Politique de confidentialité

Bienvenue sur Browser.lol (le « service »), exploité par Zesiger.net (« nous », « notre » ou « nos »). Nous nous engageons à protéger tes données personnelles et à respecter ta vie privée. Cette politique de confidentialité (la « politique ») explique comment nous collectons, utilisons, divulguons et protégeons tes informations lorsque tu visites notre site web https://browser.lol, utilises nos services ou interagis avec nous de toute autre manière. Elle décrit également tes droits en matière de protection des données et la façon de les exercer.

Nous traitons les données personnelles conformément à la loi fédérale suisse sur la protection des données (LPD, version révisée en vigueur depuis le 1er septembre 2023), au règlement général sur la protection des données de l'UE (RGPD) lorsqu'il s'applique à nous, au RGPD britannique (UK GDPR) et aux autres lois applicables en matière de protection des données. Nous appliquons les principes de protection des données dès la conception et par défaut : le service est conçu de sorte que le contenu de tes sessions de navigateur ne soit ni surveillé ni stocké par nous, et les données que nous conservons se limitent à ce qui est nécessaire au fonctionnement du service.

Cette politique est une description factuelle de ce que nous faisons aujourd'hui. Lorsque nous énonçons des objectifs, il s'agit d'objectifs et non de garanties, sauf disposition contraire d'un document contraignant.

Selon la LPD suisse, le traitement de données personnelles par des personnes privées n'exige pas de base juridique spécifique pour chaque opération ; il doit respecter les principes de traitement des articles 6 et 8 LPD, et toute atteinte prépondérante aux intérêts d'une personne concernée doit être justifiée (art. 31 LPD). Lorsque le RGPD ou le RGPD britannique s'applique, nous nous fondons sur les bases juridiques suivantes de l'article 6, paragraphe 1 :

• Exécution d'un contrat (art. 6, par. 1, let. b RGPD) : création et exploitation de ton compte, fourniture des workspaces de navigateur et de la messagerie intégrée, et assistance.
• Obligation légale (art. 6, par. 1, let. c RGPD) : tenue de la comptabilité et conservation des justificatifs fiscaux (art. 957 ss du Code des obligations suisse) et réponse aux demandes licites des autorités.
• Intérêts légitimes (art. 6, par. 1, let. f RGPD) : sécurisation de la plateforme, prévention de la fraude et des abus, application de nos conditions, défense contre des prétentions juridiques, mesure et amélioration du service, et financement de l'offre gratuite par la publicité sur notre site web. Lorsque nous nous fondons sur des intérêts légitimes, nous les mettons en balance avec tes intérêts et tes droits fondamentaux.
• Consentement (art. 6, par. 1, let. a RGPD) : uniquement lorsque nous le demandons pour une finalité spécifique. Nous ne nous fondons pas sur le consentement pour les traitements nécessaires au fonctionnement du service.

Nous ne traitons pas de catégories particulières de données personnelles (art. 9 RGPD) dans le cadre de l'exploitation du service.

5.1. Détection automatisée des abus et décisions automatisées

Nous utilisons des systèmes automatisés pour détecter les abus de la plateforme, comme l'application de limites de débit, les contrôles de réputation IP et l'analyse automatisée des schémas de ressources et de trafic. Un système automatisé peut bloquer temporairement l'accès (par exemple refuser une inscription ou le démarrage d'un workspace) si une activité hautement suspecte est détectée. Lorsqu'une telle décision t'affecte de manière significative, tu as le droit d'obtenir une intervention humaine, d'exprimer ton point de vue et de contester la décision (art. 22 RGPD ; art. 21 LPD) : contacte [email protected] et nous réexaminerons la décision manuellement. Nous n'effectuons pas de prise de décision automatisée produisant des effets juridiques au-delà de ces mesures de sécurité, et nous n'utilisons pas de profilage pour des décisions publicitaires te concernant.

5.2. Conservation et suppression des données

Nous conservons tes données personnelles uniquement aussi longtemps que nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées, y compris pour satisfaire aux exigences légales, comptables ou déclaratives, ou aussi longtemps que nécessaire à la constatation, à l'exercice ou à la défense de prétentions juridiques.

