Sécurité et données pour les organisations

• Tableaux, cartes, commentaires et pièces jointes circulent directement entre les apps et votre serveur Nextcloud, jamais par un relais Deckloud.
• Pour un serveur sur le réseau local, les apps autorisent http:// non chiffré. Utilisez HTTPS pour chiffrer le transfert.
• Chaque app vérifie sa licence auprès d’api.deckloud.com, comme détaillé ci-dessous.
• api.deckloud.com ne contacte votre serveur que lors de la vérification d’administrateur.

Pour un serveur sans licence, les apps vérifient au plus une fois par jour. Pour un serveur sous licence, l’app de bureau vérifie toutes les 6 heures tant qu’elle tourne ; les apps pour iPhone, iPad et Android vérifient le compte actif à l’ouverture, si la dernière vérification date de plus de 12 heures. Les utilisateurs peuvent aussi choisir Vérifier à nouveau.

Les apps n’envoient aucun nom, adresse e-mail, identifiant d’utilisateur Nextcloud ni appartenance à un groupe. Elles lisent l’identifiant et les groupes de l’utilisateur sur votre serveur (/ocs/v2.php/cloud/user) avec sa connexion existante, et vérifient le groupe sur l’appareil. Deckloud ne connaît que l’identifiant du groupe sous licence. Pour suggérer une licence d’équipe, l’app compte sur l’appareil combien de personnes partagent les tableaux de l’utilisateur ; ce nombre n’est jamais envoyé. Un lien « Envoyer au service informatique » que vous envoyez contient le nombre de places suggéré. deckloud.com le reçoit quand quelqu’un ouvre le lien.

Les administrateurs qui gèrent la licence envoient aussi leurs saisies : clé de licence, adresses de serveur, identifiant de groupe et politique d’analyse.

• La licence : offre, statut, places, période payée, nom de l’organisation (issu de Polar, ou saisi pour un essai avant le 8 novembre 2026) et identifiants client, abonnement et commande Polar. S’y ajoutent une empreinte SHA-256 de la clé de licence, l’adresse e-mail qui a reçu la clé, l’identifiant de groupe choisi et la politique d’analyse.
• Pour les essais démarrés avant le 8 novembre 2026 : l’e-mail de contact saisi par un administrateur et une trace des e-mails d’essai envoyés. Deckloud n’envoie plus ces e-mails ; pour faire supprimer une adresse, écrivez à partners@deckloud.com.
• Les serveurs liés : chaque adresse de serveur, avec la date de liaison. Pour les essais démarrés avant le 8 novembre 2026, aussi l’adresse du serveur de chaque essai.
• Les places : chaque empreinte de place avec sa première et sa dernière utilisation ; la dernière est mise à jour au plus une fois par jour UTC. Une place est supprimée 60 jours après sa dernière utilisation. Toute personne qui peut joindre api.deckloud.com pourrait signaler une empreinte de place. Le nombre de places n’est donc qu’une information et ne limite jamais Pro ni la facturation.
• Pour les licences hébergeur : le pic quotidien de serveurs liés, pour la facturation.
• Pour la limitation de débit : des empreintes SHA-256 de l’adresse IP de la requête et d’autres valeurs limitées, comme la clé de licence. Elles sont supprimées après 2 jours au plus.

Pour gérer une licence sans la clé, ou acheter une licence qui lie le serveur, un administrateur vérifie le serveur :

1. api.deckloud.com lance Nextcloud Login Flow v2 sur l’adresse de serveur saisie par l’administrateur.
2. L’administrateur se connecte sur la page de connexion de son propre serveur et accorde l’accès. Nextcloud remet à api.deckloud.com un mot de passe d’application temporaire.
3. api.deckloud.com l’utilise une seule fois pour lire /ocs/v2.php/cloud/user et vérifie que le compte fait partie du groupe admin.
4. Il demande ensuite à Nextcloud de supprimer ce mot de passe, et ne crée de session d’administration qu’une fois la suppression confirmée.

Jusque-là, api.deckloud.com conserve le mot de passe d’application chiffré, uniquement pour cette vérification et sa suppression ; s’il ne peut pas l’enregistrer, il saute la vérification et demande aussitôt la suppression. Une suppression qui échoue est relancée pendant 30 jours au plus ; la copie est effacée à la confirmation ou au bout de ces 30 jours. Les sauvegardes chiffrées de la base (7 quotidiennes, 4 hebdomadaires, 6 mensuelles) peuvent contenir la copie et sa clé jusqu’à leur expiration. L’administrateur peut aussi révoquer le mot de passe dans Paramètres > Sécurité de Nextcloud.

api.deckloud.com ne se connecte qu’à des adresses publiques en HTTPS. Une vérification est valable 1 heure et ne couvre que l’adresse de serveur vérifiée. Pour ajouter des serveurs ou ouvrir le portail client Polar, il faut la clé de licence.

