Politique de Confidentialité

Nous collectons les catégories de données suivantes lorsque vous utilisez SMSCode :

Données de compte

• Adresse e-mail (utilisée pour la connexion et les notifications).
• Mot de passe (stocké sous forme de hachage argon2 — nous ne stockons jamais les mots de passe en clair).

Données de connexion Google

Si vous vous connectez avec Google, nous accédons aux données suivantes de votre compte Google :

• Adresse e-mail — Utilisée comme identifiant de votre compte et pour les communications relatives au service.
• Identifiant utilisateur Google — Utilisé pour lier votre compte Google à votre compte SMSCode.

Nous ne demandons que les scopes minimaux nécessaires à l'authentification (email et openid). Nous n'accédons pas à vos contacts, votre agenda, votre drive Google ni à aucun autre service Google.

Données de transaction

• Historique des commandes (locations de numéros, service, pays, horodatages, statut).
• Historique des dépôts (montants, moyen de paiement, statut).
• Solde du compte et enregistrements de transactions.

Données de l'application mobile

• Jetons d'appareil Firebase Cloud Messaging (FCM) — Utilisés pour diffuser des notifications push concernant les mises à jour de commandes et l'activité du compte.
• Préférences de notifications push (activées/désactivées).
• Nom de l'appareil (facultatif, pour identifier les appareils dans votre compte).

Données d'utilisation

• Adresse IP et géolocalisation approximative.
• Informations sur l'appareil et le navigateur (user agent).
• Journaux serveur (horodatages des requêtes, endpoints consultés).

Données d'utilisation de l'API

• Journaux des requêtes API (endpoints, horodatages, codes de réponse).
• Compteurs de limite de débit.

• Fourniture du service — Traitement des locations de numéros, gestion de votre solde et exécution des commandes.
• Authentification — Votre e-mail et votre identifiant utilisateur Google (si vous utilisez la connexion Google) sont utilisés uniquement pour l'authentification et l'identification du compte. Nous n'utilisons pas les données utilisateur Google à des fins publicitaires, de profilage ou pour toute finalité étrangère à la fourniture du service SMSCode.
• Notifications push — Les jetons d'appareil FCM sont utilisés exclusivement pour vous transmettre les mises à jour de commandes, les confirmations de dépôt et les alertes de sécurité du compte sur votre appareil mobile.
• Prévention de la fraude — Détection et prévention des abus, des accès non autorisés et des violations des règles.
• Analyses — Compréhension des schémas d'utilisation afin d'améliorer la fiabilité et les performances de la plateforme.
• Assistance — Réponse à vos demandes et résolution des problèmes liés à votre compte ou à vos commandes.
• Communication — Envoi de notifications liées au service (mises à jour de commandes, alertes de sécurité). Nous n'envoyons pas d'e-mails marketing sans votre consentement.

• Les codes OTP sont transitoires — Le contenu des SMS reçus (codes OTP) vous est affiché en temps réel et n'est pas conservé à long terme après l'expiration ou l'achèvement de la commande.
• Les numéros de téléphone sont temporaires — Les numéros loués sont temporaires et sont recyclés à la fin de la période de location. Nous n'associons pas les numéros loués à votre identité au-delà de la commande active.
• Aucune donnée d'appel — SMSCode ne gère que la vérification par SMS ; nous ne traitons pas les appels vocaux ni les métadonnées d'appel.

• Les paiements sont traités par des passerelles tierces (Duitku, Heleket). Nous ne stockons pas les détails de votre carte de crédit, de votre compte bancaire ou de votre instrument de paiement.
• Nous stockons des références de transaction (identifiants de passerelle de paiement, montants, statut) à des fins de rapprochement et d'assistance.
• Les fournisseurs de passerelles de paiement disposent de leurs propres politiques de confidentialité qui régissent la manière dont ils traitent vos informations de paiement.

