La confidentialité, en toute clarté.

Reach (l’« App ») est un outil de bureau à distance composé de deux éléments : Reach Viewer pour iPhone et iPad, proposé sur l’App Store sous le nom « Reach Remote », et Reach Host pour Mac. Reach est publié par KMWORKS, INC. (« nous »), responsable de la présente politique. Celle-ci explique comment les applications et leur service optionnel traitent vos données.

Sans connexion à un compte, deux voies sont disponibles. Aucune ne transmet les images de votre écran, le son, vos commandes ou les candidats de connexion par notre infrastructure.

• Nearby / LAN — Reach Viewer trouve votre Mac avec Bonjour/mDNS sur le même réseau et ouvre une connexion QUIC directe et chiffrée. Par défaut, la première connexion confirme le code de jumelage affiché sur le Mac. Les données de session ne quittent pas votre réseau.
• IP directe manuelle - Vous entrez l'adresse de l'hôte et le port vous-même (UDP 8443 par défaut, ce qui nécessite généralement une règle de transfert de port sur votre routeur), et l'application s'y connecte directement. Pas de service de signalisation, pas de relais.

Indépendamment de ces voies, lorsque le jumelage Host est actif et que l’accès distant est activé sur le Mac, Reach Host publie une petite fiche de métadonnées de connexion dans CloudKit d’Apple afin que vos propres appareils puissent se reconnaître. Reach Viewer peut publier une fiche de confiance correspondante. Les deux sont décrites ci-dessous.

Reach Host écrit un CKRecord dans la base de données CloudKit publique du conteneur iCloud de Reach. L’application recherche cet enregistrement à l’aide de votre code d’appairage comme identifiant. Cela ne rend pas le stockage privé et ne garantit pas que seules les personnes disposant du code puissent le lire : la base de données est publique, et non votre conteneur privé. Même si Apple gère le stockage, nous considérons que ces données quittent votre appareil.

L'enregistrement contient :

• Votre nom d'hôte - le nom d'appareil macOS est utilisé sur le réseau
• La clé d'identité publique de l'hôte et son empreinte digitale de certificat TLS
• L'adresse IP externe et le port de l'hôte, lorsqu'ils sont configurés
• Candidats à la connexion directe - les points de terminaison LAN et WAN utilisés pour configurer QUIC
• L'horodatage de la publication et la version du schéma de l'enregistrement CloudKit
• Métadonnées de capacité de préconnexion - codecs pris en charge, si l'audio système est pris en charge, la résolution par défaut annoncée et la version de charge utile de capacité
• Le nom de votre enregistrement utilisateur iCloud : un identifiant stable limité au conteneur iCloud de Reach. Il n’est pas toujours présent ; il n’est enregistré que si iCloud Auto-Trust est activé et si le compte iCloud a été confirmé, afin que Viewer reconnaisse les Hosts appartenant au même compte iCloud

Si vous êtes connecté à iCloud, Reach Viewer peut publier un enregistrement de confiance correspondant dans la même base de données publique lors d’une tentative de connexion. Cet enregistrement contient l’empreinte de la clé publique du Viewer, un horodatage et le nom d’enregistrement utilisateur iCloud ajouté par CloudKit. Ce n’est que si iCloud Auto-Trust est explicitement activé sur le Mac et que le Viewer, jusque-là non approuvé, est vérifié comme utilisant le même identifiant Apple que cet enregistrement peut établir la confiance dès la première connexion sans code d’appairage. Un Viewer déjà approuvé se reconnecte au moyen de son empreinte enregistrée et n’a pas besoin de cet enregistrement CloudKit. Un retrait manuel de la confiance prévaut sur la confiance automatique : pour approuver de nouveau la même empreinte, il faut saisir explicitement un nouveau code d’appairage. Après validation et enregistrement réussi de la confiance locale, le Mac demande la suppression de l’enregistrement. Si la suppression échoue dans CloudKit, elle peut être retentée après une connexion ultérieure établie avec succès pour cette entrée de confiance ; la suppression physique immédiate ou définitive n’est pas garantie. Retirer ce Viewer des appareils approuvés sur le Mac révoque la confiance locale sur le Mac ; cela ne supprime pas l’enregistrement CloudKit.

