Politique de confidentialité

Lorsque vous créez un compte, nous collectons votre adresse e-mail, votre prénom, votre mot de passe et un code de vérification à usage unique envoyé par e-mail. Votre mot de passe n’est jamais stocké en clair : seule sa version hachée est conservée.

Lors de l’inscription, nous vous posons aussi quelques questions facultatives sur votre profil (votre activité, les plateformes que vous utilisez, la façon dont vous nous avez découverts) : ces réponses nous aident à améliorer le service et ne sont jamais revendues.

Cette collecte repose sur l’exécution du contrat qui nous lie. Vous pouvez supprimer votre compte à tout moment depuis la page Compte. Que la suppression soit faite par vous ou par nous, le compte est désactivé immédiatement et vos pages bio ne sont plus visibles du public. Vos données de compte sont ensuite conservées 45 jours, afin de traiter un éventuel problème, litige, contrôle ou vérification de sécurité. Pendant ce délai, le compte peut être restauré sur demande auprès de notre support. À l’issue des 45 jours, vos informations personnelles sont automatiquement anonymisées (adresse e-mail, prénom, nom, mot de passe, informations de société, réponses libres données à l’inscription et sessions) et le compte ne peut plus être restauré. Restent conservés, hors ligne et jamais affichés publiquement : vos pages bio et leur contenu, médias compris, les statistiques agrégées, les références de facturation liées à notre prestataire de paiement Whop (identifiant d’abonnement, statut, dates) et les éléments relatifs aux vérifications de sécurité des liens.

Si vous renseignez des informations de facturation (raison sociale, numéro d’immatriculation, numéro de TVA, adresse), celles-ci sont utilisées uniquement pour établir vos factures et respecter nos obligations comptables.

Le contenu que vous ajoutez à votre page bio (textes, liens, images, fichiers audio ou vidéo) est public par nature : il est visible par toute personne qui consulte votre page à son adresse ultime.bio.

Le paiement de l’offre Pro est traité par notre prestataire Whop, Inc. (300 Kent Ave #401, Brooklyn, New York 11249, États-Unis). Whop traite votre nom, votre adresse e-mail et vos données de paiement (carte bancaire). Nous ne stockons jamais votre numéro de carte : nous conservons uniquement l’identifiant de votre abonnement Whop, son statut (actif, résilié…) et les dates de paiement.

Pour protéger les personnes qui visitent vos pages, chaque lien que vous ajoutez à un bloc est vérifié automatiquement dès que vous enregistrez votre page, qu’elle soit publiée ou non : un lien déjà connu comme dangereux est repéré immédiatement, et les autres sont examinés juste après, généralement en quelques minutes. Tant que la page est en ligne, ses liens sont ensuite revérifiés régulièrement.

Les premières vérifications n’utilisent que le lien lui-même (son adresse et son nom de domaine), jamais vos données de compte. Elles s’appuient sur la base de sites dangereux de Google (Web Risk), sur URLhaus, la base d’URL malveillantes gérée par abuse.ch (Suisse), et sur la résolution DNS sécurisée de notre hébergeur Cloudflare. Pour connaître la date d’enregistrement du domaine, une information publique, son nom est aussi transmis au service rdap.org, qui oriente la demande vers le registre concerné.

Lorsque ces vérifications ne suffisent pas à trancher, le lien peut être soumis au scanner d’URL de Cloudflare, qui visite la page liée. Ce scanner publie ses analyses : le lien et une capture d’écran de la page liée apparaissent alors sur Cloudflare Radar (radar.cloudflare.com), y compris pour un lien placé sur une page non publiée, puisque la vérification a lieu dès l’enregistrement.

Si le doute subsiste, le contenu public de la page liée (son texte, jamais vos données de compte) peut être analysé par intelligence artificielle afin de détecter les tentatives d’hameçonnage ou d’arnaque. Cette analyse est confiée en priorité à un modèle exécuté par Cloudflare (Workers AI). Pour confirmer qu’un lien est dangereux, une seconde analyse est effectuée par Google Gemini, auquel nous accédons via le service kie.ai, ou, si Gemini n’est pas disponible, par un second modèle exécuté par Cloudflare. Lorsque Workers AI n’est pas disponible ou a atteint son quota quotidien, Google Gemini effectue seul cette analyse.

Si un lien est jugé dangereux, la page qui le contient est automatiquement mise en quarantaine et retirée de la consultation publique, et vous en êtes informé par e-mail. Toute personne peut également signaler une page grâce au formulaire disponible à l’adresse ultime.bio/signaler.

Nous mesurons l’audience de votre page bio sans cookie de suivi. À chaque visite, nous recevons temporairement l’adresse IP et le navigateur du visiteur : ces deux informations ne sont pas conservées telles quelles.

Un condensé cryptographique (hash), calculé à partir de ces informations, sert uniquement à ne pas compter deux fois la même visite pendant deux heures.

Nous conservons ensuite : le pays, la ville, le type d’appareil, le navigateur, le système d’exploitation, le site à l’origine de la visite (référent) et les paramètres de campagne éventuels.

Les événements bruts sont conservés 3 mois chez notre hébergeur Cloudflare. Les statistiques agrégées par jour sont conservées 400 jours.

Cloudflare, notre hébergeur, conserve des journaux techniques de connexion pendant 7 jours à des fins de sécurité et de lutte contre la fraude.

