SkyVault1. Responsable du traitement
Le responsable du traitement des données personnelles au sens du Règlement (UE) 2016/679 (RGPD) est :
Sky Tech Solutions
Site web : https://skyvaultcloud.xyz
E-mail général : support@skyvaultcloud.xyz
E-mail données personnelles / DPO contact : support@skyvaultcloud.xyz
Contact alternatif : kabam6632@gmail.com
2. Champ d'application
Cette politique s'applique à :
- L'application mobile SkyVault (Android et iOS) ;
- Le site web skyvaultcloud.xyz (pages légales, support, transparence) ;
- Les services cloud associés (authentification, synchronisation, stockage chiffré, abonnements) ;
- Toute communication avec notre support.
En utilisant SkyVault, vous reconnaissez avoir lu cette politique. Si vous n'acceptez pas ces pratiques, vous ne devez pas utiliser le service.
3. Principes fondamentaux
SkyVault est conçu selon les principes suivants :
- Minimisation : nous ne collectons que les données nécessaires au fonctionnement du service.
- Zero-knowledge : vos fichiers sont chiffrés côté client ; nous n'avons pas accès à votre clé maître en clair.
- Transparence : schémas détaillés sur la page Sécurité & Transparence.
- Pas de vente de données : nous ne vendons ni ne louons vos données personnelles à des tiers à des fins publicitaires.
- Contrôle utilisateur : export, rectification et suppression de compte disponibles.
4. Données que nous collectons
Le tableau ci-dessous détaille les catégories de données traitées. Les données marquées « chiffrées côté client » sont illisibles par SkyVault sans votre clé.
| Catégorie | Exemples | Source | Obligatoire |
|---|---|---|---|
| Identité & compte | Nom, prénom, pseudonyme, photo de profil (si fournie), identifiant utilisateur (UID Firebase), pays, langue | Inscription, profil | Partiel |
| Contact | Adresse e-mail, numéro de téléphone (vérification SMS) | Inscription, paramètres | E-mail ou OAuth requis |
| Authentification | Hash de mot de passe (Firebase Auth), jetons de session, état 2FA, identifiants passkey (WebAuthn), fournisseur OAuth lié | Connexion, sécurité | Oui pour accès |
| Fichiers & contenu | Blobs chiffrés (AES), miniatures chiffrées, checksums | Upload app | Service principal |
| Métadonnées | Noms de fichiers chiffrés, tailles, dates, arborescence dossiers, tags, statuts de partage | App / Firestore | Service principal |
| Clé maître | Version chiffrée de la clé (enveloppe), jamais la clé en clair côté serveur | Configuration coffre | Oui pour chiffrement |
| Abonnement | Identifiant abonné RevenueCat, statut premium, dates d'expiration, identifiant transaction store | Google Play / App Store | Si offre payante |
| Technique & sécurité | Logs d'erreur anonymisés, type d'appareil, version OS/app, IP lors des appels API (courte durée), horodatage dernière connexion | Infrastructure | Automatique |
| Notifications | Token FCM push (si activé) | Appareil | Non (opt-in) |
| Support | Contenu des e-mails, pièces jointes que vous envoyez volontairement | Vous | Non |
5. Données que nous ne collectons pas
- Le contenu en clair de vos fichiers stockés dans le coffre-fort ;
- Votre clé de récupération / clé maître en clair ;
- Vos codes 2FA (secrets TOTP) en clair. stockés chiffrés ou gérés via standards sécurisés ;
- Numéros de carte bancaire (gérés exclusivement par Google Play / Apple App Store) ;
- Données de localisation GPS précise en continu ;
- Profilage publicitaire ou revente de données à des régies publicitaires.
