Politique de confidentialité

Cette politique explique quelles données personnelles sont traitées sur la Boîte à outils AlHost (bao.alhost.fr), pourquoi, et quels sont vos droits au titre du Règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.

Responsable du traitement

Alexandre Leitao (Entrepreneur individuel (EI)), 59 rue de l'Université, 93160 Noisy-le-Grand, France — SIRET 100 708 163 00025. Contact : contact@alhost.fr.

Données traitées

Données	Finalité	Base légale
Nom, adresse email, mot de passe (stocké sous forme de hash bcrypt)	Créer et sécuriser votre compte	Exécution du contrat (CGU)
Message de candidature	Examiner votre demande d'accès	Mesures précontractuelles
Contenus que vous déposez (coffre-fort, Kanban, notes, cartes, messages, tickets…)	Fournir le service	Exécution du contrat
Adresse IP, navigateur, date des actions (journal d'activité, sessions)	Sécurité, détection des abus, historique visible par vous	Intérêt légitime
Notifications	Vous informer des événements qui vous concernent	Exécution du contrat

Aucune donnée n'est vendue, louée ni utilisée à des fins publicitaires. Aucun outil de mesure d'audience ou de suivi publicitaire n'est utilisé.

Sécurité et chiffrement

Les contenus sont chiffrés en base de données (AES-256-GCM, une clé par espace). Les mots de passe ne sont jamais stockés en clair. Le serveur détient les clés nécessaires au fonctionnement du service : il ne s'agit pas d'un chiffrement de bout en bout. L'administrateur peut accéder aux données strictement nécessaires à l'administration du service (comptes, journal, tickets de support).

Destinataires et services tiers

Vos données sont accessibles uniquement à vous, aux personnes avec qui vous partagez un espace ou une conversation, et à l'administrateur dans le cadre décrit ci-dessus. Certaines fonctions font appel à des services externes :

• Have I Been Pwned (Pwned Passwords) — les mots de passe du coffre-fort sont vérifiés contre les fuites connues automatiquement, environ une fois par jour, et à la demande : seuls les 5 premiers caractères de l'empreinte SHA-1 sont envoyés, jamais le mot de passe ;
• XposedOrNot — lorsqu'un identifiant du coffre-fort est une adresse email, cette adresse est transmise à ce service environ une fois par jour pour détecter les fuites qui la concernent (fonction désactivable par l'administrateur) ;
• ipify.org / ipinfo.io — outil « Mon IP », uniquement quand vous l'ouvrez : votre navigateur interroge ces services, qui voient votre adresse IP ;
• les sondes Uptime contactent, depuis le serveur, les adresses que vous configurez.

Extension navigateur

L'extension « Boîte à outils AlHost » pour Chrome lit les pages que vous visitez uniquement dans votre navigateur, pour y repérer les formulaires de connexion et d'inscription ; aucune donnée de navigation (adresses visitées, contenu des pages) n'est collectée ni transmise. Elle échange avec ce site seulement :

• la liste de vos comptes du coffre (sans les mots de passe), pour proposer ceux du site visité ;
• le mot de passe d'un compte, au moment où vous demandez à le remplir ou à le copier (chaque utilisation est inscrite à votre journal d'activité) ;
• les identifiants d'un nouveau compte ou un mot de passe modifié, seulement si vous cliquez sur « Enregistrer ».

Elle se connecte par un jeton propre à votre navigateur (stocké localement, valable 90 jours sans utilisation), qui ne donne accès qu'au coffre-fort et se révoque depuis la page « Extension navigateur ». Aucune donnée n'est vendue ni transmise à des tiers.

Durées de conservation

• Compte et contenus : tant que le compte existe. À la suppression du compte sont effacés immédiatement : votre profil (nom, email), les espaces dont vous êtes propriétaire et tout leur contenu, vos tickets et vos notifications. Les messages et commentaires que vous avez laissés dans des conversations ou des espaces partagés avec d'autres personnes sont conservés mais anonymisés (affichés « Ancien membre », sans lien possible avec votre compte), afin que vos correspondants ne perdent pas d'informations utiles. Vous pouvez supprimer vous-même un message avant de supprimer votre compte.
• Éléments placés dans la corbeille : 30 jours.
• Journal d'activité (y compris après la suppression du compte, pour la sécurité) : 12 mois. Notifications : 90 jours. Historique des sondes : 7 jours.
• Sessions de connexion : 7 jours maximum.
• Candidature refusée : jusqu'à sa suppression par l'administrateur, au plus 12 mois.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Depuis la page Mon compte, vous pouvez directement :

• télécharger toutes vos données (fichier JSON) — droits d'accès et de portabilité ;
• modifier votre nom — droit de rectification (pour l'adresse email, contactez-nous) ;
• supprimer votre compte — droit à l'effacement.

Pour toute autre demande, contactez contact@alhost.fr ou ouvrez un ticket depuis la page Support ; une réponse vous est apportée sous un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Hébergement

Les données sont hébergées par OVH SAS (2 rue Kellermann, 59100 Roubaix, France), sur des serveurs situés en France (Union européenne). Elles ne sont pas transférées hors de l'Union européenne, en dehors des services externes listés plus haut.