Politique de confidentialité

La protection des données en un coup d'œil

Remarques générales

Les informations suivantes donnent un aperçu simple de ce qu'il advient de vos données à caractère personnel lorsque vous visitez ce site web. Les données à caractère personnel sont toutes les données permettant de vous identifier personnellement. Vous trouverez des informations détaillées sur la protection des données dans notre politique de confidentialité figurant sous ce texte.

Collecte de données sur ce site web

Qui est responsable de la collecte des données sur ce site web ?

Le traitement des données sur ce site web est effectué par l'exploitant du site. Vous trouverez ses coordonnées dans la section « Informations sur le responsable du traitement » de la présente politique de confidentialité.

Comment collectons-nous vos données ?

Vos données sont d'une part collectées parce que vous nous les communiquez. Il peut s'agir par exemple de données que vous saisissez dans un formulaire de contact.

D'autres données sont collectées automatiquement ou après votre consentement par nos systèmes informatiques lors de la visite du site web. Il s'agit avant tout de données techniques (par ex. navigateur internet, système d'exploitation ou heure de consultation de la page). La collecte de ces données se fait automatiquement dès que vous accédez à ce site web.

À quoi utilisons-nous vos données ?

Une partie des données est collectée afin de garantir une mise à disposition sans erreur du site web et une protection contre les abus.

Quels sont vos droits concernant vos données ?

Vous avez à tout moment le droit d'obtenir gratuitement des informations sur l'origine, les destinataires et la finalité de vos données à caractère personnel conservées. Vous disposez en outre d'un droit de rectification ou d'effacement de ces données. Si vous avez donné votre consentement au traitement des données, vous pouvez le retirer à tout moment pour l'avenir. Vous avez par ailleurs le droit, dans certaines circonstances, de demander la limitation du traitement de vos données à caractère personnel. Vous disposez enfin d'un droit de réclamation auprès de l'autorité de contrôle compétente.

Responsable du traitement

Le responsable du traitement des données à caractère personnel sur ce site web est :

Le responsable du traitement est la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel.

Hébergement

Nous exploitons notre site web sur nos propres serveurs, hébergés chez le fournisseur d'infrastructure suivant :

Hetzner Online GmbH

Fournisseur d'infrastructure: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen

Nous avons le contrôle total des serveurs et des données qui y sont enregistrées. Le fournisseur d'infrastructure met uniquement à disposition le matériel et la connexion réseau.

Lorsque vous visitez notre site web, des informations transmises par votre navigateur sont automatiquement enregistrées sur nos serveurs dans des fichiers journaux.

Détails sur la politique de confidentialité du fournisseur d'infrastructure : https://www.hetzner.com/legal/privacy-policy/

Un contrat de sous-traitance conformément à l'art. 28 du RGPD a été conclu avec le fournisseur d'infrastructure.

L'utilisation de l'infrastructure serveur repose sur l'art. 6, par. 1, point f) du RGPD. Nous avons un intérêt légitime à une mise à disposition fiable et sécurisée de notre site web.

Fichiers journaux du serveur

Notre serveur web enregistre automatiquement des informations dans des fichiers journaux que votre navigateur nous transmet automatiquement. Il s'agit de :

• Type et version du navigateur
• Système d'exploitation utilisé
• URL de référence
• adresse appelée, code de statut et volume de données transféré ; les jetons d'accès et les adresses e-mail contenus dans l'adresse sont remplacés par un espace réservé avant l'enregistrement
• Heure de la requête au serveur
• Adresse IP, tronquée avant l'enregistrement (sans le dernier octet pour IPv4, sans la partie finale pour IPv6) ; conservée pendant 90 jours au maximum à des fins de prévention des abus, sur la base de l'art. 6, par. 1, point f) du RGPD

Ces données ne sont pas fusionnées avec d'autres sources de données.

Les fichiers journaux du serveur sont conservés pendant 90 jours au maximum, puis supprimés automatiquement, sauf si un incident de sécurité concret nécessite une conservation plus longue. Cette durée sert à la sécurité, à la prévention des abus et à l'analyse des erreurs : les schémas d'attaque, les cas d'abus et les erreurs ne sont souvent détectés que plusieurs semaines après la requête concernée.

