Politique de confidentialité d'erase4me.com
Version 1.0 - en vigueur depuis le 13 novembre 2026
erase4me.com est un service gratuit en phase bêta. Cette page explique, simplement, quelles données personnelles nous traitons, pourquoi, avec qui nous les partageons et comment exercer vos droits.
1. Qui est responsable de vos données ?
Le responsable du traitement est : Lucas MARQUES, personne physique, éditeur du service erase4me.com, 2A chemin de la Basse Taye, 54110 Rosières-aux-Salines, France, France. Contact pour toute question sur vos données : [email protected]. Le service est hébergé sur un serveur appartenant à l'éditeur, en France, sans hébergeur tiers. Aucun délégué à la protection des données (DPO) n'est désigné ; la loi ne l'exige pas pour ce service à ce stade.
2. Ce que fait le service
Avec votre mandat, erase4me envoie en votre nom, par e-mail, des demandes fondées sur le RGPD (effacement, opposition, information des destinataires : articles 17, 21 et 19) à des courtiers de données (sociétés qui collectent et revendent des données personnelles). Il suit les réponses, envoie des relances à J+30 et J+45 et crée à J+60 une tâche vous rappelant que vous pouvez saisir la CNIL. L'envoi automatique n'a lieu que si vous avez coché la case de mandat à l'inscription et activé explicitement l'envoi automatique. Vous pouvez le désactiver à tout moment.
Vous ne devez saisir que vos propres données, ou celles d'une personne qui vous a donné mandat pour agir pour elle. Ne saisissez pas de données sensibles (santé, opinions, etc.).
3. Données traitées, finalités et bases légales
| Pourquoi | Quelles données | Base légale |
|---|---|---|
| Créer et sécuriser votre compte | e-mail de connexion (conservé chiffré, avec une empreinte HMAC pour le retrouver), mot de passe (haché Argon2id), authentification à deux facteurs (TOTP) si activée | Exécution du service que vous demandez (contrat) |
| Constituer votre coffre d'identifiants | nom et variantes, e-mails (vérifiés par lien), téléphones, adresses postales ; chiffrés AES-256-GCM avec une clé propre à votre compte | Exécution du service (contrat) |
| Envoyer et suivre les demandes aux courtiers | demandes envoyées, copies chiffrées des messages, extraits chiffrés (600 caractères, sans lien) des réponses reçues, événements de suivi | Exécution du service (contrat) ; votre mandat et votre activation explicite de l'envoi automatique (consentement) pour la communication de votre nom et de vos e-mails vérifiés aux courtiers |
| Rechercher où vos données apparaissent | e-mail, téléphone ou « nom + ville » envoyés à des moteurs de recherche, à XposedOrNot et à l'API Recherche d'entreprises ; nous gardons, chiffrés dans votre compte et visibles de vous seul, l'adresse et le titre des pages publiques trouvées (trois au plus par site), le type de données visibles et, pour les fuites, le nom du service piraté et les catégories de données exposées ; jamais l'extrait de page ni son contenu | Votre consentement, distinct et retirable à tout moment |
| Tenir un journal des appels de démarchage | numéros appelants, dates, notes | Exécution du service (contrat) ; intérêt légitime pour les numéros de tiers |
| Sécuriser le service | sessions (empreintes hachées de l'IP et du user-agent), journal d'audit sans contenu personnel | Intérêt légitime de sécurité |
| Prouver votre consentement | version du texte accepté, date, empreinte d'IP | Obligation de pouvoir démontrer le consentement ; intérêt légitime |
| Répondre à vos demandes et gérer les incidents | données nécessaires | Obligation légale |
Les courtiers ne reçoivent que votre nom et vos e-mails vérifiés. Ils ne reçoivent ni vos téléphones ni vos adresses postales.
Aucune décision automatisée produisant un effet juridique sur vous n'est prise.
4. Qui reçoit vos données ?
- Brevo (Sendinblue SAS, France) : relais d'envoi (SMTP) des e-mails du service et de vos demandes. Sous-traitant.
- Google (Gmail) : boîte qui reçoit les réponses des courtiers, lue par IMAP. Sous-traitant.
- Cloudflare : DNS, proxy, tunnel et routage des e-mails entrants. Sous-traitant.
- Moteurs de recherche (Bing, Yahoo, Brave, DuckDuckGo, Google), interrogés depuis notre serveur via un métamoteur auto-hébergé, avec votre e-mail, votre téléphone ou « nom + ville », si vous avez consenti aux recherches. Ils traitent ces requêtes pour leur propre compte.
- XposedOrNot : vérification de fuites à partir de votre e-mail (si vous avez consenti aux recherches).
- API Recherche d'entreprises (data.gouv.fr) : interrogée avec votre nom (si vous avez consenti aux recherches).
