Brouillon. L'entité juridique Elido est en cours de finalisation avant le lancement public ; cette page sera réémise sous cette entité. D'ici là, contactez [email protected] pour une version exécutable.
Politique de confidentialité
Dernière mise à jour : 2026-11-11
1. Qui nous sommes
Elido est un service de réduction d'URL exploité depuis l'Union européenne. Contact du responsable du traitement : [email protected].
2. Ce que nous collectons
Données de compte (e-mail, nom, hachage du mot de passe) lors de votre inscription. Contenu de l’espace de travail (liens, balises, domaines personnalisés, codes QR) que vous créez. Événements de clic lorsque quelqu’un suit votre lien court : horodatage, slug de l’URL, adresse IP complète du visiteur, user agent, référent, destination, type d’appareil et navigateur, ainsi que pays, région, ville et latitude/longitude approximatives déduites de l’adresse IP. Données de facturation (offre, pays de facturation, numéro de TVA le cas échéant) lorsque vous souscrivez à une offre payante ; les données de carte sont gérées par le prestataire de paiement et ne sont pas stockées par nous. Sur les pages d’inscription et de connexion, nous stockons également des cookies propriétaires de source de trafic (voir Cookies ci-dessous).
3. Ce que nous ne collectons pas
Nous ne traçons pas les visiteurs par empreinte numérique au moyen de traceurs tiers et nous ne vendons pas les flux de clics à des réseaux publicitaires. Important : nous stockons actuellement l’adresse IP complète du visiteur avec chaque événement de clic, ainsi que le pays, la région, la ville et les coordonnées approximatives que nous en déduisons à l’aide d’une base MaxMind GeoLite2 hors ligne. La troncature ou le hachage des IP est prévu mais n’est pas encore en place. Nous n’utilisons pas les données de liens ou de clics des clients pour entraîner des modèles d’IA.
4. Où sont stockées vos données
Notre base de données principale, notre stockage analytique et nos sauvegardes sont hébergés dans l’UE (Hetzner, Allemagne/Finlande). Notre réseau de redirection fonctionne aussi chez Hetzner Ashburn (États-Unis) et OVH Singapour. Ces nœuds reçoivent les requêtes des visiteurs : les adresses IP, user agents et référents des visiteurs y sont donc traités, et ils peuvent contenir des copies répliquées ou mises en cache des données de liens. La sélection de région par espace de travail (par exemple US East ou Asie-Pacifique) n’est pas encore disponible ; tous les espaces de travail sont servis par la même infrastructure. Conservation : les événements de clic ne sont pas supprimés selon un calendrier et sont conservés jusqu’à ce que nous les retirions (par exemple après une demande d’effacement vérifiée) ; les événements du journal d’audit sont conservés 730 jours par défaut, configurable par espace de travail ; les sauvegardes de la base de données sont conservées 14 jours par défaut. Les sauvegardes sont chiffrées avant leur envoi vers Backblaze B2.
5. Vos droits (RGPD)
Vous pouvez exercer vos droits d’accès, de rectification, d’effacement, de portabilité, de limitation et d’opposition en écrivant à [email protected] ; il n’existe pas encore de page de confidentialité en libre-service dans le tableau de bord. Notre équipe consigne chaque demande et répond sous 30 jours. Une demande d’accès renvoie une archive zip de fichiers CSV (compte, appartenances aux espaces de travail, espaces de travail possédés, liens, entrées d’audit, sessions). Une demande d’effacement anonymise actuellement l’enregistrement de votre compte (e-mail et nom), met fin à vos sessions et supprime votre identité de connexion ; les données de facturation sont conservées lorsque la loi l’exige. Les événements de clic enregistrés sur les visiteurs de liens courts (y compris les adresses IP) ne sont pas encore inclus dans les exports ni supprimés automatiquement lors d’une demande d’effacement ; envoyez-nous le lien court et nous traiterons ces demandes au cas par cas. Si vous êtes visiteur, vous pouvez aussi contacter le propriétaire de l’espace de travail qui contrôle ce lien. Vous pouvez également introduire une réclamation auprès de votre autorité nationale de protection des données ; la liste pour l’UE est disponible sur https://edpb.europa.eu/about-edpb/board/members_en.
6. Sous-traitants ultérieurs
Nous faisons appel à treize sous-traitants, tous ne se trouvant pas dans l’UE : Hetzner (calcul + hébergement de bases de données, DE/FI, plus edge américain à Ashburn), OVHcloud (edge, SG), Backblaze (sauvegardes chiffrées), Resend (e-mail transactionnel, UE + États-Unis), Paddle (merchant of record pour les paiements par carte hors d’Ukraine), Universal Bank JSC / monobank Plata (acquisition de paiements par carte, UA), Coinbase Commerce (paiement en cryptomonnaie, uniquement s’il est activé, États-Unis), MaxMind (jeu de données GeoLite2 hors ligne, aucune donnée personnelle partagée), Cloudflare (CAPTCHA Turnstile à l’inscription et à la connexion, DNS/proxy), Crisp (chat en direct), Anthropic (fonctionnalités d’IA, lorsque vous les utilisez, États-Unis), WorkOS (SSO/SCIM d’entreprise, lorsqu’il est configuré, États-Unis) et Google Safe Browsing (vérifications de réputation des URL de destination). La liste à jour, avec la finalité et la localisation, se trouve sur /legal/subprocessors et toute modification donne lieu à un préavis de 30 jours.
