Politique de confidentialité

HookPulse est exploité par Altix Code Ltd, une société enregistrée en République de Chypre (« Altix », « nous »). La présente politique détaille les données personnelles que nous collectons lorsque vous utilisez notre site web et notre tableau de bord (le « Service »), ce qui transite par le Service lorsque vous publiez et distribuez des événements webhook, pour quelles finalités, pendant combien de temps nous les conservons, avec qui nous les partageons, ainsi que les droits dont vous bénéficiez à leur égard.

Deux rôles distincts s'appliquent tout au long de cette politique, et cette distinction est fondamentale : pour les données vous concernant et relatives à votre compte, Altix agit en tant que responsable du traitement. Pour le contenu des événements que vous publiez via le Service — qui peut lui-même inclure des données personnelles concernant vos propres utilisateurs finaux —, vous êtes le responsable du traitement et Altix agit en tant que sous-traitant exécutant uniquement vos instructions, dans le seul but de signer, distribuer et consigner ce contenu en votre nom. Consultez la section « Lorsque nous traitons des données pour votre compte » ci-dessous.

1. Données que nous collectons à votre sujet

Lorsque vous créez un compte et utilisez le Service, nous recueillons :

Les informations de compte — votre adresse email, un nom facultatif, le nom de votre organisation ainsi qu'une version salée et hachée de manière irréversible de votre mot de passe. Nous ne conservons ni n'avons jamais accès à votre mot de passe réel.

Les données relatives à l'équipe et aux autorisations — si votre compte réunit plusieurs personnes, nous enregistrons l'adresse email de chaque membre, son rôle, qui l'a invité et à quel moment, afin que le propriétaire du compte puisse gérer les accès.

Les informations de facturation — la formule de votre abonnement, son statut et sa date de renouvellement. Les coordonnées bancaires et de paiement sont collectées et conservées par Stripe, notre prestataire de paiement ; nous ne recevons de leur part qu'un identifiant d'abonnement et de client, jamais votre numéro de carte bancaire.

Les clés API — nous stockons un hachage à sens unique de chaque clé API générée, assorti d'un court préfixe non secret affiché sur le tableau de bord pour vous permettre de distinguer vos clés. La clé elle-même n'est affichée qu'une seule fois, lors de sa création, et plus jamais par la suite.

Les échanges avec l'assistance et les communications de compte — tout ce que vous nous transmettez par email, y compris les emails transactionnels que nous vous envoyons (réinitialisations de mot de passe, vérification d'email, invitations d'équipe).

Les journaux d'utilisation et de sécurité — les horodatages de connexion ainsi qu'un journal d'audit de sécurité des actions d'adhésion sur votre compte (invitations, modifications de rôle, suppressions et demandes de suppression de compte), chacun portant l'email de l'auteur et l'heure de l'événement.

Les données techniques — les journaux standard de serveur web et de requêtes (adresse IP, user agent, horodatages) générés lors de l'utilisation du tableau de bord, conservés brièvement à des fins de sécurité et de prévention des abus.

2. Lorsque nous traitons des données pour votre compte

La vocation de HookPulse est de recevoir un événement depuis votre backend, de le signer, de le distribuer aux endpoints webhook configurés par vous ou vos propres clients, de le relancer en cas d'échec et de conserver un historique durable de chaque tentative. Ce journal — la requête envoyée, la réponse reçue et l'horodatage — constitue le produit en lui-même : c'est grâce à lui que vous et vos clients pouvez vérifier si un webhook a bien été reçu et analyser les raisons d'un éventuel échec.

Concrètement, pour chaque événement publié via l'API, nous stockons et transmettons, sur vos instructions et à aucune autre fin :

La charge utile (payload) de l'événement transmise — du JSON arbitraire issu de vos propres systèmes, pouvant lui-même contenir des données personnelles sur vos utilisateurs finaux (par exemple, un événement de commande ou d'abonnement mentionnant un client). Nous n'inspectons pas, n'analysons pas la signification sémantique et n'utilisons aucunement ce contenu en dehors des opérations de distribution et de journalisation.

L'URL de l'endpoint de destination et, le cas échéant, un identifiant d'abonné dans votre propre espace de nommage, servant à rattacher un journal de distribution au client concerné.

Le résultat de chaque tentative de distribution — le code de statut de la réponse, les en-têtes et le corps de réponse (ou l'erreur si le serveur de réception était injoignable), ainsi que la durée d'exécution — enregistrés par ajout successif sans jamais être écrasés, de sorte qu'une tentative ultérieure n'efface pas les données d'une tentative précédente.

