Politique de confidentialité

1. Introduction

SecureVault est un gestionnaire de mots de passe auto-hébergé conçu avec la confidentialité au coeur de son architecture. La présente politique décrit comment vos données sont collectées, traitées et protégées conformément au Règlement Général sur la Protection des Données (RGPD - UE 2016/679).

En utilisant SecureVault, vous acceptez les pratiques décrites dans cette politique.

2. Responsable du traitement

SecureVault étant une application auto-hébergée, le responsable du traitement est l'administrateur de l'instance sur laquelle l'application est déployée. L'administrateur est responsable de la conformité avec les lois applicables en matière de protection des données.

3. Données collectées

Les données suivantes sont collectées et traitées :

• Données de compte : nom d'utilisateur, hash du mot de passe maître (bcrypt, coût 12), sel de chiffrement
• Données du coffre-fort : mots de passe, notes, cartes bancaires, contacts, documents — tous chiffrés avec AES-256-GCM côté serveur avec une clé dérivée de votre mot de passe maître
• Données de session : adresse IP, horodatage des connexions, agent utilisateur
• Journal d'activité : actions effectuées (connexion, ajout, modification, suppression), adresse IP, horodatage
• Pièces jointes : fichiers associés aux éléments du coffre-fort — compressés et chiffrés (AES-256-GCM)

4. Finalité du traitement

Vos données sont traitées pour les finalités suivantes :

• Stockage sécurisé : fournir un coffre-fort numérique chiffré pour vos informations sensibles
• Authentification : vérifier votre identité lors de la connexion
• Sécurité : détecter les tentatives d'accès non autorisées, connexions suspectes, et attaques par force brute
• Audit : maintenir un journal d'activité pour votre transparence et contrôle
• Partage : permettre le partage chiffré d'éléments entre utilisateurs

5. Base légale du traitement

Le traitement de vos données repose sur :

• L'exécution d'un contrat (Art. 6.1.b RGPD) : la fourniture du service de gestion de mots de passe
• L'intérêt légitime (Art. 6.1.f RGPD) : la sécurité de l'application et la prévention des fraudes
• Le consentement (Art. 6.1.a RGPD) : pour les fonctionnalités optionnelles comme le partage et l'accès d'urgence

6. Mesures de sécurité

SecureVault met en oeuvre les mesures de sécurité suivantes :

• Chiffrement AES-256-GCM pour toutes les données sensibles du coffre-fort
• Dérivation de clé PBKDF2 avec 100,000 itérations
• Hachage bcrypt (coût 12) pour le mot de passe maître
• Bases de données isolées par utilisateur (séparation des données)
• Protection CSRF sur toutes les actions
• En-têtes de sécurité : HSTS, CSP, X-Frame-Options, Permissions-Policy
• Limitation de débit contre les attaques par force brute
• Détection IP suspecte avec alertes de connexion
• Support 2FA/TOTP et clés d'accès WebAuthn
• Session sécurisée avec expiration automatique (30 minutes)

7. Durée de conservation

• Données du coffre-fort : conservées tant que le compte est actif
• Éléments supprimés : conservés dans la corbeille pendant 30 jours puis supprimés définitivement
• Journal d'activité : conservé pour la durée de vie du compte
• Sauvegardes automatiques : les 5 dernières sont conservées (les plus anciennes sont supprimées)
• Partages : expirés automatiquement après 10 jours

8. Transfert de données

SecureVault est une application auto-hébergée. Aucune donnée n'est transmise à des services tiers. Toutes les données restent sur le serveur que vous contrôlez. Il n'y a aucun outil d'analyse tiers, aucun cookie tiers, et aucune télémétrie.

9. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (Art. 15) : accéder à toutes vos données via le coffre-fort et le journal d'activité
• Droit de rectification (Art. 16) : modifier vos informations à tout moment
• Droit à l'effacement (Art. 17) : supprimer votre compte et toutes les données associées
• Droit à la portabilité (Art. 20) : exporter vos données via la fonctionnalité d'export chiffré
• Droit à la limitation (Art. 18) : limiter le traitement de vos données
• Droit d'opposition (Art. 21) : vous opposer au traitement de vos données

Pour exercer ces droits, contactez l'administrateur de l'instance SecureVault que vous utilisez.

10. Cookies

SecureVault utilise uniquement des cookies strictement nécessaires au fonctionnement :

• Cookie de session PHP : identifiant de session (HttpOnly, Secure, SameSite=Strict)
• Cookie de thème (sv_theme) : préférence de thème d'apparence (non sensible)

Aucun cookie de traçage, de publicité ou d'analyse n'est utilisé. Le consentement n'est pas requis car ces cookies sont strictement nécessaires (Art. 5.3 Directive ePrivacy).

11. Protection des mineurs

SecureVault n'est pas destiné aux enfants de moins de 16 ans. L'administrateur est responsable de s'assurer que les utilisateurs respectent cette condition d'âge minimum.

12. Notification de violation

En cas de violation de données à caractère personnel, l'administrateur s'engage à notifier les utilisateurs concernés dans un délai de 72 heures conformément à l'Article 33 du RGPD, et à prendre les mesures correctives nécessaires.

13. Modifications

Cette politique peut être mise à jour pour refléter les évolutions de l'application ou des exigences légales. La date de dernière mise à jour est indiquée en haut de cette page. Les utilisateurs seront informés de tout changement significatif.