Comment lire l’étiquette de confidentialité App Store d’un dictaphone

Chaque fiche de l’App Store comporte une section appelée « Confidentialité de l’app », en général une courte liste de pastilles grises — « Données non collectées », peut-être « Données liées à vous » avec une catégorie ou deux en dessous. Elle se trouve juste à côté des captures d’écran, dans le même style que le reste de l’interface d’Apple, ce qui est précisément pourquoi elle paraît plus autoritaire qu’elle ne l’est. Mieux vaut savoir qui l’a réellement écrite avant de décider du poids à lui accorder, surtout pour quelque chose d’aussi sensible qu’un dictaphone.

Qui la remplit

C’est le développeur, via un questionnaire dans App Store Connect, au moment où il soumet l’application ou une mise à jour. La revue d’Apple vérifie que les réponses sont cohérentes entre elles et rejette une application dont le comportement déclaré contredit clairement ce que les examinateurs constatent ; Apple a aussi retiré des applications après coup, lorsqu’un décalage apparaissait plus tard. Ce que la revue ne fait pas, c’est tracer chaque ligne d’un binaire face à chaque case de chaque soumission — cela rendrait les mises à jour hebdomadaires impossibles à l’échelle de l’App Store. L’étiquette est donc une déclaration sur l’honneur avec de vraies conséquences en cas de mensonge avéré, pas un rapport de laboratoire indépendant.

Les quatre catégories, sans détour

Apple regroupe tout ce qu’une étiquette peut déclarer en quatre cases, et la différence entre elles tient surtout à l’identité, pas à la donnée elle-même :

• Données non collectées — l’application affirme ne pas recueillir ce type de données du tout, ni sur ses serveurs ni sur ceux de quelqu’un d’autre.
• Données non liées à vous — collectées, mais sans être rattachées à votre identité, votre appareil ou un compte d’une façon qui remonterait jusqu’à vous en particulier.
• Données liées à vous — collectées et rattachées à qui vous êtes, généralement parce qu’il y a un compte, un identifiant d’appareil ou quelque chose de similaire associé.
• Données utilisées pour vous suivre — la catégorie la plus stricte : partagées avec un courtier en données ou une autre entreprise pour construire un profil de vous à travers des applications et des sites, exactement le comportement que l’invite de Transparence du suivi des applications d’iOS existe pour freiner.

Une même application peut avoir des types de données différents répartis dans des cases différentes — elle peut ne collecter aucune localisation tout en liant des données audio à un compte qu’elle vous oblige à créer. L’étiquette est un tableau, pas un verdict unique pour toute l’application.

Ce qu’il faut vraiment regarder sur l’étiquette d’un dictaphone

La catégorie la plus importante ici apparaît généralement sous le nom Données audio ou Contenu utilisateur. Si une application d’enregistrement ou de transcription affiche ce type sous Données liées à vous, demandez-vous à quoi c’est lié et pourquoi — un compte en est la raison la plus courante, puisqu’un serveur doit savoir à qui appartient quel enregistrement. Si le même type apparaît sous Données utilisées pour vous suivre, cela mérite un examen sérieux pour une application dont tout le principe est de capturer votre voix.

Le cas le plus intéressant est un dictaphone qui affiche Données non collectées sur toute la ligne. Vérifiez si cela correspond vraiment à son fonctionnement : a-t-il besoin d’un compte pour fonctionner ne serait-ce qu’un peu ? Fait-il une transcription qui ne soit pas purement sur l’appareil ? Une application sans compte et sans serveur propre a vraiment très peu à déclarer dans les catégories liées ou suivi, puisqu’il n’y a pas de compte auquel rattacher quoi que ce soit ni de serveur propre vers lequel envoyer quoi que ce soit — l’étiquette n’est pas généreuse dans ce cas, elle décrit simplement avec exactitude une petite surface.

Une étiquette est une photo, pas un flux en direct

La déclaration est faite une fois par soumission et peut devenir obsolète dès qu’une mise à jour ultérieure change ce que l’application fait réellement, jusqu’à ce que la soumission suivante la mette à jour. Pour savoir ce qu’une application fait sur votre téléphone en ce moment plutôt que ce qu’elle a déclaré lors de sa dernière soumission, iOS dispose d’un outil distinct et sans rapport : Réglages → Confidentialité et sécurité → Rapport de confidentialité des apps, qui consigne les domaines réseau réellement contactés par une application et les capteurs réellement utilisés sur une fenêtre glissante — observé plutôt que déclaré. Les deux ne se substituent pas l’un à l’autre — l’étiquette est une promesse faite à l’avance, le rapport est une trace de ce qui s’est passé ensuite — et vérifier les deux en dit plus que l’un ou l’autre seul.

