquelle il appartient, sa longueur et le moment où il passe —, si bien qu’il peut savoir combien passe entre vos téléphones et quand, mais pas quoi. Il transmet le trafic et ne garde rien : rien n’en est stocké. Ce que nos journaux enregistrent, c’est le moment où la connexion de chacun de vos téléphones au relais s’est ouverte et fermée, et rien de ce qui y est passé. En plus du scellement, la connexion entre chaque téléphone et notre serveur est elle aussi chiffrée.

Quand vos téléphones se connectent directement, le trafic des caméras ne passe pas par nous. Pour trouver un chemin entre eux, chaque téléphone demande à un serveur STUN public — par défaut celui de Google (stun.l.google.com) et celui de Cloudflare (stun.cloudflare.com) — son adresse IP et son port publics, puis les deux se connectent l’un à l’autre avec WebRTC. Une fois connectés, la vidéo des caméras, les identifiants utilisés avec vos caméras et le reste du trafic des caméras voyagent d’un de vos téléphones à l’autre scellés avec la clé tirée de votre phrase secrète de relais, comme le trafic relayé, et en plus à l’intérieur du chiffrement propre à WebRTC (DTLS) ; notre serveur ne les voit pas. Chacun de vos téléphones apprend donc l’adresse IP de l’autre. La connexion ne relie que vos propres téléphones, et rien n’est partagé avec d’autres utilisateurs.

Tant que le Relais est activé, nous savons aussi si le téléphone resté à la maison est connecté et combien de vos téléphones regardent à travers lui, et c’est ce que l’application vous affiche ; cela n’est pas conservé une fois la connexion terminée.

Le Relais ne fonctionne qu’entre des téléphones connectés au même compte. Personne d’autre ne peut recevoir l’accès à vos caméras par son intermédiaire, et nous n’en avons nous-mêmes aucune vue.

La Synchronisation garde votre configuration identique sur tous les téléphones connectés à votre compte dont l’interrupteur Synchronisation est activé, en haut des Réglages ; elle est désactivée tant que vous ne l’activez pas. Ce qu’elle conserve sur notre serveur est une copie par compte de ce que contient un fichier de configuration : les noms, les adresses et les flux de vos caméras avec leurs identifiants, vos zones et vos murs, où chaque caméra surveille le mouvement, et vos réglages. Tout cela est scellé sur le téléphone avant de le quitter, sous la même phrase secrète de relais que le Relais et lié à votre compte, si bien que nous ne pouvons pas le lire et qu’une copie déplacée vers un autre compte ne s’ouvre pas ; à côté, nous ne stockons qu’un en-tête qui indique quelle version du format de configuration elle utilise. Comme pour le Relais, nous pouvons voir la taille de la copie et quand elle change, jamais ce qu’elle contient, et ce que nous pourrions faire, c’est ne pas stocker une nouvelle copie ou en rendre une plus ancienne. Les événements, les captures, les clips, la vidéo gardée et les enregistrements de la Diffusion ne vont jamais dans la Synchronisation : ils restent sur le téléphone qui les a faits.

Désactiver la Synchronisation sur un téléphone arrête la synchronisation de ce téléphone et laisse la copie du compte à vos autres téléphones ; la copie est supprimée avec votre compte. Si vous oubliez la phrase secrète, nous ne pouvons ni la récupérer ni ouvrir la copie : définissez-en une nouvelle sur l’un de vos téléphones, qui scelle de nouveau la copie avec elle, et saisissez-la sur les autres.

5. Les e-mails que nous envoyons

Nous n’envoyons d’e-mail qu’à la suite de quelque chose que vous avez fait : un code de connexion, et des avis indiquant que la suppression de votre compte a été programmée ou effectuée. Si vous vous êtes connecté avec Apple en choisissant de masquer votre adresse, ce courrier va à l’adresse de relais privé qu’Apple nous a donnée, et Apple le fait suivre. Le courrier est acheminé par Amazon Simple Email Service, exploité par Amazon Web Services aux États-Unis. Nous conservons une trace des avis de compte que nous avons envoyés et à qui — un code de connexion part immédiatement et n’en laisse aucune — ainsi qu’une liste des adresses en échec ou qui nous ont demandé d’arrêter, afin de ne pas continuer à leur écrire.

