Colshare: privacy notice
Version 0.3 · in force from 21 October 2026
In short
- Your papers stay on your phone, encrypted behind your lock. We never receive them in a form we can read: not when you keep them, not when you send them, not when someone sends them to you. A backup file, if you make one, is encrypted with your passphrase and goes only where you send it. Blacking out, the code on a safe copy and your receipts are made on the phone; the check page /v/ checks in your browser and sends nothing.
- When you send by link, the papers wait on our server encrypted, at most 7 days, and are deleted when opened. The key travels only in the link. Our server sees random identifiers, sizes and times, and the IP address of each request (counted under a keyed hash for an hour, and in our host's logs); never names or papers. What people you added send you waits sealed in your mailbox on our server until your app takes it.
- No account, no analytics, no ads, no tracking. The app sends us no statistics and no error reports.
- Google sells the subscription, downloads the scanner to your phone and may collect technical data under its own privacy policy. We see what Google Play shows a developer: orders and aggregated statistics.
This summary helps you read the notice; the full text below is what applies.
1. Who is responsible
1.1 The controller for the processing described here is DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, Romania, Trade Register no. J2026003869000, sole registration code 53369247 ("we"), which makes the app Colshare (Android application app.colshare) and runs the pages that open its links on colshare.app.
1.2 Contact for data protection: service@colshare.app. We have not appointed a data protection officer, because none of the cases in Article 37(1) of the General Data Protection Regulation (GDPR) applies to us; this address is our contact point for data protection.
1.3 This notice covers the app, its send and ask links, the pages that open them (colshare.app/p/ and colshare.app/a/), the contact-card page (colshare.app/o/), the safe-copy page (colshare.app/copie/), the check page (colshare.app/v/), the pages of the ask kits (under colshare.app/acte/) and the pages of the forms for withdrawing, cancelling and reporting (colshare.app/acte/retragere/, colshare.app/acte/reziliere/, colshare.app/acte/semnalare/). It also covers people who do not use the app but open a link, answer an ask or send a report. The program topograpp has its own privacy policy. This notice is published at colshare.app/acte/confidentialitate/; the terms of use and sale at colshare.app/acte/termeni/.
2. What stays on your phone and never reaches us
2.1 Everything you keep in the app stays on your phone: your papers (pictures and PDFs), their names and kinds, your folders, the fields read from an ID card or passport (including a personal number such as a Romanian CNP), your safe copies, blacked-out copies and receipts, the phone's signing key (section 2.4), the list of links and asks you made with their keys, and the counters of the free plan. All of it is encrypted with AES-256-GCM, with a key that only your lock opens. We have no copy and no way to open it. Kept on the phone outside the lock, in the app's private storage, are only: your language, the version of the terms you accepted, and what the background task of section 4.5 needs to fetch from your mailbox (its identifier and secret).
2.2 The lock. If you choose the fingerprint, Android checks it and tells the app only whether it matched; the app never receives your fingerprint. If you choose a PIN, it never leaves the phone.
2.3 Reading an ID card or passport happens on the phone, without internet, with a text recognition engine (Tesseract) carried inside the app. Nothing is sent anywhere.
2.4 Safe copies are made on the phone. On the web page colshare.app/copie/ the copy is made in your browser: the picture is not uploaded. A safe copy made in the app carries a QR code with a short statement (the kind of paper, who it is for, what for, the date), the phone's public key and a signature made on the phone with its private key; the copy's PDF file carries the same statement and a signature over its pictures. Whoever holds the copy can read the statement. The public key is the same on every safe copy and receipt made on that phone, and it is the key the app uses when you add people in it, so two copies signed on one phone can be linked to each other. The private key stays encrypted on the phone (and in a backup file you make); we never receive the key, the statement or the copy.
2.5 Receipts. After each send and each safe copy the app makes a receipt on the phone: for each file a small picture, its name, its size and its SHA-256 fingerprint, with when, to whom, what for and how, signed like a safe copy. The receipt is kept encrypted on the phone with your papers. The app sends it nowhere; it leaves the phone only if you send it yourself or put it in a backup file. It records what you gave, nothing about what happened afterwards.
