Politique de confidentialité
Cette politique décrit comment Servor traite les données personnelles, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78‑17 du 6 janvier 1978 modifiée. Elle vaut également accord de sous‑traitance au sens de l'article 28 du RGPD pour les données que vous nous confiez.
1. Deux rôles distincts
La qualification de Servor diffère selon la nature des données. Cette distinction détermine qui répond de quoi.
- Servor est responsable de traitement pour les données liées à la relation commerciale : identification du compte, facturation, journaux de sécurité, support.
- Servor est sous‑traitant pour les données présentes dans vos contenus : sorties de commandes, journaux applicatifs de vos serveurs, configurations, contenus de sessions IA. Vous en êtes le responsable de traitement ; Servor n'agit que sur vos instructions, matérialisées par votre usage du Service.
En conséquence, il vous appartient de disposer d'une base légale pour les données personnelles que vous introduisez dans le Service, d'informer les personnes concernées, et de ne pas y verser de données sensibles au sens de l'article 9 du RGPD sans accord préalable avec Servor.
2. Responsable de traitement et contact
BENODE, société par actions simplifiée, RCS Le Havre 934 272 030, siège social 113 boulevard de Strasbourg, 76600 Le Havre, France.
- Contact protection des données : privacy@servor.app
- Contact protection des données : Benjamin François est le point de contact désigné pour la protection des données (l'article 37 du RGPD n'impose pas de DPO formel pour l'activité concernée), joignable à privacy@servor.app.
- Représentant dans l'Union : sans objet, le responsable de traitement étant établi dans l'Union européenne (article 27 du RGPD non applicable).
- Autorité de contrôle : Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
3. Données traitées
3.1 Données de compte
- adresse email professionnelle, nom et prénom lorsqu'ils sont renseignés ;
- identifiant du fournisseur d'authentification, avatar facultatif ;
- langue d'affichage, appartenance aux équipes et rôle associé.
3.2 Données techniques et de sécurité
- adresse IP, agent utilisateur et identifiant de requête, aux fins de sécurité, de limitation de débit et de diagnostic ;
- journal d'audit horodaté et chaîné des actions sensibles (création de serveur, exécution de commande, modification d'équipe, opérations de facturation) ;
- journaux applicatifs techniques.
3.3 Secrets — inaccessibles à Servor
Les identifiants de connexion à vos infrastructures sont chiffrés dans votre navigateur avant toute transmission. Servor stocke des données chiffrées dont il ne détient pas la clé de déchiffrement : ni les mots de passe, ni les clés privées, ni les phrases secrètes ne nous sont accessibles en clair, à aucun moment.
3.4 Contenus d'exécution et sessions IA
Les commandes exécutées, leurs sorties et les conversations avec le copilote sont conservées pour vous permettre de les consulter. Ces contenus peuvent incidemment comporter des données personnelles présentes sur vos serveurs — c'est le périmètre pour lequel Servor agit en sous‑traitant.
3.5 Données de paiement
Aucune donnée de carte bancaire n'est traitée ni stockée par Servor. Stripe les collecte directement. Nous ne recevons que les métadonnées nécessaires au suivi de l'abonnement : statut, montant, identifiant de transaction, marque et quatre derniers chiffres de la carte.
4. Finalités, bases légales et durées
| Finalité | Base légale | Durée de conservation |
|---|---|---|
| Fourniture du Service et exécution du contrat | Exécution contractuelle (art. 6.1.b) | Durée du contrat, puis 30 jours |
| Facturation et obligations comptables | Obligation légale (art. 6.1.c) | 10 ans (art. L.123‑22 C. com.) |
| Sécurité, traçabilité, prévention des abus | Intérêt légitime (art. 6.1.f) | Journaux d'audit : durée du contrat. Journaux techniques : 7 jours (information), 90 jours (alerte et erreur) |
| Métriques et historiques d'exécution | Exécution contractuelle (art. 6.1.b) | Métriques brutes : 7 jours. Agrégats horaires : 90 jours |
| Mesure d'audience du site vitrine | Intérêt légitime (art. 6.1.f) | Indicateurs agrégés, sans identifiant individuel |
| Communications produit | Intérêt légitime, ou consentement pour la prospection | Jusqu'à opposition ou retrait |
5. Sous‑traitants
Servor recourt aux sous‑traitants suivants, tous liés par un accord de traitement conforme à l'article 28 du RGPD. Toute évolution de cette liste sera portée à votre connaissance, conformément à l'article 28.2.
- Vercel Inc. — hébergement du site et du tableau de bord. Région : EU (fra1).
- Railway Corp. — hébergement de l’API, de la base de données, du cache et du stockage objet. Région : EU West.
- Clerk Inc. — authentification et gestion des facteurs MFA. Région : USA.
- Stripe Payments Europe Ltd. — traitement des paiements. Région : EU.
- Resend — acheminement des emails transactionnels. Région : USA.
- Vercel Inc. (Web Analytics) — mesure d’audience sans cookie. Région : USA.
- Anthropic PBC — inférence du copilote IA. Région : USA.
