Politique de Confidentialité

Airlock ("nous", "notre", "nos") est un service de partage de fichiers sécurisé. Cette politique de confidentialité explique de manière détaillée quelles données nous collectons, pourquoi, sur quelle base légale, avec quels sous-traitants nous les traitons, combien de temps nous les conservons et quels sont vos droits. Elle s'applique au site airlck.com et à l'application (dashboard).

Le responsable du traitement est Joseph Michaut EI, 20 rue de la Grande École, 76400 Fécamp, France. Pour toute question relative à la protection des données : contact@airlck.com. Les informations complètes figurent dans les Mentions Légales.

En utilisant le service, vous reconnaissez avoir pris connaissance de cette politique. Sauf définition contraire, les termes employés ici ont le sens que leur donne le Règlement général sur la protection des données (RGPD).

Conformément à l'article 6 du RGPD, nous traitons vos données pour :

• Fournir le service de partage de fichiers et gérer votre compte — exécution du contrat ;
• Traiter les abonnements et la facturation — exécution du contrat et obligation légale (comptabilité) ;
• Assurer la sécurité, prévenir la fraude et les abus, et mesurer l'audience des liens partagés — intérêt légitime ;
• Vous envoyer des e-mails transactionnels et des notifications liées à votre compte — exécution du contrat ;
• Vous appeler au sujet de votre compte (prise en main, assistance, sécurité, facturation) — intérêt légitime ;
• Analyser un domaine avec Airlock Scan et vous envoyer le rapport que vous avez demandé : mesures précontractuelles prises à votre demande ; mesurer l'usage de l'outil et le protéger des abus : intérêt légitime ;
• Vous adresser des informations commerciales (nouveautés, conseils, offres) par email et vous appeler pour vous les présenter, si vous l'avez accepté — consentement, révocable à tout moment, simplement en nous le disant lors d'un appel ou en écrivant à contact@airlck.com (le retrait vaut pour l'email comme pour le téléphone) ; le lien de désinscription de nos emails commerciaux met fin à leur envoi.

Nous ne vendons ni ne louons vos données. Nous faisons appel à un nombre limité de sous-traitants techniques, liés par contrat et tenus à un niveau de protection conforme au RGPD, strictement pour faire fonctionner le service. Chacun n'a accès aux données que dans la mesure nécessaire à sa prestation :

• IONOS — hébergement de la plateforme (serveur en France). (France). Politique de confidentialité
• Scaleway Object Storage — stockage des fichiers à Paris (chiffrés en transit, et au repos en AES-256). (Paris, France · société française · certifié ISO 27001). Politique de confidentialité
• Google Firestore — base de données (métadonnées des comptes, dossiers, liens, statistiques). (Europe · société américaine). Politique de confidentialité
• Clerk — authentification et gestion des comptes (identité, sessions). (États-Unis · SOC 2 Type II). Politique de confidentialité
• Stripe — traitement des paiements et abonnements. (Irlande / États-Unis · société américaine). Politique de confidentialité
• Resend — envoi des e-mails transactionnels. (Société américaine). Politique de confidentialité
• Mapbox — Carte du suivi en direct (Société américaine). Politique de confidentialité
• HubSpot — CRM : synchronisation de votre identité (email, prénom, nom, téléphone), de votre choix de consentement et de compteurs d'usage agrégés pour la relation client. (Société américaine). Politique de confidentialité

Ville, pays et opérateur réseau sont déduits de l'adresse IP par une base de géolocalisation stockée sur nos serveurs (IP Geolocation by DB-IP, licence CC BY 4.0) : l'adresse IP n'est transmise à aucun service extérieur. Les coordonnées affichées sur la carte du suivi sont celles de la ville, pas la position du visiteur.

Cette liste de sous-traitants est susceptible d'évoluer ; la version à jour figure sur cette page. Au-delà de ces prestataires, nous pouvons aussi divulguer des données pour respecter une obligation légale, répondre à une demande valable des autorités, ou protéger nos droits et la sécurité du service.

