Politique de confidentialitéCe que les sites abrt collectent, pourquoi, et pendant combien de temps

1 Qui est responsable du traitement

Le responsable du traitement des données est Fabien AUBERT-LAVERGNE, personne physique, éditeur des sites de l'écosystème abrt dans le cadre d'un projet étudiant (BTS SIO, option SISR) à but non lucratif.

Pour toute question relative à vos données, ou pour exercer vos droits, utilisez le formulaire de contact du portfolio. Les coordonnées complètes de l'éditeur figurent dans les mentions légales.

2 Quelles données sont collectées, et pourquoi

Le tableau ci-dessous récapitule l'ensemble des traitements réellement effectués par le code de l'écosystème. Chaque ligne est détaillée juste en dessous.

Comptes et connexion

La création d'un compte est facultative : elle n'est nécessaire que pour les espaces d'administration, pour l'application muscu, et pour conserver votre cagnotte sur Mini Jeux. Le mot de passe n'est jamais stocké en clair : il est haché avec l'algorithme Argon2id, conçu pour résister aux attaques par force brute. Les anciens mots de passe hachés en bcrypt sont convertis silencieusement à la première connexion réussie.

Si vous activez la double authentification, un secret est enregistré chiffré, accompagné de codes de secours. Ce secret ne sert qu'à valider vos codes à usage unique.

Sessions et authentification unique (SSO)

Une fois connecté sur un site, vous l'êtes sur tous les autres : c'est le principe de l'authentification unique. Techniquement, un jeton signé (format PASETO v4.local) est déposé dans un cookie sur le domaine .fabien-abrt.fr, et une ligne correspondante est créée dans la table sso_sessions : elle contient l'identifiant de session, le compte associé, votre adresse IP, votre navigateur et les horodatages de création, de dernière activité et d'expiration.

Cette table existe pour une raison précise : un jeton signé, à lui seul, ne peut pas être révoqué. Grâce à elle, une déconnexion coupe réellement la session, et une session peut être fermée à distance. Le jeton est valable 30 minutes, renouvelé tant que vous naviguez, dans la limite de 30 jours ; les sessions expirées sont purgées automatiquement, et les sessions révoquées sont effacées au bout de 7 jours.

Formulaire de contact du portfolio

Les trois champs que vous remplissez (nom, adresse e-mail, message) sont enregistrés en base, avec votre adresse IP et la date. L'adresse IP sert uniquement à limiter le spam : cinq messages par heure et par adresse au maximum. Ces messages ne servent qu'à vous répondre et ne sont réutilisés pour rien d'autre. Aucune purge automatique n'est programmée : ils sont supprimés lorsqu'ils ne sont plus utiles, ou à votre demande.

Retours déposés sur le site Feedback

Le site Feedback permet à n'importe quel visiteur de déposer un commentaire, un avis, une suggestion ou un signalement de bug. Sont enregistrés : le type de retour, le site et la page concernés, le contenu, votre nom et votre adresse e-mail si vous choisissez de les indiquer (les deux champs sont facultatifs), votre adresse IP et la date. L'adresse IP limite le spam à huit dépôts par heure.

Chaque retour passe par une modération. Une fois approuvé, son contenu peut être affiché publiquement, notamment sur la page Avis & retours du portfolio. Dans ce cas, seul le contenu du message est publié : ni votre nom, ni votre adresse e-mail, ni votre adresse IP ne sont affichés.

Préférences d'affichage

Les sites vous laissent choisir une palette de couleurs, un thème clair ou sombre et quelques réglages de confort. Ces choix ne servent qu'à l'affichage et ne permettent pas de vous suivre. Ils sont enregistrés :

• dans le stockage local de votre navigateur (localStorage) pour le réglage propre à un site ;
• dans un cookie abrt_prefs posé sur .fabien-abrt.fr, valable un an, pour appliquer le même réglage à tous les sites ;
• si vous avez un compte, dans la base de données (tables users et user_site_prefs), pour les retrouver sur vos autres appareils.

Journaux du serveur

Comme tout serveur web, Apache écrit un journal de chaque requête reçue : adresse IP, date et heure, URL demandée, code de réponse, navigateur et page d'origine. Ces journaux ne sont pas exploités à des fins de statistiques : ils servent au diagnostic et à la sécurité, et sont écrasés par la rotation configurée sur le serveur.

Ce qui n'est PAS fait

• Aucune revente, location ou communication de données à un tiers commercial.
• Aucune publicité, aucun profilage, aucune décision automatisée.
• Aucun bouton de partage de réseau social qui déposerait ses propres traceurs.
• Aucune donnée sensible n'est demandée (santé, opinions, origine, etc.).
• Les sites ne s'adressent pas spécifiquement aux mineurs et ne cherchent pas à collecter leurs données.

