Confidentialité
Responsable du traitement
Aloaha Limited
„Helgoland“
45, Triq Gio Felice Inglott
Pembroke PBK1131
Malta
E-mail : info@aloaha.com · Téléphone : +49 541 3859 4554
Pour les questions de protection des données, veuillez indiquer « Demande RGPD » dans l’objet. Nous répondons dans un délai d’un mois (art. 12, paragraphe 3, du RGPD).
Ce que ce site web ne fait pas
Pas de cookies – ni les nôtres, ni ceux de tiers.
Pas de services d’analyse d’audience ou de statistiques, pas de pixels publicitaires ou de pistage, pas d’empreinte numérique (fingerprinting), pas d’enregistrement de sessions.
Pas de polices externes ni de CDN – les polices, scripts et images sont fournis uniquement par ce site web.
Pas de formulaires et pas de comptes utilisateurs.
Journaux du serveur
Comme tout serveur web, notre serveur enregistre des données techniques d’accès : adresse IP, date et heure, adresse demandée, code de statut, volume de données transférées, référent et identification du navigateur (user agent). Nous avons besoin de ces données pour fournir le site web de manière sécurisée et pour repousser les attaques. Base juridique : art. 6, paragraphe 1, point f), du RGPD (intérêt légitime à un fonctionnement sécurisé). Les journaux sont supprimés automatiquement après 14 jours ; ils ne sont pas utilisés à des fins publicitaires ou de profilage, ne sont pas combinés avec d’autres données et ne sont pas transmis à des tiers. Le site web est hébergé dans l’Union européenne.
Stockage dans votre navigateur
Si vous changez le jeu de couleurs ou la langue, votre navigateur mémorise ce choix dans son stockage local (clés codeb-theme et codeb-lang). Les valeurs restent sur votre appareil et ne nous sont pas envoyées. Vous pouvez les supprimer à tout moment dans les paramètres de votre navigateur. Ce stockage est strictement nécessaire à la fonction que vous avez demandée.
Contact par e-mail ou par téléphone
Si vous nous écrivez ou nous appelez, nous traitons les informations que vous fournissez (par exemple nom, adresse e-mail, numéro de téléphone et contenu de votre message) afin de répondre à votre demande. Base juridique : art. 6, paragraphe 1, point b), du RGPD (mesures précontractuelles prises à votre demande) et art. 6, paragraphe 1, point f), du RGPD. Nous ne conservons cette correspondance que le temps nécessaire au traitement de la demande et au respect des obligations légales de conservation.
L’application CodeB Wallet
Les attestations dans CodeB Wallet sont stockées sur votre appareil, protégées par le keystore matériel d’Android et par votre code PIN ou la biométrie. Les données d’une attestation ne sont partagées avec un service que lorsque vous approuvez la demande dans l’application.
Pour fonctionner, l’application se connecte aux émetteurs et services que vous choisissez, aux listes de confiance de l’UE, et au service de fournisseur de portefeuille qui confirme l’intégrité de l’application auprès des émetteurs. Aloaha Limited ne reçoit des données d’attestation que si vous choisissez un émetteur ou un service exploité par Aloaha Limited – par exemple l’émetteur CodeB.
Autorisations. Appareil photo : uniquement pour scanner des codes QR et la zone de lecture automatique d’une carte d’identité ou d’un passeport ; les images sont traitées sur l’appareil et ne sont ni enregistrées ni envoyées. Bluetooth (et, sur les anciennes versions d’Android, la localisation – Android exige cette autorisation pour la recherche Bluetooth) : uniquement pour échanger des documents de téléphone à téléphone lorsque vous présentez ou vérifiez une identité en personne ; votre position n’est ni déterminée ni collectée. NFC : pour lancer un échange en personne par simple contact, et pour lire les cartes d’identité, passeports et cartes de signature que vous approchez du téléphone. Biométrie : le déverrouillage est effectué par Android ; votre empreinte digitale ne parvient jamais à l’application. Fichiers : uniquement les documents PDF que vous choisissez de signer.
Résolution d’adresses. L’application recherche les adresses des serveurs avec les paramètres habituels de votre téléphone. Ce n’est qu’en cas d’échec qu’elle demande l’adresse de ce nom de serveur aux services DNS chiffrés de Cloudflare (1.1.1.1) ou de Google (8.8.8.8) ; ceux-ci reçoivent le nom et votre adresse IP, rien d’autre. Les dernières adresses ayant fonctionné sont conservées sur votre téléphone afin qu’un bref problème réseau n’empêche pas l’application de fonctionner. Les connexions restent chiffrées et sont dans tous les cas vérifiées au regard du certificat du serveur.
Signature à distance. Lorsque vous signez un PDF avec un service de signature, seule une empreinte cryptographique (hash) du document est envoyée à ce service ; le document lui-même reste sur votre téléphone. Si vous utilisez le service de signature CodeB (phone.codeb.io), Aloaha Limited traite votre compte, votre certificat de signature et un enregistrement de chaque signature afin de fournir et de documenter le service.
Signature avec une carte de signature. La carte signe une empreinte (hash) du document ; la clé ne quitte jamais la carte et le document reste sur votre téléphone. Votre code PIN n’est jamais enregistré. Le numéro d’accès de la carte (CAN) est conservé chiffré sur votre téléphone afin de pouvoir vous être proposé la fois suivante ; vous pouvez l’effacer dans la boîte de dialogue. Pour l’horodatage de confiance, seule une empreinte (hash) de la signature est envoyée au service d’horodatage CodeB (phone.codeb.io). Le certificat de la carte est intégré au PDF signé, comme pour toute signature numérique.
