Les documents ci-dessous encadrent l'utilisation de sharedenv : mentions légales, politique de confidentialité, conditions générales d'utilisation (CGU) et conditions générales de vente (CGV).
Le site sharedenv.com, l'application web, l'API api.sharedenv.com, l'extension de navigateur et l'interface en ligne de commande sharedenv (ensemble, le « Service ») sont édités par Async Code, société par actions simplifiée unipersonnelle au capital de 100 euros, immatriculée au registre du commerce et des sociétés de Nanterre sous le numéro 952 918 936, dont le siège social est situé 14 rue Perronet, 92150 Suresnes, France.
Maximilien Lentschener, président d'Async Code.
Le Service est hébergé en France par OVH SAS, 2 rue Kellermann, 59100 Roubaix, France, immatriculée au RCS de Lille Métropole sous le numéro 424 761 419 (www.ovhcloud.com).
La marque sharedenv, le site, ses textes, ses visuels et le code du Service appartiennent à Async Code et sont protégés par le droit de la propriété intellectuelle. Toute reproduction sans autorisation est interdite. Le code de l'interface en ligne de commande est publié en open source sous licence Apache 2.0 (github.com/SharedEnv/cli) : pour ce code, cette licence s'applique.
Pour signaler un contenu manifestement illicite ou un abus du Service, écrivez à hello@sharedenv.com en indiquant la nature du contenu, l'endroit où il se trouve et vos coordonnées. Le contenu des coffres est chiffré de bout en bout : nous ne pouvons pas le lire, mais nous pouvons suspendre le coffre ou le compte signalé.
Async Code (voir les mentions légales) est responsable des traitements décrits ici : votre compte, la sécurité du Service et la facturation. Pour toute question sur vos données, écrivez à privacy@sharedenv.com.
Lorsqu'une organisation utilise sharedenv pour ses équipes, elle est responsable des données qu'elle y place sur ses membres, et Async Code les traite pour son compte, comme sous-traitant (voir l'article « Données traitées pour le compte du client » des CGV).
sharedenv est conçu pour que nous ne puissions pas lire vos secrets. Ils sont chiffrés sur votre appareil (navigateur, extension ou terminal) avant de le quitter, avec des clés que nous ne détenons pas. Ne nous parviennent jamais :
Nos serveurs ne gardent que des données chiffrées, des clés publiques et ce dont le Service a besoin pour fonctionner. Une partie reste lisible par nos serveurs, parce que le Service s'en sert : le nom de vos coffres, le nom de vos secrets (par exemple DATABASE_URL), le nom de vos équipes et organisations, et qui partage quoi avec qui. N'y mettez pas d'information sensible.
L'extension sharedenv pour Chrome se connecte avec une valeur dérivée de votre mot de passe (jamais le mot de passe lui-même) et déchiffre vos secrets dans votre navigateur.
Comme pour le site, l'API garde, avec l'identifiant de l'appareil, une adresse IP pseudonymisée et le pays qui s'en déduit, pour la sécurité de vos sessions. Les données que manipule l'extension servent uniquement à son fonctionnement : elles ne sont ni vendues, ni transférées à des tiers, ni utilisées à des fins publicitaires ou pour évaluer une solvabilité.
Le CLI sharedenv (paquet npm @sharedenv/cli) garde sur votre machine, dans le dossier ~/.sharedenv lisible par vous seul, votre session et les empreintes des clés que vous avez approuvées. Il ne conserve jamais votre mot de passe maître. Les secrets qu'il déchiffre vont là où vous le demandez (sortie du terminal, fichier) ou au seul programme que vous lancez avec sharedenv run. Son code est public.
Nous ne faisons ni publicité, ni profilage, ni mesure d'audience, nous ne vendons aucune donnée et nous ne vous envoyons pas de prospection commerciale.
Seules les personnes d'Async Code qui en ont besoin pour faire fonctionner le Service accèdent à vos données, ainsi que nos sous-traitants :
Les autres utilisateurs voient ce que le partage impose : les membres d'un coffre voient votre nom et votre identifiant, et une personne qui connaît votre adresse e-mail exacte peut retrouver votre identifiant et votre clé publique pour vous partager un coffre. Si vous partagez un coffre avec l'équipe Kubbler (un service également édité par Async Code), elle accède aux secrets de ce coffre comme tout membre, pour les seuls besoins de ce service, et chaque lecture est inscrite au journal d'audit.
