Politique de confidentialité¶

Date d'entrée en vigueur : 6 septembre 2026

Cette politique couvre l'application RestoreProof (app.restoreproof.io) et le site de documentation.

1. Qui traite vos données¶

Responsable de traitement : kOlapsis SAS, société par actions simplifiée au capital de 1 000 €, immatriculée au registre du commerce et des sociétés de Bordeaux sous le numéro 109 228 718, dont le siège est situé 38 rue Hortense, 33100 Bordeaux, France. Représentée par Benjamin Touchard, président. RestoreProof est un service exploité par kOlapsis SAS.

Contact : support@kolapsis.com

Aucun délégué à la protection des données n'est désigné : adressez vos demandes à cette adresse.

2. Deux casquettes, à distinguer¶

Le service traite deux ensembles de données de nature différente, et notre rôle n'est pas le même pour chacun.

Responsable de traitement, pour les données de compte. Ce sont les données des personnes qui utilisent l'application : nom, adresse e-mail, mot de passe haché, secret de double authentification chiffré, dates de connexion, adresse IP et navigateur enregistrés dans le journal d'audit, dans les sessions ouvertes et dans les liens envoyés par e-mail. Nous décidons de leur traitement, et cette politique le décrit.

Sous-traitant, pour le contenu des rapports et des configurations. Ce sont les données que votre Organisation dépose dans le service : noms et configurations de vos sources, plans de restauration, résultats de sondes, mesures, journaux assainis. Vous en décidez ; nous les traitons pour votre compte, sur vos instructions, dans le cadre du contrat.

Les engagements pris à ce titre sont détaillés à la section Nos engagements de sous-traitant. Ils tiennent lieu d'accord de sous-traitance au sens de l'article 28 du règlement général sur la protection des données : il n'y a pas de document séparé à signer.

3. Ce que nous collectons, et pourquoi¶

Catégorie	Données	Finalité
Compte membre	Nom, adresse e-mail, mot de passe haché, rôle, date de dernière connexion, date de confirmation de l'adresse	Créer et sécuriser l'accès au service
Double authentification	Secret TOTP chiffré, codes de récupération hachés, tentatives et verrouillages	Protéger le compte contre l'usurpation
Sessions et liens	Empreintes des jetons de session, liens de connexion et de réinitialisation, invitations, avec adresse IP et navigateur pour les sessions et les liens	Authentifier, limiter les abus
Organisation	Nom, identifiant, réglages	Structurer l'espace client
Facturation	Identifiant client et identifiant d'abonnement Stripe, forfait, statut, période en cours, commande de paiement en attente	Gérer l'abonnement et les factures
Configuration technique	Runners (nom, description, étiquettes, plateforme, version, clé publique, empreinte de la clé d'API, et le nom des références de secrets que le Runner ne parvient pas à résoudre chez vous), sources (type, configuration, références de secrets), plans de restauration	Faire fonctionner le service
Exécutions et rapports	Statut, horodatages, verdicts de sondes, mesures, journaux assainis, charge utile signée et son empreinte, signature, clé publique de signature	Produire et conserver la preuve
Déclencheurs webhook	Empreinte du jeton et son préfixe, puis, pour chaque appel reçu, son horodatage, son adresse IP, son navigateur, son issue et le corps JSON qu'il portait	Déclencher une exécution depuis votre outillage, en garder la trace, limiter les abus
Journal d'audit	Auteur, action, objet concerné, adresse IP, navigateur, horodatage	Sécurité, traçabilité, preuve d'accès

4. Bases légales¶

Exécution du contrat : données de compte, configuration technique, exécutions, rapports, facturation. Sans elles, le service ne peut pas être fourni.
Obligation légale : conservation des factures et pièces comptables.
Intérêt légitime : journal d'audit, limitation des abus, et conservation des rapports au titre de la valeur probante du service, qui est son objet même.
Consentement : envoi éventuel de communications non liées au service, si vous y avez souscrit. Il se retire à tout moment.