Vous demeurez le responsable du traitement de ces données : c'est vous qui décidez de ce qui est publié, du lieu de distribution et des personnes autorisées à consulter l'historique de distribution (par exemple, via un jeton de portail temporaire et restreint). Il vous incombe de veiller à disposer d'une base légale valable pour inclure des données personnelles dans un événement, et d'honorer toutes les obligations envers vos propres utilisateurs finaux au titre de votre propre politique de confidentialité.

Chaque secret de signature et clé de signature de jeton de portail est scellé au repos avec AES-256-GCM. Les charges utiles et corps de réponse ne font pas l'objet d'un chiffrement distinct au-delà du chiffrement du disque propre à la base de données, et leur accès est strictement limité à votre compte et, pour une distribution donnée, au jeton de portail restreint que vous choisissez de générer à cet effet.

3. Pourquoi nous les traitons

Pour fournir le Service en lui-même — signer, distribuer, relancer et consigner les événements que vous publiez, et appliquer le quota de distribution prévu par votre formule.

Pour assurer votre facturation, via Stripe, dans le cadre de l'abonnement payant choisi.

Pour communiquer avec vous au sujet de votre compte, notamment par l'envoi d'emails nécessaires à son fonctionnement (vérification, réinitialisation de mot de passe, invitations d'équipe) et, si vous ne vous y êtes pas opposé, d'actualités ponctuelles sur le produit.

Pour tenir un journal d'audit de sécurité des actions effectuées sur votre compte, afin de permettre aux propriétaires d'examiner l'activité et de nous aider à enquêter sur d'éventuelles compromissions.

Pour respecter nos obligations légales et comptables, y compris en matière fiscale.

4. Avec qui nous les partageons

Nous ne vendons aucune donnée personnelle et nous ne partageons jamais le contenu de vos événements ni votre historique de distribution avec quiconque, sauf sur votre instruction expresse (par exemple, un lien de portail que vous transmettez à l'un de vos clients). Nous ne partageons les données de compte qu'avec les sous-traitants indispensables au fonctionnement du Service, chacun étant contractuellement tenu de ne les utiliser qu'aux seules fins de nous fournir leurs prestations :

Stripe, Inc. — traitement des paiements et gestion des abonnements.

Resend (via son relais SMTP) — envoi des emails transactionnels.

Cloudflare, Inc. — protection contre les robots et les abus (Turnstile) sur nos formulaires d'inscription et de réinitialisation de mot de passe.

Hetzner Online GmbH — notre hébergeur d'infrastructure, où nos serveurs et bases de données fonctionnent physiquement (situé dans l'UE).

Vos propres endpoints webhook — les URL que vous configurez — reçoivent obligatoirement les charges utiles des événements que vous nous demandez de leur distribuer. Cette distribution constitue le Service lui-même ; il ne s'agit pas d'une divulgation à un tiers opérée de notre propre initiative, mais de celle que vous avez commandée.

Les factures émises sont enregistrées dans le système de facturation interne d'Altix Code Ltd, commun à l'ensemble de nos produits, afin de satisfaire à nos obligations comptables et fiscales en tant qu'entreprise unique.

Certains de ces sous-traitants sont situés en dehors de l'Espace économique européen. Le cas échéant, nous nous appuyons sur les Clauses contractuelles types de la Commission européenne, ou sur une garantie équivalente reconnue, pour encadrer ces transferts.

Nous pouvons également divulguer des données si la loi l'exige, pour faire appliquer nos Conditions d'utilisation ou pour protéger les droits, la propriété ou la sécurité d'Altix, de nos clients ou de tiers.

5. Combien de temps nous les conservons

Les données de compte, les événements publiés ainsi que leur historique de distribution et de tentatives sont conservés tant que votre compte reste actif — il n'existe actuellement pas d'expiration automatique distincte pour les journaux de distribution au-delà de la durée de vie du compte, ce journal constituant la référence sur laquelle vous et vos clients vous basez pour vérifier a posteriori la bonne distribution des événements.

Si vous supprimez votre compte, chaque application, endpoint, clé API, événement et entrée d'historique de distribution qu'il contient, ainsi que les accès de chaque membre de l'équipe, sont supprimés immédiatement et définitivement — voir la section « Supprimer votre compte » ci-dessous.