7. Cookies
Nous déposons des cookies strictement nécessaires (ory_kratos_session, csrf_token_*, elido_workspace_id, elido_mfa_pending, elido_sso_state), des cookies de préférence (elido_locale, elido_authed, elido_sidebar_collapsed, cookies de bannière de mise à niveau et promotionnels) et des cookies propriétaires de source de trafic (sbjs_*, déposés par Sourcebuster sur les pages d’inscription et de connexion, jusqu’à 6 mois, utilisés pour rattacher les inscriptions à une campagne). Nous ne déposons pas de cookies publicitaires. L’avis relatif aux cookies du site marketing est purement informatif et ne bloque aucun cookie ; les cookies sbjs_* sont déposés sans demande de consentement. L’analyse d’audience des visiteurs du site marketing utilise une instance Plausible sans cookie (lorsqu’elle est activée), qui ne stocke aucun cookie. Le tableau complet figure sur la page Politique relative aux cookies.
8. Chat en direct (Crisp)
Lorsque le widget de chat en direct est activé, Crisp (https://crisp.chat, sous-traitant de l’UE) charge son script client et ouvre une connexion WebSocket pour relayer vos messages à notre équipe d’assistance. Le script Crisp se charge au chargement d’une page (et pas seulement à l’ouverture du chat) : votre navigateur contacte donc les serveurs de Crisp et Crisp dépose un cookie de session (crisp-client/session/*) pour reprendre une conversation d’une page à l’autre. Aucun contenu de message ne quitte votre navigateur tant que vous n’en envoyez pas un. Pour les utilisateurs authentifiés du tableau de bord, l’e-mail et le nom d’affichage sont transmis à Crisp afin que l’assistance puisse répondre par e-mail si vous fermez l’onglet ; les visiteurs anonymes du site marketing restent anonymes, sauf s’ils saisissent leur e-mail dans le formulaire.
9. Extension de navigateur - étendue des données
L'extension de navigateur Elido (Chrome MV3 + Firefox) stocke votre jeton API ou jeton d'accès OAuth2 dans chrome.storage.sync, le conteneur de synchronisation par profil de navigateur - Google synchronise la valeur sur tous les appareils connectés, mais Elido ne la voit jamais. L'extension n'émet aucune télémétrie et n'intègre aucun script tiers ; le seul appel réseau qu'elle effectue est vers l'origine de l'API que vous configurez (https://api.elido.app par défaut). Lorsque vous terminez le flux OAuth2, le jeton de renouvellement réside dans chrome.storage.local au lieu de chrome.storage.sync - il reste sur la machine locale et ne circule jamais via le conteneur de synchronisation, ce qui limite l'exposition si une clé de synchronisation était compromise sur un autre appareil.
10. Transferts internationaux
Certains sous-traitants sont établis hors de l’EEE (Paddle, Coinbase Commerce, Anthropic, WorkOS et Google aux États-Unis, Resend avec une région de repli aux États-Unis, Cloudflare dans le monde entier), et nos propres nœuds de redirection aux États-Unis et à Singapour traitent les adresses IP des visiteurs. Chacun est couvert par les clauses contractuelles types de l’UE (2021/914), modules 2 et 3, et par les mesures complémentaires pertinentes. Notre DPA (voir /legal/dpa) inclut les clauses contractuelles types et est disponible sur demande auprès de [email protected].
11. Elido Assistant (IA)
Lorsque vous utilisez l'assistant intégré à l'application, vos messages et les données de l'espace de travail qu'il consulte pour y répondre sont envoyés à Anthropic (États-Unis), notre sous-traitant, afin de produire la réponse. Nous vous présentons cet avis et vous demandons de le confirmer avant votre premier message ; s'il change, nous vous le demandons de nouveau. Les conversations sont conservées jusqu'à ce que vous les supprimiez ou que le compte soit effacé. Des sujets de questions anonymisés nous aident à améliorer les contenus d'aide : lorsque l'assistant ne sait pas répondre, nous pouvons enregistrer une courte description du sujet, débarrassée des adresses e-mail, liens, domaines, nombres et secrets, avec votre langue, votre offre et un code à sens unique qui nous permet seulement de compter combien d'espaces de travail différents posent la même question. Nous n'enregistrons aucun sujet pour les espaces de travail Enterprise ou en mode conformité, et nous supprimons les autres au bout de 90 jours. Notre personnel ne peut lire une conversation que sur motif écrit, et chaque accès est journalisé.
12. Contact
Questions relatives à la confidentialité : [email protected]. Demandes de DPA : [email protected]. Signalements d'abus : [email protected]. Divulgations de sécurité : [email protected] (voir /legal/security-policy). Pour toute correspondance postale, contactez d'abord [email protected] afin que nous puissions vous orienter vers la bonne adresse enregistrée une fois l'entité opérationnelle annoncée.