Confidentialité

Cette page décrit ce qui se passe réellement, pas le minimum légal à divulguer. Si quelque chose ici est faux, c’est un bug.

Ce qui n’est jamais conservé

• La facture que vous déposez dans le vérificateur de factures. Ce fichier est ouvert et lu à l’intérieur de votre navigateur et n’est jamais téléversé — ni vers ce serveur, ni ailleurs. Seuls les identifiants que vous confirmez à l’écran sont transmis, exactement comme si vous les aviez saisis.

• Le courriel que vous collez dans la vérification de courriel fournisseur. Lu dans votre navigateur et jamais téléversé. Deux requêtes quittent votre machine — la clé publiée du domaine expéditeur et sa date d’enregistrement — et toutes deux ne portent qu’un nom de domaine. Seul le résultat est enregistré, et seulement si vous créez un lien partageable.

• Votre IBAN en entier. La clé de contrôle est calculée en mémoire puis abandonnée. Si vous créez un lien partageable, seuls le code pays, les clés de contrôle et les quatre derniers caractères sont conservés — par exemple DE89••••••••••••••3000. La partie compte n’est écrite nulle part.

  La seule exception est une surveillance que vous demandez. Surveiller un fournisseur polonais pour un retrait de la liste blanche suppose de redemander au ministère des Finances si ce compte précis y figure, ce qui est impossible sans le numéro. Pour ces surveillances uniquement, le compte est conservé, n’est utilisé pour rien d’autre, et est supprimé dès que vous arrêtez la surveillance ou supprimez votre compte.

• Votre adresse IP. Ni dans une base de données, ni dans un journal. Le serveur web tient bien un journal d’accès — quelle page a été demandée, quel statut a été renvoyé, et quel navigateur ou robot a demandé — car sinon un moteur de recherche incapable de charger le site resterait invisible. Il est configuré pour écarter l’adresse du client avant d’écrire la ligne : le journal ne peut donc pas dire qui a fait une requête.

• Le moindre compte. Il n’y a pas d’inscription, donc rien qui puisse associer une vérification à une personne.

• Les cookies publicitaires, de traçage ou de mesure d’audience. Aucun, jamais. Le seul cookie que ce site puisse déposer est le cookie de connexion de Supplier Watch décrit ci-dessous, et il n’est déposé que si vous vous connectez.

Si vous utilisez Supplier Watch

Un compte n’existe que pour retenir ce dont vous voulez être informé. Y sont conservés votre adresse e-mail, les identifiants surveillés (pour une surveillance de liste blanche, le compte bancaire également, voir ci-dessus) et le dernier résultat de chacun, afin qu’une nouvelle vérification puisse dire ce qui a changé. Il n’y a pas de mot de passe.

L’unique cookie de ce site

La connexion dépose un seul cookie. Il contient un identifiant de session aléatoire et rien d’autre — pas d’adresse e-mail, pas de nom, rien sur ce que vous surveillez, et rien qui puisse en être extrait. Il est HttpOnly (illisible pour JavaScript), SameSite=Lax, envoyé uniquement en HTTPS, et il expire au bout de 30 jours. Vous déconnecter ou supprimer votre compte le supprime immédiatement.

Il n’y a pas de bandeau cookies, et c’est délibéré plutôt qu’un oubli. Le consentement est requis pour les cookies qui ne sont pas strictement nécessaires — publicité, traçage, mesure d’audience, tout ce qui mesure un comportement. Un cookie dont l’unique fonction est de vous maintenir connecté à un service que vous avez expressément demandé en est exempté au titre des mêmes règles, et c’est le seul cookie que ce site soit capable de déposer. Rien n’est stocké sur votre appareil tant que vous ne vous connectez pas. La mesure d’audience ici se fait sans cookies, comme décrit ci-dessous.

Les liens de connexion sont à usage unique, expirent en quinze minutes, et seul leur condensat est conservé. Supprimer votre compte supprime immédiatement tout cela — adresse, surveillances, résultats enregistrés et alertes — depuis la page elle-même.

