Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement décrit ici est NodeOps Security OÜ, société à responsabilité limitée de droit estonien. Les coordonnées postales et d'immatriculation figurent dans nos mentions légales. Pour toute question sur cette politique ou sur vos données, écrivez à info@nodeops-sec.tech.

Compte tenu de notre taille, nous ne sommes pas tenus de désigner un délégué à la protection des données. Les questions de protection des données sont traitées directement par la gérance.

2. Ce que nous collectons

2.1 Les demandes que vous nous adressez

Lorsque vous utilisez le formulaire de contact, nous recevons le nom, la société, l'adresse électronique, le pays, la catégorie de demande et le message que vous saisissez, ainsi que le fait et l'heure de l'envoi. Si vous nous écrivez directement, nous recevons ce que contiennent votre message et ses en-têtes.

Sauf si vous demandez un envoi en clair, votre navigateur chiffre l'ensemble avec notre clé publique avant l'envoi, et notre serveur web ne manipule jamais que le texte chiffré - le déchiffrement a lieu dans la boîte aux lettres. Si vous joignez votre propre clé publique pour que nous puissions répondre de façon chiffrée, nous la conservons avec la demande aussi longtemps que la demande elle-même.

2.2 Journaux du serveur

Notre hébergeur enregistre des journaux de serveur web standard pour chaque requête : adresse IP, date et heure, ressource demandée, code HTTP, page de provenance et agent utilisateur du navigateur. Ces journaux sont produits par le serveur web lui-même et sont nécessaires à l'exploitation sécurisée du site et au diagnostic des incidents.

2.3 Ce que nous ne collectons pas

• Aucun cookie d'aucune sorte n'est déposé par ce site.
• Aucune analyse d'audience, gestionnaire de balises, carte de chaleur ou pixel publicitaire.
• Aucune police, script, feuille de style ou image chargés depuis un serveur tiers ou un CDN.
• Aucune intégration de réseaux sociaux, bouton de partage ou paramètre de suivi.
• Aucun profilage et aucune décision automatisée.

Parce que rien n'est stocké sur votre appareil et qu'aucun tiers ne reçoit de données, ce site ne nécessite pas de bandeau de consentement aux cookies.

2.4 Choix de la langue

Lorsque vous ouvrez le site à son adresse nue, le serveur lit l'en-tête Accept-Language que votre navigateur envoie déjà à chaque requête et, si la langue que vous préférez fait partie de celles que nous publions, vous oriente vers cette version. Rien n'est stocké sur votre appareil et aucune trace de ce choix n'est conservée au-delà du journal serveur ordinaire décrit ci-dessus. Toute adresse explicite est servie telle quelle : le sélecteur de langue prévaut donc toujours.

3. Pourquoi nous traitons ces données, et sur quelle base légale

• Répondre à votre demande - article 6, paragraphe 1, point b) du RGPD, mesures prises à votre demande avant la conclusion d'un contrat ; et votre consentement au titre de l'article 6, paragraphe 1, point a), donné via la case à cocher du formulaire. Vous pouvez retirer ce consentement à tout moment, sans que cela n'affecte les traitements déjà effectués.
• Exploiter et sécuriser le site - article 6, paragraphe 1, point f) du RGPD, notre intérêt légitime à fournir un service stable et sûr et à prévenir les abus. Nous avons évalué cet impact comme faible : les journaux ne sont pas croisés avec d'autres sources et ne servent pas à identifier des personnes.
• Prévenir le spam de formulaire - article 6, paragraphe 1, point f) du RGPD. Nous utilisons un champ piège masqué et une vérification de délai. Aucun service CAPTCHA tiers n'intervient, donc aucune donnée ne quitte notre serveur à cette fin.
• Respecter des obligations légales - article 6, paragraphe 1, point c) du RGPD, lorsque le droit comptable ou commercial impose la conservation de documents.

4. Durée de conservation

• Demandes n'aboutissant pas à une mission : supprimées sous 12 mois.
• Demandes aboutissant à une mission : conservées pendant la durée de la relation, puis pendant la durée légale prévue par le droit comptable estonien.
• Journaux du serveur : conservés par notre hébergeur selon sa politique habituelle, généralement quelques semaines.

5. Qui d'autre y a accès

Nous ne vendons pas de données personnelles et nous ne les partageons pas à des fins de prospection. Les données ne sont communiquées qu'aux destinataires suivants :

• notre hébergeur, qui stocke le site et traite pour notre compte les journaux du serveur et les envois de formulaire, dans le cadre d'un contrat de sous-traitance ;
• notre fournisseur de messagerie, qui transmet et conserve notre correspondance ;
• des conseils professionnels ou des autorités, lorsque la loi nous oblige à communiquer.

En dehors du site, le travail lui-même se fait depuis un serveur dédié que nous louons dans un centre de données situé en France. Son fournisseur en assure la machine, l'alimentation et le raccordement réseau : il ne dispose d'aucun compte sur le système et n'y administre rien. L'accès physique au matériel reste au centre de données, ce qui est la limite de tout arrangement de ce type et mérite d'être dit clairement. Les disques sont chiffrés : le matériel qui quitte le bâtiment - saisi, remplacé ou mis hors service - en sort sous forme chiffrée. Sur une machine en fonctionnement, les clés sont nécessairement en mémoire : le chiffrement au repos répond du disque, pas du système en marche.