La collecte de ces données repose sur l'art. 6, par. 1, point f) du RGPD. Nous avons un intérêt légitime à une présentation techniquement irréprochable et à l'optimisation de notre site web – à cette fin, les fichiers journaux du serveur doivent être collectés.

Chiffrement SSL/TLS

Pour des raisons de sécurité et afin de protéger la transmission de contenus confidentiels – comme par exemple les commandes ou demandes que vous nous adressez en tant qu'exploitant du site –, ce site web utilise un chiffrement SSL ou TLS. Vous reconnaissez une connexion chiffrée au fait que la barre d'adresse du navigateur passe de « http:// » à « https:// » et au symbole de cadenas dans la barre de votre navigateur.

Lorsque le chiffrement SSL ou TLS est activé, les données que vous nous transmettez ne peuvent pas être lues par des tiers.

Cookies

Notre site web utilise exclusivement des cookies techniquement nécessaires. Ces cookies sont nécessaires au fonctionnement du site web et permettent des fonctions de base.

Cookie de session

Le cookie de session sert exclusivement au maintien de votre session et ne contient aucune donnée à caractère personnel. Il est valable au maximum 9 heures et devient ensuite invalide.

La conservation de ce cookie repose sur l'art. 6, par. 1, point f) du RGPD et sur l'article 99, par. 5 de la loi chypriote sur les communications électroniques et les services postaux (loi 112(I)/2004), car le cookie est strictement nécessaire au service que vous avez demandé. Nous avons un intérêt légitime à une mise à disposition techniquement irréprochable de notre site web.

Vous pouvez configurer votre navigateur de manière à être informé du dépôt de cookies ou à refuser les cookies de manière générale. En cas de désactivation des cookies, les fonctionnalités de ce site web peuvent être limitées.

Cookies de connexion

Lorsque vous vous connectez, nous déposons en plus deux cookies contenant un jeton de connexion et sa signature, afin que votre connexion soit maintenue au-delà de la session. Ils sont valables 30 jours et sont supprimés lors de la déconnexion. Eux aussi sont strictement nécessaires au service que vous avez demandé ; la même base juridique que pour le cookie de session s'applique.

Stockage local dans votre navigateur

Outre les cookies, le site web conserve quelques données dans le stockage local de votre navigateur (localStorage) : l'adresse e-mail avec laquelle vous vous êtes connecté en dernier par clé d'accès (passkey), afin que le formulaire de connexion la préremplisse, et votre choix de thème de couleurs. Ces données ne nous sont pas transmises et restent enregistrées jusqu'à ce que vous supprimiez les données du site dans votre navigateur.

Après chaque connexion, le navigateur enregistre en outre dans le stockage local un jeton de connexion avec sa signature et sa date d'expiration, afin que la connexion puisse être renouvelée. Le jeton est valable 30 jours. Cet enregistrement est strictement nécessaire au service que vous avez demandé et ne requiert aucun consentement.

Cet enregistrement repose sur l'art. 6, par. 1, point f) du RGPD et sur l'article 99, par. 5 de la loi chypriote sur les communications électroniques et les services postaux (loi 112(I)/2004), car les données sont strictement nécessaires à la connexion que vous utilisez et à l'affichage que vous avez choisi. Nous avons un intérêt légitime à vous faciliter la connexion et à afficher le site web tel que vous l'avez paramétré.

Analyse d'audience avec Matomo

Ce site web utilise Matomo, un logiciel libre destiné à l'évaluation statistique des accès des visiteurs.

L'évaluation porte également sur vos accès à l'espace connecté.

Nous exploitons Matomo sur notre propre infrastructure de serveurs. Les données collectées restent chez nous et ne sont transmises ni à l'éditeur du logiciel ni à un quelconque tiers.

