Politique de confidentialité

Nous prenons la protection de vos données personnelles au sérieux – précisément parce que notre service travaille lui-même avec des occurrences et des indications de fuites sensibles. La présente déclaration vous informe des données que nous traitons, à quelle fin, sur quelle base juridique et pendant combien de temps.

1. Responsable du traitement

Ayzix IT Solution, Sebastian Scherf
Weyroth 96, 55543 Bad Kreuznach, Deutschland
E-mail : kontakt@zentrale-datenschutzstelle.de

La « Zentrale Datenschutzstelle » est un service privé et non une autorité publique ni un organisme public.

2. Hébergement et localisation des serveurs

Nos systèmes sont exploités sur des serveurs de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, en Allemagne. Aucun traitement n'a lieu en dehors de l'Union européenne, sauf mention expresse dans la présente déclaration (traitement des paiements, base de données de fuites). Un contrat de sous-traitance selon l'art. 28 RGPD existe avec l'hébergeur. La base juridique est l'art. 6 al. 1 let. f RGPD (intérêt légitime à une exploitation sûre et performante) ainsi que l'art. 6 al. 1 let. b RGPD à l'égard des clients.

3. Journaux du serveur

Lors de la consultation de notre site web, le serveur traite automatiquement : adresse IP, date et heure, URL consultée, référent, type de navigateur et système d'exploitation, volume de données transmis et code de statut. Ces journaux servent à la sécurité, à l'analyse des erreurs et à la défense contre les attaques (art. 6 al. 1 let. f RGPD) et sont supprimés au plus tard après 14 jours, sauf s'ils sont nécessaires à l'élucidation d'un incident de sécurité. Les journaux applicatifs ne contiennent ni mots de passe, ni contenus de documents, ni résultats de fuites.

4. Cookies et statistiques de visite

Nous utilisons les cookies techniquement nécessaires sans consentement, car l'Espace client ne fonctionne pas sans eux (§ 25 al. 2 n° 2 TDDDG, art. 6 al. 1 let. b et f RGPD). Tout le reste – les statistiques de visite décrites ci-dessous – n'est utilisé que si vous y consentez expressément lors de votre première visite.

Choix de la langue et du pays

Lors de votre première visite, nous déterminons votre pays à partir de votre adresse IP afin d’afficher le site dans la langue appropriée. La correspondance est établie exclusivement sur notre serveur à l’aide d’une base de données de pays stockée localement (DB-IP.com, licence CC BY 4.0) ; l’adresse IP n’est ni enregistrée à cette fin ni transmise à des tiers. Votre choix dans le menu des langues est conservé pendant un an dans les cookies zds_lang et zds_land (techniquement nécessaires, aucun consentement requis). La base juridique est l’art. 6, par. 1, let. f RGPD.

Statistiques de visite avec Microsoft Clarity (uniquement avec consentement)

Pour comprendre comment notre site web est utilisé et le rendre plus compréhensible, nous utilisons avec votre consentement le service Microsoft Clarity de Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande. Clarity enregistre la manière dont vous interagissez avec nos pages publiques : pages consultées et leur adresse, durée de visite, clics, mouvements de souris et défilement, type d'appareil, navigateur, système d'exploitation, taille d'écran, localisation approximative (dérivée de l'adresse IP) ainsi qu'un identifiant pseudonyme. Ces données servent à établir des statistiques d'utilisation, des cartes de chaleur et des relectures de session. Les saisies dans les champs de formulaire sont masquées avant la transmission.

Clarity n'est chargé que sur les pages publiques. Ne sont pas enregistrés : l'Espace client, l'Administration, la Vérification de mot de passe, les pages avec liens de confirmation, d'invitation ou de réinitialisation, la connexion à deux facteurs ainsi que les pages de résultats de la Vérification de numéro. Clarity dépose pour cela les cookies _clck (identifiant, jusqu'à 1 an) et _clsk (regroupement des pages vues d'une session, 1 jour) ; Microsoft peut en outre déposer les cookies CLID, MUID, ANONCHK, MR et SM utiliser.

La base juridique est votre consentement (§ 25 al. 1 TDDDG, art. 6 al. 1 let. a RGPD). Microsoft peut transmettre des données aux États-Unis ; Microsoft Corporation est certifiée selon le EU-US Data Privacy Framework (décision d'adéquation, art. 45 RGPD), les clauses contractuelles types de l'UE s'appliquent en complément. Microsoft traite également les données à ses propres fins, par exemple pour améliorer ses services ; plus d'informations : privacy.microsoft.com et Liste des cookies de Clarity. Les données sont supprimées chez Clarity au plus tard après 13 mois.

