Politique de Confidentialité

1. Introduction

Cette Politique de Confidentialité explique comment RosterSwift (« nous », « notre », « l'Application »), exploitée par Squawk Labs SAS, traite vos données personnelles lorsque vous utilisez notre application mobile.

• Vérification de l'appareil : sur iPhone et iPad, la technologie App Attest d'Apple vérifie cryptographiquement que seules les instances authentiques de notre application peuvent accéder à vos données. L'application Android n'utilise pas d'attestation d'appareil ; elle repose sur les mêmes jetons d'authentification décrits ci-dessous
• Authentification sécurisée : authentification JWT avec rafraîchissement automatique des jetons
• Aucun stockage de mot de passe : nous ne stockons JAMAIS vos mots de passe sur nos serveurs — ils sont conservés exclusivement sur votre appareil, via le Trousseau sécurisé d'Apple sur iPhone et iPad et le Keystore Android sur Android
• Messagerie sécurisée : les messages sont chiffrés en transit et au repos sur des serveurs sécurisés en Europe. La copie lisible par le serveur est supprimée dès que chaque destinataire l'a reçue ; avec le chiffrement de bout en bout, nous ne détenons qu'un texte chiffré que nous ne pouvons pas lire
• Coffre fiscal chiffré : les données fiscales sont chiffrées sur votre appareil avec AES-256-GCM avant tout envoi — nous ne pouvons pas les lire

Nous nous engageons à protéger votre vie privée et à assurer la conformité avec le RGPD et les lois françaises sur la protection des données.

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Squawk Labs SAS
Contact : contact@squawklabs.app

3. Données que nous collectons

• Mots de passe des portails compagnies (JetSched) — stockés dans le Trousseau iOS, ou dans le Keystore Android sur Android
• Jetons d'authentification JWT — chiffrés dans le Trousseau iOS, ou dans le Keystore Android sur Android
• Clés cryptographiques App Attest — dans le Secure Enclave (iPhone et iPad uniquement)
• Votre historique de messages (mis en cache sur votre appareil)
• Clé de chiffrement du coffre fiscal — dérivée de votre phrase secrète, stockée dans le Trousseau iOS, ou dans le Keystore Android sur Android

• Trigramme, matricule, email, base d'affectation, compagnie aérienne

• Plannings et rotations de vol
• Affectations de service, sessions simulateur, données d'entraînement
• Informations d'escale et immatriculations d'aéronefs
• Votre email (pour l'identification du compte uniquement)
• Enregistrements d'attestation d'appareil (pour la vérification de sécurité) — iPhone et iPad uniquement
• Messages — la copie lisible par le serveur est supprimée dès que chaque destinataire l'a reçue. Lorsque le chiffrement de bout en bout est actif, nous ne détenons qu'un texte chiffré illisible pour nous, conservé jusqu'à ce que vous supprimiez la conversation ou votre compte
• Codes d'absence médicale figurant sur votre roster (arrêt maladie, accident du travail, inaptitude) — données de santé, conservées uniquement si vous l'avez expressément autorisé dans Réglages → Confidentialité et sécurité → Détails des absences médicales. Sans cette autorisation, la journée est enregistrée comme une absence indifférenciée, sans motif
• Bundles de diagnostic roster — le document source renvoyé par le portail de votre compagnie ainsi que les artefacts de traitement, conservés pour analyser les échecs d'import. Chiffrés au repos, plafonnés par utilisateur et supprimés automatiquement (Section 10)
• Sauvegardes chiffrées du coffre fiscal (nous ne pouvons pas les déchiffrer)
• Préférence de visibilité des listes d'équipage (visible ou invisible)
• Soumissions de retours d'expérience
• Identifiants d'appareil pour les notifications push (jeton Apple Push Notification sur iPhone et iPad, jeton Firebase Cloud Messaging sur Android)
• Données de diagnostic de base (rapports d'erreurs) pour améliorer la stabilité de l'application