Données collectées

Les données suivantes sont enregistrées lors de la consultation d'une page :

• adresse IP tronquée
• page consultée et titre de la page
• page visitée précédemment (référent)
• type de navigateur, système d'exploitation et résolution d'écran
• moment et durée de la consultation de la page

Aucun cookie, aucune reconnaissance

Notre installation Matomo est configurée côté serveur de manière à ce qu'aucun cookie ne soit déposé et qu'aucune information ne soit enregistrée sur votre terminal ni lue depuis celui-ci. Aucun identifiant de visiteur durable n'est attribué, il n'y a donc pas de reconnaissance d'une visite à l'autre. Un consentement au sens de l'article 25 al. 1 TDDDG n'est par conséquent pas nécessaire.

Votre adresse IP est tronquée de deux octets avant son enregistrement (anonymisation de l'IP). Il ne nous est donc pas possible de rattacher les évaluations à votre personne.

Matomo supprime les données brutes des visites individuelles au bout de 180 jours ; ensuite, seules des évaluations agrégées sans référence à des visites individuelles sont conservées.

Finalité du traitement

L'évaluation sert à mesurer l'audience ainsi qu'à concevoir et améliorer en continu notre site web en fonction des besoins. Aucun profilage n'est effectué, les données ne sont pas rapprochées d'autres sources et ne sont pas utilisées à des fins publicitaires.

Base légale

Le traitement repose sur l'art. 6 par. 1 point f du RGPD. Nous avons un intérêt légitime à une évaluation anonyme du comportement d'utilisation afin d'améliorer notre offre.

Droit d'opposition

Vous pouvez vous opposer à tout moment à ce traitement avec effet pour l'avenir (art. 21 par. 1 du RGPD). Un simple message à l'adresse électronique indiquée dans la section relative au responsable du traitement suffit.

Traitement lors de l'échange de secrets en mode zero-knowledge

Lorsque vous partagez ou demandez un secret via ce service, notre serveur traite exclusivement des données chiffrées. La clé nécessaire au déchiffrement est transmise uniquement dans le fragment de l'URL (la chaîne située après le #) et n'est jamais envoyée à notre serveur. Nous sommes donc techniquement dans l'impossibilité de prendre connaissance du contenu de votre secret (architecture zero-knowledge).

Aucun suivi

Aucun cookie publicitaire, aucun pixel de suivi. La mesure d'audience fonctionne sans cookies et avec une adresse IP tronquée, comme décrit dans la section relative à l'analyse web. Les journaux du serveur sont utilisés exclusivement à des fins de sécurité et d'exploitation.

Catégories de données traitées

Nous traitons les données suivantes :

• Le contenu chiffré (texte chiffré) de votre secret. Sans la clé contenue dans le fragment de l'URL, ce contenu n'est pas déchiffrable par nous.
• Un jeton généré aléatoirement (22 caractères) permettant d'identifier le secret.
• En cas de demande de secret : la clé publique du destinataire (X25519). La clé privée correspondante reste dans le navigateur du destinataire.
• Horodatages : création, expiration, le cas échéant réponse et consultation.
• Une forme hachée (HMAC-SHA256) de votre adresse IP conservée en cache afin de limiter les tentatives d'abus (durée de conservation 60 secondes, effacement automatique ensuite).

Durée de conservation

Les contenus chiffrés sont supprimés de manière irréversible et atomique de notre base de données lors de la première consultation (suppression définitive). Si un secret n'est pas consulté, nous le supprimons au plus tard à l'expiration de la durée de validité que vous avez choisie (7 jours au maximum, 30 jours au maximum dans les formules Pro et Business). Les métadonnées de statut (aucun texte chiffré, uniquement les dates de création, d'expiration et, le cas échéant, de consultation) sont conservées jusqu'à 24 heures après l'expiration afin que le sort d'un secret reste vérifiable ; ces métadonnées sont ensuite également supprimées.

Base légale

La base légale du traitement est l'art. 6, par. 1, point f) du RGPD. Notre intérêt légitime réside dans la mise à disposition de l'échange de secrets sous une forme zero-knowledge respectueuse de la vie privée.

Répartition des rôles

En cas d'utilisation sans compte utilisateur, nous sommes responsables du traitement décrit.