Révocation : Vous pouvez révoquer votre consentement à tout moment avec effet pour l'avenir en cliquant en pied de page sur « Paramètres des cookies » et choisir « Uniquement les nécessaires ». Clarity ne sera alors plus chargé et ses cookies seront supprimés. Le refus n'a aucun inconvénient pour l'utilisation de notre site web.

5. Inscription et compte client

Un compte est nécessaire pour utiliser l'Espace client. Nous traitons le type de compte (particulier/entreprise), le prénom et le nom, l'adresse e-mail, un mot de passe (exclusivement sous forme de hachage Argon2id, jamais en clair), pour les entreprises en plus le nom de l'entreprise, le domaine, le rôle et, en option, le numéro de TVA intracommunautaire, ainsi que l'heure et l'adresse IP de l'acceptation des CGV et de la politique de confidentialité. L'adresse e-mail est confirmée via un lien à usage unique et à durée limitée. Vous pouvez en option activer une authentification à deux facteurs (TOTP) ; le secret correspondant est stocké chiffré. Base juridique : art. 6 al. 1 let. b RGPD (contrat ou mesures précontractuelles). Les tentatives de connexion échouées sont journalisées pendant 30 jours pour prévenir les abus (art. 6 al. 1 let. f RGPD).

6. Données de mission : occurrences, dossiers, objets surveillés

Pour fournir notre prestation, nous traitons les données que vous nous transmettez pour la mission ou que nous collectons dans le cadre de la recherche : noms, adresses e-mail, domaines, numéros de téléphone et de fax, adresses, occurrences (source, URL, catégories de données, classification du risque, statut), dossiers (type, organisme, communication, délais, historique des événements) ainsi que justificatifs. Le principe de minimisation des données s'applique : nous ne collectons que ce qui est nécessaire à la mission concernée. Base juridique : art. 6 al. 1 let. b RGPD. Dans la mesure où vous enregistrez des données de tiers (p. ex. expéditeurs de Fax publicitaires), nous les traitons sur la base de l'art. 6 al. 1 let. f RGPD pour la sauvegarde de vos intérêts légitimes à faire valoir vos droits.

7. Vérification de fuites (Have I Been Pwned)

Pour la vérification d'adresses e-mail et de domaines vérifiés contre les fuites de données connues, nous utilisons l'API du service « Have I Been Pwned » (Superlative Enterprises Pty Ltd, Australie). La requête s'effectue exclusivement côté serveur via notre propre clé API ; l'adresse e-mail ou le domaine à vérifier est transmis au service. Nous stockons les résultats (nom de la fuite, date, catégories de données) chiffrés et ne les affichons qu'à l'utilisateur autorisé et au gestionnaire compétent. Les réponses mises en cache sont supprimées au plus tard après 7 jours. Les vérifications de domaine supposent la preuve de la propriété du domaine. Base juridique : art. 6 al. 1 let. b RGPD ; pour les transferts vers des pays tiers, nous nous appuyons sur les clauses contractuelles types du fournisseur (art. 46 al. 2 let. c RGPD).

Vérification de mot de passe : La vérification d'un mot de passe contre la base de données « Pwned Passwords » s'effectue entièrement dans votre navigateur. Seul un préfixe à cinq caractères du hachage SHA-1 est envoyé à api.pwnedpasswords.com (k-anonymat) ; la comparaison a lieu localement. Ni le mot de passe, ni le hachage complet, ni le préfixe, ni le résultat, ni votre adresse IP ne sont stockés ou journalisés par nous.

8. Traitement des paiements (Stripe)

Les forfaits payants sont facturés via Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande. Lors de la commande, vous êtes redirigé vers Stripe Checkout ; vous y saisissez vos données de paiement directement chez Stripe. Nous ne stockons aucune donnée de carte bancaire ni de compte. Nous transmettons à Stripe l'adresse e-mail, le nom ou le nom de l'entreprise, les identifiants internes de client, d'organisation et de forfait ainsi que l'adresse de facturation et, le cas échéant, le numéro de TVA intracommunautaire. Nous recevons de Stripe des données de statut et de facturation (statut de l'abonnement, numéro de facture, montant, statut du paiement). Vous gérez factures, données de paiement, changement de forfait et résiliation dans le Stripe Customer Portal. Base juridique : art. 6 al. 1 let. b RGPD ainsi que art. 6 al. 1 let. c RGPD (conservation fiscale et commerciale). Stripe peut transmettre des données vers des pays tiers et s'appuie pour cela sur les clauses contractuelles types de l'UE. Plus d'informations : stripe.com/de/privacy.

