Politique de confidentialité

1. Qui traite tes données ?

Le directeur de la publication de CrowAccounts, identifié dans nos mentions légales, agit en tant que responsable de traitement au sens du Règlement Général sur la Protection des Données (RGPD). Pour toute question relative à tes données personnelles : contact@crowstudios.eu.

2. Quelles données sont collectées ?

À la création d'un compte : prénom, nom, adresse email, mot de passe (jamais stocké en clair — voir section 6), date de naissance et genre (facultatifs).

Selon les fonctionnalités que tu actives : numéro de téléphone, photo de profil, secret de double authentification (2FA), clé publique de tes clés d'accès (passkeys) — jamais la clé privée, qui ne quitte jamais ton appareil.

Automatiquement, pour la sécurité de ton compte : adresse IP, type d'appareil et navigateur, localisation approximative, horodatage des connexions et des actions sensibles (changement de mot de passe, activation/désactivation de la 2FA, nouvelle application autorisée, etc.).

Si tu enregistres une application OAuth ("Se connecter avec CrowAccounts") : les informations de cette application (nom, description, logo, URLs de redirection) et les statistiques de connexion agrégées de ses utilisateurs.

3. Pourquoi ces données sont-elles collectées ?

• Créer et sécuriser ton compte (authentification, 2FA, clés d'accès, détection de connexions suspectes) ;
• Te permettre de te connecter aux applications tierces CrowStudios via le protocole OAuth, en ne partageant que les informations (« scopes ») que tu as explicitement autorisées pour chaque application ;
• T'alerter par email en cas d'activité sensible sur ton compte (nouvelle connexion depuis un appareil inconnu, changement de mot de passe, activation/désactivation de la 2FA) ;
• Assurer la sécurité générale du service (limitation du nombre de tentatives de connexion, journal des événements de sécurité de ton compte).

4. Avec qui tes données sont-elles partagées ?

Tes données ne sont jamais vendues. Elles peuvent être partagées avec :

• Les applications tierces auxquelles tu choisis de te connecter via "Se connecter avec CrowAccounts" — uniquement les informations correspondant au scope que tu as accordé (nom d'utilisateur et photo de profil systématiquement, email seulement si autorisé), jamais ton mot de passe ni tes secrets 2FA ;
• Artaun Hosting, pour l'envoi des emails transactionnels (vérification d'adresse, réinitialisation de mot de passe, alertes de sécurité) ;
• Artaun Hosting, qui héberge le serveur et la base de données.

Tu peux consulter à tout moment la liste des applications autorisées et révoquer leur accès individuellement ou en une fois depuis ton tableau de bord ("Applications connectées").

5. Combien de temps tes données sont-elles conservées ?

• Les données de ton compte sont conservées tant que ton compte existe.
• Un compte créé mais dont l'adresse email n'est jamais vérifiée peut voir sa connexion bloquée après un délai de grâce.
• Le lien de vérification d'email expire après 24h ; le lien de réinitialisation de mot de passe expire après 30 minutes. Les deux sont supprimés après usage.
• Les jetons d'accès et de rafraîchissement OAuth expirent respectivement après 1 heure et 30 jours.
• La suppression de ton compte depuis le tableau de bord entraîne la suppression de tes données associées.

6. Comment tes données sont-elles protégées ?

• Ton mot de passe n'est jamais stocké en clair : il est haché avec bcrypt ;
• Les secrets d'authentification OAuth (client secrets, jetons de rafraîchissement) sont également stockés hachés ;
• La double authentification (TOTP) et les clés d'accès (passkeys, standard WebAuthn) sont proposées pour renforcer la sécurité de ton compte ;
• Les connexions inhabituelles déclenchent une alerte par email ;
• Le site applique une politique de sécurité du contenu (CSP) stricte et des limites de tentatives (anti brute-force) sur les points d'entrée sensibles.

7. Cookies

CrowAccounts utilise un cookie de session strictement nécessaire au fonctionnement du site (te garder connecté·e), qui expire après 24h ou à la déconnexion. Si tu actives l'option "Faire confiance à cet appareil" lors de la 2FA, un cookie supplémentaire est déposé pour t'éviter de ressaisir un code pendant 30 jours. Ces cookies sont strictement fonctionnels : CrowAccounts n'utilise aucun cookie publicitaire ou de traçage tiers.

8. Tes droits

Conformément au RGPD, tu disposes des droits suivants sur tes données personnelles :

• Droit d'accès et de portabilité : télécharge un export complet de tes données depuis ton tableau de bord, section Sécurité ;
• Droit de rectification : modifie tes informations personnelles directement depuis ton tableau de bord ;
• Droit à l'effacement : supprime ton compte à tout moment depuis ton tableau de bord ;
• Droit d'opposition et de limitation : contacte-nous à contact@crowstudios.eu ;
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si tu estimes que tes droits ne sont pas respectés.

9. Modifications de cette politique

Cette politique de confidentialité peut être mise à jour pour refléter des évolutions du service ou de la réglementation. La date de dernière mise à jour est indiquée en haut de cette page.