6. Finalités et bases légales
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Création et gestion de compte, fourniture du stockage cloud | Exécution du contrat (art. 6.1.b) |
| Authentification, 2FA, passkeys, prévention de la fraude | Exécution du contrat ; intérêt légitime (sécurité) |
| Chiffrement, synchronisation, partage sécurisé | Exécution du contrat |
| Gestion des abonnements premium | Exécution du contrat |
| Support client et communication transactionnelle | Exécution du contrat ; intérêt légitime |
| Amélioration du service, correction de bugs (logs techniques) | Intérêt légitime (art. 6.1.f) |
| Respect d'obligations légales (conservation, réponse autorités) | Obligation légale (art. 6.1.c) |
| Communications marketing (le cas échéant) | Consentement (art. 6.1.a). désinscription possible |
7. Authentification et modules OAuth
SkyVault propose plusieurs méthodes de connexion. Lorsque vous utilisez un fournisseur tiers (Google, Facebook, GitHub, Apple), celui-ci nous transmet uniquement les informations nécessaires à l'authentification (généralement : identifiant, e-mail, nom, photo de profil selon vos paramètres chez le fournisseur).
- E-mail / mot de passe : géré par Firebase Authentication. Le mot de passe n'est jamais stocké en clair.
- Google Sign-In : OAuth 2.0 via Google. Nous recevons un jeton d'identité validé, pas votre mot de passe Google.
- Facebook Login : OAuth via Meta. Accès limité au profil public et e-mail selon permissions accordées.
- GitHub : OAuth. Accès limité aux informations de profil autorisées par GitHub.
- Apple Sign-In : disponible selon plateforme et déploiement ; peut masquer l'e-mail via relais Apple.
- Téléphone (SMS) : numéro utilisé pour vérification ; code OTP à usage unique.
- Passkeys (WebAuthn) : clés cryptographiques stockées sur votre appareil / gestionnaire de mots de passe ; nous stockons uniquement les identifiants publics nécessaires à la vérification.
- 2FA (TOTP) : secret partagé scanné via QR ; codes à 6 chiffres rotatifs.
Schémas détaillés de chaque flux : Sécurité → Authentification.
Vous pouvez révoquer l'accès OAuth à tout moment dans les paramètres de sécurité de votre compte Google, Meta, GitHub ou Apple, en plus de la suppression de compte SkyVault.
8. Chiffrement et stockage
Vos fichiers sont chiffrés sur votre appareil avant transmission. Seuls des blobs chiffrés sont stockés sur Backblaze B2. Les métadonnées (noms de fichiers, structure) peuvent également être chiffrées côté client selon la configuration du coffre.
La clé maître est dérivée ou générée localement et protégée par votre mot de passe, biométrie ou clé de récupération. Sans cette clé, SkyVault ne peut pas restaurer vos fichiers. c'est une garantie zero-knowledge, pas une limitation accidentelle.
Architecture complète : Sécurité → Chiffrement des données.
9. Sous-traitants et destinataires
Nous faisons appel à des prestataires techniques agissant en notre nom (sous-traitants RGPD) :
| Prestataire | Service | Données concernées | Localisation |
|---|---|---|---|
| Google Firebase / Google Cloud | Auth, Firestore, Cloud Functions, Hosting, FCM | Compte, métadonnées, logs, tokens | UE (europe-west1) / US selon service |
| Backblaze B2 | Stockage objet fichiers chiffrés | Blobs chiffrés uniquement | UE / US (régions configurées) |
| Cloudflare | DNS, CDN, protection DDoS | IP, requêtes HTTP (site) | Mondial |
| RevenueCat | Gestion abonnements in-app | ID abonné, statut premium | US |
| Google / Apple | Stores, paiements in-app | Transactions (nous ne voyons pas la carte) | Selon store |
Nous pouvons divulguer des données si la loi l'exige (réquisition judiciaire). Dans la mesure du possible et autorisé par la loi, nous vous en informerons.