Nous ne communiquons des données aux autorités que lorsque la loi nous y oblige. Par construction, nous ne pouvons pas leur remettre vos secrets en clair.
Les pages du site, et nos e-mails quand vous les ouvrez, chargent leurs polices de caractères depuis Google Fonts : votre navigateur ou votre messagerie transmet alors votre adresse IP à Google.
Vos données sont hébergées en France, dans l'Union européenne. Stripe peut traiter certaines données de paiement aux États-Unis, et Google reçoit aux États-Unis l'adresse IP des visiteurs du site et des lecteurs de nos e-mails : ces transferts sont encadrés par les garanties de ces prestataires (EU-US Data Privacy Framework et clauses contractuelles types de la Commission européenne).
Une donnée effacée peut subsister dans les sauvegardes techniques jusqu'à leur renouvellement, sans être utilisée.
En plus du chiffrement de bout en bout (AES-256-GCM, échange de clés ECDH sur secp256k1, mot de passe étiré par scrypt), le Service chiffre tous les échanges (HTTPS), ne reçoit jamais votre mot de passe, propose la double authentification, limite les tentatives de connexion, pseudonymise les adresses IP et réserve l'accès aux serveurs aux personnes habilitées.
En cas de violation de données présentant un risque pour vous, nous la notifions à la CNIL dans les 72 heures, et nous vous prévenons dans les meilleurs délais lorsque le risque est élevé.
Le Service ne dépose que des cookies strictement nécessaires, qui ne demandent pas de consentement :
Aucun cookie de mesure d'audience, de publicité ou de réseau social n'est déposé. Votre navigateur garde aussi, dans son stockage local, votre thème d'affichage et les empreintes des clés publiques des personnes avec qui vous partagez, qui permettent de repérer un changement de clé. Ces données restent sur votre appareil.
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, et du droit de définir des directives sur leur sort après votre décès. Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime.
Pour les exercer, écrivez à privacy@sharedenv.com depuis l'adresse de votre compte. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe, et pouvons vous demander de confirmer votre identité. La suppression de votre compte se demande de la même façon.
Vos secrets étant chiffrés par vos propres clés, nous ne pouvons vous les remettre que chiffrés. Vous pouvez les exporter en clair à tout moment, vous-même, avec le CLI (sharedenv pull -v <coffre> --format json).
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr).
Le Service est réservé aux personnes âgées d'au moins 16 ans. La date de naissance demandée à l'inscription sert uniquement à s'en assurer.
Nous pouvons modifier cette politique. La date en tête de page indique sa version, et nous vous prévenons par e-mail de tout changement important avant son entrée en vigueur.
Les présentes conditions générales d'utilisation (les « CGU ») encadrent l'utilisation du Service sharedenv édité par Async Code (voir les mentions légales). Elles s'appliquent à toute personne qui crée un compte ou utilise le Service, gratuitement ou non. Les offres payantes sont en outre régies par les conditions générales de vente (les « CGV »). En créant un compte, vous acceptez les CGU.
sharedenv est un coffre à secrets chiffré de bout en bout. Il permet de conserver des variables d'environnement, des clés d'API, des accès partagés et d'autres secrets, de les partager avec des personnes et des équipes, et de les utiliser depuis le site, l'extension de navigateur et le CLI. L'offre gratuite est soumise aux limites indiquées sur la page des tarifs. Le Service évolue : nous pouvons ajouter, modifier ou retirer des fonctionnalités, et nous vous prévenons à l'avance d'un retrait qui affecte l'usage de votre compte.
Votre mot de passe maître et votre code de récupération sont les seules clés de votre coffre. Nous ne les connaissons pas et ne pouvons ni les retrouver, ni les réinitialiser à votre place.
Conservez votre code de récupération en lieu sûr, à l'écart de votre mot de passe. Async Code n'est pas responsable d'une perte de données qui résulte de la perte de ces éléments.
Quand vous partagez un coffre, son destinataire reçoit la clé qui l'ouvre et lit ses secrets selon les droits que vous lui donnez. Avant d'accepter un partage, ou de partager avec quelqu'un pour la première fois, comparez votre empreinte de clé avec la sienne par un autre moyen.