2.6 Blacking out happens on the phone, without internet. The app reads the paper's text with the text recognition engine carried inside it (Tesseract) or, for a PDF, with PDF.js, also carried inside the app; it proposes boxes, and the copy is drawn on the phone. Nothing is sent anywhere.
2.7 The check page colshare.app/v/. A safe copy's or a receipt's code opens this page with the statement, the key and the signature in the part after #, which browsers never send to a server; the page checks the signature in your browser and fetches or sends nothing after it has loaded. A PDF file you choose there is read in your browser, not uploaded. Our server, and its hosting logs (section 5.2), only see that the page was loaded. The app checks the same codes on the phone.
2.8 The app asks Android for no permission you must grant. It holds internet access, Google Play Billing for the subscription, and the permissions Android grants without asking for the fingerprint and for the background task of section 4.5 (network state, wake lock, starting after a restart). It does not use the camera itself: scanning goes through Google's document and code scanners (section 6.2). The app excludes its data from Android's backups and from transfers to a new phone, so no copy goes to a cloud backup unless you send a backup file there yourself (section 2.9).
2.9 The backup file. In Settings › Backup the app can put into one file your papers (receipts and copies included), folders and readings, your open links and asks with their keys, the phone's signing key, "About me" and the answers kept from forms (section 2.10), the people you added with your mailbox (section 2.11), the name you give on links, and the free plan's counters; never your PIN or fingerprint. The file is encrypted on the phone with AES-256-GCM under a key derived from a passphrase you choose (at least 10 characters; PBKDF2-SHA-256, 600,000 iterations). The passphrase never leaves the phone and is not stored. The app hands the file to the phone's share menu, and you choose where it goes (for example Google Drive, e-mail, Files or another phone); the provider you choose processes it under its own terms, but cannot read it without the passphrase. The file never reaches us, and we keep nothing that could open it. Restoring happens on the phone: the papers are written under the new phone's own lock.
2.10 About me and filling in forms. What you type in "About me" (address, phone, e-mail, place of birth, occupation, employer) is kept encrypted on the phone with your papers, and in a backup file you make; it is used only when you fill in a form. While "Keep what I typed for the next forms" is ticked (it starts ticked), the app also keeps what you type into the fields it does not fill itself, each under the field's label, encrypted the same way and carried in a backup file; on a later form with the same label it offers the answer again ("From an earlier form"), and you can change it. What you type into a field asking for something "About me" holds (for example your phone) goes into "About me" when it is empty there. Tick boxes, choices, fields without a label of their own and fields asked of two people are not kept. Untick the box and nothing typed on that form is kept; a kept answer is replaced when you keep another for the same label, and Settings › Delete everything removes them all. Filling in happens on the phone, without internet: the app reads the form with PDF.js (a scan or a photo of a form also with its text recognition engine, Tesseract) and writes it with pdf-lib, all carried inside the app. Nothing is sent anywhere.
2.11 People you added are kept on the phone: their names, their public keys and what your app needs to send to them (their mailbox's identifier and a drop token), and your own key pair, all encrypted like your papers and carried in a backup file. Your own mailbox's identifier and secret are also kept outside the lock (section 2.1), so that the background task can fetch while the app is locked; they open no paper. Your contact card (the QR code or the contact link) carries your public key, your mailbox's identifier, a drop token made for that card and the name you chose, in the part after #, which browsers never send to a server; whoever has your card can add you. The safety code is computed on each phone from the two public keys.
2.12 Because this data never reaches us, we are not its controller and cannot see, correct, export or delete it for you. You can delete it at any time in the app (a paper, a folder, or Settings › Delete everything); uninstalling the app deletes it too.
3. When you send papers by link
3.1 What leaves the phone. The papers you choose are packed and encrypted on the phone (AES-256-GCM) with a new 256-bit key and uploaded to our server in pieces. The key, your name as the recipient will see it and your note travel only in the link, in the part after #, which browsers never send to a server. The names of the files, your name and your note are also inside the encrypted package.
