Politique de confidentialité

Ce à quoi Site Pulse accède

Lorsque vous choisissez de connecter un compte Google, Site Pulse demande à Google les autorisations suivantes :

• Consulter et télécharger vos données Google Analytics (https://www.googleapis.com/auth/analytics.readonly). Site Pulse s’en sert pour lister les propriétés Google Analytics 4 que votre compte peut voir (noms des propriétés et des comptes, identifiants de propriété et fuseaux horaires) et pour lire des rapports agrégés à leur sujet : utilisateurs actifs à l’instant et sur les 30 dernières minutes, utilisateurs d’aujourd’hui et d’hier, utilisateurs des 7 derniers jours et nombre habituel d’utilisateurs par heure de la semaine. Pour les widgets, il lit aussi les utilisateurs actifs par minute sur les 30 dernières minutes, les utilisateurs par heure sur les dernières 24 heures, ainsi que les utilisateurs par jour, les principaux pays et les sources de trafic pour ce mois-ci et le mois dernier. Tant que le détail d’un site est ouvert, il lit également, uniquement pour les 30 dernières minutes, où se trouvent ses visiteurs (les pays, et les villes d’un pays que vous ouvrez), les titres des pages qu’ils consultent, le type d’appareil qu’ils utilisent (ordinateur, mobile, tablette) et les noms des événements envoyés par leurs visites (comme les pages vues ou les défilements), le tout sous forme de totaux agrégés. Pour trouver l’adresse du site web de chaque site, il lit le flux de données web de la propriété (son adresse par défaut, sans aucune donnée de visiteur). L’accès est en lecture seule : Site Pulse ne peut rien modifier dans votre compte Analytics.
• Votre adresse e-mail et l’identité de connexion de base (openid et email). Site Pulse les utilise uniquement pour afficher quel compte Google est connecté et pour distinguer plusieurs comptes connectés.

Site Pulse n’accède à aucune autre donnée Google. Il ne voit pas les visiteurs individuels de vos sites web ; Google Analytics ne communique que des totaux agrégés.

Site Pulse ne demande aucune autorisation Google supplémentaire pour cela : les flux de données et les rapports détaillés sont lus avec la même autorisation en lecture seule analytics.readonly.

Sur iPhone et iPad, les Live Activities pour vos propres sites demandent un consentement de plus : le serveur de Site Pulse demande à Google sa propre autorisation, avec les trois mêmes périmètres (analytics.readonly, openid et email), une fois par compte Google, et seulement après votre accord dans l’app (voir Serveur des Live Activities).

Sans compte connecté, Site Pulse affiche un site de démonstration avec des visiteurs simulés et n’envoie aucune requête à Google ni au serveur de Site Pulse. La Live Activity de la démo est générée sur l’iPhone ou l’iPad lui-même.

Où sont stockées vos données

Sur vos appareils (Mac, iPhone, iPad) et dans votre propre compte iCloud (voir Synchronisation iCloud). Ce que le serveur de Site Pulse conserve pour les Live Activities est détaillé à part, sous Serveur des Live Activities.

• Pour chaque compte connecté, votre trousseau stocke le jeton de connexion émis par Google, avec l’adresse e-mail du compte et son identifiant de compte Google (utilisés pour nommer le compte et distinguer plusieurs comptes). Si le trousseau iCloud est activé, cet élément du trousseau se synchronise aussi avec vos autres appareils (voir Synchronisation iCloud).
• La liste de vos propriétés (classées sous l’identifiant du compte Google qui peut les voir, avec l’adresse du site web de chacune) et le profil de trafic habituel de chaque site sont mis en cache dans le dossier propre à l’app (Application Support, à l’intérieur du bac à sable de l’app, sur chaque appareil), afin que l’app démarre vite et envoie moins de requêtes.
• L’icône de chaque site suivi et sa couleur principale, que Site Pulse utilise pour teinter la vignette du site, sont mises en cache dans le dossier propre à l’app (Application Support) et actualisées au plus une fois par semaine.
• Vos réglages (sites à suivre, noms courts, couleurs, ordre et options) sont stockés dans les préférences de l’app. Les choix énumérés sous Synchronisation iCloud sont aussi synchronisés via iCloud.

