Confidentialité

Ascencia ID est le fournisseur d'identité de l'écosystème Ascencia. Il n'est pas un service ouvert au public : il sert les sites de cet écosystème et rien d'autre.

Le responsable du traitement est l'éditeur de l'écosystème Ascencia, qui exploite Ascencia ID. Pour toute question ou demande d'exercice de tes droits, écris-nous.

Trois familles, et rien au-delà.

Ton compte

• ton adresse e-mail, et le fait qu'elle soit vérifiée ou non ;
• le nom que tu affiches, ton avatar si tu en as mis un ;
• un identifiant public court – c'est lui qu'on te demande au support, pour éviter de faire circuler ton adresse ;
• ta langue et ton fuseau horaire, pour l'affichage des dates ;
• tes moyens de connexion : empreinte du mot de passe, passkeys enregistrées, double authentification, comptes sociaux liés.

Tes sessions

• l'appareil et le navigateur utilisés, l'adresse IP, la date de dernière activité ;
• le jeton de session est stocké haché : une copie de la base ne permet pas de rejouer une session.

Le journal de sécurité

• connexions réussies et échouées, changements de mot de passe, activation de la double authentification, révocation de session, accès accordé à une application ;
• avec, pour chaque événement, la date, l'adresse IP et le navigateur.

Il n'y a ni traceur publicitaire, ni mesure d'audience, ni revente. Les polices sont hébergées par nos soins : afficher un écran de connexion ne signale ta visite à personne.

L'adresse et les moyens de connexion servent à t'identifier et à te permettre de récupérer ton compte. Sans eux, il n'y a pas de service. Leur base légale est l'exécution du service que tu demandes en créant un compte (article 6.1.b du RGPD).

L'IP et le navigateur du journal servent à la sécurité, et seulement à elle : repérer une connexion depuis un endroit inhabituel, bloquer une attaque par force brute, et te permettre de reconnaître – ou non – un appareil dans ton centre de compte. Leur base légale est l'intérêt légitime à protéger ton compte et le service (article 6.1.f du RGPD).

Aucun traitement ne repose sur ton consentement : il n'y a rien à accepter ni à refuser, parce qu'il n'y a rien d'autre.

• Sessions : supprimées 60 jours après leur expiration.
• Journal de sécurité : 24 mois. Les événements critiques – compromission, élévation de privilège – sont gardés 5 ans.
• Adresses IP : 12 mois.
• Journal d'envoi des e-mails : 90 jours.
• Ton compte : tant qu'il existe. Sa suppression est différée de 30 jours, le temps que tu puisses l'annuler si elle ne venait pas de toi. Passé ce délai, il est effacé.

Quand tu te connectes à un site de l'écosystème, il reçoit uniquement ce que tu lui as accordé : ton identifiant, et selon les autorisations, ton nom, ton avatar, ton adresse e-mail, tes rôles sur ce site.

Tu vois la liste complète des sites autorisés dans ton centre de compte, et tu peux en révoquer un à tout moment.

Accès, rectification, effacement, portabilité, opposition. Ton centre de compte couvre déjà l'essentiel sans passer par nous : consulter tes données et ton activité, corriger ton profil, déconnecter un appareil, retirer l'accès d'un site, exporter toutes tes données en un fichier, supprimer ton compte.

Pour le reste, écris-nous. Nous répondons sous un mois.

Si la réponse ne te satisfait pas, tu peux saisir la CNIL, l'autorité de contrôle française.

Mots de passe hachés avec un algorithme dédié – jamais chiffrés, jamais réversibles. Jetons de session hachés en base. Chiffrement en transit sur toutes les connexions. Ce qu'un administrateur fait sur ton compte (rôle donné, session fermée, suspension) est journalisé, et apparaît dans ton activité.

Quand tu définis un mot de passe, Ascencia ID vérifie qu'il n'apparaît pas dans les fuites connues de Have I Been Pwned. Seuls les cinq premiers caractères de son empreinte SHA-1 sont transmis : ni le mot de passe ni son empreinte complète ne quittent Ascencia ID.