Si vous utilisez le service avec un compte utilisateur pour une entreprise ou une organisation et avez conclu le contrat de sous-traitance, nous traitons les données des opérations (texte chiffré, métadonnées, notes, journal d'activité et rattachement au compte) en qualité de sous-traitant pour le compte du titulaire du compte. Nous restons responsables du traitement pour les données de compte, les journaux d'accès au serveur et la facturation. Accéder au contrat de sous-traitance

Si vous concluez le contrat de sous-traitance dans votre compte utilisateur, nous enregistrons, à titre de preuve de la conclusion du contrat, le compte, le nom de l'entreprise ou de l'organisation indiqué, la version conclue et la date. La base juridique est l'article 6, paragraphe 1, point b), du RGPD. Ces informations sont supprimées avec le compte utilisateur.

Droits des personnes concernées dans ce contexte

Nous ne rattachons délibérément à aucune personne les opérations créées sans compte utilisateur, et le texte chiffré conservé ne présente pour nous aucun caractère personnel identifiable. Les droits d'accès, de rectification et d'effacement ne sont donc pratiquement pas exerçables pour ces opérations, puisque nous ne pouvons pas les attribuer à un utilisateur donné. Vous pouvez à tout moment supprimer irréversiblement un secret en le consultant vous-même via le lien de réception (suppression définitive à la première lecture).

Compte utilisateur, inscription et contrats

Lorsque vous créez un compte utilisateur, nous traitons votre adresse e-mail, vos données de connexion, la date de l'inscription ainsi que le statut du compte, la formule souscrite et vos paramètres de compte. Si vous créez une organisation et invitez des membres, nous créons immédiatement un compte utilisateur pour chaque adresse e-mail invitée et enregistrons l'adhésion et le rôle dans l'organisation.

Lors de la conclusion des conditions générales ou du contrat de sous-traitance, nous enregistrons la partie contractante, la version conclue, la version linguistique, la date et les déclarations faites avec leur libellé, et nous envoyons le texte intégral du contrat à l'adresse e-mail du compte. Pour les comptes qui existaient avant l'introduction de la conclusion dans le compte, nous avons inscrit la version des conditions générales alors en vigueur et enregistré l'origine de cette inscription.

Pour les opérations de votre compte, nous tenons un journal d'activité avec le type d'événement, la date, l'identifiant du compte et l'identifiant de l'opération, sans contenus et sans jetons d'accès ; nous supprimons les entrées au bout de 90 jours. Vous pouvez à tout moment exporter vos notes, modèles de demande et données d'organisation depuis votre compte sous forme de fichier JSON.

Pour protéger certaines fonctions du compte contre les abus, par exemple la demande de places supplémentaires et la suppression du compte, nous traitons une empreinte de votre adresse IP dérivée avec une clé secrète (HMAC-SHA-256), conservée en cache pendant 60 minutes au maximum.

Si vous supprimez votre compte utilisateur, nous supprimons immédiatement le rattachement de vos opérations au compte, vos notes, modèles de demande, clés d'API, conclusions de contrats, votre organisation avec ses adhésions, le journal d'activité, l'attribution des rôles et les paramètres du compte ; le compte lui-même est anonymisé. Les comptes utilisateurs créés lors d'une invitation de membres de votre organisation subsistent en tant que comptes propres de ces personnes, même s'ils n'ont jamais été activés. Les contenus non encore consultés subsistent sous forme de texte chiffré illisible pour nous jusqu'à leur expiration, et les entrées du journal des e-mails jusqu'à la fin de leur délai de 90 jours. Votre fiche client auprès du prestataire de services de paiement et les factures sont conservées pendant la durée des obligations légales de conservation.

Le traitement repose sur l'art. 6, par. 1, point b) du RGPD dans la mesure où il est nécessaire au contrat d'utilisation, et sur l'art. 6, par. 1, point f) du RGPD pour la preuve des contrats conclus et la prévention des abus.