Retirer un membre l'empêche d'accéder au coffre à l'avenir, mais il a pu copier les secrets qu'il lisait : changez alors la clé du coffre (rotation), et changez à leur source les secrets sensibles (nouvelle clé d'API, nouveau mot de passe). Le propriétaire et les administrateurs d'un coffre décident qui y a accès et en répondent. Les administrateurs d'une organisation peuvent limiter le partage en son sein.
Il est interdit d'utiliser le Service pour :
Vous avez trouvé une faille ? Écrivez-nous à hello@sharedenv.com. Nous n'engagerons pas de poursuites contre une personne qui nous signale de bonne foi une faille, sans l'exploiter, sans accéder aux données d'autrui et sans la divulguer avant sa correction.
Vous restez propriétaire de tout ce que vous stockez. Vous nous accordez seulement le droit de conserver et de transmettre vos données chiffrées, dans la mesure nécessaire au Service. Pour les contenus que vous stockez, Async Code agit comme hébergeur au sens de la loi pour la confiance dans l'économie numérique : ne pouvant pas lire le contenu des coffres, elle agit sur signalement, en suspendant le coffre ou le compte concerné lorsqu'un contenu manifestement illicite lui est notifié.
Nous faisons nos meilleurs efforts pour que le Service soit disponible et sûr, sans pouvoir garantir une disponibilité continue : une maintenance, un incident ou une cause extérieure peut l'interrompre. Nous annonçons les maintenances prévues lorsque c'est possible. Gardez une copie de vos secrets critiques : vous pouvez les exporter à tout moment avec le CLI.
Le Service, son code, sa marque et ses contenus appartiennent à Async Code. Elle vous accorde un droit personnel, non exclusif et non cessible d'utiliser le site, l'application web et l'extension pour vos besoins, pendant la durée de votre compte. Le CLI est publié sous licence Apache 2.0 : vous pouvez l'utiliser, le modifier et le redistribuer selon cette licence. Toute autre reproduction est interdite, de même que la décompilation au-delà de ce que permet la loi.
Vous pouvez cesser d'utiliser le Service à tout moment et demander la suppression de votre compte à privacy@sharedenv.com. Exportez d'abord vos secrets : une fois le compte supprimé, ils ne peuvent plus être récupérés.
Nous pouvons suspendre ou fermer un compte qui enfreint les CGU après une mise en demeure restée sans effet pendant 8 jours, ou sans délai en cas d'atteinte grave à la sécurité du Service ou d'autrui, ou de contenu manifestement illicite. Un compte sans abonnement et sans connexion depuis 3 ans peut être supprimé après un préavis de 30 jours par e-mail.
Async Code est tenue d'une obligation de moyens. Elle n'est pas responsable :
Si vous êtes un professionnel, Async Code ne répond pas des dommages indirects (perte de chiffre d'affaires, d'exploitation, de clientèle, atteinte à l'image), et sa responsabilité totale est limitée aux sommes que vous lui avez payées au cours des 12 mois qui précèdent le fait générateur, ou à 100 euros si vous utilisez l'offre gratuite. Ces limites ne s'appliquent ni en cas de faute lourde ou intentionnelle, ni aux dommages corporels.
Si vous êtes un consommateur, Async Code répond de ses manquements dans les conditions prévues par la loi, et rien dans les CGU ne limite les droits que la loi vous garantit.
Nous pouvons modifier les CGU. Nous vous prévenons par e-mail au moins 30 jours avant l'entrée en vigueur d'une modification importante ; si vous la refusez, vous pouvez fermer votre compte avant cette date. Continuer à utiliser le Service après cette date vaut acceptation.
Les CGU sont soumises au droit français. En cas de difficulté, écrivez-nous d'abord à hello@sharedenv.com : nous cherchons une solution amiable.
Les présentes conditions générales de vente (les « CGV ») s'appliquent aux abonnements payants au Service (offres Pro et Team) vendus par Async Code (voir les mentions légales) sur sharedenv.com, à des consommateurs comme à des professionnels. Elles complètent les CGU. Vous les acceptez en souscrivant, dans leur version en vigueur à la date de votre souscription, qui reste consultable et imprimable sur cette page. Vous recevez la confirmation de votre souscription par e-mail.
Le Service propose une offre gratuite et des offres payantes. Le contenu, les limites et le prix de chaque offre, et ce sur quoi ce prix est calculé (par exemple le nombre de personnes qui ont accès à vos coffres), sont ceux qu'affiche la page des tarifs au moment de votre souscription. Le montant total à payer vous est indiqué avant le paiement.