- Les courtiers de données auxquels vous demandez d'agir : ils reçoivent votre nom et vos e-mails vérifiés. Ils sont situés dans l'Union européenne, aux États-Unis et ailleurs.
Nous ne vendons pas vos données, nous n'utilisons ni publicité, ni outil de mesure d'audience, ni traceur.
5. Transferts hors de l'Union européenne
Certains destinataires sont situés hors UE, notamment aux États-Unis (par exemple Google, Cloudflare, certains moteurs de recherche et courtiers). Le transfert repose, selon le destinataire : sur une décision d'adéquation de la Commission européenne (par exemple le Data Privacy Framework pour les entreprises américaines certifiées, ou le Royaume-Uni, la Suisse, le Japon...), sur des clauses contractuelles types, ou, à défaut, sur votre consentement explicite après information des risques (l'absence de protection équivalente). Le détail des garanties applicables à chaque destinataire est tenu à votre disposition sur simple demande. Vous pouvez refuser les recherches web ou désactiver l'envoi automatique ; pour obtenir une copie des garanties, écrivez-nous.
6. Combien de temps gardons-nous vos données ?
- Compte actif : vos données sont conservées pour fournir le service. Un compte inactif (aucune connexion) pendant 24 mois est supprimé automatiquement, après un avertissement par e-mail un mois avant.
- Suppression de votre compte (par vous, ou automatique) : le coffre, les demandes, les expositions détectées, les messages et les réponses, le journal d'appels, les consentements, les sessions et les événements de suivi sont effacés immédiatement. Les journaux d'audit ne contiennent pas de données personnelles (le lien avec votre compte est supprimé).
- Sessions : au plus 12 heures. Liens de confirmation et de réinitialisation : 24 heures et 1 heure. Journaux d'audit (sans données personnelles) : 12 mois. Preuve de votre consentement et de votre mandat : tant que le compte existe.
- Réponses des courtiers : l'extrait chiffré est gardé dans votre compte ; les messages reçus dans la boîte de réception technique du service sont supprimés au bout de 30 jours.
- Sauvegardes : une sauvegarde quotidienne est faite sur un disque externe ; trois copies sont conservées au plus. Vos données y sont chiffrées champ par champ (la clé n'est pas dans la sauvegarde) et disparaissent des sauvegardes en trois jours après la suppression.
- Les courtiers appliquent leurs propres durées pour les demandes reçues.
7. Vos droits et comment les exercer
Vous avez le droit d'accéder à vos données, de les rectifier, de les effacer, de limiter leur usage, de vous opposer aux traitements fondés sur l'intérêt légitime, de les récupérer dans un format réutilisable, de retirer votre consentement à tout moment sans effet sur ce qui précède, et de définir le sort de vos données après votre décès (le cas échéant). Ce que vous pouvez faire seul dans le service : exporter vos données (fichier JSON), supprimer votre compte, désactiver l'envoi automatique à tout moment, activer l'authentification à deux facteurs. Pour tout autre droit : écrivez à [email protected]. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, et vous en informons. Nous pouvons vous demander une preuve d'identité en cas de doute. Retirer le consentement à l'envoi automatique stoppe les envois futurs ; il ne rappelle pas les messages déjà envoyés aux courtiers.
8. Réclamation
Vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) : https://www.cnil.fr/fr/plaintes. Nous vous invitons à nous contacter d'abord, mais ce n'est pas obligatoire.
9. Sécurité
Vos identifiants sont chiffrés (AES-256-GCM, clé propre à chaque compte, clé maître sur le serveur). Votre mot de passe est haché (Argon2id). L'authentification à deux facteurs est disponible. Les sessions et journaux ne conservent que des empreintes hachées. Aucun traitement n'est sans risque ; en cas de violation de données présentant un risque pour vous, nous prévenons la CNIL dans les 72 heures et vous informons si le risque est élevé.
10. Cookies
Nous utilisons uniquement des cookies strictement nécessaires ou de préférence, qui ne servent pas à vous suivre et ne demandent pas de consentement : un cookie de session (rester connecté), un jeton CSRF (sécurité des formulaires), un cookie de message d'information (confirmations affichées après une action) et un cookie de langue (mémoriser la langue que vous choisissez). Aucun traceur, aucune publicité, aucun outil de mesure d'audience.
11. Mineurs
Le service est réservé aux personnes âgées d'au moins 18 ans. Si vous pensez qu'un mineur s'est inscrit, écrivez-nous : nous supprimerons le compte.
12. Mise à jour
Nous pouvons modifier cette politique, notamment pendant la bêta. La date et la version figurent en haut de page ; en cas de changement important, nous vous en informons par e-mail ou dans le service avant son entrée en vigueur.