Politique de confidentialité
Version 7 · dernière mise à jour le 7 octobre 2026
nerdbox est conçu pour garder le moins possible. Cette page dit ce qui est traité, pourquoi, pour combien de temps et avec qui. Les durées sont celles que le service applique réellement.
Responsable du traitement
Robin Meyssonnier EI, Prades-le-Lez (Hérault, France), SIREN 828 494 062. Contact pour toute question sur vos données : [email protected].
Données traitées et durée de conservation
Le tableau ci-dessous liste chaque donnée, de son arrivée à sa suppression. Les personnes qui écrivent à une adresse nerdbox sont concernées aussi : ce qu’elles envoient est traité comme décrit ici.
| Données | Finalité | Conservation | Où |
|---|---|---|---|
| Compte chez Auth0 : email, mot de passe (haché, chez Auth0 uniquement), nom et photo d’un compte Google ou GitHub, statut de vérification, dates de connexion, adresse IP de la dernière connexion | Vous connecter | Tant que le compte existe | Okta (Auth0), région européenne |
| Compte chez nerdbox : identifiant Auth0, email, statut de vérification, dates de création, de dernière activité, de vérification de l’email, de première adresse et de premier code reçu, de première utilisation de l’extension et des notifications, version et date des conditions acceptées, langue choisie, présentation ou non de la proposition d’inscription aux emails | Rattacher vos adresses à vous | Tant que le compte existe | Notre serveur, France |
| Vos adresses : adresse, étiquette que vous lui donnez, dates de création et d’expiration | Recevoir des mails | 24 heures, 7 jours au plus si vous la prolongez, puis supprimée 1 heure après expiration ; aussitôt si vous la supprimez | Notre serveur, France |
| Mails reçus : contenu complet, pièces jointes | Vous montrer vos mails | Jusqu’à l’expiration de l’adresse, puis supprimés au plus 1 heure après ; aussitôt si vous les supprimez | Notre serveur, France |
| Abonnements aux notifications de vos appareils : l’adresse du service de notifications du navigateur pour l’appareil, ses clés de chiffrement, le réglage « Masquer le contenu », la date | Vous prévenir des nouveaux mails sur les appareils que vous avez choisis | Jusqu’à ce que vous désactiviez les notifications sur l’appareil ou vous en déconnectiez, ou que le service de notifications mette fin à l’abonnement | Notre serveur, France |
| Extension Chrome, dans votre navigateur : la clé qui la garde connectée, et le dernier code ou lien reçu par chaque adresse | Rester connecté, afficher le code dans l’extension | Jusqu’à la fermeture du navigateur ou la déconnexion de l’extension | Votre navigateur |
| Liens de partage de vos adresses : dates de création et d’expiration, et une empreinte (SHA-256) de la clé du lien ; jamais la clé elle-même | Permettre aux personnes que vous choisissez de lire une adresse | Jusqu’à l’expiration du lien ou sa révocation, et au plus tard jusqu’à l’expiration de l’adresse | Notre serveur, France |
| Détails des mails : expéditeur, destinataires, objet, 200 premiers caractères du texte, taille, noms des pièces jointes, et le code de vérification ou le lien de confirmation qu’on y trouve | La liste de vos mails, et le code prêt à copier | Jusqu’à l’expiration de l’adresse, puis supprimés au plus 1 heure après ; aussitôt si vous les supprimez | Notre serveur, France |
| Données d’identification : pour chaque action sur une adresse (création, prolongation, étiquette, partage créé ou révoqué, suppression d’une adresse ou d’un mail), sa nature, sa date, l’adresse créée, l’identifiant du compte et l’adresse IP de connexion ; pour chaque mail reçu, son identifiant interne, son adresse de réception (identifiant interne) et sa date, sans expéditeur, adresse IP ni contenu ; pour le compte, l’identifiant Auth0 et les adresses email qu’il a eues | Obligation légale des hébergeurs (décret n° 2021-1362) ; communiquées aux seules autorités qui les requièrent | 1 an à compter de chaque action ; pour le compte, jusqu’à sa clôture, puis 1 an pour l’identifiant et 5 ans pour les adresses email. Pas effacées par la suppression d’une adresse ou du compte | Notre serveur, France, dans une base à part, jamais affichée par le service |
