VerrouPolitique de confidentialité
Dernière mise à jour : 26 octobre 2026
Qui est responsable de vos données
Verrou, éditeur de Verrou (voir les mentions légales). Pour toute question ou demande : contact@verrou.tech.
Ce que nous ne pouvons pas voir
Vos identifiants, mots de passe, codes 2FA, clés d’accès, cartes, notes et fichiers sont chiffrés sur votre appareil (AES-256-GCM) avec une clé tirée de votre mot de passe principal (Argon2id). Votre mot de passe principal ne quitte jamais votre appareil. Le serveur ne reçoit et ne garde que ces données chiffrées.
Une exception, que vous choisissez : l’option « Aussi sur un nouvel appareil » (désactivée par défaut) permet de rouvrir votre coffre sur un nouvel appareil avec un code reçu par e-mail. Si vous l’activez, le serveur garde une clé de secours de votre coffre, elle-même chiffrée. Vous pouvez la désactiver à tout moment dans Profil › Compte Verrou : la clé est alors effacée du serveur.
Les données que nous traitons
| Données | Pourquoi |
|---|---|
| Adresse e-mail | Identifier votre compte, vous envoyer les codes de confirmation et les alertes de sécurité (nouvel appareil, mot de passe changé, compte supprimé). |
| Coffre et fichiers chiffrés, paramètres de chiffrement | Synchroniser votre coffre entre vos appareils. Illisibles pour nous. |
| Empreinte de vérification de votre mot de passe (hachée) | Vérifier que c’est bien vous à la connexion, sans jamais connaître votre mot de passe. |
| Secret de la validation en deux étapes (si vous l’activez) | Vérifier le code à 6 chiffres demandé à la connexion. |
| Appareils connectés : type (téléphone, ordinateur), marque et modèle (par exemple « Samsung Galaxy S23 Ultra »), version de l’appli, dates de connexion, adresse IP et lieu approximatif (ville, pays) au moment de la connexion | Vous montrer vos appareils connectés, vous permettre d’en déconnecter un, et vous prévenir par e-mail quand un nouvel appareil se connecte (avec ces informations, pour que vous puissiez reconnaître une connexion qui n’est pas la vôtre). Conservés tant que l’appareil reste connecté. |
| Empreinte de l’appareil (identifiant de l’appareil, stocké uniquement sous forme hachée) | Lutter contre la fraude : un seul essai gratuit par appareil, blocage d’un appareil utilisé pour tricher. |
| Signaux d’intégrité envoyés par l’appli (appli modifiée, outils de piratage ou d’injection, appareil rooté, débogage, émulateur, installation hors store) | Protéger le service et les abonnements contre la fraude. |
| Adresse IP, de façon temporaire | Limiter le nombre d’essais (connexion, codes, création de compte) contre les attaques. Ces compteurs sont remplacés à chaque nouvelle période de quelques minutes à une heure. |
| E-mails reçus sur vos alias secrets (@verrou.tech) | Les renvoyer à votre vraie adresse. Ils passent par le serveur et par Brevo le temps de l’envoi, sans être conservés. |
| Abonnement : formule, dates, état, identifiants de transaction Google Play ou Stripe | Gérer votre abonnement. Nous ne recevons jamais votre numéro de carte bancaire. |
Bases légales
- Exécution du contrat : fournir le service, synchroniser, gérer l’abonnement.
- Intérêt légitime : sécurité du service, lutte contre la fraude et les abus.
- Obligation légale : conservation des éléments de facturation.
Nos prestataires
| Prestataire | Rôle |
|---|---|
| Cloudflare, Inc. (États-Unis) | Hébergement du serveur et des données chiffrées. Transferts encadrés par les clauses contractuelles types de la Commission européenne et le cadre UE–États-Unis de protection des données. |
| Brevo (Sendinblue SAS, France) | Envoi des e-mails (codes, alertes, e-mails reçus sur vos alias). |
| Google (Google Play) | Paiement de l’abonnement Téléphone. |
| Stripe | Paiement de l’abonnement Ordinateur. |
Services contactés directement par l’appli
Certaines fonctions interrogent des services tiers depuis votre appareil, sans passer par nous :
- Vérification des fuites de mots de passe (Have I Been Pwned) : seuls les 5 premiers caractères de l’empreinte SHA-1 du mot de passe sont envoyés ; le mot de passe ne quitte jamais l’appareil.
- Vérification des fuites d’adresses e-mail (XposedOrNot) : l’adresse vérifiée est envoyée à ce service.
- Icônes des sites (DuckDuckGo), quand le logo du site n’est pas déjà dans l’appli : le nom du site est envoyé. Désactivable dans les paramètres.
- Vérification d’un lien : le nom de domaine vérifié est envoyé à des services publics (DNS de Cloudflare, annuaire RDAP, liste OpenPhish).
- Alias e-mail : uniquement si vous reliez votre propre compte SimpleLogin ou addy.io.
Durées de conservation
- Données du compte : tant que le compte existe. À sa suppression, tout est effacé du serveur immédiatement (coffre, fichiers, appareils, alias, clés de récupération).
- Pour prévenir vos autres appareils de la suppression, une empreinte des jetons de connexion (sans aucune donnée personnelle) est gardée 180 jours.
- Empreinte hachée de l’appareil liée à un essai gratuit : 3 ans. Liée à un blocage pour fraude : tant que le blocage est maintenu.
- Éléments de facturation : durée imposée par la loi (10 ans).
Vos droits
Vous pouvez accéder à vos données, les rectifier, les exporter (depuis l’appli, à tout moment), les faire effacer (supprimer mon compte), vous opposer à un traitement ou en demander la limitation, en écrivant à contact@verrou.tech. Vous pouvez aussi saisir la CNIL (cnil.fr).
Ce site
verrou.tech n’utilise ni cookie, ni outil de mesure d’audience, ni publicité.