5. Ce que nous ne collectons jamais¶

C'est une contrainte d'architecture, pas un engagement déclaratif :

les données de vos sauvegardes, à aucune étape. Elles sont téléchargées, décompressées et restaurées par le Runner, sur votre infrastructure, et détruites avec le bac à sable à la fin de chaque exécution ;
la valeur de vos secrets — identifiants d'accès aux dépôts, mots de passe de bases, jetons. Nous n'enregistrons que des références : un nom de variable d'environnement (env://), un chemin de fichier (file://) ou le nom d'une entrée du coffre local de votre Runner (static://), que seul votre Runner sait résoudre ;
le contenu restauré : ce qui nous revient d'une exécution, c'est le verdict de chaque sonde, des mesures numériques, des noms d'objets, des empreintes et des journaux assainis.

Compromettre notre service ne donne donc accès ni à vos sauvegardes ni à vos accès.

Une précision sur les journaux et les mesures : ils sont écrits par les sondes elles-mêmes, à partir des données restaurées. Avant l'envoi, le Runner en retire le mot de passe du bac à sable et les chaînes qui ressemblent à un identifiant — clé d'accès, jeton, mot de passe, clé privée, URL de base de données avec ses identifiants. Ce filtre porte sur les secrets, pas sur les données : ce qu'une sonde choisit d'écrire dans son message ou ses mesures nous parvient tel qu'elle l'a écrit. Les dix sondes fournies n'écrivent que des verdicts, des comptes et des mesures ; une sonde que vous écririez vous-même relève de votre choix.

Une nuance à connaître : la configuration d'une source contient des chemins tels que le Runner les voit — un point d'accès S3, un seau, un préfixe, ou un point de montage local. Ces éléments sont bien enregistrés chez nous, faute de quoi le Runner ne saurait pas quoi ouvrir.

De la même façon, un plan de restauration enregistre les étapes telles que vous les écrivez. Si vous y saisissez en clair une valeur sensible — le mot de passe d'un compte de l'application restaurée qu'une sonde doit vérifier, par exemple —, cette valeur est enregistrée avec le plan. Écrite sous la forme secret://env://MON_MOT_DE_PASSE, elle reste chez vous : seul le Runner la résout, au moment de l'exécution.

Le mot de passe du conteneur jetable dans lequel la sauvegarde est remontée, lui, ne se saisit plus : le Runner le fabrique à chaque exécution, sur votre infrastructure, et il n'apparaît ni dans le plan ni chez nous.

En revanche, les chemins de votre propre machine saisis dans l'assistant de déploiement ne quittent pas votre navigateur : ils servent uniquement à composer la commande affichée à l'écran.

6. Combien de temps nous les gardons¶

Donnée	Durée
Compte et organisation	Durée du contrat. La suppression de l'Organisation efface définitivement, sans délai et sans démarche à faire, l'Organisation et tout ce qui lui appartient, à la seule exception de l'archive scellée ci-dessous
Contenu des rapports dans l'application	Durée de consultation de votre forfait
Identifiant, empreinte, signature et clé publique d'un rapport	Conservés après l'effacement du contenu par la rétention du forfait, pour que l'attestation publique continue de répondre. Effacés eux aussi à la suppression de l'Organisation
Copie complète d'un rapport, hors application (archive scellée)	Cinq ans à compter de son émission, y compris après la suppression de l'Organisation
Journal d'audit	Durée de consultation de votre forfait
Essais de mise au point d'un plan et leurs résultats	Sept jours
Liens de connexion et de réinitialisation	Valables quinze minutes, puis supprimés vingt-quatre heures après leur expiration par une tâche de maintenance
Défis de double authentification	Valables cinq minutes, puis supprimés vingt-quatre heures après leur expiration
Sessions ouvertes	Le jeton de rafraîchissement vaut sept jours et est remplacé à chaque usage ; la session est supprimée à la déconnexion, à un changement de rôle et à la suppression de l'Organisation
Invitations	Expirent au bout de sept jours ; supprimées lorsqu'elles sont annulées ou à la suppression de l'Organisation
Appels reçus sur un déclencheur webhook	Conservés tant que le déclencheur existe ; supprimés avec lui et à la suppression de l'Organisation
Événements de facturation reçus de Stripe	Trente jours par défaut, le temps de garantir qu'un même événement n'est pas traité deux fois
Factures et pièces comptables	Durée légale de conservation

La suppression de l'Organisation efface tout, sans délai — sauf l'archive de preuve. Les rapports, le journal d'audit, les comptes des Membres et l'abonnement sont supprimés de l'application ; rien n'en subsiste, pas même une trace désactivée. L'attestation publique cesse alors de répondre pour vos rapports : elle continue de répondre quand la rétention du forfait a seulement effacé leur contenu, mais un rapport supprimé avec son Organisation n'existe plus et l'attestation répond qu'elle ne le connaît pas.