• Documents du coffre fiscal (reçus, bulletins de paie) — chiffrés avec AES-256-GCM sur votre appareil avant envoi
• Pièces jointes de messagerie — chiffrées au repos

• Utilisés uniquement lorsque vous envoyez des images dans les messages ou capturez des reçus pour l'Assistant Fiscal
• Les photos envoyées via la messagerie sont chiffrées en transit
• Les photos de reçus sont chiffrées sur votre appareil avant envoi vers le coffre

4. Utilisation de vos données

Nous traitons vos données personnelles aux fins suivantes :

• Récupération et affichage de vos plannings de vol depuis les systèmes des compagnies (JetSched pour Air Caraïbes et French Bee)
• Calcul des heures de vol, statistiques de service et estimations de salaire
• Gestion des demandes de désidératas pour les jours de repos et les rotations
• Tenue de votre carnet de vol EASA
• Calcul des déductions fiscales et génération de rapports fiscaux
• Transmission de messages entre membres d'équipage
• Partage de planning avec d'autres membres d'équipage (RosterShare)
• Fourniture d'informations de vol à partir de données partagées par la communauté, avec des contrôles de confidentialité des listes d'équipage
• Envoi de notifications push pour les changements de planning et les messages

• Contrat — art. 6(1)(b) : récupérer, conserver et afficher le roster, le carnet de vol, la paie et les frais que vous avez demandé à l'Application de gérer. C'est le service lui-même
• Intérêt légitime — art. 6(1)(f) : maintenir le service sûr et fonctionnel — surveillance de la sécurité des comptes, modération des contenus signalés et diagnostic des pannes
• Consentement explicite — art. 9(2)(a) : les codes d'absence médicale révèlent une information de santé et relèvent des catégories particulières de l'art. 9, que la base contractuelle ci-dessus ne couvre pas. Nous ne les conservons que si vous y avez consenti spécifiquement, séparément de toute autre autorisation, et vous pouvez le retirer à tout moment dans Réglages → Confidentialité et sécurité → Détails des absences médicales. Le retrait supprime le motif lors de votre prochaine mise à jour de roster et ne change rien d'autre. Vous êtes libre de refuser. Le coût du refus est qu'une journée d'absence médicale est comptée comme une absence non rémunérée ordinaire dans votre estimation de salaire, qui peut donc être inférieure à votre paie réelle ; nous le disons clairement plutôt que de vous laisser le découvrir
• Consentement : fonctionnalités optionnelles que vous activez vous-même, comme le partage de présence en escale et le partage de roster

Sur iPhone et iPad, votre appareil est vérifié une fois via App Attest d'Apple. Toutes les communications utilisent ensuite des jetons JWT sécurisés, sur iOS comme sur Android. Vos mots de passe de compagnie sont UNIQUEMENT transmis lors de la récupération active des données depuis les systèmes des compagnies. Ils transitent par notre serveur mais ne sont JAMAIS stockés, journalisés ou conservés. Ils existent en mémoire serveur pendant environ 5 à 30 secondes lors de l'authentification.

5. Messagerie

RosterSwift inclut une fonctionnalité de messagerie entre équipages :

• Les messages sont chiffrés en transit (TLS) entre votre appareil et nos serveurs
• Ils sont traités sur des serveurs sécurisés hébergés en Europe
• La copie lisible par le serveur est supprimée dès que chaque destinataire l'a reçue
• Lorsque le chiffrement de bout en bout est activé, nous ne détenons qu'un texte chiffré illisible pour nous. Il est conservé jusqu'à ce que vous supprimiez la conversation ou votre compte ; les conversations de groupe sont en outre supprimées automatiquement après une période d'inactivité
• Les conversations privées et de groupe sont prises en charge
• Les pièces jointes (photos, messages vocaux, documents) sont chiffrées au repos

Modération : vous pouvez signaler des messages abusifs et bloquer des utilisateurs. Lorsque vous envoyez un signalement, le contenu du message signalé est partagé avec notre équipe de modération pour examen.

