Politique de confi­den­tialité

L’application enregistre sur ton téléphone :

• tes capsules et brouillons : nom, texte de la lettre, date d’écriture, date d’ouverture, couleur du sceau, si elle a déjà été ouverte et à quelle lettre précédente elle répond ;
• des copies des photos et vidéos que tu ajoutes (photos réduites) et les messages vocaux que tu enregistres ;
• « ce moment » : ton humeur, une chanson, la ville et la météo si tu les ajoutes et, dans les lettres à toi-même, le nom du téléphone (celui que tu lui as donné, sinon son fabricant et son modèle) et le niveau de batterie ;
• les capsules que des amis t’envoient et, pour une capsule de groupe que tu organises, les lettres collectées jusqu’ici ;
• tes réglages (langue, thème, ta date d’anniversaire si tu l’utilises pour une capsule, adresse e-mail du compte Google connecté).

Les photos et les vidéos sont choisies via le sélecteur de photos d’Android, donc l’appli ne voit que celles que tu choisis, jamais toute ta galerie. Le microphone n’est utilisé que pendant que tu enregistres un message vocal. Tout cela est conservé dans le stockage privé de l’appli, que les autres applis ne peuvent pas lire, mais les fichiers eux-mêmes ne sont pas chiffrés. L’appli désactive la sauvegarde automatique d’Android. Les photos et vidéos que tu prends dans Kolys sont prises par l’appli appareil photo de ton téléphone ; Kolys lui-même n’a pas d’autorisation pour l’appareil photo.

Une lettre scellée est verrouillée par l’appli : Kolys ne l’ouvre pas et ne la montre pas avant son jour, et la date est vérifiée en ligne. C’est un verrou dans l’appli, pas du chiffrement.

Sur ton téléphone, les lettres, les photos et les enregistrements sont des fichiers ordinaires et des entrées de base de données dans le stockage privé de l’appli. Quelqu’un qui contournerait la protection des applis d’Android, par exemple sur un téléphone rooté ou ouvert avec des outils spéciaux, pourrait les lire. Le zip dans ton Google Drive n’est pas chiffré non plus : Google pourrait donc le lire, comme tout ce qui est stocké sur Drive.

Les fichiers de cadeau et les capsules de groupe fonctionnent différemment, voir « Des capsules en cadeau » plus bas. Ne mets dans une capsule rien qui doive rester illisible pour les autres.

Si tu te connectes avec Google, Kolys demande une seule autorisation : drive.appdata. Elle permet à l’application de créer, lire et supprimer uniquement ses propres fichiers dans un dossier d’application caché de ton Google Drive. L’application ne peut ni voir ni modifier aucun autre fichier de ton Drive.

Chaque capsule scellée y est enregistrée sous la forme d’un fichier zip ordinaire dont le nom est l’identifiant aléatoire de la capsule (la lettre, ses photos, ses vidéos, ses messages vocaux et « cet instant »), non chiffré. La date d’ouverture et la date à laquelle elle a été ouverte sont aussi conservées comme propriétés du fichier. Les brouillons ne sont pas envoyés. Une synchronisation démarre quelques secondes après une modification quand il y a internet, et environ deux fois par jour. C’est ce qui ramène tes capsules scellées sur un nouveau téléphone. L’appli lit aussi l’adresse e-mail de ton compte, uniquement pour te montrer quel compte est connecté.

Les données circulent directement entre ton téléphone et Google par une connexion chiffrée. Il n’y a aucun autre serveur entre les deux. La politique de confidentialité de Google s’applique à ce qui est stocké dans ton Drive.

Dans les Réglages, tu peux enregistrer toutes tes capsules et tous tes brouillons dans un seul fichier, à l’endroit que tu choisis, sans Google. L’appli n’envoie ce fichier nulle part. Si tu l’enregistres dans un dossier cloud, c’est ce service qui le conserve.

Sans mot secret, le fichier n’est pas chiffré : quiconque l’a peut lire toutes les lettres, même scellées. Avec un mot, il est chiffré, et il est aussi sûr que le mot est difficile à deviner. Si tu oublies le mot, personne ne peut ouvrir le fichier.

La restauration remet les capsules qui ne sont pas sur le téléphone, et les capsules scellées restent scellées. Les lettres encore en cours de collecte pour un groupe et les mots des cadeaux que tu as envoyés ne sont pas dans le fichier.

L’utilisation par Kolys des informations reçues des API Google et leur transfert vers toute autre application respecteront les Règles relatives aux données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée (Limited Use).

• Les données de ton Google Drive servent uniquement à conserver tes capsules et à les ramener sur tes téléphones.
• Elles ne sont jamais vendues, jamais utilisées pour la publicité et jamais partagées avec qui que ce soit.
• Personne ne les lit : le développeur n’a accès ni à ton Drive ni à tes lettres.

Pour qu’une capsule ne puisse pas être ouverte en avance en changeant l’horloge du téléphone, l’appli demande l’heure actuelle à un serveur web (www.google.com ou www.cloudflare.com) et lit la date dans la réponse. Elle la redemande quand arrive le jour d’une capsule, avant de te le dire. Rien sur toi ni sur tes capsules n’est envoyé. Comme pour toute requête web, ces services voient ton adresse IP.