Les factures déjà émises demeurent dans notre système de facturation indépendamment de votre compte, pour la durée imposée par le droit fiscal et comptable chypriote pour la conservation des pièces financières (actuellement jusqu'à sept ans).

Les entrées du journal d'audit de sécurité sont conservées après la suppression d'un compte, la raison d'être d'un journal de sécurité étant de survivre à l'événement qu'il peut être amené à éclairer ; ces entrées sont conservées aussi longtemps que nécessaire à des fins de sécurité, de prévention des fraudes et d'obligations légales.

Les journaux de serveur et de requêtes sont conservés pour une courte durée (généralement quelques semaines), puis supprimés ou anonymisés.

6. Supprimer votre compte

Les propriétaires de compte peuvent supprimer définitivement leur compte depuis les Paramètres à tout moment. Cette démarche a pour effets de :

Résilier immédiatement tout abonnement actif : vous ne serez plus facturé et perdrez votre accès sur-le-champ plutôt qu'à l'issue de la période de facturation.

Supprimer définitivement l'ensemble des applications, endpoints, clés API, événements publiés et historiques de tentatives de distribution associés au compte.

Révoquer immédiatement l'accès de l'ensemble des membres de l'équipe au compte.

Consigner la réalisation de cette suppression dans une entrée de journal qui n'est pas détruite avec le compte (voir ci-dessus).

Ne pas affecter les factures déjà émises, qui restent conservées dans notre système de facturation au titre de nos obligations légales de conservation, indépendamment du compte supprimé.

Cette action est irréversible. Le tableau de bord vous demandera de saisir le nom de votre compte pour confirmer l'opération avant de la lancer.

7. Cookies

Notre site web et notre tableau de bord utilisent un unique cookie strictement nécessaire pour maintenir votre session active. Nous n'utilisons aucun cookie publicitaire ni aucun traceur intersite sur ce site.

8. Vos droits

Si vous résidez dans l'Espace économique européen, au Royaume-Uni ou dans une autre juridiction dotée de protections similaires, vous disposez du droit de :

Accéder aux données personnelles que nous détenons à votre sujet et en obtenir une copie.

Rectifier les données inexactes.

Effacer vos données, y compris en procédant vous-même à la suppression de votre compte selon les modalités précisées plus haut.

Limiter le traitement de vos données ou vous y opposer.

Recevoir vos données dans un format structuré et couramment utilisé (portabilité).

Retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci (par exemple pour les emails facultatifs d'actualités sur le produit).

Introduire une réclamation auprès de votre autorité locale de protection des données — pour Chypre, le Commissariat à la protection des données personnelles (Office of the Commissioner for Personal Data Protection).

Pour exercer l'un de ces droits, contactez-nous à l'adresse privacy@altixcode.com. Si votre demande concerne le contenu d'un événement — à savoir des données relatives à un utilisateur final de l'un de nos clients, transitant par le Service —, nous intervenons en qualité de sous-traitant pour ces données et non de responsable du traitement. Nous réorienterons dès lors la demande vers le compte émetteur, qui a la responsabilité d'y répondre en tant que responsable du traitement, sauf instruction contraire de sa part.

9. Sécurité

Les mots de passe sont hachés avec bcrypt et ne sont jamais stockés en texte brut. Les clés API font l'objet d'un hachage à sens unique ; seul un court préfixe est conservé en clair à des fins d'identification. Les secrets de signature des endpoints ainsi que les clés de signature des jetons de portail sont scellés au repos avec AES-256-GCM. Les liens d'invitation et de réinitialisation de mot de passe reposent sur des jetons cryptographiques aléatoires à usage unique, stockés hachés au repos. Le trafic à destination du Service, ainsi que chaque distribution sortante vers vos endpoints, est chiffré en transit à l'aide de TLS. L'accès à l'infrastructure de production est strictement réservé aux personnes dont l'activité le requiert pour exploiter le Service.

10. Mineurs

Le Service s'adresse aux entreprises et aux professionnels. Il n'est pas destiné aux mineurs de moins de 16 ans et nous ne collectons pas sciemment de données auprès d'eux.

11. Modifications apportées à cette politique

Si nous apportons une modification substantielle à cette politique, nous en informerons les propriétaires de compte par e-mail et mettrons à jour la date d'entrée en vigueur ci-dessus avant que le changement ne prenne effet.

12. Contact

Altix Code Ltd (Chypre). Pour toute question concernant cette politique ou vos données, écrivez-nous à privacy@altixcode.com.