Envoi d'e-mails

Pour l'envoi d'e-mails (par ex. confirmations, notifications), nous utilisons nos propres serveurs de messagerie.

Nous consignons chaque e-mail envoyé avec l'adresse du destinataire, l'objet, la date, le statut d'envoi et le contenu textuel, afin de pouvoir retracer les problèmes de distribution et prouver l'envoi. Nous supprimons ces entrées au bout de 90 jours.

Le traitement repose sur l'art. 6, par. 1, point f) du RGPD. Nous avons un intérêt légitime à un envoi d'e-mails fiable.

Données clients et de facturation

Pour la préparation, l'exécution et la facturation des contrats, nous traitons les données de base de nos clientes et clients ainsi que des personnes de contact qu'ils désignent.

Catégories de données traitées

• raison sociale ainsi que nom et prénom des personnes de contact
• adresse et adresse de facturation
• adresse électronique et numéro de téléphone
• numéro d'identification à la TVA et numéro fiscal
• données d'offre, de contrat et de prestation
• données de facturation, de paiement et bancaires

Finalités du traitement

Nous traitons ces données afin d'établir des offres, de conclure et d'exécuter des contrats, de facturer les prestations et de gérer les paiements. Elles servent en outre à satisfaire à nos obligations en matière commerciale et fiscale, notamment à une comptabilité et à une facturation régulières.

Bases légales

Le traitement aux fins de la préparation et de l'exécution du contrat repose sur l'art. 6 par. 1 point b du RGPD.

La conservation des factures et des pièces comptables repose sur l'art. 6 par. 1 point c du RGPD, en lien avec les obligations de conservation commerciales et fiscales auxquelles nous sommes soumis.

Durée de conservation

Nous conservons les factures, les pièces comptables et les données de base associées pendant la durée des délais légaux de conservation commerciaux et fiscaux. Une suppression avant l'expiration de ces délais ne nous est pas possible.

Le délai de conservation qui nous est applicable est de 10 ans au maximum, à compter de la fin de l'exercice au cours duquel la pièce concernée a été établie.

Les données qui ne sont soumises à aucune obligation de conservation sont supprimées dès que la finalité de leur traitement disparaît et qu'aucune créance ou prétention n'est plus en suspens.

Destinataires

Une transmission à des tiers n'a lieu que dans la mesure où elle est nécessaire à l'exécution du contrat ou lorsque la loi nous y oblige.

Traitement des paiements

Nous facturons les formules payantes par l'intermédiaire du prestataire de paiement Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande.

Sont alors traités le nom, l'adresse e-mail, l'adresse de facturation, le cas échéant le numéro d'identification à la TVA, les données de paiement telles que les données de carte ou les coordonnées bancaires ainsi que les informations relatives à la formule, à la durée et au statut de paiement. Vous saisissez les données de carte et les coordonnées bancaires sur la page de paiement du prestataire ; elles ne parviennent pas sur nos serveurs.

Stripe Payments Europe, Ltd. traite ces données pour le traitement des paiements, la prévention de la fraude et le respect de ses propres obligations légales en qualité de responsable du traitement à titre propre. Nous recevons les informations nécessaires à l'exécution du contrat, telles que le statut de paiement et les factures.

La base juridique est l'article 6, paragraphe 1, point b), du RGPD (exécution du contrat) ainsi que l'article 6, paragraphe 1, point c), du RGPD pour les obligations légales de conservation.

Le prestataire de paiement peut également traiter des données aux États-Unis. Le transfert repose sur la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis, dans le cadre duquel sa société mère américaine est certifiée, et, à titre subsidiaire, sur les clauses contractuelles types de la Commission européenne.

Informations sur la protection des données du prestataire de paiement : https://stripe.com/privacy

Traitement dans le cadre de la prospection commerciale directe par courrier électronique

Nous contactons des entreprises et des organisations par courrier électronique dans le cadre de la prospection commerciale directe et traitons à cette fin des coordonnées professionnelles issues de sources accessibles au public. Nous tenons en outre une liste d'opposition dans laquelle nous consignons les oppositions à cette prospection, afin de les respecter durablement et sur l'ensemble des canaux.

