215 lines
31 KiB
HTML
215 lines
31 KiB
HTML
<!doctype html>
|
||
<html lang="fr">
|
||
<head>
|
||
<meta charset="utf-8" />
|
||
<meta name="viewport" content="width=device-width, initial-scale=1" />
|
||
<meta
|
||
name="description"
|
||
content="Politique de confidentialité de Zektyc : site web, bot Discord, test d'empreinte numérique, application ZMap et navigateur Zenyth. Conforme au RGPD et à la loi Informatique et Libertés (version française de référence)."
|
||
/>
|
||
<meta name="robots" content="index, follow" />
|
||
<title>Politique de confidentialité · Zektyc</title>
|
||
|
||
<link rel="canonical" href="https://riricdev.tail5ea5cd.ts.net/fr/privacy-policy" />
|
||
<link rel="alternate" hreflang="fr" href="https://riricdev.tail5ea5cd.ts.net/fr/privacy-policy" />
|
||
<link rel="alternate" hreflang="en" href="https://riricdev.tail5ea5cd.ts.net/en/privacy-policy" />
|
||
<link rel="alternate" hreflang="x-default" href="https://riricdev.tail5ea5cd.ts.net/fr/privacy-policy" />
|
||
<link rel="icon" type="image/svg+xml" href="/favicon.svg" />
|
||
<link rel="shortcut icon" href="/favicon.ico" />
|
||
<link rel="stylesheet" href="/css/style.css?v=8" />
|
||
</head>
|
||
<body>
|
||
<div class="legal-disclaimer">Avertissement : seule la version rédigée en langue française fait foi juridiquement. Toute traduction, quelle qu'en soit la langue, n'est fournie qu'à titre de courtoisie et n'a aucune valeur juridique.</div>
|
||
<header id="h"></header>
|
||
|
||
<main class="legal" id="main">
|
||
<h1>Politique de confidentialité</h1>
|
||
<p class="legal-meta">Version française de référence · Dernière mise à jour : 27 août 2026</p>
|
||
|
||
<div class="legal-box">
|
||
<p><strong>En résumé : aucun de nos services ne collecte volontairement vos données de navigation.</strong> Pas de tracker, pas de mesure d'audience, pas de bouton de partage, pas de service tiers de suivi. Le site est un site vitrine : il pose un unique cookie de préférence de langue (<code>zektyc-lang</code>) et ne sert à aucun autre usage, voir la <a href="#cookies">section 5</a>. Le test d'empreinte numérique fonctionne entièrement dans votre navigateur. L'application ZMap ne collecte aucun données. Le bot Discord traite uniquement les données de la conversation en cours, de façon éphémère. Le navigateur Zenyth est un logiciel local qui ne communique avec aucun serveur.</p>
|
||
</div>
|
||
|
||
<p>Cette politique décrit, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et Libertés), la manière dont Zektyc traite les données à caractère personnel dans le cadre de l'ensemble de ses services.</p>
|
||
|
||
<h2>1. Responsable du traitement</h2>
|
||
<p>Le responsable du traitement est l'organisation Zektyc, éditée par une personne physique agissant sous le pseudonyme « Riric » (également « DotRiric »), établie en France. Pour toute question relative à vos données personnelles : <a href="mailto:riric65@protonmail.com">riric65@protonmail.com</a>.</p>
|
||
|
||
<h2>2. Données que nous traitons</h2>
|
||
<h3>2.1 Site web</h3>
|
||
<p>Le site est accessible par deux canaux distincts : l'adresse clearnet <code>https://riricdev.tail5ea5cd.ts.net</code>, servie via un tunnel fourni par un opérateur tiers, et le service caché Tor. Le site ne dispose d'aucun formulaire, d'aucune newsletter, d'aucun bouton de réseaux sociaux et d'aucun service d'analyse. Nous ne demandons, n'enregistrons et n'exploitons volontairement aucune donnée de navigation vous concernant. Pour le détail des implications de chaque canal, voir la <a href="#canaux">section 2.2</a>.</p>
|
||
|
||
<h3 id="canaux">2.2 Canaux d'accès au site : tunnel clearnet et service caché Tor</h3>
|
||
<p>Le canal d'accès que vous utilisez détermine le niveau de confidentialité réel du trafic. Nous vous en exposons ici les conséquences avec la plus grande transparence.</p>
