Politique de confidentialité

VerifBox est conçu pour traiter le moins de données possible : vos fichiers restent sur votre appareil, et le Service ne garde aucune trace de ce que vous horodatez. Cette politique explique précisément ce qui est traité, pourquoi, et pendant combien de temps.

1. Responsable du traitement

HTTPS CARD — Internet Identity Card Limited, société n° 09168431, 124 City Road, London EC1V 2NX, Royaume-Uni, enregistrée auprès de l’Information Commissioner’s Office (ICO) sous le numéro ZA457585. Contact : contact@verifbox.com. Cette politique vise à satisfaire aux exigences du UK GDPR et, lorsqu’il s’applique, du règlement général sur la protection des données (RGPD).

2. Vos fichiers ne quittent jamais votre appareil

Le fichier que vous sélectionnez n’est jamais envoyé à VerifBox. Son empreinte est calculée dans votre navigateur, et les signatures d’une preuve sont vérifiées dans votre navigateur. Le certificat PDF et l’image à partager sont eux aussi créés dans votre navigateur et ne sont pas envoyés au Service.

3. Ce que le Service reçoit

Lorsque vous créez une preuve, le Service reçoit uniquement l’empreinte SHA-256 du fichier. Il y ajoute la date et l’heure, signe le tout et renvoie la preuve à votre navigateur.

Lorsque vous contrôlez une preuve sur la page Vérifier, le Service reçoit la partie ancrage Bitcoin de la preuve, afin de la compléter et de la contrôler. Cette partie contient l’empreinte du fichier.

Dans les deux cas, les données sont traitées en mémoire le temps de la requête et ne sont pas conservées : VerifBox n’a pas de comptes utilisateurs et ne tient aucune base de données de fichiers, d’empreintes ou de preuves.

Une empreinte ne permet pas de reconstituer le fichier. En revanche, une personne qui détient déjà une copie d’un fichier peut vérifier s’il correspond à une empreinte donnée. Une empreinte ne doit donc pas être considérée comme anonyme dans toutes les situations.

Jeton d’horodatage IIC TSA. Depuis le 10 octobre 2026, lorsque vous créez une preuve, notre serveur transmet aussi l’empreinte du fichier au service d’horodatage IIC TSA, exploité par la même société (HTTPS CARD — Internet Identity Card Limited) sur Google Cloud, dans la région europe-west1 (Belgique). IIC TSA ne reçoit ni votre fichier ni votre adresse IP, et ne conserve pas l’empreinte : son journal, conservé douze ans, n’enregistre que le numéro de série, l’heure et des données techniques de chaque jeton. Chaque nuit, une empreinte globale de ce journal est horodatée par une autorité tierce et ancrée dans Bitcoin ; elle ne contient aucune donnée vous concernant.

4. Bases légales

Le traitement de l’empreinte et des données d’ancrage est nécessaire pour fournir le service que vous demandez, conformément à nos conditions d’utilisation. Le traitement des adresses IP à des fins de sécurité et de prévention des abus repose sur notre intérêt légitime à protéger le Service et à en assurer la disponibilité ; ce traitement est limité au strict nécessaire et ne dure pas plus d’une minute dans l’application, ce qui, selon notre appréciation, ne prévaut pas sur vos intérêts ou vos droits.

5. Adresses IP et journaux techniques

Comme tout hébergeur, Google Cloud traite des données de connexion, dont votre adresse IP, pour afficher les pages et acheminer les requêtes vers le Service. Dans l’application VerifBox, votre adresse IP est conservée en mémoire pendant une minute au plus, pour limiter le nombre de requêtes, et n’est jamais enregistrée par l’application.

Les journaux de requêtes sont désactivés. Les journaux d’erreur produits par l’environnement d’hébergement sont conservés 30 jours et ne contiennent ni le contenu des fichiers ni les empreintes.