Notre site est hébergé par Namecheap, Inc. (États-Unis), sur des serveurs situés en Europe. Nos boîtes aux lettres sont fournies par Proton AG (Suisse). Un contrat de sous-traitance est en place avec chacun d'eux. Le serveur dédié depuis lequel nous travaillons est loué chez OneProvider (Canada) et se trouve dans un centre de données en France.

6. Demandes des autorités

Les services répressifs, les régulateurs et les tribunaux peuvent contraindre à la communication de données. Cette section expose ce que nous faisons dans ce cas, pour qu'un client n'ait pas à le deviner.

• Nous ne communiquons rien volontairement. Une démarche informelle - un appel téléphonique, un courriel nous demandant de « jeter un œil », une demande sans base légale indiquée - est refusée par écrit.
• Nous ne donnons suite qu'à une demande juridiquement contraignante pour NodeOps Security OÜ et qui identifie la disposition sur laquelle elle se fonde. Une demande contraignante pour un tiers ne nous lie pas.
• Nous vérifions qu'elle nous concerne. Lorsque les données recherchées se trouvent sur les systèmes du client et non sur les nôtres, nous le disons et renvoyons la demande vers lui.
• Nous prévenons le client concerné avant toute communication, sauf interdiction légale - et, dans ce cas, dès que cette interdiction prend fin.
• Nous ne communiquons que le minimum imposé. Une injonction visant un document n'ouvre pas la boîte aux lettres où il se trouve.
• Nous contestons par écrit les demandes excessives, irrégulières ou hors de la compétence de l'autorité qui les émet.
• Nous consignons chaque demande reçue et la suite qui lui a été donnée.

La protection réelle ici n'est pas une promesse mais un choix de conception : nous détenons très peu. De ce site, seulement les demandes que vous nous envoyez et les journaux serveur de notre hébergeur. Des missions, aucun identifiant client - l'accès passe par des comptes nommés sur vos propres systèmes, limités dans le temps et révoqués à la fin. Il y a donc très peu qu'une injonction puisse atteindre.

Ce que cette section ne peut pas couvrir : nos prestataires d'hébergement et de messagerie, ainsi que le centre de données qui abrite le serveur depuis lequel nous travaillons, peuvent être saisis directement, dans leurs propres juridictions et selon leurs propres politiques, et nous n'en serions pas nécessairement informés. Ce que vous ne voudriez pas voir atteint de cette façon ne doit pas nous parvenir en clair - les clés OpenPGP de notre page de contact sont là pour cela.

7. Où les données sont conservées, et transferts hors EEE

Les données décrites ci-dessus sont stockées sur des serveurs situés en Europe. Lorsqu'un prestataire est établi hors de l'Espace économique européen - comme l'est l'hébergeur de notre site, société de droit américain - cette relation est encadrée par un contrat de sous-traitance s'appuyant sur une décision d'adéquation de la Commission européenne, ou sur des clauses contractuelles types assorties de mesures supplémentaires appropriées.

La Suisse, où est établi notre fournisseur de messagerie, fait l'objet d'une décision d'adéquation de la Commission européenne ; aucun mécanisme de transfert supplémentaire n'est donc requis.

Le serveur depuis lequel nous travaillons se trouve en France, dans l'Union européenne. La société qui nous le loue est établie au Canada, que la Commission européenne a reconnu comme offrant un niveau de protection adéquat pour les organismes soumis à la loi fédérale canadienne sur la protection de la vie privée ; là non plus, aucun mécanisme de transfert supplémentaire n'est requis.

8. Vos droits

Au titre du RGPD, vous avez le droit :

• d'accéder aux données personnelles que nous détenons à votre sujet ;
• de faire rectifier des données inexactes ;
• de faire effacer vos données lorsqu'aucune obligation supérieure ne s'y oppose ;
• de faire limiter le traitement pendant l'examen d'une contestation ;
• de recevoir vos données dans un format portable et lisible par machine ;
• de vous opposer à un traitement fondé sur nos intérêts légitimes ;
• de retirer votre consentement à tout moment, pour l'avenir.

Écrivez à info@nodeops-sec.tech pour exercer l'un de ces droits. Nous répondons dans un délai d'un mois. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle - en Estonie, l'inspection de la protection des données (Andmekaitse Inspektsioon, aki.ee) - ou auprès de l'autorité de votre pays de résidence.

9. Comment nous protégeons ces données

Le site est servi exclusivement en HTTPS avec HTTP Strict Transport Security. Les envois de formulaire sont validés et limités en longueur côté serveur, et les en-têtes de réponse restreignent les contenus que le navigateur accepte de charger. L'accès à la boîte recevant les demandes est réservé aux personnes qui en ont besoin et protégé par une authentification à plusieurs facteurs.

Merci de ne pas envoyer de mots de passe, de clés privées, de fichiers de configuration ou de données clients via le formulaire de contact ou par courriel ordinaire. Si votre demande nécessite des éléments sensibles, demandez-nous et nous mettrons en place un canal approprié.

Ici, le courriel chiffré fonctionne dans les deux sens. Nos clés OpenPGP sont publiées sur la page de contact et via Web Key Directory : tout élément sensible peut donc être chiffré de bout en bout - et nous répondrons de la même manière.

10. Modifications de cette politique

Nous pouvons mettre à jour cette politique à mesure que nos services ou nos prestataires évoluent. La version en vigueur est toujours publiée ici avec sa date de révision. Les modifications substantielles affectant des clients existants leur seront communiquées directement.