Politique de confidentialité

1. Qui est responsable de vos données

Pour les données personnelles décrites ici, IntoClouds est le responsable du traitement. IntoClouds est exploité depuis Chișinău, en République de Moldavie. Pour toute question relative à la confidentialité, ou pour exercer vos droits, contactez hello@intoclouds.io.

Cette politique couvre les données personnelles de nos propres clients et titulaires de compte. Lorsque vous stockez les données personnelles d’autrui sur vos serveurs ou dans vos boîtes mail, vous êtes le responsable du traitement de ces données et nous agissons en tant que votre sous-traitant — voir notre avenant relatif au traitement des données.

2. Ce que nous collectons

Nous ne collectons que ce dont nous avons besoin pour fournir et sécuriser le service :

• Détails du compte — votre adresse e-mail, votre nom et le nom de votre organisation.
• Identifiants — votre mot de passe, stocké uniquement sous forme de hachage argon2id (jamais en clair) et, si vous l’activez, votre secret d’authentification à deux facteurs.
• Données de session — un cookie de session contenant un jeton aléatoire ; de notre côté, nous ne stockons qu’un hachage de ce jeton.
• Journaux techniques — les adresses IP apparaissent dans nos journaux serveur et sont utilisées par notre limitation de débit pour se protéger contre les abus.
• Métadonnées des ressources — les serveurs que vous créez (noms d’hôte, adresses IP, région, forfait), vos domaines et enregistrements DNS, et vos adresses de boîtes mail.
• Journal d’audit — un enregistrement de chaque action qui modifie un élément de votre compte (qui a fait quoi, sur quelle ressource et quand), que nous conservons à des fins de sécurité et de responsabilité.
• Métadonnées de facturation — abonnements, factures et montants. Nous ne recevons ni ne stockons pas votre numéro de carte ni d’autres identifiants de paiement — ceux-ci vont directement à Polar (voir section 4).
• Messages de support — tout ce que vous nous envoyez par e-mail ou via notre bot de support Telegram.

Les fonctions applicatives facultatives conservent les versions de configuration, déploiements et éléments de diagnostic. Les valeurs d’environnement et identifiants de base de données sont chiffrés au repos ; l’application les utilise sur le serveur choisi. Les API de lecture et exports de compte omettent les secrets.

Lors de la connexion à GitHub, nous conservons les identifiants d’installation, dépôt, workflow et build nécessaires pour vérifier déploiements et prévisualisations. GitHub reçoit les interactions d’autorisation et de workflow nécessaires à cette connexion.

Si vous liez les notifications Telegram, nous conservons votre identifiant de conversation privée, les services choisis, préférences d’événements et tentatives d’envoi. Les messages contiennent un résumé et un lien vers votre espace authentifié. Telegram traite l’identifiant et les messages pour les livrer. Vous pouvez déconnecter dans les paramètres ou envoyer /stop au bot de notifications.

Un propriétaire ou administrateur peut publier des libellés de services, leur état actuel, un historique public et des textes de maintenance sur une page d’état. Ces contenus deviennent accessibles sans compte. Les adresses d’abonnement et confirmations restent privées et servent aux mises à jour demandées par e-mail, pas à la publicité.

3. Pourquoi nous l’utilisons, et notre base légale

En vertu du RGPD, nous nous appuyons sur les bases légales suivantes :

• Exécution d’un contrat — pour créer et gérer votre compte, provisionner et exploiter vos serveurs, domaines, DNS et e-mail, et gérer la facturation.
• Intérêts légitimes — pour assurer la sécurité de la plateforme et pour prévenir et enquêter sur la fraude et les abus (par exemple, les adresses IP dans les journaux et les limites de débit, ainsi que le journal d’audit).
• Obligation légale — pour satisfaire à des exigences telles que la conservation des factures à des fins fiscales, et la fourniture de coordonnées exactes du titulaire aux registres de domaines, comme l’exigent les règles de l’ICANN et des registres.

Rapports internes sur les services

Les administrateurs utilisent les enregistrements existants des comptes, de facturation et de provisionnement pour des rapports agrégés sur l’activation, les paiements enregistrés et la fourniture des services. Ces rapports ne collectent aucun événement de navigation et n’ajoutent aucun pixel de suivi. Les téléchargements contiennent des nombres et montants agrégés sans identifiants clients.

4. Qui d’autre traite vos données

Nous ne partageons de données personnelles qu’avec les prestataires de services dont nous avons besoin pour faire fonctionner IntoClouds. Chacun agit dans le cadre d’un contrat et uniquement aux fins ci-dessous :

Hébergement — Hetzner

Hetzner Online GmbH (Allemagne) fournit l’infrastructure cloud sur laquelle tournent vos serveurs et nos systèmes. Nos propres systèmes et les données de votre compte se trouvent dans des centres de données de l’UE ; les serveurs que vous créez se trouvent dans la région que vous avez choisie pour eux, qui peut être hors de l’UE (voir la section 5).

Paiements — Polar

Polar agit en tant que Merchant of Record et prestataire de paiement. Polar collecte directement vos coordonnées de paiement et vos informations de facturation ; nous ne recevons que des métadonnées de facturation (comme le statut de l’abonnement et les montants des factures) et jamais les données de votre carte.

