Politique de confidentialité

Dernière mise à jour : 18 octobre 2026

En une phrase : LumePane n’a ni télémétrie ni analyse dans l’application. L’appli n’embarque aucun SDK d’analyse et ne signale jamais votre usage. Notre service de licence tient toutefois une poignée de compteurs agrégés — décrits au paragraphe suivant, et la seule chose ici qui puisse s’appeler de l’analyse.

Les compteurs que nous tenons. Le service de licence compte six événements : un clic sur la page de paiement, une commande créée, une commande payée, un code réclamé, une page de succès servie et un code court récupéré — par jour et par tag de campagne ?src=. Les compteurs ne contiennent aucun identifiant : ni adresse IP, ni cookie, ni identifiant d’appareil, rien qui puisse être relié à une personne. Ils existent pour savoir quel canal vaut l’effort.

La protection contre les abus est distincte. Les requêtes vers les pages de commande, de succès et de récupération sont soumises à une limitation de débit. Les clés de limitation utilisent un condensat SHA-256 tronqué de l’adresse IP du client et expirent automatiquement : environ 15 minutes pour les pages de succès et de récupération, et 10 minutes pour l’activation. Les tentatives de récupération écrivent aussi une ligne d’audit contenant ce hash tronqué, un hash tronqué de l’identifiant de commande et le résultat ; la ligne est conservée jusqu’à 30 jours afin de pouvoir enquêter sur les abus. Les clés de limitation et les lignes d’audit ne font pas partie des compteurs agrégés ci-dessus.

1. Ce que nous collectons

Aucune donnée d’usage sur vous. Pas d’analyse, pas de remontée d’événements, pas d’envoi de rapports de plantage, pas d’empreinte de l’appareil, pas d’identifiant publicitaire, pas de profilage.

La licence contacte le réseau dans deux situations : la récupération unique d’un code court (DP-XXXX-XXXX-XXXX) et l’enregistrement unique de l’appareil à la première activation. La récupération d’un code court envoie exactement deux choses :

Enregistrement de l’appareil : après vérification d’un code d’activation, l’appli contacte une seule fois notre propre serveur pour enregistrer ce Mac — elle ne téléverse qu’un condensat SHA-256 irréversible, calculé localement à partir de l’identifiant de carte et de l’identifiant de modèle, jamais un numéro de série ni un nom de modèle en clair. Le condensat est stable pour un Mac donné, ce qui rend la limite de cinq Macs applicable ; il est pseudonyme, pas anonyme. Ensuite, chaque lancement est vérifié localement.

• Le code court — le code à 12 caractères affiché sur la page de commande après paiement ;
• Un identifiant d’appareil généré aléatoirement — créé localement sous forme d’UUID lors de la première récupération d’un code court, et stocké dans le trousseau macOS. Il sert à la récupération du code court et à la liaison de l’enregistrement de licence local. Il ne contient ni numéro de série matériel, ni adresse MAC, ni EDID d’écran, ni nom de machine, ni Apple ID, ni information de compte.

Cette requête demande seulement au service de licence d’échanger le code court contre le long code d’activation signé appartenant à cette commande. Un code commençant par DP- (le long code signé) est ensuite vérifié entièrement hors ligne avec la clé publique intégrée à l’appli. À la première activation, l’appli enregistre aussi ce Mac une fois, comme décrit ci-dessus ; ensuite, chaque lancement est vérifié localement. L’identifiant aléatoire ne permet pas de remonter au modèle de votre appareil.

État actuel : l’achat est en ligne. Le paiement se fait en cryptomonnaie via notre propre page de paiement et notre service de licence. Un code d’activation DP- est vérifié hors ligne. Deux choses utilisent le réseau de licence : la récupération d’un code court et l’enregistrement de l’appareil à la première activation. Les deux vont à notre propre service, jamais à un tiers.