Les requêtes adressées au copilote IA, ainsi que le contexte technique du serveur concerné, sont transmis au fournisseur d'inférence. Ces données ne sont pas utilisées pour entraîner des modèles.
Un accord de sous‑traitance (DPA) conforme à l'article 28 du RGPD est mis à la disposition des clients sur simple demande, à privacy@servor.app.
6. Transferts hors Union européenne
Certains sous‑traitants sont établis aux États‑Unis : Clerk, Resend, Anthropic et Vercel (mesure d'audience). Les transferts correspondants reposent sur clauses contractuelles types de la Commission européenne (décision 2021/914), complétées de mesures supplémentaires (chiffrement de bout en bout des secrets, chiffrement en transit, minimisation des données) ; pour le Royaume‑Uni, l’Addendum international de transfert de données (IDTA) de l’ICO ; pour la Suisse, les CCT reconnues par le Préposé fédéral (PFPDT). Une copie des garanties mises en place peut être obtenue sur demande.
7. Sécurité
Les mesures techniques et organisationnelles suivantes sont effectivement mises en œuvre :
- chiffrement de bout en bout des secrets (dérivation Argon2id, AES‑256‑GCM, échange de clés X25519), la clé de déchiffrement ne quittant jamais le navigateur ;
- signature cryptographique des ordres d'exécution depuis le navigateur, vérifiée sur la machine cible ;
- chiffrement des communications en transit ;
- journal d'audit chaîné par empreintes et protégé en écriture seule au niveau de la base de données ;
- authentification multifacteur obligatoire, renforcée sur les opérations sensibles ;
- cloisonnement des données par équipe, avec clés de chiffrement distinctes par équipe ;
- revue à deux personnes de toute modification du code cryptographique.
En cas de violation de données susceptible d'engendrer un risque pour les personnes concernées, Servor notifie la CNIL dans les 72 heures et, lorsque le risque est élevé, informe les personnes concernées ainsi que les clients responsables de traitement dans les meilleurs délais.
8. Vos droits
Vous disposez des droits suivants sur vos données personnelles :
- accès, rectification et effacement ;
- limitation et opposition au traitement ;
- portabilité dans un format structuré et lisible par machine ;
- retrait du consentement à tout moment, sans effet rétroactif ;
- définition de directives relatives au sort de vos données après votre décès.
Ces droits s'exercent auprès de hello@servor.app. Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, avec information préalable. Si les données concernent le contenu d'un client pour lequel Servor agit en sous‑traitant, la demande est transmise à ce client, seul responsable du traitement.
Vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.
9. Vos droits selon votre région
Les droits ci‑dessus s'appliquent à toute personne concernée. Selon votre lieu de résidence, des droits équivalents ou complémentaires peuvent exister ; nous les honorons dans les mêmes conditions et sans discrimination.
- Espace économique européen (RGPD) : accès, rectification, effacement, limitation, opposition et portabilité, et réclamation auprès de votre autorité de contrôle nationale, en complément de la CNIL.
- Royaume‑Uni (UK GDPR / Data Protection Act 2018) : mêmes droits ; réclamation possible auprès de l'Information Commissioner's Office (ICO). Les transferts depuis le Royaume‑Uni s'appuient sur l'Addendum international de transfert de données de l'ICO.
- Suisse (nLPD) : droits d'accès, de rectification et d'information sur les traitements ; réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT). Les transferts hors de Suisse reposent sur les clauses reconnues par le Préposé.
- Californie (CCPA/CPRA) : droit de savoir, d'accéder, de corriger et de supprimer vos informations personnelles, et de ne pas subir de traitement discriminatoire pour l'exercice de ces droits. Nous ne vendons ni ne « partageons » vos informations personnelles au sens du CCPA, et ne les utilisons pas à des fins de publicité comportementale inter‑sites : aucun mécanisme d'« opt‑out de la vente » n'a donc lieu d'être proposé.
- Brésil (LGPD) : confirmation de l'existence d'un traitement, accès, correction, anonymisation ou suppression, portabilité et information sur les partages ; réclamation auprès de l'Autorité nationale de protection des données (ANPD).
- Canada (PIPEDA) : accès à vos renseignements personnels et contestation de leur exactitude ; réclamation auprès du Commissariat à la protection de la vie privée du Canada.
- Autres juridictions : lorsque votre droit local confère des droits équivalents en matière de protection des données, nous les honorons sur demande dans les mêmes conditions.
Pour exercer l'un de ces droits, écrivez à privacy@servor.app. Nous pouvons être amenés à vérifier votre identité de manière proportionnée avant de donner suite.
10. Public visé
Le Service s'adresse exclusivement à des professionnels. Il n'est pas destiné aux mineurs et aucune collecte de données concernant des personnes de moins de 16 ans n'est effectuée intentionnellement.
11. Évolution de la politique
Cette politique peut être mise à jour pour tenir compte d'évolutions légales, techniques ou organisationnelles. Les modifications substantielles sont notifiées par email ou via l'interface au moins 30 jours avant leur entrée en vigueur.
Contact protection des données : privacy@servor.app