Confidentialité de LSSM ID

Le responsable du traitement

CHAMAN VENTURES, SASU, exploite LSSM ID et est responsable des données personnelles décrites dans cette notice. RCS Paris · SIREN 989 498 902. Siège social : 229 rue Saint-Honoré, 75001 Paris, France.

Contactez legal@lssm.co pour une demande relative à vos données et support@lssm.co pour votre compte. Cette notice concerne le service central d'identité id.lssm.co. Chaque produit et organisation décrit ses propres traitements dans sa notice applicable.

Les informations utilisées par un compte

• Les informations fournies : nom, adresse électronique, image de profil et langue ; la vérification de l'adresse ; les identifiants des comptes que vous associez explicitement.
• Les données d'authentification : empreintes de mots de passe, configuration de l'authentificateur, données de vérification des codes de secours, clés publiques des clés d'accès et informations nécessaires à la vérification des codes et liens à usage unique. LSSM ID ne reçoit ni les clés privées des clés d'accès ni les données biométriques de votre appareil.
• Les informations de session, d'appareil et de sécurité : identifiants de session, heures de connexion, navigateur ou appareil, adresses IP et événements de sécurité ou d'administration du compte.
• Les appartenances aux organisations et équipes, rôles et invitations ; les autorisations des applications ; la portée, l'expiration et la révocation des clés API et délégations aux agents.

Des données temporaires permettent de terminer l'inscription ou de vérifier une adresse électronique. Recevoir un message de vérification ne donne pas, à lui seul, accès à un produit.

Se connecter avec une autre plateforme

Si vous choisissez un fournisseur de connexion, celui-ci transmet les informations couvertes par son écran d'autorisation : généralement un identifiant propre au fournisseur, un nom, une image et une adresse électronique lorsqu'elle est disponible. Nous les utilisons pour vous authentifier et maintenir l'association choisie. Nous ne recevons pas le mot de passe de ce fournisseur.

La connexion Google demande uniquement les autorisations d'identité OpenID, profil et adresse électronique. Elle n'autorise pas l'accès à Gmail ou Calendar. La même séparation existe entre les autres connexions d'identité et leurs accès aux plateformes. Une adresse absente ou non vérifiée peut nécessiter une vérification distincte. Dans LSSM ID, connexion d'identité et connexion de données restent distinctes. Certains fournisseurs imposent des permissions plus largement nommées pour leur parcours d'identité : consultez leur écran d'autorisation. Ces permissions ne créent pas, à elles seules, une connexion de données de plateforme dans LSSM ID.

Chaque connexion est un choix distinct

Une fonctionnalité connectée possède son propre parcours d'autorisation. Les portées demandées et ressources choisies définissent son accès. Selon la connexion activée, il peut s'agir de métadonnées de courriels et d'événements de calendrier, de dépôts et tickets, de pages partagées, de métadonnées d'espaces, canaux ou équipes, de projets et déploiements sélectionnés, de profils, vidéos de créateurs ou fils de publications, ou de rapports publicitaires et marchands autorisés séparément.

Les données connectées servent à la fonctionnalité demandée. Nous conservons les autorisations et références de ressources nécessaires à cette connexion, y compris une autorisation de renouvellement lorsque le fournisseur en délivre une. Les informations d'authentification stockées sont protégées et ne sont pas affichées comme des données ordinaires de profil. La disponibilité, les conditions de compte et les validations varient selon le fournisseur.

Une connexion d'identité, une session, une clé API et une délégation à un agent ne donnent pas automatiquement les permissions des autres. La lecture n'autorise pas une publication, un paiement ou un déploiement. Une action disponible nécessite sa propre portée et les approbations applicables.

Les finalités et fondements

Nous utilisons les informations nécessaires au compte et aux fonctionnalités demandées, à l'authentification, aux messages de vérification et de sécurité, à la gestion des droits et à l'assistance. La fourniture du service demandé repose sur l'exécution du contrat concerné. Les données de sécurité et d'exploitation nécessaires à la prévention des abus, à l'analyse des incidents et à la protection du service et de ses utilisateurs reposent sur nos intérêts légitimes.

Nous nous fondons sur le consentement lorsque nous le demandons spécifiquement, notamment pour les traitements facultatifs qui le nécessitent, et sur nos obligations légales lorsqu'elles imposent un traitement. L'autorisation d'une plateforme reste limitée à la fonctionnalité et aux permissions présentées ; elle ne couvre pas des usages sans rapport.

Nous ne vendons pas les données personnelles et n'utilisons pas les données d'identité ou de plateformes connectées pour la publicité ciblée. Les données obtenues par les API Google ne servent pas à entraîner des modèles d'IA à usage général. Elles sont utilisées pour la fonctionnalité visible que vous autorisez, conformément à la Google API Services User Data Policy, y compris ses exigences Limited Use.

Les destinataires

Une application autorisée reçoit les informations d'identité couvertes par ses portées approuvées et l’autorisation que vous donnez. Ses règles locales déterminent toujours votre accès au produit. Les administrateurs d'organisation gèrent leurs membres, invitations et rôles ; cette qualité ne donne pas automatiquement accès à vos connexions privées.

Une application ou un agent ne peut recevoir des données de plateforme qu'au titre de la fonctionnalité, des ressources et des permissions autorisées séparément pour ces données. Une simple connexion ou permission de profil ne les expose pas. LSSM ID ne transmet pas ces données à un fournisseur de modèles pour effectuer la connexion ; les produits activés séparément présentent leurs éventuels usages et destinataires supplémentaires dans leur propre parcours d'autorisation et notice.

