Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur datalogia.io est l'éditeur du service, dont l'identité complète figure dans les mentions légales.

Contact pour toute question relative aux données personnelles : rgpd@datalogia.io.

2. Données collectées

• Compte : adresse e-mail, pseudonyme, mot de passe (stocké haché par Supabase Auth), langue et réglages du compte, second facteur d'authentification si vous l'activez. Si vous vous inscrivez avec Google ou GitHub, le nom, l'adresse e-mail et l'image de profil que ce service nous transmet.
• Photo de profil : facultative. Si vous en ajoutez une, elle est stockée chez Supabase et accessible à qui connaît son adresse.
• Identifiants soumis pour analyse : selon ce que vous saisissez : adresse e-mail et numéro de téléphone (deux de chaque au plus), nom complet, pseudonyme, nom de domaine, adresse IP, adresse de portefeuille crypto. Rien d'autre n'est demandé.
• Attestation et mandat : avant chaque recherche, votre attestation, avec la date et votre adresse IP. Si vous signez un mandat de retrait, votre nom légal, la date et votre adresse IP.
• Résultats : sources de fuites trouvées, catégories de données exposées, gravité, suivi des demandes de retrait, plans d'enquête et images que vous y joignez, relevés dark web et données que vous y avez soumises.
• Paiement : identifiant client chez Stripe, formule, statut et dates de l'abonnement, achats de crédits, factures des paiements en cryptomonnaie. Avant chaque paiement, la preuve de votre consentement : version des conditions acceptée, demande d'exécution immédiate, date, montant et adresse IP. Les numéros de carte sont traités par Stripe : Datalogia ne les voit pas.
• Parrainage : votre code, les commissions et crédits gagnés. Pour un versement, le nom du titulaire, l'IBAN et le BIC du compte bancaire : nous les gardons avec la demande, et ils sont transmis par e-mail à notre support, qui fait le virement.
• Formulaires : contact et questions de la FAQ : adresse e-mail, nom pour la FAQ, message. Réservation de formation : prénom, adresse e-mail, tranche d'âge, genre (facultatif), domaine, pour qui, nombre de personnes, langue, plateforme, message. Demandes d'exercice de vos droits : identité, nature de la demande, échanges.
• Forum : les alertes que vous publiez et leurs images, signées de votre pseudonyme et visibles de tous.
• Navigation et sécurité : adresse IP, journaux techniques, événements d'audit, compteurs anti-abus qui portent votre adresse IP quelques minutes.

Le service est réservé aux personnes de 16 ans et plus. Si vous apprenez qu'un compte appartient à une personne plus jeune, écrivez-nous à rgpd@datalogia.io : nous le supprimons.

3. Finalités du traitement

• faire les recherches, la veille et les relevés dark web que vous demandez ;
• envoyer et suivre en votre nom les demandes de retrait, sous votre mandat ;
• gérer votre compte, vos paiements, vos crédits et le parrainage, versements compris ;
• répondre à vos demandes de contact, de formation et d'exercice de vos droits ;
• vous envoyer les notifications liées au service ;
• protéger le service et prévenir les abus, dont la recherche des données d'autrui sans droit ;
• garder la preuve de vos consentements et de vos mandats, et respecter nos obligations comptables.

Vos données ne sont ni vendues, ni utilisées à des fins publicitaires ou de profilage commercial.

4. Bases légales

• Exécution du contrat (art. 6.1.b) : compte, recherches sur vos propres identifiants, veille, relevés dark web, demandes de retrait, paiements, parrainage, formations.
• Intérêt légitime (art. 6.1.f) : sécurité, prévention des abus, suivi des erreurs, preuve des mandats et des consentements ; recherche d'identifiants dont vous attestez être titulaire ou pour lesquels vous avez un mandat (section 5) ; conservation temporaire des données issues de fuites.
• Consentement (art. 6.1.a) : enregistrement de votre navigation pour comprendre une panne (section 10). Vous le retirez quand vous voulez.
• Obligation légale (art. 6.1.c) : pièces comptables, réponses aux demandes d'exercice des droits.

5. Personnes qui n'ont pas de compte

Le service ne doit servir qu'à rechercher des identifiants dont vous êtes titulaire, ou pour lesquels la personne concernée vous a donné un mandat écrit. Avant chaque recherche, vous l'attestez.

Deux groupes de personnes sans compte sont concernés : celles dont un utilisateur recherche les identifiants en attestant en avoir le droit, et celles dont les données figurent dans les fuites que nous consultons (section 7 pour la durée). Elles ont les droits de la section 8.

Toute personne peut s'opposer à ce que ses identifiants soient recherchés, sans avoir de compte, en écrivant à rgpd@datalogia.io ou par notre formulaire. Les identifiants concernés sont alors ajoutés à une liste d'exclusion, où ils sont conservés sous forme d'empreinte (hachés), et non en clair.

6. Prestataires, destinataires et transferts

Vos données ne sont jamais vendues. Ces prestataires les traitent pour notre compte, sous contrat (article 28 du RGPD) :

D'autres destinataires reçoivent des données sans être nos prestataires :

Pour faire une recherche, l'identifiant que vous saisissez est envoyé aux types de sources ci-dessous, selon son type et la profondeur choisie. Elles ne reçoivent que cet identifiant, sans rien de votre compte.