6. Visibilité des listes d'équipage et contrôles de confidentialité

RosterSwift inclut un système de visibilité des listes d'équipage qui vous permet de contrôler si les autres membres d'équipage peuvent voir votre nom sur les informations de vol partagées :

• Vous pouvez définir votre visibilité sur Visible ou Invisible à tout moment dans les réglages du Crew Hub
• Lorsque vous êtes Invisible, votre nom et trigramme sont masqués des listes d'équipage des autres utilisateurs — ils verront votre fonction (ex. CDB, OPL) mais pas votre identité
• Ce réglage est stocké sur nos serveurs et s'applique à tous les vols

• Si vous choisissez d'être invisible, vous perdez également l'accès à l'identité des autres membres d'équipage (sauf sur vos propres vols)
• Cela garantit l'équité : vous ne pouvez pas vous cacher des autres tout en les voyant

• Le passage d'invisible à visible déclenche un délai de carence de 7 jours
• Pendant cette période, vous ne pouvez toujours pas consulter les listes d'équipage des autres vols
• Cela empêche les abus liés aux changements rapides de visibilité

• Votre compagnie peut configurer différents niveaux d'accès par fonction (cockpit, cabine, etc.)
• Accès complet : voir tous les membres d'équipage quel que soit leur réglage de visibilité
• Accès partiel : voir la liste d'équipage, mais les membres invisibles n'affichent que leur fonction (nom et trigramme masqués)
• Aucun accès : les listes d'équipage ne sont pas disponibles pour les vols auxquels vous n'êtes pas affecté

• Votre fonction sur le vol reste visible (ex. « CDB », « PNC »)
• Votre nom, trigramme et base sont masqués
• Une mention indique que certains membres d'équipage ont une visibilité privée

7. Découverte de groupe depuis le roster et droit de retrait

Lors de la création d'un groupe de discussion depuis un roster de vol, RosterSwift peut indiquer quels membres d'équipage de votre vol disposent d'un compte sur l'application, même s'ils ne font pas partie de votre liste de buddies. Cela permet aux équipages de se coordonner avant les vols.

• La découverte est limitée au vol : seuls les membres d'équipage d'un vol auquel vous êtes affecté peuvent être découverts
• Votre trigramme et votre identifiant utilisateur peuvent être partagés avec les autres membres d'équipage du même vol
• Aucune recherche ou navigation parmi des utilisateurs arbitraires n'est possible

• Vous pouvez désactiver « Autoriser les invitations de groupe depuis le roster » dans les paramètres de confidentialité du chat
• Lorsque désactivé, vous apparaissez comme si vous n'aviez pas l'application pour les autres membres d'équipage non-buddies
• Vos buddies peuvent toujours vous ajouter à des groupes, quel que soit ce réglage
• Ce réglage n'affecte pas les groupes dont vous êtes déjà membre

8. Coffre fiscal chiffré

L'Assistant Fiscal comprend un coffre chiffré pour stocker les données fiscales sensibles :

• Toutes les données sont chiffrées sur votre appareil avec AES-256-GCM avant envoi
• La clé de chiffrement est dérivée de votre phrase secrète via HKDF-SHA256 — elle ne quitte jamais votre appareil
• Les sauvegardes chiffrées de bases de données sont stockées sur Cloudflare R2 et supprimées au bout de 30 jours ; les documents (reçus, bulletins de paie) également sur Cloudflare R2
• Nous ne pouvons pas déchiffrer vos données de coffre — seul vous le pouvez, avec votre phrase secrète
• Si vous oubliez votre phrase secrète, vos données de coffre ne peuvent pas être récupérées