Widgets

Si vous ajoutez des widgets Site Pulse à votre bureau, au Centre de notifications, à l’écran d’accueil ou à l’écran verrouillé, l’app conserve les données qu’ils affichent dans un dossier partagé sur cet appareil (un conteneur App Group ; sur Mac, il s’agit de ~/Library/Group Containers/566SSXX9H8.com.sgumz.sitepulse/). Il contient :

• un instantané de chiffres d’analyse agrégés pour vos sites suivis et pour l’ensemble de ces sites : utilisateurs par mois et par jour (ce mois-ci et le mois dernier), les dernières 24 heures sous forme de courbe, les principaux pays (ce mois-ci et le mois dernier) et les sources de trafic, les compteurs en direct actuels, les utilisateurs actifs par minute sur les 30 dernières minutes et les sites en plein pic, quelques temps forts calculés à partir de ces chiffres, ainsi que les noms de vos sites, leurs identifiants de propriété, leurs couleurs, leurs monogrammes et leurs fuseaux horaires, et l’identifiant du compte Google qui lit chaque site ;
• l’information indiquant si Site Pulse Pro est actif, quelle formule et jusqu’à quand (voir Site Pulse Pro), afin que les widgets sachent quels détails afficher ;
• des copies des icônes des sites suivis ;
• un journal de l’heure à laquelle des pics ont commencé sur vos sites suivis au cours des 31 derniers jours (uniquement l’identifiant de propriété et l’heure de début) ;
• sur iPhone et iPad, une petite note indiquant quand les widgets ont récupéré eux-mêmes des données pour la dernière fois (voir ci-dessous) : l’heure de la dernière tentative, si Google leur a demandé de ralentir, et quel site passera en premier la prochaine fois.

Seuls Site Pulse et ses widgets lisent ce dossier. Rien de ce qu’il contient ne quitte l’appareil, et il n’est pas synchronisé via iCloud.

Sur Mac, l’extension des widgets n’a aucun accès au réseau et ne lit jamais vos jetons de connexion Google, qui restent dans le trousseau ; les chiffres sont récupérés par l’app, avec la même autorisation en lecture seule que ci-dessus.

Sur iPhone et iPad, iOS laisse rarement l’app s’exécuter en arrière-plan : les widgets peuvent donc récupérer eux-mêmes des chiffres frais. Quand leurs données ont plus de 15 minutes, l’extension des widgets contacte directement Google Analytics avec votre propre connexion : elle lit la connexion dans le trousseau (le même élément que celui de l’app, qu’elle ne modifie jamais), obtient un jeton d’accès de courte durée auprès de Google, puis demande les mêmes rapports agrégés pour vos sites suivis (utilisateurs en direct, utilisateurs par minute et par heure, et chiffres de ce mois-ci) avec la même autorisation en lecture seule que ci-dessus. Elle n’essaie qu’une fois toutes les 5 minutes au plus, et abandonne après quelques secondes. Le jeton d’accès est conservé en mémoire uniquement. Les nouveaux chiffres sont écrits dans l’instantané décrit plus haut, et rien d’autre n’est envoyé nulle part. Sans compte connecté, ou pour le site de démonstration, les widgets n’envoient aucune requête.

Tant que Site Pulse s’exécute (ou, sur iPhone et iPad, s’actualise en arrière-plan quand iOS le permet), il réécrit l’instantané environ toutes les 15 minutes, et peu après que vous avez modifié les sites suivis ou supprimé un compte. À chaque fois, un site que vous ne suivez plus disparaît de l’instantané, la copie de son icône est supprimée, ses entrées sont retirées du journal des pics, et les pics de plus de 31 jours sont eux aussi supprimés. Quand aucun compte Google n’est connecté, l’instantané contient à la place le site de démonstration simulé, et les copies d’icônes ainsi que le journal des pics sont supprimés. macOS ne supprime pas le dossier du Mac quand vous supprimez l’app ; pour tout effacer à cet endroit, supprimez le dossier indiqué plus haut.