Certains sous-traitants (notamment Clerk, Google Cloud, Stripe, HubSpot, Resend, Mapbox) peuvent traiter des données hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens du RGPD (clauses contractuelles types de la Commission européenne et/ou certification au Data Privacy Framework). Aucun transfert n'a lieu vers une organisation ou un pays sans contrôles adéquats garantissant la sécurité de vos données.

Vos fichiers sont stockés à Paris chez Scaleway Object Storage (API compatible S3), avec chiffrement en transit (TLS 1.2 minimum) et au repos (AES-256). Ils n'ont jamais d'adresse publique permanente : ils sont servis par notre serveur ou par des URLs présignées qui expirent, de 5 minutes à 2 heures selon l'usage.

Les liens de partage appliquent côté serveur l'expiration, la limite de visiteurs, la protection par mot de passe et la révocation — ces contrôles ne sont pas contournables côté client. Des limitations de débit protègent les points sensibles (tentatives de mot de passe, suivi des visiteurs).

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données. Toutefois, aucune méthode de transmission ou de stockage électronique n'étant infaillible, nous ne pouvons garantir une sécurité absolue.

Pour certains partages, Airlock peut générer des versions dérivées de vos fichiers (par exemple un PDF filigrané identifiant le destinataire ou la consultation). Ces fichiers dérivés sont stockés au même niveau de sécurité que vos fichiers d'origine et suivent leur cycle de vie.

Pour vous donner une visibilité sur la consultation de vos liens, nous mesurons l'audience des fichiers partagés. Nous appliquons un principe de minimisation : l'adresse IP des visiteurs n'est pas conservée dans les statistiques de consultation.

L'IP est combinée à un sel secret obligatoire puis transformée en empreinte SHA-256 (« signature anonyme »), servant uniquement à distinguer et regrouper les visites sans identifier la personne. L'IP en clair est utilisée le temps de la requête pour dériver une géolocalisation approximative (pays, ville), puis n'est pas stockée.

Un cookie anonyme (identifiant aléatoire), conservé 13 mois maximum, est déposé chez les visiteurs de vos liens, uniquement pour compter les visiteurs distincts d'un lien. Des heuristiques détectent les robots de prévisualisation et scanners afin de ne pas fausser vos statistiques. Les événements de partage sont automatiquement supprimés après 12 mois.

Deux exceptions, pour la sécurité : après une erreur de mot de passe sur un lien, une empreinte de l'adresse IP (HMAC avec un sel secret) est gardée 24 heures au plus pour limiter les tentatives ; en cas d'attaque détectée, l'adresse en cause est conservée en clair 90 jours dans nos alertes de sécurité.

Airlock peut vous informer par une notification dans l'application lorsqu'un de vos liens est consulté ou qu'un fichier est téléchargé. Cette information sert uniquement à vous renseigner, vous l'expéditeur, sur l'engagement de vos destinataires.

Avec le plan Équipe, le titulaire (host) peut inviter des collaborateurs par e-mail. L'adresse e-mail invitée est traitée pour créer l'invitation, rattacher le membre et l'ajouter aux espaces de travail partagés. Au sein d'une équipe, le titulaire et les membres autorisés peuvent voir les fichiers, dossiers et statistiques des espaces partagés. Le partage de contenus au sein de votre équipe relève de votre responsabilité de titulaire.

Les cookies sont de petits fichiers stockés sur votre appareil. Nous limitons les cookies au strict nécessaire au fonctionnement et à la sécurité :

• Cookies de session (Clerk) : indispensables pour vous maintenir connecté ;
• Cookies de paiement et anti-fraude (Stripe), uniquement lors d'un paiement ;
• Cookies de préférence : pour mémoriser vos paramètres (langue, état d'onboarding) ;
• Cookie de comptage des visiteurs (alvid), sur les pages de partage : identifiant aléatoire, conservé 13 mois maximum, qui sert uniquement à compter les visiteurs distincts d'un lien ;
• Cookie d'accès à un lien protégé (alsu_…), sur les pages de partage : posé après la saisie du bon mot de passe, il évite de le redemander à chaque fichier. Il ne contient pas le mot de passe, n'est lisible que par le serveur et expire au bout de 12 heures, ou dès que le mot de passe du lien change. Strictement nécessaire à l'accès, il ne demande pas de consentement.

