Ce qu’on fait de vos données.

Vos données, comme celles des visiteurs de vos sites, ne sont ni vendues, ni louées, ni échangées, ni communiquées à un courtier en données, à une régie publicitaire ou à quelque tiers que ce soit à des fins commerciales. Nous ne recevons aucune contrepartie, financière ou non, en échange d’un accès à ces données.

Les seuls tiers qui interviennent sont les sous-traitants techniques strictement nécessaires au service, nommés à la section « Destinataires ». Aucun d’eux n’est autorisé à exploiter ces données pour son propre compte.

Nous n’exploitons vos contenus à aucune fin qui nous soit propre. Ils ne sont ni lus, ni analysés, ni recoupés d’un client à l’autre, ni utilisés pour entraîner un modèle statistique ou d’intelligence artificielle, ni cédés à qui que ce soit pour un tel entraînement.

Nos équipes n’accèdent au contenu d’un site qu’à votre demande, pour vous dépanner, ou dans la stricte mesure qu’exige une opération technique — une restauration, une migration, la réponse à un incident. La plateforme ne pratique aucune surveillance systématique des contenus publiés : l’article 8 du règlement européen sur les services numériques interdit qu’une telle obligation générale nous soit imposée, et nous ne nous l’imposons pas davantage.

Aucun cookie publicitaire, aucun pixel de mesure tiers, aucune régie, aucun bouton de réseau social. Le site que vous lisez ne dépose aucun cookie. Les polices de caractères, les scripts et les images sont servis par la plateforme elle-même et jamais par un tiers : aucune requête sortante n’est déclenchée par une page que nous engendrons, et la politique de sécurité de contenu servie avec ces pages l’interdit techniquement.

Nous ne construisons aucun profil publicitaire, ni de vous, ni des visiteurs de vos sites, et ne procédons à aucune décision automatisée produisant des effets juridiques à votre égard.

Le trafic qui traverse une passerelle n’est ni lu, ni enregistré, ni analysé : ni les adresses demandées, ni les en-têtes, ni le corps des requêtes, ni les réponses de votre serveur. Nous ne sommes pas en mesure de reconstituer ce qui y transite, et ne le cherchons pas.

Le seul journal propre à une passerelle contient, par requête, un horodatage et deux nombres d’octets — ce qui a été reçu du visiteur et ce qui lui a été renvoyé. Il ne comporte ni adresse IP, ni adresse demandée, ni identifiant. Il ne sert qu’à tracer la courbe de débit des cinq dernières minutes affichée sur l’écran « Statut », et il est vidé à mesure : rien n’en est archivé, et quitter l’écran efface la courbe.

Pour les données qui concernent la relation entre vous et nous — votre compte, votre facturation, la sécurité et l’exploitation du service —, Simon Renard est responsable du traitement au sens de l’article 4-7 du règlement général sur la protection des données. C’est à nous que vous adressez alors vos demandes.

Pour les données que vos propres sites, formulaires et passerelles collectent auprès de leurs visiteurs, vous êtes le responsable du traitement et nous n’intervenons qu’en qualité de sous-traitant, au sens de l’article 28 du règlement. Vous déterminez les finalités, les champs de vos formulaires, les mentions affichées à vos visiteurs et la durée pendant laquelle vous conservez ce que vous recevez.

À ce titre, nous nous engageons à ne traiter ces données que sur vos instructions documentées, à en garantir la confidentialité par les personnes autorisées à les traiter, à mettre en œuvre les mesures de sécurité décrites plus bas, à vous assister dans la réponse aux demandes d’exercice de droits et à la notification des violations, à ne recourir qu’aux sous-traitants ultérieurs nommés à la section « Destinataires » — en vous informant de tout changement envisagé, que vous pouvez contester —, et à effacer l’ensemble de ces données à la fin de la prestation, sauf obligation légale de conservation.