Les pays, villes, titres de pages, appareils et événements affichés dans le détail d’un site ne sont récupérés que tant que ce détail est ouvert. Ils sont conservés en mémoire tant que Site Pulse s’exécute (pour que la réouverture d’un détail les affiche aussitôt), ne sont jamais écrits sur le disque et disparaissent quand vous quittez l’app.

Icônes des sites web

Pour afficher l’icône de chaque site, Site Pulse la télécharge directement depuis votre site web : il demande l’adresse du site web que Google Analytics indique pour le site (en suivant les éventuelles redirections), lit cette page d’accueil, puis demande les emplacements d’icônes vers lesquels la page elle-même renvoie, qui peuvent se trouver sur un réseau de diffusion de contenu utilisé par le site. Site Pulse n’utilise jamais de service tiers de favicons ou d’icônes, et n’envoie aucune donnée Analytics dans ces requêtes. Ce sont des requêtes web ordinaires : votre site web peut donc les voir dans ses propres journaux de serveur.

Site Pulse écrit de brefs messages de diagnostic, comme l’échec d’une requête et l’identifiant de la propriété concernée, dans le journal système de l’appareil. Ils restent sur cet appareil et ne contiennent ni chiffres d’analyse ni jetons.

Site Pulse communique directement avec les serveurs de Google (accounts.google.com, oauth2.googleapis.com, analyticsdata.googleapis.com et analyticsadmin.googleapis.com) via des connexions chiffrées, et avec vos propres sites web pour récupérer leurs icônes (décrit plus haut). Sur iPhone et iPad, dès que vous lancez une Live Activity pour l’un de vos propres sites ou activez les alertes de pic, l’app communique aussi avec le serveur de Site Pulse à l’adresse api.ga4live.app (décrit sous Serveur des Live Activities) ; et quand vous vous déconnectez sur iPhone ou iPad, l’app demande au serveur de supprimer tout ce qu’il conserve pour ce compte. Les widgets de l’iPhone et de l’iPad ne communiquent qu’avec oauth2.googleapis.com et analyticsdata.googleapis.com. L’app Mac ne communique jamais avec le serveur de Site Pulse. En dehors de ce que le serveur conserve pour les Live Activities, rien de ce que vous voyez dans l’app ne m’est envoyé ni n’est stocké chez moi. Je ne vends ni ne partage jamais vos données Google, et je ne les lis pas.

Synchronisation iCloud

Si vous utilisez Site Pulse sur plusieurs de vos appareils, deux éléments se synchronisent entre eux via votre propre compte iCloud. Cette synchronisation est assurée par Apple, et non par moi ; le serveur de Site Pulse n’y joue aucun rôle.

• Vos connexions Google (le jeton de connexion, l’adresse e-mail et l’identifiant de compte Google décrits plus haut) sont stockées comme éléments synchronisables dans le trousseau iCloud, qu’Apple chiffre de bout en bout. C’est ainsi qu’un compte que vous connectez sur un appareil apparaît sur les autres sans nouvelle connexion. La synchronisation n’a lieu que si le trousseau iCloud est activé pour votre compte Apple ; sinon, la connexion reste sur l’appareil où vous l’avez faite.
• Vos choix de sites (les sites que vous suivez, leur ordre, leurs noms courts et leurs couleurs, ainsi que le mode de couleur et les identifiants des propriétés que vos comptes peuvent voir) se synchronisent via le stockage clé-valeur d’iCloud. Ils ne contiennent ni jetons de connexion ni chiffres d’analyse. La modification la plus récente l’emporte si deux appareils les modifient en même temps.

Les chiffres d’analyse, les caches, les icônes et l’instantané des widgets ne sont pas synchronisés : chaque appareil récupère les siens directement auprès de Google. Rien dans cette section n’est envoyé à un serveur de Site Pulse, et je ne peux pas lire vos données iCloud.