|
||
<h4>a) Voie clearnet (tunnel)</h4>
|
||
<p>Le site clearnet est rendu accessible au moyen d'un tunnel fourni par Tailscale, Inc., société de droit américain, via la fonctionnalité « Funnel » exposant un port TCP public (443) vers notre infrastructure. Le chiffrement TLS (HTTPS) de cette voie est <strong>terminé sur notre propre infrastructure</strong>, et non chez l'opérateur du tunnel : les relais Tailscale Funnel ne déchiffrent pas le trafic et le contenu des pages (requêtes, réponses, contenus échangés) n'est <strong>pas</strong> techniquement lisible par l'opérateur du tunnel. La communication entre votre navigateur et notre serveur reste chiffrée de bout en bout. L'opérateur du tunnel reste néanmoins un intermédiaire réseau de droit américain, qui voit les métadonnées de connexion (adresse IP source, destination, volume et horodatage du trafic) et peut être tenu d'y donner accès à une autorité publique dans le cadre d'une procédure légale applicable, y compris au titre du US CLOUD Act (22 U.S.C. § 6201 et suivants). Ces éléments de métadonnées ne nous sont pas communiqués par l'opérateur et nous ne les utilisons pas. Pour cette voie, nous ne collectons, de notre côté, que les journaux techniques décrits à la <a href="#logs">section 2.3</a> ci-dessous (qui ne comprennent pas le contenu).</p>
|
||
<h4>b) Service caché Tor (.onion)</h4>
|
||
<p>Le service caché Tor (<code>http://l5cbkqmok4rnkhbtpltmtlf3pa5i5rfw23z2mtj5tugpo3quta3b5hqd.onion</code>) est au contraire chiffré de bout en bout, de votre navigateur jusqu'à notre infrastructure, <strong>sans point de terminaison TLS chez un tiers</strong>. Aucun opérateur intermédiaire ne peut lire le contenu, et votre adresse IP reste masquée vis-à-vis de nous et de tout observateur. Le service caché constitue le canal le plus respectueux de votre vie privée. Pour cette voie, nous ne traitons de même que les journaux techniques décrits à la <a href="#logs">section 2.3</a> ; le contenu n'est pas lu par un tiers.</p>
|
||
|
||
<h3 id="logs">2.3 Journaux techniques de connexion</h3>
|
||
<p>Comme tout serveur, l'infrastructure qui héberge le site génère automatiquement des journaux techniques à des fins de sécurité (prévention et traitement des attaques, des abus et des tentatives de saturation). Ces journaux peuvent contenir :</p>
|
||
<ul>
|
||
<li>l'adresse IP de la connexion ;</li>
|
||
<li>la date et l'heure de la requête ;</li>
|
||
<li>la ressource demandée ;</li>
|
||
<li>le type de navigateur (user agent).</li>
|
||
</ul>
|
||
<p>Ces journaux sont conservés <strong>quatorze (14) jours au maximum</strong>, puis supprimés automatiquement. Ils ne sont ni vendus, ni partagés, ni utilisés à des fins de profilage. Leur base légale est l'intérêt légitime du responsable du traitement à sécuriser son service (art. 6.1.f RGPD). Les adresses IP contenues dans ces journaux ne sont pas recoupées avec d'autres sources.</p>
|
||
<p>Un compteur de requêtes par adresse IP est conservé en mémoire vive (RAM) du serveur, avec une fenêtre maximale de quelques minutes, à des fins de limitation du débit. Ces données ne sont jamais écrites sur un support persistant et disparaissent au redémarrage du serveur.</p>
|
||
|
||
<h3>2.4 Données d'échange (contact)</h3>
|
||
<p>Si vous nous contactez par e-mail (<a href="mailto:riric65@protonmail.com">riric65@protonmail.com</a>), Signal (notriric.05) ou Discord, les informations que vous choisissez de nous communiquer (adresse e-mail, identifiant, contenu du message) sont utilisées <strong>uniquement</strong> pour répondre à votre demande. Elles ne sont pas utilisées à des fins de marketing, ne sont pas partagées avec des tiers et ne sont pas conservées au-delà de la durée nécessaire à l'échange (art. 6.1.a RGPD).</p>