Seulement quand tu touches « Ajouter la ville et la météo » pendant que tu écris, l’appli demande une fois à Android ta position approximative (jamais la position précise). Le service de localisation d’Android, en général celui de Google, la transforme en nom de ville, et l’appli demande à MET Norway (Institut météorologique norvégien, api.met.no) la météo actuelle, en envoyant la position arrondie à environ un kilomètre. Seuls le nom de la ville et la météo sont conservés dans la capsule ; la position elle-même n’est pas enregistrée. Tu peux toujours t’en passer.

Quand tu cherches la chanson du moment, les mots que tu tapes sont envoyés à MusicBrainz (musicbrainz.org), une base de données musicale ouverte, pour trouver les titres de chansons correspondants. Seuls le titre de la chanson, l’artiste et l’année sont enregistrés dans la capsule, jamais de pochettes ni d’enregistrements. « Écouter » transmet le titre de la chanson à l’application de musique de ton téléphone (ou ouvre une recherche dans YouTube Music), et cette application fonctionne selon ses propres règles. Tu peux aussi simplement écrire une chanson toi-même, sans chercher.

Une capsule pour quelqu’un d’autre devient un seul fichier que tu envoies toi-même, avec l’appli de ton choix (une messagerie, un e-mail, Google Drive). Le développeur ne le reçoit jamais. Le fichier contient la lettre avec ses photos, vidéos, messages vocaux et « ce moment » (sans le nom du téléphone ni le niveau de batterie), et ton nom si tu l’indiques. Le nom du fichier contient le nom que tu as saisi pour le destinataire ou le groupe, que la messagerie ou le service de courrier peut voir. Les vidéos sont envoyées telles quelles, ce qui peut inclure le lieu où elles ont été filmées.

Sans mot secret, le fichier est chiffré, mais la clé est stockée dans le fichier. Cela empêche un ami de l’ouvrir en avance par accident, pas quiconque a le fichier et un peu de savoir-faire. Si tu le verrouilles avec un mot secret, la clé est fabriquée à partir du mot et ne se trouve dans aucun fichier : le fichier est alors aussi sûr que le mot est difficile à deviner. Le mot reste uniquement sur ton téléphone, pour que tu puisses le retrouver, et ne va jamais dans le fichier, dans ton Google Drive ni chez le développeur. Seul l’indice que tu écris peut être lu avant le déverrouillage.

Une capsule pour un groupe contient aussi le nom du groupe et les noms que tu listes. Quand un groupe écrit une capsule ensemble, le fichier d’invitation contient la clé du groupe en clair : quiconque a l’invitation peut donc lire les lettres renvoyées. La lettre de chaque personne part sous forme de fichier vers celui qui les collecte, chiffrée avec cette clé. Tant que la capsule n’est pas scellée, les lettres collectées se trouvent sous forme de fichiers ordinaires dans le stockage de l’appli de l’organisateur ; l’appli montre seulement qui a écrit, pas quoi, et elles ne sont pas copiées sur Drive.

Une fois que le destinataire ouvre le fichier dans Kolys, sa copie vit dans son appli, non chiffrée comme n’importe quelle capsule, et, s’il l’utilise, dans son propre Google Drive. Les fichiers que tu as envoyés restent chez les destinataires et dans la messagerie ou le service de courrier ; supprimer une capsule dans Kolys ne peut pas les reprendre.

La notification du jour d’ouverture est programmée sur ton téléphone et attend une connexion internet, car la date est vérifiée d’abord ; rien à ce sujet n’est envoyé nulle part. « Ajouter à l’agenda » ouvre l’appli d’agenda de ton téléphone avec un événement prêt (le nom de la capsule et sa date d’ouverture). C’est toi qui décides de l’enregistrer, et il est ensuite conservé par ton appli d’agenda. Kolys ne peut pas lire ton agenda. Le widget de l’écran d’accueil montre le nom de ta capsule la plus proche et le nombre de jours restants ; le grand montre jusqu’à trois capsules avec une barre de progression et les dates d’ouverture.

Si les vérifications automatiques sont activées (c’est le cas par défaut), la version de Kolys issue de ce site consulte le site de Kolys (pegasohlib.github.io) pour trouver une nouvelle version quand tu ouvres l’appli, au plus une fois toutes les 30 minutes. Il n’y a pas de vérification en arrière-plan. Elle ne télécharge la mise à jour depuis GitHub que lorsque tu touches Mettre à jour, et vérifie le SHA-256 du fichier avant l’installation. Comme tout site web, GitHub voit l’adresse IP de ton appareil ; rien d’autre n’est envoyé, et aucune donnée de l’appli.

Tu peux désactiver les vérifications automatiques dans Paramètres. Si l’application vient de Google Play, c’est Google Play qui la met à jour.

GitHub compte aussi combien de fois chaque fichier a été téléchargé. Ce n’est qu’un nombre, sans rien sur qui l’a téléchargé ; le site l’affiche comme un nombre approximatif de téléchargements.

