Politique de confidentialité

Qui nous sommes

Vonvon est une plateforme d’identité exploitée par Dupuu (« nous »). Cette politique explique comment les données personnelles sont traitées lorsque vous visitez vonvon.id ou lorsque vous vous connectez, créez ou gérez un compte via une page de connexion Vonvon.

Vonvon est aussi utilisé par des organisations et des applications pour connecter leurs propres utilisateurs. Lorsque vous vous connectez à une application ou à une organisation qui utilise Vonvon, cette organisation décide des finalités et des moyens du traitement de vos données, et nous les traitons pour son compte. Veuillez aussi lire la politique de confidentialité de cette organisation.

Les informations que nous collectons

Selon la façon dont vous utilisez Vonvon, nous traitons les catégories d’informations suivantes.

• Données de compte : adresses e-mail, numéro de téléphone si vous en ajoutez un, nom d’utilisateur, nom, nom d’affichage, adresse de la photo de profil, langue et fuseau horaire, ainsi que vos appartenances à des organisations et vos rôles.
• Identifiants : un hachage Argon2id salé de votre mot de passe (jamais le mot de passe lui-même), la partie publique de vos clés d’accès (la clé privée ne quitte jamais votre appareil), les secrets chiffrés des applications d’authentification, ainsi que des codes de secours, codes à usage unique et liens de connexion stockés sous forme hachée.
• Comptes liés : si vous choisissez de vous connecter avec un fournisseur social comme Google ou Apple, nous recevons les informations de profil que ce fournisseur nous transmet, comme un identifiant, une adresse e-mail, un nom et une photo. Les jetons du fournisseur sont stockés chiffrés.
• Sessions et appareils : à chaque connexion, nous conservons votre adresse IP, l’agent utilisateur du navigateur, le nom de l’appareil, une indication approximative de localisation, les méthodes de connexion utilisées et les horodatages, afin que vous puissiez consulter et fermer vos sessions.
• Journaux de sécurité : un journal d’audit en ajout seul des événements liés à la sécurité (connexions, changements de mot de passe ou de facteur, actions d’administration), avec le compte acteur, la cible, l’heure et l’adresse IP.
• Preuves de consentement : lorsqu’une organisation vous demande d’accepter des conditions ou des préférences marketing, le choix effectué, son horodatage et l’adresse IP d’origine.
• Messages : les e-mails, SMS ou messages WhatsApp que nous envoyons pour transmettre des codes, des liens et des invitations.
• Données de prévention des abus : des compteurs associés aux adresses IP et aux comptes pour limiter le débit, et le résultat des vérifications Cloudflare Turnstile sur les formulaires de connexion.
• Données d’utilisation des pages de connexion et de compte hébergées : informations sur les pages et événements, caractéristiques du navigateur et de l’appareil, et localisation approximative déduite de votre adresse IP, collectées via Google Analytics.
• Journaux techniques : journaux opérationnels de courte durée issus de nos Cloudflare Workers. Nous n’y consignons ni identifiants, ni cookies, ni corps de requête.

Le site public de Vonvon sur vonvon.id (la page d’accueil et cette politique) ne dépose aucun cookie et n’utilise aucun traceur d’analyse ou de publicité. Cloudflare traite néanmoins votre adresse IP pour diffuser les pages.

Cookies et technologies similaires

Les pages de connexion et de compte hébergées utilisent des cookies internes strictement nécessaires pour vous garder connecté et terminer une connexion en plusieurs étapes. Leurs noms commencent par __Host-vonvon et ils ne sont pas lisibles par d’autres sites. Vos préférences de langue et d’affichage sont conservées dans le stockage local de votre navigateur.

Ces pages chargent aussi Google Analytics, qui peut déposer ses propres cookies pour mesurer l’usage, et Cloudflare Turnstile, qui peut utiliser le stockage du navigateur pour distinguer les humains des robots. Vous pouvez les bloquer ou les supprimer dans les paramètres de votre navigateur.

Comment et pourquoi nous utilisons les informations

• Fournir la connexion, la gestion de compte et le contrôle d’accès (exécution d’un contrat, ou notre intérêt légitime à exploiter le service pour le compte de l’organisation à laquelle vous vous connectez).
• Protéger les comptes et le service contre la fraude, les abus et les attaques, notamment par la limitation de débit et les contrôles de fuite (intérêts légitimes).
• Envoyer des messages de service tels que les codes de vérification, les liens de connexion et les invitations (contrat, intérêts légitimes).
• Mesurer et améliorer les pages hébergées (intérêts légitimes, ou consentement lorsque la loi l’exige).
• Respecter nos obligations légales et constater, exercer ou défendre des droits en justice (obligation légale, intérêts légitimes).