| Sauvegardes de la base : les données de compte, détails des mails, signalements et données d’identification ci-dessus, tels qu’au moment de la sauvegarde | Se remettre d’un incident | 30 jours au plus (les 10 plus récentes) | Notre serveur, France |
| Journaux du serveur : adresse IP, page demandée, date ; adresses à la réception et à l’expiration. Jamais le contenu des mails. | Sécurité, diagnostic | 30 jours au plus | Notre serveur, France |
| File de réception : adresse destinataire, taille et identifiants de chaque mail reçu | Transmettre chaque mail à son traitement | Supprimées une fois traitées et vieilles de 24 heures ; celles des mails dont le traitement a échoué, au bout de 8 jours | Notre serveur, France |
| Registre de réception : expéditeur, destinataire, objet de chaque mail | Réception des mails (Cloudflare Email Routing) | 31 jours | Cloudflare |
| Journaux du relais : destinataire, taille, accepté ou refusé | Réception des mails | 3 jours | Cloudflare |
| Emails du compte envoyés pour Auth0 (vérification de l’adresse, nouveau mot de passe) : votre email, le message et son journal d’envoi ; leur ouverture et les clics sur leurs liens, mesurés par Brevo (une image de suivi et des liens qui passent par Brevo avant leur destination) | Vous envoyer les emails de votre compte, et savoir s’ils arrivent et sont ouverts (délivrabilité) | 30 jours | Brevo, France et Belgique |
| Consentements aux emails de nerdbox : email, liste, état (demandé, confirmé, retiré), dates, et pour chaque changement la source, la version et la langue du texte affiché et l’adresse IP de la demande | N’envoyer ces emails qu’à qui les a demandés, et le prouver (consentement) | 3 ans après le dernier contact ou le retrait ; 30 jours pour une demande jamais confirmée ; supprimés avec le compte | Notre serveur, France |
| Chez Brevo, pour les inscrits : email, langue, listes, les faits d’usage listés sous « Les emails de nerdbox », les emails envoyés, leur ouverture et les clics sur leurs liens | Envoyer les emails de nerdbox, et savoir lesquels sont lus (consentement) | Jusqu’à la désinscription, puis la preuve, 3 ans au plus ; effacé à la suppression du compte | Brevo, France et Belgique |
| Envois en attente vers n8n ou Auth0 : les événements des emails de nerdbox ci-dessus, les signalements, l’identifiant d’un compte supprimé | Les transmettre sans en perdre aucun, même quand n8n ou Auth0 est indisponible | Jusqu’à leur livraison, puis 7 jours | Notre serveur, France |
| Journaux de connexion | Sécurité de la connexion | 1 jour | Okta (Auth0) |
| Signalements : adresse signalée, nature, explication, vos nom et email si vous les donnez. Votre adresse IP n’est pas conservée. | Traiter le signalement (règlement sur les services numériques) | Jusqu’à la décision, puis 1 an | Notre serveur, France |
| Décisions de modération : mesure, motif, faits, adresse et compte concernés, signalements liés, date ; adresses bloquées | Motiver et conserver chaque décision, la montrer au compte concerné et à l’auteur du signalement (règlement sur les services numériques, art. 16 et 17) | Tant que la mesure dure, puis 1 an (1 an à compter de la décision quand elle n’impose rien) ; une adresse bloquée, tant que le blocage dure | Notre serveur, France |
| Compteurs de débit : identifiant du compte ; adresse IP sur le formulaire de signalement et sur celui des emails de nerdbox | Prévenir les abus | Une heure au plus ; un jour pour l’export des données | Notre serveur, France |
Finalités et bases légales
- Contrat (RGPD, art. 6.1.b) : votre compte, vos adresses et les mails qu’elles reçoivent, l’acceptation des conditions.
- Intérêt légitime (art. 6.1.f) : la sécurité du service (journaux, limites de débit), les sauvegardes, et le traitement des expéditeurs des mails, nécessaire pour vous montrer ce qu’ils ont envoyé.
- Consentement (art. 6.1.a) : les emails de nerdbox (nouvelles, conseils, liste d’attente de l’offre développeur), seulement si vous les avez demandés ; vous pouvez le retirer à tout moment.