Site Pulse Pro et achats

Site Pulse Pro (un abonnement mensuel ou annuel, ou un achat unique) est vendu via l’App Store d’Apple avec les achats intégrés. Apple gère le paiement, l’essai gratuit, les renouvellements, les remboursements et le Partage familial conformément à la politique de confidentialité d’Apple ; Site Pulse ne voit jamais vos informations de paiement, votre nom ni votre compte Apple.

Sur chaque appareil, Site Pulse demande à StoreKit d’Apple, sur cet appareil, quels achats de Site Pulse Pro sont actifs, et ne conserve que le résultat : si Pro est actif, quelle formule et jusqu’à quand. Il le stocke avec les données des widgets (voir plus haut) afin que les widgets puissent afficher ou verrouiller leurs détails.

Les Live Activities pour vos propres sites font partie de Pro : le serveur doit donc savoir si Pro est actif. Dès que votre iPhone ou iPad utilise le serveur (voir plus haut), l’app envoie au serveur de Site Pulse le justificatif signé de l’App Store pour votre dernier achat à l’ouverture de l’app, après un achat ou une restauration, et quand vous lancez une Live Activity. Le serveur le vérifie auprès d’Apple et ne conserve que : si Pro est actif, jusqu’à quand, l’identifiant de transaction d’origine de l’achat (un numéro qu’Apple lui attribue), la date de la dernière vérification et, une fois Pro terminé, depuis quand. Apple signale aussi au serveur quand cet achat est renouvelé, arrive à échéance ou est remboursé. Le serveur ne voit jamais votre nom, votre compte Apple ni vos informations de paiement. Sur Mac, l’état de Pro ne quitte jamais l’appareil.

Si vous démarrez un essai gratuit, Site Pulse demande à vous envoyer une notification et, si vous l’autorisez, programme sur l’appareil un rappel deux jours avant la fin de l’essai. Ce rappel est une notification locale : il ne passe par aucun serveur.

Serveur des Live Activities

Sur iPhone et iPad, une Live Activity affiche les chiffres en direct d’un site sur l’écran verrouillé (et, sur iPhone, dans la Dynamic Island). iOS ne permet pas à une app de s’exécuter en arrière-plan chaque minute : c’est donc le serveur de Site Pulse qui s’en charge. Il lit les chiffres de vos sites dans Google Analytics et les envoie à votre iPhone ou iPad, pour mettre à jour vos Live Activities chaque minute et en démarrer une quand un site connaît un pic, alors que l’app est fermée. Ce serveur est exploité par moi sur Google Cloud aux États-Unis (Cloud Run et une base de données Firestore dans la région us-west1, avec des clés dans Cloud KMS) et répond à l’adresse api.ga4live.app. L’app Mac n’y accède jamais, et la Live Activity du site de démonstration est générée sur l’iPhone ou l’iPad sans lui.

Quand le serveur intervient

• Seulement si vous l’utilisez. La connexion et la démo ne s’enregistrent jamais auprès du serveur. Votre iPhone ou iPad ne s’y enregistre que si vous êtes d’accord : vous lancez une Live Activity pour l’un de vos propres sites ou activez les alertes de pic, Site Pulse explique ce que le serveur conserve, et rien n’est envoyé tant que vous n’avez pas touché « Continue with Google ». Ensuite, cet enregistrement est actualisé à chaque ouverture de Site Pulse (avec un nouveau jeton de notification push ou un nouvel achat Pro, par exemple), même après que vous avez désactivé les alertes de pic, jusqu’à ce que vous touchiez « Delete my Live Activity data ». Si vous n’ouvrez pas Site Pulse pendant 30 jours, le serveur supprime l’enregistrement, et l’app en crée un nouveau à sa prochaine ouverture. Un enregistrement ne contient aucune donnée d’analyse : uniquement les éléments énumérés sous « Pour chaque appareil » ci-dessous, et la preuve de connexion de courte durée de Google (un jeton d’identité) pour chaque compte connecté, que le serveur vérifie et dont il ne conserve que l’identifiant du compte.
• Votre consentement. Le serveur ne lit votre Google Analytics qu’avec une autorisation qui lui est propre. La première fois que vous lancez une Live Activity pour l’un de vos sites, ou que vous activez les alertes de pic, Site Pulse explique ce que le serveur conserve (« Live updates while Site Pulse is closed »), puis ouvre la page de consentement de Google, où vous pouvez accorder ou refuser cette autorisation. Le jeton de connexion présent sur vos appareils ne les quitte jamais.