9. Transfert de documents, analyse antivirus et reconnaissance de texte

Vous pouvez transférer des justificatifs (PDF, PNG, JPG, EML). Chaque fichier est vérifié côté serveur quant à son type réel, analysé localement avec ClamAV avant validation et stocké dans un espace privé hors du répertoire web. La consultation n'est possible qu'après vérification des autorisations, via des liens signés de courte durée. Les Fax publicitaires sont analysés localement avec Tesseract (reconnaissance de texte) afin de saisir l'expéditeur, le numéro de fax, la date et la référence ; le texte reconnu est stocké chiffré. Aucun service OCR ou cloud externe n'est utilisé. Base juridique : art. 6 al. 1 let. b RGPD.

10. Demande d'accès aux données avec procuration : justificatif d'identité et preuve de représentation

À votre demande, nous ne faisons pas seulement valoir vos droits en tant que simple messager, mais intervenons nous-mêmes, avec une procuration que vous nous accordez, auprès des sociétés de renseignement de crédit, des courtiers en adresses et des bases de données d'entreprises. Pour cela, nous traitons en outre :

• Procuration : Votre déclaration, votre nom, lieu et date, votre signature tracée dans le navigateur ainsi que – pour prouver la signature – l'heure, l'adresse IP et l'identifiant du navigateur. Nous en générons un acte au format PDF et enregistrons sa somme de contrôle.
• Justificatif d'identité : la copie de votre pièce d'identité que vous avez transférée. Les organismes contactés peuvent exiger un justificatif en cas de doutes fondés sur votre identité (art. 12 al. 6 RGPD). Nous vous demandons expressément de masquer toutes les informations non nécessaires ; seuls le nom, la date de naissance, l'adresse et la validité sont requis.
• Pour les entreprises, en plus : la preuve de votre pouvoir de représentation (p. ex. extrait du registre du commerce) et votre fonction dans l'entreprise.

Nous transmettons la Procuration et le justificatif d'identité exclusivement aux organismes que vous avez sélectionnés et exclusivement avec la demande d'accès correspondante. Chaque copie transmise porte une mention visible avec la finalité et le destinataire et est ainsi identifiée comme copie (§ 20 al. 2 de la loi allemande sur les cartes d'identité). Aucune utilisation à d'autres fins n'a lieu.

Effacement : Nous supprimons les justificatifs d'identité et de représentation dès que tous les organismes contactés ont répondu, au plus tard 90 jours après le début de la campagne, immédiatement en cas de révocation – le fichier est ensuite définitivement supprimé sous 7 jours. Nous conservons l'acte de procuration comme preuve de notre mandat.

Révocation : Vous pouvez révoquer la Procuration à tout moment sans indication de motifs dans l'Espace client ou par simple e-mail (§ 168 BGB). Nous arrêtons alors immédiatement les courriers non encore envoyés.

Base juridique : art. 6 al. 1 let. b RGPD (exécution du contrat conclu avec vous) ainsi que art. 6 al. 1 let. c RGPD, dans la mesure où l'organisme contacté exige le justificatif d'identité. La présentation de la pièce d'identité est facultative ; sans elle, nous ne pouvons toutefois pas prendre en charge l'envoi en votre nom – vous pouvez dans ce cas envoyer les courriers vous-même.

11. Envoi d'e-mails

Nous envoyons les e-mails transactionnels (liens de confirmation, réinitialisation de mot de passe, rappels de délais, notifications de dossier, avis de facturation) ainsi que les demandes sortantes aux organismes via un serveur SMTP d'un hébergeur allemand avec lequel un contrat de sous-traitance existe. Nous journalisons le destinataire, l'objet, l'heure et le statut de remise, pas le contenu. Base juridique : art. 6 al. 1 let. b RGPD.

12. Notifications internes

Pour réagir rapidement aux nouvelles inscriptions, paiements ou demandes de contact, notre équipe reçoit des notifications internes via la messagerie Telegram. Ces notifications contiennent exclusivement des types d'événements et, le cas échéant, le nom d'une organisation, mais aucune occurrence, aucun résultat de fuite, aucun document ni aucune coordonnée de particuliers.

