Sécurité et RGPD

Hébergement

Hébergé en France, chez un hébergeur français

Les serveurs du service, ses sauvegardes et l'outil de mesure d'audience du site sont hébergés en France par OVH SAS, 2 rue Kellermann, 59100 Roubaix, France, société de droit français. Les polices et les scripts du site sont servis par nos propres serveurs : l'affichage d'une page ne contacte aucun service tiers.

Données des personnes qui cliquent

Quand quelqu'un ouvre un lien court ou scanne un QR code, nous enregistrons pour les statistiques du lien :

• l'instant du clic ;
• le pays ;
• le type d'appareil (ordinateur, mobile, tablette, robot) ;
• le nom du site d'origine, s'il est transmis (le domaine seul, jamais l'adresse complète de la page).

Le pays et le type d'appareil sont déduits de l'adresse IP et du navigateur sur nos serveurs, sans service tiers. L'adresse IP et le navigateur ne sont jamais conservés : ni en base de données, ni dans les journaux, ni dans les sauvegardes. Aucun cookie n'est déposé, aucun identifiant n'est attribué, aucun « visiteur unique » n'est compté.

Conservation des statistiques

L'historique des clics d'un workspace dépend de l'offre de son titulaire :

Quand la durée baisse (changement d'offre ou transfert d'un workspace), les clics plus anciens restent 30 jours avant d'être supprimés. Tout l'historique est effacé avec le workspace.

Sous-traitants

Aucune donnée n'est vendue ni partagée à des fins commerciales. Quatre prestataires interviennent :

Hébergement

OVH SAS, en France : toutes les données du service.

Envoi des e-mails

Scaleway SAS, établi en France, et, en secours, OVHcloud (OVH SAS), établi en France : l'adresse e-mail du destinataire et le contenu des e-mails du service (confirmations, avis de sécurité, factures).

Paiement

Mollie B.V., établissement de paiement établi aux Pays-Bas, dont les données sont hébergées chez Google Cloud (ce qui expose indirectement ces données au droit américain) : le nom de votre entreprise et votre adresse e-mail à la souscription, et les données de carte que vous saisissez sur sa page de paiement. Nous ne recevons jamais votre numéro de carte : seuls la marque et les 4 derniers chiffres nous sont transmis.

Certificats des domaines personnalisés

Actalis S.p.A., autorité de certification établie en Italie, et, en secours, Let's Encrypt (Internet Security Research Group, établi aux États-Unis) : le nom des domaines personnalisés que vous ajoutez, qui figure dans leurs certificats et, comme pour tout certificat, dans les journaux publics de transparence des certificats. Aucune autre donnée de votre compte ne leur est transmise.

Pour vérifier qu'un nouveau mot de passe n'a pas fuité, seuls les 5 premiers caractères de son empreinte sont envoyés au service Have I Been Pwned : ni le mot de passe ni votre adresse ne quittent nos serveurs.

Protection des comptes et des clés

• Mots de passe d'au moins 12 caractères, conservés sous forme chiffrée irréversible et refusés s'ils figurent dans une fuite connue.
• Double authentification par application, exigible par le propriétaire de chaque workspace.
• Clés API conservées sous forme d'empreinte : la clé complète n'est affichée qu'une fois, à sa création.
• Tentatives de connexion et de clés invalides limitées ; actions sensibles inscrites au journal de sécurité, conservé 12 mois.

Liens dangereux et abus

La destination de chaque lien est comparée à des listes publiques de sites malveillants et d'hameçonnage, téléchargées sur nos serveurs. Un lien qui y figure est bloqué et ne redirige plus ; ses propriétaires en sont prévenus.

Pour signaler un lien abusif : abus@lcrs.fr.

Mesure d'audience du site

Les visites des pages publiques de lcrs.fr sont comptées par un outil hébergé chez nous, en France, sans cookie, sans paramètre de campagne et avec une adresse IP tronquée avant tout enregistrement. Le tableau de bord, l'authentification et les liens courts ne sont jamais mesurés. Vous pouvez vous y opposer depuis la politique de confidentialité.