Legal

Politique de Confidentialite

Derniere mise a jour : 15 mars 2026 — Version 2.0

1. Philosophie

Hollow est concu selon le principe du "privacy by design". Nous collectons le strict minimum de donnees necessaires au fonctionnement du service. Votre vrai email n'est jamais transmis a un service tiers. Aucun tracking, aucune analytics tierce, aucune revente de donnees.

2. Donnees collectees

Donnee	Finalite	Retention
Email de l'utilisateur	Authentification OTP, forwarding des emails	Jusqu'a suppression du compte
Alias Hollow (@hollowapp.online)	Service principal — pas de PII	Jusqu'a suppression
Domaines des sites utilises	Historique d'usage, monitoring HIBP	Jusqu'a suppression
Nombre d'emails recus par alias	Statistiques d'usage	Jusqu'a suppression
IP et User-Agent (sessions)	Detection d'anomalies de connexion	Duree de la session (30j)
Plan et ID client Stripe	Gestion de l'abonnement	Jusqu'a suppression
Client ID et Secret OAuth (hash)	Integration OAuth pour developpeurs Pro	Jusqu'a suppression de l'app
Demandes RGPD (domaine, status)	Suivi des demandes de suppression	Jusqu'a resolution

3. Donnees NON collectees

Aucun cookie de tracking ou analytics tiers
Aucun fingerprinting navigateur
Aucun pixel de suivi dans les emails
Aucun contenu des emails rediriges — le forwarding est un transfert direct, rien n'est stocke
Aucun historique de navigation via l'extension browser
Aucun mot de passe — l'authentification est 100% OTP
Aucune donnee personnelle saisie par l'utilisateur sur les sites tiers
Aucune revente ou partage de donnees a des tiers commerciaux

4. Email forwarding

Les emails recus sur les alias @hollowapp.online sont rediriges en temps reel vers le vrai email de l'utilisateur via l'API Resend. Le contenu des emails (corps HTML/texte, pieces jointes) est transmis directement et n'est jamais stocke par Hollow. Seuls les metadonnees sont enregistrees : domaine de l'expediteur et nombre d'emails recus.

Le forwarding est bloque pour les Hollows brules ou expires, sauf pour les reponses aux demandes RGPD en cours (le domaine de l'expediteur est compare aux demandes actives).

5. Monitoring de securite (HIBP)

Hollow utilise l'API Have I Been Pwned (HIBP) pour detecter les fuites de donnees. Les verifications sont effectuees de deux manieres :

Par domaine — les domaines des sites utilises sont verifies toutes les 6 heures. Seul le nom de domaine est transmis a HIBP (pas l'alias, pas l'email).
Par alias — les alias @hollowapp.online sont verifies toutes les 24 heures via l'API HIBP. L'alias complet est transmis pour la verification (pas le vrai email).

HIBP est un service tiers opere par Troy Hunt. Consultez la politique de confidentialite de HIBP.

6. Extension browser

L'extension Hollow (Chrome/Firefox) :

Stocke un token de session dans storage.local pour maintenir la connexion
Ne collecte aucun historique de navigation
Ne communique qu'avec l'API Hollow (hollowapp.online) — aucun autre serveur
Ne peut pas acceder aux mots de passe du navigateur
Utilise les permissions minimales : activeTab et storage
La detection des champs email se fait localement dans le navigateur — aucune donnee de formulaire n'est transmise

7. OAuth "Se connecter avec Hollow"

Lorsqu'un utilisateur se connecte a un site tiers via OAuth Hollow, les seules donnees partagees avec le site sont :

Un alias email unique genere pour ce site specifique
Un token d'authentification auto-genere (le site ne connait pas le vrai email)

Le vrai email de l'utilisateur n'est jamais partage. L'utilisateur peut revoquer une connexion OAuth a tout moment depuis le dashboard.

8. Cookies

Cookie	Finalite	Duree
hollow.session_token	Maintien de la session authentifiee	30 jours
hollow_consent	Choix du consentement cookies	Indefinie

Ces cookies sont strictement essentiels au fonctionnement du service. Aucun cookie de tracking, d'analytics ou publicitaire n'est utilise. Les cookies de session sont httpOnly, Secure et SameSite=Strict.

9. Hebergement et securite

Serveur : VPS dedie OVH, localise en France (EU)
Base de donnees : PostgreSQL self-hosted, ecoute uniquement sur localhost
Chiffrement en transit : TLS 1.3 obligatoire
Chiffrement au repos : AES-256-GCM disponible pour les colonnes sensibles
Authentification : OTP uniquement, aucun mot de passe stocke
Sessions : Cookie httpOnly, Secure, SameSite=Strict
Protection IDOR : Toutes les requetes DB filtrent par userId
Rate limiting : Global (200 req/min) + par route
Security headers : HSTS, X-Frame-Options, CSP, Referrer-Policy, Permissions-Policy
Webhooks : Verification de signature (Stripe, Resend en production)
Firewall : UFW actif (ports 22/80/443 uniquement)
Intrusion : Fail2ban actif, SSH par cle uniquement
Logs : Aucune donnee personnelle (email, OTP) dans les logs serveur

10. Sous-traitants

Service	Finalite	Localisation	Donnees transmises
OVH	Hebergement serveur	France (EU)	Infrastructure uniquement
Resend	Envoi et forwarding d'emails	EU/US	Email destinataire, contenu email (transit)
Stripe	Paiements et abonnements	EU	Email, donnees de paiement
HIBP	Detection fuites de donnees	Australie	Domaines, alias email (pas le vrai email)

11. Vos droits (RGPD)

Conformement au Reglement General sur la Protection des Donnees, vous disposez des droits suivants :

Droit d'acces — Consultez toutes vos donnees depuis le dashboard (hollows, usages, alertes, connexions, demandes RGPD).
Droit de rectification — Modifiez votre email depuis les parametres.
Droit a l'effacement — Supprimez votre compte en un clic depuis les parametres. Toutes les donnees sont effacees immediatement (cascade DB). Possibilite d'envoi automatique de demandes RGPD aux sites lies.
Droit a la portabilite — Export de vos donnees disponible pour les utilisateurs Pro.
Droit d'opposition — Vous pouvez bruler un Hollow a tout moment pour cesser le traitement sur un site specifique.
Demandes RGPD automatisees — Hollow peut envoyer des demandes de suppression Article 17 aux sites en votre nom. Vous suivez les reponses depuis la page RGPD du dashboard.

Pour exercer vos droits manuellement, contactez-nous a hollowapp@icloud.com.

12. Violation de donnees

En cas de violation de donnees personnelles, Hollow s'engage a notifier la CNIL dans un delai de 72 heures conformement a l'article 33 du RGPD. Les utilisateurs affectes seront informes dans les meilleurs delais via leur adresse email.

13. Modifications

Cette politique peut etre modifiee pour refleter les evolutions du service. La date de mise a jour et le numero de version sont indiques en haut de page. Les utilisateurs seront informes des modifications significatives par email.

14. Contact

Pour toute question relative a la protection de vos donnees, contactez-nous via le formulaire de contact du dashboard ou par email a hollowapp@icloud.com.