6. Achats

KeepWatch Pro est un abonnement que vous achetez sur l’App Store ou Google Play. Apple ou Google encaisse le paiement, selon ses propres conditions et sa propre politique de confidentialité, et nos serveurs ne reçoivent jamais votre numéro de carte, vos coordonnées de facturation ni quoi que ce soit d’autre sur l’achat — pas même un reçu ou une confirmation qu’il est actif. L’application demande à la boutique sur votre téléphone, à chaque lancement et quand vous revenez dans l’application, si votre identifiant Apple ou votre compte Google détient Pro, et garde sur le téléphone la dernière réponse de la boutique pour que Pro fonctionne sans réseau. L’application elle-même n’envoie un achat nulle part, et nous n’utilisons aucun service d’achat, ni le nôtre ni celui de quiconque. La seule exception concerne les rapports d’utilisation : si vous les avez activés, Google Analytics pour Firebase, que l’application utilise pour ces rapports, repère les achats faits dans l’application via l’App Store ou Google Play et enregistre le produit acheté, son nom et son prix, rattachés au même identifiant anonyme d’instance de l’application que les autres événements d’utilisation et jamais à votre compte KeepWatch ni à votre compte de boutique. Rapports d’utilisation désactivés, il n’enregistre rien d’un achat. Pro appartient au compte de la boutique qui l’a acheté, pas à votre compte KeepWatch : il fonctionne sans connexion à un compte, et il ne vous suit pas sur un téléphone qui utilise l’autre boutique.

7. Ce que nous ne faisons pas

Nous ne vendons pas vos informations personnelles, ne les partageons pas à des fins de publicité comportementale intercontextuelle et n’affichons pas de publicité. L’application ne contient aucun SDK publicitaire et ne demande pas l’autorisation d’identifiant publicitaire. Nous ne regardons pas vos caméras, et nous ne le pouvons pas : sans le Relais, rien d’elles ne nous parvient, et avec lui, les images voyagent scellées d’un de vos téléphones à l’autre, directement ou, quand ceux-ci ne parviennent pas à se connecter directement, par notre serveur, qui ne peut pas les ouvrir et n’en stocke rien. Nous ne pouvons lire ni votre bibliothèque de caméras ni votre configuration synchronisée — les noms, les adresses et les mots de passe de vos caméras —, qui ne nous parviennent que scellées. Nous ne collectons pas vos contacts, votre position, vos photos, ni quoi que ce soit d’autre en dehors de ce que cette politique énumère.