L'application utilise ces métadonnées pour la découverte de l'appareil et la vérification de la confiance. Reach Host demande la suppression de l'enregistrement hôte pertinent lorsque vous arrêtez le couplage ou la publication à distance, ou réinitialisez le code de couplage. Les erreurs de réseau ou CloudKit peuvent retarder ou empêcher cette opération. “Oublie Mac” Dans Reach Viewer supprime les détails de connexion enregistrés et la confiance locale sur cet appareil ; il ne supprime pas l'enregistrement CloudKit du Mac. La suppression de l'application ou la modification des paramètres iCloud ne garantit pas la suppression de tous les enregistrements de cette base de données publique.

Un compte Reach déverrouille les deux itinéraires Internet - Internet direct, Qui effectue la traversée NAT à travers un profil de connexion enregistré, et Relay (connexion via relais) - Et permet aux appareils du même compte de se faire confiance sans code de jumelage. Un compte ne crée pas en soi un chemin : la connectivité nécessite toujours un candidat direct commatable ou un relais configuré.

La connexion se fait par e-mail. Nous envoyons un lien ou un code magique unique ; il n'y a pas de mots de passe. Si vous vous connectez, notre backend stocke les éléments suivants, liés à votre compte :

• Votre adresse e-mail - Utilisé uniquement pour vous connecter.
• Un enregistrement de compte - L'identifiant du compte et l'e-mail, une paire de clés de signature de compte détenue par le serveur et les métadonnées nécessaires pour gérer l'état de connexion : les temps de création et de vérification, un compteur de génération de session et le rôle du compte.
• Un registre d'appareils — pour chaque appareil enregistré : son identifiant, son nom, son type (Mac hôte ou Viewer sur iPhone ou iPad), ses identifiants cryptographiques (clé publique, empreinte de clé et empreinte du certificat TLS), ainsi que les dates d’enregistrement, de dernière présence et de révocation. Pour un Mac hôte, l’enregistrement comprend aussi l’adresse et le port joignables et la liste des candidats de connexion directe, afin que vos autres appareils puissent s’y connecter.
• État de connexion — jetons de session et de renouvellement de courte durée, stockés sous forme de hachages, avec leurs dates d’expiration et de rotation. Le jeton de lien de connexion à forte entropie n’est conservé que sous forme de hachage. En revanche, le code de secours à six chiffres utilisable entre appareils est conservé tel quel dans la même entrée de connexion en attente, de courte durée, avec l’adresse e-mail, un hachage du contexte, les dates d’expiration et d’utilisation du code, et un compteur de tentatives qui limite les essais par force brute.
• Récupération de rafraîchissement de jetons - Les identifiants d'opération, les hachages de jetons, les délais d'expiration et une réponse d'actualisation cryptée permettent de réessayer en toute sécurité les rotations de jetons interrompues. Ces enregistrements ne stockent pas de jetons de session en texte brut.
• Droits d'achat - Lorsque vous utilisez la liaison d'achat App Store, le compte stocke le plan, les heures d'expiration et de mise à jour, et l'identifiant de transaction d'origine d'Apple.
• Clés d'accès - Si vous vous connectez avec une clé d'accès, le défi WebAuthn et les informations d'identification publiques de la clé d'accès (identifiant d'identification, clé publique, compteur de signature, transports).
• Compteurs de prévention des abus - Compteurs de demande de courte durée, tapés par adresse IP et adresse e-mail normalisée, conservés séparément pour protéger la surface de connexion.
• App Store examiner les comptes - Pour un compte utilisé uniquement lors de l'examen App Store, l'enregistrement du compte stocke également un code de connexion d'examen haché, le nombre de tentatives infructueuses et l'heure de début de la fenêtre de tentative.