Ce que le serveur conserve

En résumé, comme l’app l’indique avant que vous donniez votre accord : une autorisation Google chiffrée, les sites que vous avez choisis et leurs noms, le trafic habituel de chaque site pour repérer les pics, les derniers chiffres affichés par une Live Activity en cours, et un identifiant pour cet appareil. En détail :

• Pour chaque compte Google ayant donné son consentement : l’autorisation Google du serveur (un jeton d’actualisation), chiffrée avec une clé de Google Cloud KMS qui ne quitte jamais KMS ; l’identifiant du compte Google (un numéro, et non votre adresse e-mail) ; la date à laquelle l’autorisation a été donnée et si elle fonctionne encore.
• Pour chaque appareil : un identifiant d’installation aléatoire ; une empreinte à sens unique du secret de l’appareil, qui prouve que les requêtes ultérieures proviennent du même appareil ; le jeton de démarrage par notification push qu’iOS donne à Site Pulse, qui permet au serveur d’y démarrer une Live Activity, et, si Apple signale que ce jeton a disparu, la date à laquelle cela s’est produit ; si More Frequent Updates est activé ; la version de l’app ; lequel des services de notification push d’Apple il utilise (développement ou App Store) ; la date de la dernière ouverture de l’app ; les identifiants des comptes Google connectés sur cet appareil ; et, si vous avez Pro, l’état de l’achat décrit sous Site Pulse Pro.
• Tant que les alertes de pic sont activées : les sites que vous avez choisis (les identifiants de leurs propriétés Google Analytics et leurs fuseaux horaires) et leurs noms tels que l’app les a envoyés, pour qu’une alerte de pic puisse nommer le site avant l’ouverture de l’app ; le trafic habituel de chaque site pour repérer les pics (moyenne d’utilisateurs pour chaque heure de la semaine, sur les 28 derniers jours, et comment les dernières minutes du site se comparent à cette moyenne) ; la date du début de son dernier pic ; et, tant qu’un site connaît un pic, depuis quand et son multiple actuel de la normale.
• Tant qu’une Live Activity est en cours : les sites qu’elle affiche (identifiants de propriété et fuseaux horaires), la date de son démarrage et de son arrêt, et les derniers chiffres qu’elle affiche : utilisateurs en direct et utilisateurs par minute sur les 30 dernières minutes, aujourd’hui comparé à hier, le premier pays et le titre de la première page, et le multiple du pic. Ces données sont remplacées chaque minute et supprimées à la fin de la Live Activity. Pour une Live Activity que vous lancez vous-même, le serveur ne conserve aucun nom de site ; votre iPhone ou iPad les ajoute.
• Une autorisation en attente de révocation : si Google ou Cloud KMS est injoignable quand le serveur supprime un compte, l’autorisation chiffrée est conservée seule, une nouvelle tentative a lieu chaque jour, et elle est supprimée au bout de 30 jours environ au plus.

Les chiffres d’analyse ne font par ailleurs que transiter par le serveur et ne sont pas conservés. Le serveur ne lit que ces rapports agrégés, avec son autorisation en lecture seule : utilisateurs par minute sur les 30 dernières minutes, premier pays et première page à l’instant, utilisateurs d’aujourd’hui et d’hier, et utilisateurs par heure de la semaine sur les 28 derniers jours. Les jetons d’accès de courte durée de Google restent dans la mémoire du serveur. Le serveur ne lit jamais l’API Analytics Admin (il obtient vos sites auprès de l’app) et ne voit jamais les visiteurs individuels.