8. Conservation et suppression

• Sur votre téléphone — la vidéo gardée d’une caméra, y compris ce qu’un téléphone dont le Relais est activé garde de toutes ses caméras, n’est pas supprimée du seul fait de son ancienneté : elle reste jusqu’à ce que la place pour la lecture soit pleine, le plus ancien partant alors pour faire de la place au plus récent, et s’en va plus tôt si vous désactivez « Garder ce que vous regardez », si vous retirez sa caméra de l’application ou, pour les caméras regardées par l’intermédiaire d’un autre de vos téléphones, si vous vous déconnectez (section 1) ; elle peut être effacée à tout moment dans les Réglages. Désactiver le Relais ou « Garder toutes les caméras » fait que plus rien de nouveau n’est gardé et ne supprime rien de ce qui l’est déjà. Les événements partent après le nombre de jours que vous avez réglé. Les captures et les clips restent jusqu’à ce que vous les supprimiez. Les enregistrements d’une Diffusion restent jusqu’à ce que leur place soit pleine, le plus ancien partant en premier, ou jusqu’à ce que vous les jetiez dans l’onglet Diffusion ou désactiviez « Garder ce que vous regardez » ; effacer ce qui est gardé dans les Réglages ne les supprime pas, et ceux qu’une version antérieure de l’application a faits restent de la même façon. Désinstaller l’application supprime toutes les données locales, sous réserve des réglages de sauvegarde de votre système.
• Votre compte — vous pouvez le supprimer depuis l’application (touchez Compte sur la carte en haut des Réglages, puis Supprimer le compte) ou en nous le demandant. La suppression comporte un délai de grâce de 14 jours, indiqué au moment de la demande ; vous reconnecter avant son terme annule la demande. Passé ce délai, votre compte, les enregistrements de vos téléphones, votre bibliothèque de caméras scellée, votre configuration synchronisée scellée et vos sessions sont définitivement retirés de nos serveurs, et si vous vous connectiez avec Apple, nous demandons à Apple de révoquer l’accès de KeepWatch à votre compte Apple. Les entrées d’audit perdent leur lien avec vous au même moment.
• Un téléphone que vous retirez — retirer un téléphone de votre compte dans l’application supprime immédiatement son enregistrement et la bibliothèque qu’il a publiée. Désactiver le Relais sur le téléphone resté à la maison ferme sa connexion, et rien n’est relayé tant que vous ne le réactivez pas.
• Codes de connexion et sessions — les codes expirent en quelques minutes et ne sont jamais conservés en clair ; les sessions prennent fin lorsque vous vous déconnectez, lorsque leur jeton expire ou lorsque le compte est supprimé, et leur enregistrement disparaît avec le compte.
• Trafic relayé et données de connexion — ni l’un ni les autres ne sont stockés, il n’y a donc rien à supprimer, et ce qui voyage directement entre vos téléphones ne nous parvient jamais. Les lignes de journal concernant les connexions, comme les autres journaux de nos serveurs, sont conservées pendant une durée limitée pour exploiter et sécuriser le service, puis supprimées.
• Sauvegardes — notre base de données est sauvegardée régulièrement. Les sauvegardes sont chiffrées avant de quitter notre infrastructure et sont conservées par rotation, de sorte qu’un compte supprimé subsiste dans une sauvegarde pendant une durée limitée après la suppression, puis disparaît.
• Rapports d’incident, rapports de problème et événements d’utilisation — conservés seulement le temps nécessaire au débogage, à l’amélioration de la prise en charge des caméras et aux décisions produit, puis supprimés selon les réglages de rétention de notre outil de suivi d’erreurs et de Firebase. Firebase supprime l’identifiant d’installation qu’utilisent les réglages à distance de l’application après une longue période sans usage.

9. Bases légales

Lorsque le RGPD ou le RGPD britannique s’applique, nous traitons vos données sur ces bases : l’exécution d’un contrat pour le compte, le Relais et la Synchronisation que vous avez demandés ; l’intérêt légitime pour les rapports d’incident, les rapports de problème de caméra que vous choisissez d’envoyer, les réglages à distance de l’application, la sécurité, la prévention des abus, les journaux d’audit et les journaux de nos serveurs ; et le consentement pour les rapports d’utilisation et pour tout ce que la loi y soumet. Lorsque la loi coréenne sur la protection des informations personnelles s’applique, les rapports d’utilisation constituent un consentement facultatif et le refuser ne limite pas le service.

Nous n’utilisons pas vos données pour des décisions automatisées produisant des effets juridiques.

10. Vos droits

Si vous êtes dans l’UE, l’EEE ou au Royaume-Uni, vous avez le droit d’accéder à vos données personnelles, de les rectifier, de les effacer et d’en recevoir une copie, de vous opposer au traitement ou de le limiter, et de retirer votre consentement à tout moment. Vous pouvez également introduire une réclamation auprès de votre autorité de contrôle locale.

Si vous résidez en Californie, vous avez le droit de savoir quelles informations personnelles nous collectons, de les faire supprimer, de les faire corriger et de refuser leur vente ou leur partage. Nous ne vendons ni ne partageons d’informations personnelles au sens du CCPA/CPRA, et nous ne vous pénalisons pas pour l’exercice de vos droits.

Si vous êtes en Corée, vous disposez des droits que la loi sur la protection des informations personnelles vous confère pour accéder à vos informations personnelles, les rectifier, les supprimer et en suspendre le traitement, ainsi que pour retirer votre consentement.

Le moyen le plus rapide d’exercer la plupart de ces droits se trouve dans l’application elle-même : les rapports d’utilisation sont un interrupteur, et la suppression du compte y est intégrée. Pour tout le reste, y compris une copie de vos données, écrivez à [email protected] ; nous répondons dans les délais qu’impose la loi applicable. Votre bibliothèque de caméras et votre configuration synchronisée ne nous parviennent que scellées, si bien qu’une copie ne peut les contenir que sous forme de texte chiffré, et la vidéo relayée n’est pas conservée, si bien qu’il n’y a rien d’elle à copier.

