Politique de Confidentialité

Comment ILYGO Hawser collecte, utilise et protège vos données.

Art. 1Responsable du traitement

Le responsable du traitement des données personnelles collectées dans le cadre du service ILYGO Hawser est :

Raison sociale

ILYGO Sàrl

Siège

Chemin des Bossons 5, 1081 Montpreveyres, Suisse

IDE

CHE-135.509.084

Représentant légal

Julien Tscherrig, Gérant

Contact RGPD/nLPD

info@ilygo.ch

ILYGO Sàrl est une société à responsabilité limitée de droit suisse. La présente politique est rédigée conformément à la Loi fédérale suisse sur la protection des données (« nLPD », RS 235.1, en vigueur depuis le 1^er septembre 2023) ainsi qu'au Règlement Général sur la Protection des Données européen (« RGPD », règlement UE 2016/679) pour les utilisateurs résidant dans l'Espace Économique Européen.

Art. 2Définitions

• Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : toute opération effectuée sur des données personnelles (collecte, enregistrement, stockage, modification, communication, suppression, etc.).
• Sous-traitant : tiers qui traite des données pour le compte de ILYGO Hawser, sur ses instructions et selon ses politiques.
• Coffre : fichier chiffré .ivault contenant les hôtes, clés SSH, secrets et codes 2FA saisis par l'utilisateur. Le contenu du Coffre est chiffré côté client et n'est jamais accessible en clair par ILYGO.

Art. 3Données collectées

ILYGO Hawser collecte les catégories de données suivantes :

3.1 Données de compte

• Adresse e-mail — saisie à l'inscription, utilisée comme identifiant et pour les communications de service (vérification, sécurité, factures).
• Mot de passe — stocké uniquement sous forme de hash (Argon2id). Le mot de passe en clair n'est jamais transmis ni stocké.
• Secret TOTP et codes de récupération (si activés) — stockés respectivement chiffrés et sous forme hachée.
• Préférences de compte — langue, statut d'activation 2FA, statut d'abonnement.

3.2 Données de coffre (zero-knowledge)

Le Coffre lui-même (hôtes SSH, clés privées, mots de passe SSH, secrets, codes 2FA) est chiffré côté client avec une clé dérivée du mot de passe maître de l'utilisateur. Ce que nous stockons sur nos serveurs n'est qu'un blob binaire chiffré (AES-256-GCM) accompagné de métadonnées publiques minimales : taille du fichier, nombre d'éléments par catégorie (pour la facturation), date de dernière modification.

3.3 Données de facturation

• Identifiant Stripe client et identifiant d'abonnement — référence opaque renvoyée par Stripe, utilisée pour rapprocher un compte à son abonnement.
• Statut, plan et période d'abonnement.
• Données de carte bancaire — nous ne les collectons pas et ne les stockons jamais. Elles sont saisies directement sur l'environnement Stripe (PCI-DSS niveau 1). Nous ne recevons que les quatre derniers chiffres et la marque de la carte, à titre d'affichage.

3.4 Données techniques

• Journaux d'accès (adresse IP, user-agent, horodatage, code de réponse) — présents dans les journaux techniques du serveur, utilisés pour la détection de fraude, le diagnostic et la sécurité, et soumis à une rotation automatique (cf. art. 5).
• Evénements d'authentification (succès et échecs de connexion, activations 2FA, changements de mot de passe) — tracés dans ces mêmes journaux techniques éphémères. Nous ne tenons aucun journal d'authentification en base de données : ces événements ne sont pas archivés et ne sont pas consultables a posteriori au-delà de la fenêtre de rotation.
• Données minimales de diagnostic d'erreur côté serveur (pas de télémétrie côté application).

3.5 Données de communication

• Le contenu des e-mails que vous nous adressez (support, contact), pour le seul traitement de votre demande.

ILYGO Hawser ne collecte pas : adresse postale (sauf si vous nous la communiquez par e-mail), numéro de téléphone, données de localisation précise, données biométriques, données de catégorie particulière au sens de l'art. 9 RGPD / art. 5 al. 1 let. c nLPD.

