Politique de confidentialité
1. Responsable du traitement
Le responsable du traitement est l'éditeur de MaxLabs, personne physique exploitant un site non commercial (voir les mentions légales). Contact : admin@maxlabs.uno.
2. Données traitées
| Catégorie | Données | Finalité | Base légale |
|---|---|---|---|
| Compte | Nom d'utilisateur, nom d'affichage, adresse email, mot de passe (haché bcrypt, jamais lisible), langue, dates d'inscription et de dernière connexion | Création et gestion du compte | Exécution du contrat |
| Connexion | Session (2 h d'inactivité), code à usage unique (10 min), appareils de confiance : empreinte du jeton, navigateur, dates (30 jours) | Authentification et sécurité | Intérêt légitime (sécurité) |
| Journal de sécurité | Type d'événement (connexion, échec, changement de mot de passe, ouverture d'une application…), date, application concernée, adresse IP complète pendant 30 jours puis tronquée (ex. 203.0.113.0), navigateur résumé (ex. « Firefox · Windows »), pays et ville approximatifs déduits de l'IP | Détecter un accès suspect, vous alerter, l'afficher dans « Mon compte » ; statistiques de connexion agrégées pour l'administrateur | Intérêt légitime (sécurité du compte et du service) |
| Alertes de sécurité | Adresse email, date, appareil et lieu approximatif de la connexion concernée | Vous prévenir d'une connexion depuis un nouvel appareil ou un pays inhabituel, ou de tentatives répétées | Intérêt légitime (sécurité) |
| Anti-abus | Empreintes non réversibles (HMAC) de l'IP et de l'identifiant saisi | Limiter la force brute, le spam d'inscriptions et d'emails | Intérêt légitime (sécurité) |
| Mesure d'audience | Page vue, jour, site, site de provenance (domaine seul), type d'appareil, navigateur et système résumés, pays ; visiteur unique estimé par une empreinte non réversible recalculée chaque jour. Aucun cookie, aucune adresse IP ni aucun compte enregistré | Statistiques de fréquentation anonymes | Intérêt légitime ; mesure exemptée de consentement (CNIL), opposition possible |
| Erreurs techniques | Message d'erreur nettoyé (sans email, valeur saisie ni identifiant), page, navigateur résumé, nombre d'occurrences ; aucun compte | Corriger les dysfonctionnements | Intérêt légitime (bon fonctionnement) |
| Accès | Rôle, listes d'accès et blocages par application | Contrôle d'accès | Exécution du contrat |
| Préférences | Applications favorites, dernières applications ouvertes, thème (dans le navigateur) | Confort d'utilisation | Exécution du contrat |
| Applications liées | Données saisies dans Shiftr, Athleon, CarTracker, Annette, les jeux… | Fourniture de chaque application | Exécution du contrat |
3. Cookies et stockage local
Uniquement des traceurs nécessaires au service, sans consentement préalable requis :
MAXLABS_SESSION— cookie de session sécurisé (HttpOnly, Secure), partagé sur*.maxlabs.unopour passer d'une application à l'autre ; expire après 2 h d'inactivité ;ml_device— posé seulement si vous choisissez de rester connecté ; 30 jours ; propre à maxlabs.uno ;ml_noaudience— posé seulement si vous vous opposez à la mesure d'audience ; 13 mois ;- stockage local du navigateur : thème clair/sombre, fermeture du bandeau d'information.
Aucun cookie publicitaire ni de mesure d'audience : la fréquentation est comptée sans cookie et de façon anonyme (voir ci-dessus), conformément aux conditions d'exemption de la CNIL. Les signaux « Do Not Track » et « Global Privacy Control » de votre navigateur sont respectés : vous n'êtes alors pas compté. Les polices de caractères sont hébergées sur maxlabs.uno : aucune requête n'est envoyée à un service tiers comme Google Fonts.
Ce navigateur est compté (anonymement).
4. Durées de conservation
- Compte : tant qu'il est actif ; suppression immédiate depuis « Mon compte », données des applications liées effacées sous 30 jours.
- Compte jamais confirmé : supprimé après 7 jours.
- Session : 2 h d'inactivité. Code de connexion : 10 min. Lien de confirmation d'email : 24 h. Lien de réinitialisation : 1 h, effacé après 24 h.
- Appareils de confiance : 30 jours après la dernière utilisation.
- Journal de sécurité : 180 jours ; adresse IP complète : 30 jours, tronquée ensuite. Traces anti-abus : 24 h.
- Mesure d'audience : détail 13 mois, puis seuls des totaux par jour sans aucune donnée personnelle ; empreinte de visiteur inutilisable dès le lendemain (sa clé du jour est détruite).
- Erreurs techniques : 90 jours après leur dernière occurrence.
- Journaux techniques de l'hébergeur : 12 mois maximum.
- Plannings Shiftr : 3 ans après leur création.
5. Destinataires
Les données ne sont ni vendues ni cédées. Y ont accès : l'administrateur de MaxLabs (gestion des comptes et des accès) et l'hébergeur Hostinger (serveurs situés dans l'Union européenne), dans le cadre strict de l'hébergement.
La localisation approximative (pays, ville) est calculée sur nos serveurs avec la base libre DB-IP Lite : aucune adresse IP n'est envoyée à un service tiers.
6. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (RGPD, articles 15 à 21). Depuis Mon compte, vous pouvez directement modifier vos informations, télécharger vos données (JSON) et supprimer votre compte, consulter votre journal de sécurité et signaler une connexion que vous ne reconnaissez pas (« Ce n'était pas moi »). Vous pouvez vous opposer à la mesure d'audience ci-dessous (section 3) ou depuis « Mon compte ». Pour toute autre demande : admin@maxlabs.uno (réponse sous un mois).
Vous pouvez aussi introduire une réclamation auprès de la CNIL : www.cnil.fr.
7. Sécurité
- Chiffrement HTTPS sur toute la plateforme ;
- mots de passe hachés (bcrypt), règles de robustesse ;
- code par email à chaque connexion depuis un appareil inconnu ;
- limitation des tentatives de connexion, d'inscription et d'envoi d'emails ;
- seule une empreinte des jetons (appareils, liens email) est conservée ;
- cookies HttpOnly, Secure, SameSite ; politique de sécurité du contenu (CSP) ;
- fermeture des sessions et oubli des appareils à chaque changement de mot de passe, avec notification par email ;
- alerte par email lors d'une connexion depuis un nouvel appareil ou un pays inhabituel, et après des tentatives répétées ;
- journal de sécurité consultable dans « Mon compte », avec « Ce n'était pas moi » pour fermer toutes les sessions.
8. Transferts hors UE
Aucun transfert de données personnelles hors de l'Espace économique européen dans le cadre normal du service.
9. Modifications
Cette politique peut être mise à jour ; la date figure en tête de page. Les changements importants sont signalés sur l'accueil.
Pour toute question : admin@maxlabs.uno — réponse sous un mois maximum.