Politique de confidentialité

Le responsable du traitement est la société ORVALLE, SASU au capital de 100 €, 61 rue de Lyon, 75012 Paris, France, immatriculée au RCS de Paris sous le numéro 100 866 540.

Pour toute question relative à vos données : [email protected].

Pour fournir le service, l’application traite uniquement les données suivantes.

• Compte Nom, adresse e-mail, mot de passe (stocké sous forme hachée, jamais en clair), réglages de double authentification et langue d’interface.
• Équipes Équipes, membres, rôles et invitations en attente.
• Secrets Les secrets TOTP sont chiffrés avant d’être enregistrés et ne sont déchiffrés qu’au moment de générer un code. Ils ne sont jamais renvoyés en clair par l’API.
• Journal d’accès Pour chaque code consulté : le secret, la personne ou le canal à l’origine de la demande, la date, l’adresse IP et le navigateur. Il est visible des responsables de l’équipe.
• Facturation Formule, nombre de sièges et état de l’abonnement. Les données de carte sont saisies chez Stripe et ne transitent jamais par nos serveurs.

L’extension Share Auth affiche le code de votre équipe pour le site ouvert dans l’onglet actif, et peut le saisir dans la page. Elle ne traite que ce qui sert à cela.

Elle ne communique qu’avec un seul serveur : celui de Share Auth que vous indiquez dans ses réglages (app.shareauth.net, ou votre propre instance). Elle n’envoie aucune donnée à l’éditeur ni à un tiers, et ne contient ni publicité, ni mesure d’audience, ni code chargé à distance.

• Identifiants de connexion Votre e-mail et votre mot de passe (et un code de double authentification si votre compte en a un) sont envoyés une seule fois à ce serveur pour obtenir un jeton d’accès. Ils ne sont pas conservés par l’extension.
• Jeton d’accès Il permet seulement de lister les secrets et de générer des codes : il ne peut rien créer, modifier ni supprimer. Il est gardé en mémoire et disparaît à la fermeture du navigateur, sauf si vous choisissez de rester connecté. Vous pouvez le révoquer à tout moment depuis vos jetons d’API dans l’application.
• Adresse de l’onglet actif Lue uniquement lorsque vous cliquez sur l’extension. Seul le nom de domaine est envoyé au serveur, pour trouver le secret correspondant. L’extension n’a accès à aucun site en permanence et ne conserve aucun historique de navigation.
• Contenu des pages Lorsque vous cliquez sur « Fill in », l’extension cherche le champ du code dans la page et le remplit. Rien de la page n’est lu au-delà ni transmis.
• Réglages L’adresse du serveur et votre choix de rester connecté sont enregistrés localement, dans le navigateur.
• Usage limité Les données obtenues par l’extension servent uniquement à afficher et saisir vos codes. Elles ne sont ni vendues, ni transférées à des tiers, ni utilisées à des fins publicitaires, d’évaluation de solvabilité ou sans rapport avec cette fonction.

Lorsqu’une équipe connecte un espace de discussion, chaque commande reçue est consignée avec l’identifiant de l’utilisateur fourni par la plateforme, l’espace, le canal, le secret concerné, la date et l’adresse IP. Le texte des messages n’est pas enregistré.

Les données sont hébergées en France. Nous faisons appel aux prestataires suivants, chacun limité à son rôle.

• Hébergement o2switch et Scaleway, France.
• Réseau et protection Cloudflare, Inc., par lequel transite le trafic de l’application.
• Paiement Stripe, pour les abonnements payants.
• E-mails Resend, pour les e-mails de l’application (invitations, réinitialisation de mot de passe, confirmations de connexion).
• Formulaire de contact Formspree, pour les messages envoyés depuis la page de contact du site.

Cloudflare, Stripe, Resend et Formspree peuvent traiter tout ou partie de ces données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par le Data Privacy Framework UE–États-Unis.

• Compte et secrets Tant que le compte existe. La suppression du compte supprime les équipes dont vous êtes propriétaire, leurs secrets et leur abonnement.
• Journal d’accès Tant que l’équipe existe.
• Journal des intégrations 90 jours.
• Jetons d’API Jusqu’à leur expiration ou leur révocation, puis supprimés.
• Facturation 10 ans pour les pièces comptables, comme l’exige le Code de commerce.
• Messages de contact 3 ans à compter du dernier échange.

L’application n’utilise que les cookies nécessaires à son fonctionnement : la session de connexion et la protection contre la falsification de requêtes. Le site vitrine n’en dépose aucun. Il n’y a ni cookie publicitaire, ni outil de mesure d’audience.

Certaines pages du site proposent des tutoriels vidéo hébergés sur YouTube. Rien n’est chargé depuis YouTube avant que vous lanciez la lecture : le lecteur se charge alors depuis youtube-nocookie.com, et Google (YouTube) peut recevoir votre adresse IP, enregistrer des données sur votre appareil et les traiter aux États-Unis, selon sa propre politique de confidentialité.

Conformément au Règlement général sur la protection des données, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Ces droits s’exercent auprès de [email protected].

Une réclamation peut être adressée à la Commission nationale de l’informatique et des libertés (CNIL), autorité de contrôle compétente.