Politique de confidentialité de Vitrina Engine

Ce document décrit ce que Infinity Curve LLC recueille quand vous utilisez Vitrina Engine, pourquoi nous le conservons, et ce que vous pouvez nous demander d’en faire. Nous en sommes le responsable du traitement.

Application: Vitrina Engine
Éditeur: Infinity Curve LLC
Adresse du siège: 76 Vazha-Pshavela Ave, 0186 Tbilisi, Georgia
Contact vie privée: privacy@vitrinaengine.com

Cette politique couvre le site Vitrina Engine ainsi que les applications Vitrina Engine pour iOS et Android.

La version courte : nous recueillons ce qu’il faut pour faire la surveillance et pour vous facturer, nous n’en vendons rien, il n’y a de publicité nulle part, la seule analytique est la nôtre sur nos pages publiques et elle ne stocke rien sur votre appareil, et nous ne voyons jamais les données de votre carte.

Ce que nous recueillons

Données de compte

Votre nom, votre adresse de courriel et l’empreinte de votre mot de passe; le nom de votre organisation; les rôles et les affectations d’espaces de travail des personnes que vous invitez. Les mots de passe sont hachés, jamais conservés sous une forme lisible, et ne peuvent pas être récupérés — seulement réinitialisés.

Ce que vous configurez

Les noms d’hôte, URL, adresses IP et autres cibles que vous nous demandez de vérifier, ainsi que tout identifiant que vous joignez à une vérification pour qu’elle puisse s’authentifier. Les identifiants et les secrets de signature de webhooks sont chiffrés avec une clé conservée hors de la base de données, de sorte qu’une sauvegarde de la base à elle seule ne les contient pas.

Ce que produit la surveillance

Temps de réponse, codes d’état, détails des certificats TLS, réponses DNS, texte d’erreur, et les incidents et notifications qui en découlent. Si un point d’accès surveillé renvoie des renseignements personnels dans un message d’erreur, ce texte sera conservé dans le résultat de la vérification et affiché dans l’alerte — évitez donc de pointer des vérifications vers des points d’accès qui font cela.

Abonnés aux pages d’état

Quand quelqu’un s’abonne à une de vos pages d’état, nous conservons son adresse de courriel et l’état de son abonnement. La confirmation se fait toujours par double adhésion : une adresse non confirmée ne reçoit rien d’autre que sa propre confirmation. Pour ces adresses, vous êtes le responsable du traitement et nous traitons pour votre compte.

Données techniques

Des journaux de serveur contenant l’adresse IP, l’agent utilisateur et le chemin de la requête, conservés 30 jours pour la sécurité et le débogage. Des témoins de session, qui sont strictement nécessaires. Nous ne déposons aucun témoin publicitaire, nulle part, jamais.

La politique sur les témoins les nomme tous un par un, avec leur rôle et leur durée. La version courte : les pages publiques ne déposent absolument rien.

Données de paiement

Aucune qui identifie une carte. Paddle.com Market Ltd est le marchand officiel : le paiement se fait chez eux, les données de carte sont saisies sur leurs systèmes, et nous ne recevons qu’une référence client, le forfait, le montant, la devise et l’état de l’abonnement. Aucun formulaire de ce produit n’accepte un numéro de carte.

Pourquoi nous le conservons, et sur quelle base

Pour fournir le service — exécution de notre contrat avec vous. Cela couvre votre compte, votre configuration et votre historique de surveillance.
Pour vous facturer — exécution du contrat et notre obligation légale de conserver des registres d’opérations.
Pour garder le service sécuritaire — notre intérêt légitime à prévenir les abus. Cela couvre les journaux et la limitation du débit.
Pour envoyer les courriels de service — exécution du contrat. Les alertes, les invitations et les avis de facturation ne sont pas du marketing et ne peuvent pas être désactivés tant que le compte est ouvert.

Combien de temps nous le conservons

Résultats individuels de vérifications : pendant la période de rétention brute de votre forfait, puis supprimés.
Historique de disponibilité agrégé : pendant la période de rétention d’historique de votre forfait.
Données de compte et de configuration : jusqu’à ce que vous supprimiez l’organisation, puis 30 jours.
Journaux de serveur : 30 jours.
Registres d’opérations : sept ans, comme l’exige la fiscalité.

Avec qui nous le partageons

Nous faisons appel à un petit nombre de sous-traitants, et à aucun autre. Ils sont nommés à un seul endroit plutôt qu’à deux : la liste des sous-traitants indique chacun d’eux, ce qu’il fait pour nous, quelles données lui parviennent, où il les traite et sur quelle base. Elle change le jour où cette liste change, et non le jour où cette page est modifiée — c’est tout l’intérêt de n’en avoir qu’une.

Trois sociétés que vous pouvez rencontrer n’y figurent délibérément pas, car elles n’agissent pas pour notre compte : elles décident de leurs propres finalités et vous en répondent :

Paddle — notre revendeur et le marchand officiel : c’est donc eux qui figurent sur votre facture, et non nous. Ils encaissent le paiement, gèrent la taxe et répondent à l’émetteur de votre carte, et ils décident eux-mêmes comment : ils sont responsables de traitement à part entière, avec leur propre politique de confidentialité envers vous, et non une société qui traite pour notre compte. Nous leur transmettons l’adresse e-mail et le nom du compte afin qu’ils puissent le facturer. Ils ne reçoivent jamais vos données de surveillance.
Google, Microsoft, Apple ou Huawei, si vous vous connectez avec eux — uniquement si vous le choisissez. Ils nous communiquent votre adresse e-mail et votre nom; ce qu’ils font du fait que vous vous êtes connecté ici les regarde, ce n’est pas nous qui le dirigeons. Vous pouvez utiliser un mot de passe à la place.
Telegram, si vous utilisez les alertes Telegram — uniquement lorsque quelqu’un lie une conversation Telegram. Le texte de l’alerte y est envoyé, nommant le moniteur et ce qui a échoué. Nous l’envoyons via notre propre robot, mais Telegram le traite en tant que fournisseur de messagerie de son propre utilisateur, et non pour notre compte. Un compte enregistré dans l’EEE a ses données Telegram stockées aux Pays-Bas.

