Données collectées et vie privée

Ce que le navigateur envoie à Antisy, ce qu’Antisy conserve et pendant combien de temps. Cette page résume la politique de confidentialité, qui fait foi.

Documents en projet

La politique de confidentialité et le contrat de traitement sont des projets, à valider par un avocat avant publication. Les durées ci-dessous sont des décisions internes d’Antisy, à confirmer par un juriste avant la mise en service.

Qui est responsable de quoi

Votre site: Responsable du traitement pour les visiteurs de ses formulaires.
Antisy: Sous-traitant (LPD art. 9), sous contrat : elle traite ces données pour le compte du site. Le modèle de contrat de traitement est en ligne.
Finalité: Distinguer les visiteurs humains des programmes automatisés, pour la sécurité du site. Ces données ne servent pas à la publicité.

Ce que le navigateur envoie

Quand vous protégez un formulaire avec Antisy, le navigateur du visiteur envoie directement à Antisy des mesures techniques. Votre site ne reçoit pas ces mesures : il reçoit un jeton, puis un verdict.

Ce que le script mesure dans le navigateur : les capacités que le navigateur déclare, les langues et le fuseau horaire du navigateur, le rendu graphique et l’empreinte de l’appareil, des indices d’automatisation, le comportement du moteur JavaScript et le déroulé de l’interaction. L’empreinte part en condensés salés par site, l’interaction en compteurs et en agrégats, jamais la trajectoire ni le contenu des frappes et des champs.
Ce que le serveur d’Antisy lit de la requête : l’ordre des en-têtes HTTP, l’adresse IP, le User-Agent et le contexte de la requête. L’ordre des en-têtes est gardé en un condensé de leurs noms, jamais leurs valeurs.
Pour une connexion ou une inscription, l’identifiant de compte que votre site transmet, chiffré et condensé.

Ces données sont chiffrées au repos, sauf quelques éléments gardés en clair, que la politique de confidentialité nomme un à un. L’hébergement est prévu chez Infomaniak, en Suisse ; il n’est pas encore en service. Les sauvegardes chiffrées sont prévues : un export par jour, gardé 14 jours (décision d’Antisy), plus une copie par semaine hors de l’hébergeur, 14 jours au plus ; une donnée effacée peut y rester jusqu’à 14 jours. Pour qu’une restauration ne fasse pas revenir une personne effacée, un registre tenu hors de la base garde son index aveugle 30 jours, 44 jours au plus avec ses copies. Durées à confirmer par un juriste.

Combien de temps

Conservation des données de visiteurs, à compter de la tentative
Délai	Ce qui se passe
Quelques minutes	Mesures envoyées par le navigateur pour un jeton : conservées chiffrées quelques minutes, le temps de vérifier l'envoi, puis supprimées. Si la conservation est allumée pour le site (elle est éteinte par défaut), certaines d'entre elles sont gardées 30 jours, chiffrées : le rendu graphique mesuré, la classe et deux condensés du processeur graphique, le comportement du moteur JavaScript et les indices d'automatisation ; ni les capacités que le navigateur déclare, ni ses langues et son fuseau horaire, ni l'empreinte d'ensemble de l'appareil, ni le déroulé de l'interaction.
30 jours	Adresse IP, User-Agent, contexte de la requête (langue acceptée, noms des en-têtes présents, hôte du référent, chemin, méthode ; caractéristiques de la connexion : versions TLS et HTTP, protocole négocié, présence des Client Hints, condensé de l'ordre des en-têtes ; et, quand le site les transmet, durée de remplissage du formulaire et rang de la tentative dans la session) et identifiant d'événement choisi par le site, chiffrés tant qu'ils sont gardés ; condensé de l'ordre des en-têtes HTTP, gardé en clair (leurs noms, jamais leurs valeurs) ; résultats de la vérification du jeton : tous effacés de l'enregistrement. Aucun préfixe ni condensé d'adresse IP n'est conservé au-delà. L'identifiant d'événement a aussi, à part, un index aveugle (un condensé à clé) qui ne sert qu'à reconnaître la reprise d'une même tentative : il s'efface passé 25 heures.
90 jours	Identifiant de connexion (chiffré et condensé), issue de la tentative, retours d'issue transmis par le site : effacés.
180 jours au plus	Ce qui reste (verdict, score, raisons, famille de navigateur, type d'événement, horodatages) : l'enregistrement est supprimé.

Ces durées sont des décisions internes d'Antisy, à confirmer par un juriste avant la mise en service. Après 90 jours, un enregistrement ne porte plus ni l'identifiant de connexion ni l'adresse : il ne peut plus être retrouvé à partir de l'un ou de l'autre. Voir aussi la sous-traitance.

De votre côté

Votre propre politique de confidentialité doit décrire ce traitement et nommer Antisy. Le contrat de traitement propose, à sa section 7, un modèle de texte à adapter et à faire valider (voir le contrat).
Pour les droits des visiteurs (accès, rectification, effacement), ils s’adressent d’abord à votre site, responsable du traitement. Antisy vous assiste pour répondre.
Le jeton que votre serveur vérifie est opaque, et la réponse de /v1/siteverify ne contient que le verdict, des indicateurs, l’heure du dépôt, le nom d’hôte de la page, l’étiquette d’action et un identifiant d’événement.

Pas encore décidé, donc pas écrit ici : la liste des sous-traitants ultérieurs et le cas des visiteurs de l’Union européenne (avis d’un juriste attendu). Ils figurent comme points à compléter dans la politique de confidentialité.