Un visiteur qui souhaite exercer ses droits sur les données collectées par un site hébergé ici doit donc s’adresser à l’éditeur de ce site, dont les mentions légales portent les coordonnées. Une demande qui nous parviendrait directement lui serait transmise sans être traitée par nous.

Vis-à-vis des contenus que vous publiez, la plateforme est un service d’hébergement au sens de l’article 6 du règlement européen sur les services numériques et de l’article 6-I-2 de la loi pour la confiance dans l’économie numérique. Elle ne choisit ni ne modifie ces contenus, et sa responsabilité n’est engagée qu’à défaut d’avoir agi promptement pour retirer un contenu manifestement illicite qui lui a été signalé dans les formes. La procédure de signalement figure dans nos mentions légales.

Votre adresse email, qui sert d’identifiant et d’adresse de notification. Votre mot de passe n’est jamais conservé : seule en est gardée une empreinte salée, calculée par PBKDF2-HMAC-SHA256 à six cent mille itérations, dont le mot de passe ne peut pas être déduit.

Si vous activez la double authentification, le secret de votre application d’authentification est conservé chiffré, et vos codes de secours ne le sont que sous forme d’empreintes à usage unique. Le second facteur par email n’enregistre qu’une empreinte du code envoyé, valable quelques minutes.

Une session ouverte est représentée en base par une empreinte de son jeton — jamais le jeton lui-même — et par la chaîne d’identification de votre navigateur, qui n’a d’autre usage que de vous permettre de reconnaître vos sessions dans « Mon compte » avant d’en fermer une. Une session expire au bout de trente jours, et se révoque à tout moment.

Les clés d’application, les clés de déploiement et les clés de tunnel ne sont conservées que sous forme d’empreintes SHA-256 : elles ne peuvent pas être relues, seulement révoquées et remplacées.

Les actions qui engagent une organisation — création et suppression d’un site, publication, attribution d’un accès, changement de mot de passe, régénération d’une clé… — sont journalisées avec leur auteur, leur cible, leur horodatage et l’adresse IP depuis laquelle elles ont été demandées. Ce journal est consultable par les administrateurs de l’organisation ; il existe pour que l’on puisse savoir qui a fait quoi après un incident ou un départ.

Il est effacé automatiquement au bout de douze mois. Aucune ligne n’y est écrite pour une action qui a échoué.

Les échecs de connexion sont comptés par adresse IP et par compte pour freiner les attaques par force brute. Ces compteurs vivent en mémoire vive, sur des fenêtres de quinze minutes et d’une heure, et ne sont écrits dans aucune base : ils disparaissent d’eux-mêmes, et au plus tard au redémarrage du service.

Le document d’un site composé dans l’éditeur, les images et fichiers que vous déposez, et l’arborescence complète d’un site « mes propres fichiers » sont conservés pour la seule exécution du service : les servir en ligne, vous permettre de les modifier, et les restaurer si vous le demandez. Ils peuvent contenir des données personnelles que vous y placez vous-même — une photographie, un nom, une adresse : vous en êtes alors le responsable de traitement.

Chaque publication archive la version précédente ; les vingt dernières restent disponibles à la restauration, les plus anciennes sont effacées à mesure. Une image qu’aucune version conservée ne cite est supprimée automatiquement, au plus tôt vingt-quatre heures après son dépôt.

La suppression d’un site est différée de vingt-quatre heures, délai pendant lequel elle se révoque ; passé ce délai, le site, ses fichiers, ses versions, ses statistiques et ses messages reçus sont effacés définitivement, et son vhost et son certificat retirés de l’edge.

La suppression de votre compte efface vos sessions, vos codes de secours, vos sites et les messages qu’ils avaient reçus. Elle est refusée tant que vous restez propriétaire d’une organisation qui porte encore des sites : il faut d’abord la céder ou la supprimer, pour qu’aucun contenu ne se retrouve sans titulaire.

Les sauvegardes chiffrées conservées à des fins de reprise après sinistre peuvent contenir des données déjà effacées de la base, pendant quatorze jours au plus, au terme desquels elles disparaissent par rotation. Elles ne sont restaurées qu’en cas de sinistre, jamais pour retrouver une donnée effacée à votre demande.