5.3. Sécurité des données

Nous avons mis en place des mesures de sécurité techniques et organisationnelles (TOM) adaptées au risque pour protéger tes données personnelles contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé. Elles comprennent :

• Chiffrement en transit : TLS (version minimale 1.2, TLS 1.3 privilégié) pour les connexions à notre site web et à notre API ; les flux multimédias WebRTC sont en outre protégés par DTLS-SRTP.
• Chiffrement au repos : chiffrement au niveau des blocs sur notre stockage primaire à Helsinki ; les mots de passe sont stockés hachés avec bcrypt.
• Isolation : chaque workspace de navigateur s'exécute dans un conteneur isolé et éphémère disposant de ses propres espaces de noms de système de fichiers et de réseau, détruit à la fin de la session.
• Contrôle d'accès : accès basé sur les rôles selon le principe du moindre privilège ; l'accès administratif est restreint et journalisé.
• Exploitation : journalisation et surveillance des événements système pertinents, procédures de sauvegarde et de restauration régulièrement exercées, et processus documenté de réponse aux incidents.

Nous sommes transparents sur notre situation en matière de certification : nous ne sommes pas certifiés ISO/IEC 27001, nous ne détenons pas de rapport SOC 2 et nous ne revendiquons aucune certification ni aucun audit externe qui n'existe pas. Aucune méthode de transmission ou de stockage n'est sûre à 100 %, et nous ne pouvons pas garantir une sécurité absolue. En cas de violation de données, nous suivons le processus décrit à la section 10.

5.4. Protection des données dès la conception

• Minimisation des données : nous ne collectons et ne traitons que les données personnelles nécessaires à chaque finalité spécifique ; le contenu de tes sessions de navigation n'est délibérément pas stocké.
• Limitation des finalités : les données personnelles ne sont traitées que pour les finalités déterminées, explicites et légitimes pour lesquelles elles ont été collectées.
• Limitation de la conservation : les données ne sont conservées que pour les durées indiquées à la section 5.2.
• Pas d'exploration de données : nous n'explorons, ne profilons, ne monétisons ni n'utilisons le contenu de tes sessions de workspace ou de ta messagerie à des fins publicitaires ou pour entraîner des modèles.

Nous ne partageons des données personnelles avec des prestataires de services tiers (sous-traitants) que lorsque cela est nécessaire pour fournir le service. Ces prestataires sont contractuellement tenus de protéger tes données et ne peuvent les utiliser que pour les finalités pour lesquelles nous les leur divulguons. Nous ne vendons pas tes données personnelles. Le registre complet et à jour de nos prestataires, y compris leurs rôles, localisations et garanties de transfert, est publié dans notre liste des sous-traitants ; les plus importants sont :

• Hetzner Online GmbH - hébergement primaire de toutes les données durables à Helsinki, en Finlande (EEE), y compris les bases de données, le stockage objet et les sauvegardes chiffrées.
• OVHcloud et FiberState, LLC - capacité de calcul éphémère en périphérie pour les workspaces de navigateur en dehors de l'Europe (aucun stockage durable de tes données).
• Cloudflare, Inc. - DNS, diffusion du frontend web, protection anti-bots (Turnstile) et acheminement des e-mails entrants pour la messagerie intégrée.
• Google - « Se connecter avec Google » (OAuth), le relais SMTP de Google Workspace utilisé pour envoyer les e-mails transactionnels depuis [email protected], les vérifications de noms d'hôte Google Web Risk et Google Analytics 4 sur notre site web.
• Microsoft Corporation - « Se connecter avec Microsoft » / connexion unique Entra ID pour les organisations qui l'activent.
• OpenRouter, Inc. - passerelle d'IA utilisée pour les résumés de mails facultatifs (acheminement vers le fournisseur de modèle configuré, actuellement Google Gemini). C'est le seul canal par lequel le contenu des e-mails atteint un fournisseur d'IA.
• OpenAI OpCo, LLC - détection automatisée d'anomalies sur des journaux opérationnels agrégés côté serveur. Le contenu de tes sessions de workspace et de ta messagerie n'est jamais envoyé à ce fournisseur.
• Axiom, Inc. - agrégation des journaux côté serveur ; les événements de journaux peuvent inclure des adresses IP et des identifiants d'utilisateur/de session.
• Reoon - vérification des adresses e-mail lors de l'inscription.
• Playwire LLC - publicité sur le niveau gratuit du Service, financé par la publicité ; les forfaits payants sont sans pub (voir la section 7.2).