|
||
|
||
<h3>2.5 Signalements de vulnérabilités (divulgation responsable)</h3>
|
||
<p>Si vous nous signalez une vulnérabilité, conformément à la section 12 des CGU, les informations que vous nous transmettez (détails techniques, preuve de concept, captures d'écran, coordonnées éventuelles) sont traitées uniquement dans le but d'évaluer, de corriger et de vérifier la correction de la vulnérabilité signalée. Elles ne sont pas partagées avec des tiers et sont supprimées une fois la correction confirmée (art. 6.1.f RGPD).</p>
|
||
|
||
<h3>2.6 Vérification d'une autorité ou d'une demande</h3>
|
||
<p>Lorsqu'une personne se présente comme relevant d'une autorité publique et sollicite la communication d'informations, conformément à la section 13 des CGU, les documents qu'elle fournit pour justifier de son identité et de l'étendue de son pouvoir constituent des données à caractère personnel traitées temporairement. Ce traitement repose sur une obligation légale ou sur l'intérêt légitime du responsable à vérifier le bien-fondé de la demande. Les documents sont conservés uniquement le temps de la vérification, puis supprimés.</p>
|
||
|
||
<h3 id="bot">2.7 Bot Discord (Zektyc bot)</h3>
|
||
<p>Le bot Discord de Zektyc traite uniquement les données strictement nécessaires à la fourniture du service que vous demandez (art. 6.1.b RGPD) et, le cas échéant, avec votre consentement exprès lorsque vous le sollicitez (art. 6.1.a RGPD) :</p>
|
||
<ul>
|
||
<li><strong>Messages écrits</strong> : le contenu du message par lequel vous interpellez le bot (mention ou réponse), ainsi que la réponse générée, afin d'assurer la conversation ;</li>
|
||
<li><strong>Audio vocal</strong> : lorsque le bot est actif dans un salon vocal, votre voix est captée uniquement pendant que vous parlez, le temps d'être transcrite en texte ;</li>
|
||
<li><strong>Identifiants Discord</strong> : votre identifiant utilisateur et votre pseudonyme affiché, utilisés pour vous adresser la parole et associer vos messages ;</li>
|
||
<li><strong>Historique de conversation</strong> : les échanges écrits et les transcriptions de la session en cours, conservés en mémoire vive uniquement (vingt derniers échanges au maximum) afin d'assurer la cohérence de la conversation.</li>
|
||
</ul>
|
||
<p>Aucune de ces données n'est écrite sur un support persistant, n'est vendue, louée, partagée ou exploitée à des fins de profilage ou de publicité. L'historique de conversation est réinitialisé à chaque redémarrage du bot.</p>
|
||
<p>Pour la transcription (reconnaissance vocale) et la génération des réponses, le bot fait appel au service Groq (Groq, Inc., États-Unis), qui agit en qualité de sous-traitant au sens de l'article 28 RGPD (voir la <a href="#transferts">section 7</a>). L'audio capté et les textes transmis sont envoyés à Groq aux seules fins de la fourniture du service ; ils ne sont pas conservés de notre côté. La synthèse vocale (réponse parlée) est effectuée localement, en France, sans transmission à un tiers.</p>
|
||
<p>Les messages écrits et l'audio transitent par la plateforme Discord, gérée par Discord, Inc., qui les traite aux seules fins de leur transmission. Discord n'applique pas de chiffrement de bout en bout : ne transmettez jamais au bot de données sensibles (données de santé, données bancaires, secrets, informations confidentielles).</p>
|
||
|
||
<h3 id="fingerprint-test">2.8 Test d'empreinte numérique (Fingerprint Test)</h3>
|
||
<p>Le test d'empreinte numérique accessible aux adresses <a href="/fingerprint-test">/fingerprint-test</a> (FR) et <a href="/en/fingerprint-test">/en/fingerprint-test</a> (EN) fonctionne <strong>exclusivement dans votre navigateur</strong>, à votre initiative et à votre demande. Les caractéristiques techniques collectées pour le calcul de l'empreinte (canvas, moteur de rendu, polices installées, audio, capacités matérielles, et plus de trente signaux distincts) sont traitées localement, sur votre terminal, au moment où vous lancez le test.</p>
