Coopération avec les autorités et demandes de données

1.Exploitant du service et destinataires de la présente politique

pik.li est un service d'InCloud S.r.l., société de droit italien dont le siège social est situé à Vignola (MO). S'agissant des liens courts qu'elle stocke, InCloud est un fournisseur de services intermédiaires, plus précisément d'un service d'hébergement consistant à stocker des informations, au sens du règlement (UE) 2022/2065 relatif à un marché unique des services numériques (« DSA ») ; le coordinateur pour les services numériques compétent pour l'Italie est l'Autorità per le garanzie nelle comunicazioni (AGCOM).

La présente politique s'adresse à l'autorité judiciaire, aux services de police, aux autorités administratives et de contrôle ainsi qu'aux CERT/CSIRT nationaux qui, en vertu de la loi qui leur est applicable, sont habilités à demander des informations, la conservation de données ou le retrait de contenus. L'adresse indiquée ici constitue en outre le point de contact unique pour les autorités des États membres, la Commission européenne et le comité européen des services numériques (article 11 du DSA).

Les utilisateurs de pik.li, les titulaires de droits, les avocats et les autres personnes privées ne doivent pas utiliser ce canal : pour signaler un lien malveillant, un formulaire de signalement est à disposition ; pour les questions relatives à leur compte, l'assistance clientèle. InCloud ne communique des données à caractère personnel à des personnes privées que sur décision de l'autorité judiciaire ou lorsque la loi l'impose.

2.Modalités d'envoi

Les demandes doivent être envoyées à l'adresse indiquée en tête de la présente page. Cette boîte aux lettres électronique est gérée directement par InCloud S.r.l. et consultée les jours ouvrables ; les demandes urgentes suivent la procédure décrite à la section « Demandes d'urgence ».

InCloud accuse réception de chaque demande en communiquant un numéro de dossier, à rappeler dans toute correspondance ultérieure.

Les demandes rédigées en italien ou en anglais sont acceptées ; celles rédigées dans d'autres langues sont néanmoins traitées, mais leur traduction peut allonger les délais.

3.Contenu de la demande

Pour permettre une réponse rapide et précise, la demande doit être complète et indiquer :

1. 1 L'autorité requérante : service, nom, qualité et coordonnées institutionnelles du fonctionnaire ou de l'officier responsable (numéro du standard et adresse électronique institutionnelle).
2. 2 Les références de la procédure : numéro de la procédure pénale, du dossier ou d'enregistrement et, si elle est différente, l'autorité judiciaire saisie.
3. 3 La base juridique : la disposition qui fonde la demande et, le cas échéant, la décision de l'autorité judiciaire (réquisition du ministère public ou ordonnance du juge) ou l'injonction européenne.
4. 4 Les données demandées, désignées avec précision : par exemple les données d'identification du compte, les connexions avec les adresses IP correspondantes, la liste et l'historique des liens, les clics, les paiements, les signalements ; ou bien la conservation des données ou la désactivation d'un lien.
5. 5 Les liens ou les comptes concernés : les liens courts en entier, un par ligne, exactement tels qu'ils apparaissent (par exemple https://lnkz.li/abc1234), ou l'adresse électronique ou le nom d'utilisateur du compte, la référence d'un paiement ou l'identifiant d'un clic. Aucune recherche générique par contenu ou par destination n'est possible.
6. 6 La période concernée, avec l'indication du fuseau horaire. Les journaux d'InCloud sont tenus en UTC.
7. 7 Le délai dans lequel une réponse est demandée et, le cas échéant, les motifs de l'urgence.
8. 8 Le caractère éventuellement confidentiel de la demande et la période pendant laquelle le titulaire du compte ne doit pas en être informé, avec la référence de la disposition ou de la décision qui l'ordonne.

Si la demande est incomplète, ne permet pas d'identifier l'autorité avec certitude ou n'indique pas de base juridique claire, InCloud demande les compléments nécessaires avant d'y donner suite. Dans l'intervalle, s'il existe un risque de perte des données, InCloud procède à leur conservation.