L'exception. La copie complète de chaque rapport est conservée, à des fins de preuve, cinq ans à compter de son émission, hors de l'application et hors de portée de celle-ci. La suppression de l'Organisation ne l'efface pas : elle y verse au contraire les rapports qui n'y étaient pas encore, et chacun en sort à son échéance propre. Elle n'est ni consultable ni exploitée au fil de l'eau ; elle n'est restituable que sur demande écrite, dans les conditions et au tarif prévus par les conditions générales.

7. Sous-traitants et destinataires¶

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins publicitaires.

Sous-traitant	Rôle	Localisation
Scaleway	Hébergement du Control Plane et de sa base de données	France, Union européenne
Scaleway (Transactional Email)	Envoi des e-mails transactionnels : confirmation d'adresse, liens de connexion, invitations, alertes	Union européenne
Stripe	Traitement des paiements et gestion des abonnements	Union européenne, avec les traitements propres à Stripe

Scaleway intervient comme hébergeur et comme acheminement des e-mails : il n'a aucun accès applicatif à vos données. Vos sauvegardes, elles, ne transitent jamais par cet hébergement.

Stripe reçoit les données nécessaires à la facturation : identité de facturation, adresse e-mail, coordonnées bancaires. Nous ne voyons ni ne conservons aucun numéro de carte : la saisie a lieu chez Stripe, sur ses propres pages.

8. Transferts hors de l'Union européenne¶

L'hébergement du service et de sa base de données a lieu en France, et les données décrites ici n'en sortent pas. L'envoi des e-mails transactionnels a lieu dans l'Union européenne : il n'emporte aucun transfert hors de l'Union.

Le traitement des paiements par Stripe peut impliquer des transferts en dehors de l'Union européenne, encadrés par les mécanismes prévus par le RGPD, notamment les clauses contractuelles types. Les conditions applicables sont celles publiées par Stripe.

9. Sécurité¶

Les mesures suivantes sont mises en œuvre :

chiffrement des échanges en TLS entre votre navigateur, vos Runners et le service ;
mots de passe hachés avec Argon2id, jamais stockés ni transmissibles en clair ;
secrets de double authentification chiffrés en base, avec une clé distincte de celle qui signe les sessions ;
double authentification TOTP disponible pour chaque membre, et exigible pour l'ensemble d'une organisation par un administrateur ;
isolation par organisation au niveau de la base de données, appliquée par le moteur lui-même sur les tables qui portent les données de votre Organisation, et non seulement par le code applicatif ;
clés d'API de Runner stockées hachées, jamais lisibles après leur affichage initial ; seul un préfixe non secret en est conservé en clair, pour retrouver la clé à vérifier ;
refus d'enregistrer un secret en clair : le champ des identifiants d'une source n'accepte qu'une référence (env://, file://, static://), jamais la valeur qu'elle désigne, et le service rejette toute autre écriture. Le reste de la configuration d'une source est contrôlé par le nom des champs : ceux qui désignent habituellement un identifiant — clé d'accès, clé secrète, mot de passe, jeton, autorisation, secret — y sont refusés. Ce contrôle porte sur les noms de champs, pas sur les valeurs : une valeur sensible écrite ailleurs qu'à ces endroits est enregistrée telle quelle ;
signature Ed25519 des rapports par le Runner, avec une clé privée qui ne quitte jamais votre infrastructure, ce qui rend toute altération d'un rapport détectable ;
journal d'audit de chaque action sensible ;
limitation de débit sur les envois d'e-mails, les tentatives d'authentification et l'attestation publique.

10. Nos engagements de sous-traitant¶

Cette section s'applique aux données que votre Organisation dépose dans le service, pour lesquelles nous agissons comme sous-traitant. Elle tient lieu d'accord de sous-traitance au sens de l'article 28 du règlement général sur la protection des données.