• aucun compte chez le développeur et aucun serveur propre ;
• aucun outil d’analyse, aucune publicité, aucun pistage, aucun rapport de plantage envoyé où que ce soit ;
• pas de vente de données, et rien d’envoyé au développeur ;
• aucun accès à tes contacts, tes fichiers ou ta galerie, et aucune localisation en arrière-plan.

Internet

pour vérifier la date et la météo, utiliser Google Drive, chercher des chansons et rechercher des mises à jour.

État du réseau

pour attendre une connexion avant de vérifier la date ou de synchroniser.

Notifications

le jour d’ouverture et les rappels en chemin.

Micro (facultatif)

uniquement pour les messages vocaux, pendant l’enregistrement.

Position approximative (facultatif)

uniquement pour la ville et la météo, quand tu le demandes.

Vibration

quand une capsule s’ouvre.

Installation d’applications

pour installer ses propres mises à jour (uniquement dans la version de ce site).

• Supprimer une capsule dans l’appli retire aussitôt de ton téléphone la lettre, ses fichiers, « cet instant », ses rappels et le mot de cadeau enregistré, que tu sois connecté ou non. Seule une ligne vide avec l’identifiant aléatoire de la capsule reste jusqu’à la prochaine synchronisation. Les restes des anciennes versions sont vidés au démarrage de la nouvelle version.
• Sur Google Drive, le zip de la capsule est supprimé et un petit fichier avec l’identifiant de la capsule et l’extension .gone reste. Il ne contient que le mot « gone » et indique à tes autres téléphones de supprimer eux aussi la capsule. Une capsule que tu as modifiée depuis sur un autre téléphone reste. Une réponse garde sa propre copie des lettres auxquelles elle répond, qui survivent donc à la suppression de l’original.
• Désinstaller l’appli supprime tout ce qu’elle a stocké sur le téléphone, mais pas la copie dans ton Google Drive, ni les fichiers de copie que tu as enregistrés, ni les fichiers que tu as envoyés à d’autres personnes.
• Pour supprimer la copie Drive sans l’application : ouvre Google Drive sur le web → Paramètres → Gérer les applications → Kolys → Options → Supprimer les données d’application cachées.
• Tu peux retirer l’accès de l’application à tout moment sur myaccount.google.com/connections.

Si l’application commence à faire quelque chose de nouveau avec les données, cette page sera d’abord mise à jour, avec une nouvelle date en haut.

Qui est responsable. PegasoHlib, une personne physique qui développe ces applis, est responsable des données décrites ici. Contact : support@pegasohlib.com.

Pourquoi les données sont utilisées, et sur quelle base juridique.

Faire fonctionner l’appli, et la sauvegarde ou la synchronisation que tu actives

Contrat : nécessaire pour fournir ce que tu as demandé (RGPD, art. 6(1)(b))

Ville et météo, recherche de chansons

Consentement : tu peux le désactiver à tout moment (art. 6(1)(a))

Recherche de mises à jour et sécurité

Intérêt légitime : garder l’appli sûre et à jour (art. 6(1)(f))

Un e-mail que tu envoies

Intérêt légitime : te répondre (art. 6(1)(f))

Qui les reçoit, et transferts hors de l’UE. Google (ton Drive, le service d’adresses d’Android sur la plupart des téléphones et la vérification de l’heure), Cloudflare (la vérification de l’heure), MET Norway (la météo), MusicBrainz (recherche de chansons) et GitHub (recherche de mises à jour et téléchargements). Les e-mails que tu envoies passent par Cloudflare et sont conservés par Google dans une boîte Gmail, et Anthropic peut les traiter lorsqu’un assistant d’IA aide à les lire. Certaines de ces sociétés sont établies aux États-Unis ou dans d’autres pays hors de l’UE. Ces transferts reposent sur le cadre de protection des données UE-États-Unis lorsque la société y participe, ou sur les clauses contractuelles types de la société.

Combien de temps elles sont conservées. Les données de l’appli restent jusqu’à ce que tu les supprimes ou que tu désinstalles l’appli. Les copies dans ton propre stockage cloud restent jusqu’à ce que tu les supprimes. Les e-mails que tu envoies sont conservés jusqu’à la clôture du sujet, et pendant 2 ans au plus.

Tes droits. Tu peux demander l’accès à tes données, leur rectification, leur effacement, la limitation du traitement et une copie à emporter ailleurs (portabilité), et tu peux t’opposer au traitement ou retirer ton consentement à tout moment. Écris à l’adresse ci-dessus. Tu recevras une réponse dans un délai d’un mois. La plupart des données se trouvent uniquement sur ton appareil : tu peux donc généralement le faire toi-même dans l’appli.

Réclamations. Tu peux introduire une réclamation auprès de l’autorité de protection des données de ton pays.

Âge. Tu dois avoir au moins 15 ans pour utiliser l’appli de façon autonome. Si tu es plus jeune, demande d’abord l’accord d’un parent ou d’un tuteur.

Langue. Les traductions de cette politique sont réalisées à l’aide de l’IA. Si une traduction diffère du texte anglais, la version qui t’est la plus favorable s’applique.

Questions sur la confidentialité : support@pegasohlib.com.