Politique de confidentialité

Périmètre

Cette politique couvre l’application Apertura pour macOS, l’application Apertura pour Windows, les services backend situés à api.notch-os.com et updates.notch-os.com, la passerelle facultative de comptes Ember à api.cabinhub.com.cn, ainsi que ce site web. Elle ne couvre pas les services tiers vers lesquels vous dirigez vous-même Apertura, comme un point de terminaison webhook que vous configurez pour la fonction antivol Guardian, ni un fournisseur de météo ou d’IA que nous appelons pour votre compte comme décrit ci-dessous.

Apertura est conçue pour garder un maximum de choses sur votre appareil. Les sections suivantes décrivent chaque chemin par lequel des données quittent votre machine, en termes simples, sans aucune catégorie non documentée.

Activation de la licence

Lorsque vous activez une licence (ou démarrez une session gratuite), l’application envoie une requête à api.notch-os.com contenant :

• La clé de licence que vous avez saisie (offre payante uniquement ; les sessions gratuites utilisent un substitut généré, pas une vraie clé).
• Une empreinte d’appareil : un hachage SHA-256 à sens unique. Sur Mac, elle est calculée à partir de l’IOPlatformUUID de votre Mac, de l’identifiant de bundle de l’application et de l’identifiant de modèle de votre Mac. Sous Windows, elle est calculée à partir du MachineGuid du système plus une clé de 32 octets par installation conservée dans un stockage protégé par DPAPI : copier un fichier sur une autre machine ne copie donc pas l’identité. Seul ce hachage est envoyé ; les valeurs qui ont servi à le construire ne le sont pas.
• Un nom d’appareil : sur Mac, le nom de votre ordinateur (par exemple « MacBook Pro de Jordan ») ; sous Windows, le nom d’hôte de votre PC.
• La version de l’application et la chaîne de version du système d’exploitation.
• Sur Mac uniquement, si votre appareil dispose d’un Secure Enclave, une clé publique supplémentaire servant à lier cryptographiquement une session payante à cet appareil précis. La clé privée correspondante ne quitte jamais le Secure Enclave.

Chaque requête ultérieure vers le relais (conversation, liste des appareils, désactivation) répète l’empreinte d’appareil afin que le backend puisse reconnaître votre appareil, mais ne répète jamais la clé de licence elle-même une fois l’activation terminée et un jeton de session émis.

Le jeton de session émis après l’activation est stocké dans le Keychain de macOS (Mac) ou dans le stockage chiffré d’identifiants propre à Windows (Windows), et non dans un fichier en clair.

Nous ne collectons ni votre nom, ni votre adresse e-mail, ni votre numéro de téléphone, ni votre adresse de facturation dans le cadre de l’activation de la licence. Si vous achetez via un prestataire de paiement, ce prestataire (voir Composants tiers) traite directement vos informations de paiement ; nous recevons uniquement les informations nécessaires pour reconnaître l’offre que vous avez achetée.

Fonctions IA et relais

Les fonctions IA d’Apertura (conversation, lecture de l’écran, macros du presse-papiers, pièces jointes) fonctionnent de deux manières, et vous pouvez voir laquelle est active dans les Réglages :

Sur l’appareil

Sur macOS, « IA privée sur l’appareil » exécute le modèle localement avec MLX. Lorsqu’elle est active, vos requêtes sont traitées entièrement sur votre machine et rien de la conversation n’est envoyé ailleurs — y compris les images jointes, dont les octets restent sur le Mac et ne sortent que sous forme de texte extrait localement. Les fichiers du modèle sont téléchargés une seule fois depuis artifacts.apertura.app contre un manifeste signé qui liste la taille et le SHA-256 de chaque fichier ; ce téléchargement ne transporte aucun de vos contenus. Sous Windows, il n’y a pas de modèle local aujourd’hui : l’IA sous Windows passe donc par le relais.

Via le relais

Lorsque l’IA via le relais est sélectionnée (par défaut pour les offres payantes, et disponible pour l’offre gratuite), votre conversation est envoyée à notre backend à api.notch-os.com, qui la transmet à un modèle d’IA sous-jacent pour générer une réponse. Le backend route vers plus d’un fournisseur en amont et peut changer lequel sert une requête ; cette page ne promet donc pas qu’une seule société nommée voie votre requête. Ce qui est fixe et vérifiable, c’est le chemin : votre appareil ne parle qu’à api.notch-os.com, et ce backend parle au fournisseur du modèle.