Ces informations prennent en charge la connexion, la confiance de l'appareil, la configuration de la connexion, la vérification des droits d'achat et la protection du service. Le contenu de l'écran, de l'audio et de l'entrée ne sont pas stockés dans la base de données du compte. La télémétrie opérationnelle, les journaux de demandes et les données de signalisation éphémères sont décrites séparément ci-dessous. Voir Services tiers pour le traitement de l'infrastructure nécessaire pour fournir ces fonctions.

Le backend fonctionne sur Cloudflare. Cette politique ne promet pas de région de traitement spécifique.

Pour les tentatives Internet Direct et Relay avec session ouverte, la signalisation échange des candidats à la connexion, comme des adresses IP et des ports. Elle traite les données des candidats, l’association entre tentative et authentification, l’adresse IP publique de Viewer lorsqu’elle est disponible et l’état de limitation du débit.

Chaque candidat reste valide au plus 60 secondes après sa publication. Une nouvelle publication peut actualiser le délai global de la tentative. L’annulation et l’expiration nettoient les candidats et l’état associé, sans garantir leur suppression physique immédiatement après une connexion réussie ni exactement au bout de 60 secondes. L’état d’authentification requis par un socket Host actif peut subsister tant que celui-ci reste ouvert. Les brefs marqueurs d’annulation qui empêchent de rouvrir une tentative et les compteurs de protection du service ont des durées de vie distinctes.

Le service de signalisation ne reçoit ni ne stocke de contenu d'écran, d'audio ou d'entrée. Le contenu de la session se déplace sur une connexion directe ou l'itinéraire Cloudflare TURN décrit ci-dessous.

Lorsqu'un chemin direct est difficile à ouvrir - par exemple derrière CGNAT, des pare-feu restrictifs ou certains réseaux mobiles - Reach peut relayer la session à travers Cloudflare TURN. Vous configurez votre propre compte Cloudflare et vos propres informations d'identification dans Reach Host ; vos frais et politiques Cloudflare s'appliquent.

Avec la configuration automatique du jeton de compte, le Mac demande une clé TURN à l'API de Cloudflare. Cela envoie l'identifiant de compte Cloudflare, un jeton et un nom de clé qui peut inclure le nom du Mac. La clé TURN générée, ou une clé que vous saisissez manuellement, est stockée dans le Mac Keychain et utilisée pour obtenir des informations d'identification de session de courte durée. Ces demandes d'informations d'identification vont directement du Mac à Cloudflare, et non via le serveur de compte Reach.

La vidéo, l'audio et l'entrée restent cryptés avec TLS 1.3 sur QUIC tout en traversant le relais. Cloudflare traite les paquets cryptés et les métadonnées réseau nécessaires pour fournir son service. La latence de connexion dépend du chemin du réseau et du relais.

Rapport d'utilisation facultatif Cloudflare

Lorsque vous activez les rapports d'utilisation et sélectionnez Actualiser, le Mac appelle directement l'API GraphQL de Cloudflare. La demande comprend l'ID de compte, la plage de temps, l'ID de clé TURN facultatif et le jeton API ; la réponse fournit des octets d'entrée et de sortie agrégés. Les résultats à l'échelle du compte peuvent inclure l'utilisation de TURN à partir de services autres que Reach. Le stockage d'un jeton seul n'exécute pas de requête d'utilisation.

Le jeton de rapport est conservé dans une entrée Keychain pour l'appareil uniquement, distincte des informations d'identification de session TURN. Le commutateur d'activation, l'ID de compte et la portée d'affichage sont des préférences locales ; les résultats récupérés ne sont conservés qu'en mémoire pendant l'exécution de l'application. La désactivation des rapports ou la modification des comptes Reach efface les résultats précédents sans supprimer automatiquement les informations d'identification Cloudflare enregistrées. La suppression des informations d'identification dans Host ne révoque pas les clés ou les jetons déjà émis par votre compte Cloudflare ; gérer la révocation dans Cloudflare.

Vous pouvez supprimer votre Reach Account dans l’App. La base de données du compte supprime ensemble le compte, les appareils enregistrés, les sessions et les enregistrements de récupération du renouvellement des jetons, les codes de connexion en attente, les passkeys et les défis WebAuthn associés. Les défis WebAuthn créés avant l’ouverture du compte avec la même adresse e-mail sont également inclus.