Nous ne partageons les données que lorsque cela est nécessaire pour fournir le Service. Ce qui suit est la liste complète des catégories de sous-traitants tiers auxquels nous faisons appel ; les emplacements opérationnels détaillés et les garanties de transfert sont décrits à la Section 14 (Transfert international de données).

• Cloudflare, Inc. — réseau de diffusion de contenu, protection contre les attaques DDoS et réseau sortant. Traite les adresses IP, les métadonnées de requête et le trafic déchiffré par TLS en transit.
• Resend, Inc. — distribution d'e-mails transactionnels (vérification, réinitialisation de mot de passe, notifications de commandes). Traite votre adresse e-mail et le contenu des messages.
• Fournisseurs de SMS en amont — location de numéros virtuels et routage des SMS entrants. Nous envoyons des paramètres de commande minimaux (pays, service) pour exécuter les locations ; nous ne partageons pas votre identité ni les données de votre compte avec les fournisseurs.
• Passerelles de paiement — les données de transaction sont partagées avec les processeurs de paiement pour finaliser les dépôts. Nous ne recevons ni ne stockons les détails complets des instruments de paiement.
• Firebase Cloud Messaging (Google) — les jetons d'appareil FCM sont envoyés au service Firebase de Google pour diffuser les notifications push. Aucune autre donnée personnelle n'est partagée avec Firebase.
• Google Fonts (Google LLC) — fournit la police web Noto Sans utilisée pour afficher les écritures non latines (par exemple le cyrillique, le chinois, le thaï, le devanagari et l'arabe). Lorsque votre navigateur charge une page, il peut demander des fichiers de police au CDN Google Fonts, ce qui peut exposer votre adresse IP et la page de provenance à Google. Aucune donnée de compte n'est partagée.
• Autorités judiciaires — Nous pouvons divulguer des données si la loi ou une décision de justice l'exige, ou pour protéger les droits, la propriété ou la sécurité de SMSCode, de nos utilisateurs ou du public.

Nous ne vendons pas vos données personnelles à des tiers. Nous ne partageons pas vos données personnelles avec des annonceurs. Nous ne participons à aucun courtier de données ni réseau publicitaire. Les données utilisateur Google obtenues via la connexion Google ne sont jamais partagées avec un tiers et sont utilisées exclusivement pour l'authentification au sein de SMSCode.

• Historique des commandes — Conservé à des fins de rapprochement, d'assistance et d'audit.
• Contenu OTP/SMS — Purgé après l'expiration ou l'achèvement de la commande.
• Données de compte — Conservées tant que votre compte est actif.
• Journaux serveur — Conservés jusqu'à 90 jours à des fins de sécurité et de débogage.
• Jetons d'appareil FCM — Supprimés immédiatement lorsque vous désenregistrez un appareil ou supprimez votre compte.

Suppression du compte et purge des données

Vous pouvez supprimer votre compte à tout moment via les paramètres du compte sur le tableau de bord web ou l'application mobile. Lorsque vous supprimez votre compte :

• Votre compte est immédiatement soft-deleted (statut défini sur « Supprimé »).
• Votre solde restant est perdu et enregistré comme transaction finale.
• Toutes les sessions actives (web et mobile) sont révoquées immédiatement.
• Les jetons d'appareil FCM et les abonnements push sont supprimés.
• Les jetons d'API et les configurations de webhook sont supprimés.
• Un délai de carence de 30 jours pour la réinscription s'applique — vous ne pouvez pas créer de nouveau compte avec la même adresse e-mail pendant cette période.
• Après 30 jours, une tâche planifiée purge définitivement vos informations personnelles identifiables (PII) : votre e-mail est remplacé par un espace réservé non identifiable, votre hachage de mot de passe est effacé et votre identifiant utilisateur Google est supprimé.
• L'historique des transactions et les enregistrements de commandes sont conservés sous forme anonymisée à des fins comptables et de conformité légale.

