Politique de confidentialité
Version 1.1 du 28 septembre 2026.
L’essentiel
- Ce site ne dépose aucun cookie. Il mesure sa fréquentation avec l’outil SiteBehaviour, sans cookie ni enregistrement de vos sessions.
- Nous ne lisons pas le contenu des boîtes que nos clients nous confient. Nous en gérons le stockage, pas la lecture.
- Les sauvegardes restent en France, chez OVH, répliquées sur trois zones de disponibilité indépendantes.
- Une question, une demande d’accès ou d’effacement :
contact@istorel.com, une personne vous répond.
1. Deux rôles à ne pas confondre
Pour le contenu sauvegardé, nous agissons en sous-traitant au sens du règlement (UE) 2016/679. Le client qui souscrit reste responsable de traitement : c’est lui qui décide quelles boîtes sont sauvegardées et pourquoi. Les engagements correspondants figurent à l’annexe 1 des conditions générales, qui vaut accord au sens de l’article 28 du règlement.
Pour tout le reste, la visite de ce site, le formulaire de contact, la création d’un compte, la facturation et les journaux de connexion, nous agissons en responsable de traitement. C’est cette partie que décrit la présente politique.
2. Ce que nous traitons, et pourquoi
| Traitement | Données | Finalité | Base légale | Conservation |
|---|---|---|---|---|
| Visite du site | adresse IP, page demandée, date, navigateur, dans les journaux techniques de l’hébergeur | sécurité et dépannage | intérêt légitime | selon la politique de journalisation de l’hébergeur |
| Formulaire de contact | nom, adresse email, entreprise si vous la renseignez, message | vous répondre | mesures précontractuelles | trois ans après le dernier échange |
| Compte et facturation | adresse de connexion, empreinte du mot de passe, type de compte, raison sociale ou nom, adresse postale, numéro de TVA | fournir le service et le facturer | exécution du contrat | durée du contrat, puis quatorze jours |
| Factures émises | identité et montants | obligation comptable | obligation légale, art. L. 123-22 du code de commerce | dix ans |
| Journaux de connexion | date, adresse IP, action réalisée dans l’application | sécurité du compte, preuve | intérêt légitime | douze mois |
| Emails envoyés par le service | adresse du destinataire, contenu du message de service | vous prévenir d’un échec ou d’une facture | exécution du contrat | le temps de l’acheminement |
| Contenu sauvegardé | messages, pièces jointes, métadonnées des boîtes déclarées par le client | fournir la sauvegarde | instructions du client, article 28 | durée du contrat, puis destruction |
Le mot de passe de connexion n’est pas conservé : seule son empreinte l’est, calculée par argon2id, et elle ne permet pas de le retrouver. Les mots de passe d’application que le client fournit pour chaque boîte sont chiffrés à l’enregistrement et ne ressortent d’aucune route.
3. Cookies et mesure d’audience
Sur ce site, aucun cookie et aucune régie publicitaire. Nous mesurons la fréquentation et la façon dont les pages sont parcourues (pages vues, clics, défilement) avec l’outil SiteBehaviour. Cet outil ne dépose aucun cookie. Ces mesures servent uniquement à améliorer le site : elles ne sont ni vendues, ni utilisées à des fins publicitaires. Les polices de caractères sont servies directement.
Dans l’application, un seul cookie, istorel_session.
4. À qui vos données sont transmises
Nous ne vendons rien, nous n’échangeons rien, et nous ne transmettons vos données à personne d’autre que les prestataires ci-dessous, chacun pour la part qui le concerne.
| Prestataire | Rôle | Lieu |
|---|---|---|
| OVH SAS | hébergement de l’application et stockage des sauvegardes | France |
| Scaleway SAS | conservation des sauvegardes de la base de données | France |
| Infomaniak Network SA | hébergement de ce site vitrine | Suisse |
| Stripe Payments Europe Ltd | encaissement des paiements | Irlande |
| Pennylane SAS | émission des factures | France |
| GetOnline Ltd (AuthSMTP) | acheminement des emails envoyés par le service | Royaume-Uni |
| Formspree Inc. | acheminement du formulaire de contact de ce site | États-Unis |
| SiteBehaviour | mesure de fréquentation de ce site | Union européenne |
Aucun de ces prestataires ne reçoit le contenu sauvegardé, à l’exception d’OVH, qui le stocke chiffré sans jamais avoir à le lire. Stripe ne nous communique pas votre numéro de carte : il ne quitte jamais son propre système.
5. Transferts hors de l’Union européenne
Les sauvegardes ne sortent pas de l’Union européenne. Trois exceptions, qui ne les concernent pas :
- La Suisse, où ce site vitrine est hébergé. Elle bénéficie d’une décision d’adéquation de la Commission européenne.
- Le Royaume-Uni, où transitent les emails que le service envoie, c’est-à-dire l’adresse d’un destinataire et le nom d’une boîte avec une date. Le transfert repose sur la décision d’adéquation concernant le Royaume-Uni, renouvelée en décembre 2025.
- Les États-Unis, où est établie la société qui achemine le formulaire de contact de ce site. Ce que vous écrivez dans ce formulaire y transite donc. Si vous préférez l’éviter, écrivez directement à
contact@istorel.com: c’est la même personne qui lit, et le message ne passe alors que par nos propres prestataires.
6. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur les données qui vous concernent.
Pour les exercer, écrivez à contact@istorel.com ou à LenoIT, 1 rue Anita Conti, 56000 Vannes, France. Nous répondons dans le mois. Nous pouvons vous demander de justifier votre identité, uniquement lorsque le doute est réel : c’est une protection, pas une formalité.
Si vos messages sont sauvegardés parce que votre employeur ou votre prestataire informatique a souscrit, adressez-vous d’abord à lui : nous agissons sur ses instructions, et nous ne pouvons pas décider seuls d’effacer ce qu’il nous a confié. Écrivez-nous quand même si vous ne savez pas à qui vous adresser, nous vous dirons qui est le responsable.
Vous pouvez enfin adresser une réclamation à la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
7. Sécurité
Les mesures techniques sont détaillées à l’annexe 2 des conditions générales. En résumé : les mots de passe d’application sont chiffrés en base par AES-256-GCM avec une clef maîtresse conservée hors de la base, l’accès aux boîtes est en lecture seule, chaque objet écrit est répliqué sur trois zones de disponibilité, et les actions d’administration sont journalisées.
En cas de violation de données à caractère personnel, nous prévenons la CNIL dans les soixante-douze heures et informons sans délai injustifié les personnes et les clients concernés.
8. Modifications
Cette politique porte une version et une date. Toute modification est publiée ici. Un changement de prestataire touchant aux données de nos clients leur est en outre annoncé trente jours à l’avance, comme le prévoient les conditions générales, et ils peuvent résilier sans frais s’ils le refusent.
9. Nous contacter
LenoIT, société à responsabilité limitée, 1 rue Anita Conti, 56000 Vannes, France, contact@istorel.com.
Vos demandes sont traitées par le gérant, qui est votre interlocuteur sur ce sujet. Voir aussi les mentions légales et les conditions générales.