1. Carri Account et le responsable du traitement
Carri Account est le service centralise de gestion des comptes de Carri Business. Il permet de creer et gerer une identite de compte, de se connecter aux services compatibles de l'ecosysteme Carri Business et, lorsque vous le choisissez, d'autoriser une application cliente a vous identifier.
Carri Business est responsable des traitements decrits dans cette politique pour l'exploitation de Carri Account. Pour toute question sur ces traitements, contactez contact@carribusiness.com.
2. Les donnees que nous traitons
Donnees que vous fournissez
Lors de l'inscription, Carri Account collecte votre prenom, votre nom, votre adresse e-mail, un mot de passe et, si vous le renseignez, votre numero de telephone et votre pays. L'adresse e-mail est l'identifiant principal et fait l'objet d'une verification.
Vous pouvez completer votre profil avec une photo, biographie, site web, localisation, ville, adresse, genre, profession, organisation et date de naissance. Les comptes professionnels peuvent aussi contenir le nom, le site web, la taille et le numero fiscal de l'entreprise. Ces informations facultatives ne sont pas necessaires au fonctionnement de base.
Identifiants, securite et donnees techniques
Nous attribuons des identifiants techniques et publics. Le mot de passe est conserve sous une forme protegee. Si vous activez la double authentification, le service traite le secret TOTP et les codes de secours. Les reinitialisations utilisent des codes temporaires dont seule une empreinte est conservee.
Pour la securite et le fonctionnement, nous traitons notamment l'adresse IP, l'agent utilisateur, la date et le resultat des tentatives de connexion, la derniere activite et les informations de session ou de requete. Les journaux peuvent contenir l'identifiant public, le chemin appele, l'application cliente et un identifiant de requete. Les secrets, mots de passe et jetons y sont exclus ou masques.
3. Pourquoi ces donnees sont utilisees
Nous les utilisons pour creer et administrer le compte, verifier l'e-mail, authentifier les utilisateurs, mettre a jour le profil, envoyer les messages transactionnels relatifs au compte et recuperer un acces.
Nous les utilisons aussi pour proteger les utilisateurs et les services : regles de mot de passe, double authentification, limitation des tentatives, detection des abus, investigation des incidents et revocation d'acces si necessaire. Carri Account ne presente pas, dans son implementation actuelle, de fonction de publicite comportementale ni de vente de donnees personnelles.
4. Applications clientes, OAuth 2.0 et OpenID Connect
Carri Account peut agir comme fournisseur d'identite pour des applications clientes. Lorsqu'une application vous demande de vous connecter, elle est identifiee et les autorisations demandees sont affichees. Vous pouvez poursuivre ou annuler.
Selon les autorisations accordees, l'application peut recevoir une confirmation de votre identite, votre nom ou profil, votre e-mail, ou un acces aux donnees de compte. Un acces hors ligne peut permettre l'emission d'un jeton de renouvellement. Le partage depend des autorisations affichees et acceptees, et non de l'ensemble automatique du profil.
Les codes et jetons OAuth expirent ; les jetons de renouvellement peuvent etre revoques et font l'objet d'une rotation. Les valeurs brutes des jetons OAuth ne sont pas conservees telles quelles dans la base applicative.
5. Securite et prevention de la fraude
Nous utilisons notamment le hachage des secrets d'acces, des protections CSRF, des cookies de session proteges en HTTPS, des restrictions SameSite, le transport HTTPS lorsqu'il est configure, des controles de redirection OAuth et la journalisation de securite. Aucun systeme n'offre une securite absolue ; conservez mot de passe et codes de secours confidentiels.
Les donnees de connexion et journaux peuvent etre analyses pour prevenir la fraude, les acces non autorises et autres abus. Cela peut mener a une limitation temporaire, une suspension ou une revocation d'acces.
6. Conservation des donnees
Nous conservons les donnees du compte pendant sa vie active et aussi longtemps que necessaire pour fournir le service, assurer sa securite, traiter un litige ou respecter les exigences applicables. Dans l'implementation actuelle, la suppression d'un compte est une desactivation logique : le compte est marque comme supprime et l'acces est desactive. Une suppression definitive peut donc necessiter une intervention du support.
Les codes OAuth expirent apres cinq minutes, les jetons d'acces OAuth apres une heure et les jetons de renouvellement OAuth suivent la duree configuree (trente jours par defaut). Les journaux de connexion et d'audit anciens sont prevus pour nettoyage apres quatre-vingt-dix jours.
7. Partage, prestataires et transferts
Nous partageons des donnees avec une application cliente uniquement lorsque vous l'autorisez dans le flux OAuth/OIDC, dans la limite des autorisations affichees. Apres reception, elle les traite selon sa propre politique de confidentialite.
Carri Account peut faire appel a des prestataires techniques necessaires a l'hebergement, la base de donnees, l'envoi d'e-mails transactionnels et la distribution de ressources techniques. Ils ne doivent traiter les donnees que pour ces services. Les fournisseurs effectivement utilises peuvent impliquer un traitement hors du pays de l'utilisateur ; les garanties appropriees seront mises en place selon le contexte applicable.
Nous pouvons aussi communiquer des donnees lorsqu'une demande valable l'impose, ou pour proteger les droits, la securite et l'integrite de Carri Account, Carri Business, ses utilisateurs ou le public.
8. Vos choix, droits et compte
Vous pouvez consulter et corriger certaines informations depuis votre profil, modifier vos parametres et utiliser les fonctions de securite disponibles. Vous pouvez refuser une demande OAuth avant validation.
Selon votre lieu de residence et les regles applicables, vous pouvez demander l'acces, la rectification, la suppression, la limitation ou l'opposition, ainsi que la portabilite lorsqu'elle existe. Pour demander la suppression du compte ou exercer un droit, ecrivez a contact@carribusiness.com. Nous pourrons verifier votre identite.
10. Mineurs
Carri Account n'est pas concu pour collecter sciemment des donnees de personnes qui n'ont pas l'age requis pour utiliser le service selon les regles qui leur sont applicables. Si vous pensez qu'un mineur a fourni des donnees sans autorisation appropriee, contactez-nous.
11. Modifications et contact
Nous pouvons modifier cette politique pour refleter une evolution de Carri Account, de ses mesures de securite ou des exigences applicables. La date de mise a jour et la version en haut de cette page changeront alors. En cas de changement important, nous pourrons utiliser un moyen de notification adapte.
Pour toute question : contact@carribusiness.com.