Ce qui sort du serveur

Les mises à jour des Live Activities parviennent à votre iPhone ou iPad via le service de notifications push d’Apple. Elles contiennent les chiffres ci-dessus ; les sites y sont désignés par un code construit à partir de votre identifiant de compte et de l’identifiant de propriété, jamais par l’identifiant de propriété lui-même, et une alerte de pic contient en plus le nom du site. Rien n’est envoyé à qui que ce soit d’autre. Google Cloud stocke et exécute le serveur pour moi ; les journaux du serveur enregistrent la route et le résultat de chaque requête et le type d’une erreur, jamais de jetons, d’identifiants ni de chiffres d’analyse, et Google Cloud conserve ses journaux de requêtes standard (y compris l’heure et l’adresse réseau de chaque requête) pendant 30 jours, sa durée de conservation par défaut pour les journaux du serveur.

Le désactiver et le supprimer

• Settings → Live Activities → « Start a Live Activity when a site spikes » : le désactiver supprime les sites choisis sur cet appareil, leurs noms et leur trafic habituel. Quand aucun autre de vos appareils n’a les alertes de pic activées et qu’aucune Live Activity du compte n’est en cours, l’autorisation Google du compte est révoquée chez Google et supprimée avec lui.
• Stop (dans l’app, ou sur la Live Activity elle-même) met fin à la Live Activity, et le serveur supprime ses derniers chiffres (une fois qu’aucun autre de vos appareils n’affiche la même). Si aucune alerte de pic n’est activée, l’autorisation reste en place, pour que votre prochaine Live Activity démarre sans redemander, jusqu’à ce que l’une des autres méthodes ci-dessous la supprime.
• Settings → Live Activities → « Delete my Live Activity data » : le serveur supprime cet appareil, ses Live Activities et ses alertes de pic, ainsi que chaque compte qu’aucun autre de vos appareils n’utilise encore, avec son autorisation révoquée chez Google. Les Live Activities en cours s’arrêtent.
• La déconnexion (Settings → Accounts → Remove sur iPhone ou iPad) met fin aux Live Activities de ce compte et supprime tout ce que le serveur conserve pour lui, sur tous vos appareils, en révoquant son autorisation chez Google. Si le serveur est injoignable, l’app l’en informe à sa prochaine ouverture, ou la règle des 30 jours ci-dessous s’applique. La suppression d’un compte sur Mac parvient au serveur via votre iPhone ou iPad à la prochaine ouverture de Site Pulse sur cet appareil, si vos connexions se synchronisent via le trousseau iCloud et que cet appareil utilise les Live Activities.
• Automatiquement : un appareil sur lequel Site Pulse n’a pas été ouvert depuis 30 jours est supprimé, avec ses Live Activities et ses alertes de pic, de même que chaque compte qu’aucun autre appareil n’utilise. Si Apple signale qu’un appareil ne peut plus recevoir de Live Activities de Site Pulse (généralement parce que l’app y a été supprimée ; le serveur l’apprend la prochaine fois qu’il essaie d’y en démarrer une), le serveur oublie aussitôt le jeton de démarrage par notification push de cet appareil et cesse de surveiller ses sites pour les pics ; à moins que Site Pulse n’y soit rouvert dans les 7 jours (il envoie alors un nouveau jeton et les alertes de pic reprennent), l’appareil est supprimé de la même façon, avec ses Live Activities et ses alertes de pic et chaque compte qu’aucun autre appareil n’utilise. La règle des 30 jours s’applique dans tous les cas. L’autorisation et les données d’un compte sont aussi supprimées une fois que Pro a pris fin depuis 16 jours sur chaque appareil qui l’avait. Une vérification a lieu chaque jour.
• Chez Google : supprimez Site Pulse sous myaccount.google.com/connections. L’autorisation cesse de fonctionner immédiatement ; le serveur supprime sa copie chiffrée la prochaine fois qu’il essaie de l’utiliser, et une Live Activity en cours affiche « paused · reconnect in Site Pulse ».