Les compteurs de prévention des abus et les journaux opérationnels sont en dehors de cette demande de suppression de compte. Les compteurs suivent leurs fenêtres de limite de débit configurées et leurs procédures de nettoyage ; les journaux opérationnels sont conservés séparément dans Cloudflare. Cette politique ne promet pas de période de conservation fixe pour les journaux opérationnels.

Les liens et codes de connexion expirés ou déjà utilisés ne peuvent pas servir de nouveau à l’authentification. Les enregistrements de connexion, WebAuthn et de récupération du renouvellement expirés, ainsi que les sessions dont la durée de renouvellement est terminée, peuvent être supprimés lors d’un nettoyage planifié. Ce calendrier ou l’échec d’une opération peut retarder la suppression physique au-delà de l’expiration.

Vous pouvez retirer individuellement des appareils du compte. Se déconnecter ne supprime pas le compte. Les préférences de connexion locales, les préréglages, les enregistrements de confiance et les identifiants Cloudflare disposent de mécanismes de suppression distincts. La suppression d’un compte Reach ne supprime ni les enregistrements CloudKit publics d’Apple ni les clés de votre propre compte Cloudflare.

Reach Host demande à macOS l’autorisation d’enregistrement de l’écran pour capturer l’écran sélectionné, ainsi que l’autorisation d’accessibilité pour exécuter les commandes envoyées depuis Viewer. La restauration facultative des fenêtres utilise aussi cette autorisation pour lire et modifier la position et la taille des fenêtres compatibles.

L’audio du système est capté avec ScreenCaptureKit. Reach Host ne demande pas l’autorisation d’accéder au microphone et ignore ses échantillons ; l’accès nécessaire est celui à l’enregistrement de l’écran et à l’audio du système. La capture a lieu sur le Mac et n’est transmise qu’aux Viewers authentifiés pour cette session.

En mode Direct Touch, Viewer affiche une poignée de curseur pour déplacer le pointeur au pixel près. Reach Host lui transmet la position du curseur du Mac — coordonnées normalisées, écran concerné et horodatage — dans la même session QUIC chiffrée que la vidéo et les commandes, uniquement au Viewer connecté et authentifié. Ces données ne sont ni envoyées à un service d’analyse distinct ni conservées comme historique des mouvements du curseur. Avec Relay, les paquets de session chiffrés transitent par Cloudflare.

Vous pouvez désactiver ce partage dans « Reach Host → Devices & Trust → Advanced → Cursor Telemetry ». Host cesse alors d’envoyer la position du curseur et demande aux Viewers compatibles d’effacer toute poignée encore visible à l’écran.

Reach Viewer utilise l'autorisation du réseau local pour découvrir les Mac à proximité sur Bonjour/mDNS et pour communiquer directement avec un Mac sur le réseau local. La saisie manuelle de l'adresse IP de ce Mac ne remplace pas cette autorisation. L'adresse IP directe manuelle vers une adresse en dehors du réseau local est un cas distinct et nécessite une adresse et un port accessibles.

Reach Host vérifie l’existence de nouvelles versions au lancement puis périodiquement, grâce à Sparkle. Une vérification envoie une requête HTTPS standard au flux de mise à jour hébergé sur GitHub Pages. Comme pour toute requête HTTPS, l’adresse IP et l’en-tête User-Agent sont visibles par ce service ; aucun identifiant de compte, donnée de télémétrie ou autre contenu d’identification n’est transmis. Reach Viewer se met à jour par l’App Store, conformément aux règles habituelles d’Apple pour celui-ci.

Reach n'utilise pas d'identifiants publicitaires (IDFA) ou de SDK de publicité et de profilage. Les applications n'incluent pas Crashlytics, Sentry ou Google Analytics. Des diagnostics locaux peuvent être fournis lorsque vous choisissez de partager un rapport. Les rapports d'utilisation facultatifs Cloudflare, décrits ci-dessus, et les enregistrements opérationnels backend, ci-dessous, sont des fonctions distinctes.