Nous pouvons également divulguer tes données personnelles si la loi, la réglementation, une procédure judiciaire (p. ex. une décision de justice) ou une demande gouvernementale l'exige, ou si nous estimons de bonne foi que la divulgation est nécessaire pour protéger nos droits, ta sécurité ou celle d'autrui, ou pour enquêter sur une fraude. En cas de fusion, d'acquisition ou de vente de tout ou partie de nos actifs, tes données personnelles peuvent être transférées dans le cadre de cette transaction, sous réserve de la présente politique et d'une notification lorsque la loi l'exige.

En vertu de la LPD suisse et du RGPD (pour les personnes dans l'UE/EEE) ainsi que du RGPD britannique, tu disposes des droits suivants concernant tes données personnelles :

Notre service ne s'adresse pas aux personnes de moins de 16 ans (ou d'un âge supérieur lorsque le droit local applicable l'exige). Nous ne collectons pas sciemment de données personnelles d'enfants de moins de 16 ans. Si tu es parent ou tuteur et que tu penses que ton enfant nous a fourni des données personnelles, contacte-nous aux coordonnées indiquées à la section 2. Si nous apprenons que nous avons collecté des données personnelles d'un enfant de moins de 16 ans sans consentement parental vérifiable, nous prendrons des mesures pour supprimer ces informations rapidement.

Nous avons mis en place des procédures pour détecter les violations de données personnelles, enquêter à leur sujet et y répondre. Lorsqu'une violation est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, nous notifions l'autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (art. 33 RGPD) ; lorsque la notification intervient plus tard, elle est accompagnée des motifs du retard. En vertu du droit suisse, nous annonçons au PFPDT dès que possible les violations susceptibles d'entraîner un risque élevé pour les personnes concernées (art. 24 LPD).

Notre service peut contenir des liens vers d'autres sites web que nous n'exploitons pas, et tu peux utiliser les workspaces de navigateur pour visiter n'importe quel site web de ton choix. Si tu visites un site tiers, c'est la politique de confidentialité de ce site qui s'applique aux données qu'il collecte auprès de toi. Nous n'avons aucun contrôle sur le contenu, les politiques de confidentialité ou les pratiques des sites ou services tiers et n'assumons aucune responsabilité à leur égard. Les sites web que tu visites dans un workspace de navigateur voient l'adresse IP et l'environnement du workspace plutôt que ceux de ton propre appareil, mais toute donnée que tu leur soumets activement (comme la connexion à tes comptes) est régie par leurs conditions et politiques.

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre pour refléter l'évolution de nos pratiques, de la technologie, des exigences légales ou d'autres facteurs. Nous publierons toute modification sur cette page et mettrons à jour la date « Dernière mise à jour ». Nous t'encourageons à consulter régulièrement cette politique de confidentialité.

Notification des modifications : pour les modifications importantes qui touchent sensiblement tes droits ou la manière dont nous traitons tes données personnelles, nous fournirons un avis bien visible (p. ex. un préavis d'au moins 30 jours par e-mail aux utilisateurs enregistrés et/ou une notification claire dans le service) avant l'entrée en vigueur des modifications. Pour les modifications moins importantes, la mise à jour de la date « Dernière mise à jour » et la publication de la politique révisée suffisent. Lorsqu'une modification requiert ton consentement en vertu du droit applicable, nous te le demanderons.

Dernière mise à jour : 2026-08-12

Cette politique de confidentialité et tout litige en découlant ou s'y rapportant sont régis par le droit suisse et interprétés conformément à celui-ci, sans égard à ses règles de conflit de lois.

Tout litige découlant de cette politique de confidentialité ou en lien avec elle qui ne peut être résolu à l'amiable relève de la compétence des tribunaux compétents de notre siège à Schmiedrued, en Suisse. Cela n'affecte ni les droits impératifs en matière de protection des données ni les règles de for du pays dans lequel tu résides habituellement, ni ton droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données comme décrit à la section 8.