|
||
<p>Le test analyse deux types d'empreintes : le ZFP (empreinte couche navigateur) et le ZPD (empreinte couche matérielle). Les deux sont calculés par hachage SHA-256 dans votre navigateur.</p>
|
||
<p>La seule requête réseau effectuée est un appel à l'endpoint <code>/api/time</code> du serveur Zektyc, destiné à mesurer le décalage horloge entre votre appareil et le serveur (nécessaire au calcul du ZPD). Cet appel ne transmet aucune donnée personnelle ; il retourne uniquement un timestamp serveur.</p>
|
||
<p>Le test multi-tours (3 tours successifs) utilise temporairement le <strong>stockage de session</strong> (<code>sessionStorage</code>) pour conserver les résultats intermédiaires entre les rechargements de la page et permettre la comparaison finale. Ces données sont automatiquement supprimées à la fin du test ou à la fermeture de l'onglet. Aucune donnée n'est transmise à des tiers.</p>
|
||
|
||
<h3 id="zmap">2.9 Application ZMap</h3>
|
||
<p>ZMap est une application Android de planification de trajets pour véhicules électriques. L'application ne collecte aucune donnée personnelle. Aucun compte n'est requis. Aucun tracker ni service d'analyse n'est intégré.</p>
|
||
<p>L'application communique avec le serveur Zektyc via WebSocket et des appels API (bornes de recharge, recherche géographique, itinéraire, vitesses par route). Ces appels transitent par le serveur Zektyc, qui proxy les requêtes vers des services tiers open source :</p>
|
||
<ul>
|
||
<li><strong>Overpass API</strong> (OpenStreetMap) : bornes de recharge publiques en Europe ;</li>
|
||
<li><strong>Nominatim</strong> (OpenStreetMap) : géocodage et recherche de lieux ;</li>
|
||
<li><strong>OSRM</strong> (Open Source Routing Machine) : calcul d'itinéraires.</li>
|
||
</ul>
|
||
<p>Les résultats de ces requêtes sont mis en cache côté serveur (10 minutes pour les bornes, 24 heures pour la recherche, 12 heures pour les itinéraires). Les adresses IP des requêtes sont soumises aux journaux techniques du serveur (14 jours maximum, voir la <a href="#logs">section 2.3</a>). Le serveur Zektyc ne collecte aucune donnée de localisation ou de déplacement des utilisateurs.</p>
|
||
<p>La base de données de vitesses par route (90,5 millions de points) est construite à partir de données OpenStreetMap publiques et ne contient aucune donnée personnelle.</p>
|
||
<p>Le client web ZMap accessible à l'adresse <a href="/zmap/web">/zmap/web</a> utilise les mêmes principes de protection des données.</p>
|
||
|
||
<h3>2.10 Navigateur Zenyth</h3>
|
||
<p>Zenyth est un logiciel installé localement sur votre appareil (paquet RPM pour systèmes Fedora/RHEL). Il configure Firefox avec des paramètres de durcissement (Resist Fingerprinting, masquage des polices, désactivation de WebGPU et de l'API Battery, protection WebRTC, extensions JShelter et uBlock Origin).</p>
|
||
<p>Zenyth ne communique avec aucun serveur Zektyc ni aucun serveur tiers. Sa configuration est entièrement locale. Aucune donnée n'est collectée, transmise ou stockée.</p>
|
||
|
||
<h2>3. Honeypot (piège technique)</h2>
|
||
<p>Pour protéger le site contre les robots et les tentatives d'intrusion automatisées, le serveur inclut un système de leurre (honeypot) qui imite des réponses WordPress pour des chemins fréquemment ciblés (wp-login.php, xmlrpc.php, .env, etc.).</p>
|
||
<p>Lorsqu'une requête atteint un de ces chemins, l'adresse IP de l'émetteur est enregistrée dans une base de données SQLite locale avec : nombre de tentatives, dates de première et dernière tentative, et ventilation par endpoint. Ces données sont conservées jusqu'à suppression manuelle par un administrateur via le panneau d'administration.</p>