• Une clé de licence contient 125 bits d’aléa. Deckloud l’envoie à l’adresse e-mail utilisée pour l’achat et n’en conserve que l’empreinte ; le site web ne l’affiche jamais.
• Les jetons sont signés avec Ed25519. Les apps vérifient la signature sur l’appareil avec les clés publiques de Deckloud qu’elles contiennent.
• Un appareil n’accepte un jeton que si : la signature est valide ; le jeton n’a pas expiré ; l’adresse du serveur du compte figure dans origins ; la plateforme de l’appareil figure dans platforms ; et, si grp indique un groupe, l’utilisateur en est membre.
• La licence d’organisation ne supprime ni ne remplace jamais un achat Pro personnel.
• Le Pro de l’organisation ne vaut que si le compte du serveur sous licence est le compte actif dans l’app. Les comptes personnels du même appareil n’en bénéficient pas.

{
  "lid": "lic_01J8Z…",
  "plan": "business",
  "org": "Example GmbH",
  "origins": ["https://cloud.example.com"],
  "seats": 50,
  "platforms": ["ios", "android", "macos", "windows", "linux"],
  "policy": { "analytics": "default" },
  "grp": "deckloud-users",
  "iat": 1790000000,
  "exp": 1792592000
}

Un jeton est valable au plus 30 jours après son émission. Il prend fin avec la période payée d’un abonnement résilié ; un abonnement qui se renouvelle garde jusqu’à 7 jours de plus, pour couvrir un paiement en retard. Jusque-là, Pro fonctionne hors ligne et pendant une panne d’api.deckloud.com. Après un remboursement ou une révocation, les apps repassent en Free à leur prochaine vérification de licence ou à l’expiration du jeton. Le passage en Free ne supprime rien.

Pour les réseaux sans accès à Internet, Deckloud émet des licences hors ligne signées dans le cadre d’un accord distinct, distribuées par la configuration gérée. Jusqu’à la date de fin convenue, les apps les vérifient uniquement sur l’appareil, sans contacter api.deckloud.com ni compter de places.

La connexion passe par Nextcloud Login Flow v2, sur la page de connexion de votre propre serveur. Votre authentification unique et votre double authentification s’appliquent donc sans changement. L’app reçoit un mot de passe d’application que l’utilisateur ou un administrateur peut révoquer dans Nextcloud. Il n’existe pas de compte Deckloud.

• Identifiants : trousseau sur iPhone, iPad et Mac ; Android Keystore sous Android ; Gestionnaire d’identification sous Windows ; Secret Service sous Linux.
• Données de travail : une base SQLite locale pour l’usage hors ligne, supprimée à la déconnexion.
• Licence : l’enregistrement de licence vérifié, stocké par compte et supprimé avec lui.

Les apps envoient à PostHog des analyses produit et des diagnostics d’erreur pseudonymes, liés à un identifiant d’installation aléatoire. Ils ne contiennent ni contenu de tableau, ni identifiants de connexion, ni URL de serveur, ni adresse e-mail. Ils comprennent :

• Deux indicateurs oui ou non : si le compte fait partie du groupe admin de Nextcloud, et si l’appareil est géré par MDM.
• Diagnostics d’erreur : les emplacements du code où une erreur s’est produite et, dans les apps mobiles, des rapports de plantage natifs.
• Mesures de performance du démarrage, de la synchronisation, de l’ouverture d’un tableau et de la recherche, environ toutes les cinq minutes par type. Chaque envoi contient : nombre de mesures, nombre par plage de durée, durée totale, durée la plus longue et durée de cette période. Aucun contenu ni identifiant de tableau ou de carte.

Les utilisateurs peuvent désactiver l’analyse dans l’app. Vous pouvez la désactiver pour tous les utilisateurs sous licence avec la politique d’analyse, ou sur les appareils gérés avec la clé MDM analytics ; le réglage de l’app est alors verrouillé.

• Politique d’analyse dans le guide
• Clés MDM

Les apps n’envoient que les données listées ci-dessus. Deckloud traite des données techniques de connexion, comme les adresses IP des appareils, pour exploiter et sécuriser le service de licences. Si votre analyse de protection des données conclut qu’un accord de sous-traitance est nécessaire, contactez partners@deckloud.com.

Quand l’analyse est activée, Deckloud est responsable de traitement distinct pour l’analyse pseudonyme des appareils décrite ci-dessus. Deckloud Cloud, l’espace de travail hébergé facultatif, est un service distinct qui ne fait pas partie de la licence d’organisation.

La page sécurité des apps décrit en détail le traitement des données par les apps (en anglais). Les questions de revue de sécurité sont à adresser à partners@deckloud.com.