Politique de confidentialité

Le responsable du traitement est Ascencia, structure informelle représentée par Ahmed Karim, joignable à [email protected].

Cette politique s'applique à l'instance sxm.ascencia.re. ShareX Manager étant un logiciel libre auto-hébergeable, une instance installée par un tiers relève de son propre exploitant.

Le service est volontairement sobre en données. Concrètement, sont traités :

• Compte — identifiant, adresse email, rôle, et le mot de passe sous forme de condensat bcrypt (jamais en clair).
• Sessions — un jeton de session, sa date d'expiration, ainsi que l'adresse IP et le user-agent associés à la connexion.
• Fichiers envoyés — le fichier lui-même et ses métadonnées (nom, taille, type, date, album, statut public ou privé).
• Clés API — nom, clé, date de création et d'expiration, permissions, et compte créateur.
• Journaux techniques — horodatage, action, niveau, message, identifiant et email du compte concerné, adresse IP et user-agent.
• Préférences d'affichage — thème, couleurs personnalisées et plage horaire du mode automatique.

Aucune donnée n'est revendue, louée ou utilisée à des fins publicitaires. Il n'y a ni traceur publicitaire, ni outil d'analyse d'audience tiers.

• Fournir le service (compte, envoi, galerie, albums, partage) — exécution du contrat que constituent les CGU.
• Sécuriser le service (journaux, limitation de débit, détection d'accès non autorisés) — intérêt légitime de l'éditeur à protéger l'instance et ses utilisateurs.
• Statistiques d'usage (volumétrie, répartition géographique approximative des accès) — intérêt légitime à comprendre la charge et l'usage de l'instance.

Pour afficher la répartition géographique des accès dans les statistiques, les adresses IP présentes dans les journaux sont transmises au service tiers ip-api.com, qui renvoie un pays, une ville approximative et un fournisseur d'accès.

Ce service est opéré depuis l'extérieur de l'Union européenne. Les résultats sont mis en cache localement afin de limiter le nombre d'appels, et les adresses privées ou locales ne sont jamais transmises.

Seuls des cookies strictement nécessaires sont utilisés. Aucun cookie publicitaire ou de mesure d'audience n'est déposé, et aucun bandeau de consentement n'est donc requis.

• Cookie de session — maintient votre connexion. Il est httpOnly, donc inaccessible au JavaScript de la page, et expire automatiquement.
• sidebar_state — mémorise si le menu latéral est ouvert ou replié. Pur confort d'affichage, aucune donnée personnelle.

Les données restent hébergées sur l'infrastructure de l'instance. Les seuls tiers en contact avec elles sont :

• Contabo GmbH — hébergeur de l'infrastructure (Aschauer Straße 32a, 81549 München, Allemagne).
• ip-api.com — géolocalisation des adresses IP, dans les conditions décrites plus haut.

Les données peuvent en outre être communiquées à une autorité judiciaire sur réquisition légale.

• Compte — conservé tant que le compte existe, supprimé sur demande.
• Sessions — supprimées à l'expiration, à la déconnexion ou lors d'un changement de mot de passe.
• Fichiers — conservés jusqu'à leur suppression par leur propriétaire ou à la suppression du compte.
• Journaux techniques — conservés pour les besoins de sécurité et de diagnostic, puis purgés. Ils peuvent subsister après la suppression d'un compte, l'identifiant n'étant alors plus rattaché à aucune donnée de profil.

Les mesures suivantes sont en place :

• mots de passe stockés sous forme de condensat bcrypt ;
• cookie de session httpOnly et vérification de l'origine des requêtes (protection CSRF) ;
• limitation de débit sur les tentatives de connexion et en-têtes de sécurité HTTP (HSTS, protection contre le sniffing MIME et l'affichage en cadre) ;
• cloisonnement des fichiers privés, non servis sans session valide.

Aucun système n'est infaillible : en cas de violation de données susceptible d'engendrer un risque élevé, les personnes concernées seraient informées conformément à l'article 34 du RGPD.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données.

Ces droits s'exercent auprès de [email protected]. Une réponse vous sera apportée dans un délai d'un mois. Une preuve d'identité pourra être demandée en cas de doute raisonnable.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en bas de page ; toute modification substantielle sera signalée aux utilisateurs disposant d'un compte.