4.Vérification de l'authenticité

Avant de communiquer toute donnée, InCloud vérifie que la demande émane effectivement de l'autorité indiquée :

• elle contrôle que la demande provient d'une adresse institutionnelle ou d'une boîte PEC rattachable au service et que l'acte est signé et cohérent ;
• en cas de doute, elle contacte le service par téléphone à un numéro obtenu de manière indépendante auprès de sources officielles, jamais à celui indiqué dans le message, ou demande confirmation en écrivant à son adresse PEC publique ;
• elle peut demander la transmission de l'acte original par PEC ou la confirmation de l'autorité judiciaire saisie.

Tant que la vérification n'est pas achevée, aucune donnée n'est communiquée, mais InCloud peut conserver les données afin qu'elles ne soient pas perdues. En cas d'urgence, la vérification est menée avec la plus grande rapidité, parallèlement au traitement de la demande.

Se présenter faussement comme une autorité constitue une infraction pénale : InCloud signale aux autorités compétentes toute fausse demande reçue.

5.Données pouvant être fournies

InCloud fournit sans délai les données en sa possession au moment de la demande qui relèvent de l'objet de celle-ci. Selon les cas, il peut s'agir des données suivantes :

• Données du compte : adresse électronique, nom d'utilisateur, éventuelle adresse électronique de récupération, langue, dates d'inscription, de confirmation et de dernière activité, statut, offre, version des Conditions générales d'utilisation acceptée ; si le compte a effectué des achats, les données de facturation déclarées par le titulaire du compte (nom, adresse, pays, dénomination sociale, numéro de TVA, code fiscal, téléphone, adresse PEC).
• Connexions : les sessions ouvertes, avec l'adresse IP complète, la date de début et de dernière activité, le navigateur, le système d'exploitation et la position estimée ; le journal d'activité du compte (connexions, changements de mot de passe, activation de la validation en deux étapes, modifications) avec la date et, lorsqu'elle est enregistrée, l'adresse IP.
• Liens et campagnes : destination, titre, étiquettes (tags), paramètres UTM, domaine, dates de création et de dernier clic, historique des modifications de la destination, lot d'importation, y compris pour les liens supprimés par le titulaire du compte mais encore conservés.
• Clics sur les liens : date et heure, adresse IP complète, pays, région et ville estimés, appareil, navigateur, système d'exploitation, langue, page de provenance, user-agent et réseau d'origine (ASN) de chaque clic, dans la limite de la durée de conservation prévue par l'offre du titulaire du lien.
• Paiements et commandes : prestataire, référence de la transaction, montants, dates, factures et reçus émis, domaines achetés.
• Abus et modération : signalements reçus (avec l'adresse électronique de leur auteur, si elle a été indiquée), résultats des contrôles automatisés, décisions du personnel d'InCloud, recours du titulaire du compte, mesures prises à l'égard du compte.
• Demandes d'assistance et échanges entre le titulaire du compte et le personnel d'InCloud.

En règle générale, les données d'identification du compte sont fournies sur demande écrite et motivée de la police judiciaire ou de l'autorité judiciaire dans le cadre d'une procédure ; les adresses IP des connexions et des clics, les autres données relatives aux clics et le contenu des communications sont fournis sur décision motivée de l'autorité judiciaire, sauf en cas d'urgence.

Sauf indication contraire de l'autorité, les données sont transmises par courrier électronique ou par PEC dans un fichier structuré (CSV, JSON ou PDF), avec l'indication de la source et de l'heure d'extraction. Les fichiers peuvent être chiffrés, le mot de passe étant alors transmis par un canal distinct.