6. Ancrage Bitcoin

Pour inscrire une preuve dans la blockchain Bitcoin, notre serveur transmet à des serveurs publics de calendrier OpenTimestamps (opentimestamps.org, eternitywall.com, catallaxy.com) deux valeurs, dérivées respectivement de l’empreinte et de l’attestation signée, chacune préalablement rendue aléatoire. Ces serveurs ne reçoivent ni votre fichier, ni son empreinte, ni votre adresse IP. Une fois inscrites, ces valeurs figurent de façon permanente et publique dans la blockchain Bitcoin et ne peuvent être effacées par personne, mais elles ne permettent de retrouver ni le fichier ni son empreinte.

Pour contrôler un ancrage, notre serveur lit l’en-tête des blocs auprès d’explorateurs publics de la blockchain Bitcoin (blockstream.info, mempool.space), sans leur transmettre aucune donnée vous concernant.

7. Cookies et stockage dans le navigateur

VerifBox n’utilise aucun cookie et n’enregistre rien dans votre navigateur. Il n’utilise aucun outil de mesure d’audience, de publicité ou de suivi, et ne charge aucune ressource depuis des sites tiers.

8. Liens externes

Les liens vers des sites externes (GitHub, X, explorateurs de la blockchain Bitcoin) ne transmettent aucune donnée tant que vous ne cliquez pas, et le site d’arrivée n’est pas informé de votre provenance. Une fois sur ces sites, leurs propres politiques de confidentialité s’appliquent.

9. Sous-traitant et transferts internationaux

Le site et le Service sont hébergés par Google Cloud EMEA Limited (Irlande), en qualité de sous-traitant, dans la région europe-west1 (Belgique). Google peut traiter des données ou y accéder depuis l’extérieur du Royaume-Uni et de l’Espace économique européen, notamment par l’intermédiaire de ses propres sous-traitants, conformément à ses conditions de traitement des données et avec les garanties exigées par la loi, telles que les décisions d’adéquation et les clauses contractuelles types.

Les calendriers OpenTimestamps et les explorateurs Bitcoin mentionnés ci-dessus sont des tiers indépendants, auxquels VerifBox ne transmet aucune donnée personnelle. L’autorité d’horodatage tierce qui horodate chaque nuit l’empreinte globale du journal d’IIC TSA ne reçoit que cette empreinte, qui ne contient aucune donnée vous concernant.

10. Durées de conservation

Empreintes et données d’ancrage : aucune conservation au-delà de la requête. Adresses IP dans l’application : une minute au plus. Journaux d’erreur : 30 jours. Journal d’IIC TSA (numéro de série, heure et données techniques de chaque jeton, sans empreinte ni adresse IP, donc sans donnée personnelle) : douze ans, durée pendant laquelle un jeton doit pouvoir être contrôlé et audité après coup. Valeurs inscrites dans la blockchain Bitcoin : permanentes, mais elles ne contiennent aucune donnée personnelle.

11. Vos droits

Selon la loi applicable et la base légale du traitement, vous disposez du droit d’accéder à vos données personnelles, de les faire rectifier ou effacer, d’en faire limiter le traitement et, lorsque le traitement repose sur notre intérêt légitime, de vous y opposer. VerifBox ne conservant presque aucune donnée, nous ne détiendrons en pratique généralement aucune donnée vous concernant ; si une demande l’exige, nous pourrons vous demander les informations nécessaires pour identifier les données concernées.

Pour exercer vos droits ou poser une question : contact@verifbox.com. Vous pouvez également introduire une réclamation auprès de l’ICO (ico.org.uk) ou, si vous résidez dans l’Union européenne, auprès de l’autorité de protection des données de votre pays, comme la CNIL en France (cnil.fr).

12. Sécurité et modifications

Nous appliquons des mesures techniques et organisationnelles adaptées au Service, à commencer par sa conception même : les fichiers ne sont jamais transmis, et rien vous concernant n’est conservé. Aucun système ne peut toutefois garantir une sécurité absolue. Nous pouvons mettre à jour cette politique pour tenir compte de l’évolution du Service, de nos prestataires ou du droit ; la version en vigueur est publiée sur cette page, avec la date de sa dernière mise à jour.

Cette politique est proposée en anglais et en français. En cas de divergence, la version anglaise prévaut.

Dernière mise à jour : 10 octobre 2026.