Domaines — bureau d’enregistrement et registre

Les nouvelles commandes d’enregistrement, de transfert et de renouvellement de domaines ne sont plus proposées. Connectez un domaine de votre bureau d’enregistrement actuel pour gérer le DNS. Les conditions ci-dessous s’appliquent aux anciennes commandes de domaines.

Lorsque vous enregistrez ou transférez un domaine, le bureau d’enregistrement et le registre de domaine concernés traitent les coordonnées du titulaire requises pour exploiter le domaine, comme l’imposent les règles de l’ICANN et du registre.

Résolution DNS — résolveur public Cloudflare

Lorsque vous nous demandez d’importer la zone DNS d’un domaine existant, nous interrogeons le résolveur DNS-over-HTTPS public de Cloudflare pour lire les enregistrements publics actuels de ce domaine. Cela envoie uniquement une requête DNS standard pour votre domaine — aucune donnée de compte — et uniquement pour les domaines que vous nous demandez d’importer.

Support — Telegram

Si vous nous contactez via notre bot de support Telegram, Telegram traite ces messages dans le cadre de l’acheminement de la conversation.

Nous ne vendons pas vos données personnelles et ne les partageons pas à des fins publicitaires.

5. Où vos données sont stockées

Les données de votre compte — tout ce qui figure à la section 2 — sont stockées dans l’Union européenne (Allemagne et Finlande). C’est là que tournent nos propres systèmes, et cela ne dépend d’aucun choix de votre part.

Les serveurs que vous créez sont un cas distinct, et c’est vous qui choisissez où ils tournent. Nous proposons des régions à Falkenstein et Nuremberg (Allemagne), Helsinki (Finlande), Ashburn en Virginie et Hillsboro en Oregon (États-Unis) et Singapour. Si vous déployez hors de l’UE, toute donnée personnelle que vous placez sur ce serveur est stockée dans ce pays : vous êtes le responsable de traitement de ces données, donc ce transfert et sa base légale vous appartiennent. Choisissez une région de l’UE si la résidence des données dans l’UE compte pour vous.

Certains des sous-traitants nommés ci-dessus peuvent également opérer depuis l’extérieur de l’UE ; lorsque cela implique un transfert de données personnelles dont nous sommes responsables, il est effectué sous une garantie appropriée telle que les clauses contractuelles types de la Commission européenne.

6. Combien de temps nous les conservons

• Données de compte — tant que votre compte est ouvert, et jusqu’à 90 jours après sa fermeture, après quoi elles sont supprimées ou anonymisées.
• Journaux d’audit — conservés pendant 12 mois à des fins de sécurité et de responsabilité.
• Factures et documents fiscaux — conservés aussi longtemps que la législation fiscale et comptable nous l’impose.

Les abonnements aux états exigent une confirmation par e-mail. Les adresses actives confirmées sont conservées tant que l’abonnement et la page publiée restent actifs. Le nettoyage supprime les adresses non confirmées sept jours après expiration, les désabonnées après 30 jours et les abonnements aux pages non publiées depuis 30 jours. La suppression s’effectue en lots limités en arrière-plan.

L’historique d’état, les maintenances terminées et les envois de notifications sont programmés pour suppression après 30 jours. Le nettoyage supprime les codes Telegram expirés et les liaisons désactivées après 30 jours. Déconnecter ou se désabonner arrête les envois en attente ; un message en cours d’envoi peut encore arriver.

7. Vos droits

En vertu du RGPD, vous avez le droit de :

• d’accéder aux données personnelles que nous détenons à votre sujet ;
• de rectifier les données inexactes ou incomplètes ;
• d’effacer vos données (« droit à l’oubli »), sous réserve de nos obligations légales de conservation ;
• de porter vos données — les recevoir dans un format structuré, courant et lisible par machine ;
• de vous opposer au traitement fondé sur nos intérêts légitimes ou d’en demander la limitation.

Pour exercer l’un de ces droits, écrivez à hello@intoclouds.io. Nous répondrons dans le délai prévu par la loi (normalement un mois).

8. Cookies et suivi

Nous utilisons un unique cookie de session strictement nécessaire pour vous garder connecté. Il contient un jeton de session aléatoire et est défini avec les attributs HttpOnly et SameSite afin qu’il ne puisse pas être lu par des scripts ni envoyé depuis d’autres sites.

Nous n’utilisons ni analyse de navigation, suivi publicitaire, empreinte numérique, ni cookies ou scripts de suivi tiers.

9. Prise de décision automatisée

Nous n’effectuons pas de prise de décision automatisée produisant des effets juridiques ou des effets significatifs de manière similaire à votre égard. Les processus automatisés comme la limitation de débit contre les abus et la suspension pour non-paiement suivent des règles fixes et publiées et ne constituent pas du profilage.

10. Enfants

IntoClouds est un service professionnel destiné aux adultes et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 18 ans. Si vous pensez qu’un enfant nous a fourni des données personnelles, contactez-nous et nous les supprimerons.

11. Réclamations

Si vous avez une préoccupation concernant la façon dont nous traitons vos données, contactez-nous d’abord à hello@intoclouds.io — nous aimerions avoir la possibilité d’y remédier. Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données, notamment dans le pays de l’UE où vous vivez ou travaillez.