Nous indiquons les pays que nous avons établis. Tenez les autres sources pour établies hors de l'Union européenne. Si vous exercez votre droit d'accès, nous vous donnons le nom de chaque source et de chaque destinataire qui a reçu vos données.

Transferts hors de l'Union européenne. Pour un prestataire établi hors de l'Union, le tableau indique la garantie : clauses contractuelles types de la Commission européenne, ou certification au cadre de protection des données UE-États-Unis (DPF). Pour une source établie dans un pays que la Commission reconnaît comme adéquat, le transfert repose sur cette décision. Pour les autres sources, nous n'avons ni contrat ni autre garantie : l'envoi se limite à l'identifiant recherché et n'a lieu que parce qu'une recherche est demandée. Si vous ne souhaitez pas que vos identifiants leur soient envoyés, ne lancez pas la recherche. Les courtiers établis hors de l'Union ne reçoivent votre demande de retrait que parce que vous nous avez chargés de l'envoyer.

Pour toute question sur ces transferts, ou pour obtenir une copie des garanties : rgpd@datalogia.io.

7. Durées de conservation

• Compte : tant qu'il existe. Sa suppression, depuis votre profil, est immédiate : le compte, ses fichiers et les données qui en dépendent sont effacés, sauf ce qui est dit plus bas pour les mandats et les pièces comptables.
• Scans et résultats : 12 mois après leur création, ou 6 mois si vous l'avez choisi dans vos réglages, puis suppression automatique, avec les demandes de suppression qui s'y rattachent.
• Cache technique des recherches : 30 jours.
• Données issues de fuites : adresses, noms, téléphones, pseudonymes, et mots de passe ou leurs empreintes, tels qu'ils figurent dans les fuites, y compris pour des personnes qui n'ont pas de compte chez nous. 12 mois après leur collecte, puis suppression automatique.
• Journaux d'audit et de sécurité, notifications : 12 mois. Les compteurs anti-abus disparaissent au bout de quelques minutes.
• Demandes de contact, de formation, de rétractation, relevés dark web : 24 mois. Pour un formulaire de contact, le délai court depuis la dernière activité, et votre adresse et votre message sont effacés dès la suppression de votre compte.
• Demandes de retrait aux courtiers : 3 ans après leur création, pour pouvoir prouver ce qui a été demandé en votre nom.
• Mandats : 5 ans après leur révocation, comme preuve de l'autorisation donnée. Un mandat survit à la suppression du compte : il est alors tenu pour révoqué à cette date.
• Demandes d'exercice des droits : 5 ans.
• Pièces comptables : 7 ans, au titre des obligations comptables belges : achats, paiements en cryptomonnaie, preuves de consentement au paiement, commissions et versements de parrainage (nom du titulaire et IBAN compris). Ces pièces sont gardées après la suppression du compte, sans lien avec lui.
• Veille : jusqu'à ce que vous retiriez l'information, ou avec le compte.
• Sauvegardes : une copie chiffrée de la base est faite chaque jour et gardée 14 jours. Une donnée effacée disparaît des sauvegardes au plus tard 14 jours après.

8. Vos droits

Conformément au RGPD (UE 2016/679) et à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, vous disposez des droits suivants :

• droit d'accès, de rectification et d'effacement ;
• droit à la portabilité de vos données ;
• droit d'opposition et de limitation du traitement ;
• droit de retirer à tout moment un consentement donné, sans effet sur ce qui a été fait avant.

Pour exercer ces droits, utilisez notre formulaire dédié ou écrivez à rgpd@datalogia.io. Nous répondons dans un délai d'un mois (art. 12 RGPD).

Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données (APD, autorité de contrôle belge).

9. Sécurité

• chiffrement en transit (TLS) et au repos ;
• authentification sécurisée et règles d'accès ligne par ligne dans la base (Row Level Security) ;
• en-têtes de sécurité stricts (HSTS, CSP) et journalisation des accès sensibles ;
• masquage des adresses e-mail, IBAN, adresses IP et secrets avant tout envoi à l'outil de suivi des erreurs.

10. Cookies et traceurs

Les cookies suivants sont déposés dans tous les cas, parce que le service ne fonctionne pas sans eux :

Votre navigateur garde aussi, sans cookie, votre réponse au bandeau, un code de parrainage le temps de l'onglet, et quelques préférences d'affichage. Ces valeurs restent chez vous ; le code de parrainage ne nous est transmis qu'au paiement.

Sans votre consentement, au titre de notre intérêt légitime à garder le service sûr : le suivi technique des erreurs (Sentry), avec masquage des données décrit en section 9, et le widget anti-robot de Cloudflare sur les pages de connexion, d'inscription et de mot de passe oublié. Aucun cookie publicitaire ni de mesure d'audience n'est déposé.

Une seule chose dépend de votre consentement : l'enregistrement de votre navigation, proposé par le bandeau. Il ne démarre que si vous avez cliqué sur « Accepter », il masque les textes, les champs de formulaire et les médias, et il ne sert qu'à comprendre une panne. Vous changez d'avis à tout moment avec le bouton « Cookies » du pied de page des pages publiques.

11. Modifications

Nous pouvons modifier la présente politique. En cas de changement important, vous êtes prévenu par e-mail. La date de mise à jour figure en haut de page.

Cette politique est rédigée en français. Les versions anglaise et allemande en sont la traduction ; en cas de divergence, le texte français fait foi.

12. Contact

Protection des données : rgpd@datalogia.io