3 Cookies et traceurs

Cookies strictement nécessaires

Ils sont indispensables au fonctionnement du site et ne nécessitent pas votre consentement. Ils ne servent jamais à vous suivre.

S'y ajoute le localStorage de votre navigateur, utilisé pour vos réglages d'affichage et, sur Mini Jeux, pour la cagnotte du mode invité. Ces informations restent sur votre appareil et ne sont pas envoyées au serveur.

Mesure d'audience

Si une mesure d'audience venait à être activée, elle le serait dans les conditions suivantes, et cette page serait mise à jour : outil Google Analytics 4, avec anonymisation de l'adresse IP et fonctionnalités publicitaires désactivées ; le script ne serait téléchargé qu'après votre accord explicite ; refuser resterait aussi simple qu'accepter ; et votre choix serait modifiable à tout moment depuis cette page.

Gérer votre choix

Vous pouvez revenir sur votre décision à tout moment.

Vous pouvez aussi, indépendamment de ce site, configurer votre navigateur pour bloquer ou supprimer les cookies. Attention : bloquer les cookies strictement nécessaires vous empêchera de rester connecté.

4 Destinataires et hébergement

Le seul destinataire des données est l'éditeur du site. Il n'y a ni régie publicitaire, ni service d'analyse externe, ni prestataire marketing, ni sous-traitant applicatif : tout est auto-hébergé sur un unique serveur, dans une base MySQL qui n'est pas exposée sur Internet.

Le serveur est loué auprès de l'hébergeur IONOS, dont les coordonnées figurent dans les mentions légales. À ce titre, IONOS est le sous-traitant technique de l'hébergement et n'exploite pas les données pour son compte. Les données ne sont pas transférées hors de l'Union européenne.

Les sites chargent également des polices de caractères depuis Google Fonts, ce qui suppose une requête de votre navigateur vers les serveurs de Google, lesquels reçoivent alors votre adresse IP. Aucun cookie n'est déposé par ce chargement.

5 Sécurité des données

• Tous les sites sont servis en HTTPS (certificats Let's Encrypt) : les échanges entre votre navigateur et le serveur sont chiffrés.
• Les mots de passe sont hachés en Argon2id, jamais stockés ni transmis en clair.
• Les accès en base passent par des requêtes préparées, pour écarter les injections SQL.
• Les cookies de session sont HttpOnly, Secure et SameSite=Lax : ils ne sont pas lisibles par un script et ne partent pas sur un site tiers.
• Une limitation de débit ralentit les tentatives de connexion répétées, et un contrôle anti-CSRF protège les formulaires.
• L'accès aux espaces d'administration repose sur un système d'habilitations par site et par profil, vérifié à chaque requête.

Ce projet reste un projet d'étudiant : malgré ces précautions, aucune garantie absolue de sécurité ne peut être donnée. C'est aussi pourquoi il est déconseillé d'y saisir des informations sensibles, et pourquoi il faut y utiliser un mot de passe qui ne sert nulle part ailleurs.

6 Vos droits

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• Droit d'accès — obtenir la confirmation que des données vous concernant sont traitées, et en recevoir une copie.
• Droit de rectification — faire corriger une donnée inexacte ou incomplète.
• Droit à l'effacement — demander la suppression de votre compte, de vos messages de contact ou des retours que vous avez déposés.
• Droit d'opposition — vous opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière.
• Droit à la limitation — demander le gel d'un traitement le temps d'une vérification.
• Droit à la portabilité — recevoir les données que vous avez fournies dans un format structuré et lisible par machine (JSON).
• Retrait du consentement — pour les traitements qui en dépendent, notamment la mesure d'audience, à tout moment et sans justification, via le bouton « Gérer mes cookies » ci-dessus.

Comment les exercer

Toutes ces demandes passent par le formulaire de contact du portfolio. Indiquez simplement ce que vous souhaitez (accès, correction, suppression…) et, si vous avez un compte, l'identifiant concerné. Une réponse vous sera apportée dans un délai d'un mois. Il pourra vous être demandé un élément permettant de vérifier qu'il s'agit bien de vos données, afin de ne pas les communiquer à quelqu'un d'autre.

Réclamation

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité de contrôle française, sur www.cnil.fr.

7 Modifications de cette politique

Cette politique peut évoluer, notamment si un nouveau site rejoint l'écosystème ou si un traitement change. La date de dernière mise à jour figure en haut de page. En cas de changement portant sur un traitement fondé sur votre consentement, celui-ci vous sera redemandé.