HubConnect

1. Présentation et périmètre

La présente politique de confidentialité régit spécifiquement l'utilisation de HubConnect, le service d'authentification unique (SSO) centralisé de l'écosystème HubSuite. HubConnect opère exclusivement comme une passerelle technique permettant de Vous identifier de manière unifiée pour accéder aux différentes applications de notre écosystème.

Le service HubConnect est édité par HubSuite, société par actions simplifiée (SAS) au capital de 1 000 €, immatriculée au RCS de Lille Métropole sous le numéro 104 441 035 (TVA intracommunautaire FR22104441035), dont le siège social est situé au 29 rue de Menin, 59700 Marcq-en-Baroeul, France. La société est présidée par la société MONIQUE (SARL à associé unique), représentée par M. Thomas Huyghe, qui exerce à ce titre les fonctions de directeur de la publication ; le directeur général est M. Matteo Lafraise.

Hébergeur : Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Chypre. Le serveur (VPS) hébergeant HubConnect est localisé en France. Site : hostinger.fr.

Pour toute question relative à la protection de Vos données personnelles sur HubConnect, Vous pouvez contacter notre point de contact RGPD centralisé à l'adresse suivante : [email protected].

Ce document est volontairement restreint au périmètre technique de l'authentification et de la sécurité d'accès. Pour les traitements transversaux liés à l'utilisation courante des autres produits de l'écosystème, Vous êtes expressément renvoyé vers la Politique centrale HubSuite.

2. Traitements opérés par HubConnect

HubConnect limite la collecte et le traitement de Vos données personnelles au strict nécessaire pour assurer le fonctionnement de l'authentification. Voici le détail des cinq traitements spécifiques opérés au sein de ce périmètre.

Création et gestion du compte utilisateur

• Finalité : Permettre la création d'une identité numérique unique au sein de l'écosystème HubSuite et gérer le cycle de vie du profil (mise à jour, accès, clôture).
• Base légale : Exécution du contrat (art. 6.1.b du RGPD).
• Données : Adresse email, mot de passe (stocké sous forme hachée uniquement), nom, prénom, numéro de téléphone (optionnel), identifiants OAuth liés (Google, Apple).
• Durée : Durée de la relation contractuelle + 3 ans après la clôture du compte.
• Destinataires : Personnel technique de HubSuite SAS, sous-traitant d'hébergement.

Authentification OAuth2 (Google, Apple)

• Finalité : Offrir une méthode de connexion simplifiée via des fournisseurs d'identité tiers. L'authentification via un compte Google ou Apple constitue un moyen technique d'accès au compte HubSuite et ne modifie pas la base légale du traitement principal.
• Base légale : Exécution du contrat (art. 6.1.b du RGPD).
• Données : Adresse email, prénom, nom (transmis par Google ou Apple), identifiant OAuth lié au compte.
• Durée : Identique à celle du compte utilisateur (durée de la relation + 3 ans). En cas de révocation de l'autorisation OAuth chez le fournisseur tiers, la liaison est immédiatement supprimée mais Votre compte HubSuite reste accessible via une autre méthode d'authentification.
• Destinataires : HubSuite SAS uniquement. Fournisseurs d'identité tiers (en amont) : Google LLC, Apple Inc.

Authentification par magic link email

• Finalité : Permettre une connexion sécurisée sans mot de passe via l'envoi d'un lien à usage unique par courrier électronique.
• Base légale : Exécution du contrat (art. 6.1.b du RGPD).
• Données : Adresse email, jeton cryptographique temporaire, horodatage.
• Durée : Jeton : 15 minutes maximum, suppression automatique après usage ou expiration. Journal des demandes de connexion : 1 an (cohérence avec les logs de sécurité).
• Destinataires : HubSuite SAS, fournisseur du service SMTP.

Gestion des sessions (JWT, cookies hubsuite_session et hubsuite_refresh)

• Finalité : Maintenir l'état de connexion et garantir la persistance de Votre authentification lors de la navigation entre les différents produits de l'écosystème.
• Base légale : Exécution du contrat (art. 6.1.b du RGPD) pour assurer la continuité du service attendu.
• Données : Jetons JWT (accès et rafraîchissement), identifiant de session.
• Durée : 1 an (365 jours) maximum pour le renouvellement automatique (refresh token).
• Destinataires : HubSuite SAS.