3.2 What our server sees and keeps for each link: a random identifier; a hash of a secret that lets your phone delete the link; the number of pieces and the size of the last piece (so the size of the package); when the link was made; when it was first downloaded; and, after it was opened or deleted, a marker saying which and when (so that a second visit says "opened already" instead of "not found"). It never sees your name, your note, the recipient, the file names or the papers.
3.3 How long. The encrypted package is deleted once it has been opened (at once after the recipient's browser decrypted it, and at the latest 15 minutes after its last piece was first downloaded), when you delete the link in the app, and in any case 7 days after it was made. The "opened" or "deleted" marker is kept 7 days.
3.4 The link itself travels through the app you use to share it (a messenger, e-mail), whose provider processes it under its own terms. Whoever has the link can open the package once. The recipient's page removes the key from the browser's address bar as soon as it has read it.
4. When you ask someone for papers, or send to people you added
4.1 The ask. Your phone makes a key pair. The ask link carries the public key, what you ask for and your name, in the part after #. Our server keeps only the ask's random identifier, a hash of a secret that only your phone holds, and when it was made: for 30 days, or until you close the ask.
4.2 What the other person sends. On the page colshare.app/a/ their browser encrypts each file to your public key (ECDH on P-256 with AES-256-GCM), so that only your phone can open it. Our server keeps, for each file: a random identifier, the number of pieces, its size and the time it arrived, plus the encrypted pieces. Your app fetches them, files them on your phone and tells the server to delete them. Anything not fetched is deleted 7 days after it arrived. Closing the ask deletes it and everything waiting in it.
4.3 The name the other person may type on the page is encrypted with the files: we do not see it.
4.4 People's mailboxes. When you first use People, your phone opens a mailbox on our server. The server keeps the mailbox's random identifier, a hash of a secret that only your phone holds, a hash of the drop token of each person you added, and, for each item waiting, a random identifier, its size, the time it arrived and the hash of the token it came through, with the encrypted item. Each item is encrypted on the sender's phone to your public key: the server never sees names, papers, notes or whom a token belongs to. Your app fetches what waits, keeps it and tells the server to delete it. An item not fetched is deleted 7 days after it arrived; the mailbox is deleted 180 days after your app last fetched from it; removing or blocking a person deletes their token and whatever waits from them.
4.5 While the app is open, it fetches what waits every 30 seconds. On Android, a background task of the app also fetches about every 15 minutes when there is a network, and keeps what it fetched, still encrypted, in the app's private storage until you open the lock. The app uses no push service and shows no notification.
5. Data that every connection reveals
5.1 IP addresses. Each request to our server reveals the IP address of the phone or browser that makes it. Our server does not store it. To limit abuse, it counts requests per address for one hour, under a keyed hash (HMAC) of the address that cannot be turned back into the address without our secret key; the counters are deleted after one hour.
5.2 Hosting logs. Our hosting provider (section 9) records technical data of each request (IP address, time, address requested without the part after #, browser identification) in its logs and deletes them after the period set by our hosting plan.
5.3 We treat these identifiers, sizes and times as personal data, because together with an IP address they could relate to a person. We do not combine them with anything else, do not build profiles and cannot tell who made a link or an ask.
5.4 The encrypted papers. We cannot decrypt what passes through our server and have no means to identify the people in it. We nevertheless protect it, keep it no longer than stated here and delete it as described, as if it were personal data.
5.5 The pages colshare.app/p/, /a/, /o/, /copie/ and /v/, the ask kits' pages and the forms' pages (section 7.4) load no analytics script and set no cookies; none keeps anything in your browser, and all but the ask kits' pages send no referrer. The link pages /p/ and /a/, the contact-card page /o/, the check page /v/ and the forms' pages are not indexed by search engines; the ask kits' pages are, because they carry no personal data and are meant to be found.
