Politique de confidentialité

Cette politique décrit les données personnelles traitées par le site deveye.fr et par le service hébergé DevEye (app.deveye.fr), en application du règlement (UE) 2016/679 (RGPD) et de la loi Informatique et Libertés. Le principe est simple : le service ne collecte que ce qu’il lui faut pour fonctionner, ne vend rien à personne, et ne vous suit pas.

1. Qui est responsable

Le responsable du traitement est l’éditeur du service :

Nom

Gérémy Lecaplain

Statut

Entrepreneur individuel

SIRET

928 133 628 00018

Adresse

47 rue Vivienne, 75002 Paris

Téléphone

+33 7 66 59 11 52

E-mail

contact@deveye.fr

TVA

TVA non applicable, art. 293 B du CGI

Pour toute question ou demande relative à vos données, une seule adresse : contact@deveye.fr.

2. Les données traitées, et pourquoi

Le site vitrine mesure sa fréquentation sans cookie ni identifiant (section 9), et reçoit ce que vous lui écrivez par sa fenêtre « Écris-moi » : le sujet, votre nom, votre adresse e-mail et votre message, conservés pour vous répondre (intérêt légitime : l’assistance). Le service, lui, traite :

Vos contenus sont chiffrés au repos. Si vous activez le chiffrement par mot de passe, ils sont chiffrés avec une clé que seul votre mot de passe permet de retrouver : le service ne peut alors plus les lire, même à votre demande. Le service ne lit pas vos contenus hors d’un besoin technique ou d’une demande de votre part, et ne s’en sert pour aucun profilage ni aucune publicité.

3. Les données de vos propres visiteurs et clients

Certaines fonctionnalités traitent, pour votre compte, des données de personnes qui n’ont pas de compte DevEye : les visiteurs qui réservent un rendez-vous sur votre page (nom, adresse e-mail, téléphone si vous le demandez, réponses à vos questions), les visiteurs de vos sites mesurés par Audience (des mesures sans cookie, anonymes par défaut) et ce qu’ils écrivent dans vos formulaires, les personnes que vous recherchez dans OSINT, les destinataires de vos devis et factures et la personne qui les accepte en ligne (son nom), les correspondants des boîtes mail que vous reliez, les personnes dont parlent les fichiers que vous hébergez. Qui télécharge vos fichiers n’est pas suivi : Hébergement compte les téléchargements, sans rien garder de la personne.

Un lien court compte ses visiteurs sans les reconnaître, et sans cookie. Leur adresse IP n’est pas conservée : le service en tire, avec le navigateur et un sel qui change chaque jour, une empreinte gardée le seul jour de la visite, pour compter chaque personne une fois ; il en déduit aussi le pays, sur son propre serveur, par la base de DB-IP (rien n’est envoyé à DB-IP), puis oublie l’adresse. Du site d’où vient le visiteur, il ne retient que le nom (exemple.fr, jamais la page), et de son navigateur que son nom, son système, le type d’appareil et la langue. Il en tire des totaux par jour, gardés tant que le lien existe, et des répartitions (pays, sites d’origine, appareils, navigateurs, systèmes, langues), gardées treize mois.

Pour ces données, vous êtes le responsable du traitement et DevEye votre sous-traitant, aux conditions de l’annexe des conditions d’utilisation. C’est vous qui fixez la durée de conservation d’un rendez-vous et des réponses à vos formulaires, qui décidez d’activer une mesure d’audience persistante (elle demande alors le consentement de vos visiteurs), et qui informez vos visiteurs et clients. Les pages publiques que le service sert pour vous renvoient vers la présente politique, pour ce qui concerne le rôle de DevEye.

4. Qui reçoit vos données

Personne d’autre que l’éditeur n’a accès à vos données, à l’exception des prestataires qu’il lui faut pour vous servir :

• Hostinger International Ltd (61 Lordou Vironos Street, 6023 Larnaca, Chypre) héberge les serveurs et les sauvegardes, et achemine les e-mails que le service vous envoie (validation d’inscription, confirmations d’abonnement, de résiliation et de suppression du compte, avis).
• Stripe Payments Europe, Ltd. (Dublin, Irlande) encaisse les abonnements : il reçoit votre nom, votre adresse e-mail et les données de votre moyen de paiement, que DevEye ne voit jamais. Sa politique de confidentialité est sur stripe.com.

D’autres services n’interviennent que si vous activez la fonctionnalité qui les appelle, et ne reçoivent que ce qu’elle leur envoie :

• Google et Microsoft, quand vous reliez une boîte mail chez eux (Mails).
• Discord, quand vous y branchez des avis (Notifications).
• OVHcloud (Roubaix, France), quand vous activez le code par SMS à la connexion (Sécurité) : il reçoit votre numéro de téléphone et le code à vous envoyer.
• GitHub, quand vous reliez des dépôts ou des déploiements (Git, Déploiements, Audit de code).
• Open-Meteo et OpenWeatherMap (Météo, la position que vous saisissez), Frankfurter (taux de change du Convertisseur), les bases publiques NVD, OSV, npm et PyPI (CVE, Audit de code), les registres et annuaires publics interrogés par OSINT (Pappers, crt.sh, RDAP et sources semblables, avec ce que vous recherchez).
• ipify, icanhazip et ipwho.is, depuis votre navigateur, si vous ajoutez le widget d’adresse IP publique à votre barre.
• Le service d’icônes de Google, depuis votre navigateur, pour l’icône des raccourcis que vous posez sur votre accueil (il reçoit le domaine du raccourci).
• Le stockage compatible S3 que vous configurez vous-même comme destination de sauvegarde.