Art. 4Finalités et bases légales

Chaque traitement répond à une finalité précise et à une base légale identifiée :

À ce jour, ILYGO Hawser n'envoie aucune communication marketing. Si cela devait évoluer, le consentement serait recueilli explicitement et de manière séparée (case à cocher décochée par défaut), et chaque communication offrira un mécanisme de désinscription à un clic.

Art. 5Durée de conservation

Nous conservons les données aussi longtemps que nécessaire au regard de la finalité poursuivie :

• Coffre chiffré et métadonnées de coffre (noms de coffres, tailles, compteurs déclarés, empreintes, horodatages, historique de versions) : tant que le Compte est actif. En cas de demande de suppression du Compte, celui-ci est immédiatement fermé et ses données sont conservées trente (30) jours — période pendant laquelle un rétablissement peut être demandé (voir ci-dessous) — puis définitivement supprimées de notre base.
• Données de compte (adresse e-mail, hash du mot de passe, secret TOTP et hashes des codes de récupération, préférences, statut d'abonnement) : même régime — supprimées avec le Compte à l'expiration des trente (30) jours.
• Blocs de données chiffrées sur les supports de stockage : effacés par un processus automatique d'assainissement, au plus tard 90 jours après la purge du Compte — délai aligné sur le cycle de destruction des sauvegardes, de sorte qu'à son terme il ne subsiste aucune copie du coffre, ni en ligne ni en sauvegarde. Ce décalage tient à la déduplication : un même bloc chiffré peut être référencé par plusieurs versions, y compris d'autres comptes, et il n'est effacé qu'après vérification qu'aucune autre référence ne subsiste — une suppression hâtive détruirait les données d'un utilisateur actif. Dès la purge, ces blocs ne sont plus rattachés à aucun compte, aucune adresse e-mail ni aucune métadonnée, et nous n'avons de toute façon aucun moyen de les déchiffrer.
• Sauvegardes d'infrastructure (reprise après sinistre, tous les Comptes sans distinction de formule) : instantanés globaux et immuables, conservés au maximum 90 jours puis détruits en bloc. Ils ne peuvent pas être expurgés sélectivement : les données d'un Compte supprimé peuvent y subsister jusqu'à la destruction de l'instantané. Ces sauvegardes ne sont accessibles à aucun utilisateur.
• Données de facturation : les pièces comptables (factures, justificatifs de paiement) sont émises et conservées par Stripe pendant 10 ans à compter de la fin de l'exercice comptable correspondant, conformément aux obligations légales de conservation (CO 958f). Les seules références conservées de notre côté (identifiant client Stripe, identifiant et statut d'abonnement) sont supprimées avec le Compte.
• Journaux d'accès et de sécurité : conservés de manière éphémère dans les journaux techniques des conteneurs, soumis à une rotation automatique continue qui écrase les entrées les plus anciennes. Ils ne sont ni archivés, ni indexés, ni conservés à long terme. Les adresses IP utilisées par les compteurs anti-abus vivent uniquement en mémoire et disparaissent à chaque redémarrage du service.
• Echanges de support : conservés tant que l'utilisateur a un compte actif, puis purgés sous 12 mois après suppression du Compte.
• Données nécessaires à un éventuel litige : conservées le temps de la prescription civile applicable (en général 10 ans en Suisse).

5.1 Suppression du compte et fenêtre de rétablissement

La suppression du compte s'effectue en self-service depuis hawser.ilygo.ch/billing, après re-saisie du mot de passe, ou sur demande écrite à hawser@ilygo.ch. Deux situations y font obstacle et doivent être réglées au préalable : un abonnement payant actif et non résilié, et le cas du dernier compte administrateur d'une instance (voir CGV art. 9.3).

Dès l'enregistrement de la demande, le compte est fermé : connexion refusée, sessions révoquées sur tous les appareils, accès API interrompu, liens de vérification et de réinitialisation en circulation neutralisés. L'adresse e-mail reste réservée pendant les 30 jours, condition nécessaire du rétablissement.

Pendant ces 30 jours, le rétablissement peut être demandé à hawser@ilygo.ch, depuis l'adresse e-mail associée au compte. Nous vérifions l'identité du demandeur avant toute remise en service. C'est une opération manuelle : il n'existe pas de parcours automatique. Le rétablissement porte sur le coffre chiffré, ses versions et ses métadonnées — il ne restitue aucun contenu en clair, l'accès au contenu supposant toujours le mot de passe maître (art. 9).