6. Google
6.1 Google Play. You download the app and buy the subscription through Google Play. Google processes your Google account, payment and purchase data as an independent controller, under its own privacy policy (https://policies.google.com/privacy). The app checks your subscription with Google Play on the phone; we receive no data about you for that. When it shows the plans, the app also asks Google Play, on the phone, for the country of your Google Play account, so that it offers only the plans sold there and applies section 6.7 of the terms (the rule for a yearly plan in Germany); the country stays on the phone and none of it reaches us. In the Google Play Console we see, for each order: its number, date, product, price, status and the buyer's country.
6.2 The document scanner is a module of Google Play services, which Google downloads to the phone the first time you scan; so is the code scanner the app uses for "Scan a code". The scanning itself happens on the phone. Google Play services send Google technical data about the scanners' use and performance (such as the device model and Android version, the app's name and version, performance and error data, and device and per-installation identifiers), for diagnostics and usage statistics, not your pictures, under Google's terms and privacy policy (https://developers.google.com/ml-kit/android-data-disclosure).
6.3 Statistics and crash reports. If you allowed your phone to share usage and diagnostics data with Google, Google gives us aggregated statistics (installs, uninstalls, countries, Android versions) and reports of crashes and freezes with the device model and Android version. The app itself sends us neither.
7. When you write to us
7.1 When you write to us (support, a complaint, a withdrawal, a cancellation, a data-protection request, a report of illegal content), by e-mail or through one of the forms (section 7.4), we process your e-mail address, your name if you give it, the message and its attachments, and the order number you give us.
7.2 Please do not send us papers or ID numbers: we do not need them. If a message contains them by mistake, we delete the attachment or the message and tell you.
7.3 A report of illegal content needs only the link's identifier (the characters after #, up to the first .). Do not send the whole link: the rest is the key. The report page sends only the identifier, even if you paste the whole link. For a report about the sexual abuse or exploitation of children, your name and e-mail address are optional.
7.4 The forms. The pages for withdrawing (colshare.app/acte/retragere/), cancelling (colshare.app/acte/reziliere/) and reporting (colshare.app/acte/semnalare/) send what you type there (your name, your e-mail address, the Google Play order number, and, for a cancellation at once or a report, your reason and the link's identifier) to our server. Our server does not store it: it sends it on at once, through Resend, Inc. (section 9.3), as an e-mail to our inbox service@colshare.app, with your address as the address to reply to. It also sends your address, at once, one confirmation of receipt in our own words, with the date and time we received your message, the kind of message, the order number and, for a report, the link's identifier; it never repeats the reason you typed. To limit abuse, our server keeps for one hour counters of the messages sent, under keyed hashes of the sender's IP address and of its network (section 5.1).
8. Purposes and legal bases
| What | Why | Legal basis (GDPR) |
|---|
| People's mailboxes, tokens and items (sections 4.4, 4.5) | to deliver what you and the people you added send each other | Art. 6(1)(b), the contract with you; for the other person, Art. 6(1)(f), our legitimate interest in delivering what they sent |
| Packages, asks and their metadata (sections 3, 4) | to deliver what you send or ask for | Art. 6(1)(b), the contract with you; for a recipient or a person who answers an ask, Art. 6(1)(f), our legitimate interest in delivering what the sender or asker requested |
| IP hashes for request limits, hosting logs (sections 5, 7.4) | to keep the service running and safe | Art. 6(1)(f), our legitimate interest in a working and secure service |
| Orders from Google Play (section 6.1) | to honour the subscription, withdrawals, refunds; accounting | Art. 6(1)(b); Art. 6(1)(c), accounting and tax law |
| Aggregated statistics, crash reports (section 6.3) | to fix faults and improve the app | Art. 6(1)(f) |
| Messages (section 7) | to answer you, handle withdrawals, cancellations and complaints | Art. 6(1)(b); Art. 6(1)(c) for withdrawals and data-protection requests |
| Reports of illegal content (sections 7.3, 7.4; terms, section 10) | to handle them as the Digital Services Act requires | Art. 6(1)(c), Regulation (EU) 2022/2065 |
| Confirmations of receipt (section 7.4) | to confirm a withdrawal, a cancellation or a report at once, as the law requires | Art. 6(1)(c): consumer law (Directive 2011/83/EU art. 11a) and Regulation (EU) 2022/2065 art. 16(4) |
| Keeping records after the contract | to establish or defend legal claims | Art. 6(1)(f) |
We make no decisions about you based solely on automated processing and build no profiles.