Quand la mesure d’audience est active sur un site, chaque page vue enregistre : le chemin de la page, l’hôte du site d’où vient le lien suivi — jamais l’adresse complète, qui pourrait porter une requête de recherche ou un jeton —, le pays et la région, le navigateur, le système d’exploitation et le type d’appareil, déduit de la largeur de l’écran.

Les robots identifiables sont écartés du comptage. Aucune de ces informations n’est reliée aux autres d’une visite à l’autre, et aucune ne permet, seule ou combinée, d’identifier une personne.

Aucun cookie n’est déposé, aucune donnée n’est écrite ni lue dans le navigateur du visiteur. Aucune adresse IP n’est conservée : elle sert, le temps de la requête, à calculer une empreinte et à situer le pays, puis elle est perdue. L’empreinte est salée par une clé secrète de la plateforme, propre au site, et change à chaque changement de date : elle permet de distinguer deux visites d’une même journée, et rien de plus. Suivre quelqu’un d’un jour sur l’autre, ou d’un site à l’autre, est impossible — y compris pour nous, y compris avec une copie de la base.

Parce qu’aucune opération d’écriture ou de lecture n’a lieu sur l’équipement du visiteur, cette mesure n’entre pas dans le champ de l’article 82 de la loi Informatique et Libertés : elle n’appelle ni consentement, ni bandeau.

Les vues de page sont conservées tant que le site existe — les tableaux de bord remontent jusqu’à quatre-vingt-dix jours, et les périodes plus longues restent calculables. Elles sont effacées avec le site. La mesure se désactive à tout moment depuis l’écran « Gestion » ; elle est éteinte par défaut sur un site « mes propres fichiers ».

Les champs remplis par le visiteur, tels que vous les avez définis, avec la date de réception et l’adresse IP de l’expéditeur. Cette adresse n’a qu’un usage : plafonner le nombre d’envois par adresse sur une fenêtre courte, sans quoi le formulaire deviendrait un relais à courrier indésirable. Elle n’est ni exploitée, ni recoupée, ni transmise.

Ces messages sont conservés jusqu’à ce que vous les supprimiez — la suppression est immédiate et sans corbeille — et au plus tard jusqu’à la suppression du site. Il vous appartient, en tant que responsable de traitement, de ne pas les garder au-delà de ce que justifie la demande de votre visiteur, et de l’en informer dans les mentions de votre site.

Si vous configurez une notification par email, le message est expédié par le serveur SMTP que vous désignez, avec vos identifiants — conservés chiffrés, jamais en clair. Si vous configurez un webhook, le contenu de l’envoi est reposté en HTTPS à l’adresse que vous indiquez, avec au besoin une signature que votre serveur vérifie. Dans les deux cas, le destinataire est choisi par vous : la plateforme n’envoie rien à une adresse que vous n’avez pas désignée.

Comme tout serveur web, celui qui sert les sites publiés et la console tient un journal d’accès : date, adresse IP, requête, code de réponse, taille, chaîne d’identification du navigateur et référent. Ces journaux servent exclusivement à l’exploitation, au diagnostic des incidents et à la sécurité — repérer une attaque, comprendre une panne. Ils ne sont ni exploités à des fins commerciales, ni recoupés avec les statistiques d’audience, ni communiqués à un tiers, sauf réquisition judiciaire.

Ils tournent automatiquement et sont bornés en taille : les plus anciens disparaissent à mesure que les nouveaux arrivent, sans archivage. Le trafic proxifié par une passerelle en est exclu : il n’écrit que le journal de compteurs décrit plus haut.

La base de données et les fichiers déposés sont sauvegardés quotidiennement. La base est chiffrée avant d’être écrite, avec une clé dont la partie privée est conservée hors des serveurs de production. Les sauvegardes sont conservées quatorze jours puis détruites, et ne servent qu’à la reprise après sinistre.