• Nous utilisons un unique cookie de session httpOnly (__session) pour maintenir votre session authentifiée. Ce cookie est chiffré et ne peut pas être lu par des scripts côté client.
• Nous n'utilisons pas de cookies de suivi, de cookies publicitaires ni de cookies d'analyse tiers.
• Aucune bannière de cookies n'est nécessaire car nous n'utilisons que des cookies strictement nécessaires à l'authentification.

Stockage des données

• Infrastructure — Toutes les données sont stockées sur des serveurs dédiés que nous exploitons. Nous n'utilisons pas d'hébergement cloud mutualisé pour les données des utilisateurs.
• Base de données — Les données des utilisateurs sont stockées dans PostgreSQL, avec un accès restreint aux seuls services applicatifs.
• Chiffrement en transit — Tout le trafic entre vous et nos serveurs est chiffré via TLS (HTTPS).
• Chiffrement des sessions — Les cookies de session sont chiffrés avec AES-256-GCM.

Protection des données

• Hachage des mots de passe — Les mots de passe sont hachés avec argon2, un algorithme à forte consommation de mémoire résistant aux attaques par force brute.
• Protection CSRF — Les endpoints modifiant l'état sont protégés contre la falsification de requêtes intersites.
• Limitation de débit — Les endpoints d'API et d'authentification sont soumis à des limites de débit pour prévenir les abus.
• Contrôle d'accès — Les services internes communiquent via des canaux authentifiés avec des clés secrètes. Les services de base de données et de cache sont isolés dans un réseau privé non accessible depuis Internet.

Bien que nous mettions en œuvre des mesures de sécurité conformes aux normes du secteur, aucun système n'est sûr à 100 %. Si vous découvrez une vulnérabilité, veuillez la signaler à [email protected].

Si vous êtes situé dans l'Espace économique européen (EEE) ou au Royaume-Uni, le Règlement général sur la protection des données de l'UE et du Royaume-Uni (RGPD) vous confère des droits spécifiques sur vos données personnelles. Danver LLC est le responsable du traitement de ces données. Nous les traitons pour fournir et sécuriser le Service (exécution de notre contrat avec vous), pour respecter des obligations légales et pour nos intérêts légitimes à exploiter et protéger la plateforme ; lorsque nous nous appuyons sur votre consentement, vous pouvez le retirer à tout moment.

Sous réserve des conditions et exceptions prévues par le RGPD, vous disposez :

• du droit d'accès — obtenir la confirmation que nous traitons ou non vos données personnelles et en recevoir une copie ;
• du droit de rectification — faire corriger les données personnelles inexactes ou incomplètes ;
• du droit à l'effacement — faire supprimer vos données personnelles (le « droit à l'oubli »), que vous pouvez déclencher vous-même en supprimant votre compte (voir Section 6) ;
• du droit à la limitation du traitement — limiter la manière dont nous traitons vos données personnelles dans certaines circonstances ;
• du droit d'opposition — vous opposer à un traitement fondé sur nos intérêts légitimes ;
• du droit à la portabilité des données — recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine ;
• du droit de retirer votre consentement — lorsque nous nous appuyons sur votre consentement, le retirer à tout moment sans affecter la licéité du traitement antérieur.

Pour exercer l'un de ces droits, contactez-nous à [email protected]. Nous répondrons dans un délai de 30 jours, comme l'exige l'article 12 du RGPD. Vous avez également le droit d'introduire une réclamation auprès de votre autorité de contrôle locale en matière de protection des données si vous estimez que nous n'avons pas traité vos données personnelles conformément à la loi applicable.

Si vous êtes résident de Californie, le California Consumer Privacy Act (CCPA), tel qu'amendé par le California Privacy Rights Act (CPRA), vous confère des droits spécifiques concernant vos informations personnelles, en complément des droits énoncés à la Section 9 (Vos droits au titre du RGPD).

