Politique de confidentialité

Shipcue est conçu pour en savoir le moins possible sur vous. Cette page explique ce que nous conservons, où et pourquoi.

Brouillon. Cette politique est un brouillon de travail et sera finalisée avant la sortie de Shipcue. Mise à jour le 28 octobre 2026.

Qui sommes-nous

Shipcue est édité par AppLabs.lv (Lettonie). Questions sur cette politique : privacy@shipcue.app.

En bref

• Pas de compte, pas de nom, pas d’e-mail, pas de mot de passe.
• Aucun SDK d’analyse, de publicité ou de suivi.
• En mode Private, vos clés API App Store Connect n’atteignent jamais notre serveur.
• Notre serveur n’apprend quelque chose sur vous qu’une fois que vous activez Shipcue Pro et les notifications push, ou quand vous touchez Send Test Notification dans les réglages (il ne conserve alors que votre identifiant Shipcue anonyme et l’enregistrement push de cet appareil).

Sur notre serveur

Notre serveur est hébergé dans l’UE (DigitalOcean, Francfort). Avant que vous vous abonniez à Shipcue Pro et configuriez le push, il ne sait rien de vous. Send Test Notification dans les réglages en est la seule exception : elle fonctionne sans Pro et enregistre cet appareil (identifiant Shipcue anonyme et détails de l’appareil ci-dessous). Dès que vous utilisez Pro avec le push, le serveur conserve :

• Un identifiant Shipcue anonyme : la partie publique d’une clé créée par votre appareil au premier lancement, plus un identifiant aléatoire pour votre abonnement.
• Pour chaque appareil avec push : son jeton push, son modèle, sa version d’iOS, la version de Shipcue, la langue, le fuseau horaire, les clés qu’il détient (par empreinte) et un hash de son jeton de session. Les sessions expirent après 90 jours sans utilisation.
• Les noms de compte que vous avez choisis, le type de clé et une empreinte de la partie publique de chaque clé, et, pour les clés Team, un hash à clé de l’Issuer ID ; jamais la clé ni l’Issuer ID eux-mêmes.
• Les noms d’apps, bundle IDs, numéros de version, statuts de revue et leur historique, y compris pour les apps non publiées.
• Pour les apps présentes sur l’App Store : l’adresse publique de l’icône de l’app, récupérée dans l’annuaire public de l’App Store d’Apple avec le seul identifiant de l’app, afin que les notifications puissent l’afficher. Actualisée chaque semaine et supprimée quand plus personne ne suit l’app.
• Les données de routage des webhooks et les secrets de webhook chiffrés, pour vérifier que les mises à jour de statut viennent bien d’Apple. Les événements webhook sont conservés 30 jours.
• Vos réglages de notification, les règles de publication automatique signées et les heures des minuteurs.
• L’historique des actions (ce qui a été publié, retiré ou annulé, et depuis quel appareil) et un journal des push sur 30 jours.
• Les confirmations de remise : l’identifiant du push et l’heure à laquelle une notification a atteint votre appareil (signalée par l’app à son arrivée, sans indiquer si vous l’avez ouverte). Conservées 30 jours.
• Si Shipcue Pro est actif et quand il se renouvelle ou prend fin, ainsi que les enregistrements d’événements RevenueCat conservés 30 jours.
• Des sauvegardes chiffrées de ce qui précède, conservées 30 jours.
• Des journaux du serveur sans secrets ni jetons, conservés environ 7 jours.

Mode Server-assisted (prévu pour une version ultérieure, sur option, compte par compte) : une copie chiffrée de la clé API de ce compte. Elle n’est jamais incluse dans les sauvegardes et est supprimée sans délai quand vous repassez le compte en mode Private, le déconnectez ou supprimez vos données Shipcue.

Dans votre trousseau iCloud

Chiffré de bout en bout par Apple, synchronisé avec vos propres appareils et inclus dans les sauvegardes chiffrées de vos appareils. Rien de tout cela n’atteint notre serveur.

• Vos clés API (.p8) avec Key ID, Issuer ID et nom du compte, sauf les clés que vous choisissez de garder sur un seul appareil.
• La clé de signature de Shipcue, qui signe vos règles de publication automatique pour que notre serveur ne puisse pas les modifier.
• Un petit enregistrement de vos dernières règles et des minuteurs annulés.

Uniquement sur votre appareil

• Les clés API que vous avez choisi de garder sur un seul appareil. Elles ne sont ni synchronisées ni sauvegardées.
• Votre session, le statut mis en cache, le thème et les réglages d’apparence.

Achats

Apple traite tous les paiements. Nous utilisons RevenueCat pour vérifier l’état de l’abonnement ; il reçoit un identifiant Shipcue aléatoire et votre historique d’achats, jamais votre nom, votre e-mail, vos clés API ni les données de vos apps.

Ce que nous ne collectons pas

Votre nom, votre adresse e-mail, le mot de passe de votre compte Apple, ni aucune donnée d’analyse ou de suivi. Les rapports de plantage ne nous parviennent que par Apple, et seulement si vous avez choisi de partager des données d’analyse avec les développeurs d’apps dans les Réglages d’iOS.

Supprimer vos données

Delete Account dans les réglages de l’app supprime vos données de notre serveur (copies de sauvegarde sous 30 jours) et vos clés de votre trousseau iCloud. La suppression ne résilie pas Shipcue Pro, qui est facturé par Apple, et ne révoque pas vos clés API ; faites-le dans App Store Connect si vous ne les utilisez plus.

Vos droits

En vertu du RGPD, vous pouvez demander l’accès à vos données, leur rectification ou leur suppression, et déposer une réclamation auprès de votre autorité locale de protection des données. Comme nous ne savons pas qui vous êtes, nous pouvons vous demander d’envoyer la demande depuis l’app.

Modifications

Si cette politique change, nous mettrons à jour cette page et la date ci-dessus, et signalerons les changements importants dans l’app.