6.Données ne pouvant pas être fournies

• L'identité de la personne qui a ouvert un lien : InCloud conserve son adresse IP et les données techniques du clic, mais ni son nom ni d'autres données d'identification. Pour remonter jusqu'au titulaire de la connexion, il convient de s'adresser au fournisseur d'accès à Internet auquel l'adresse IP était attribuée.
• Le contenu des pages de destination : pik.li conserve l'adresse, non une copie du site. Pour obtenir le contenu, il convient de s'adresser à l'hébergeur de la page.
• Les données déjà supprimées à l'expiration des durées de conservation indiquées dans la Politique de confidentialité, y compris les adresses IP des clics : une fois supprimées, elles ne peuvent être récupérées, pas même à partir des copies de sauvegarde après l'expiration de celles-ci.
• Les données non traitées par InCloud : références du compte PayPal ou du portefeuille de cryptomonnaies, données des instruments de paiement, journaux de Cloudflare, données détenues par le bureau d'enregistrement ou par le fournisseur de messagerie électronique du titulaire du compte. InCloud indique volontiers à quel prestataire s'adresser.
• Interceptions ou surveillance en temps réel : InCloud n'est pas un fournisseur de services de communications électroniques. Sur injonction de l'autorité, InCloud peut toutefois conserver et fournir les données qui seront générées en relation avec un compte ou un lien déterminé.
• Les mots de passe en clair : ils ne sont conservés que sous forme de hachage irréversible.
• Une identité vérifiée : le nom et l'adresse sont déclarés par le titulaire du compte et ne sont pas vérifiés par InCloud, à l'exception du numéro de TVA, contrôlé dans le système VIES.

7.Conservation urgente des données

S'il existe un risque que les données soient perdues avant l'injonction formelle, l'autorité peut en demander la conservation : InCloud les soustrait aux procédures de suppression automatique pendant 90 jours, prolongeables sur demande motivée, et ne les communique qu'à réception d'une injonction valable.

InCloud exécute sans délai les injonctions de conservation prévues à l'article 132, alinéa 4-ter, du code italien en matière de protection des données à caractère personnel (décret législatif n° 196/2003, « Codice privacy »), pour la durée indiquée et en tout état de cause dans la limite de celle prévue par la loi, ainsi que les injonctions européennes de conservation prévues par le règlement (UE) 2023/1543 (60 jours, prolongeables de 30 jours supplémentaires). InCloud garde le secret sur l'injonction reçue et sur les opérations effectuées pendant la période indiquée par l'autorité.

La conservation porte sur les données existant au moment de la demande et, si cela est précisé, sur celles qui seront générées jusqu'à l'échéance.

8.Demandes d'urgence

En cas de danger imminent pour la vie ou l'intégrité physique d'une personne (par exemple risque de suicide, enlèvement, menace d'attentat, exploitation d'un mineur), l'objet du message doit commencer par « URGENT – DANGER TO LIFE » (urgent – danger de mort) et les premières lignes doivent décrire la situation : qui est en danger, pour quelle raison, quelles données sont nécessaires et pourquoi il n'est pas possible d'attendre une décision ordinaire.

Ces demandes sont traitées en priorité absolue. Dans les limites autorisées par la loi, InCloud peut communiquer les données strictement nécessaires pour faire face à l'urgence avant la décision formelle (article 6, paragraphe 1, point d, du RGPD) et désactiver immédiatement un lien ; l'acte formel doit suivre dès que possible. Pour les injonctions européennes de production urgentes, InCloud respecte le délai de 8 heures prévu par le règlement (UE) 2023/1543.

Lorsqu'elle a elle-même connaissance d'informations conduisant à soupçonner une infraction pénale présentant une menace pour la vie ou la sécurité des personnes, InCloud en informe de sa propre initiative les autorités compétentes (article 18 du DSA).

9.Retrait et désactivation des liens

Un lien qui enfreint les règles de pik.li est désactivé dès qu'InCloud en a connaissance, sans attendre d'injonction : la destination n'est plus accessible et la personne qui ouvre le lien voit une page expliquant sa désactivation. Toute personne peut le signaler au moyen de la page Signaler un abus ; une autorité peut en demander la désactivation à l'adresse indiquée sur cette page.

InCloud exécute les injonctions d'agir contre des contenus illicites (article 9 du DSA) et les injonctions de fournir des informations (article 10 du DSA) et informe sans retard injustifié l'autorité d'émission de la suite donnée à l'injonction, en précisant le moment où il y a été donné suite.

Sur demande, InCloud désactive le lien sans le supprimer, afin que les données restent disponibles pour les besoins de l'enquête.