Traitement sur instruction documentée. Nous ne traitons ces données que pour fournir le service, sur vos instructions documentées, à savoir les conditions générales et l'usage que vous faites de l'application. Nous ne les utilisons à aucune autre fin, et jamais pour notre propre compte.
Confidentialité. Les personnes habilitées à accéder à ces données sont tenues à une obligation de confidentialité et sont limitées à ce que leurs fonctions exigent.
Sécurité. Les mesures techniques et organisationnelles décrites à la section 9 s'appliquent à ces données.
Sous-traitants ultérieurs. Les sous-traitants actuels sont ceux listés à la section 7. Tout recours à un nouveau sous-traitant vous est signalé au préalable, ce qui vous laisse la possibilité de vous y opposer en résiliant votre abonnement.
Assistance. Nous vous aidons, dans la mesure du possible, à répondre aux demandes d'exercice de droits qui vous sont adressées, et à respecter vos propres obligations en matière de sécurité, de notification de violation et d'analyse d'impact.
Sort des données en fin de contrat. La suppression de votre Organisation efface définitivement, sans délai et sans démarche à faire, tout ce qui lui appartient : comptes des Membres, Runners et leurs clés, sources, plans de test, exécutions, rapports, journal d'audit et abonnement. L'attestation publique cesse de confirmer la clé de ces rapports, et renvoie vers nous pour obtenir la copie archivée. Seule l'archive scellée subsiste, cinq ans après l'émission de chaque rapport, hors de l'application : vous pouvez en demander la restitution avant comme après la suppression, sur demande écrite et dans les conditions prévues par les conditions générales.
Audit. Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de ces engagements et permettre un audit, sur demande écrite raisonnable.

11. Vos droits¶

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données personnelles, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

L'application vous permet déjà d'exercer une partie de ces droits directement : gérer votre double authentification, réinitialiser votre mot de passe, exporter le journal d'audit, télécharger vos rapports. Un administrateur peut en outre retirer un membre et supprimer l'Organisation, ce qui efface définitivement toutes ses données de l'application, à l'exception de l'archive scellée décrite à la section 6. La correction de votre nom ou de votre adresse e-mail, et la suppression de votre seul compte, passent aujourd'hui par une demande à l'adresse ci-dessous.

Pour toute autre demande, écrivez à support@kolapsis.com. Une réponse vous est apportée dans un délai d'un mois. Une pièce d'identité peut vous être demandée en cas de doute raisonnable sur l'identité du demandeur.

Si vous êtes membre d'une Organisation cliente et que votre demande porte sur les données déposées par cette Organisation, adressez-vous d'abord à elle : nous agissons dans ce cas comme sous-traitant et sur ses instructions.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, https://www.cnil.fr.

12. Cookies et stockage local¶

L'application n'utilise aucun cookie publicitaire, ni aucun outil de mesure d'audience ou d'analyse comportementale. Aucun script tiers de suivi n'y est chargé.

Elle dépose un cookie strictement nécessaire, rp_refresh, qui maintient votre session ouverte afin de ne pas vous redemander vos identifiants à chaque page. Il n'est lisible que par le serveur, n'est envoyé qu'aux routes d'authentification, et est effacé lorsque vous vous déconnectez. Le reste de votre session — jeton d'accès, profil, organisation courante — ne vit qu'en mémoire, le temps de l'onglet ouvert.

Dans le stockage local de votre navigateur, elle conserve deux repères qui survivent à la fermeture de l'onglet : votre langue d'affichage, et un simple indicateur signalant qu'une session est peut-être ouverte, qui évite à l'application de tenter une reconnexion inutile au chargement. Cet indicateur ne contient aucun jeton. S'y ajoutent, le temps d'un onglet seulement, deux repères d'interface : le fait que vous ayez masqué le bandeau de confirmation d'adresse, et le rapprochement d'un paiement qui vient d'aboutir. Rien de tout cela ne nous est envoyé.

L'application ne dépose aucun autre cookie que rp_refresh et ne charge aucune ressource depuis un tiers : ni script, ni police de caractères, ni image externe.

Ce stockage est strictement nécessaire au fonctionnement du service et ne nécessite pas de consentement préalable.

Le site vitrine, distinct de l'application et du site de documentation, n'est pas couvert par la présente politique.

13. Modifications¶

Cette politique peut évoluer. Toute modification substantielle vous est notifiée par e-mail, à l'adresse de contact de votre Organisation, avant son entrée en vigueur. La date d'entrée en vigueur figure en tête de page.

Les coordonnées de l'éditeur et de l'hébergeur figurent dans les Mentions légales.

Texte en cours de validation juridique.