9. Stockage et sécurité des données

• Serveurs hébergés sur une infrastructure privée dédiée en France. Un système de secours en Finlande (UE) peut prendre le relais en cas de défaillance du site français
• Toutes les données chiffrées en transit (HTTPS/TLS)
• Accès à la base de données restreint et protégé
• Sauvegardes chiffrées quotidiennes avec conservation de 30 jours

• Apple App Attest — vérification cryptographique des installations authentiques de l'application (iPhone et iPad uniquement)
• Authentification JWT — jetons sécurisés avec rafraîchissement et rotation automatiques
• Messagerie sécurisée — chiffrée en transit et au repos, avec chiffrement de bout en bout en option
• AES-256-GCM — chiffrement côté client pour le coffre fiscal
• HTTPS/TLS — toutes les transmissions de données chiffrées
• Contrôle d'accès par appareil — révoquer l'accès pour des appareils spécifiques

10. Conservation des données

• Données de vol et de planning : conservées tant que votre compte est actif
• Informations de compte : conservées jusqu'à votre demande de suppression
• Messages : la copie lisible par le serveur est supprimée dès que chaque destinataire l'a reçue. Les messages chiffrés de bout en bout sont conservés sous forme de texte chiffré jusqu'à ce que vous supprimiez la conversation ou votre compte ; les conversations de groupe sont supprimées automatiquement après une période d'inactivité
• Codes d'absence médicale : conservés uniquement tant que votre autorisation est valable. Si vous la retirez, le motif est supprimé lors de votre prochaine mise à jour de roster, ne laissant qu'une absence indifférenciée
• Bundles de diagnostic roster : plafonnés par utilisateur et supprimés après 30 jours par une tâche planifiée, que vous continuiez ou non à utiliser l'Application
• Journaux de diagnostic : si vous activez le diagnostic, les lignes de journal transmises sont supprimées après 14 jours
• Enregistrements de session de diagnostic : supprimés après 30 jours
• Événements de connexion et de sécurité : conservés 180 jours afin de nous permettre d'enquêter sur une activité suspecte, puis supprimés
• Fichiers que vous nous transmettez (carnets de vol, documents de roster, bulletins de paie joints à une demande d'assistance) : conservés le temps nécessaire à la finalité pour laquelle vous nous les avez adressés, et supprimés — document et enregistrement ensemble — à la clôture de votre compte
• Données du coffre fiscal : conservées jusqu'à suppression ou réinitialisation du coffre
• Jetons d'accès : expirent après 1 heure ; les jetons de rafraîchissement expirent après 1 an
• Mots de passe : JAMAIS stockés sur nos serveurs

Chaque table de notre base de données fait l'objet d'une décision de conservation écrite, appliquée par une tâche planifiée unique. Vous pouvez demander la suppression de vos données côté serveur à tout moment (voir Section 12).

11. Partage de données et tiers

• Systèmes des compagnies : JetSched (Air Caraïbes, French Bee) — vos identifiants sont utilisés pour vous authentifier et récupérer vos données
• Cloudflare : stockage objet (R2) pour les documents chiffrés du coffre fiscal (nous ne pouvons pas lire le contenu) et les pièces jointes de messagerie, ainsi que des services réseau
• Hetzner : hébergement de secours en Finlande (UE), utilisé uniquement en cas de défaillance de notre infrastructure française
• Apple (APNs) et Google (FCM) : acheminement des notifications push vers votre appareil
• Postmark et Mailgun : envoi des e-mails de compte, tels que les codes de vérification
• Mistral (France) : fonctionnalités d'IA — résumés rédigés, recherche d'hôtels, synthèse des retours pour notre propre tri, et analyse des contenus que vous signalez. Mistral ne reçoit que le texte ou les faits dérivés nécessaires à cette tâche. Votre roster n'est jamais transmis à un modèle d'IA, et aucun traitement par IA ne quitte l'Union européenne.
• Google et Apple, si vous vous abonnez au flux calendrier : ce flux est un lien que vous ajoutez à votre propre calendrier, et leurs serveurs viennent le chercher selon leur propre fréquence, aussi longtemps que l'abonnement existe. Il contient vos services, vos destinations ainsi que le nom, l'adresse et le téléphone de votre hôtel d'escale. Les motifs d'absence médicale et les noms des autres membres d'équipage n'y figurent jamais. Ce lien est une adresse secrète et longue — traitez-le comme un mot de passe ; vous pouvez le révoquer ou le remplacer à tout moment dans l'Application.