Le personnel d'assistance et de sécurité autorisé peut traiter les informations nécessaires à l'administration ou aux incidents. Lorsqu'un accès temporaire d'assistance dans le contexte d'un compte utilisateur est activé, il est soumis à des contrôles et consigné dans les journaux d'audit. L'utilisation de LSSM ID par une autre personne ne lui donne pas vos informations.

Nos prestataires d'infrastructure interviennent pour leurs fonctions : Vercel pour l'hébergement, Supabase pour la base d'identité, Resend pour les courriels transactionnels et Cloudflare Turnstile pour la protection contre les abus. Les fournisseurs de connexion et plateformes choisis appliquent également leurs propres notices.

Des informations peuvent être communiquées pour satisfaire une obligation légale ou protéger des droits et enquêter sur un abus, avec les garanties applicables.

Traitements internationaux et garanties

L'infrastructure actuelle comprend le traitement des requêtes d'identité aux États-Unis par Vercel et un projet de base d'identité hébergé à Paris, en France, par Supabase. L'acheminement, la sécurité, l'assistance et les fonctions de gestion des prestataires peuvent aussi traiter des informations hors de l'Espace économique européen, notamment aux États-Unis. L'hébergement régional de la base ne garantit pas que chaque opération reste dans l'EEE.

Pour les transferts soumis à restrictions qui ne relèvent pas d'une décision d'adéquation applicable, les accords de traitement des prestataires concernés intègrent les clauses contractuelles types de la Commission européenne. Les accords publiés de Vercel, Supabase, Resend et Cloudflare décrivent ces garanties. Vous pouvez demander des précisions ou une copie des garanties applicables à vos données à legal@lssm.co.

Cookies, stockage du navigateur et sécurité

Les cookies et stockages nécessaires permettent la connexion, les sessions et le choix du compte, la vérification, les contrôles de sécurité et la langue. Leur blocage peut empêcher ces fonctions. Cloudflare Turnstile traite des informations techniques pour évaluer les requêtes abusives.

Les pages centrales de LSSM ID n'initialisent pas de statistiques produit ni de traceurs publicitaires. Les données d'exploitation et de sécurité nécessaires décrites dans cette notice restent utilisées. Les autres sites et produits présentent leurs propres statistiques et contrôles de consentement dans leurs notices applicables.

Nous utilisons des contrôles d'accès et protections techniques adaptés, notamment le chiffrement des échanges et la protection des autorisations stockées. Aucun service en ligne ne garantit une sécurité absolue. Signalez une compromission présumée à security@lssm.co.

Conservation, déconnexion et fermeture

Les informations de profil et de compte sont utilisées jusqu'à leur modification ou suppression ou à la fin du parcours de fermeture. Les vérifications cessent d'autoriser un accès dès leur utilisation ou la fin de leur validité ; l'expiration des sessions et autorisations arrête également leur usage. Lorsqu'une déconnexion locale aboutit, l'autorisation de plateforme stockée est retirée du coffre de connexion. Ces fins de validité ne signifient pas l'effacement immédiat de tout élément de sécurité associé.

Les contrôles disponibles permettent de révoquer une clé API ou une délégation, retirer une session ou déconnecter une plateforme. La déconnexion arrête l'utilisation locale. Certains fournisseurs exigent aussi une révocation dans leurs propres paramètres de compte ou d'espace. Cette étape est distincte de la déconnexion locale.

La fermeture invalide les autorisations d'accès du compte et supprime ou remplace ses informations de profil dans le parcours de fermeture. Des références d'audit limitées et les informations nécessaires aux finalités ci-dessus peuvent rester. Les sauvegardes et données déjà détenues licitement par un produit ou une organisation suivent leur propre cycle applicable. Fermer l'identité centrale ne signifie pas que toute copie distincte disparaît immédiatement. Contactez legal@lssm.co pour votre situation.

Les sauvegardes centrales peuvent contenir des données de compte antérieures jusqu'à la fin de leur cycle de récupération configuré. Les archives chiffrées créées séparément pour une migration ou un incident sont conservées pour leur finalité de récupération documentée et réexaminées à la clôture de ce dossier ou déploiement. Elles ne sont pas réutilisées comme comptes actifs. Des références limitées d'administration, de révocation et d'audit peuvent rester pour documenter l'organisation concernée, une enquête, un litige ou une obligation légale ; cela n'autorise pas à conserver l'ancien profil actif ou des autorisations utilisables. Contactez legal@lssm.co pour les critères et archives de récupération applicables à votre demande.

Vos choix et vos droits

Vous pouvez consulter les informations et contrôles disponibles sur votre compte, permissions, sessions, clés, agents et connexions. Contactez legal@lssm.co pour demander l'accès, la rectification, l'effacement, la limitation ou la portabilité de vos données, vous opposer aux traitements concernés ou retirer un consentement. Ces droits sont soumis aux conditions et exceptions du droit applicable. Le retrait du consentement ne remet pas en cause les traitements antérieurs licites.

Nous pouvons vérifier votre identité avant de traiter une demande. Vous pouvez saisir une autorité de protection des données compétente, notamment la CNIL en France : CNIL.

Cette notice est mise à jour avec les évolutions du service et des traitements. Les modifications importantes sont signalées par une information adaptée dans le service ou le compte ; une nouvelle permission est demandée avant l'accès à de nouvelles données de plateforme pour une autre finalité.