VOKTA est un gestionnaire de mots de passe édité par Divaltis SAS : une application Android, une extension pour les navigateurs Chrome, Edge, Brave et Opera, et VOKTA Web, qui s’ouvre dans un navigateur.
1L’essentiel en trois phrases
- VOKTA n’a pas de compte, pas d’inscription et pas de serveur : votre coffre est chiffré sur votre appareil, et sa sauvegarde est un fichier chiffré rangé dans votre propre espace de stockage (Google Drive, Dropbox, OneDrive, iCloud…).
- Ce qui sort de votre appareil sort vers votre service de stockage, sous forme de fichier illisible sans votre phrase secrète ; vers les sites de vos fiches, pour en lire le logo ; et vers Google Play, si vous vous abonnez.
- Nous, Divaltis, ne recevons ni ne stockons aucun de vos mots de passe, aucune de vos fiches, ni aucune donnée personnelle vous concernant.
2Ce qui reste sur votre appareil
Ces informations sont écrites dans le stockage privé de l’application ou de l’extension. Elles ne sont envoyées nulle part, et disparaissent si vous désinstallez VOKTA ou supprimez le coffre dans les réglages.
- Votre coffre : identifiants, mots de passe, codes de validation, clés d’accès, cartes bancaires, identités, notes, réseaux Wi-Fi et documents protégés. Il est chiffré en permanence ; sur Android, sa clé est scellée par la puce de sécurité du téléphone et ne s’ouvre qu’avec votre empreinte ou votre code.
- Vos réglages : délai de verrouillage, thème, sites pour lesquels ne jamais proposer d’enregistrer, applications à verrouiller.
- L’état de votre abonnement : la date de début de l’essai et, si vous êtes abonné, la preuve d’achat délivrée par Google Play (section 7).
- La liste de vos clés d’accès, sans leurs clés secrètes : le site et le nom du compte, pour que le téléphone puisse vous les proposer avant d’ouvrir le coffre.
VOKTA ne contient aucun outil de mesure d’audience, aucun rapport de plantage envoyé automatiquement et aucune publicité. La sauvegarde automatique d’Android est désactivée pour l’application : le coffre ne part pas dans les sauvegardes du téléphone.
3Votre sauvegarde, dans votre cloud
La sauvegarde est un seul fichier, vokta-sauvegarde.vokta, que VOKTA dépose dans le dossier que vous choisissez : un dossier de Google Drive, Dropbox, OneDrive, iCloud Drive ou de votre appareil. Il sert aussi de point de rencontre entre vos appareils, qui le relisent pour se synchroniser.
Ce fichier est chiffré avant de quitter l’appareil (AES-256-GCM, avec une paire de clés RSA-3072 dont la clé privée est protégée par votre phrase secrète, étirée par PBKDF2 en 310 000 tours). Votre phrase secrète ne quitte jamais vos appareils et Divaltis ne la connaît pas.
VOKTA ne se connecte pas lui-même à votre service de stockage : c’est l’application de ce service (Drive, Dropbox…) qui transporte le fichier. Le fichier est donc soumis aux conditions de votre fournisseur, qui ne voit qu’un contenu chiffré, illisible sans votre phrase.
Conséquence directe : si vous perdez votre phrase secrète sur tous vos appareils, personne ne peut récupérer votre coffre, pas même Divaltis.
4Ce que VOKTA lit sur Internet
VOKTA n’envoie jamais vos données. Il effectue seulement les lectures suivantes, en requêtes HTTPS, sans cookie et sans identifiant :
| Lecture | Pourquoi | Comment l’éviter |
|---|---|---|
| La page d’accueil et l’icône du site d’une fiche (par exemple doctolib.fr) | Afficher le logo du service à côté du compte | Réglages › Apparence › « Chercher les logos sur les sites » |
Le fichier /.well-known/assetlinks.json d’un site | Vérifier qu’une application Android a bien le droit de demander une clé d’accès de ce site | Ne se produit que lorsqu’une application vous demande une clé d’accès |
| Google Play (application Android) | Connaître le prix et l’état de votre abonnement | Section 7 |
Comme toute requête sur Internet, ces lectures révèlent au site interrogé l’adresse IP de votre connexion. Elles ne lui disent rien de votre compte ni de votre coffre. Aucun service tiers n’est utilisé pour les logos.
