Mentions légales

Éditeur et directeur de la publication

L’éditeur et directeur de la publication de ce site est Marien Fressinaud. Adresse : 4 bis rue Germain – 38100 Grenoble – France. Contact

Flus, micro-entreprise
RCS Grenoble 878 196 278
N° Siret : 878 196 278 00021

Hébergeur

Ce site est hébergé chez Hetzner Online GmbH. Adresse : Industriestr. 25 – 91710 Gunzenhausen – Allemagne. Téléphone : +49 (0)9831 505-0

Conditions générales

Données personnelles

Cette section traite de la gestion des données personnelles du site flus.fr, ainsi que les services accessibles aux adresses app.flus.fr et flus.io. Pour toute question ou réclamation, vous pouvez me contacter par message .

Si vous souhaitez vous protéger plus efficacement le temps de faire connaissance avec le service, voici un guide.

Conformément aux dispositions du règlement général sur la protection des données (RGPD), vous disposez d’un droit d’accès et de modification des données vous concernant.

Finalités des traitements de données

Les finalités (et bases légales) des différentes collectes de données concernant les services Flus sont les suivantes :

connecter les utilisateurs aux services (intérêt légitime) ;
adapter les interfaces des utilisateurs (intérêt légitime) ;
identifier les connexions illégitimes pour détecter des attaques (intérêt légitime) ;
mesurer les statistiques de visites (intérêt légitime) ;
personnaliser le profil des utilisateurs (consentement) ;
conserver les logs des visites (obligation légale) ;
établir des factures (obligation légale) ;

Données collectées

De manière générale

Votre visite sur l’un des sites mentionnés génère sur le ou les serveurs, et en toutes circonstances des logs, conservés pour une durée de 365 jours. Ces logs incluent adresse IP, date et heure de connexion, user agent et page visitée. Ceux-ci sont utilisés pour connaître l’activité sur la plateforme et répondre aux requêtes judiciaires. Ils peuvent être utilisés pour retrouver la source d’un problème survenant sur le site.

Des cookies de session et de connexion sont déposés sur le périphérique de l’utilisateur. Ils servent uniquement au bon fonctionnement du service (maintenir une connexion permanente avec le serveur) et en aucun cas à tracer l’utilisateur.

Concernant app.flus.fr

Les données collectées pour le service app.flus.fr :

une adresse courriel, permet la connexion au service et la communication avec l’utilisateur (obligatoire, privée, doit être validée) ;
un mot de passe, permet la connexion au service (obligatoire, privé, hashé) ;
un nom d’utilisateur, utilisé pour identifier publiquement l’utilisateur sur le service (obligatoire, public, peut être un pseudonyme).
l’adresse IP et le « user agent » de l’utilisateur (obligatoires, privés, le dernier octet de l’IP est anonymisé)
une langue, pour traduire l’interface de l’application (obligatoire, semi-publique).
une image de profil (avatar), pour distinguer visuellement les utilisateurs (facultative, publique).

Note : la langue n’est pas directement révélée publiquement, mais elle peut être devinée facilement.

Pour ce service, le document faisant foi se trouve sur GitHub.

Concernant flus.io

Les données collectées pour le service flus.io :

une adresse courriel, permet la communication avec l’utilisateur (obligatoire, privée, doit être validée) ;
un mot de passe, permet la connexion au service (obligatoire, privé, hashé) ;
un nom d’utilisateur, permet la connexion au service (obligatoire, privé, peut être un pseudonyme).

Concernant l’abonnement

Les données collectées dans le cadre de votre abonnement :

une adresse courriel (obligatoire) ;
les nom et prénom de l’acheteur (obligatoire) ;
une adresse de facturation (facultative).

Ces données sont utilisées pour établir les factures et vous l’envoyer. Elles ne sont pas rendues publiques. Je suis tenu légalement de conserver ces factures sur une période de 10 ans.

L’adresse courriel est également transmise au prestataire de paiement, Stripe afin de faciliter la saisie du formulaire de paiement (ça fait un champ en moins à remplir manuellement).

Par ailleurs, Stripe place deux cookies (__stripe_mid et __stripe_sid) lors de la redirection vers son service. Ceux-ci sont nécessaires au bon déroulé du paiement, mais sont supprimés dès lors que vous revenez sur le site. Cette suppression ne concerne pas d’éventuels cookies placés sur le domaine checkout.stripe.com, ce qui me serait techniquement impossible à réaliser.

Concernant les statistiques

Certaines données sont collectées dans le cadre du suivi des statistiques des visites :

l’URL de la page (obligatoire) ;
le site de référence (obligatoire) ;
votre navigateur, votre système d’exploitation et le type d’appareil (obligatoire) ;
votre pays (obligatoire).

Ces données sont collectées par Plausible qui est conçu pour ne pas vous suivre de manière intrusive. Cette solution est conforme au RGPD par conception et ne nécessite pas de dépose de cookie. Votre adresse IP est utilisée uniquement pour calculer certaines informations, mais n’est pas stockée.

Destinataires des données

Il existe un unique destinataire interne en la qualité de l’éditeur désigné plus haut dans ces mentions légales.

Les sous-traitants suivants peuvent également être amenés à avoir accès aux données :

Hetzner, en qualité d’hébergeur du serveur physique, a accès aux machines (Nuremberg, Allemagne) ;
rsync.net héberge les sauvegardes chiffrées des données sur un serveur dont je ne dispose pas de l’accès root (Zurich, Suisse) ;
Stripe (qui fournit l’interface de paiement) accède à votre adresse courriel. Il vous demandera par ailleurs les informations liées à votre carte bleue et peut être amené à vous redemander votre adresse postale s’il juge que le paiement est « risqué » (voir leur politique de confidentialité) ;
Plausible assure le suivi des statistiques de visites de mes sites. Voir leur politique des données et leur politique de confidentialité).

Sécurité

Les éléments suivants sont mis en œuvre pour assurer la sécurité du service :

Site accessible en HTTPS avec des configurations de sécurité modernes
Échanges chiffrés avec le prestataire de paiement
Traçabilité à travers la journalisation des accès (logs)
Mise à jour système et du service appliquée régulièrement
Sauvegarde journalière des données chiffrées sur un serveur externe avec BorgBackup
Une procédure existe en cas de faille de sécurité dans un ou plusieurs services