Les prix sont indiqués en euros, toutes taxes comprises. Nous pouvons faire évoluer nos prix : un changement du prix d'un abonnement en cours vous est annoncé par e-mail au moins 30 jours avant de s'appliquer, et ne vaut qu'à partir de la période suivante. Vous pouvez résilier avant son entrée en vigueur.
Vous souscrivez depuis votre compte, sur la page de paiement sécurisée de Stripe, notre prestataire de paiement. Les moyens de paiement proposés sont ceux qu'affiche cette page, et nous n'avons jamais accès aux données de votre carte. L'abonnement prend effet à la confirmation du paiement.
L'abonnement est mensuel ou annuel, selon ce que vous choisissez. Il se paie d'avance et se renouvelle automatiquement pour la même durée tant que vous ne l'avez pas résilié. Pour un abonnement annuel, nous vous rappelons par e-mail, entre un et trois mois avant son échéance, que vous pouvez ne pas le reconduire. Vos factures sont disponibles dans votre espace de facturation.
Lorsqu'une offre est facturée par personne, ajouter des personnes en cours de période donne lieu à un complément calculé au prorata, qui vous est indiqué avant que vous confirmiez.
Si un paiement échoue, vous disposez de 7 jours pour le régulariser. Passé ce délai, votre compte revient à l'offre gratuite et à ses limites ; vos coffres et vos secrets ne sont pas supprimés.
Vous pouvez changer d'offre à tout moment depuis votre espace de facturation : le montant dû et sa date vous sont indiqués avant que vous confirmiez.
Vous pouvez résilier à tout moment, en quelques clics, depuis votre espace de facturation. La résiliation prend effet à la fin de la période déjà payée (le mois ou l'année en cours), jusqu'à laquelle vous gardez votre offre. Cette période n'est pas remboursée, sauf exercice du droit de rétractation ou disposition légale contraire.
Si vous êtes un consommateur, vous disposez de 14 jours à compter de votre souscription pour vous rétracter, sans avoir à vous justifier. En souscrivant, vous demandez que le Service commence immédiatement : si vous vous rétractez, vous restez redevable du montant correspondant au service fourni jusqu'à votre rétractation, et nous vous remboursons le reste dans les 14 jours, par le moyen de paiement utilisé.
Pour vous rétracter, envoyez-nous avant la fin du délai une déclaration dénuée d'ambiguïté à hello@sharedenv.com, par exemple au moyen du formulaire suivant :
« À l'attention d'Async Code, 14 rue Perronet, 92150 Suresnes, France, hello@sharedenv.com. Je vous notifie par la présente ma rétractation du contrat portant sur la prestation de services ci-dessous : [offre]. Souscrit le : [date]. Nom du consommateur : [nom]. Adresse du consommateur : [adresse]. Adresse e-mail du compte : [e-mail]. Signature du consommateur (uniquement en cas d'envoi sur papier). Date : [date]. »
Le droit de rétractation ne s'applique pas aux professionnels.
Si vous êtes un consommateur, vous bénéficiez de la garantie légale de conformité des contenus et services numériques (articles L. 224-25-1 et suivants du Code de la consommation) : en cas de défaut de conformité du Service, vous pouvez obtenir sa mise en conformité ou, à défaut, une réduction du prix ou la résolution du contrat.
La responsabilité d'Async Code est régie par l'article « Responsabilité » des CGU.
Lorsqu'un client utilise le Service pour une organisation ou une équipe, il est responsable du traitement des données personnelles qu'il y place sur ses membres (noms, adresses e-mail, appartenance aux équipes, journal d'audit de leurs accès), et Async Code les traite pour son compte en tant que sous-traitant, au sens de l'article 28 du RGPD. À ce titre, Async Code :
Les données sont hébergées dans l'Union européenne. Un client qui le souhaite peut demander un accord de traitement signé à privacy@sharedenv.com.
Pour toute réclamation, écrivez à hello@sharedenv.com. Si vous êtes un consommateur et que votre réclamation écrite n'a pas abouti, vous pouvez recourir gratuitement, dans l'année qui suit, au médiateur de la consommation dont relève Async Code : [MÉDIATEUR : nom, adresse, site internet].
Les CGV sont soumises au droit français. L'article « Droit applicable et litiges » des CGU s'y applique.