2. Ce que nous ne collectons pas

Voici ce que l’appli utilise mais traite uniquement en local sur votre Mac. Ces données ne sont jamais téléversées :

• modèle d’écran, ID de fabricant, ID de produit, EDID complet et gamut physique ;
• résolution, fréquence de rafraîchissement, table gamma courante, valeurs de luminosité et de température de couleur ;
• capacité du disque, taille des dossiers de cache, résultats d’analyse et journaux de nettoyage ;
• titres et positions des fenêtres (nécessaires à la disposition des fenêtres et à la restauration de session ; lisibles uniquement après avoir accordé l’autorisation d’accessibilité) ;
• événements de molette et frappes de raccourcis (nécessaires au lissage du défilement et au mappage de la souris).

Et voici ce que nous ne touchons jamais :

• nous ne téléversons ni le modèle d’écran, ni l’EDID, ni le numéro de série — un tel chemin de code n’existe pas ;
• nous ne téléversons ni la durée d’utilisation, ni le nombre de clics sur une fonction, ni le nombre de lancements ;
• nous n’enregistrons pas les frappes au clavier. Le lissage du défilement ne lit que le déplacement des événements de molette ; le clavier sert uniquement à déterminer l’état « ⌘ est maintenu, contourner le lissage » ;
• nous ne demandons ni micro, ni enregistrement d’écran, ni accès complet au disque. L’analyse du stockage est en lecture seule, et les dossiers protégés par le système sont ignorés selon les règles de macOS ;
• nous ne capturons ni image ni son. Aucun appel à la caméra ou au microphone n’existe dans l’appli. (Info.plist ne contient aucune clé NS*UsageDescription.)

3. Seules trois choses atteignent le réseau

En dehors des trois points ci-dessous, l’appli n’initie aucune requête réseau. Tout passe par HTTPS ; le HTTP en clair n’est jamais utilisé.

1. La vérification des mises à jour

L’appli demande un manifeste de versions à appcast.xml pour savoir si une version plus récente existe. Ce manifeste est hébergé avec ce site sur GitHub Pages. La requête ne contient ni clé de licence, ni identifiant d’appareil, ni donnée d’usage. Elle est désactivée par défaut : elle n’est envoyée que si vous activez la vérification automatique dans le panneau « Général » (au plus une fois par jour ensuite), ou si vous cliquez vous-même sur « Rechercher les mises à jour ».

L’hébergeur, GitHub, voit comme tout serveur web votre adresse IP, l’heure de la requête et un identifiant client. C’est le journal d’accès ordinaire de l’hébergeur, et non quelque chose que nous collectons en plus.

2. La vérification d’une licence

Cela n’a lieu qu’à l’activation. Un code signé long (DP-…) est vérifié localement, hors ligne, avec une clé publique intégrée à l’appli — sa vérification n’envoie jamais de requête. Un code court (DP-XXXX-XXXX-XXXX) est échangé une seule fois, lors de la récupération, avec notre propre service de licence :

• Récupérer un code court : envoie le code court et l’identifiant d’appareil aléatoire décrit ci-dessus, et reçoit le long code signé en retour ;
• Enregistrer ce Mac : à la première activation, envoie une fois le code et le condensat d’appareil calculé localement, afin qu’un long code puisse être limité à cinq Macs ; le même code sur le même Mac est reconnu et ne consomme pas un second emplacement ;
• Long code signé : vérifié hors ligne avec la clé publique intégrée. Pas de compte, pas de serveur, pas de rappel périodique — la licence n’expire pas parce que vous étiez hors ligne.

Nous avons délibérément conçu cela en mode hors ligne d’abord : une revérification échouée, une connexion coupée ou une panne de serveur ne modifient jamais l’état de votre licence — seule une erreur est consignée. Si les revérifications ne passent pas pendant longtemps, un délai de grâce de 7 jours s’applique malgré tout et tout continue de fonctionner. Tant que vous n’activez pas, l’appli n’envoie aucune requête de licence et ne demande aucun compte.