Votre roster nomme les membres d'équipage avec lesquels vous êtes programmé, parce que votre compagnie les y inscrit. Nous conservons ces noms afin d'afficher fidèlement votre roster et de permettre à la fonction Équipage de vous indiquer avec qui vous volez. Ils sont chiffrés au repos et sont retirés de tout ce que vous partagez — flux calendrier, lien de partage famille, ou comparaison de roster avec un autre membre d'équipage. Nous ne les vendons jamais et ne les utilisons à aucune autre fin que l'affichage de votre propre roster et la fonction Équipage.

Certains des prestataires ci-dessus traitent des données hors UE/EEE. Ces transferts sont encadrés par les conditions de traitement que nous acceptons avec chaque prestataire, qui intègrent les clauses contractuelles types de la Commission européenne ou s'appuient sur le cadre de protection des données UE–États-Unis.

• Vendre vos données personnelles
• Partager vos données avec des annonceurs
• Utiliser vos données à des fins publicitaires, ni prendre à votre égard de décision automatisée produisant des effets juridiques ou vous affectant de manière significative
• Transférer vos données à des tiers pour leurs propres fins

Nous établissons bien un profil de sécurité de l'activité de votre compte — habitudes de connexion, appareils et réseaux utilisés, échecs de connexion et taux d'erreur — et signalons automatiquement les anomalies, afin de détecter l'intrusion d'un tiers dans votre compte. Il s'agit d'un profilage au sens de l'art. 4(4) et nous nous fondons sur l'intérêt légitime au titre de l'art. 6(1)(f). Aucune décision vous concernant n'est prise automatiquement sur cette base, et ces données ne servent pas à la publicité et ne sont partagées avec personne.

Nous ne sommes affiliés à, soutenus par, ou officiellement liés à Air Caraïbes, French Bee, ou toute compagnie aérienne. Il s'agit d'un outil indépendant.

12. Vos droits (RGPD)

En vertu du RGPD et du droit français, vous disposez des droits suivants : accès, rectification, effacement, limitation, portabilité des données, opposition et retrait du consentement.

Pour exercer ces droits :
Écrivez à contact@rosterswift.com ou à contact@squawklabs.app — les deux nous parviennent, et l'une comme l'autre est valable. Nous vous répondrons dans un délai d'un mois, comme l'exige l'art. 12(3), et vous préviendrons s'il nous faut davantage de temps et pourquoi.

Le retrait de votre autorisation concernant le détail des absences médicales ne nécessite aucune demande de votre part : il s'agit d'un réglage dans Réglages › Confidentialité et sécurité ; le désactiver supprime le motif conservé lors de votre prochaine mise à jour de roster.

Vous pouvez également supprimer vos données locales à tout moment en utilisant « Supprimer toutes les données » dans les Réglages ou en désinstallant l'application.

Réclamations : vous pouvez déposer une plainte auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) sur www.cnil.fr.

13. Vie privée des enfants

Cette Application est destinée exclusivement aux membres d'équipage aérien professionnels. Nous ne collectons pas sciemment de données auprès de personnes de moins de 18 ans.

14. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de Confidentialité de temps en temps. Nous vous informerons des changements importants par un avis dans l'Application et en mettant à jour la date « Dernière mise à jour » ci-dessus.

15. Nous contacter

Pour toute question concernant cette Politique de Confidentialité ou vos données personnelles :

Email : contact@rosterswift.com

Nous nous efforçons de répondre à toutes les demandes sous 48 heures.