Aucun. Ce site de présentation ne dépose aucun cookie et n’effectue aucune mesure d’audience ; c’est pourquoi il ne vous demande rien.

Un cookie de session, nommé « sitricloud_session », déposé à la connexion. Il est strictement nécessaire à l’authentification : sans lui, la console ne peut pas savoir que vous êtes connecté. Il est inaccessible au JavaScript, transmis uniquement en HTTPS, limité au premier niveau de navigation, et expire au bout de trente jours ou à la déconnexion. Étant strictement nécessaire au service que vous demandez, il est dispensé de consentement.

La plateforme n’en dépose aucun, pas même pour la mesure d’audience. Si vous ajoutez vous-même un service tiers dans un bloc de code libre — une vidéo, une carte, un outil de suivi —, les cookies qu’il dépose relèvent de votre responsabilité, y compris le recueil du consentement.

Article 6-1-b du règlement : la fourniture du service — tenue de votre compte, hébergement et publication de vos sites, obtention et renouvellement des certificats, exposition des passerelles, conservation des messages reçus, assistance.

Article 6-1-f : la sécurité du service et la prévention des abus — freins aux tentatives de connexion, plafonnement des envois de formulaire, journaux techniques, journal d’audit —, ainsi que la mesure d’audience agrégée que vous activez pour vos sites, dont l’absence d’identifiant persistant limite l’incidence sur les visiteurs à ce qu’ils peuvent raisonnablement attendre.

Article 6-1-c : la conservation des pièces comptables et des factures pendant la durée exigée par le code de commerce, et la réponse aux réquisitions régulières des autorités judiciaires.

Aucun traitement n’est fondé sur le consentement, pour la raison simple qu’aucun traitement facultatif n’est effectué : il n’y a ni prospection sans demande, ni publicité, ni mesure d’audience sur ce site.

Infomaniak Network SA (Rue Eugène-Marziano 25, 1227 Les Acacias, Genève, Suisse) : fournisseur de l’infrastructure sur laquelle la plateforme exploite ses machines, ainsi que du service de gestion des zones DNS de la plateforme. Il ne dispose d’aucun droit d’usage sur les données qu’elles contiennent.

Internet Security Research Group (Let’s Encrypt) : autorité de certification qui délivre les certificats HTTPS. Elle reçoit les noms de domaine à certifier et l’adresse email du compte technique de la plateforme — aucune donnée de visiteur, aucun contenu.

Le cas échéant, le fournisseur de stockage objet chez lequel les sauvegardes chiffrées sont recopiées hors du serveur de production, qui n’en détient pas la clé de déchiffrement.

Aucun autre. Ni analytique tierce, ni réseau de diffusion de contenu, ni fournisseur de polices, ni outil de suivi de session, ni régie.

Le serveur SMTP par lequel partent vos notifications, l’adresse de votre webhook, et les personnes ou applications auxquelles vous attribuez un accès à vos organisations, projets, sites ou passerelles. Vous les choisissez, vous les retirez.

Sur réquisition judiciaire régulière, et dans les limites de ce que la loi impose de conserver et de communiquer. Une telle demande ne peut porter que sur ce qui existe : ni les adresses IP de la mesure d’audience, ni le contenu du trafic d’une passerelle ne peuvent nous être demandés, puisqu’ils ne sont conservés nulle part.

Les données sont hébergées sur des serveurs situés en Suisse, dans les centres de données d’Infomaniak Network SA. Aucune donnée n’est transférée vers les États-Unis ni vers un autre pays tiers.

La Suisse fait l’objet d’une décision d’adéquation de la Commission européenne au sens de l’article 45 du règlement général sur la protection des données : un transfert de données vers ce pays s’effectue sans formalité ni garantie supplémentaire, comme vers un État membre de l’Union.

Compte et contenus : le temps de la relation contractuelle, puis effacement à la suppression du compte.