Ce qui est conservé, et pour combien de temps

Uniquement si une vérification produit un lien partageable. Ce lien contient le résultat tel qu’affiché : le numéro de TVA et la réponse du registre, l’IBAN masqué, l’issue du contrôle des sanctions, le résultat du registre des sociétés et les enregistrements du domaine. Il est supprimé automatiquement au bout de 90 jours.

Les liens de résultat sont non répertoriés, pas secrets. Quiconque détient le lien peut le lire — c’est tout l’intérêt de pouvoir le transmettre à qui approuve le paiement. Ils sont exclus des moteurs de recherche et du sitemap, mais considérez le lien lui-même comme le contrôle d’accès.

Si vous demandez à être prévenu

Les pages de résultat proposent de vous envoyer un e-mail quand quelque chose change qui concerne ces vérifications. C’est la seule chose sur ce site qui demande quoi que ce soit vous concernant, et c’est facultatif — tout fonctionne sans.

Si vous le remplissez, ce qui est conservé est votre adresse e-mail, la date, et le type de page où se trouvait le formulaire. C’est tout l’enregistrement. Pas de nom, pas de société, et aucun lien avec la vérification que vous avez lancée — ni le fournisseur, ni le numéro de TVA, ni le lien du résultat. Les deux ne sont jamais écrits ensemble : la liste ne peut donc pas servir à savoir qui s’intéressait à quel fournisseur.

Votre adresse IP n’est pas non plus conservée avec. Certains services en gardent une comme preuve de consentement ; cela contredirait la ligne ci-dessus sur les adresses IP, donc ce n’est pas fait ici.

L’adresse sert à envoyer cette notification et à rien d’autre. Elle n’est ni vendue, ni partagée, ni utilisée pour construire un profil, et rien de ce qui est envoyé ne contient de pixel de suivi. Pour être retiré, écrivez à privacy@vetthisvendor.com — les envois comportent aussi un lien de désinscription en un clic.

Limitation du débit

Les vérifications sont limitées à 20 par heure et par adresse IP, pour éviter que l’outil serve à surcharger les registres dont il dépend. Faire respecter cela suppose de compter les requêtes par adresse : un compteur lié à votre IP existe donc en mémoire pendant une heure au maximum, puis expire. Il n’est jamais écrit sur disque et n’est pas associé à ce que vous avez vérifié.

Qui d’autre voit votre saisie

Lancer une vérification implique nécessairement de contacter des tiers :

• Numéro de TVA → le service VIES de l’UE. Il voit le numéro et l’adresse IP de ce serveur, pas la vôtre. Les numéros GB ne sont envoyés nulle part — le format et la clé de contrôle sont vérifiés localement, ce qui est un calcul et ne nécessite aucun réseau.

• Numéro de TVA, certains pays → l’administration fiscale ou le registre national, pour les pays qui publient des données exploitables : deux formes, et la différence compte :

  • Rien de votre vérification ne quitte ce serveur pour la Slovénie, l’Estonie et la Lettonie. Leurs registres sont publiés sous forme de fichiers, téléchargés ici périodiquement et consultés localement, si bien que la recherche ne les contacte jamais.
  • Une consultation en direct est effectuée auprès de la Pologne, la Roumanie, la Tchéquie, la Finlande, la France, la Grèce et la Bulgarie. Chacun voit le numéro et l’adresse IP de ce serveur, pas la vôtre.

• IBAN → personne, dans presque tous les cas. La clé de contrôle est un calcul effectué ici et n’est envoyée nulle part.

  La Pologne est l’exception, et c’est le seul cas où un numéro de compte quitte ce serveur. Le ministère des Finances polonais publie si un compte donné appartient à un contribuable donné, et la seule façon de le lui demander est de lui envoyer la paire : le numéro NIP et le numéro de compte, sous la forme nationale NRB. Cette requête porte l’adresse IP de ce serveur, pas la vôtre. Elle n’est effectuée que si vous avez fourni à la fois un numéro de TVA polonais et un compte, car c’est le seul cas où il y a une question à poser.

