Politique de confidentialité
Dernière mise à jour : 20 octobre 2026
English · Français · Nederlands · Deutsch · Español · Português · Italiano · עברית · Polski
1. Qui sommes-nous
Cette politique explique comment VU Credentials Ltd (« VU », « nous ») traite les données personnelles. Elle est immatriculée en Angleterre et au pays de Galles sous le numéro 17527869, et son siège social est situé au 20 Wenlock Road, London, England, N1 7GU.
Pour les données personnelles décrites à la section 3, à l’exception de la dernière ligne de son tableau, nous sommes le responsable du traitement au sens du droit britannique de la protection des données (le UK GDPR et le Data Protection Act 2018). Pour toute question ou demande relative à la vie privée, écrivez à legal@vucredentials.com.
2. Les données de qui, et notre rôle
Nous sommes le responsable du traitement des données personnelles concernant :
- les personnes qui utilisent le tableau de bord de VU pour le compte de nos clients ;
- les personnes qui demandent un compte ou qui nous contactent ;
- les dirigeants et les propriétaires des sociétés qui font une demande, que nous vérifions au regard des listes de sanctions ;
- les visiteurs de notre site web et les utilisateurs de notre API.
Nous sommes sous-traitant pour les données personnelles concernant les titulaires et les vérificateurs d’attestations que nos clients intègrent dans des attestations ou des présentations. Le client qui a émis l’attestation en est le responsable du traitement, et sa propre politique de confidentialité s’applique : contactez-le au sujet de ces données. Nous ne les traitons que pour fournir le Service, comme le prévoient nos Conditions d’utilisation (section 10, en anglais).
3. Ce que nous collectons
| Qui | Quoi, et d’où cela provient |
|---|---|
| Visiteurs du site web et de l’API | Votre adresse IP, l’heure, la page ou l’adresse d’API demandée, la réponse et le type de votre navigateur. Enregistrés par nos serveurs. |
| Demandeurs | La dénomination sociale de votre société, son pays, son numéro d’immatriculation et son numéro de TVA, une adresse e-mail de contact, et tout ce que vous écrivez dans la demande. Fournis par vous. |
| Dirigeants et propriétaires des sociétés qui font une demande | Les noms, et les autres informations que montre le registre public, avec le résultat de notre vérification au regard des sanctions. Issus des registres publics des sociétés, comme Companies House, de la liste britannique des sanctions (UK Sanctions List) et de la liste OFAC des États-Unis. |
| Utilisateurs du tableau de bord | Votre adresse e-mail, votre nom d’affichage et votre rôle. Les clés d’accès (passkeys) que vous enregistrez : une clé publique, un libellé d’appareil que vous choisissez, et la date de dernière utilisation de chacune. Les liens de connexion à usage unique, qui expirent au bout de 10 minutes et ne fonctionnent que dans le navigateur qui les a demandés. Les jetons de session, qui durent 8 heures. Un registre des actions effectuées dans votre compte (le journal d’audit), avec l’adresse IP d’où chacune provient. Les noms et les dates de création et de dernière utilisation des clés d’API ; jamais une clé elle-même, que nous ne conservons que sous forme d’empreinte à sens unique. |
| Payeurs, dès l’ouverture des paiements en stablecoins | Les adresses de portefeuille que vous enregistrez, les transactions par lesquelles vous nous payez (hash, montant, réseau, jeton), les résultats du filtrage au regard des sanctions, et les informations de facturation figurant sur vos factures. |
| Toute personne qui nous écrit | Vos e-mails et nos réponses. |
| Titulaires d’attestations et vérificateurs (en tant que sous-traitant) | Les attributs que nos clients intègrent dans les attestations, conservés pendant toute la durée du compte du client afin qu’il puisse les consulter, les révoquer et les suspendre. Les présentations soumises aux vérificateurs, et les attributs vérifiés qu’elles contiennent, supprimés 30 jours après la fin de la demande. Les événements que nous envoyons aux propres systèmes de nos clients (webhooks), qui peuvent reprendre ces attributs, supprimés 30 jours après leur envoi. |
4. Pourquoi nous les utilisons, et notre base légale
| Finalité | Base légale |
|---|---|
| Fournir le Service : comptes, connexion, émission et vérification d’attestations, facturation, assistance | Le contrat, avec notre client ; pour les membres de son équipe, notre intérêt légitime à fournir le service que le client a acheté |
| Assurer la sécurité du Service et prévenir les abus : journaux des requêtes, journal d’audit, limites de débit | Intérêts légitimes |
| Vérifier les demandeurs, leurs dirigeants et propriétaires, les portefeuilles, les paiements et les remboursements au regard des listes de sanctions | Obligation légale : le droit britannique des sanctions interdit de mettre des fonds ou des services à la disposition des personnes désignées. Également notre intérêt légitime à démontrer que nous avons fait preuve d’une diligence raisonnable |
| Tenir les registres fiscaux et comptables, et émettre les factures | Obligation légale |
| Les e-mails concernant votre compte et le Service, comme les liens de connexion, les reçus de paiement et les modifications de nos conditions | Le contrat, et les intérêts légitimes |
Nous n’envoyons pas d’e-mails de prospection, et nous ne vendons pas de données personnelles.