National identification numbers. We do not process personal numbers such as the Romanian CNP in readable form. The app reads them only on your phone; the safe copy blacks them out by default, and "Black out" proposes a box over each one it recognises, already on; a package that may contain one passes through our server only encrypted, with a key we never have.
9. Who receives data
9.1 Vercel Inc. hosts our website and runs the server code of the links, in its Frankfurt (EU) region, and records the hosting logs of section 5.2.
9.2 Upstash, Inc. stores the encrypted packages, the asks, People's mailboxes, tokens and items, their metadata and the request counters, in its Frankfurt (EU) region. We have switched off the store's backups: deleted data is not kept in a backup by us.
9.3 Resend, Inc. delivers the messages sent from the forms (section 7.4) to our inbox, and the confirmations of receipt to you. Google Ireland Limited (Google Workspace) receives and stores the e-mails we exchange with you. Google is an independent controller for Google Play and Google Play services (section 6).
9.4 Our accountant and advisers (lawyers, auditors), when they need data to advise us, bound to confidentiality. Authorities, when the law obliges us; we check each request and oppose those that are unlawful or excessive.
9.5 We do not sell personal data, do not give it to advertising networks and do not use it for advertising.
10. Transfers outside the European Economic Area
Vercel Inc., Upstash, Inc. and Resend, Inc. are established in the United States; the data Vercel and Upstash store for us stays in Frankfurt, but access from the United States for support and operations is possible, Vercel's network may serve a request from a point of presence outside the EEA, and Resend stores the forms' messages and the confirmations in the United States for the short period its service keeps them. These transfers rely on the EU–US Data Privacy Framework (Commission Implementing Decision (EU) 2023/1795) where the provider is certified, and on the Standard Contractual Clauses (Implementing Decision (EU) 2021/914) in each provider's data processing agreement. Google may transfer data to Google LLC in the United States on the same grounds. A copy of the safeguards is available from service@colshare.app.
11. How long we keep data
| Data | Kept |
|---|
| An encrypted send package | until it is opened (deleted at once, at the latest 15 minutes after its last piece was first downloaded), deleted by the sender, or 7 days |
| A link's "opened" or "deleted" marker | 7 days |
| An ask (identifier, hash, date) | until it is closed, at most 30 days |
| A file sent into an ask | until the asker's app takes it, at most 7 days |
| An item in a People mailbox | until the recipient's app takes it, at most 7 days |
| A People mailbox (identifier, hashes of its secret and tokens) | 180 days after its app last fetched from it |
| Request counters (IP hashes), the forms' included | 1 hour |
| Hosting logs | the period set by our hosting plan |
| Messages and their answers | 24 months after the last message |
| Withdrawal, cancellation and refund records | 3 years after the end of the contract (limitation period) |
| Reports of illegal content and our decisions | 1 year after the decision |
| Accounting records | as Romanian accounting law requires (5 years; annual accounts 10 years) |
12. Security and breaches
12.1 Papers are encrypted on the phone before they leave it, with keys our server never receives; all traffic is encrypted in transit; access to our systems is limited to the smallest possible group; the server keeps no IP addresses and no names.
12.2 If a personal data breach is likely to result in a risk to people, we notify the Romanian supervisory authority within 24 hours of becoming aware of it where feasible, and in any case within 72 hours, and, where the risk is high, the people concerned, as far as we can reach them. Report a vulnerability to service@colshare.app.
13. Your rights
13.1 You have the right of access, rectification, erasure, restriction, portability and objection (Articles 15–21 GDPR), and to withdraw consent where we rely on it, without affecting what was done before.
13.2 Write to service@colshare.app. We answer within one month; for complex or many requests, the period can be extended by two further months, and we tell you why within the first month. Requests are free unless they are manifestly unfounded or excessive.
