CircleCIでの環境変数の扱いについて

Question

プッシュすると、CircleCIで、rubocop,rspec,herokuのデプロイまでが行われる状態にしているのですが、
わかっていないのに、使っているところがあります、、
それが環境変数についてなのですが、

コード中に、

app_pass = Rails.application.credentials.api[:APP_PASS]

とcredentialsに登録している環境変数を取得しているコードがあり、
credentialsに対してそれを復号化するmaster.keyがある。

master.keyをプッシュするわけには行かないから
CircleCIのページで、環境変数に設定する。

というところはわかるのですが、
実際これがどのように、CircleCIのrspec,herokuで使われているのか、という事がわかりません。

仕組みがわからないまま使うのが気持ち悪いので、検索もしたのですが、自分が理解できるものがありませんでした。どなたかお手数ですが初心者向けに教えて頂けませんでしょうか、、

heroku の方にも、環境変数としてmaster.keyを

$ heroku config:set RAILS_MASTER_KEY=〜〜

でセットしています。

よろしくお願い致します。。