Passé ce délai, la purge est définitive et le rétablissement n'est plus possible. La copie locale du fichier .ivault sur l'appareil de l'utilisateur n'est jamais affectée par ces opérations.

Art. 6Sous-traitants

Pour fournir le service, ILYGO Sàrl recourt aux sous-traitants suivants. Chacun est lié par un accord de traitement conforme aux exigences nLPD/RGPD :

Aucun sous-traitant n'a accès au contenu du Coffre des utilisateurs en clair — l'architecture zero-knowledge l'empêche par construction.

Art. 7Transferts hors EEE/CH

Les données utilisateur principales (compte, coffre chiffré, sauvegardes) sont stockées exclusivement en Suisse. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne, ce qui permet le libre transfert de données depuis l'EEE.

Certains sous-traitants opèrent depuis ou via des entités situées dans l'Espace Économique Européen (Stripe Irlande, Apple Irlande). Les transferts vers ces entités s'effectuent sous le régime adéquat (décision d'adéquation suisse-UE).

Les transferts vers GitLab Inc. (États-Unis) concernent exclusivement les artefacts logiciels (images Docker) et ne portent sur aucune donnée utilisateur. Le cas échéant, ils sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et reconnues par le PFPDT suisse.

Art. 8Cookies et traceurs

Le site hawser.ilygo.ch n'utilise aucun cookie de tracking, aucun pixel publicitaire, aucun outil d'analytics tiers (Google Analytics, Facebook Pixel, etc.).

Les seuls éléments stockés sur votre appareil sont :

• Cookies/Local-Storage strictement nécessaires : préférence de langue (hawser_lang), jeton de session authentifié pour la zone de gestion de compte (Bearer JWT côté HTTPS), état d'interface (onglets ouverts). Ces données ne quittent jamais votre appareil sauf pour authentifier vos requêtes API auprès de ILYGO Hawser. Elles ne nécessitent pas de consentement RGPD au titre de l'exception « strictement nécessaire ».
• Cookies déposés par Stripe lors du processus de paiement, sur le domaine de Stripe et selon leurs propres règles. Ces cookies sont nécessaires à la sécurisation de la transaction (anti-fraude). Voir la politique cookies de Stripe.

Art. 9Sécurité et zero-knowledge

Les mesures de sécurité techniques et organisationnelles mises en œuvre incluent notamment :

• Chiffrement de bout en bout du Coffre (AES-256-GCM, clé dérivée Argon2id) ;
• Hachage des mots de passe utilisateurs (Argon2id) ;
• Authentification API par jetons JWT signés (HS256) à durée limitée ;
• HTTPS strict (TLS 1.2+) sur tous les endpoints publics ;
• Authentification à deux facteurs (TOTP RFC 6238) optionnelle pour les utilisateurs ;
• Sauvegardes chiffrées et géographiquement distribuées en Suisse ;
• Cloisonnement réseau et accès aux serveurs limité aux opérations strictement nécessaires ;
• Suivi opérationnel et alertes de sécurité ;
• Mises à jour de sécurité régulières sur les composants tiers.

Architecture zero-knowledge : par construction, ILYGO Sàrl ne dispose d'aucune capacité technique à déchiffrer le contenu du Coffre d'un utilisateur, même en cas de réquisition judiciaire. Seule la coopération volontaire de l'utilisateur (fournissant son mot de passe maître) permet d'accéder au contenu en clair.

Art. 10Vos droits

Conformément à la nLPD et au RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès — obtenir une copie des données personnelles que nous détenons à votre sujet ;
• Droit de rectification — corriger une donnée inexacte (par exemple, l'adresse e-mail associée à votre compte) ;
• Droit à l'effacement (« droit à l'oubli ») — demander la suppression de votre compte et des données associées, selon les modalités et les délais de l'article 5.1, et sous réserve des obligations légales de conservation (comptabilité) ;
• Droit à la limitation — demander la suspension de certains traitements ;
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine. Sur demande adressée à info@ilygo.ch, nous vous transmettons une copie structurée de vos données de compte, d'abonnement et de métadonnées de coffre, ainsi que votre coffre chiffré. L'extraction est réalisée manuellement par nos soins, dans le délai de 30 jours indiqué ci-dessous ;
• Droit d'opposition — vous opposer à un traitement fondé sur l'intérêt légitime ;
• Droit de retrait du consentement — pour les traitements basés sur votre consentement (à ce jour : aucun ; à terme, marketing) ;
• Droit de ne pas faire l'objet d'une décision automatisée (cf. art. 12).