Ce qui est inclus lorsque vous utilisez l’IA via le relais :

• Les messages visibles de votre conversation en cours (envoyés à chaque nouveau tour, afin que le modèle ait le contexte).
• Le contenu que vous joignez explicitement : texte du presse-papiers (uniquement lorsque vous lancez une macro IA du presse-papiers, jamais automatiquement), texte à l’écran capturé par des fonctions de type « Lire mon écran » (texte extrait uniquement, pas une image de capture), ou texte extrait localement d’un fichier ou d’une image que vous joignez. Les octets des fichiers et les captures d’écran ne sont pas envoyés — seul le texte extrait de ceux-ci sur votre appareil l’est. La seule exception est le chemin des images décrit juste après.

Ce que notre backend ne fait pas avec le contenu de l’IA via le relais : il n’écrit ni votre requête ni la réponse du modèle dans une base de données ou un fichier journal. Seules les métadonnées nécessaires à la facturation et à la prévention des abus sont enregistrées — votre empreinte d’appareil, un nombre de jetons, le nom du modèle et votre offre, dans la table usage_log. Voir Conservation et suppression.

Par ailleurs, si vous utilisez un outil d’agent IA qui effectue une recherche sur le web ou récupère une URL, cette requête part directement de votre appareil vers le moteur de recherche ou le site que vous avez demandé de consulter — elle ne passe pas par notre relais et relève des pratiques de confidentialité propres à ce fournisseur.

L’analyse visuelle d’une image jointe est un consentement distinct et révocable : tant qu’il est actif, une copie réduite de l’image est envoyée au relais pour que le modèle la voie ; tant qu’il est inactif, ou tant que « IA privée sur l’appareil » est active, seul le texte extrait localement de l’image est envoyé. L’application indique lequel de ces deux chemins s’exécutera avant l’envoi.

Météo

Le module météo fonctionne différemment selon la plateforme :

• macOS : si vous accordez l’autorisation de localisation, Apertura utilise les services de localisation de votre Mac (à l’échelle de la ville, sans suivi précis continu) pour récupérer la météo directement auprès d’Open-Meteo, un fournisseur tiers de données météorologiques, à partir de vos coordonnées. Si vous refusez ou n’avez pas accordé l’autorisation de localisation, Apertura estime votre position à partir de votre adresse IP via un service tiers de géolocalisation IP. Les résultats météo sont mis en cache sur votre appareil et actualisés environ toutes les 15 minutes.
• Windows : vous pouvez saisir un nom de ville, qui est envoyé au service de géocodage d’Open-Meteo pour obtenir des coordonnées, lesquelles servent ensuite à récupérer les prévisions. Le panneau météo propose aussi « Utiliser la position actuelle » : il interroge le service de localisation intégré à Windows pour une position ponctuelle (aucun fournisseur de géolocalisation à clé comme Google n’est utilisé), arrondit les coordonnées à deux décimales avant tout appel réseau et ne garde la position brute qu’en mémoire. Si vous avez désactivé la localisation Windows, il ne vous localise pas — il demande à ipapi.co une estimation au niveau de la ville, étiquetée comme approximative, le même repli que le Mac. Le lieu choisi est enregistré localement sur votre PC.

Dans les deux cas, les requêtes météo vont directement de votre appareil à Open-Meteo (et, sur Mac avec la localisation refusée, au service de géolocalisation IP) ; elles ne passent pas par le backend d’Apertura, et aucun identifiant d’appareil ni information de licence n’y est joint.

Mises à jour du logiciel

Apertura recherche automatiquement les mises à jour :

• macOS utilise l’outil de mise à jour open source Sparkle, qui interroge updates.notch-os.com environ toutes les heures. Les paquets de mise à jour sont signés cryptographiquement et vérifiés avant l’installation.
• Windows utilise la bibliothèque electron-updater auprès du même serveur de mise à jour. Les mises à jour se téléchargent automatiquement mais ne sont pas installées sans une vérification de signature réussie ; l’application ne rétrograde pas silencieusement votre version.