- Obligation légale (art. 6.1.c) : le traitement des signalements et les décisions de modération (règlement sur les services numériques, art. 16 et 17), la conservation des données d’identification que la loi impose aux hébergeurs (loi pour la confiance dans l’économie numérique, art. 6, et décret n° 2021-1362), et les réponses aux demandes des autorités.
Aucune publicité, aucune mesure d’audience sur le site, aucune décision automatisée. Seulement si vous vous inscrivez aux emails de nerdbox, quelques faits sur votre usage du service, listés plus bas, choisissent les emails que vous recevez.
Destinataires et sous-traitants
Vos données ne sont lues que par vous, par les personnes à qui vous donnez un lien de partage d’une adresse (les mails de cette adresse seulement) et, quand le service ou un signalement l’exige, par l’éditeur. Les données d’identification ne sont communiquées qu’aux autorités judiciaires ou administratives qui les requièrent légalement ; aucun écran du service ne les affiche, pas même à l’éditeur. Vos données ne sont jamais vendues. Seulement si vous vous inscrivez aux emails de nerdbox, les données listées sous « Les emails de nerdbox » vont à Brevo, qui les envoie ; n8n, l’outil d’automatisation de l’éditeur, sur le même serveur, les lui transmet. Ces prestataires les traitent pour notre compte :
| Prestataire | Rôle | Localisation | Garanties |
|---|---|---|---|
| Hostinger International Ltd 61 Lordou Vironos str., 6023 Larnaca, Cyprus Politique de confidentialité · Accord de traitement des données | Hébergement du serveur : toutes les données ci-dessus conservées par nerdbox | Serveur en France ; société à Chypre (UE) | Accord de traitement des données |
| Cloudflare, Inc. 101 Townsend St, San Francisco, CA 94107, USA Politique de confidentialité · Accord de traitement des données | Réception des mails, tunnel, protection et diffusion du site | États-Unis, réseau mondial | Data Privacy Framework ; clauses contractuelles types ; accord de traitement des données |
| Okta, Inc. (Auth0) 100 First Street, San Francisco, CA 94105, USA Politique de confidentialité · Accord de traitement des données | Comptes et connexion (Auth0) | Région européenne d’Auth0 ; société aux États-Unis | Data Privacy Framework. [À COMPLÉTER : accord de traitement des données d’Okta, non applicable à l’offre gratuite] |
| Sendinblue SAS (Brevo) 9-17 rue Salneuve, 75017 Paris, France Politique de confidentialité · Accord de traitement des données | Envoi des emails du compte pour Auth0 (vérification, nouveau mot de passe), et des emails de nerdbox à qui les a demandés | France et Belgique ; société en France | Accord de traitement des données (annexe 3 de ses conditions) |
Les emails de nerdbox
nerdbox envoie par email ses nouvelles et des conseils, et préviendra celles et ceux qui l’ont demandé quand l’offre développeur ouvrira, seulement aux personnes qui l’ont demandé : une case non cochée dans votre espace ou après l’acceptation des conditions, ou le formulaire en bas des pages. Un email de confirmation part d’abord : sans clic sur son lien, rien d’autre n’est envoyé. Votre consentement est enregistré avec sa preuve : la version et la langue du texte que vous avez lu, la date, l’endroit où vous l’avez donné et l’adresse IP de la demande ; votre retrait aussi.
- Ce qui va à Brevo, qui envoie ces emails : votre adresse email, votre langue et les listes choisies. Pour un compte, et seulement une fois votre inscription confirmée : le jour de votre inscription, votre façon de vous connecter (email, Google, GitHub), les jours de votre première adresse et de votre premier code reçu, si vous avez utilisé l’extension Chrome et activé les notifications, et le jour de votre dernière visite. Jamais l’une de vos adresses jetables, ni rien qui vienne d’un mail : ni expéditeur, ni objet, ni contenu, ni code.
- Les ouvertures et les clics de ces emails sont mesurés par Brevo (une image de suivi, et des liens qui passent par Brevo avant leur destination), pour savoir quels emails sont lus.
- Combien de temps : 3 ans après votre dernier contact avec nerdbox, ou après votre désinscription (la preuve de la désinscription) ; une demande jamais confirmée, 30 jours. La suppression de votre compte efface le tout, chez nous comme chez Brevo.