Historique et journaux. La liste de ce que vous avez partagé, ajouté ou signé est conservée uniquement sur votre téléphone. L’application ne collecte aucune donnée d’analyse d’audience, n’affiche aucune publicité et ne vous piste pas. Un fichier journal technique n’est créé que lorsque vous appuyez sur « Récupérer les journaux » et ne quitte le téléphone que si vous décidez de nous l’envoyer. Si l’application s’arrête de manière inattendue, elle écrit un court rapport de plantage sur votre téléphone (numéros, adresses e-mail et clés masqués ; les cinq derniers sont conservés) et ne le joint à ce journal que si vous en envoyez un. Au démarrage, l’application vérifie la sécurité de votre téléphone sur le téléphone lui-même (par exemple accès root, émulateur, niveau de mise à jour de sécurité) et vous informe une fois si quelque chose affaiblit la protection ; le résultat n’est envoyé nulle part.
Codes à usage unique. Les comptes que vous ajoutez sous Codes à usage unique (service, nom du compte et clé secrète) sont conservés chiffrés sur votre téléphone, séparément de vos documents, et ne sont jamais envoyés à qui que ce soit. Ils ne quittent le téléphone que lorsque vous les affichez sous forme de codes QR ou les incluez dans un fichier de sauvegarde que vous créez.
Pseudonymes (clés d’accès). Pour chaque site web sur lequel vous créez un pseudonyme, l’application conserve une clé dans le matériel sécurisé de votre téléphone et, chiffrés sur votre téléphone, l’adresse du site web, le nom de compte choisi par le site web et le nom facultatif que vous lui donnez. Le site web ne reçoit que la clé publique et les confirmations de connexion signées – jamais votre nom, le nom que vous avez donné au pseudonyme ni quoi que ce soit provenant de vos documents. Pour les autres applications, l’application vérifie le fichier public Digital Asset Links (assetlinks.json) sur le site web concerné.
Vérification de l’identité d’une autre personne. Les informations reçues avec « Vérifier » sont affichées une fois et supprimées lorsque vous fermez le résultat.
Lecture des cartes d’identité et passeports. Lorsque vous lisez la puce de votre carte d’identité ou de votre passeport, les données vont directement de la puce à l’application sur votre téléphone. Pour vérifier la signature du pays émetteur, l’application télécharge depuis phone.codeb.io la liste publique des certificats nationaux (CSCA master list et listes de révocation) ; rien concernant votre document n’est envoyé. La zone de lecture automatique est reconnue sur le téléphone avec Google ML Kit, fourni par les services Google Play (les services Play téléchargent leur modèle de reconnaissance) ; les services Google Play envoient à Google des informations techniques d’utilisation et de performance, jamais les images de l’appareil photo ni le texte reconnu. Les données lues vous sont affichées et ne sont conservées que si vous choisissez de les enregistrer – elles sont alors chiffrées sur votre téléphone avec une clé conservée dans son matériel sécurisé. Vous pouvez les supprimer dans l’application à tout moment.
Lecture pour le CodeB PID Provider. Lorsque vous vous connectez au CodeB PID Provider (phone.codeb.io) et choisissez de lire votre carte d’identité ou votre passeport, le serveur lit lui-même la puce : votre téléphone ne fait que relayer les messages chiffrés et n’en conserve aucune copie. La puce et le serveur communiquent via leur propre canal chiffré de bout en bout et authentifié, de sorte que ni votre téléphone ni personne entre les deux ne peut lire ou modifier les données. Pour montrer que la demande provient de l’application authentique sur un téléphone sécurisé, l’application envoie un certificat de clé issu du matériel sécurisé de votre téléphone (Android Key Attestation) et un verdict Google Play Integrity ; Google traite la demande pour ce contrôle. Le serveur utilise les données pour ouvrir ou préremplir votre compte auprès du PID Provider.
Suppression de vos données. Vous pouvez supprimer des documents individuellement dans l’application, ou tout en une fois avec Paramètres → Supprimer le portefeuille (ou en désinstallant CodeB Wallet). Les données détenues par un émetteur ou un service de signature relèvent de ce fournisseur ; pour les services d’Aloaha Limited, écrivez à info@aloaha.com.
L’application utilise un service de fournisseur de portefeuille pour confirmer aux émetteurs que l’application est authentique. Pour l’émetteur CodeB, il s’agit du propre fournisseur de portefeuille d’Aloaha Limited sur phone.codeb.io : il reçoit la clé publique que l’application utilise pour cet émetteur, des certificats de clés issus du matériel sécurisé de votre téléphone (Android Key Attestation – pour cette clé et pour une clé à usage unique créée pour chaque demande ; ils indiquent également si le système du téléphone est verrouillé et vérifié, ainsi que son niveau de correctif de sécurité) et un verdict Google Play Integrity – Google traite la demande pour ce contrôle ; si le contrôle de Google est indisponible, les certificats matériels seuls peuvent suffire. Pour les autres émetteurs, l’application utilise le fournisseur de portefeuille de référence de l’UE (wallet-provider.eudiw.dev). Aucun des deux ne reçoit vos documents ni leur contenu ; si votre téléphone ne peut pas être vérifié, l’application utilise également le fournisseur de portefeuille de référence de l’UE pour l’émetteur CodeB.
Vos droits
En vertu des articles 15 à 22 du RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité des données et d’opposition, ainsi que du droit de retirer votre consentement à tout moment. Pour exercer ces droits, écrivez à info@aloaha.com en indiquant « Demande RGPD » dans l’objet.
Droit d’introduire une réclamation
Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD). Le responsable du traitement étant établi à Malte, l’autorité de contrôle chef de file est l’Office of the Information and Data Protection Commissioner (IDPC), Malte.