Une recherche de mise à jour indique à notre serveur la version de votre application, le système d’exploitation et l’architecture afin qu’il propose le bon paquet — c’est le comportement habituel de toute application de bureau à mise à jour automatique, et il n’est pas lié à votre licence ni à votre empreinte d’appareil. Les deux bibliothèques envoient en outre les métadonnées HTTP ordinaires de tout client HTTP, dont une chaîne User-Agent ; nous n’avons pas modifié ce comportement de bibliothèque.

Sous Windows, une mise à jour est vérifiée contre une empreinte de certificat épinglée avant de s’installer. Une version livrée sans certificat de signature n’a aucune entrée dans cette liste autorisée : son programme de mise à jour refuse donc tout candidat plutôt que d’accepter un téléchargement non signé.

Rapports de plantage et analyses

Apertura n’inclut aucun SDK de rapport de plantage (comme Sentry ou Crashlytics) ni aucun SDK d’analyse ou de suivi d’usage (comme Mixpanel, Amplitude, PostHog, Firebase ou Google Analytics), ni dans l’application macOS, ni dans l’application Windows, et notch-os.com ne charge aucun script d’analyse non plus. Nous ne savons pas quand l’application plante sur votre machine, sauf si vous nous le dites, et il n’y a ni enregistrement de session, ni suivi d’entonnoir, ni balise d’usage de fonctionnalité.

Le module Stats (informations système sur le CPU, la mémoire, le GPU, la thermique, le disque, la batterie et le réseau) s’exécute et conserve son historique entièrement sur votre appareil, pour votre propre consultation. Il ne nous est pas transmis. Si vous utilisez la fonction facultative de supervision de flotte à distance pour surveiller vos propres autres machines, cette connexion passe directement entre vos appareils (par exemple via votre propre réseau Tailscale ou votre configuration SSH) et ne touche jamais nos serveurs.

Une fonction réseau locale vérifie périodiquement l’adresse IP publique de votre appareil auprès d’un service tiers (ipify.org), uniquement pour vous l’afficher dans le panneau Stats ; cette valeur n’est pas envoyée aux serveurs d’Apertura.

Liste d’attente des téléchargements

Les formulaires « Prévenez-moi » de la page de téléchargement sont facultatifs et n’utilisent aucun traceur tiers : l’adresse que vous saisissez ne va qu’à api.notch-os.com, qui conserve l’adresse, la plateforme choisie et le moment où vous avez ouvert le lien de confirmation que nous vous envoyons (rien n’est compté avant ce clic), ne garde les jetons de confirmation et de désinscription que sous forme d’empreintes à sens unique, et utilise brièvement votre adresse IP pour limiter le débit des envois ; chaque e-mail contient un lien de désinscription qui vous retire de la liste, et une inscription non confirmée est supprimée 30 jours après l’expiration de son lien.

Ce qui reste sur votre appareil

Les fonctions suivantes stockent des données uniquement sur votre appareil et ne les transmettent jamais aux serveurs d’Apertura dans le cadre d’un fonctionnement normal :

• Historique du presse-papiers : stocké localement. Il n’est inclus dans une requête IA que lorsque vous lancez explicitement une action IA dessus (voir Fonctions IA et relais) — il n’est jamais lu automatiquement ni en arrière-plan.
• Notes : stockées localement. La conversation IA peut écrire une note lorsque vous appuyez pour enregistrer un élément qu’elle a trouvé, mais rien ne lit vos notes existantes pour les envoyer ailleurs automatiquement.
• Captures d’écran : réalisées et enregistrées localement avec le mécanisme de capture propre au système d’exploitation ; Apertura ne les envoie nulle part.
• Aperçu de la caméra (utilisé pour les utilitaires caméra de l’encoche) : affiché uniquement en local, sans traitement IA et sans transmission réseau du flux vidéo.

Deux exceptions limitées méritent d’être signalées explicitement, car ce sont les seuls chemins par lesquels ce contenu local peut quitter votre appareil :

• Si vous joignez manuellement une capture d’écran, un export de notes ou un autre fichier à un message de conversation IA, le texte qu’Apertura en extrait est envoyé au relais IA comme toute autre pièce jointe (voir Fonctions IA et relais). Cela n’arrive que si vous choisissez de joindre le fichier.
• La fonction antivol facultative Guardian peut envoyer une notification (un titre, un message, un horodatage et un indicateur oui/non précisant si une photo a été prise) vers une adresse webhook que vous configurez vous-même — par exemple votre propre point de terminaison ntfy.sh, IFTTT ou Zapier. La photo elle-même reste sur votre appareil et n’est jamais incluse dans cette notification. Guardian n’envoie rien tant que vous ne l’avez pas activée et configuré une adresse webhook.

