Accord de traitement des données

« Responsable du traitement » désigne la personne physique qui crée et détient les données au sein de son coffre-fort Clavitor. Vous êtes toujours le Responsable du traitement de vos propres identifiants et données personnelles.

« Sous-traitant » désigne Clavitor.ai, l'entité qui fournit l'infrastructure d'hébergement, l'orchestration du chiffrement et les services de stockage de données pour le compte du Responsable du traitement.

« Personne concernée » désigne la personne physique dont les données personnelles sont traitées — il peut s'agir de vous (le Responsable du traitement) ou d'autres personnes dont vous stockez les données dans votre coffre-fort (membres de la famille, employés, clients).

« Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable stockée dans votre coffre-fort, y compris, mais sans s'y limiter : les identifiants, les mots de passe, les clés API, les données de cartes de paiement, les documents d'identité et les informations de contact.

« Traitement » désigne toute opération effectuée sur des données personnelles, y compris la collecte, le stockage, le chiffrement, la transmission, la sauvegarde et la suppression.

3.1 Traiter uniquement sur instructions documentées. Clavitor traite les données personnelles uniquement pour fournir le service de coffre-fort tel que décrit dans nos Conditions d'utilisation. Nous n'utilisons pas les données pour nos propres finalités, n'entraînons pas de modèles d'IA, ne dérivons pas d'informations et ne monétisons pas au-delà des frais d'abonnement.

3.2 Assurer la confidentialité. Tout le personnel de Clavitor ayant un accès potentiel à l'infrastructure est lié par des accords de confidentialité. L'accès est accordé selon le principe du moindre privilège et est consigné.

3.3 Mettre en œuvre des mesures de sécurité. Nous mettons en œuvre :

• Chiffrement de bout en bout : données chiffrées au repos et en transit
• Chiffrement à plusieurs niveaux (L2/L3) : champs d'identité chiffrés avec des clés dérivées de votre appareil (WebAuthn PRF) — non déchiffrables par nous
• Architecture à connaissance zéro : nous ne pouvons pas déchiffrer le contenu du coffre-fort ; seules les métadonnées (identifiants d'entrée, types, horodatages) sont lisibles
• Authentification basée sur l'appareil (WebAuthn) : aucun mot de passe stocké côté serveur
• Distribution géographique : 21 Points de Présence (POP) avec réplication chiffrée
• Réponse aux incidents : surveillance 24h/24 et 7j/7, alertes automatisées, procédures de violation documentées

3.4 Transparence des sous-traitants. Nous n'utilisons que les sous-traitants listés dans notre Liste des sous-traitants. Nous informons les abonnés 30 jours avant d'ajouter un nouveau sous-traitant.

3.5 Assister les droits des personnes concernées. Sur votre demande, nous vous aiderons à répondre aux demandes des personnes concernées exerçant leurs droits en vertu du RGPD/LPD (accès, rectification, effacement, portabilité, restriction, opposition). Remarque : En raison de l'architecture de chiffrement, nous ne pouvons pas accéder au contenu chiffré du coffre-fort ni le modifier ; l'assistance est limitée aux opérations au niveau du compte.

3.6 Assister les obligations de sécurité. Nous fournissons une documentation de sécurité, des résumés de tests de pénétration (NDA requis pour les détails) et des journaux d'audit sur demande.

3.7 Supprimer ou restituer les données. À la résiliation de votre abonnement, vos coffres-forts deviennent en lecture seule pendant 30 jours. Après 30 jours, les données du coffre-fort sont définitivement supprimées. Les sauvegardes de conformité sont détruites 30 jours après la suppression. Pour les comptes suspendus pour non-paiement, les données sont supprimées 30 jours après la suspension et les sauvegardes font l'objet d'une rotation 60 jours après cela. La suppression immédiate est disponible sur demande à tout moment. Les données ne peuvent pas être restituées sous forme déchiffrée (nous ne possédons pas les clés). Détails complets dans nos Conditions d'utilisation.

3.8 Audit et inspection. Sur préavis écrit de 30 jours, vous pouvez auditer notre conformité avec cet accord de traitement des données. Les audits sont menés à notre siège social de Zurich ou virtuellement. Nous fournissons la documentation pertinente ; l'accès direct à l'infrastructure nécessite une autorisation de sécurité.