|
||
<p>Ce traitement repose sur l'intérêt légitime du responsable à protéger son infrastructure contre les attaques automatisées (art. 6.1.f RGPD). Les adresses IP enregistrées ne sont ni vendues, ni partagées, ni utilisées à des fins de profilage. Elles ne sont pas recoupées avec d'autres sources.</p>
|
||
|
||
<h2>4. Panneau d'administration (Z-Panel)</h2>
|
||
<p>Le panneau d'administration (<a href="/z-panel">/z-panel</a>) est un outil interne protégé par un mot de passe (haché avec Argon2id). Il n'est pas indexé par les moteurs de recherche (<code>noindex, nofollow</code>).</p>
|
||
<p>Les sessions d'administration sont gérées par des jetons de session aléatoires (32 octets, encodés en base64url) avec une durée de vie de 24 heures. Les tentatives de connexion sont limitées à 5 par tranche de 15 minutes par adresse IP. Ces données d'authentification sont conservées en mémoire vive et disparaissent au redémarrage du serveur.</p>
|
||
<p>Le panneau donne accès aux journaux d'accès du serveur (journaux d’accès du serveur), aux statistiques de requêtes, à l'administration des articles, aux traductions et au système honeypot. Ces données sont accessibles exclusivement par l'administrateur.</p>
|
||
<h3 id="forgejo">4.1 Forgejo (Zektyc Git)</h3>
|
||
<p>Un serveur Forgejo (<a href="/git">/git</a>) héberge le code source du site et de ses projets, ainsi que les contributions de la communauté. Même servi depuis le même site, il constitue un service distinct.</p>
|
||
<p>Lorsque vous créez un compte sur ce Forgejo, les données que vous fournissez volontairement (nom d'utilisateur, adresse e-mail, renseignements facultatifs de votre profil) sont stockées dans la base de données de ce serveur, hébergée sur notre infrastructure en France. Elles ne sont ni vendues, ni partagées avec des tiers, ni utilisées à des fins de marketing ou de profilage (art. 6.1.b RGPD). La suppression du compte supprime ces données.</p>
|
||
<p>La connexion à un compte Forgejo repose sur des cookies de session (première partie, sécurisés, limités au chemin <code>/git/</code>) et, le cas échéant, des jetons d'accès personnels (API) générés par vos soins et conservés de façon chiffrée dans la base. Le contenu des dépôts que vous y publiez (code, pull requests, issues, commentaires) est volontairement public, conformément à l'objectif du service. Les adresses IP des connexions sont soumises aux journaux techniques décrits à la <a href="#logs">section 2.3</a>.</p>
|
||
|
||
<h2 id="cookies">5. Cookies</h2>
|
||
<p>Le site (pages publiques, hors <code>/git/</code>) pose un <strong>unique cookie de préférence de langue</strong>, <code>zektyc-lang</code>. Il mémorise la langue d'affichage choisie ou détectée (français ou anglais), pour servir la bonne version de chaque page ; il ne contient ni identifiant unique, ni donnée de navigation autre que la langue, n'est ni lu ni exploité à des fins de suivi, et expire au bout d'un an. Il s'agit d'un cookie de première partie. Aucun cookie tierce partie, aucun traceur n'est utilisé. Le service Forgejo (<code>/git/</code>) pose ses propres cookies de session de première partie, décrits à la <a href="#forgejo">section 4.1</a>.</p>
|
||
<p>Le choix de langue est par ailleurs mémorisé sur l'appareil (dans le stockage local du navigateur, <code>localStorage</code>, clé <code>zektyc-lang</code>), tout comme le thème d'affichage — clair ou sombre — (clé <code>zektyc-theme</code>). Ces préférences sont modifiables à tout moment via le sélecteur de langue et le bouton de thème présents en haut de chaque page. Elles sont conservées localement sur l'appareil et ne sont jamais transmises ni conservées côté serveur en dehors du cookie de visite décrit ci-dessus.</p>