13. Formulaire de contact et contact par e-mail

Si vous nous écrivez via le formulaire de contact ou par e-mail, nous traitons vos informations (nom, adresse e-mail, objet, message, adresse IP, heure) pour traiter la demande. Base juridique : art. 6 al. 1 let. b RGPD ou art. 6 al. 1 let. f RGPD. Les demandes sont supprimées après traitement définitif, au plus tard après 12 mois, sauf obligations légales de conservation contraires.

14. Historique des événements et journal d'audit

Les actions liées à la sécurité (connexions, changements de statut, modifications d'autorisations, téléchargements, exports, actions d'administration) sont consignées dans un journal inaltérable et protégé contre la manipulation, avec l'heure, la personne agissante, l'enregistrement concerné et l'adresse IP. Cela sert à la traçabilité de vos dossiers, à la sécurité et au respect de notre obligation de responsabilité (art. 5 al. 2, art. 32 RGPD ; art. 6 al. 1 let. c et f RGPD).

15. Destinataires et sous-traitance

Les destinataires de données personnelles sont exclusivement : notre hébergeur (Hetzner), notre fournisseur de messagerie, Stripe (traitement des paiements), Have I Been Pwned (comparaison de fuites), Microsoft (statistiques de visite, uniquement avec consentement) ainsi que – dans le cadre des dossiers que vous nous confiez – les organismes concernés (p. ex. courtiers en données, exploitants d'annuaires, annonceurs) auxquels nous adressons en votre nom des demandes d'accès, d'opposition ou d'effacement. Des contrats de sous-traitance selon l'art. 28 RGPD existent avec les prestataires. Aucune transmission à des fins publicitaires n'a lieu.

16. Durée de conservation et effacement

• Données du compte : jusqu'à la suppression du compte ; ensuite 30 jours de carence, puis suppression définitive.
• Dossiers, occurrences et justificatifs : jusqu'à 3 ans après la clôture du dossier, puis suppression automatisée via des tâches de suppression planifiées ; plus tôt sur demande.
• Données de facturation et de paiement : 10 ans conformément au § 147 AO et au § 257 HGB.
• Statut de consentement (zds_consent) : 6 mois. Données statistiques chez Microsoft Clarity : 13 mois au maximum.
• Réponses de fuites mises en cache : 7 jours. Tentatives de connexion échouées : 30 jours. Journaux du serveur : 14 jours.
• Documents supprimés par vous : 30 jours de carence, puis suppression définitive.
• Justificatifs d'identité et de représentation de la Demande d'accès aux données : jusqu'à la clôture de la campagne, au maximum 90 jours, puis 7 jours de carence. Actes de procuration : 3 ans comme preuve du mandat.

17. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles selon l'art. 32 RGPD : chiffrement du transport (TLS, HSTS), chiffrement des champs particulièrement sensibles (secrets à deux facteurs, résultats de fuites, textes OCR) avec AES-256-GCM, hachages de mots de passe Argon2id, sessions côté serveur, protection CSRF, Content Security Policy, limitation de débit, services système durcis, séparation stricte des clients, sauvegardes quotidiennes chiffrées et tests de restauration réguliers. En raison de la sensibilité particulière des données de résultats et de fuites, une analyse d'impact relative à la protection des données selon l'art. 35 RGPD a été réalisée avant la mise en service.

18. Vos droits

Vous disposez d'un droit d'accès (art. 15 RGPD), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), de portabilité des données (art. 20) ainsi que d'opposition aux traitements fondés sur l'art. 6 al. 1 let. f RGPD (art. 21). Vous pouvez révoquer à tout moment les consentements accordés avec effet pour l'avenir. Pour cela, adressez-vous à kontakt@zentrale-datenschutzstelle.de. Vous avez en outre le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données (art. 77 RGPD), notamment auprès du délégué à la protection des données du Land compétent pour votre domicile ou pour notre siège.

19. Absence de décision automatisée

La classification des risques des occurrences et des indications de fuites sert exclusivement à votre information et à la priorisation. Aucune décision automatisée produisant des effets juridiques au sens de l'art. 22 RGPD n'a lieu.

20. Modifications

Nous adaptons la présente politique de confidentialité lorsque nos prestations ou la situation juridique changent. La version actuelle est disponible sous https://zentrale-datenschutzstelle.de/datenschutz.

Version du : 12.09.2026