Droit de savoir. Vous pouvez demander que nous divulguions les catégories et les éléments spécifiques d'informations personnelles que nous avons collectés à votre sujet, les sources de ces informations, les finalités de leur collecte ou divulgation, et les catégories de tiers avec lesquels nous les partageons. Les catégories que nous collectons sont détaillées à la Section 1 (Données que nous collectons).

Droit de suppression. Vous pouvez demander que nous supprimions les informations personnelles que nous avons collectées à votre sujet, sous réserve de certaines exceptions légales (par exemple, pour finaliser une transaction, détecter des incidents de sécurité ou respecter une obligation légale).

Droit de correction. Vous pouvez demander que nous corrigions les informations personnelles inexactes que nous détenons à votre sujet.

Droit de refuser la vente ou le partage. Nous ne vendons pas vos informations personnelles à des tiers et nous ne les partageons pas à des fins de publicité comportementale intercontextuelle. Il n'y a rien que vous ayez à refuser, mais nous l'indiquons explicitement pour que vous le sachiez.

Droit de limiter l'utilisation des informations personnelles sensibles. Nous n'utilisons pas les informations personnelles sensibles (telles que définies par le CPRA) à des fins allant au-delà de ce qui est nécessaire pour fournir le Service.

Droit à la non-discrimination. Nous n'exercerons aucune discrimination à votre encontre pour avoir exercé l'un de ces droits. Votre expérience du Service ne changera pas, et aucun frais, aucune condition ni aucune qualité de service ne sera affecté.

Comment exercer vos droits. Pour exercer un droit CCPA, contactez-nous à [email protected]. Nous vérifierons votre identité avant de répondre et répondrons dans un délai de 45 jours (prorogeable de 45 jours supplémentaires lorsque cela est raisonnablement nécessaire).

Le California Online Privacy Protection Act (CalOPPA) impose aux exploitants de sites web commerciaux et de services en ligne qui collectent des informations personnelles auprès de résidents de Californie de publier une politique de confidentialité visible et de la respecter. Conformément à la CalOPPA :

• vous pouvez visiter les zones publiques de notre site de manière anonyme, sans créer de compte ;
• le lien vers notre politique de confidentialité contient le mot « Privacy » et est accessible depuis le pied de page de chaque page ;
• vous serez informé de toute modification importante de la présente Politique de Confidentialité sur cette page (voir Section 15) ;
• vous pouvez consulter et modifier vos informations personnelles en vous connectant aux paramètres de votre compte ou en nous écrivant à [email protected].

Do Not Track

Certains navigateurs proposent un signal « Do Not Track » (DNT). Parce que nous ne suivons pas les visiteurs sur des sites web tiers et n'utilisons pas de cookies publicitaires ou de suivi comportemental (voir Section 12, Analyses), nos pratiques sont cohérentes avec le respect des signaux DNT : nous ne vous suivons pas, ne vous diffusons pas de publicité et ne construisons pas de profils intersites vous concernant, qu'un signal DNT soit présent ou non.

SMSCode n'utilise pas de services d'analyse web tiers, d'outils de suivi comportemental ni de technologie publicitaire. Plus précisément :

• Nous n'utilisons pas Google Analytics, Mixpanel, Amplitude, Hotjar, Segment ni aucun service d'analyse similaire ;
• Nous n'intégrons pas de pixels de suivi, de balises marketing ni de scripts de reciblage sur aucune page ;
• Nous ne participons à aucun réseau publicitaire ni écosystème de publicité intersite ;
• Nous ne construisons pas de profils comportementaux d'utilisateurs individuels à des fins de marketing ou de recommandation.