3.9 Notifier les violations. Nous vous informons dans les 24 heures suivant la découverte de toute violation affectant vos données personnelles. Nous ne retarderons jamais la notification pour une enquête ou un examen juridique.

3.10 Documenter les activités de traitement. Nous tenons des registres des activités de traitement et mettons des résumés à disposition sur demande.

Vous garantissez que :

• Vous avez une base légale pour traiter les données personnelles dans votre coffre-fort
• Vous avez fourni des avis de confidentialité appropriés aux personnes concernées dont vous stockez les données
• Vous ne stockerez pas de données en violation des lois applicables
• Vous nous informerez rapidement de toute demande de personne concernée ou de toute demande réglementaire

Vos données de coffre-fort sont stockées chiffrées au Point de Présence (POP) géographiquement le plus proche de votre modèle d'accès. Les POP primaires et de secours sont dans des régions différentes pour la résilience. La liste complète des 21 POP avec les villes, les fournisseurs et les certifications de conformité est maintenue dans notre base de données POP.

Les fournisseurs d'infrastructure utilisés pour les POP comprennent : Amazon Web Services (17 POP, fournisseur principal pour la plupart des régions), ISHosting (Istanbul, Almaty, Bogotá) et HostAfrica (Lagos). Les opérations du siège de Zurich (facturation, administration) utilisent Hostkey.

Tous les POP sont soit :

• Dans des juridictions bénéficiant de décisions d'adéquation (UE, EEE, Suisse, Royaume-Uni, Canada, etc.)
• Liés par des Clauses Contractuelles Types (CCT) là où il n'existe pas de décision d'adéquation

En raison de notre architecture de chiffrement (connaissance zéro), même les données stockées dans des juridictions non adéquates sont techniquement protégées. Nous ne pouvons pas les déchiffrer ; les autorités locales non plus. La résolution DNS est gérée par Cloudflare ; aucune donnée de coffre-fort ne transite jamais par leur réseau.

Aucune donnée n'est déchiffrable par nous au repos. Le fichier du coffre-fort est chiffré et la clé de chiffrement n'est pas stockée sur le serveur. Lorsqu'un agent ou un utilisateur se connecte, il transporte la clé L1 avec lui — nous pourrions techniquement l'intercepter en transit (bien que nous ne le fassions pas, et que TLS empêche les tiers de le faire). Même avec L1, seules les métadonnées sont visibles. Les champs d'identifiants et d'identité restent scellés.

• L1 (Chiffrement du coffre-fort) : Le coffre-fort est chiffré au repos avec AES-256-GCM. La clé L1 de 8 octets est transportée par l'agent ou l'utilisateur à chaque requête — elle n'est pas stockée sur le serveur. Avec L1, les titres d'entrée, les types et les horodatages sont visibles. C'est le minimum opérationnel requis pour servir les requêtes.
• L2 (Champs d'identifiants) : Mots de passe, clés API, graines TOTP, jetons OAuth — chiffrés par champ avec une clé de 16 octets qui n'existe jamais sur le serveur. L2 est détenu uniquement par le navigateur de l'utilisateur et ses agents enregistrés. Nous ne pouvons pas déchiffrer les champs d'identifiants, et aucun processus côté serveur n'y a jamais accès.
• L3 (Champs d'identité) : Cartes de crédit, CVV, numéros de passeport, numéros de sécurité sociale, codes de récupération — chiffrés avec une clé de 32 octets d'entropie pure aléatoire, générée lors de la création du coffre-fort. L'utilisateur ne connaît pas cette clé. Nous ne l'avons pas. L3 n'existe jamais sur aucun serveur. Il est protégé en étant encapsulé avec la sortie de 32 octets du PRF de votre clé matérielle (empreinte digitale, visage ou clé de sécurité via WebAuthn PRF). Sans l'appareil physique, L3 ne peut pas être désencapsulé. Nous ne pouvons mathématiquement pas déchiffrer les champs d'identité, et nous ne pouvons pas être contraints de produire une clé que nous ne possédons pas.

Pour les demandes relatives à l'accord de traitement des données :

Délégué à la protection des données (DPO) Clavitor LLC c/o Johan Jongsma

Cet accord de traitement des données prend effet à la date de début de votre abonnement et reste en vigueur jusqu'à sa résiliation. Les modifications sont notifiées 30 jours à l'avance. La poursuite de l'utilisation vaut acceptation.

Dernière mise à jour : 25 mai 2026 · Version 1.1