Pour exercer l'un de ces droits, écrivez à info@ilygo.ch depuis l'adresse associée à votre compte. Nous répondrons dans un délai maximum de 30 jours. Nous pouvons être amenés à vérifier votre identité si nous avons un doute raisonnable.

Trois opérations sont disponibles en self-service depuis votre espace de gestion sur hawser.ilygo.ch/billing : suppression du compte, changement de mot de passe et désactivation de la double authentification. L'export de votre coffre chiffré et la copie structurée de vos données ne sont pas self-service : ils se demandent par e-mail, comme indiqué ci-dessus.

Le rétablissement d'un compte supprimé depuis moins de 30 jours n'est pas non plus self-service : il se demande à hawser@ilygo.ch depuis l'adresse e-mail associée au compte, et nous vérifions l'identité du demandeur avant toute remise en service (art. 5.1). Passé ce délai, les données sont purgées et le rétablissement n'est plus possible.

Art. 11Mineurs

Le service ILYGO Hawser est destiné aux utilisateurs âgés d'au moins seize (16) ans. Nous ne collectons pas sciemment de données concernant des enfants de moins de 16 ans. Si vous constatez qu'un mineur de moins de 16 ans nous a transmis des données, contactez-nous à info@ilygo.ch et nous procéderons à la suppression du compte concerné.

Art. 12Décision automatisée

ILYGO Hawser ne prend aucune décision produisant des effets juridiques à l'égard d'un utilisateur, ou l'affectant de manière significative de façon similaire, qui serait fondée exclusivement sur un traitement automatisé (profilage inclus). Les contrôles automatisés (anti-spam au signup, anti-fraude par Stripe, blocage des tentatives de force brute sur l'authentification) sont des mesures de sécurité ; tout litige est traité par un humain.

Art. 13Notification de violation

En cas de violation de la sécurité des données présentant un risque pour les droits et libertés des utilisateurs concernés, ILYGO Sàrl :

• notifie sans retard injustifié l'autorité de contrôle compétente (PFPDT et, le cas échéant, autorité européenne du pays de résidence de l'utilisateur), dans un délai maximum de 72 heures ;
• informe les utilisateurs concernés par e-mail lorsque la violation présente un risque élevé pour leurs droits et libertés ;
• documente l'incident, son ampleur, ses conséquences et les mesures correctives prises.

Note importante : l'architecture zero-knowledge limite mécaniquement l'impact d'une éventuelle compromission — les données extraites côté serveur ne sont, par construction, pas exploitables sans le mot de passe maître de l'utilisateur concerné.

Art. 14Recours

Si vous estimez que vos droits en matière de protection des données ne sont pas respectés, vous pouvez :

• nous contacter directement à info@ilygo.ch — nous nous engageons à examiner toute réclamation dans les meilleurs délais ;
• saisir l'autorité de contrôle :
  • En Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne — edoeb.admin.ch ;
  • Dans l'EEE : l'autorité de contrôle de votre pays de résidence ou de votre lieu de travail.

Art. 15Modifications de la politique

Nous pouvons être amenés à modifier la présente politique pour refléter des évolutions du service, de la réglementation ou de nos sous-traitants. La date d'entrée en vigueur affichée en tête de page est mise à jour à chaque révision. En cas de modification substantielle, les utilisateurs actifs sont informés par e-mail au moins 30 jours avant l'entrée en vigueur. La version applicable à un traitement donné est celle en vigueur au moment du traitement.

Art. 16Contact

Pour toute question relative à la présente politique ou à la protection de vos données :

E-mail

info@ilygo.ch

Courrier

ILYGO Sàrl
Chemin des Bossons 5
1081 Montpreveyres
Suisse