Nous ne vendons pas de renseignements personnels, nous ne les partageons pas à des fins publicitaires, et nous ne les divulguons à quiconque d’autre que lorsque la loi l’exige.

Où ils sont traités

Les données de votre compte — organisations, usagers, moniteurs, incidents et leur historique — sont stockées et traitées dans l’Union européenne, sur des serveurs exploités par Contabo GmbH. Vos courriels partent également de l’intérieur de l’UE.

Comme c’est à l’intérieur de l’Espace économique européen, l’hébergement lui-même ne comporte aucun transfert hors de celui-ci. Ce qui régit notre relation avec le fournisseur d’hébergement est une entente de traitement au titre de l’article 28, et non des clauses contractuelles types.

Nous sommes établis en Géorgie et nous exploitons le service depuis là. Donc, même si vos données sont stockées dans l’UE, les personnes qui les exploitent y accèdent depuis l’extérieur de l’EEE — ce qui constitue un transfert international, et nous préférons le dire plutôt que de laisser « serveurs dans l’UE » laisser entendre autre chose. Pour les clients dans l’EEE et au Royaume-Uni, ce transfert est couvert par les clauses contractuelles types de la Commission européenne, énoncées dans notre entente de traitement des données.

Les vérifications s’exécutent depuis plusieurs pays. Pas vos renseignements personnels.

Surveiller, c’est faire des requêtes vers vos systèmes depuis plus d’un endroit, pour qu’une panne soit confirmée ailleurs que là où nous nous trouvons. Certains de ces points d’observation sont hors de l’EEE, et leur ensemble change à mesure que nous ajoutons et retirons de la capacité.

Aucun renseignement personnel ne leur est jamais envoyé. Lorsque la configuration d’une vérification pourrait contenir des renseignements personnels — un en-tête, un corps de requête — elle n’est exécutée que depuis l’intérieur de l’EEE. Ce n’est pas une politique que nous demandons aux gens de suivre : notre ordonnanceur ne placera pas une telle vérification ailleurs, et la restriction est testée contre une vraie base de données à chaque compilation.

Ce qu’un point d’observation hors de l’EEE reçoit, c’est l’adresse vérifiée et si elle a répondu. Il ne reçoit jamais d’identifiants de base de données, donc il n’y a rien à y perdre au-delà des vérifications qu’il exécute, et aucune d’elles ne conserve quoi que ce soit.

Nous ne listons délibérément pas les pays ici. Ils changent, et une liste exacte aujourd’hui cesserait de l’être en silence — ce qui est pire que de ne pas en publier. Si vous devez savoir exactement d’où s’exécutent les vérifications contre vos systèmes, y compris pour votre propre conformité, demandez-le-nous à privacy@vitrinaengine.com et nous vous le dirons, puis vous tiendrons informé si cela change.

Comment ils sont protégés

En transit, tout est chiffré, y compris le segment entre nos propres serveurs. Les identifiants que vous stockez chez nous — un secret de signature de webhook, un mot de passe SMTP — sont scellés en AES-256-GCM sous une clé conservée séparément. Les sauvegardes sont chiffrées avec une clé qui ne se trouve sur aucun des serveurs, donc une copie d’une machine n’est pas une copie de vos données.

Nos transferts vers Paddle.com Market Ltd et vers Bunny sont couverts par les clauses contractuelles types de la Commission européenne, et nous vous en enverrons une copie sur demande. Google et Microsoft relèvent de leurs propres conditions de traitement des données. Notre propre accès depuis la Géorgie est couvert par l’ entente de traitement des données. Les serveurs qui hébergent les données de votre compte sont dans l’EEE, tout comme celui qui sert vos pages d’état.

Vos droits

Vous pouvez nous demander une copie de vos données, leur correction ou leur suppression. Vous pouvez vous opposer à un traitement fondé sur l’intérêt légitime, et vous pouvez demander vos données dans un format portable. La plus grande partie, vous pouvez aussi simplement l’exporter ou la supprimer vous-même depuis le tableau de bord.

Écrivez à privacy@vitrinaengine.com et nous répondrons dans les 30 jours. Si vous êtes dans l’EEE ou au Royaume-Uni et que notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de votre autorité de contrôle locale. Au Canada, vous pouvez vous adresser au Commissariat à la protection de la vie privée du Canada ou, au Québec, à la Commission d’accès à l’information.

Sécurité

Le trafic est chiffré en transit. Les identifiants stockés et les secrets de canaux sont chiffrés avec une clé conservée hors de la base de données. Le cloisonnement entre clients est appliqué à la couche des requêtes plutôt que par convention, et chaque clé d’API est liée à l’adhésion qui l’a créée, de sorte que retirer l’accès de quelqu’un emporte ses clés avec lui.

Si vous croyez avoir trouvé une vulnérabilité, écrivez à security@vitrinaengine.com. Nous ne poursuivrons personne qui en signale une de bonne foi.

Modifications et coordonnées

Nous écrirons aux personnes responsables du compte avant qu’une modification importante prenne effet. Pour toute question sur ce document :

Infinity Curve LLC
76 Vazha-Pshavela Ave, 0186 Tbilisi, Georgia
privacy@vitrinaengine.com

Cette traduction est fournie à titre de commodité. En cas de divergence, la version anglaise prévaut.

Dernière mise à jour : 31 August 2026.