L’éditeur peut aussi être tenu de communiquer des données à une autorité qui le lui demande légalement ; il vous en informe, sauf interdiction.

5. Transferts hors de l’Union européenne

Les serveurs et les sauvegardes sont dans l’Union européenne. Stripe, Google, Microsoft, Discord et GitHub peuvent traiter des données aux États-Unis, dans le cadre du Data Privacy Framework ou des clauses contractuelles types de la Commission européenne, selon leurs engagements respectifs ; les autres services cités ne reçoivent que des données techniques (une position, une adresse IP, un nom de domaine).

6. Durées de conservation

• Compte et contenus : tant que le compte existe, puis supprimés immédiatement avec lui, y compris des sauvegardes au renouvellement suivant de celles-ci (au plus trente jours).
• Inscription non terminée : deux heures, puis purgée.
• Journaux de connexion et d’accès : douze mois au plus.
• Envois de fichiers (Hébergement) : un an après l’envoi, même si le fichier ou le compte a été supprimé entre-temps.
• Factures et données comptables : dix ans à compter de la clôture de l’exercice, chez Stripe et dans la comptabilité de l’éditeur, comme la loi l’impose.
• Données de vos visiteurs (rendez-vous, audience, réponses à vos formulaires) : la durée que vous réglez dans le service, trois ans au plus pour les réponses aux formulaires, et au plus tard la suppression de votre compte.
• Visites des liens courts : l’empreinte d’un visiteur, le jour de sa visite ; les totaux par jour, tant que le lien existe ; les répartitions, treize mois au plus. Supprimer le lien ou votre compte efface ses chiffres.
• Recherches OSINT : quatre-vingt-dix jours, puis effacées d’elles-mêmes.
• Échanges (e-mail, fenêtre « Écris-moi » du site, retours envoyés depuis le service) : trois ans après le dernier contact.
• Signalements de contenus : jusqu’à leur traitement, puis un an après la décision. Ils ne sont pas transmis à l’utilisateur dont le contenu est signalé.

7. Sécurité

Connexions chiffrées, données chiffrées au repos, mots de passe hachés, authentification à deux facteurs proposée, sauvegardes, journal des accès administratifs, mise à jour régulière des composants. Le modèle de sécurité complet est publié avec le code source du logiciel. Aucun système n’est infaillible : en cas de violation de données vous concernant, vous en êtes informé comme la loi le prévoit.

8. Vos droits

Vous pouvez accéder à vos données, les rectifier, les effacer, en demander la limitation ou la portabilité, et vous opposer à un traitement fondé sur l’intérêt légitime. Concrètement :

• votre profil dans le service vous laisse modifier pseudo, e-mail, mot de passe, avatar et réglages ;
• « Supprimer mon compte », dans votre profil, efface le compte et tout ce qu’il contient, sans passer par nous ;
• pour une copie de vos données, une rectification que le service ne permet pas, ou toute autre demande, écrivez à contact@deveye.fr depuis l’adresse de votre compte : réponse sous un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l’informatique et des libertés (cnil.fr).

9. Cookies et stockage local

Le site ne dépose aucun cookie et n’écrit rien dans votre navigateur. Sa mesure d’audience est faite par DevEye lui-même (Audience) : votre adresse IP et votre navigateur sont condensés avec un sel qui change chaque jour, jamais conservés, et un même visiteur n’est pas reconnu d’un jour à l’autre. Le service n’utilise que des cookies strictement nécessaires à la connexion (votre session), qui n’exigent pas de consentement, et garde dans le stockage local de votre navigateur des préférences d’affichage (disposition de l’accueil, fond d’écran, mode de rendu) qui ne quittent jamais votre appareil. Une page de fichiers protégée par un mot de passe dépose chez son visiteur un cookie, lui aussi strictement nécessaire, qui garde la page ouverte une journée après le mot de passe saisi. Aucun traceur, aucune mesure d’audience tierce, aucune publicité : c’est pourquoi il n’y a pas de bandeau.

10. Mineurs

Le service est réservé aux personnes majeures. Si vous pensez qu’un mineur a créé un compte, écrivez-nous : le compte sera supprimé, avec ses données.

11. Modifications

Cette politique peut évoluer avec le service. Une modification substantielle vous est annoncée par e-mail et dans le service au moins trente jours avant de s’appliquer. La date de la version en vigueur est en tête de cette page.