13.3 Without an account we cannot find you by your name. For a link or an ask, give us its identifier (the characters after #, up to the first .), and we can tell you what our server holds for it or delete it. You can delete a link yourself in the app ("Delete link now") and close an ask; your phone's data is deleted in the app.
13.4 You can complain to a supervisory authority, in particular in the EU country where you live or work. Ours is the Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP), B-dul General Gheorghe Magheru 28-30, Sector 1, 010336 Bucharest, Romania, anspdcp@dataprotection.ro, www.dataprotection.ro. In Germany you may turn to the authority of your federal state, in France to the CNIL (www.cnil.fr).
14. Children
The app is meant for adults. We do not knowingly process data of children; on our server we cannot tell who uses a link.
15. Changes to this notice
We update this notice when the app, our providers or the law change. We show the new version in the app before it applies and keep earlier versions, which we send on request to service@colshare.app.
16. Contact
DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, Romania. Data protection: service@colshare.app. Everything else: service@colshare.app.
Terms of use and sale · Questions: service@colshare.app
Colshare: nota de confidențialitate
Versiunea 0.3 · în vigoare din 21 octombrie 2026
Pe scurt
- Actele tale rămân pe telefon, criptate în spatele lacătului tău. Nu le primim niciodată într-o formă pe care să o putem citi: nici când le păstrezi, nici când le trimiți, nici când cineva ți le trimite. O copie de rezervă, dacă o faci, este criptată cu parola ta și ajunge doar unde o trimiți tu. Acoperirea, codul de pe o copie sigură și recipisele se fac pe telefon; pagina de verificare /v/ verifică în browserul tău și nu trimite nimic.
- Când trimiți prin link, actele așteaptă criptate pe serverul nostru, cel mult 7 zile, și se șterg la deschidere. Cheia călătorește doar în link. Serverul nostru vede identificatori aleatorii, mărimi și ore și adresa IP a fiecărei cereri (numărată timp de o oră sub o valoare hash cu cheie și în jurnalele găzduirii noastre); niciodată nume sau acte. Ce îți trimit oamenii adăugați așteaptă sigilat în căsuța ta de pe serverul nostru până îl ia aplicația ta.
- Fără cont, fără statistici de utilizare, fără reclame, fără urmărire. Aplicația nu ne trimite statistici și nici rapoarte de eroare.
- Google vinde abonamentul, descarcă scanerul pe telefon și poate colecta date tehnice potrivit propriei politici de confidențialitate. Noi vedem ce îi arată Google Play unui dezvoltator: comenzi și statistici agregate.
Rezumatul te ajută să citești nota; se aplică textul complet de mai jos.
1. Cine răspunde
1.1 Operatorul prelucrărilor descrise aici este DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Municipiul Sibiu, România, înregistrată la Registrul Comerțului sub nr. J2026003869000, cod unic de înregistrare 53369247 („noi”), care face aplicația Colshare (aplicația Android app.colshare) și administrează paginile care îi deschid linkurile, pe colshare.app.
1.2 Contactul pentru protecția datelor: service@colshare.app. Nu am desemnat un responsabil cu protecția datelor, deoarece nu ne aflăm în niciunul dintre cazurile de la articolul 37 alineatul (1) din Regulamentul general privind protecția datelor (RGPD); această adresă este punctul nostru de contact pentru protecția datelor.
1.3 Această notă acoperă aplicația, linkurile ei de trimitere și de cerere, paginile care le deschid (colshare.app/p/ și colshare.app/a/), pagina cărții de contact (colshare.app/o/), pagina copiei sigure (colshare.app/copie/), pagina de verificare (colshare.app/v/), paginile listelor de acte (sub colshare.app/acte/) și paginile formularelor de retragere, de reziliere și de semnalare (colshare.app/acte/retragere/, colshare.app/acte/reziliere/, colshare.app/acte/semnalare/). Acoperă și persoanele care nu folosesc aplicația, dar deschid un link, răspund la o cerere sau trimit o semnalare. Programul topograpp are propria politică de confidențialitate. Această notă este publicată la colshare.app/acte/confidentialitate/, iar termenii de utilizare și de vânzare, la colshare.app/acte/termeni/.