10.Demandes émanant d'autorités d'autres États

• Autorités d'autres États membres de l'Union européenne : InCloud exécute les injonctions européennes de production et de conservation prévues par le règlement (UE) 2023/1543, applicable à compter du 18 août 2026, ainsi que les injonctions visées aux articles 9 et 10 du DSA. Les autres demandes doivent être transmises au moyen d'une décision d'enquête européenne (directive 2014/41/UE) ou par l'intermédiaire des autorités italiennes.
• Autorités de pays tiers : InCloud ne communique des données que par les canaux de l'entraide judiciaire (commission rogatoire internationale, traités d'entraide judiciaire – MLAT, Convention de Budapest sur la cybercriminalité) ou par l'intermédiaire des autorités italiennes compétentes, la décision d'une autorité étrangère ne suffisant pas, à elle seule, à justifier le transfert (article 48 du RGPD). InCloud peut toutefois conserver les données dans l'attente de la demande formelle, y compris sur signalement des points de contact du réseau 24/7 prévu par la Convention de Budapest.
• Dans les situations d'urgence où la vie d'une personne est en danger, InCloud examine également au cas par cas, dans les limites prévues par la loi, les demandes directes d'autorités étrangères.

11.Information du titulaire du compte

En règle générale, InCloud informe le titulaire du compte de la demande ou de l'injonction qui le concerne et de la suite qui y a été donnée, comme le prévoient les articles 9 et 10 du DSA pour les injonctions des autorités.

InCloud s'abstient de procéder à cette information, ou la diffère, lorsque la loi ou l'autorité l'interdit (par exemple pour les injonctions de conservation prévues à l'article 132, alinéa 4-ter, du Codice privacy ou pour les injonctions européennes, pour lesquelles l'information de la personne concernée incombe à l'autorité), lorsque l'autorité le demande de manière motivée afin de ne pas compromettre l'enquête ou lorsque l'information mettrait en danger la sécurité d'une personne. La demande devrait préciser la durée de l'obligation de confidentialité : à son expiration, sauf prorogation, InCloud informe le titulaire du compte.

12.Registre et transparence

InCloud enregistre chaque demande et chaque injonction : date de réception, autorité, référence, vérifications effectuées, données fournies et date de la réponse. Le registre est confidentiel et conservé dans les conditions indiquées dans la Politique de confidentialité.

InCloud est une petite entreprise et, tant qu'elle conserve cette qualité, n'est pas tenue de publier le rapport de transparence prévu par le DSA (article 15, paragraphe 2) ; elle peut toutefois en publier une synthèse à titre volontaire.

13.Avertissements

• La présente politique décrit les procédures d'InCloud : elle ne constitue pas un conseil juridique, ne confère aucun droit aux tiers et n'étend pas les obligations que la loi met à la charge d'InCloud.
• InCloud fournit exclusivement les données présentes dans ses systèmes au moment de la demande, en l'état : elle ne produit pas de données dont elle ne dispose pas et ne reconstitue pas celles qui ont été supprimées.
• InCloud ne garantit ni la véracité ni l'exhaustivité des données : les noms, adresses et coordonnées sont déclarés par les titulaires des comptes ; la position est une estimation déduite de l'adresse IP ; une adresse IP peut appartenir à un VPN, à un proxy, au réseau Tor ou à un opérateur qui la partage entre plusieurs utilisateurs ; les horaires sont ceux des serveurs d'InCloud, exprimés en UTC.
• InCloud peut refuser ou contester une demande qui paraît illégitime, disproportionnée, dépourvue de base juridique claire, invérifiable ou relative à des données qu'InCloud ne traite pas, ou demander des éclaircissements à son sujet. Aucune disposition de la présente politique n'emporte renonciation aux droits et aux voies de recours dont disposent InCloud ou les titulaires des comptes.
• InCloud n'est soumise à aucune obligation générale de surveillance des liens ni de recherche active de faits illicites (article 8 du DSA) ; les mesures qu'elle adopte volontairement ne modifient pas ce principe.
• Un courrier électronique envoyé à cette adresse ne remplace pas les formes de notification prescrites par la loi : pour les actes qui requièrent une signification ou une notification formelle, la PEC doit être utilisée.
• L'adresse est réservée aux autorités : les messages provenant d'autres expéditeurs ne reçoivent pas de réponse.
• InCloud peut mettre à jour la présente politique ; la version en vigueur est celle qui est publiée sur cette page, dont la date figure en haut de page. Seul le texte italien fait foi.