Politique de confidentialité

Pour ce site et le tableau de bord : Antisy SARL, société en formation (voir les mentions légales). Contact pour la protection des données : [à compléter : adresse e-mail de contact pour la protection des données]

Pour les visiteurs des sites clients : le site client est le responsable du traitement ; Antisy agit pour son compte comme sous-traitant (LPD art. 9), voir la section 3.

Les bases légales données pour chaque traitement sont celles du règlement européen (RGPD, art. 6, par. 1), à valider par un juriste.

Pendant le lancement, ce site est une vitrine statique : il n'a ni formulaire, ni compte, ni base de données, et ne charge pas le script d'Antisy. Ce que les sections 2 et 4 décrivent du formulaire de la liste d'attente, de la base du site, du compte et de la protection des formulaires n'est pas encore en service. Ce qui l'est :

• Hébergement de la vitrine : Hostinger (HOSTINGER INTERNATIONAL LIMITED, Larnaca, Chypre, d'après ses conditions publiques, à confirmer sur le contrat), dans un centre de données aux Pays-Bas. Comme tout hébergeur, il reçoit l'adresse IP de chaque visiteur et la page demandée ; contenu et durée de ses journaux : [à compléter]. Finalité : servir le site et le protéger. Base : notre intérêt légitime à un site qui fonctionne et reste sûr (let. f).
• E-mails à support@antisy.com : la liste d'attente, la candidature au pilote et toute question passent par un e-mail, qui contient votre adresse, votre nom et ce que vous écrivez. Finalité : vous répondre et, si vous rejoignez la liste d'attente, vous écrire à l'ouverture des accès ; rien d'autre. Base : votre demande (let. b) ou, pour une simple question, notre intérêt légitime à vous répondre (let. f). La boîte support@antisy.com est chez Hostinger (pays de ses serveurs : [à compléter]) ; les e-mails reçus y sont gardés 90 jours à compter de leur réception, puis supprimés.
• Ce que le site écrit dans votre navigateur : aucun cookie. Le site ne garde dans le stockage local de votre navigateur que votre choix d'apparence (clair, sombre ou système), si vous en faites un (antisy-appearance) et, si vous le choisissez, votre refus de la mesure d'audience (antisy-no-measure), et rien n'en est transmis.
• Aucune décision automatisée : la vitrine ne prend aucune décision sur vous.
• Transfert : les Pays-Bas figurent parmi les États dont la Suisse reconnaît que la protection des données est adéquate (OPDo, annexe 1).

Pour savoir quelles pages sont lues, cette vitrine mesure son audience avec PostHog, sous-traitant d'Antisy, qui garde les données dans l’Union européenne (Allemagne). Cette mesure porte sur ce site, et non sur les sites clients. La bibliothèque de PostHog est livrée avec le site : aucun script n'est chargé depuis PostHog.

• Ce qui est envoyé : les pages vues (l'adresse de la page sans ses paramètres ni son fragment, son titre, et la page d'où vous venez, réduite à son nom de domaine quand c'est un autre site), la sortie d'une page (durée, défilement) et les clics sur les liens et les boutons (l'élément cliqué, son texte, l'adresse du lien sans ses paramètres), avec le navigateur et son identification (User-Agent), le système, le type d'appareil, la langue, le fuseau horaire et la taille de l'écran. Ni étiquette de campagne, ni identifiant de clic, ni mot-clé de recherche.
• Ce qui ne se fait pas : aucun cookie, rien dans le stockage du navigateur, aucun enregistrement de session, aucun profil de personne. PostHog reçoit l'adresse IP de chaque envoi, comme tout serveur, et rattache les envois à un identifiant pseudonyme qu'il recalcule chaque jour à partir de l'adresse IP et du navigateur. Conservation de l'adresse IP chez PostHog : [à compléter].
• Base : notre intérêt légitime à savoir quelles pages sont lues (let. f). Vous pouvez vous y opposer : un navigateur qui demande à ne pas être suivi (« Do Not Track » ou « Global Privacy Control ») n'envoie rien, et le bouton ci-dessous refuse la mesure pour ce navigateur.
• Durée de conservation chez PostHog : [à compléter].