2. Ce rămâne pe telefon și nu ajunge niciodată la noi
2.1 Tot ce păstrezi în aplicație rămâne pe telefon: actele tale (poze și PDF-uri), numele și felul lor, dosarele, câmpurile citite dintr-un buletin sau pașaport (inclusiv un număr personal, cum este codul numeric personal), copiile sigure, copiile acoperite și recipisele, cheia de semnare a telefonului (secțiunea 2.4), lista linkurilor și cererilor făcute, cu cheile lor, și contoarele planului gratuit. Totul este criptat cu AES-256-GCM, cu o cheie pe care doar lacătul tău o deschide. Nu avem nicio copie și nicio cale de a le deschide. Pe telefon, în afara lacătului, în spațiul privat al aplicației, sunt păstrate doar: limba ta, versiunea termenilor pe care ai acceptat-o și ce îi trebuie sarcinii din fundal din secțiunea 4.5 ca să ia din căsuța ta (identificatorul și secretul ei).
2.2 Lacătul. Dacă alegi amprenta, Android o verifică și îi spune aplicației doar dacă s-a potrivit; aplicația nu primește niciodată amprenta ta. Dacă alegi un PIN, acesta nu pleacă niciodată de pe telefon.
2.3 Citirea unui buletin sau pașaport se face pe telefon, fără internet, cu un motor de recunoaștere a textului (Tesseract) aflat în aplicație. Nu se trimite nimic nicăieri.
2.4 Copiile sigure se fac pe telefon. Pe pagina web colshare.app/copie/, copia se face în browserul tău: poza nu este încărcată. O copie sigură făcută în aplicație are un cod QR cu o scurtă declarație (felul actului, pentru cine este, pentru ce, data), cheia publică a telefonului și o semnătură făcută pe telefon cu cheia lui privată; fișierul PDF al copiei are aceeași declarație și o semnătură peste pozele lui. Cine are copia poate citi declarația. Cheia publică este aceeași pe toate copiile sigure și recipisele făcute pe acel telefon și este cheia pe care aplicația o folosește când adaugi oameni în ea, așa că două copii semnate pe același telefon pot fi legate între ele. Cheia privată rămâne criptată pe telefon (și într-o copie de rezervă pe care o faci); noi nu primim niciodată cheia, declarația sau copia.
2.5 Recipisele. După fiecare trimitere și fiecare copie sigură, aplicația face pe telefon o recipisă: pentru fiecare fișier o poză mică, numele, mărimea și amprenta lui SHA-256, cu când, cui, pentru ce și cum, semnată ca o copie sigură. Recipisa este păstrată criptată pe telefon, cu actele tale. Aplicația nu o trimite nicăieri; pleacă de pe telefon doar dacă o trimiți tu sau o pui într-o copie de rezervă. Arată ce ai dat, nimic despre ce s-a întâmplat după aceea.
2.6 Acoperirea se face pe telefon, fără internet. Aplicația citește textul actului cu motorul de recunoaștere a textului aflat în ea (Tesseract) sau, pentru un PDF, cu PDF.js, aflat tot în aplicație; propune chenarele, iar copia este desenată pe telefon. Nu se trimite nimic nicăieri.
2.7 Pagina de verificare colshare.app/v/. Codul unei copii sigure sau al unei recipise deschide această pagină cu declarația, cheia și semnătura în partea de după #, pe care browserele nu o trimit niciodată unui server; pagina verifică semnătura în browserul tău și, după ce s-a încărcat, nu mai cere și nu trimite nimic. Un fișier PDF pe care îl alegi acolo este citit în browserul tău, nu este încărcat. Serverul nostru și jurnalele lui de găzduire (secțiunea 5.2) văd doar că pagina a fost încărcată. Aplicația verifică aceleași coduri pe telefon.
