Confiance et traitement des données

Tout ce qu’une vérification de sécurité ou un questionnaire d’achat demande habituellement, au même endroit. Chaque réponse renvoie à un document qui la rend obligatoire, donc cette page résume et n’ajoute aucune promesse personnelle.

Où les données résident

Quoi	Où
Calculs, base de données, fichiers de rapport	Hetzner, Nuremberg (Allemagne)
Edge	Cloudflare avec des règles de cache de la région UE ; les données de naissance transitent et ne sont pas stockées
Administration	D’Ukraine, via SSH avec clé. Le chapitre V du GDPR considère cela comme un transfert, donc la DPA le couvre par des clauses contractuelles standardles

Détails et justification : GDPR / résidence dans l’UE.

Qui les traite

Partenaire	Reçoit	Où nommé
Hetzner Online GmbH	tout ce que nous stockons, en tant qu’hébergement	DPA, section 4
Cloudflare, Inc.	requêtes HTTP sur le chemin vers notre serveur	DPA, section 4
Fournisseurs IA	seulement la carte calculée (signes, maisons, aspects) sur les points de terminaison IA ; sans date et heure de naissance, coordonnées, nom ou lieu	Politique de confidentialité, section 8
Brevo	email de votre compte pour envoyer des e-mails de service	Politique de confidentialité, section 8
Monobank, LiqPay	données de paiement du propriétaire du compte ; jamais les données de naissance	Politique de confidentialité, section 8

Dans la DPA, seulement les deux premiers, car seul ils touchent aux données de vos requêtes API. Le reste traite les données du compte, où le contrôleur est nous, pas vous.

Combien de temps nous les stockons

Données	Période
Journal des requêtes (sans paramètres de requête)	30 jours
Fichiers PDF de rapport (/v1/reports/*), contenant ce que vous avez envoyé	24 heures ou retain_days que vous avez défini, jusqu’à 90 ; peut être supprimé plus tôt
Journal des requêtes IA	90 jours
Compteurs d’utilisation quotidiens	365 jours
Compte	jusqu’à ce que vous le supprimiez ; la suppression peut être annulée pendant 30 jours, puis elle est définitive
Enregistrements de paiement	1095 jours, comme l’exige la législation fiscale ukrainienne
Sauvegardes chiffrées	sortent de la rotation après 90 jours

Vous supprimez vous-même le compte : dans le tableau de bord ou avec la requête DELETE /v1/me/account.

Source : Politique de confidentialité, section 5, et DPA, sections 2 et 9.

Comment ils sont protégés

• Seulement TLS ; le HTTP ordinaire est redirigé.
• Les mots de passe sont hachés avec bcrypt.
• Les clés API à partir du 2026-10-15 sont stockées uniquement comme hachage SHA-256, donc la clé n’est affichée qu’une fois, à la création. Perdue, vous devez la faire tourner ; personne ne peut la lire en retour, pas même nous.
• Les adresses IP sont stockées comme SHA-256 salé, jamais en clair.
• La base de données n’écoute que sur loopback, avec un compte séparé pour chaque consommateur.
• Les sauvegardes sont chiffrées AES-256 avant de quitter la machine.
• En cas de fuité affectant vos données, nous vous en informons sans retard injustifié.

Source : DPA, sections 5 et 8.

Note

Nous n’avons pas notre propre rapport SOC 2 et certificat ISO 27001. Hetzner a ISO/IEC 27001 pour le centre de données où se trouvent nos serveurs.

Contrat

Accord de traitement des données en vertu de l’article 28 du GDPR est en vigueur avec tout tarif payant, à partir d’Indie. Vous la lisez, l’acceptez avec un bouton dans le tableau de bord et téléchargez un PDF avec l’enregistrement de l’acceptation. Sans appel commercial et sans papier signé : l’article 28(9) accepte la forme électronique.

Disponibilité

• Statut actuel et 90 jours d’historique : status.astroway.info, description sur la page Statut.
• Engagements en matière de temps de fonctionnement et compensations par tarif : SLA.

Contacts

• Incidents de sécurité : security@astroway.info
• DPA et questions juridiques : legal@astroway.info
• Vos données et vos droits : api@astroway.info