|
||
<p>Le test d'empreinte numérique utilise temporairement le <code>sessionStorage</code> uniquement lorsque vous lancez le test multi-tours, pour conserver les résultats entre rechargements. Ce stockage est automatiquement vidé à la fin du test ou à la fermeture de l'onglet ; il ne constitue ni un cookie ni un traceur.</p>
|
||
|
||
<h2>6. Destinataires et sous-traitants</h2>
|
||
<p>Nous ne partageons, ne vendons et ne transmettons vos données à aucun tiers, à aucune régie publicitaire, à aucun fournisseur d'analyse. Le site est hébergé sur notre propre infrastructure, en France, sans recours à un sous-traitant hébergeur.</p>
|
||
|
||
<h3>6.1 Proton Mail (e-mail)</h3>
|
||
<p>Notre messagerie électronique est fournie par Proton Mail (Proton AG, Suisse), qui agit en qualité de sous-traitant technique au sens de l'article 28 RGPD pour l'acheminement et l'hébergement des messages que vous nous adressez. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne (art. 45 RGPD). Proton ne traite ces messages qu'aux seules fins de fourniture du service.</p>
|
||
|
||
<h3>6.2 Signal</h3>
|
||
<p>Les échanges effectués via Signal transitent par les serveurs de Signal Messenger, LLC. Signal met en œuvre un chiffrement de bout en bout : le contenu des messages n'est jamais accessible à un tiers, y compris à Signal.</p>
|
||
|
||
<h3>6.3 Discord</h3>
|
||
<p>Les échanges effectués via Discord transitent par les serveurs de Discord, Inc. Discord ne chiffrant pas les messages de bout en bout, évitez d'y échanger des données sensibles.</p>
|
||
|
||
<h3>6.4 Groq (bot Discord)</h3>
|
||
<p>Pour la transcription vocale et la génération des réponses, le bot fait appel à Groq (Groq, Inc., États-Unis), qui agit en qualité de sous-traitant au sens de l'article 28 RGPD. Groq ne traite l'audio et les textes transmis qu'aux seules fins de la fourniture du service, conformément aux conditions d'utilisation du service. Voir la <a href="#bot">section 2.7</a> et la <a href="#transferts">section 7</a>.</p>
|
||
|
||
<h3>6.5 Services tiers open source (ZMap)</h3>
|
||
<p>L'application ZMap proxy les requêtes vers des services tiers open source (Overpass, Nominatim, OSRM) via le serveur Zektyc. Ces services ne reçoivent pas votre adresse IP directe (elle est masquée par le proxy). Les données échangées concernent des requêtes de bornes, de géocodage ou d'itinéraire, sans lien avec votre identité.</p>
|
||
|
||
<h2 id="transferts">7. Transferts hors Union européenne</h2>
|
||
<p>S'agissant du site et de l'infrastructure : ils sont hébergés en France et exploités dans l'Union européenne. Aucune donnée traitée par le site n'est stockée hors de l'Union européenne ni de l'Espace économique européen (art. 44 et suivants RGPD).</p>
|
||
<p>S'agissant de la voie clearnet : le tunnel qui la rend accessible est fourni par Tailscale, Inc., société de droit américain. Comme exposé à la <a href="#canaux">section 2.2</a>, cette voie fait transiter le trafic chiffré (HTTPS) par les relais de l'opérateur, qui ne déchiffrent pas le contenu — ce dernier n'est lisible que sur notre propre infrastructure, où se termine le TLS. Les métadonnées de connexion (adresse IP source, destination, volume, horodatage) passent néanmoins par une entité américaine ; n'agissant pas comme sous-traitant au sens de l'article 28 RGPD pour ce trafic, ce passage est une limite assumée de cette voie d'accès. Il ne s'applique pas au service caché Tor, qui reste chiffré de bout en bout sans intermédiaire tiers.</p>
|
||
<p>S'agissant du canal de contact par e-mail : Proton Mail est exploité depuis la Suisse, pays qui bénéficie d'une décision d'adéquation de la Commission européenne.</p>
|
||