Les seules données que nous collectons sur votre utilisation du Service sont les données opérationnelles nécessaires à sa fourniture et à sa sécurisation : journaux de requêtes serveur, compteurs de limite de débit, historique des commandes et cookies de session. Elles sont décrites en détail à la Section 1 (Données que nous collectons), à la Section 7 (Cookies et sessions) et à la Section 8 (Mesures de sécurité). Les journaux serveur sont conservés jusqu'à 90 jours à des fins de sécurité et de débogage, puis purgés.

Si nous devions introduire des analyses à l'avenir, la présente Politique de Confidentialité serait mise à jour avant l'entrée en vigueur du changement, et vous en seriez informé conformément à la Section 15 (Modifications de la présente politique).

SMSCode n'est pas destiné à être utilisé par quiconque âgé de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si vous pensez qu'un enfant de moins de 18 ans nous a fourni des données personnelles, veuillez nous contacter et nous les supprimerons rapidement.

Danver LLC est basée aux États-Unis, et les données personnelles que vous fournissez sont traitées principalement aux États-Unis. Pour fournir le Service, nous utilisons des sous-traitants et des infrastructures tierces susceptibles de traiter vos données aux États-Unis et dans d'autres juridictions. Vos informations, y compris vos données personnelles, peuvent donc être transférées vers — et conservées sur — des ordinateurs situés en dehors de votre État, province ou pays, où les lois de protection des données peuvent différer de celles de votre juridiction.

Mécanisme de transfert

Lorsque nous transférons des données personnelles depuis votre juridiction (y compris l'Espace économique européen ou le Royaume-Uni) vers les États-Unis ou un autre pays, nous prenons des mesures raisonnables pour garantir que des contrôles adéquats sont en place et que vos données sont traitées de manière sécurisée et conformément à la présente Politique de Confidentialité. Aucun transfert de vos données personnelles n'a lieu sans que des contrôles adéquats soient en place, ce qui peut inclure des garanties contractuelles appropriées (telles que des clauses contractuelles types ou d'autres mécanismes reconnus par la loi applicable) avec les parties qui traitent vos données. Les garanties spécifiques applicables à un transfert donné sont maintenues dans le cadre de nos accords de traitement des données.

Contrôles des transferts ultérieurs

Tous les sous-traitants qui reçoivent vos données personnelles sont liés par des contrats écrits leur imposant de : (a) traiter les données uniquement selon les instructions documentées de Danver LLC ; (b) mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées ; (c) assurer la confidentialité du personnel ayant accès aux données ; (d) nous aider à satisfaire aux demandes de droits des personnes concernées ; et (e) supprimer ou restituer les données à la fin du contrat. Lorsque vos données sont soumises au RGPD, ces obligations suivent les exigences de l'article 28 du RGPD.

Catégories actuelles de sous-traitants

Les sous-traitants susceptibles de traiter vos données comprennent, sans s'y limiter :

• Cloudflare, Inc. (États-Unis) — diffusion de contenu, protection contre les attaques DDoS et réseau sortant ;
• Google LLC (États-Unis) — diffusion de polices web via Google Fonts (voir Section 5) ;
• Resend, Inc. (États-Unis) — distribution d'e-mails transactionnels ;
• des partenaires fournisseurs de SMS opérant à l'international — location de numéros virtuels et routage des SMS entrants (voir Section 3) ;
• des passerelles de paiement — traitement transactionnel des paiements pour les dépôts (voir Section 4).

Vos droits

Vous pouvez demander une copie des garanties de transfert applicables à vos données en nous contactant à l'adresse [email protected]. Nous répondrons dans un délai de 30 jours, comme décrit à la Section 9 (Vos droits au titre du RGPD) et à l'article 12 du RGPD.

Nous pouvons mettre à jour la présente Politique de Confidentialité de temps à autre. Les modifications importantes seront communiquées par e-mail ou par un avis sur la plateforme. La date de « Dernière mise à jour » en haut reflète la révision la plus récente.

Pour toute question ou demande relative à la confidentialité, contactez-nous à [email protected].

Pour l'assistance générale, contactez-nous à [email protected].