  C’est un changement par rapport au fonctionnement antérieur de la vérification, et la raison mérite d’être dite : la version précédente récupérait toute la liste des comptes déclarés par le fournisseur et comparait localement, ce qui envoyait moins — mais dépensait pour cela l’une des 100 requêtes quotidiennes seulement accordées par serveur, si bien qu’une cinquantaine de vérifications par jour épuisaient le quota pour tous les visiteurs. La question directe est mesurée cinquante fois plus généreusement.

  Rien du compte n’est écrit. La réponse est mise en cache pour le reste de la journée sous une clé dérivée de la paire, en mémoire plutôt que dans la table des résultats, et le numéro de compte complet n’est jamais conservé dans un résultat enregistré — voir la règle de masquage ci-dessus.

  Lorsque le registre quotidien publié par le ministère est répliqué sur ce serveur, un compte peut parfois être vérifié sans les contacter du tout. Ce fichier contient des empreintes à sens unique plutôt que des numéros de compte : la vérification est donc un calcul effectué ici. Là où il répond, le résultat le dit, car il ne porte aucun numéro de référence du ministère et parle du jour où le fichier a été publié plutôt que de cet instant.

• Nom de la société → le registre britannique tenu par Companies House pour un fournisseur britannique, ou le registre français recherche-entreprises pour un fournisseur français. Celui qui est utilisé voit le nom et l’adresse IP de ce serveur, pas la vôtre. Pour un fournisseur de tout autre pays, le nom n’est envoyé à aucun des deux, car aucun ne le couvre. Le contrôle des sanctions est distinct et n’envoie le nom nulle part : il s’exécute contre une copie de la liste de l’UE conservée sur ce serveur.

• Domaine → des requêtes DNS, résolues depuis ce serveur. Les serveurs de noms du domaine voient la requête.

• Domaine → une consultation de registre RDAP pour l’ancienneté d’enregistrement, lorsqu’elle est disponible.

Mesure d’audience

Les pages vues sont comptées avec une installation d’analyse auto-hébergée et sans cookies tournant sur la même machine. Elle enregistre le chemin visité, le site référent et un type d’appareil approximatif. Elle ne conserve pas d’adresses IP, et les visiteurs sont identifiés par un hachage rotatif côté serveur plutôt que par quelque chose de persistant. Les chaînes de requête sont supprimées avant l’enregistrement d’une vue, car elles peuvent contenir un numéro de TVA ou un domaine.

Quelques événements sont aussi enregistrés pour pouvoir savoir si l’outil fonctionne vraiment pour les gens : qu’une vérification a démarré, qu’elle s’est terminée, qu’elle a échoué, qu’un guide a été lu, qu’un résultat partagé a été ouvert. Ils ne portent que des formes — quels champs étaient remplis et quels statuts sont revenus (par exemple « valide », « service indisponible », « aucune correspondance »).

Ils ne portent jamais ce que vous avez saisi. Aucun numéro de TVA, aucun IBAN — pas même sous forme masquée —, aucun domaine, aucun nom de société. Les liens de résultat sont enregistrés comme /result sans identifiant : les données d’audience ne peuvent donc pas servir à ouvrir la vérification enregistrée de quelqu’un.

Où cela tourne

Sur un seul serveur à Helsinki, en Finlande, dans l’UE. Rien n’est sur une plateforme cloud tierce, et la base de données est sur la même machine que l’application.

Supprimer un résultat

Les résultats expirent d’eux-mêmes au bout de 90 jours. Si vous en voulez un supprimé plus tôt, envoyez le lien à privacy@vetthisvendor.com et il sera effacé. Le lien suffit — il n’y a aucun compte à identifier, et rien n’est conservé qui permettrait de retrouver votre résultat sans lui.