<p>S'agissant de Signal et Discord : leurs serveurs peuvent être situés hors de l'Union européenne. Signal chiffre les messages de bout en bout, ce que Discord ne fait pas.</p>
|
||
<p>S'agissant du bot Discord : l'audio à transcrire et les textes traités par le bot sont transmis à Groq (États-Unis), dans le cadre du service de transcription et de génération de réponses. Groq n'apparaît pas dans la liste des organisations certifiées au titre du Data Privacy Framework (DPF) UE-États-Unis. Le transfert est encadré par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), incorporées à la convention de traitement de Groq (Data Processing Addendum), effective le 15 octobre 2025 — module 2 (responsable du traitement vers sous-traitant). Seuls les éléments strictement nécessaires à la fourniture du service sont transmis, et rien n'est conservé de notre côté.</p>
|
||
|
||
<h2>8. Durées de conservation</h2>
|
||
<ul>
|
||
<li>Journaux techniques : <strong>14 jours maximum</strong>, suppression automatique ;</li>
|
||
<li>Compteurs de protection en mémoire (RAM) : quelques minutes, jamais persistés ;</li>
|
||
<li>Données d'échange (contact) : durée de l'échange nécessaire à votre demande ;</li>
|
||
<li>Signalements de vulnérabilités : jusqu'à la confirmation de la correction, puis suppression dans un délai de 30 jours ;</li>
|
||
<li>Documents de vérification d'une autorité : le temps de la vérification, puis suppression ;</li>
|
||
<li>Données du bot Discord (messages, audio, identifiants, historique) : <strong>aucune conservation persistante</strong> ; l'historique de session (20 échanges max) est en RAM uniquement, réinitialisé au redémarrage ;</li>
|
||
<li>Données du test d'empreinte numérique : <strong>aucune donnée n'est transmise à Zektyc</strong> ; les caractéristiques disparaissent avec la fermeture de l'onglet ;</li>
|
||
<li>Données du honeypot (adresses IP) : jusqu'à suppression manuelle par un administrateur ;</li>
|
||
<li>Sessions d'administration : jetons de session de 24 heures, en RAM uniquement ;</li>
|
||
<li>Comptes Forgejo et contenu des dépôts : conservés jusqu'à la suppression volontaire du compte ou du dépôt par leur propriétaire ; cookies de session Forgejo : durée de la session, jusqu'à expiration ou déconnexion.</li>
|
||
</ul>
|
||
|
||
<h2>9. Sécurité</h2>
|
||
<p>Les services sont protégés par les mesures techniques suivantes :</p>
|
||
<ul>
|
||
<li>connexion chiffrée en transit (HTTPS/TLS via le tunnel pour la voie clearnet) et chiffrement de bout en bout pour le service caché Tor ;</li>
|
||
<li>en-têtes de sécurité restrictifs (CSP, X-Content-Type-Options nosniff, X-Frame-Options, HSTS, Permissions-Policy) ;</li>
|
||
<li>limitation du débit (200 requêtes / 10 secondes par IP en général, 30 / minute pour l'API ZMap, 5 tentatives de connexion / 15 minutes pour l'administration) ;</li>
|
||
<li>restriction des méthodes HTTP (GET et HEAD uniquement) ;</li>
|
||
<li>blocage des chemins sensibles (honeypot WordPress) ;</li>
|
||
<li>minimisation des données et conservation limitée ;</li>
|
||
<li>mots de passe d'administration hachés avec Argon2id (memoryCost: 65536, timeCost: 4) ;</li>
|
||
<li>mots de passe des comptes Forgejo hachés et jetons d'accès personnels chiffrés (forgés par Forgejo) ;</li>
|
||
<li>infrastructure composable et auto-hébergée en France, sans CDN ; la seule exception est le tunnel d'accès clearnet Tailscale (décrit à la <a href="#canaux">section 2.2</a>), tiers de droit américain.</li>
|
||
</ul>
|
||
|
||
<h2>10. Vos droits</h2>
|
||
<p>Conformément aux articles 15 à 22 RGPD, vous disposez des droits suivants :</p>
|
||
<ul>
|
||
<li>droit d'accès ;</li>
|
||
<li>droit de rectification ;</li>
|
||
<li>droit à l'effacement (« droit à l'oubli ») ;</li>
|
||
<li>droit à la limitation du traitement ;</li>
|
||