• Liste d'attente et contact : nom, e-mail professionnel, société et message (les deux derniers facultatifs), avec la date. Finalité : vous recontacter à l'ouverture des accès. Base : votre demande (let. b). Durée de conservation : 90 jours à compter de la demande, puis la demande est effacée de la base du site (une demande dont l'avis n'est pas encore parti est gardée jusqu'à son envoi). Deux copies existent ailleurs que dans cette base, et sont dites ci-dessous. La demande garde aussi l'identifiant d'événement que notre API de vérification a donné à son envoi : c'est un identifiant pseudonyme, pas anonyme, puisque l'API conserve avec cet événement l'adresse IP et le User-Agent de l'envoi (voir la protection des formulaires plus bas). Il est effacé avec la demande et se trouve, comme elle, dans les copies de sauvegarde.
• Copies de sauvegarde : la base du site est sauvegardée chaque jour, et chaque copie est chiffrée et conservée 7 jours au plus. Une demande effacée de la base peut y rester jusqu'à 7 jours de plus, puis disparaît avec la copie. La base est une base PostgreSQL propre au site, chez l'hébergeur ; la sauvegarde que le serveur de l'hébergeur en fait lui-même a sa propre durée de conservation : [à compléter : durée de conservation de la sauvegarde du serveur de l'hébergeur, à confirmer avec lui]. Base : celle des données copiées, et notre intérêt légitime à pouvoir les restaurer (let. f).
• Boîte de réception du fondateur : chaque demande de la liste d'attente est aussi envoyée par e-mail au fondateur, avec le nom, l'adresse e-mail, la société et le message. Cet e-mail est gardé 90 jours à compter de la demande, comme la demande elle-même, puis supprimé. Base : votre demande (let. b).
• Compte client : e-mail, nom saisi à l'inscription et mot de passe, ce dernier n'étant conservé que sous forme de condensé (scrypt). Les sites créés et les métadonnées de leurs clés sont conservés ; les secrets ne sont affichés qu'une fois et ne sont pas stockés. Pour la vérification en deux étapes, obligatoire : le secret de votre application d'authentification (chiffré) et vos codes de secours (sous forme de condensés) sont conservés tant que cette application est enregistrée, et effacés quand vous en changez. Base : le contrat (let. b). Durée de conservation après clôture du compte : [à compléter : durée de conservation après clôture]
• Session : un cookie de connexion (__Host-antisy_session), inaccessible au JavaScript, valable 7 jours, nécessaire au fonctionnement du tableau de bord. Base : le contrat (let. b). Après une connexion terminée avec le code de la vérification en deux étapes, ou son activation, un cookie d'appareil (__Host-antisy_device), inaccessible au JavaScript, valable 180 jours : il ne contient qu'un condensé chiffré qui désigne votre compte, jamais votre adresse, et sert seulement à ne pas ralentir ce navigateur quand votre compte reçoit beaucoup d'essais de mot de passe. Base : notre intérêt légitime à protéger votre compte (let. f).
• Apparence (clair, sombre ou système) : votre choix est gardé dans le stockage local de votre navigateur (antisy-appearance) et n'est jamais transmis.
• Limitation des abus : l'adresse IP sert, en mémoire du serveur, à limiter le nombre de tentatives de connexion, d'inscription et de contact. Les essais de connexion sont aussi comptés par compte, dans la base du site, sous un condensé à clé de l'adresse e-mail saisie (jamais l'adresse elle-même, ni l'adresse IP), effacé au plus tard 7 heures après le dernier essai. Base : notre intérêt légitime à protéger le site (let. f).
• Protection des formulaires de ce site : la page d'accueil, qui porte le formulaire de la liste d'attente, et la page d'inscription chargent le script d'Antisy lui-même, servi par notre API, pour distinguer les visiteurs humains des programmes automatisés. Ce script envoie à notre API des signaux techniques de l'appareil, le déroulé de l'interaction (des compteurs et des agrégats, sans le contenu des frappes ni des champs), l'adresse IP et le User-Agent ; notre serveur fait ensuite vérifier l'envoi par cette API. Pour ce traitement, Antisy est responsable ; les durées sont celles du tableau de la section 3, et le verdict est une décision automatisée (section 4). Base : notre intérêt légitime à protéger nos formulaires des programmes automatisés (let. f). Aucune autre page ne charge ce script. Quand un compte est créé à partir d'une invitation, notre serveur signale en outre à cette API, par un appel signé et chiffré, que l'envoi qui a ouvert ce compte, et la demande de liste d'attente dont l'invitation est issue, ont abouti à une personne réelle (issue « réussie »). Cet appel ne transmet que l'identifiant d'événement que l'API avait donné à l'envoi et cette issue : ni votre nom, ni votre adresse e-mail, ni votre message. Il ne part que pour un compte créé : une demande qui n'a pas abouti à une invitation utilisée ne donne lieu à aucun signalement, et aucun échec n'est signalé. Comme la demande et l'inscription d'une même personne sont signalées toutes deux, l'API peut les relier entre elles.
• Journaux du serveur : [à compléter : journaux d'accès de l'hébergeur : contenu et durée]. Base : notre intérêt légitime à un site qui fonctionne et reste sûr (let. f).

À la date de ce projet, ce site n'inclut, hors le script d'Antisy décrit ci-dessus, ni script tiers ni cookie publicitaire ; sa seule mesure d'audience est celle de la section « Mesure d'audience », plus haut.