État actuel : c’est en ligne. Un long code DP- est vérifié hors ligne. Les seules requêtes de licence sont l’enregistrement unique de l’appareil à la première activation et, si vous en utilisez un, la récupération de code court ci-dessus ; les deux vont à notre propre service. Tant que vous n’activez pas, l’appli n’envoie aucune requête de licence et ne demande aucun compte.

3. L’ouverture de la page d’achat ou du site

Quand vous cliquez sur « Acheter » ou « Visiter le site », l’adresse s’ouvre dans votre navigateur par défaut. Le paiement se fait dans le navigateur, pas via l’appli. L’entrée d’achat est la page de commande servie par notre service de licence ; elle utilise votre navigateur existant et n’installe rien.

4. Où vivent vos données

• Enregistrement de licence (clé de licence, identifiant d’instance, dates d’activation et de revérification) : dans le trousseau macOS, sous le nom de service com.neeson.displaypilot.license. Pas un plist en clair.
• Réglages de l’appli (date de début d’essai, préférences d’interface, raccourcis, règles d’automatisation, programme de protection oculaire) : ~/Library/Preferences/com.neeson.displaypilot.plist.
• Quarantaine et journal des opérations de nettoyage : ~/Library/Application Support/com.neeson.displaypilot/Clean/. Les fichiers y sont d’abord déplacés en quarantaine, restent restaurables, et la suppression définitive n’est proposée qu’après 30 jours.
• Autorisations système : l’autorisation d’accessibilité est gérée par macOS et peut être révoquée à tout moment dans Réglages Système → Confidentialité et sécurité → Accessibilité.

Pour tout supprimer : quittez l’appli, puis effacez les deux dossiers/fichiers ci-dessus ; pour faire place nette, supprimez aussi cette entrée du trousseau dans Accès au trousseau. L’appli n’installe aucun service en arrière-plan ni démon, et la désinstallation ne laisse aucun composant résident.

5. Tiers

• Notre service de licence (Cloudflare Workers) : sert la page de commande, rapproche votre paiement de la blockchain, émet le code d’activation et répond à une récupération de code court. Il voit le numéro de commande, le hash et le montant de la transaction on-chain et — selon le chemin — un identifiant d’appareil aléatoire (récupération de code court) ou le condensat d’appareil unique (activation) ; il ne voit pas votre nom ni votre compte, et ne construit aucun profil sur vous. Si vous achetez via un canal qui recueille une adresse e-mail, ou si vous utilisez le formulaire de récupération, il traite aussi cette adresse : conservée avec la commande (que nous gardons pour que la récupération continue de fonctionner) afin de pouvoir renvoyer votre code, et un hachage SHA-256 tronqué est stocké et intégré au code signé pour que le formulaire retrouve votre commande sans comparer d’adresses brutes.
• API blockchain publiques (par exemple TronGrid et des points RPC publics) : le service de licence lit des données publiques de chaîne pour confirmer votre virement. Aucune donnée personnelle ne leur est envoyée.
• GitHub : héberge ce site, le manifeste de mise à jour et le téléchargement. En tant qu’hébergeur, il conserve des journaux d’accès ordinaires (adresse IP, heure, chemin de la requête).

En dehors de cela, l’appli et ce site n’ont aucun service d’analyse, réseau publicitaire, plugin social ni police tierce.

6. Enfants

LumePane est un outil de bureau destiné aux utilisateurs de Mac. Il n’est pas conçu pour les enfants et ne collecte pas sciemment d’informations les concernant.

7. Modifications de cette politique

Si une future version modifie le comportement réseau de l’appli — par exemple en ajoutant une synchronisation cloud —, cette politique sera mise à jour en premier et le journal des modifications indiquera ce qui a changé. Nous n’élargirons pas discrètement ce qui est collecté derrière une clause « la poursuite de l’utilisation vaut acceptation ».

8. Contact

Pour toute question sur cette politique, ou pour vérifier quelles informations de licence vous concernant sont conservées, ouvrez une issue sur GitHub.