5Le remplissage automatique et les clés d’accès
Pour remplir vos identifiants, l’application Android utilise le service de saisie automatique d’Android, et l’extension lit les champs de connexion des pages que vous ouvrez. Dans les deux cas, VOKTA repère les champs d’identifiant et de mot de passe pour vous proposer les comptes du site, et remarque un mot de passe que vous venez de saisir pour vous proposer de l’enregistrer.
- Le contenu des pages et des applications n’est ni conservé ni transmis : seul ce que vous choisissez d’enregistrer entre dans votre coffre.
- Un compte n’est proposé que sur l’adresse de son site, et rien n’est rempli sans votre geste.
- Les clés d’accès que VOKTA crée pour vous sont rangées dans la fiche du compte, chiffrées avec le reste du coffre. Leur partie publique est remise au site lors de leur création, comme le prévoit la norme WebAuthn.
6L’extension et VOKTA Web
L’extension lit et réécrit le fichier de sauvegarde dans le dossier synchronisé de votre ordinateur, et en garde une copie chiffrée dans le navigateur. Une fois le coffre ouvert, sa clé reste en mémoire jusqu’au verrouillage, jamais sur le disque. Chacune des autorisations qu’elle demande est détaillée sur sa fiche du Chrome Web Store. Le réglage facultatif « Masquer les suggestions du navigateur » n’agit que sur les réglages de saisie automatique du navigateur, et les rend à l’identique quand vous le désactivez.
VOKTA Web déchiffre votre coffre dans la page même : la page s’interdit toute connexion réseau, et votre fichier ne quitte pas votre ordinateur. Comme tout serveur web, celui qui héberge divaltis.com conserve un journal d’accès technique (adresse IP, date), utilisé uniquement pour la sécurité et le bon fonctionnement du site.
7L’essai et l’abonnement
VOKTA s’essaie gratuitement pendant 30 jours, sans carte bancaire. L’abonnement annuel est vendu et encaissé par Google Play, qui traite votre paiement selon sa propre politique de confidentialité (policies.google.com/privacy). VOKTA ne voit ni votre carte bancaire, ni votre nom, ni votre adresse.
- L’application reçoit de Google Play la preuve de votre achat : un numéro de commande, la date d’achat et un jeton d’achat, signés par Google. Elle la range dans votre coffre, pour que vos autres appareils sachent que vous êtes abonné, sans aucun serveur.
- Divaltis reçoit de Google, dans sa console de développeur, les rapports de vente habituels (numéro de commande, pays, montant, date), sans votre nom ni votre adresse e-mail, pour sa comptabilité.
- La gestion et la résiliation de l’abonnement se font dans Google Play ; les remboursements relèvent de ses conditions.
8Les autorisations de l’application Android
| Autorisation | À quoi elle sert |
|---|---|
| Service de saisie automatique, fournisseur de clés d’accès | Proposer vos comptes et vos clés d’accès dans les applications et les sites, si vous choisissez VOKTA dans les réglages d’Android |
| Empreinte, visage ou code de l’appareil | Ouvrir le coffre ; la vérification est faite par Android, VOKTA n’a jamais accès à votre empreinte |
| Accès à Internet | Les seules lectures de la section 4 |
| Accès aux données d’utilisation, affichage par-dessus les autres applications | Le verrouillage d’applications, seulement si vous l’activez : savoir quelle application s’ouvre, pour demander votre empreinte devant celles que vous protégez. Rien n’est enregistré ni transmis |
| Notifications | Vous prévenir si une sauvegarde échoue, et signaler que le verrouillage d’applications est actif |
| Appareil photo (par le lecteur de Google Play) | Lire le QR code d’un code de validation ; l’image n’est ni conservée ni transmise |
9Les enfants
VOKTA n’est pas destiné en particulier aux enfants de moins de 13 ans et ne leur demande aucune donnée.
10Vos droits
Divaltis ne détenant aucune donnée personnelle vous concernant, il n’y a rien à consulter, corriger ou supprimer de notre côté : supprimer le coffre dans les réglages, désinstaller l’application ou l’extension et effacer le fichier de sauvegarde de votre cloud fait disparaître tout ce que VOKTA avait écrit. Pour les données traitées par Google (paiement) ou par votre service de stockage, les droits prévus par le RGPD s’exercent directement auprès d’eux. Vous pouvez aussi saisir la CNIL (cnil.fr). Et vous pouvez naturellement nous écrire pour toute question.
11Modifications
Cette politique peut être mise à jour, par exemple si une fonctionnalité change ce que VOKTA manipule. La date en haut de page indique la dernière version.
12Nous contacter
Divaltis SAS