<li>droit à la portabilité, dans un format structuré, couramment utilisé et lisible par machine ;</li>
|
||
<li>droit d'opposition ;</li>
|
||
<li>droit de retirer votre consentement à tout moment, sans préjudice de la licéité du traitement fondé sur le consentement effectué avant le retrait (art. 7.3 RGPD).</li>
|
||
</ul>
|
||
<p>Vous disposez également du droit de ne pas être soumis(e) à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant (art. 22 RGPD). Zektyc ne prend aucune décision automatisée vous concernant.</p>
|
||
<p>Vous pouvez exercer ces droits à tout moment en nous contactant à : <a href="mailto:riric65@protonmail.com">riric65@protonmail.com</a>. Nous répondons dans un délai d'un mois maximum, conformément à l'article 12 RGPD. Pour toute communication sensible ou confidentielle, privilégiez l'e-mail ou Signal plutôt que Discord.</p>
|
||
<p>Vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou via <a href="https://www.cnil.fr" rel="noopener noreferrer" target="_blank">cnil.fr</a>.</p>
|
||
<p>Zektyc ne désigne pas de délégué à la protection des données (DPO) : cette désignation n'est pas requise au regard de l'article 37 RGPD, les traitements réalisés n'étant ni à grande échelle ni fondés sur une surveillance systématique.</p>
|
||
|
||
<h2>11. Notification de violation de données</h2>
|
||
<p>En cas de violation de données à caractère personnel, nous en informons la CNIL dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, conformément à l'article 33 RGPD, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Si la violation est susceptible d'engendrer un risque élevé, vous en êtes également informé(e) directement, conformément à l'article 34 RGPD. Les journaux techniques étant conservés 14 jours au maximum, la fenêtre de détection est nécessairement limitée ; cela fait partie de notre choix de minimisation des données.</p>
|
||
|
||
<h2>12. Visiteurs situés hors de l'Union européenne</h2>
|
||
<p>Si la loi californienne sur la protection de la vie privée des consommateurs (CCPA) s'applique à vous : Zektyc ne vend pas vos données personnelles, n'en a jamais vendu et n'en vendra jamais. Aucune information vous concernant n'est cédée à des tiers à titre onéreux (« do not sell »).</p>
|
||
<p>Le site honore les signaux d'opposition Globale Privacy Control (GPC) et Do Not Track (DNT) : en pratique, ils n'appellent aucune mise en œuvre particulière, puisque aucune donnée n'est collectée ni traitée à des fins de suivi.</p>
|
||
<p>Les visiteurs situés dans d'autres juridictions bénéficient des mêmes garanties. Aucune donnée n'étant collectée volontairement, les exigences de ces réglementations sont pour l'essentiel sans objet en pratique.</p>
|
||
|
||
<h2>13. Mineurs</h2>
|
||
<p>Le site ne s'adresse pas spécifiquement aux mineurs et ne met en œuvre aucun mécanisme de collecte les visant. Nous ne collectons volontairement aucune donnée de mineurs. S'agissant du bot Discord, son utilisation est soumise aux conditions de Discord, qui exigent d'être âgé d'au moins treize (13) ans.</p>
|
||
|
||
<h2>14. Modifications de cette politique</h2>
|
||
<p>Nous pouvons modifier cette politique pour refléter des évolutions techniques ou légales. La version applicable est celle en ligne ; la date de dernière mise à jour figure en tête de page.</p>
|
||
|
||
<h2>15. Contact</h2>
|
||
<p>Pour toute question relative à cette politique, à vos droits, ou pour toute demande d'exercice de vos droits : <a href="mailto:riric65@protonmail.com">riric65@protonmail.com</a>.</p>
|
||
|
||
<p class="legal-note">Version anglaise disponible : <a href="/en/privacy-policy">Privacy Policy (EN)</a>.</p>
|
||
</main>
|
||
|
||
<footer id="f"></footer>
|
||
<script src="/js/theme.js" defer></script>
|
||
<script src="/js/components.js?v=6" defer></script>
|
||
</body>
|
||
</html>
|