WWWveilig
FR

Authenticator 2FA · Confidentialité

Politique de confidentialité de WWWveilig Authenticator

WWWveilig Authenticator est une app d’authentification à deux facteurs : elle affiche des codes à six chiffres et vous permet d’approuver ou de refuser des demandes de connexion pour des applications sur lesquelles vous avez déjà un compte. Vous trouverez ici précisément ce que l’app et son API enregistrent, et pourquoi.

Dernière mise à jour : 3 novembre 2026

Ceci est une traduction de la politique de confidentialité néerlandaise. En cas de divergence entre les deux, la version néerlandaise fait foi.

Responsable du traitement

L’app et l’API sur api.wwwveilig.nl sont un service de WWWveilig, qui fait partie de EVweb BV. EVweb BV est responsable du traitement des données à caractère personnel effectué par l’app et l’API.

EVweb BV / Centerdesk / WWWveilig
Bijlestaal 44M
1721 PW Broek op Langedijk
Pays-Bas

Vous avez des questions sur cette politique ou sur vos données ? Écrivez à privacy@wwwveilig.nl.

Ce qui reste uniquement sur votre téléphone

  • Les clés secrètes qui servent à calculer vos codes à six chiffres. Elles sont conservées dans le stockage sécurisé du système d’exploitation (iOS Keychain, Android Keystore) et ne sont utilisées que sur l’appareil. La génération d’un code se fait hors ligne et n’envoie rien nulle part.
  • L’adresse de l’API à laquelle vos comptes sont rattachés.

L’app n’a pas de compte propre. Il n’y a ni nom d’utilisateur, ni mot de passe, ni inscription.

Ce que l’API enregistre

Lorsqu’une application associe votre téléphone comme deuxième étape, le service enregistre :

  • Une référence d’utilisateur fournie par cette application : pour savoir à lequel de ses utilisateurs ce téléphone appartient. Il s’agit de l’identifiant propre à cette application, et non de votre nom.
  • Un libellé facultatif (souvent votre adresse e-mail) : pour que vous puissiez distinguer vos comptes dans l’app. Il est fourni par l’application, pas par nous.
  • Une copie chiffrée de la clé secrète : pour vérifier les codes que vous saisissez. Stockée sous forme chiffrée.
  • Le nom, la plateforme et la version de l’app de votre appareil : pour que vous puissiez reconnaître votre téléphone et que nous puissions en assurer le support.
  • Un jeton de notification push : pour vous transmettre les demandes d’approbation sur votre téléphone.
  • Pour chaque demande de connexion : la date et l’heure, le statut, l’adresse IP et l’éventuel texte de localisation fourni par l’application : pour vous montrer d’où provenait une demande, et à titre de trace de sécurité.

Nous tenons un journal de sécurité des événements tels que « code vérifié », « demande approuvée » et « association révoquée », avec l’adresse IP concernée. Les entrées du journal de sécurité sont supprimées automatiquement au bout de 180 jours.

Requêtes vers des adresses qui n’existent pas

Lorsque quelque chose demande au service une adresse qu’il ne possède pas, nous répondons par une courte page « non autorisé » et nous enregistrons la requête : l’adresse IP d’où elle provenait réellement, l’identification du navigateur ou du programme, l’adresse demandée et l’heure. C’est ainsi que nous repérons les scans et les sondages répétés du service, ce qui relève de notre intérêt légitime à en assurer la sécurité (article 6, paragraphe 1, point f), du RGPD). Ces enregistrements concernent la requête, et non un compte : nous ne cherchons pas à savoir qui l’a envoyée et nous ne les combinons pas avec d’autres données. Ils sont supprimés automatiquement au bout de 90 jours.

Connexion de démonstration pour les examinateurs de l’app

Le premier écran d’un téléphone sans compte affiche Compte de démonstration (examen de l’app). Il est destiné aux examinateurs de Google Play et de l’App Store. Ce que vous y saisissez (adresse e-mail et mot de passe) est envoyé à notre site de démonstration m.centerdesk.nl, qui n’accepte que ses propres comptes d’examen et associe le téléphone à l’un d’eux. Les utilisateurs ordinaires n’ont pas besoin de cet écran.

Ce que nous ne faisons pas

  • Nous ne vendons ni ne louons vos données.
  • Nous n’utilisons ni publicité, ni pistage, ni outils d’analyse d’audience.
  • Nous n’établissons pas de profil et ne prenons aucune décision automatisée à votre sujet.
  • Nous ne vous demandons ni votre nom, ni votre adresse, ni votre numéro de téléphone, ni votre date de naissance.
  • Nous n’avons pas accès aux comptes que vous protégez : seule l’application à laquelle vous vous connectez sait qui vous êtes.

Autres intervenants

Les notifications push sont acheminées par le service du fabricant du système d’exploitation : Apple Push Notification service sur iOS et Firebase Cloud Messaging sur Android, ainsi que, lorsqu’il est configuré, par le relais push d’Expo. Ces services reçoivent le jeton de notification et le texte de la notification afin de pouvoir la délivrer. Nous ne partageons rien d’autre avec des tiers.

Le service fonctionne sur des serveurs situés dans l’Union européenne.

Durées de conservation

  • Données d’association : jusqu’à ce que le compte soit supprimé de l’app ou que l’administrateur de l’application désactive votre authentification à deux facteurs.
  • Demandes de connexion : elles expirent en quelques minutes ; leur trace reste dans le journal de sécurité.
  • Journal de sécurité : 180 jours, puis suppression automatique.
  • Requêtes vers des adresses inexistantes : 90 jours, puis suppression automatique.

Vos droits

En vertu du RGPD, vous pouvez demander l’accès à vos données, leur rectification ou leur effacement, et vous opposer à leur traitement. Le service ne vous connaît que par un identifiant de l’application à laquelle vous vous connectez ; le plus rapide est donc généralement de passer par les paramètres de compte de cette application.

Vous pouvez toujours supprimer vous-même des données :

  • Supprimer un compte : dans l’app, Paramètres → le compte → Supprimer. Cela efface la clé secrète et dissocie le téléphone.
  • Tout supprimer : Paramètres → Réinitialiser ce téléphone.
  • Demande d’effacement complet : voir Supprimer vos données, ou écrivez à privacy@wwwveilig.nl.

Vous avez également le droit d’introduire une réclamation auprès de l’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens).

Sécurité

Les clés secrètes sont stockées sous forme chiffrée. Chaque code à six chiffres ne peut être utilisé qu’une seule fois. Les demandes d’approbation expirent en quelques minutes et sont liées à un seul appareil. Tout le trafic passe par TLS.

Modifications

Si cette politique change de manière substantielle, nous mettons à jour la date en haut de la page et, lorsque cela vous concerne, nous le signalons dans l’app.