Vous pouvez aussi utiliser le bouton Écrire à l’assistance de la page Assistance pour faire supprimer tout ce que le serveur conserve à votre sujet.

Règles de Google sur les données utilisateur des services d’API

L’utilisation et le transfert par Site Pulse, vers toute autre app, des informations reçues des API de Google, dans les apps Site Pulse et sur le serveur des Live Activities de Site Pulse (api.ga4live.app), respecteront les Règles de Google sur les données utilisateur des services d’API, y compris les exigences d’utilisation limitée.

En particulier, Site Pulse n’utilise les données des API de Google que pour vous montrer vos propres statistiques : dans l’app, dans ses widgets et dans vos Live Activities, y compris pour vous prévenir quand l’un de vos sites connaît un pic. Le serveur n’utilise les données que pour cela, et ne les envoie qu’à vos propres appareils (via le service de notifications push d’Apple). Site Pulse ne transfère pas les données à qui que ce soit d’autre, ne les utilise pas pour la publicité, ne les utilise pas pour entraîner des modèles d’IA ou d’apprentissage automatique, et ne permet à aucune personne de les lire.

Comment vos données sont protégées

Vos connexions Google et vos données d’analyse sont sensibles ; Site Pulse les protège donc partout où elles existent :

• Privilèges minimaux. Site Pulse ne demande à Google qu’un accès en lecture seule à Google Analytics (l’autorisation analytics.readonly), plus votre adresse e-mail et l’identifiant du compte pour nommer celui-ci. Il ne peut modifier ni vos réglages ni vos données Analytics, et ne demande jamais l’accès à quoi que ce soit d’autre dans votre compte Google.
• Chiffrement en transit. Chaque connexion, entre les apps et Google, entre les apps et le serveur des Live Activities, et entre le serveur et Google ou Apple, utilise HTTPS (TLS). Rien n’est envoyé en clair.
• Sur vos appareils. Les jetons de connexion Google ne sont conservés que dans le trousseau Apple, que le système d’exploitation chiffre et verrouille pour Site Pulse ; avec le trousseau iCloud, ils se synchronisent chiffrés de bout en bout, si bien qu’Apple ne peut pas non plus les lire. Les chiffres en cache et les réglages restent dans le conteneur isolé de l’app et dans votre propre compte iCloud.
• Connexion sécurisée. La connexion passe par l’écran de consentement de Google lui-même, dans le navigateur du système ; Site Pulse ne voit jamais votre mot de passe Google. La connexion utilise PKCE et une valeur d’état signée à usage unique, afin qu’une réponse de connexion ne puisse être ni interceptée ni rejouée.
• Sur le serveur des Live Activities. L’autorisation Google que conserve le serveur (un jeton d’actualisation) est chiffrée avec une clé détenue dans Google Cloud KMS qui ne quitte jamais KMS. La base de données refuse tout accès direct depuis Internet : seul le serveur lui-même peut la lire ou y écrire, et Google la chiffre au repos. Chaque appareil prouve son identité avec un secret que le serveur ne stocke que sous forme d’empreinte SHA-256 à sens unique. Les clés et secrets du serveur sont conservés dans Google Cloud Secret Manager, et chaque partie du serveur s’exécute avec les seules autorisations dont elle a besoin.
• Conservation minimale. Le serveur ne conserve que ce dont une Live Activity en cours a besoin, comme énuméré plus haut, et le supprime, en révoquant son autorisation chez Google, quand vous vous déconnectez, retirez Site Pulse de votre compte Google ou me le demandez.
• Pas de vente, personne ne lit. Vos données ne sont jamais vendues, jamais utilisées pour la publicité et jamais utilisées pour entraîner des modèles d’IA, et personne ne les lit, sauf si vous me demandez de vous aider à résoudre un problème et m’en donnez l’autorisation, ou si la loi l’exige.

Si j’apprends un jour qu’une violation touche vos données, je vous en informerai sans retard injustifié, en vous indiquant ce qui s’est passé et ce qu’il faut faire.