Journalisation de sécurité (logs de connexion)

• Finalité : Assurer la traçabilité des accès, détecter les tentatives de compromission et protéger nos infrastructures informatiques.
• Base légale : Intérêt légitime (art. 6.1.f du RGPD). La traçabilité des accès et la détection des activités suspectes constituent un intérêt légitime de HubSuite SAS pour protéger les comptes utilisateurs et la sécurité de l'infrastructure.
• Données : Adresse IP, horodatage, statut de connexion, agent utilisateur (User-Agent).
• Durée : Conservation des logs techniques pendant 1 an.
• Destinataires : Personnel habilité de HubSuite SAS, sous-traitant d'hébergement.

3. Cookies strictement nécessaires

Afin d'assurer sa mission d'authentification, HubConnect dépose exclusivement deux cookies sur Votre terminal :

• hubsuite_session : Utilisé pour maintenir Votre session active et gérer l'authentification courante. Durée : session en cours.
• hubsuite_refresh : Utilisé pour le renouvellement automatique de la session. Durée : 1 an (365 jours).

Ces deux traceurs techniques sont configurés avec les paramètres de sécurité suivants : httpOnly, Secure et SameSite. Étant strictement nécessaires à la fourniture du service de communication en ligne que Vous avez expressément demandé, ils sont exemptés de consentement conformément à l'article 82 de la loi Informatique et Libertés.

Aucun cookie analytique ni aucun cookie marketing n'est déposé ou utilisé sur la plateforme HubConnect.

4. Sécurité technique

Nous mettons en oeuvre des mesures techniques concrètes pour protéger Vos opérations d'authentification :

• L'ensemble des communications réseau est chiffré via le protocole HTTPS (TLS).
• Les mots de passe stockés en base de données subissent un hachage via l'algorithme Bcrypt (facteur de travail : 12 rounds).
• L'émission des identités et des autorisations s'appuie sur des jetons JWT signés cryptographiquement via l'algorithme HS256.
• Les événements relatifs à la sécurité font l'objet d'une journalisation technique stricte, avec une durée de conservation (TTL) de 1 an.

Aucune mesure de sécurité ne peut toutefois garantir une protection absolue contre l'ensemble des risques inhérents à internet.

5. Destinataires et sous-traitants spécifiques à HubConnect

Le périmètre d'authentification de HubConnect implique le partage de données avec une liste restreinte de sous-traitants spécifiques :

• MongoDB Atlas (cluster en région Paris / AWS eu-west-3, Union européenne ; DPA + SCC 2021) : hébergement de la base de données.
• Google LLC / Google Ireland (Irlande, DPA + EU-US DPF) : authentification OAuth2.
• Apple Inc. (USA, conditions développeur Apple) : authentification Sign in with Apple.
• Fournisseur SMTP (Google Workspace, Irlande, DPA + EU-US DPF) : envoi des magic links.

Pour la liste complète et à jour des sous-traitants de l'écosystème HubSuite, consultez la politique centrale.

6. Exercice des droits

Le Règlement Général sur la Protection des Données (RGPD) Vous accorde des droits fondamentaux concernant Vos données personnelles.

Sur le périmètre de HubConnect, Vous disposez d'un accès à un exercice partiel de Vos droits directement via Votre interface de compte : Vous pouvez accéder aux informations de Votre profil et procéder à la désactivation technique de Votre compte.

Pour soumettre une requête nécessitant l'exercice complet de Vos droits RGPD (droit d'accès intégral, droit d'effacement, portabilité, limitation ou opposition), Vous êtes invité à utiliser les outils mis à disposition sur la page dédiée.

7. Renvoi vers la politique centrale HubSuite

HubConnect est un composant de l'écosystème HubSuite et non l'écosystème lui-même.

Pour tout ce qui ne relève pas spécifiquement des mécanismes d'authentification décrits dans ce document, Vous devez consulter la Politique centrale HubSuite. Vous y trouverez toutes les informations nécessaires concernant :

• Les durées de conservation détaillées applicables à chaque produit.
• La liste complète et exhaustive des sous-traitants de l'entreprise.
• L'encadrement juridique des transferts de données hors UE.
• Les modalités pour l'exercice complet des droits RGPD.
• Les cas particuliers inhérents aux autres services (notamment les formulaires HubCard, les réservations HubBook, ou les webhooks).

8. Contact et réclamations

Pour toute demande concernant la gestion de Vos données sur HubConnect, Vous pouvez joindre notre responsable de la conformité RGPD directement par voie électronique à : [email protected].

Si Vous estimez, après nous avoir contactés, que la gestion de Vos données ne respecte pas Vos droits légaux, Vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), par courrier (3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07), via leur formulaire en ligne (www.cnil.fr/plaintes) ou par téléphone au 01 53 73 22 22.