Pour exploiter et protéger le service, le backend enregistre les événements opérationnels et les journaux de demande dans Cloudflare et, une fois configuré, envoie des métriques à Analytics Engine. Les principales catégories comprennent :

• Noms et heures des événements du cycle de connexion, identifiants de tentative, régions, rôle (Host ou Viewer), résultat et latence
• Version et numéro de build de l’application, type de socket, voie de reconnexion et pseudonyme stable du Host dérivé par SHA-256 lors des événements d’enregistrement de socket Host ou d’enregistrement bloqué. Les événements correspondants de désactivation d’urgence comprennent aussi le point de terminaison de la requête Worker. Ces champs supplémentaires ne figurent pas dans chaque invitation ni chaque fermeture de socket.
• Nombres de regroupement et de nettoyage, raisons et statut de la libération de socket-lease, classes d'erreur et préfixes de corrélation courte. Les journaux de restauration de l'appareil comprennent les huit premiers caractères des identifiants de compte et d'appareil.
• Si la liaison des achats est utilisée : données opérationnelles de vérification des achats, notamment les huit premiers caractères de l’identifiant de compte, ainsi que l’identifiant du produit, l’environnement de vérification et le résultat de l’application

Le pseudonyme ne contient ni le nom de l’appareil ni l’adresse e-mail du compte, mais peut relier les événements du même Host. L’état de limitation de débit est aussi conservé pour protéger le service. Les diagnostics locaux peuvent inclure la voie de connexion choisie. Le code qui transmet actuellement les événements du cycle de connexion à Analytics Engine ne renseigne pas de champ distinct pour le type de voie.

Ces enregistrements prennent en charge la fiabilité de la connexion, le diagnostic des défauts, la protection du service et la vérification des achats. Ils excluent le contenu de l'écran, de l'audio et de l'entrée. Nous ne les vendons pas et ne les utilisons pas pour la publicité ou le profilage des utilisateurs. Cloudflare traite ces données opérationnelles en tant que fournisseur de services.

• Préférences de connexion — écran sélectionné, résolution, codec, fréquence d’images, débit binaire, réglages du sens de défilement, activation ou désactivation de la télémétrie du curseur et dernière voie choisie pour chaque Mac
• Préréglages de l'espace de travail - noms, mise en page et Mac par écran et identifiants d'affichage, choix d'itinéraire, de dimensionnement et de résolution, préférence de restauration de la fenêtre et heures de création et de mise à jour sont stockés dans les paramètres locaux du Viewer.
• Détails de connexion enregistrés - l'adresse et le port que vous avez entrés pour un hôte IP direct, et le code de couplage pour un Mac avec lequel vous avez jumelé
• Enregistrements de confiance — empreintes cryptographiques des Hosts avec lesquels vous avez établi un jumelage et des Viewers auxquels votre Host fait confiance
• Jetons de session de compte, si vous êtes connecté - dans le trousseau sécurisé de l'appareil
• Informations d'identification Cloudflare, si elles sont configurées - les clés de relais et les jetons de rapport facultatifs sont stockés dans le Mac Keychain. Création de clés, génération d'identifiants de session et rapport d'utilisation, appelez Cloudflare directement comme décrit ci-dessus.
• Journaux de diagnostic — conservés temporairement pour le dépannage et jamais transmis, sauf si vous choisissez de partager un rapport

Option de mémorisation de la position des fenêtres des applications

Lorsque « Remember app window positions » est activé dans un préréglage et que le Mac dispose de l’autorisation Accessibilité, Reach conserve en mémoire dans le processus Mac, avant de retirer un écran virtuel Reach, des références aux fenêtres compatibles encore ouvertes, leur position et leur taille normalisées, ainsi que la possibilité de les redimensionner. Cette capture temporaire sert à replacer les fenêtres toujours ouvertes lorsque l’écran est recréé. Les titres des fenêtres et les identifiants de documents ne sont pas enregistrés comme champs de cette capture, qui n’est écrite ni sur le disque ni sur un serveur Reach. Elle disparaît à l’arrêt du processus Host ; désactiver la restauration pour cet écran l’efface également. Le choix du préréglage reste dans les réglages de Viewer.