Suivi et statistiques

Site Pulse ne contient aucun SDK de statistiques, de rapport de plantage, de publicité ou de suivi. La seule chose qu’il enregistre sur la façon dont vous l’utilisez : dès que votre iPhone ou iPad utilise le serveur, celui-ci conserve la date de la dernière ouverture de Site Pulse sur l’appareil, uniquement pour supprimer les données de l’appareil après 30 jours sans ouverture. Si vous choisissez de partager les rapports de plantage avec les développeurs dans macOS, iOS ou iPadOS, Apple peut me les transmettre selon sa propre politique de confidentialité ; ils ne contiennent pas vos données Google.

Ce site web

Tout ce qui précède concerne les apps Site Pulse et leur serveur. Ce site web, ga4live.app, est distinct : il utilise Google Analytics, via Google Site Kit, pour compter les visites et voir quelles pages les gens lisent et quels liens ils utilisent, comme le bouton App Store. Google Analytics dépose des cookies dans votre navigateur et reçoit votre adresse IP, des informations sur votre navigateur et votre appareil, et les pages que vous consultez ; Google traite ces données selon sa propre politique de confidentialité. Lors de votre première visite, le réseau qui diffuse ce site (Amazon CloudFront) dépose aussi un cookie nommé gl_locale qui ne contient qu’un code de langue, par exemple « ja », choisi d’après le pays d’où provient votre connexion, afin que le site puisse vous suggérer une page dans votre langue. Il dure un an, ne contient aucune donnée personnelle et n’est pas partagé, et vous pouvez le supprimer à tout moment ; le site ne s’en sert que pour vous proposer cette suggestion, et ne choisit jamais une langue à votre place ni ne vous redirige. Les polices du site sont servies par ce site lui-même ; aucun service de polices ne reçoit votre adresse IP. Le site n’affiche aucune publicité, et je ne vends rien à votre sujet. Un bloqueur de contenu, ou le module complémentaire de désactivation de Google pour navigateur, empêche Google Analytics de fonctionner sur ce site.

Retirer l’accès et supprimer vos données

• Dans Site Pulse : ouvrez Settings → Accounts et cliquez sur Remove à côté d’un compte, sur n’importe lequel de vos appareils. Cela supprime son jeton, son adresse e-mail et son identifiant de compte du trousseau, révoque l’accès de Site Pulse chez Google, et oublie les sites que seul ce compte pouvait voir. Comme les connexions se synchronisent via le trousseau iCloud, supprimer un compte sur un appareil le supprime aussi de vos autres appareils. Sur iPhone et iPad, cela supprime aussi ce que le serveur de Site Pulse conserve pour ce compte.
• Serveur des Live Activities : voir Le désactiver et le supprimer.
• Chez Google : rendez-vous dans votre compte Google → Sécurité → Vos connexions à des applications et services tiers (myaccount.google.com/connections), choisissez Site Pulse et supprimez son accès.
• Tout : supprimer l’app et son conteneur (~/Library/Containers/com.sgumz.sitepulse) efface toutes les données en cache et tous les réglages ; supprimez aussi le dossier des widgets ~/Library/Group Containers/566SSXX9H8.com.sgumz.sitepulse ; les connexions se suppriment via Settings → Accounts → Remove (voir plus haut), et non à la main dans Trousseau d’accès. Sur iPhone et iPad, supprimer l’app efface ses caches et ses réglages de cet appareil, mais les connexions synchronisées restent dans le trousseau iCloud jusqu’à ce que vous supprimiez le compte dans Site Pulse (Settings → Accounts) sur n’importe quel appareil.

Enfants

Site Pulse est un outil destiné aux propriétaires de sites web et ne s’adresse pas aux enfants.

Modifications

Si cette politique change, la nouvelle version sera publiée sur cette page avec une nouvelle date d’entrée en vigueur.

Contact

Sandro Gumz · écrivez-moi avec le bouton Écrire à l’assistance de la page Assistance