11. Transferts internationaux

Nos serveurs peuvent se trouver hors de votre pays, et deux de nos sous-traitants sont aux États-Unis : Amazon Web Services pour l’acheminement des e-mails et les sauvegardes chiffrées, et Google pour les rapports d’utilisation et les réglages à distance de l’application. Lorsque le droit de la protection des données l’exige, les transferts reposent sur des garanties appropriées telles que les clauses contractuelles types de la Commission européenne ou une décision d’adéquation. La République de Corée est couverte par une décision d’adéquation de l’UE.

12. Enfants

Les comptes KeepWatch sont réservés aux personnes de 14 ans et plus, ou davantage là où la loi de votre lieu de résidence fixe un âge minimal supérieur pour consentir au traitement des données. Nous ne collectons pas sciemment de données personnelles d’enfants. Si vous pensez qu’un enfant nous a fourni des données, contactez-nous et nous les supprimerons.

13. Sécurité

Votre bibliothèque de caméras et votre configuration synchronisée, identifiants compris, sont scellées sur votre téléphone avant de nous parvenir, et ce que transporte le Relais est scellé d’un de vos téléphones à l’autre, sous une phrase secrète que nous ne voyons jamais. Sur le téléphone lui-même, les mots de passe des caméras sont conservés dans son trousseau sécurisé et hors de ses sauvegardes. Tout ce qui circule entre l’application et nos serveurs passe par des connexions chiffrées, tout comme ce que vos téléphones s’envoient par une connexion directe (DTLS). Les jetons de session sont stockés hachés, le jeton qu’Apple nous donne est stocké chiffré, les adresses réseau sont tronquées avant d’être stockées dans notre base de données, le trafic relayé est transmis sans être stocké, et le suivi d’erreurs tourne sur notre propre serveur, champs identifiants désactivés et mots de passe des caméras retirés. La sécurité de vos caméras elles-mêmes — leurs mots de passe, leur micrologiciel, qui d’autre est sur votre réseau — vous appartient, tout comme le choix de faire de votre téléphone une caméra pour tous ceux qui sont sur votre Wi-Fi avec la Diffusion. Si vous découvrez un problème de sécurité, signalez-le-nous à [email protected] plutôt que de le publier ; nous préférons l’apprendre tôt et en privé.

14. Sous-traitants et tiers

Nous faisons appel à un petit nombre de sous-traitants, chacun ne recevant que ce que son rôle exige :

• Google Firebase — les réglages à distance de l’application, et les rapports d’utilisation, avec leur mesure des achats en boutique, uniquement si vous les activez.
• Amazon Web Services — l’acheminement des e-mails et le stockage chiffré de nos sauvegardes.
• Notre propre hébergement — le service de relais, sa base de données et le serveur de suivi d’erreurs.

Vos caméras ne sont pas nos sous-traitants : l’application leur parle en votre nom, sur votre réseau, et leurs fabricants n’apprennent rien de nous.

Apple et Google ne sont pas nos sous-traitants quand vous vous connectez avec eux ou achetez Pro sur leurs boutiques : vous traitez directement avec eux, selon leurs propres politiques de confidentialité, et ce qui nous parvient d’une connexion est ce qu’énumère la section 3.

Les serveurs STUN publics auxquels vos téléphones demandent leur adresse quand le Relais les connecte directement — par défaut ceux de Google et de Cloudflare — ne sont pas non plus nos sous-traitants : chaque téléphone en interroge un lui-même, ce serveur voit l’adresse IP et le port publics du téléphone, et nous ne lui envoyons rien.

15. Modifications de cette politique

Si nous modifions cette politique de manière significative, nous mettrons à jour la date ci-dessus et, pour les changements importants touchant les personnes connectées, nous vous préviendrons dans l’application. Continuer à utiliser l’application après une modification signifie que la politique mise à jour s’applique.

16. Contact

임중혁(HYPER C)
Responsable de la confidentialité au sens de la loi coréenne sur la protection des informations personnelles : 임중혁
[email protected] pour tout ce qui concerne vos données
[email protected] pour les problèmes de sécurité