Conçu sous le droit européen
RGPD et protection des données
Où se trouvent vos données, ce que nous en faisons, et ce que vous pouvez y faire.
Provibr est conçu et exploité aux Pays-Bas ; le RGPD est donc la loi sous laquelle il a été pensé, et non quelque chose ajouté après coup. Cette page est la version courte ; les documents auxquels elle renvoie sont ceux qui engagent.
- Serveurs aux Pays-Bas
- Les identifiants restent sur votre propre hôte
- Des boutons pour l’export et la fermeture
Les trois documents
- Politique de confidentialitéCe que nous collectons, pourquoi, qui le reçoit et combien de temps nous le conservons, y compris le tableau complet des sous-traitants et chaque durée de conservation.
- Conditions généralesL’accord pour l’utilisation de la plateforme : ce que nous vous devons, ce que vous nous devez, et quel droit et quel tribunal s’appliquent.
- Accord de sous-traitanceS’applique automatiquement à chaque compte, sans tour de signatures. C’est celui qui compte lorsque les données de vos propres clients transitent par Provibr.
Tout ce qui engage est écrit et publié. Ils s’appliquent tels quels, et nous annonçons les modifications avant leur entrée en vigueur.
Où se trouvent vos données
Les données de la plateforme ne quittent pas nos propres machines. Provibr fonctionne sur les serveurs de FullStack Studio aux Pays-Bas, sans hébergeur tiers entre les deux.
- Des serveurs aux Pays-Bas, que nous possédons et exploitons
- Vos identifiants d’infrastructure ne les atteignent jamais : ils restent chiffrés sur votre propre hôte d’agent, avec une clé liée à cette machine
- Lorsqu’un sous-traitant se trouve hors de l’EEE, le transfert s’appuie sur une décision d’adéquation ou des clauses contractuelles types
Vos droits
Le RGPD vous donne une série de droits sur vos données personnelles. Ils s’appliquent tous ici, et aucun ne coûte quoi que ce soit.
- Consulter les données personnelles que nous détenons sur vous
- Les faire rectifier si elles sont erronées
- Les faire effacer, sauf lorsque la loi nous oblige à les conserver : les factures doivent rester sept ans
- Limiter le traitement que nous fondons sur un intérêt légitime, ou vous y opposer
- Recevoir vos données dans un format portable et lisible par une machine
Deux d’entre eux tiennent dans un bouton
L’export et la fermeture se trouvent dans le panneau, dans vos propres paramètres. L’export est un fichier lisible par une machine contenant les données de votre compte ; fermer un compte lance une suppression qui s’exécute après un délai de grâce et retire tout ce que la loi ne nous impose pas de conserver.
Pour tout le reste, écrivez à info@provibr.com et nous répondrons dans un délai d’un mois. Vous pouvez aussi déposer une plainte auprès de l’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens).
Ce que nous ne détenons délibérément pas
La façon la moins chère de protéger des données, c’est de ne pas les avoir. Ces quatre-là sont structurelles : la plateforme ne pourrait pas les lire, même si elle le voulait.
Vos identifiants d’infrastructure
Le jeton de votre hyperviseur ou de votre panneau de contrôle est scellé dans un coffre sur votre propre hôte d’agent, chiffré avec une clé mêlée à l’identité de cette machine. Il atteint la plateforme une seule fois, en transit, et n’est jamais écrit dans notre base de données.
Vos coordonnées bancaires et de carte
Les paiements passent par le checkout de Stripe. Nous recevons le statut, le montant, le mode et une référence, jamais le numéro que vous avez saisi.
Des clés d’API sous forme lisible
Seul un hachage SHA-256 d’une clé est stocké. Une clé que vous perdez ne peut pas être relue depuis notre base de données, ni par nous ni par quiconque en aurait pris une copie.
La sortie de vos scripts
Une exécution enregistre le modèle, les versions utilisées et les noms des secrets lus. Le texte généré n’est jamais stocké, pour qu’un mot de passe ne reste pas dans une table à attendre d’être trouvé.
Qui d’autre y touche
Une liste courte, et chacun y a un rôle que nous pouvons nommer : Stripe pour les paiements, Moneybird pour la facturation, Cloudflare devant les sites, et (seulement si vous les acceptez) Google Analytics et YouTube. L’hébergement est le nôtre.
Contrôles indépendants
Nous publions ce que nous avons. CSA STAR Level 1 est une auto-évaluation au regard du questionnaire de la Cloud Security Alliance, déposée dans leur registre public : nos propres réponses, en clair, vérifiables par tous.
Ce que nous ne prétendons pas
Nous n’avons aucun certificat ISO 27001. La plateforme est bâtie selon ces principes (moindre privilège, isolation stricte par organisation, chiffrement en transit et au repos, sauvegardes quotidiennes), mais aucun audit n’a eu lieu, et tant que ce n’est pas le cas, nous ne prétendrons pas le contraire.
Cette page explique ; elle ne régit rien. Si ce résumé diffère de l’un des trois documents, c’est le document qui prévaut.
Commencez avec un hôte et un agent
Créez un compte, installez l’agent avec une seule commande et connectez votre premier hôte Proxmox. La période d’essai dure 14 jours et ne demande aucune coordonnée de paiement.