Catégories de données traitées

Nous traitons à cette fin les données suivantes :

• L'adresse électronique du contact professionnel.
• Le domaine de l'adresse électronique, afin qu'une opposition puisse, sur demande, valoir pour l'ensemble de l'organisation.
• La source de l'inscription, c'est-à-dire si l'opposition nous est parvenue via le lien de désinscription, par réponse par courrier électronique ou par saisie manuelle.
• Les horodatages de l'enregistrement et de la dernière modification de l'inscription.

Finalité

La finalité du traitement au sein de la liste d'opposition est exclusivement le respect de votre opposition au titre de l'art. 21, par. 3, du RGPD, c'est-à-dire garantir que vous ne receviez plus de prospection directe de notre part. Les données figurant dans la liste d'opposition ne sont utilisées à aucune autre fin, en particulier ni à des fins publicitaires, ni de profilage, ni d'analyse.

Base juridique

La base juridique de la tenue de la liste d'opposition est l'art. 6, par. 1, point c, du RGPD, combiné à l'art. 21, par. 3, du RGPD, à savoir notre obligation légale de respecter l'opposition. La base juridique de la prospection directe elle-même est l'art. 6, par. 1, point f, du RGPD ; notre intérêt légitime réside dans la prospection directe auprès de contacts professionnels.

Durée de conservation

Les inscriptions figurant dans la liste d'opposition sont conservées pour une durée indéterminée et exclusivement afin de ne plus jamais contacter l'adresse ou le domaine concerné. La suppression d'une inscription annulerait l'effet de l'opposition et rendrait possible une nouvelle prise de contact ; la conservation pour une durée indéterminée constitue donc, pour vous, la mesure la moins intrusive par rapport à l'effacement.

Opposition et droits des personnes concernées

Vous pouvez à tout moment vous opposer au traitement de votre adresse à des fins de prospection directe, sans formalité par courrier électronique à l'adresse indiquée dans les mentions légales ou via le lien de désinscription figurant dans chaque message que nous envoyons. Après votre opposition, nous ne traitons plus votre adresse qu'au sein de la liste d'opposition. Sur demande expresse, nous supprimons également l'inscription correspondante ; dans ce cas, nous ne pouvons plus exclure techniquement une nouvelle prise de contact.

Vos droits

Droit d'accès

Vous avez le droit d'obtenir à tout moment et gratuitement des informations sur les données à caractère personnel vous concernant qui sont conservées, sur leur origine et leurs destinataires ainsi que sur la finalité du traitement (art. 15 du RGPD).

Droit de rectification

Vous avez le droit de demander la rectification de données à caractère personnel inexactes (art. 16 du RGPD).

Droit à la limitation du traitement

Vous avez le droit, dans certaines circonstances, de demander la limitation du traitement de vos données à caractère personnel (art. 18 du RGPD).

Droit à l'effacement

Vous avez le droit de demander l'effacement de vos données à caractère personnel, sauf si des obligations légales de conservation s'y opposent (art. 17 du RGPD).

Droit à la portabilité des données

Vous avez le droit de recevoir les données à caractère personnel vous concernant dans un format structuré, couramment utilisé et lisible par machine (art. 20 du RGPD).

Droit d'opposition

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement de vos données à caractère personnel fondé sur l'art. 6, par. 1, point e) ou f) du RGPD. Vous pouvez en outre vous opposer à tout moment et sans motif au traitement de vos données à des fins de prospection commerciale (art. 21 du RGPD).

Droit de réclamation auprès de l'autorité de contrôle

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle en matière de protection des données concernant le traitement de vos données à caractère personnel (art. 77 du RGPD).

Dans notre cas (établissement en République de Chypre), l'autorité de contrôle compétente est :
Office of the Commissioner for Personal Data Protection
Iasonos 1, 1082 Nicosia, Cyprus
www.dataprotection.gov.cy

Décision individuelle automatisée

Aucune décision individuelle automatisée, y compris le profilage au sens de l'art. 22 du RGPD, n'a lieu sur ce site web.