Sessions : trente jours, ou moins si vous les révoquez. Codes de connexion par email et jetons de réinitialisation : quelques minutes à quelques heures.

Journal d’audit : douze mois, puis effacement automatique.

Versions publiées : les vingt dernières. Médias non cités : effacés automatiquement, au plus tôt vingt-quatre heures après leur dépôt.

Statistiques de fréquentation : la vie du site ; effacées avec lui.

Messages de formulaire : jusqu’à leur suppression par vous, et au plus tard à la suppression du site.

Journal de débit d’une passerelle : quelques minutes, vidé en continu.

Journaux techniques du serveur frontal : bornés en taille, rotation continue, aucun archivage.

Sauvegardes : quatorze jours.

Pièces comptables : la durée légale de conservation, dix ans à compter de la clôture de l’exercice.

Tout est servi en HTTPS, avec TLS 1.2 et 1.3 exclusivement — les versions antérieures sont refusées. Les certificats sont obtenus et renouvelés automatiquement. Les connexions vers les serveurs des clients passent par des tunnels SSH sortants, sans port entrant à ouvrir chez eux.

Les mots de passe ne sont conservés que sous forme d’empreintes salées à six cent mille itérations. Les secrets de double authentification, les identifiants SMTP et les clés privées des certificats sont chiffrés en base par une clé qui n’y figure pas. Les jetons de session, les clés d’API, de déploiement et de tunnel ne sont stockés que sous forme d’empreintes.

Les accès sont cloisonnés par organisation, projet, site et passerelle, au moyen de jeux de droits nommés qui s’additionnent sans jamais s’étendre au-delà de leur portée. La double authentification est disponible sur tous les comptes, et chaque geste sensible redemande le mot de passe. La clé posée sur le serveur d’un client n’ouvre que son tunnel : ni interpréteur de commandes, ni autre redirection.

Les services tournent dans des conteneurs durcis, sans élévation de privilèges possible. Les sauvegardes sont quotidiennes et chiffrées. Les actions sensibles sont journalisées. Les tentatives de connexion et les envois de formulaire sont plafonnés à deux niveaux, devant et derrière le serveur frontal.

Accès à vos données, rectification, effacement, limitation du traitement, opposition pour motif légitime, et portabilité dans un format structuré et lisible par machine. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

La console vous permet d’en exercer une partie sans nous écrire : votre adresse et votre mot de passe se modifient depuis « Mon compte », vos messages reçus s’exportent en CSV et se suppriment, vos sites se suppriment, et votre compte aussi.

Écrivez à contact@sitri.cloud, ou passez par le formulaire de la page « Nous écrire ». Nous répondons dans un délai d’un mois à compter de la réception, prolongeable de deux mois pour une demande complexe, auquel cas vous en êtes informé. Si un doute raisonnable subsiste sur votre identité, un justificatif peut être demandé — et lui seul.

Adressez-vous à l’éditeur de ce site : c’est lui qui décide de ce qu’il collecte et de ce qu’il en fait, et ses coordonnées figurent dans les mentions légales du site. Nous n’agissons pour ces données que sur ses instructions. Une demande qui nous parviendrait lui serait transmise.

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr —, ou auprès de l’autorité de contrôle de votre État de résidence.

Une violation de données personnelles dont nous sommes responsables serait notifiée à la CNIL dans les soixante-douze heures suivant sa découverte, et aux personnes concernées sans délai injustifié lorsqu’elle présente un risque élevé pour leurs droits et libertés.

Lorsqu’une violation affecte des données que nous traitons pour votre compte, vous en êtes informé dans les meilleurs délais avec les éléments nécessaires à votre propre notification : la nature de l’incident, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises.

Ce texte porte sa date de dernière mise à jour, au sommet de la page. Une modification substantielle — nouvelle catégorie de données, nouvelle finalité, nouveau sous-traitant — est portée à la connaissance des titulaires de compte par email avant son entrée en vigueur. Les versions antérieures peuvent être demandées à contact@sitri.cloud.