- Désinscription à tout moment : le lien en bas de chaque email, ou l’interrupteur de votre espace. Dans les deux cas, les deux côtés le savent.
Notifications
Quand vous activez les notifications sur un appareil, chaque notification passe par le service de notifications de votre navigateur, qui la remet : Google (Chrome, et Edge sur Android), Microsoft (Edge sur ordinateur), Mozilla (Firefox) ou Apple (Safari). Ces sociétés ne sont pas nos sous-traitants : c’est votre navigateur qui les a choisies. La notification est chiffrée de notre serveur jusqu’à votre appareil ; le service de notifications ne voit ni le code, ni l’expéditeur, ni l’objet, seulement qu’une notification d’une certaine taille est envoyée à votre appareil à un certain moment. Google, Microsoft, Mozilla et Apple peuvent traiter cela aux États-Unis. Avec « Masquer le contenu », la notification elle-même dit seulement « Nouveau mail ».
Connexion avec Google ou GitHub
Si vous choisissez de vous connecter avec Google ou GitHub, cette société confirme qui vous êtes et transmet à Auth0 votre adresse email, si elle l’a vérifiée, votre nom et votre photo de profil ; nerdbox lui-même ne reçoit que votre adresse email et son statut de vérification. Google et GitHub ne sont pas nos sous-traitants : c’est vous qui les avez choisis, et leurs propres politiques s’appliquent, celle de Google et celle de GitHub. Ils peuvent traiter ces données aux États-Unis.
L’extension Chrome
L’extension est facultative. Elle n’agit que quand vous le lui demandez, par son menu sur un champ, son raccourci ou son bouton : elle lit alors le champ que vous avez visé et le nom du site, pour en faire l’étiquette de la nouvelle adresse, et rien d’autre de la page. Elle ne parle qu’à nerdbox et à la page de connexion, et ne collecte rien de votre navigation : aucun historique. nerdbox compte, dans un total journalier qui ne dit rien de qui, combien d’adresses sont créées par elle. Elle garde deux choses dans le stockage de session du navigateur, qu’aucune page web ne peut lire et qui est vidé à la fermeture du navigateur : la clé qui la garde connectée, et le dernier code reçu par chaque adresse. Se déconnecter de l’extension efface les deux et révoque la clé.
Transferts hors de l’Union européenne
Le serveur est en France. Cloudflare et Okta (Auth0) sont des sociétés américaines : des données peuvent être traitées aux États-Unis. Ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework), auquel les deux sociétés sont certifiées (décision d’adéquation de la Commission européenne du 10 juillet 2023), et, pour Cloudflare, aussi sur les clauses contractuelles types de la Commission européenne incluses dans son accord de traitement des données. Le locataire Auth0 de nerdbox est situé dans la région européenne d’Auth0.
Vos droits
Vous avez le droit d’accéder à vos données, de les faire rectifier ou effacer, d’en limiter le traitement ou de vous y opposer, et de les recevoir dans un format portable.
Vous exportez vos données (un fichier JSON, 3 fois par jour au plus) et supprimez votre compte vous-même, depuis votre espace : « Mon compte ». Pour le reste, écrivez à [email protected] depuis l’email de votre compte, ou précisez de quel compte il s’agit. Vous recevez une réponse sous un mois. Les données d’identification, conservées au titre d’une obligation légale, ne peuvent pas être effacées avant leur échéance, et ne font pas partie de l’export.
Vous pouvez aussi introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.
Sécurité
- Toutes les connexions sont chiffrées (HTTPS) ; le serveur n’ouvre aucun port vers Internet hormis son accès d’administration, tout passe par un tunnel Cloudflare.
- nerdbox ne stocke aucun mot de passe : la connexion est confiée à Auth0. Votre jeton de session reste dans la mémoire de votre navigateur.
- Les mails s’affichent dans un cadre isolé, sans scripts, et les images distantes sont bloquées par défaut : ce sont souvent des pixels de suivi.
- Le contenu des mails n’est jamais écrit dans les journaux.
Âge minimum
Le service s’adresse aux personnes de 18 ans ou plus.
Évolution
Cette politique suit le service : elle change quand il change, avec une nouvelle version et une nouvelle date en haut de page.