10. Transferts internationaux
Certains sous-traitants traitent des données en dehors de l'Espace économique européen (notamment aux États-Unis). Lorsque requis, nous nous appuyons sur :
- Les clauses contractuelles types (CCT) de la Commission européenne ;
- Les garanties complémentaires appropriées (chiffrement, minimisation) ;
- Les certifications et cadres applicables des prestataires (ex. Data Privacy Framework pour certains fournisseurs US, lorsque applicable).
Une copie des garanties peut être demandée via le formulaire en ligne (PDF automatique par e-mail) ou à support@skyvaultcloud.xyz.
11. Durées de conservation
| Type de données | Durée |
|---|---|
| Données de compte actif | Tant que le compte est actif |
| Fichiers et métadonnées | Jusqu'à suppression par l'utilisateur ou fermeture de compte |
| Après suppression de compte | Effacement sous 30 jours (sauf obligation légale) |
| Logs techniques / sécurité | Généralement 30 à 90 jours |
| Données de facturation (stores) | Selon politiques Google / Apple (hors contrôle direct SkyVault) |
| Correspondance support | Jusqu'à 3 ans après clôture du ticket |
12. Vos droits (RGPD)
Si vous êtes dans l'UE/EEE ou dans une juridiction offrant des droits similaires, vous disposez de :
- Droit d'accès (art. 15) : obtenir une copie de vos données ;
- Droit de rectification (art. 16) : corriger des données inexactes ;
- Droit à l'effacement (art. 17) : suppression de compte via l'app ou cette page ;
- Droit à la limitation (art. 18) ;
- Droit à la portabilité (art. 20) : export de vos données lorsque techniquement possible ;
- Droit d'opposition (art. 21) : notamment au traitement fondé sur l'intérêt légitime ;
- Retrait du consentement : sans affecter la licéité du traitement antérieur.
Pour exercer vos droits : support@skyvaultcloud.xyz (objet : « Demande RGPD »). Nous pouvons demander une preuve d'identité. Réponse sous 30 jours (prolongation possible selon complexité).
Réclamation auprès de l'autorité de contrôle : CNIL (France) ou autorité de votre pays de résidence.
13. Sécurité technique et organisationnelle
Mesures mises en œuvre (liste non exhaustive) :
- Chiffrement AES des fichiers côté client ; TLS 1.2+ en transit ;
- Architecture zero-knowledge pour le contenu des fichiers ;
- Règles de sécurité Firestore (accès par UID authentifié) ;
- Authentification renforcée : 2FA, passkeys, verrouillage biométrique du coffre ;
- Principe du moindre privilège pour l'accès administratif ;
- Surveillance des anomalies et journalisation des événements de sécurité ;
- Sauvegardes chiffrées côté stockage objet.
Détails et schémas : Page Sécurité & Transparence.
14. Cookies et technologies similaires
Voir notre politique cookies. Le site vitrine est principalement statique. L'application utilise le stockage local et les jetons de session Firebase pour maintenir votre connexion.
15. Mineurs
SkyVault est destiné aux personnes âgées de 18 ans et plus. Nous ne collectons pas sciemment de données concernant des mineurs. Si vous pensez qu'un mineur a créé un compte, contactez-nous pour suppression.
16. Décisions automatisées
SkyVault n'effectue pas de profilage produisant des effets juridiques ou une affectation significative similaire. Des règles automatiques peuvent détecter des abus (tentatives de connexion massives, usage anormal du stockage) pour protéger le service.
17. Violation de données
En cas de violation de données personnelles présentant un risque pour vos droits, nous notifierons la CNIL dans les 72 heures lorsque requis et vous informerons sans délai indu si le risque est élevé.
18. Modifications de cette politique
Nous pouvons mettre à jour cette politique pour refléter des évolutions légales ou techniques. La date en tête de page indique la dernière révision. En cas de changement substantiel, nous vous en informerons via l'application, par e-mail ou par avis sur le site.
19. Contact et réclamations
Données personnelles : support@skyvaultcloud.xyz
Support général : Page Contact
Suppression de compte : Procédure dédiée