Lorsque nous nous fondons sur le consentement, vous pouvez le retirer à tout moment sans affecter les traitements antérieurs. Nous ne vendons pas les données personnelles et ne les utilisons pas à des fins publicitaires.

Partage et prestataires

Nous ne partageons les données personnelles que dans la mesure nécessaire au fonctionnement de Vonvon.

• L’organisation ou l’application à laquelle vous vous connectez, dont les administrateurs peuvent consulter les informations de compte, les appartenances, les sessions et les événements d’audit de leurs membres.
• Cloudflare, qui héberge et diffuse Vonvon et fournit Workers, le stockage, les files d’attente, l’envoi d’e-mails, la protection contre les robots et la sécurité réseau.
• Un fournisseur de base de données PostgreSQL gérée, qui stocke les données de compte et de configuration.
• Google, pour l’analyse d’audience des pages hébergées et pour la connexion si vous choisissez Google, et Apple si vous choisissez de vous connecter avec Apple.
• Des prestataires d’envoi de SMS et de WhatsApp, comme Twilio ou Vonage, uniquement lorsqu’une organisation active les codes par téléphone.
• Have I Been Pwned, qui ne reçoit que les cinq premiers caractères du hachage SHA-1 d’un mot de passe afin de le comparer aux fuites connues.
• Un service de suivi des erreurs, qui reçoit des rapports d’erreur techniques sans corps de requête, cookies ni données utilisateur.

Nous pouvons aussi divulguer des informations lorsque la loi l’exige ou pour protéger des droits, la sûreté et la sécurité.

Transferts internationaux

Vonvon s’exécute sur le réseau mondial de Cloudflare ; vos informations peuvent donc être traitées dans des pays autres que le vôtre. Lorsque la loi l’exige, nous nous appuyons sur des garanties reconnues, comme les clauses contractuelles types ou une décision d’adéquation, pour les transferts hors de l’Espace économique européen, du Royaume-Uni ou de la Suisse.

Durée de conservation

• Les données de compte sont conservées tant que votre compte est actif.
• Les enregistrements de session sont supprimés après la fin ou l’expiration de la session. Les codes à usage unique et les liens de connexion expirent en quelques minutes, et ceux qui ont expiré sont nettoyés automatiquement.
• Les fichiers d’export de données personnelles restent disponibles 48 heures, puis sont supprimés.
• Lorsque votre demande de suppression aboutit, nous effaçons vos identifiants, vos informations de profil, vos appartenances et vos liens d’identité, et ne conservons qu’un enregistrement minimal du compte.
• Le journal d’audit est en ajout seul afin que toute altération soit détectable. Ses entrées ne sont ni réécrites ni supprimées lorsqu’un compte est effacé ; elles peuvent conserver un identifiant de compte pseudonymisé et une adresse IP, et le compte effacé apparaît comme supprimé.
• Les journaux opérationnels sont conservés pendant une courte durée, de l’ordre de quelques jours.

Vos droits

Selon votre lieu de résidence, vous pouvez disposer des droits d’accès, de rectification, d’effacement et de portabilité de vos données personnelles, du droit de limiter leur traitement ou de vous y opposer, de retirer votre consentement et d’introduire une réclamation auprès de votre autorité de protection des données.

Les utilisateurs connectés peuvent, depuis les pages de compte, consulter leurs sessions, télécharger une copie de leurs données (export de données personnelles) et demander la suppression. Une demande de suppression reste en attente 30 jours, période pendant laquelle vous pouvez l’annuler, puis s’exécute automatiquement. La suppression est refusée si elle laissait une organisation sans propriétaire ou une instance Vonvon sans gestionnaire ; transférez d’abord ce rôle.

Si vous utilisez Vonvon via une organisation ou une application, adressez aussi vos demandes à cette organisation, car c’est elle qui décide de l’usage de vos données. Vous pouvez aussi nous écrire à hello@dupuu.com ; nous répondrons dans les délais prévus par la loi.

Sécurité

Les mots de passe sont hachés avec Argon2id et un secret côté serveur, les clés de signature et de chiffrement sont stockées chiffrées, le trafic est protégé par TLS et les données de chaque locataire sont isolées au niveau applicatif. Aucun système n’est parfaitement sûr ; si une violation touche vos données personnelles, nous vous en informerons ainsi que les autorités, comme la loi l’exige.

Enfants

Vonvon ne s’adresse pas aux enfants de moins de 16 ans et nous ne collectons pas sciemment leurs données personnelles. Si vous pensez qu’un enfant nous a communiqué des données personnelles, contactez-nous et nous les supprimerons.

Modifications de cette politique

Nous pouvons mettre à jour cette politique. La date d’entrée en vigueur ci-dessus indique la dernière version, et nous rendrons visibles sur cette page les changements importants.

Contact

Dupuu exploite Vonvon. Pour toute question ou demande relative à la vie privée, écrivez à hello@dupuu.com.