Cette politique décrit les données personnelles collectées par FerrLabs (Bryan Ferrando, Entrepreneur individuel, SIREN 104 243 951) en tant que responsable de traitement pour le service FerrVault, conformément au RGPD.

Architecture de chiffrement

FerrVault utilise un chiffrement par enveloppe. Chaque valeur de secret est chiffrée en AES-256-GCM sous sa propre clé de données (DEK), et chaque DEK est enveloppée par la clé de chiffrement (KEK) de son vault. La base de données ne stocke que des données chiffrées et des clés enveloppées.

Les KEK ne quittent jamais le service de gestion de clés qui les détient. Par défaut, il s'agit d'une clé que FerrVault gère pour vous dans OVHcloud KMS, ou dans le service de clés de FerrVault, dont la clé racine est elle-même détenue dans OVHcloud KMS ; les deux fonctionnent en France (région de Paris). Vous pouvez aussi utiliser une clé de votre propre KMS, qui reste alors sous votre propre contrat avec ce fournisseur.

Le déchiffrement a lieu sur nos serveurs. Pour servir une lecture autorisée, l'API FerrVault demande au KMS de désenvelopper la DEK et déchiffre la valeur en mémoire, pour cette seule requête. Le clair n'est jamais écrit sur disque ni dans les journaux, et chaque lecture est enregistrée dans le journal d'audit. Le personnel de FerrLabs n'a pas d'accès courant aux valeurs des secrets, mais FerrVault n'est pas chiffré de bout en bout : le service est techniquement en mesure de déchiffrer les secrets qu'il vous sert.

Données collectées

Compte : l'identifiant de votre compte FerrLabs. La connexion, l'adresse e-mail, le nom d'affichage et le mot de passe sont gérés par le service de comptes FerrLabs ; FerrVault y lit votre nom et votre e-mail pour indiquer qui a accès à un vault.
Organisation : nom, slug, taille d'équipe, pays.
Métadonnées des vaults et secrets : nom du vault, slug, description, propriétaire, membres, rôles. Nom du secret, historique des versions, timestamp de dernière rotation. Le contenu du secret, stocké chiffré comme décrit ci-dessus.
Journal d'audit : chaque accès à un secret (lecture, écriture, rotation, partage) avec acteur, adresse IP, user-agent, horodatage.
Cookies : fl_session (httpOnly, SameSite=Lax, durée 7 jours), strictement nécessaire au fonctionnement de l'authentification.
Logs serveur : conservation 30 jours.

Finalités

Authentification et accès au service.
Stockage et synchronisation de vos secrets chiffrés.
Fonctionnement, intégrité et sécurité de la plateforme (audit log, détection d'abus).
Facturation des abonnements payants.
Réponse aux obligations légales.

Bases légales (art. 6 RGPD)

Exécution du contrat (6.1.b) pour les comptes, vaults et abonnements.
Intérêt légitime (6.1.f) pour la sécurité, l'audit log et les logs serveur.
Obligation légale (6.1.c) pour les données comptables et fiscales.

Sous-traitants

OVH SAS : hébergement principal (France).
OVH SAS : OVHcloud KMS pour la garde des clés (KEK), région de Paris. Le KMS ne détient que les clés d'enveloppe ; le contenu des secrets, chiffré ou non, ne lui est jamais envoyé.
Stripe Inc. : paiement (États-Unis, certifié Data Privacy Framework), actif lors de l'activation d'un abonnement payant.
Resend : emails transactionnels, actif lors de l'envoi d'emails transactionnels.

Journal d'audit

FerrVault enregistre chaque accès à un secret dans un journal d'audit en mode append-only : acteur (utilisateur ou jeton de service), adresse IP source, user-agent, horodatage, action (lecture, écriture, rotation, partage) et référence du secret concerné. Le journal d'audit enregistre uniquement des métadonnées : jamais le contenu du secret.

Conservation : 90 jours, puis purge des entrées.

Durée de conservation

Donnée	Durée
Compte actif, vaults, secrets chiffrés	Tant que le workspace existe
Compte ou workspace supprimé	30 jours, puis purge définitive
Journal d'audit	90 jours
Logs serveur	30 jours
Données de facturation	10 ans (art. L.123-22 Code de commerce)

Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, de suppression, de portabilité, d'opposition et de limitation du traitement. Les valeurs de vos secrets vous restent accessibles à tout moment dans l'app, par l'API et par la CLI.

Pour exercer vos droits : privacy@ferrlabs.com.

Vous pouvez également déposer une réclamation auprès de la CNIL (cnil.fr).

Délégué à la protection des données (DPO)

FerrLabs n'a pas désigné de DPO. Ce n'est pas requis pour une micro-entreprise n'effectuant pas de traitement à grande échelle de données sensibles (art. 37 RGPD).

Transferts hors Union européenne

Lorsque applicable, vers des sous-traitants situés dans des pays disposant d'une décision d'adéquation ou certifiés Data Privacy Framework (Stripe Inc., États-Unis). Le stockage principal et la garde des clés (tous deux chez OVH, en France) sont situés en Union européenne.

Modifications

Cette politique peut être mise à jour. La date de dernière modification figure en haut de cette page.