Cette politique décrit les données personnelles collectées par FerrLabs (Bryan Ferrando, Entrepreneur individuel, SIREN 104 243 951) en tant que responsable de traitement pour le service FerrVault, conformément au RGPD.
<h2>Architecture de chiffrement</h2>
<p>
FerrVault chiffre vos secrets <strong>côté client</strong> avant tout envoi à nos serveurs
(chiffrement de bout-en-bout : la clé de chiffrement de données — DEK — est dérivée de votre
mot de passe maître et n'est jamais transmise en clair à FerrLabs). Les serveurs FerrVault
stockent uniquement des données chiffrées.
<strong>FerrLabs ne peut techniquement pas lire le contenu de vos secrets.</strong> Les clés
de chiffrement de DEK (KEK) sont gérées par Google Cloud KMS sous notre tenant GCP, en région
UE <code>eu-west1</code>. Conséquence : si vous oubliez votre mot de passe maître, vos
secrets sont irrécupérables — c'est par design.
</p>
<h2>Données collectées</h2>
<ul>
<li>
<strong>Compte</strong> : adresse e-mail, mot de passe maître (jamais stocké — seul un
vérificateur dérivé via Argon2id l'est), nom d'affichage, fuseau horaire, locale.
</li>
<li><strong>Organisation</strong> : nom, slug, taille d'équipe, pays.</li>
<li>
<strong>Métadonnées des vaults et secrets</strong> : nom du vault, slug, description,
propriétaire, membres, rôles. Nom du secret, historique des versions, timestamp de
dernière rotation. Le contenu <strong>chiffré</strong> du secret (texte chiffré opaque
pour FerrLabs).
</li>
<li>
<strong>Journal d'audit</strong> : chaque accès à un secret (lecture, écriture, rotation,
partage) avec acteur, adresse IP, user-agent, horodatage.
</li>
<li>
<strong>Cookies</strong> : <code>fl_session</code> (httpOnly, SameSite=Lax, durée 7 jours)
— strictement nécessaire au fonctionnement de l'authentification.
</li>
<li><strong>Logs serveur</strong> : conservation 30 jours.</li>
</ul>
<h2>Finalités</h2>
<ul>
<li>Authentification et accès au service.</li>
<li>Stockage et synchronisation de vos secrets chiffrés.</li>
<li>Fonctionnement, intégrité et sécurité de la plateforme (audit log, détection d'abus).</li>
<li>Facturation des abonnements payants.</li>
<li>Réponse aux obligations légales.</li>
</ul>
<h2>Bases légales (art. 6 RGPD)</h2>
<ul>
<li><strong>Exécution du contrat</strong> (6.1.b) pour les comptes, vaults et abonnements.</li>
<li>
<strong>Intérêt légitime</strong> (6.1.f) pour la sécurité, l'audit log et les logs
serveur.
</li>
<li><strong>Obligation légale</strong> (6.1.c) pour les données comptables et fiscales.</li>
</ul>
<h2>Sous-traitants</h2>
<ul>
<li><strong>OVH SAS</strong> — hébergement principal (France).</li>
<li>
<strong>Google Cloud Platform</strong> — Cloud KMS pour le wrapping de clés (custodie des
KEK), région UE <code>eu-west1</code>. KMS détient uniquement les clés de wrapping ; le
contenu chiffré des secrets n'est jamais envoyé à GCP.
</li>
<li>
<strong>Stripe Inc.</strong> — paiement (États-Unis, certifié Data Privacy Framework) —
actif lors de l'activation d'un abonnement payant.
</li>
<li>
<strong>Resend</strong> — emails transactionnels — actif lors de l'envoi d'emails
transactionnels.
</li>
</ul>
<h2>Journal d'audit</h2>
<p>
FerrVault enregistre chaque accès à un secret dans un journal d'audit en mode append-only :
acteur (utilisateur ou jeton de service), adresse IP source, user-agent, horodatage, action
(lecture, écriture, rotation, partage) et référence du secret concerné. Le journal d'audit
enregistre <strong>uniquement des métadonnées</strong> — jamais le contenu en clair du
secret, que FerrLabs ne peut pas déchiffrer côté serveur.
</p>
<p>Conservation : <strong>90 jours</strong>, puis purge des entrées.</p>
<h2>Durée de conservation</h2>
<table>
<thead>
<tr><th>Donnée</th><th>Durée</th></tr>
</thead>
<tbody>
<tr><td>Compte actif, vaults, secrets chiffrés</td><td>Tant que le workspace existe</td></tr>
<tr><td>Compte ou workspace supprimé</td><td>30 jours, puis purge définitive</td></tr>
<tr><td>Journal d'audit</td><td>90 jours</td></tr>
<tr><td>Logs serveur</td><td>30 jours</td></tr>
<tr>
<td>Données de facturation</td>
<td>10 ans (art. L.123-22 Code de commerce)</td>
</tr>
</tbody>
</table>
<h2>Vos droits</h2>
<p>
Conformément au RGPD, vous disposez des droits d'accès, de rectification, de suppression, de
portabilité, d'opposition et de limitation du traitement. <strong>Important :</strong> le
droit d'accès ne porte que sur les métadonnées (informations de compte, noms de vaults,
entrées du journal d'audit). Il ne s'étend pas au contenu chiffré de vos secrets, que
FerrLabs ne peut pas déchiffrer — vous seul, en tant que détenteur du mot de passe maître,
pouvez en produire le clair.
</p>
<p>Pour exercer vos droits : <strong>privacy@ferrlabs.com</strong>.</p>
<p>
Vous pouvez également déposer une réclamation auprès de la CNIL (<a href="https://www.cnil.fr"
>cnil.fr</a
>).
</p>
<h2>Délégué à la protection des données (DPO)</h2>
<p>
FerrLabs n'a pas désigné de DPO. Ce n'est pas requis pour une micro-entreprise n'effectuant
pas de traitement à grande échelle de données sensibles (art. 37 RGPD).
</p>
<h2>Transferts hors Union européenne</h2>
<p>
Lorsque applicable, vers des sous-traitants situés dans des pays disposant d'une décision
d'adéquation ou certifiés Data Privacy Framework (Stripe Inc., États-Unis). Le stockage
principal (OVH) et la custodie des clés (Google Cloud KMS) sont situés en Union européenne.
</p>
<h2>Modifications</h2>
<p>
Cette politique peut être mise à jour. La date de dernière modification figure en haut de
cette page.
</p>