Ce qu’une case à cocher a du mal à saisir

La transcription vocale sur iPhone a une forme pour laquelle une case oui-ou-non n’a pas vraiment été conçue. Le Speech framework d’Apple lui-même peut fonctionner entièrement sur l’appareil pour les langues dont il possède un modèle local, et basculer vers l’envoi de l’audio au service vocal d’Apple lorsque la passe locale n’y arrive pas — une autre langue, un audio qu’elle n’a pas su interpréter, un modèle qui n’a pas chargé. Ce repli est conditionnel : il peut s’activer pour un enregistrement et jamais pour le suivant, sur le même téléphone, dans la même application, selon l’audio et la langue. Une case unique pour « collecte des données audio » a du mal à exprimer avec nuance un « généralement non, sauf quand si », et on peut légitimement se demander si un repli passant par le framework maison d’Apple, plutôt que par un service tiers construit par le développeur, se décrit de la même façon qu’une collecte sur un serveur propre au développeur. C’est exactement le genre de détail qui mérite d’être cherché dans la véritable politique de confidentialité d’un développeur, plutôt que confié à quatre pastilles grises.

Une courte vérification avant de faire confiance à l’étiquette

• Lisez au-delà de la catégorie générale jusqu’au type de donnée précis listé en dessous — « Données audio » et « Diagnostics » sont des choses très différentes à voir liées à votre identité.
• Si l’application exige un compte ou une connexion pour fonctionner ne serait-ce qu’un peu, attendez-vous à trouver au moins quelque chose dans la colonne liée à vous — un système de comptes qui fonctionne doit bien enregistrer à qui appartient quoi.
• Testez l’application en mode Avion pour tout ce que vous voulez confirmer comme n’atteignant jamais un réseau. Une étiquette peut décrire une intention ; un réseau coupé tranche la question directement.
• Après quelques jours d’utilisation, consultez le Rapport de confidentialité des apps pour voir les domaines réellement contactés. Il n’expliquera pas pourquoi un domaine apparaît, mais il vous dit qu’il est bien apparu, ce que l’étiquette seule ne peut pas faire.

Où se situe Voice Studio là-dedans

Voice Studio n’a ni compte, ni connexion, ni serveur propre — rien ici auquel lier un enregistrement à une identité, puisqu’il n’existe aucun système d’identité auquel le lier. Les enregistrements et les transcriptions vivent dans le stockage propre de l’application, sur l’appareil. La reconnaissance vocale utilise le Speech framework d’Apple exactement comme décrit ci-dessus : elle tente d’abord la reconnaissance sur l’appareil, et seulement lorsque cette passe revient vide ou échoue, elle relance avec la reconnaissance sur l’appareil désactivée, ce qui envoie l’audio au service vocal d’Apple plutôt qu’à un serveur qui nous appartiendrait. C’est une description simple de son fonctionnement, pas une étiquette — lisez la politique de confidentialité de Voice Studio elle-même pour le tableau complet, et utilisez le mode Avion sur un enregistrement précis si vous voulez une réponse directe pour ce cas-là plutôt qu’une réponse générale.

Questions fréquentes

Qui écrit réellement l’étiquette de confidentialité d’une application, Apple ou le développeur ?

Le développeur, via un questionnaire au moment de la soumission. Apple la vérifie pour sa cohérence interne et peut rejeter ou retirer une application en cas de décalage, mais c’est une déclaration avec des conséquences en cas de mensonge, pas un audit indépendant ligne par ligne de l’application.

« Données non collectées » garantit-il qu’une application n’envoie jamais rien nulle part ?

C’est la déclaration du développeur qu’il ne le fait pas, vérifiée par le processus de revue d’Apple plutôt que testée en laboratoire. Pour une application sans compte et sans serveur, cette déclaration a vraiment très peu de marge pour être fausse — mais une connexion réseau coupée le confirme plus directement que n’importe quelle étiquette.

L’étiquette de confidentialité de l’App Store est-elle la même chose que le Rapport de confidentialité des apps dans les Réglages ?

Non. L’étiquette est une déclaration ponctuelle faite à la soumission, décrivant une intention pour l’avenir. Le Rapport de confidentialité des apps, dans Réglages → Confidentialité et sécurité, est un journal continu des domaines réellement contactés par une application et des capteurs réellement utilisés — un comportement observé plutôt qu’une promesse déclarée.

Une étiquette de confidentialité rend-elle compte d’une transcription qui ne quitte l’appareil que parfois ?

Pas proprement. Une case oui-ou-non a du mal à exprimer un repli conditionnel — sur l’appareil d’abord, serveur seulement en cas d’échec —, exactement le genre de nuance qui mérite d’être vérifiée dans la véritable politique de confidentialité d’un développeur plutôt que dans quatre pastilles grises seulement.