Quand un site client protège un formulaire ou une connexion avec Antisy, le navigateur du visiteur envoie directement à Antisy des mesures techniques ; le site client ne reçoit pas ces mesures. Antisy traite alors, pour le compte du site client :

• ce que le script mesure dans le navigateur : les capacités que le navigateur déclare, les langues et le fuseau horaire du navigateur, le rendu graphique et l'empreinte de l'appareil, des indices d'automatisation, le comportement du moteur JavaScript et le déroulé de l'interaction ; l'empreinte en condensés salés par site, l'interaction en compteurs et en agrégats, sans le contenu des frappes ni des champs ;
• ce que le serveur d'Antisy lit de la requête : l'ordre des en-têtes HTTP, l'adresse IP, le User-Agent et le contexte de la requête ;
• pour une connexion ou une inscription, l'identifiant de compte que le site transmet, chiffré et condensé.

Finalité : distinguer les visiteurs humains des programmes automatisés, pour la sécurité du site client. Ces données ne servent pas à la publicité. Base : celle que retient le site client, responsable du traitement.

Elles sont chiffrées au repos, sauf ce qui suit. Le condensé de l'ordre des en-têtes HTTP (leurs noms, jamais leurs valeurs) est gardé en clair, 30 jours au plus. L'adresse IP et l'identifiant de connexion ont aussi un index aveugle (un condensé à clé, qui permet de les retrouver sans les déchiffrer), gardé aussi longtemps qu'eux. L'identifiant d'événement que le site client choisit de transmettre est chiffré, 30 jours au plus ; il a lui aussi un index aveugle, qui ne sert qu'à reconnaître la reprise d'une même tentative et s'efface passé 25 heures. Le reste de l'enregistrement (verdict, score, raisons, famille du navigateur tirée du User-Agent) n'est pas chiffré. L'empreinte TLS n'est pas lue aujourd'hui ; lue, elle serait gardée en clair, 30 jours au plus. Hébergement prévu chez Infomaniak, en Suisse ; il n'est pas encore en service.

Sauvegardes chiffrées, prévues : un export par jour, gardé 14 jours (décision d'Antisy), et une copie par semaine hors de l'hébergeur, gardée 14 jours au plus. Une donnée effacée peut y rester jusqu'à 14 jours. Pour qu'une restauration ne fasse pas revenir une personne effacée, un registre tenu hors de la base garde son index aveugle 30 jours, 44 jours au plus avec ses copies. Durées à confirmer par un juriste.

Sous-traitants ultérieurs et destinataires :

• Hébergeur : [à compléter : nom, pays et rôle de l'hébergeur (Infomaniak, en Suisse, est prévu)]
• Relais d'e-mails : le service par lequel partent les e-mails de ce site (avis de chaque demande de la liste d'attente, avec son nom, son adresse, sa société et son message ; invitations ; liens de confirmation et de réinitialisation). Il voit ces adresses et ces contenus pour le compte d'Antisy. C'est le relais SMTP d'Infomaniak (Suisse), retenu ; il n'est pas encore en service.

Visiteurs de l'Union européenne : [à compléter : suite de l'avis écrit d'un juriste, non obtenu à ce jour]

Le verdict d'Antisy, qui dit si un envoi passe ou non, est rendu automatiquement, sans intervention humaine, à partir des mesures décrites aux sections 2 et 3. C'est une décision automatisée ; sa qualification au sens du RGPD (art. 22) et de la LPD (art. 21) est à valider par un juriste.

• Sur ce site, la protection des formulaires (section 2) peut refuser l'envoi d'une demande de la liste d'attente ou d'une inscription. Si cela vous arrive, écrivez à support@antisy.com : vous pouvez y faire valoir votre point de vue et demander que la décision soit revue par une personne (LPD art. 21, al. 2, si la qualification ci-dessus est retenue).
• Sur un site client, le verdict est rendu au site, qui décide de la suite à donner (refuser l'envoi, demander une confirmation…). Adressez-vous à ce site, responsable du traitement ; Antisy l'assiste dans sa réponse.
• Le verdict ne sert pas à la publicité.

Vous pouvez demander l'accès à vos données, leur rectification ou leur effacement, la limitation de leur traitement, et la remise, dans un format courant, de celles que vous nous avez fournies (portabilité). Vous pouvez vous opposer à un traitement fondé sur notre intérêt légitime, dont la mesure d'audience, et retirer à tout moment un consentement que vous auriez donné : le retrait vaut pour la suite.

Pour les données de ce site : écrivez à Antisy (contact ci-dessus) ; nous pouvons vous demander de confirmer votre identité. Délai de réponse : [à compléter : délai de réponse aux demandes]. Pour les données d'un visiteur d'un site client : adressez-vous d'abord à ce site, responsable du traitement ; Antisy l'assiste dans sa réponse.

Vous pouvez aussi saisir une autorité de surveillance : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) ; si vous résidez dans l'Union européenne, l'autorité de protection des données de votre pays.

• Mots de passe conservés sous forme de condensé (scrypt), jamais en clair.
• Cookie de session inaccessible au JavaScript, et en-têtes de sécurité sur toutes les pages.
• Champs personnels des visiteurs chiffrés au repos.

[à compléter : procédure d'information en cas de modification de cette politique]