Politique de confidentialité

Un seul traitement sort de l'Union, et il ne porte pas votre dossier.

L'acheminement de nos courriels passe par Infomaniak, prestataire établi en Suisse. Ce qui lui transite est ce que contient un message : votre adresse électronique et le texte du message. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne, ce qui signifie que ce transfert ne requiert aucune garantie supplémentaire au sens du chapitre V du règlement (UE) 2016/679.

La règle.

Les données d'un dossier sont conservées pendant la période d'assistance que vous avez déclarée pour le produit concerné, majorée du délai pendant lequel la documentation technique doit rester disponible.

Pourquoi cette durée, et pas une autre.

Elle n'est pas un choix commercial, elle est une conséquence du règlement (UE) 2024/2847 lui-même.

Ce que vous gardez la main dessus.

Votre dossier est exportable à tout moment, dans un format que vous conservez chez vous. Vous pouvez demander sa suppression avant le terme : nous l'exécutons, en vous rappelant une fois ce que cela implique, et la décision reste la vôtre. Le terme, lui, se calcule à partir de ce que vous avez déclaré : si vous prolongez la période d'assistance de votre produit, la durée de conservation suit.

La fin du compte, et ce qu'elle emporte.

Un compte resté vingt-quatre mois sans connexion est supprimé, et ses dossiers partent avec lui. Vous n'avez pas à le découvrir après coup : au vingt-troisième mois, un courriel vous prévient, vous dit la date de suppression et vous rappelle qu'une simple connexion l'annule. Il n'y a pas de reconduction tacite silencieuse, et il n'y a pas de suppression silencieuse non plus : un compte qui n'a pas reçu son avertissement n'est jamais supprimé, même passé le terme. Avant la suppression, l'export complet de vos dossiers vous est proposé et reste téléchargeable trente jours.

Le point à lire avant de laisser un compte s'éteindre.

Le règlement (UE) 2024/2847 impose au fabricant de tenir sa documentation technique et sa déclaration UE de conformité à la disposition des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit, ou pendant la période d'assistance si celle-ci est plus longue (art. 13, paragraphe 13). Cette obligation est la vôtre, pas la nôtre. Nous ne nous l'approprions pas et nous ne prétendons pas la remplir à votre place : nous ne sommes pas le fabricant, et un prestataire qui disparaît ne vous dispense de rien. Ce que nous faisons, c'est vous mettre en état de la tenir, par un export complet et lisible que vous conservez chez vous. Si vous laissez votre compte s'éteindre sans avoir exporté, l'obligation, elle, reste.

Le sort des sauvegardes.

Une suppression exécutée dans la base active ne retire pas instantanément vos données des sauvegardes, qui servent à restaurer le service après un incident. Elles en disparaissent au fil de la rotation, dont voici le cycle : les sauvegardes quotidiennes sont conservées trente jours, les hebdomadaires douze semaines, les mensuelles vingt-quatre mois. Une sauvegarde annuelle est conservée au-delà, et n'est jamais purgée automatiquement. Aucune sauvegarde n'est utilisée à une autre fin que la restauration après incident.

Notre délai d'exécution.

Une demande de suppression anticipée est exécutée dans un délai d'un mois à compter de sa réception, conformément à l'article 12, paragraphe 3, du règlement (UE) 2016/679. C'est le délai du texte, et nous n'annonçons pas mieux : une structure de notre taille qui promettrait soixante-douze heures se mettrait en faute le jour d'un déplacement. Dans les faits, une suppression est le plus souvent exécutée le jour même ; c'est l'engagement qui est d'un mois, pas la pratique.

Le transport est chiffré, sans exception.

Le site n'est accessible qu'en HTTPS, et il demande au navigateur de ne plus jamais l'appeler en clair pendant un an, y compris sur ses sous-domaines. Une adresse tapée en http:// est corrigée avant même qu'une requête parte.

La base est chiffrée au repos.

Les espaces de stockage de la base et son journal de transactions sont chiffrés par le moteur, en AES, avec une clef qui ne vit pas dans la base. Quelqu'un qui repartirait avec les fichiers de données n'aurait pas les données.

Les sauvegardes, elles, ne sont pas chiffrées, et nous l'écrivons.

Ce sont des archives compressées, lisibles par qui peut les lire. Ce qui les protège est l'accès au serveur : elles vivent dans un répertoire réservé au compte d'administration de la machine, sur un serveur dont l'accès distant n'accepte aucun mot de passe. C'est une protection réelle, ce n'est pas du chiffrement, et écrire « sauvegardes chiffrées » serait plus flatteur et faux. Le chiffrement des sauvegardes est un chantier ouvert ; il sera écrit ici quand il sera fait, pas avant.

Les sauvegardes sont vérifiées, pas seulement produites.

La base est sauvegardée chaque nuit, et chaque archive est contrôlée à la production : intégrité, taille minimale, présence des tables qui portent vos données, et marque de fin d'écriture qui distingue une sauvegarde complète d'une sauvegarde interrompue. Une archive refusée est mise à part et signalée, jamais remplacée en silence. Elles sont conservées trente jours au quotidien, douze semaines à l'hebdomadaire et vingt-quatre mois au mensuel.

