Politique de confidentialité

Article 1. Responsable du traitement

Le responsable du traitement est l'éditeur de PostShip : Thibault Morretton EI, entrepreneur individuel, 19 route de Lyon, 42400 Saint-Chamond, France, RCS Saint-Étienne 130 466 931. Ses coordonnées complètes figurent dans les mentions légales.

L'éditeur n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour lui. Pour toute question relative à vos données : contact@postship.fr, objet « Données personnelles ».

Article 2. Champ d'application

La présente politique vaut pour le site postship.fr, l'application, les courriels du service, l'API et le programme en ligne de commande. Elle concerne les personnes qui visitent le site, créent un compte, s'abonnent aux nouveautés ou écrivent à l'éditeur.

Elle ne vaut pas pour les sites que surveillent nos clients, ni pour les données que PostShip traite pour le compte de ses clients : celles-ci sont décrites à l'article 9, et relèvent de la politique de confidentialité du client concerné.

Article 3. Données traitées

Les vérifications ne portent que sur les adresses que vous configurez : PostShip n'explore pas votre site au-delà, et ne garde aucun corps de page.

Article 4. Finalités et bases légales

Aucune donnée n'est utilisée pour de la publicité, du profilage commercial ou une décision automatisée produisant un effet juridique à votre égard.

Article 5. Durées de conservation

Les sauvegardes ne servent qu'à rétablir le service après un incident. Une donnée supprimée disparaît des sauvegardes quotidiennes au bout de sept jours ; elle n'est jamais extraite d'une sauvegarde pour un autre usage, et si une sauvegarde devait être restaurée, les suppressions intervenues depuis sa date seraient appliquées de nouveau.

Article 6. Destinataires et sous-traitants

Vos données ne sont accessibles qu'à l'éditeur et, pour ce qui les concerne, aux sous-traitants suivants, liés par un contrat conforme à l'article 28 du RGPD. Aucune donnée n'est vendue à des tiers.

L'éditeur peut aussi communiquer des données à une autorité qui les demande dans le cadre de la loi.

Article 7. Transferts hors de l'Union européenne

Certains sous-traitants listés à l'article 6 peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y adhère, par le cadre de protection des données UE–États-Unis (« Data Privacy Framework »), reconnu adéquat par la décision de la Commission du 10 juillet 2023. Une copie des garanties applicables peut être obtenue à l'adresse contact@postship.fr.

Article 8. Journal du serveur et prévention des abus

Comme tout serveur web, celui de PostShip note chaque requête : l'adresse IP, la date, la page demandée, la page de provenance et le navigateur, tel que l'annonce l'en-tête User-Agent. Ce journal reste sur notre serveur, à Paris ; aucun service de géolocalisation n'intervient, et il n'est rattaché à aucun compte.

• Base légale : l'intérêt légitime (article 6.1.f du RGPD) à assurer la sécurité du service et à prévenir la fraude et les abus, une finalité que le considérant 49 du RGPD reconnaît expressément. Ces données ne servent ni à la publicité, ni au profilage, ni à la revente.
• Ce qui n'est pas collecté : aucune empreinte de navigateur (canvas, WebGL, polices), aucun identifiant inter-sites, aucun traceur publicitaire. Ces techniques exigeraient votre consentement et ne répondent à aucun besoin de sécurité.
• Conservation : le journal est effacé automatiquement au bout de 90 jours au plus.
• Opposition : vous pouvez vous opposer à ce traitement pour des raisons tenant à votre situation particulière (article 21 du RGPD), en écrivant à contact@postship.fr.

Les limites de débit — nombre de codes de connexion, d'essais ou de demandes de connexion d'un terminal par heure — reposent sur des compteurs par adresse IP, effacés au bout de deux jours.

Article 9. Données traitées pour le compte de nos clients

Pour certaines fonctions, PostShip traite des données au nom d'un client, qui en est le responsable du traitement ; PostShip est alors son sous-traitant, dans les conditions de l'article 8.2 des CGU.

• Abonnés d'une page de statut : l'adresse électronique de la personne qui s'abonne aux nouvelles d'une page de statut, confirmée par un lien avant tout envoi, et retirée par le lien de désinscription présent dans chaque message.
• Mesure de l'expérience réelle : quand un client l'active sur son site, les navigateurs de ses visiteurs envoient l'adresse de la page, des mesures de vitesse et, le cas échéant, les messages d'erreur de la page. L'adresse IP ne sert qu'aux compteurs anti-abus.
• Captures d'écran : les pages surveillées sont capturées telles qu'un visiteur les voit ; elles peuvent montrer des données qu'un client y publie.

Si vous êtes concerné par l'un de ces traitements, adressez-vous d'abord au client dont vous visitez le site ou la page de statut. L'éditeur transmet au client les demandes qu'il reçoit à ce sujet.

Article 10. Cookies et traceurs

PostShip dépose un cookie de session après la connexion, se souvient de vos choix d'affichage et, seulement si vous l'acceptez, mesure son audience. Le détail de chaque dépôt — nom, finalité, durée, base légale — et le moyen de revenir sur votre choix figurent sur la page Cookies.

Article 11. Vos droits

Vous disposez, sur vos données, des droits suivants :

11.1Les exercer vous-même

• Exporter vos données : Compte → Résumé → Vos données → Exporter.
• Corriger votre profil : Compte → Profil.
• Supprimer votre compte : Compte → Danger ; la suppression est immédiate et irréversible.
• Vous désinscrire d'un courriel facultatif : le lien présent au bas de chaque envoi.

11.2Les exercer par écrit

Pour toute autre demande, écrivez à contact@postship.fr, objet « Données personnelles ». Une réponse vous est apportée dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe ; vous en êtes alors informé. En cas de doute raisonnable sur votre identité, une information complémentaire peut vous être demandée, jamais une pièce d'identité quand l'adresse de votre compte suffit.

11.3Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), sur cnil.fr.

Article 12. Sécurité

L'éditeur met en œuvre des mesures techniques et organisationnelles adaptées au risque :

• chiffrement de toutes les connexions (HTTPS), y compris entre le serveur et la base de données ;
• accès aux données restreint dans la base elle-même, compte par compte, par des règles de sécurité au niveau des lignes (« Row Level Security ») ;
• connexion sans mot de passe, par code à usage unique ou clé d'accès, et double authentification exigible par le propriétaire d'un espace ;
• clés d'API gardées sous forme d'empreinte, révocables à tout moment ;
• protection contre les requêtes détournées vers des réseaux internes lors des vérifications ;
• sauvegarde chaque nuit, copie hebdomadaire hors de la machine, essais de restauration ;
• accès d'administration réservés à l'éditeur, et journalisés.

En cas de violation de données présentant un risque pour vos droits, l'éditeur la notifie à la CNIL dans les 72 heures après en avoir pris connaissance et, si le risque est élevé, vous en informe directement, conformément aux articles 33 et 34 du RGPD.

Article 13. Mineurs

Le service s'adresse à des professionnels et à des personnes majeures. Il n'est pas destiné aux mineurs de moins de quinze ans, et l'éditeur ne collecte pas sciemment leurs données.

Article 14. Modifications

La présente politique peut être mise à jour pour suivre l'évolution du service ou de la loi. Toute modification substantielle vous est notifiée par courriel et présentée à la connexion suivante ; la date de la version en vigueur figure en tête de page. La version française fait seule foi.