Nos e-mails transactionnels (code de vérification, réinitialisation de mot de passe…) sont envoyés via notre prestataire Shipmail.

Si vous avez coché la case correspondante lors de votre inscription, votre adresse e-mail est aussi ajoutée à notre liste de diffusion chez Shipmail, accompagnée de quelques informations d’usage utiles pour vous envoyer des conseils pertinents : votre offre (gratuite ou Pro), le nombre de pages que vous avez créées, la date de votre dernière connexion, la date de votre dernière modification de page, ainsi que le total de vos visites et clics reçus et vos dates de paiement. Vous pouvez vous désinscrire à tout moment via le lien présent dans chaque e-mail.

Vous pouvez aussi vous inscrire à notre lettre d’information sans créer de compte, depuis un article du blog. Nous vous envoyons d’abord un e-mail de confirmation : votre adresse n’est ajoutée à la liste de diffusion qu’après avoir cliqué sur le lien reçu puis sur le bouton de confirmation (double opt-in). Nous conservons alors votre adresse e-mail, la date de confirmation, l’article depuis lequel vous vous êtes inscrit, ainsi que l’adresse IP utilisée au moment de la confirmation, comme preuve de votre consentement. Sans confirmation, votre adresse n’est jamais ajoutée. Vous pouvez vous désinscrire à tout moment via le lien présent dans chaque e-mail.

Nous utilisons uniquement un cookie de session strictement nécessaire au fonctionnement de votre compte, conservé 30 jours, et un stockage local de confort dans l’éditeur (studio) pour mémoriser vos préférences d’affichage.

Nous n’utilisons aucun cookie publicitaire ni traceur tiers.

Selon les blocs que vous choisissez d’ajouter à votre page, celle-ci peut charger des ressources de fournisseurs tiers, qui reçoivent alors l’adresse IP de vos visiteurs :

• Bunny Fonts, opéré par BunnyWay d.o.o. (polices de caractères, sur toutes les pages)
• OpenFreeMap et Photon, opéré par komoot GmbH (cartes et recherche d’adresse, bloc Localisation)
• YouTube, Spotify, SoundCloud et les autres fournisseurs compatibles oEmbed (contenus intégrés)
• X, anciennement Twitter (affichage des publications intégrées)
• GitHub (affichage des statistiques et avatars)
• Les sites tiers liés depuis vos blocs, pour générer un aperçu (image, titre, description)

Nous faisons appel aux sous-traitants suivants :

• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis (hébergement, base de données, stockage de fichiers, statistiques et vérification automatique des liens par résolution DNS sécurisée, scanner d’URL et Workers AI, centres de données situés aux États-Unis et dans l’Union européenne)
• Shipmail (envoi d’e-mails transactionnels et marketing, infrastructure hébergée dans l’Union européenne, à Francfort)
• Whop, Inc., 300 Kent Ave #401, Brooklyn, New York 11249, États-Unis (paiement et gestion des abonnements de l’offre Pro)
• Google LLC et, pour les utilisateurs de l’Union européenne, Google Ireland Limited (vérification de la sécurité des liens que vous publiez via l’API Web Risk, et analyse du contenu des liens suspects via l’API Gemini, à laquelle nous accédons par l’intermédiaire de kie.ai)
• NexusAI Services LLC (kie.ai), 118 Krameria St, Denver, CO 80220, États-Unis (accès à l’API Gemini de Google pour l’analyse du contenu des liens suspects)
• abuse.ch (URLhaus), Suisse (comparaison des liens que vous publiez avec sa base d’URL malveillantes)
• BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slovénie (polices de caractères Bunny Fonts)
• komoot GmbH, Kienberger Allee 4, 12529 Schönefeld, Allemagne (fond de carte OpenFreeMap et recherche d’adresse Photon)

Les transferts de données vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne. Les transferts vers la Suisse (abuse.ch) sont couverts par la décision d’adéquation de la Commission européenne concernant ce pays. Les données transmises à kie.ai pour l’analyse par Google Gemini se limitent à des informations sur le lien (son adresse, son libellé sur votre page) et au contenu public de la page liée, à l’exclusion de toute donnée de compte.

Les données sont chiffrées en transit (HTTPS) et vos mots de passe sont stockés sous forme hachée, jamais en clair.

Conformément au règlement général sur la protection des données (RGPD), vous disposez d’un droit d’accès, de rectification, d’effacement, de portabilité, d’opposition et de limitation sur vos données.

• Effacement : supprimez votre compte depuis la page Compte. Il est désactivé immédiatement, puis vos informations personnelles sont anonymisées au bout de 45 jours, comme décrit dans la section Données de compte.
• Portabilité : pour obtenir une copie de vos données, faites-en la demande par e-mail grâce au bouton « Nous écrire » en bas de cette page.
• Pour toute autre demande, écrivez-nous grâce au même bouton.

Vous pouvez introduire une réclamation auprès de l’autorité de protection des données de votre pays de résidence, par exemple la Commission nationale de l’informatique et des libertés (CNIL) en France (cnil.fr), ou auprès de l’Information Commissioner’s Office (ICO), l’autorité compétente au Royaume-Uni où SHARINGANG LTD est immatriculée (ico.org.uk).

Le service est réservé aux personnes âgées de 15 ans et plus.

Pour toute question relative à cette politique ou à vos données, écrivez-nous grâce au bouton « Nous écrire » ci-dessous.