Et un second contrôle surveille le premier.

Un contrôle indépendant s'exécute chaque matin et échoue si la dernière sauvegarde a plus de quarante-huit heures ou si elle est illisible. Il est séparé du script de sauvegarde parce que celui-ci est muet dans le cas qui compte le plus : celui où il ne s'exécute plus du tout.

Les environnements sont séparés.

Le développement et la production ont des bases distinctes et des identités d'accès distinctes. Le développement n'a aucun moyen d'écrire dans la base de production. Cette séparation a été éprouvée : elle s'est manifestée comme une panne d'accès, et nous avons choisi de la garder plutôt que de la lever pour faire disparaître un message d'erreur.

L'accès au serveur se fait par clef, jamais par mot de passe.

L'authentification par mot de passe est refusée, la connexion directe au compte d'administration est interdite, et le service d'accès distant n'écoute pas sur son port habituel.

Les correctifs de sécurité du système s'installent automatiquement.

La liste des paquets est rafraîchie chaque jour et les mises à jour de sécurité sont appliquées sans intervention.

Votre mot de passe n'est jamais stocké.

Seule une empreinte l'est, produite par l'algorithme de hachage recommandé par la plateforme, et elle est recalculée automatiquement si cette recommandation évolue. Il en va de même des liens de connexion envoyés par courriel : la base n'en porte que l'empreinte, donc une base lue ne rend aucun lien utilisable.

Les tentatives de connexion sont limitées

, à dix par quart d'heure. Le compteur ne conserve aucune adresse réseau en clair : il travaille sur une empreinte, qui suffit à compter et ne permet pas de remonter.

Le navigateur reçoit les en-têtes qui restreignent ce que la page peut faire

: politique de sécurité du contenu, refus de l'interprétation de type, cadrage limité à notre propre domaine, politique de référent restreinte, et désactivation de la géolocalisation, du microphone et de la caméra.

Aucun secret ne vit dans le dépôt de code.

Mots de passe de base et identifiants d'envoi sont résolus à l'exécution depuis un coffre, par une identité propre à chaque instance. Le dépôt ne porte que des références, jamais des valeurs.

Le panneau d'administration est fermé en production

, et il répond comme une page inexistante. Ce n'est pas encore une authentification d'administrateur : c'est une fermeture. Nous préférons l'écrire ainsi plutôt que d'appeler « accès protégé » ce qui est un accès absent, et l'authentification viendra avec l'ouverture du back-office.

Ce qui n'est pas dans cette liste n'y est pas par omission.

Il n'y a pas de test de restauration périodique, pas de chiffrement du disque du serveur, et pas d'authentification d'administrateur. Ce sont des chantiers, et ils apparaîtront ici le jour où ils seront constatables.

Accès

(art. 15) : obtenir la confirmation que des données vous concernant sont traitées, et une copie de ces données. Rectification (art. 16) : faire corriger une donnée inexacte ou compléter une donnée incomplète. Effacement (art. 17) : obtenir la suppression de vos données, dans les cas prévus par le règlement. Ce droit ne joue pas contre une obligation légale de conservation, notamment comptable. Limitation (art. 18) : demander le gel d'un traitement pendant l'examen d'une contestation. Portabilité (art. 20) : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine, ou en demander la transmission directe à un autre responsable. Opposition (art. 21) : vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation particulière. Retrait du consentement (art. 7, paragraphe 3) : retirer à tout moment votre accord au recontact commercial, aussi facilement que vous l'avez donné. Le retrait vaut pour l'avenir et ne remet pas en cause ce qui a été fait avant.

Comment les exercer

: par écrit, à l'adresse indiquée à la section 1. Nous pouvons vous demander un élément permettant de vérifier votre identité, uniquement en cas de doute raisonnable, et cet élément est détruit après vérification.

Notre délai

: nous répondons dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois si la demande est complexe ou si les demandes sont nombreuses, auquel cas nous vous informons de la prorogation et de son motif dans le mois initial (art. 12, paragraphe 3). Nous annonçons ce délai parce qu'il nous engage.

Réclamation

: si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés, www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Comment il fonctionne.

Vos réponses sont passées dans un arbre de règles écrites à partir du règlement (UE) 2024/2847. Le même jeu de réponses donne toujours le même résultat. Aucune donnée extérieure n'est appelée, aucun historique n'est consulté, aucune comparaison avec d'autres utilisateurs n'est faite. Le calcul est déterministe, et il se déroule sur nos serveurs, à votre demande.

Pourquoi ce n'est pas une décision au sens de l'article 22.

L'article 22 du règlement (UE) 2016/679 vise les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou qui affectent la personne de manière significative de façon similaire. Trois éléments manquent ici, et ils manquent tous les trois.

Ce que vous pouvez faire dans tous les cas.

Nous contacter pour contester une qualification et obtenir qu'une personne la relise. Ce n'est pas une obligation que l'article 22 nous impose ici : c'est un engagement, et il est plus simple à tenir qu'à discuter.