Conservation et suppression

Il n’existe aucun bouton en libre-service « supprimer mes données » dans l’application. Les demandes de suppression passent par la page de contact, qui indique la voie actuellement confirmée. Comme les requêtes et les réponses de l’IA ne sont pas stockées, une demande concerne les métadonnées d’utilisation, les enregistrements d’appareil et de licence, et toute image générée encore dans sa fenêtre de conservation.

Composants tiers

Apertura s’appuie sur un petit nombre de services tiers et de composants open source pour fonctionner :

• Open-Meteo — données météo et géocodage (voir Météo).
• ipapi.co — estimation de la position à partir de l’IP, utilisée uniquement comme solution de repli sur macOS lorsque la localisation précise n’est pas disponible.
• ipify.org — utilisé localement pour afficher votre propre adresse IP publique dans le panneau Stats.
• Sparkle (macOS) et electron-updater (Windows) — bibliothèques open source de recherche de mises à jour.
• open.er-api.com — le flux de devises sans clé derrière les taux en direct du convertisseur. Seule la requête du flux quitte votre appareil, et la dernière bonne réponse est mise en cache six heures.
• lrclib.net — paroles synchronisées. Seuls l’artiste, le titre, l’album et la durée sont envoyés, et uniquement lorsque vous demandez les paroles.
• Lemon Squeezy — traitement des paiements et API de licences. Les achats y sont traités ; l’application valide une clé auprès de l’API de licences de Lemon Squeezy via notre backend et ne voit jamais les données de votre carte.
• Passerelle de comptes Ember (api.cabinhub.com.cn) — uniquement si vous choisissez de vous connecter à un compte Ember et de synchroniser des conversations IA. Les conversations marquées « conserver uniquement sur l’appareil » n’y sont jamais envoyées.
• Un ou plusieurs fournisseurs de modèles d’IA derrière le relais — voir Fonctions IA et le relais.

Chacun de ces tiers ne traite que les données décrites dans la section concernée ci-dessus, et relève de sa propre politique de confidentialité pour tout le reste.

Sécurité

Les jetons de session de licence sont stockés dans le stockage sécurisé d’identifiants de votre système d’exploitation (Keychain de macOS ; sous Windows, le safeStorage d’Electron, adossé à DPAPI), et non dans un fichier en texte clair. Lorsque votre appareil le permet, les sessions payantes sur Mac sont en outre liées au Secure Enclave de votre appareil. L’accès administrateur au backend est un unique secret bearer d’opérateur, comparé en temps constant, avec un verrouillage par IP après des échecs répétés ; toutes les routes d’administration renvoient 503 lorsque ce secret n’est pas configuré, si bien qu’un déploiement mal configuré est fermé plutôt qu’ouvert. C’est un identifiant d’opérateur partagé, pas des comptes administrateur par personne, et nous ne prétendons pas disposer d’une piste d’audit de qui, chez nous, a fait quoi. Aucun système n’est parfaitement sûr, et nous ne pouvons pas garantir une sécurité absolue.

Enfants

Apertura est un outil de productivité de bureau à usage général, ne s’adresse pas aux enfants, et nous ne collectons pas sciemment de données auprès d’enfants. Comme indiqué plus haut, l’activation de la licence ne collecte ni nom, ni adresse e-mail, ni numéro de téléphone, ni adresse de facturation : il n’existe donc aujourd’hui aucun parcours de vérification de l’âge dans le produit.

Modifications de cette politique

La date d’entrée en vigueur est indiquée en haut de cette page. Les modifications importantes sont annoncées dans le journal des versions, là où les changements de produit sont consignés, et la date de cette page est mise à jour dans la même modification. Nous n’envoyons pas d’e-mail au sujet des changements de politique, car nous ne détenons pas d’adresse pour la plupart des utilisateurs.

Contact

Les questions de confidentialité et les demandes de suppression passent par la page de contact. Cette page est volontairement tenue exacte : elle ne liste que des canaux confirmés et suivis, et ne publie pas de boîte aux lettres qui n’existe pas.