La suppression de l'application iPhone ou iPad supprime ses données de conteneur d'applications. Les éléments Keychain sont gérés séparément, donc la désinstallation seule ne garantit pas la suppression de toutes les informations d'identification. Sur le Mac, la suppression du paquet d'applications Reach Host ne supprime pas automatiquement ses paramètres, ses fichiers de support d'application ou ses éléments Keychain ; supprimez-les à la main si vous voulez une ardoise propre.

reachremote.app est un site statique hébergé sur Cloudflare Pages. Les styles, scripts et images propres au site sont servis depuis ce site. Cloudflare ajoute au domaine public un masquage des adresses e-mail et des scripts de vérification du navigateur. Les pages publiques incluent également la balise Cloudflare Web Analytics pour les mesures de consultation et de performance des pages. Les fonctions de sécurité de Cloudflare peuvent utiliser des cookies nécessaires. Nous n’utilisons pas de traceurs publicitaires. Cloudflare traite aussi les métadonnées habituelles des requêtes, comme l’adresse IP et User-Agent, lors du traitement des requêtes web.

La langue du site est indiquée dans le chemin de l’URL. Les anciens liens ?lang=en redirigent vers la page anglaise correspondante. Le choix de configuration Cloudflare est conservé dans le paramètre de requête setup. Ce site ne collecte ni jetons API ni codes d’appairage. Le bouton de téléchargement pour Mac interroge l’API GitHub Releases pour trouver le dernier DMG, puis ouvre le téléchargement sur GitHub. Les destinations externes, notamment GitHub et l’App Store, ont leurs propres politiques de confidentialité.

• Cloudflare - Sert le site Web et traite le compte optionnel, l'e-mail de connexion, la signalisation et les données opérationnelles. Il fournit également le relais TURN, la création de clés et les API d'utilisation facultatives sous votre propre compte. Le contenu de la session dans les paquets relais est crypté entre vos appareils.
• Apple (CloudKit) - Stocke les métadonnées d'appariement décrites ci-dessus afin que vos propres appareils puissent se découvrir.
• Apple (App Store) — Distribue Reach Viewer et traite les achats, les abonnements et la vérification des achats applicables conformément aux politiques standard App Store d'Apple.
• GitHub - Héberge le flux de mise à jour Reach Host (appcast) sur GitHub Pages et distribue le programme d'installation Host à travers les versions GitHub. GitHub traite les métadonnées de requête HTTPS standard telles que votre adresse IP et votre agent utilisateur lorsque vous vérifiez ou téléchargez une mise à jour.

Ces services traitent les données nécessaires à leurs rôles respectifs. Reach ne vend pas de données aux réseaux publicitaires ou aux courtiers en données.

Toutes les voies — Nearby / LAN, Manual Direct IP, Internet Direct et Relay — sont chiffrées avec TLS 1.3 sur QUIC et protégées par épinglage de l’empreinte du certificat. Un Viewer ne se connecte qu’à un Host dont il connaît déjà l’empreinte : enregistrée lors de l’appairage, conservée pour cet appareil dans le registre des appareils du compte Reach ou fixée lors d’une première connexion directe explicitement autorisée (confiance à la première utilisation). Une empreinte différente lors d’une connexion ultérieure entraîne le refus de celle-ci. Nous ne pouvons déchiffrer ce trafic sur aucune voie.

Reach ne s'adresse pas aux enfants de moins de 13 ans, et nous ne recueillons pas sciemment d'informations auprès des enfants. L'appairage et les métadonnées du compte prennent en charge les fonctions de service décrites ci-dessus et ne sont pas utilisées pour la publicité ou le profilage des utilisateurs.

Nous pouvons mettre à jour cette politique de temps à autre. Les modifications sont affichées sur cette page et la date en haut est mise à jour. Nous le révisons chaque fois que le modèle de confiance ou le flux de données change.

Questions sur cette politique de confidentialité : support@reachremote.app. Rapports de bogues et questions publiques : Github.com/SGT-Cho/Reach.