Confidentialité
cumba n’envoie aucune télémétrie et tout reste sur votre Mac. Quelques fonctionnalités envoient des requêtes réseau, uniquement pendant que vous les utilisez.
Ce à quoi cumba peut accéder
Tout ce qui suit reste désactivé ou inutilisé tant que vous n’activez pas la fonctionnalité qui en a besoin. Rien n’est demandé au lancement. Réglages > Autorisations indique l’état actuel de chaque élément.
| Quoi | Pourquoi | Quand |
|---|---|---|
| Programme auxiliaire « À l’écoute » du système | Ce que lit chaque app, et les commandes de lecture | Actif tant que l’app est ouverte ; désactivez « Détecter la lecture dans toutes les apps » pour passer plutôt par AppleScript |
| Automatisation pour Spotify et Musique | Afficher le morceau en cours ; lire, mettre en pause, passer, avancer ou reculer | Seulement si « Détecter la lecture dans toutes les apps » est désactivé ; les scripts ne sont envoyés que si l’app est déjà ouverte |
| Automatisation pour Notes | Widget Notes : lister vos notes récentes, en ouvrir une, en créer de nouvelles | Demandée quand vous connectez Notes dans le widget ou dans les réglages ; cumba ouvre Notes en arrière-plan s’il n’est pas déjà ouvert et ne modifie jamais une note existante |
| Rappels (accès complet) | Widget À faire : afficher, cocher et ajouter des rappels | Demandé quand vous cliquez sur Autoriser dans le widget ou dans les réglages |
| Calendrier (accès complet) | Widget Calendrier | Demandé quand vous cliquez sur Autoriser dans le widget ou dans les réglages |
| Localisation | La météo là où vous êtes | Demandée quand vous cliquez sur Utiliser ma position ; inutilisée si vous choisissez une ville |
| Caméra | Widget Miroir | Seulement quand le panneau l’affiche ; rien n’est enregistré |
| Serveur local sur 127.0.0.1 | Connexion facultative de l’extension YouTube | Seulement si vous l’activez dans Réglages > Connexions |
| Socket Unix privé | Hooks de Claude Code et de Codex, et activités des scripts | Seulement si des hooks sont installés ou si les activités des scripts sont activées |
| ~/.claude/settings.json, ~/.codex/hooks.json | Installer et retirer les hooks des agents | Seulement après que vous avez vérifié la modification ; une sauvegarde est conservée |
| Transcriptions de Claude Code dans ~/.claude/projects | Utilisation du contexte et titre de la session dans le widget Agents IA | Lues uniquement sur ce Mac (les 256 derniers Ko), pendant qu’une session est en cours |
| Accessibilité | Gérer les touches de volume ou de luminosité | Seulement si vous choisissez de remplacer l’indicateur de volume ou de luminosité du système |
| Presse-papiers | Widget Historique du presse-papiers | Seulement quand ce widget est dans le panneau |
| Fichiers et dossiers (Bureau, ou dossier des captures d’écran) | Ajouter les nouvelles captures d’écran à l’historique du presse-papiers ; les fichiers déposés sur l’étagère | Seulement si vous activez « Ajouter les nouvelles captures d’écran » ou utilisez l’étagère ; macOS en indique la raison au moment de la demande |
| Élément d’ouverture | Ouvrir cumba à la connexion | Désactivé tant que vous ne l’activez pas |
Requêtes réseau
Ces fonctionnalités accèdent au réseau, uniquement pendant que vous les utilisez :
| Fonctionnalité | Requête |
|---|---|
| Multimédia avec Spotify | Les pochettes, depuis le serveur d’images de Spotify (i.scdn.co), pour le panneau et l’encoche fermée |
| Multimédia avec YouTube | Les miniatures, depuis les serveurs d’images de YouTube (*.ytimg.com, *.googleusercontent.com, *.ggpht.com ; l’adresse qu’utilise la page elle-même), pour le panneau et l’encoche fermée |
| Météo | Votre position arrondie à environ 10 km, ou les coordonnées de la ville de votre choix, vers api.open-meteo.com ; avec votre position, les mêmes coordonnées arrondies vers Plans d’Apple pour le nom de la ville ; une ville que vous recherchez, avec votre langue, vers geocoding-api.open-meteo.com. Seulement quand le widget est à l’écran, au plus une fois toutes les 15 minutes |
| Recherche de mises à jour | La liste des versions depuis api.github.com, au lancement puis une fois par jour, avec la version de cumba comme agent utilisateur ; désactivable dans Réglages > Général |
Ce qui reste sur votre Mac
La caméra ne fonctionne que lorsque le panneau affiche le widget Miroir, et rien n’est enregistré. L’étagère ne garde que les chemins des fichiers. L’historique du presse-papiers conserve vos 20 derniers éléments copiés, en mémoire uniquement, et ignore ceux que les apps marquent comme mots de passe. Tant qu’il se trouve dans l’un de vos onglets, il vérifie chaque seconde si le presse-papiers a changé, même quand le panneau est fermé, pour ne manquer aucune copie. Si « Ajouter les nouvelles captures d’écran » est activé, il surveille le dossier des captures d’écran et ne conserve que l’emplacement des nouvelles captures.
Les widgets Notes et À faire passent par Notes et Rappels, les apps d’Apple. cumba n’envoie rien nulle part ; c’est iCloud qui transmet les modifications à vos autres appareils, comme d’habitude. La note des versions précédentes (notes.txt) est copiée une seule fois dans Notes, et le fichier reste à sa place.
Le témoin du micro et de la caméra indique seulement si un appareil est utilisé, sans jamais accéder au son ni à l’image. Les données de Claude Code (commandes, chemins de fichiers, messages) restent uniquement en mémoire. Quand il est activé, le serveur de l’extension n’écoute que sur 127.0.0.1, n’accepte que l’extension cumba et exige son propre jeton, conservé dans votre trousseau.
Ce que cumba ne fait jamais
cumba n’envoie jamais de télémétrie, ne demande aucun mot de passe administrateur, n’installe ni outil auxiliaire ni extension du noyau ou du système, ne modifie pas les réglages du système, ne télécharge jamais de code et ne se met jamais à jour tout seul.
L’App Sandbox est désactivée, car une app en sandbox aurait besoin d’exceptions pour piloter Spotify et Musique par script, ouvrir le socket que contactent les hooks des agents et modifier ~/.claude/settings.json. Le Hardened Runtime est activé, et l’app n’a que les droits dont elle a besoin : Apple Events, calendriers, localisation et caméra.
Modèle de menaces et code lié à la sécurité dans SECURITY.md (en anglais)
Ce site
Ce site ne dépose aucun cookie, n’utilise aucun outil d’analyse et ne charge rien depuis d’autres serveurs pendant que vous le consultez. Ses pages sont des fichiers statiques servis par Vercel, qui, comme tout hébergeur web, traite votre adresse IP pour vous les transmettre.
Le bouton de téléchargement récupère le fichier sur GitHub, dont la déclaration de confidentialité s’applique à cette requête.
Quand vous choisissez un thème, votre navigateur en garde le nom pour que la page suivante l’adopte aussi. Cette information reste sur votre appareil et n’est jamais envoyée nulle part.