Nous n'utilisons pas de cookies publicitaires ni de pistage à des fins marketing tiers. Vous pouvez demander à votre navigateur de refuser tout ou partie des cookies ; désactiver les cookies essentiels peut toutefois empêcher la connexion ou l'usage de certaines parties du service.

« Ne pas suivre » (Do Not Track) et Global Privacy Control (GPC) sont des préférences que vous pouvez activer dans votre navigateur pour signaler aux sites que vous ne souhaitez pas être suivi. Airlock n'utilise pas de pistage publicitaire inter-sites ni de cookies de profilage marketing. Notre mesure d'audience interne (site public et Airlock Scan) respecte ces deux signaux : si l'un est activé, vos visites ne sont pas comptées. Vous pouvez aussi vous y opposer sur ce seul navigateur : .

Nous conservons vos données uniquement aussi longtemps que nécessaire aux finalités décrites, puis dans la mesure requise par nos obligations légales :

• Données de compte et fichiers : tant que votre compte est actif. Après suppression du compte, vos données personnelles sont effacées sous 30 jours, sauf obligation légale de conservation (ex. facturation).
• Statistiques de partage pseudonymisées : supprimées automatiquement après 12 mois.
• Liste des personnes admises sur un lien (limite de visiteurs) : 12 mois.
• Compteurs de tentatives de mot de passe : 24 heures au plus.
• Alertes de sécurité : 90 jours.
• Résultats Airlock Scan : supprimés automatiquement après 12 mois.
• Demandes de rapport Airlock Scan : supprimées automatiquement 3 ans après la demande. Une désinscription met fin immédiatement à l'envoi d'informations commerciales.
• Journaux de sécurité et données de facturation : conservés pour la durée requise par nos obligations légales.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles
• Droit de rectification de données inexactes ou incomplètes
• Droit à l'effacement (suppression de vos données)
• Droit d'opposition au traitement ou de limitation du traitement
• Droit à la portabilité de vos données (format structuré et lisible par machine)
• Droit de retirer votre consentement à tout moment, sans effet rétroactif
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, écrivez-nous à contact@airlck.com. Nous pouvons vous demander de vérifier votre identité avant de répondre. Vous pouvez aussi introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Lorsque vous partagez un fichier, vous agissez comme responsable du contenu partagé. Les destinataires de vos liens dont les données (statistiques de consultation pseudonymisées) sont traitées peuvent exercer leurs droits ; nous relaierons leur demande au titulaire du compte concerné lorsque c'est nécessaire.

Si Airlock est impliqué dans une fusion, une acquisition, une réorganisation ou une vente d'actifs, vos données personnelles pourraient être transférées dans ce cadre. Nous vous en informerions avant que vos données ne soient transférées et ne deviennent soumises à une politique de confidentialité différente.

Notre service peut contenir des liens vers des sites tiers que nous n'exploitons pas. Si vous cliquez sur un lien tiers, vous serez dirigé vers le site de ce tiers. Nous n'exerçons aucun contrôle sur le contenu et les pratiques de confidentialité de ces sites et déclinons toute responsabilité à leur égard. Nous vous invitons à consulter leurs politiques de confidentialité respectives.

Airlock n'est pas destiné aux personnes de moins de 15 ans et ne collecte pas sciemment leurs données. Si vous pensez qu'un mineur nous a transmis des données personnelles, contactez-nous et nous prendrons les mesures nécessaires pour les supprimer de nos serveurs.

Nous pouvons modifier cette politique de confidentialité de temps à autre. Nous vous informerons de tout changement important par e-mail ou via une notification dans le service, et nous mettrons à jour la date de dernière mise à jour en haut de cette page. Nous vous conseillons de la consulter périodiquement.

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données personnelles, contactez-nous à :