5. Avec qui nous les partageons
Nos sous-traitants ultérieurs, qui traitent des données personnelles pour notre compte selon des clauses de protection des données :
| Prestataire | Ce qu’il fait, et où |
|---|---|
| Google Cloud (Google LLC) | Fait fonctionner notre API, notre base de données, la gestion des clés et les journaux. États-Unis (Iowa). |
| Amazon Rekognition (Amazon Web Services, Inc.) | Vérifie qu’un visage est celui d’une personne réellement présente et le compare à la photo enregistrée sur la puce d’un passeport, lorsque nous vérifions un passeport et lors de la vérification faciale au comptoir d’une entreprise. États-Unis (Virginie). |
| Firebase Hosting (Google LLC) | Héberge notre site web et notre tableau de bord. Réseau mondial. |
| ZeptoMail (Zoho Corporation) | Envoie les liens de connexion et les e-mails de service. États-Unis. |
| Fournisseurs de nœuds de blockchain | Lisent les données publiques des blockchains afin que nous puissions vérifier les paiements. Nous les nommerons ici avant l’ouverture des paiements en stablecoins. |
Nous partageons également des données personnelles avec :
- les autorités, comme l’Office of Financial Sanctions Implementation (l’autorité britannique des sanctions financières), le HMRC (l’administration fiscale britannique), la police ou un tribunal, lorsque la loi l’exige ;
- nos conseillers professionnels, comme les experts-comptables et les avocats, à titre confidentiel ;
- toute personne qui rachète ou reprend notre activité, qui doit respecter la présente politique.
Blockchains publiques. Lorsque vous payez en stablecoin, le transfert est enregistré sur cette blockchain, publiquement et de manière permanente, par la nature même de la blockchain. Nous ne pouvons ni le modifier ni le supprimer.
6. Transferts hors du Royaume-Uni
Nos prestataires traitent les données principalement aux États-Unis. Nous ne transférons des données personnelles hors du Royaume-Uni que sur le fondement d’un mécanisme que le droit britannique de la protection des données reconnaît, comme l’extension britannique du cadre de protection des données UE–États-Unis (UK Extension to the EU–US Data Privacy Framework), au titre de laquelle Google est certifié, ou l’accord de transfert international de données (International Data Transfer Agreement) ou l’avenant britannique aux clauses contractuelles types de l’UE (International Data Transfer Addendum).
7. Combien de temps nous les conservons
| Données | Durée de conservation |
|---|---|
| Journaux des requêtes du serveur | 30 jours |
| Liens de connexion et sessions | 10 minutes et 8 heures, ou jusqu’à leur utilisation ou leur fin |
| Données du compte et journal d’audit | Tant que le compte est ouvert, puis supprimées dans les 30 jours suivant sa clôture, à l’exception des registres ci-dessous |
| Demandes que nous n’approuvons pas | 12 mois |
| Vérifications au regard des sanctions, factures et registres de paiement | 6 ans après la fin de notre relation, comme l’exigent les règles fiscales britanniques pour les registres financiers |
| E-mails échangés avec nous | 2 ans après notre dernier échange |
| Attributs des attestations (en tant que sous-traitant) | Tant que le compte du client est ouvert, puis supprimés dans les 30 jours suivant sa clôture |
| Présentations et attributs vérifiés (en tant que sous-traitant) | 30 jours après la fin de la demande |
| Événements webhook envoyés aux clients (en tant que sous-traitant) | 30 jours après leur envoi |
| Sauvegardes de la base de données | 7 jours |
| Enregistrements sur une blockchain publique | Permanents, et hors de notre contrôle |
8. Vos droits
Vous avez le droit de nous demander une copie de vos données personnelles, de les faire rectifier, de les faire supprimer, de limiter leur utilisation ou de vous y opposer, et de les recevoir dans un format portable. Certains droits dépendent de la base légale, et nous pouvons conserver les données que la loi nous oblige à conserver.
Écrivez à legal@vucredentials.com. Nous répondons dans un délai d’un mois et pouvons d’abord vous demander de confirmer votre identité. Si votre demande concerne une attestation, nous la transmettrons au client qui l’a émise, qui en est le responsable du traitement.
Vous pouvez déposer une plainte auprès de l’Information Commissioner’s Office, l’autorité britannique de protection des données, sur ico.org.uk ou au +44 303 123 1113. Nous aimerions toutefois avoir d’abord la possibilité de régler le problème.
9. Cookies et stockage dans le navigateur
Nous n’utilisons ni cookies, ni outils d’analyse, ni publicité, ni aucune forme de suivi, et notre site web ne charge aucun script tiers. Le tableau de bord stocke deux éléments dans votre navigateur, tous deux strictement nécessaires à la connexion :
- un jeton de session, dans le stockage de session, effacé lorsque vous fermez l’onglet ;
- un identifiant de navigateur aléatoire, dans le stockage local, qui lie un lien de connexion au navigateur qui l’a demandé.
10. Décisions automatisées
Nous ne prenons aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière similaire et significative, sur le seul fondement d’un traitement automatisé. Le filtrage au regard des sanctions est automatisé, mais une correspondance ne fait que suspendre un paiement ou une inscription jusqu’à ce qu’une personne l’examine.
11. Sécurité
- Chiffrement en transit et au repos.
- Séparation entre les clients imposée par la base de données elle-même, de sorte que chaque requête ne peut atteindre que les enregistrements de son propre client.
- Clés de signature conservées dans le service de gestion des clés de Google Cloud.
- Clés d’API conservées uniquement sous forme d’empreintes à sens unique.
- Connexion sans mot de passe par clés d’accès (passkeys), et confirmation par clé d’accès pour les actions sensibles.
- Un journal d’audit des actions effectuées dans les comptes, et un accès limité aux personnes qui en ont besoin.
12. Enfants
Le Service s’adresse aux entreprises et n’est pas destiné aux personnes de moins de 18 ans.
13. Modifications de cette politique
Nous informerons les utilisateurs du tableau de bord de toute modification importante par e-mail ou dans le tableau de bord. La date indiquée en haut de cette page est celle de la dernière modification de cette politique.
14. Contact
- Vie privée : legal@vucredentials.com
- Assistance : support@vucredentials.com