Politique de confidentialité

Politique de confidentialité

Dernière mise à jour : 7 octobre 2026

1. Responsable du traitement

THEMIOT Informatique
Contact : simon.themiot@informatiquenevers.fr
Site : www.stprive.net

2. Données traitées

3. Utilisation des données

Les données sont traitées pour fournir et sécuriser le service de partage de fichiers. Elles ne sont ni vendues, ni utilisées pour la publicité ou le profilage. Aucun outil d'analyse, pixel ou cookie publicitaire tiers n'est utilisé.

Pour un partage chiffré de bout en bout, AES-256-GCM chiffre le contenu dans le navigateur avant son envoi. La clé se trouve dans le fragment de l'URL et n'est pas transmise au serveur. L'opérateur ne peut donc pas lire le contenu chiffré. Cette propriété ne signifie pas que le service est anonyme. Les métadonnées nécessaires au compte, à la sécurité et à l'exploitation restent traitées.

4. Bases juridiques

• Exécution du contrat pour fournir le compte et le service demandé
• Intérêt légitime pour protéger le service et prévenir les abus
• Consentement lorsqu'une fonctionnalité facultative l'exige
• Obligation légale lorsque le droit applicable l'impose
• Pour les copies remises aux prestataires d'une équipe : intérêt légitime de l'équipe cliente à prouver la mise à disposition et la consultation d'un document, et à défendre ses droits en cas de fuite

5. Sécurité et hébergement

• Hébergement des fichiers en France
• HTTPS avec TLS 1.2 ou TLS 1.3
• Chiffrement de bout en bout AES-256-GCM activé par défaut pour les partages de compte
• Durcissement, supervision et sauvegardes chiffrées de l'infrastructure
• Clé de contenu absente des requêtes HTTP pour les partages chiffrés de bout en bout

Les mesures sont adaptées au risque conformément à l'article 32 du RGPD. Le service est exploité conformément aux obligations du RGPD qui lui sont applicables. Le responsable de chaque traitement demeure responsable de sa propre conformité, notamment de la licéité du partage, des destinataires et de la durée de conservation choisie.

6. Copies remises aux prestataires d'une équipe

Avec le plan Team, un administrateur d'équipe peut remettre à un prestataire externe une copie en consultation seule d'un document. Pour ce traitement, l'équipe cliente est responsable du traitement et THEMIOT Informatique agit comme sous-traitant, selon l'accord de traitement des données.

• Chaque copie est validée avec la passkey de l'administrateur, puis inscrite dans un registre horodaté par une autorité d'horodatage qualifiée.
• Chaque ouverture et chaque page affichée par le prestataire sont inscrites, avant l'affichage, dans un journal chaîné par empreintes. Le prestataire en est informé avant toute consultation.
• Les pages de la copie portent un marquage invisible propre à cette copie. Il ne contient aucune donnée personnelle : un identifiant aléatoire, dérivé d'une clé que le serveur ne peut pas lire, permet seulement à l'équipe de retrouver de quelle copie provient une capture qui aurait fuité. L'analyse d'une image suspecte se fait dans le navigateur de l'administrateur, sans envoi au serveur.
• Le titre et le contenu du document restent chiffrés de bout en bout. Ils ne figurent ni dans le registre ni dans le journal.

Le registre et le journal sont conservés trois ans, puis effacés automatiquement. Ils sont gardés pendant cette durée même si l'équipe ou les comptes concernés sont supprimés, afin que l'équipe cliente puisse constater, exercer ou défendre ses droits en justice (article 17, paragraphe 3, point e, du RGPD). Ils sont alors rangés dans un coffre-fort que seul l'administrateur de la plateforme peut ouvrir, avec une passkey et pour quelques minutes, sur demande écrite du client. Chaque extraction depuis ce coffre-fort est elle-même inscrite dans le journal de la copie concernée. Sur instruction écrite du client, ces preuves peuvent être effacées avant la fin des trois ans.

7. Destinataires et transferts

Les données sont accessibles aux seuls destinataires nécessaires à l'exploitation du service et aux sous-traitants déclarés dans l'accord de traitement des données. Les fichiers sont hébergés en France. Les conditions et garanties applicables aux sous-traitants sont précisées dans cet accord.

8. Vos droits

Selon la situation, vous pouvez demander l'accès, la rectification, l'effacement, la limitation, la portabilité de vos données ou vous opposer à leur traitement. Écrivez à simon.themiot@informatiquenevers.fr. Vous pouvez également déposer une réclamation auprès de la CNIL.

Pour le registre et le journal des copies remises aux prestataires, adressez votre demande à l'équipe concernée, responsable de ce traitement. Nous l'aidons à y répondre. Pendant les trois ans de conservation, l'effacement peut être refusé lorsque ces preuves restent nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.

9. Cookies

PrivCloud utilise uniquement les cookies strictement nécessaires à l'authentification et à la gestion de session. Aucun cookie de suivi, d'analyse ou de publicité n'est utilisé.

10. Violation de données

Lorsqu'une violation de données personnelles présente les conditions prévues par les articles 33 et 34 du RGPD, elle est notifiée à la CNIL dans le délai applicable et les personnes concernées sont informées sans retard indu lorsque la réglementation l'exige.

11. Évolution de la politique

La présente politique peut être mise à jour. La date affichée en tête de page identifie sa version actuelle.