2.8 Aplicația nu îi cere Android-ului nicio permisiune pe care trebuie să o acorzi tu. Are accesul la internet, Google Play Billing pentru abonament și permisiunile pe care Android le acordă fără să întrebe, pentru amprentă și pentru sarcina din fundal din secțiunea 4.5 (starea rețelei, menținerea telefonului activ, pornirea după o repornire). Nu folosește ea însăși camera: scanarea trece prin scanerele de documente și de coduri ale Google (secțiunea 6.2). Aplicația își exclude datele din copiile de siguranță ale Android-ului și din mutarea pe un telefon nou, așa că nicio copie nu ajunge într-o copie de siguranță în cloud, decât dacă trimiți tu acolo o copie de rezervă (secțiunea 2.9).
2.9 Copia de rezervă. În Setări › Copie de rezervă, aplicația poate pune într-un singur fișier actele (inclusiv recipisele și copiile), dosarele și citirile tale, linkurile și cererile deschise, cu cheile lor, cheia de semnare a telefonului, „Despre mine” și răspunsurile păstrate din formulare (secțiunea 2.10), oamenii adăugați, cu căsuța ta (secțiunea 2.11), numele pe care îl dai pe linkuri și contoarele planului gratuit; niciodată PIN-ul sau amprenta ta. Fișierul este criptat pe telefon cu AES-256-GCM, cu o cheie derivată dintr-o parolă pe care o alegi tu (cel puțin 10 caractere; PBKDF2-SHA-256, 600.000 de iterații). Parola nu pleacă niciodată de pe telefon și nu este păstrată. Aplicația dă fișierul meniului de partajare al telefonului, iar tu alegi unde ajunge (de exemplu Google Drive, e-mail, Fișiere sau alt telefon); furnizorul ales de tine îl prelucrează potrivit propriilor termeni, dar nu îl poate citi fără parolă. Fișierul nu ajunge niciodată la noi și nu păstrăm nimic cu care să-l putem deschide. Restaurarea se face pe telefon: actele sunt scrise sub lacătul noului telefon.
2.10 „Despre mine” și completarea formularelor. Ce scrii în „Despre mine” (adresă, telefon, e-mail, locul nașterii, ocupație, angajator) este păstrat criptat pe telefon, cu actele tale, și într-o copie de rezervă pe care o faci; e folosit doar când completezi un formular. Cât timp „Păstrez ce am scris pentru formularele următoare” e bifat (pornește bifat), aplicația păstrează și ce scrii în câmpurile pe care nu le completează ea, fiecare după eticheta câmpului, criptat la fel și cuprins în copia de rezervă; la un formular următor cu aceeași etichetă propune iar răspunsul („Dintr-un formular de dinainte”), iar tu îl poți schimba. Ce scrii într-un câmp care cere ceva din „Despre mine” (de exemplu telefonul) ajunge în „Despre mine” dacă acolo lipsește. Nu sunt păstrate bifele, alegerile, câmpurile fără o etichetă a lor și câmpurile cerute pentru două persoane. Dacă scoți bifa, nu se păstrează nimic din ce ai scris pe acel formular; un răspuns păstrat e înlocuit când păstrezi altul pentru aceeași etichetă, iar Setări › Șterg tot le șterge pe toate. Completarea se face pe telefon, fără internet: aplicația citește formularul cu PDF.js (o scanare sau o poză a unui formular și cu motorul ei de recunoaștere a textului, Tesseract) și îl scrie cu pdf-lib, toate incluse în aplicație. Nu se trimite nimic nicăieri.
2.11 Oamenii adăugați sunt păstrați pe telefon: numele lor, cheile lor publice și ce îi trebuie aplicației ca să le trimită (identificatorul căsuței lor și un jeton de depunere), plus perechea ta de chei, toate criptate ca actele tale și incluse într-o copie de rezervă. Identificatorul și secretul căsuței tale sunt păstrate și în afara lacătului (secțiunea 2.1), ca sarcina din fundal să poată lua ce așteaptă cât timp aplicația e încuiată; ele nu deschid niciun act. Cartea ta de contact (codul QR sau linkul de contact) poartă cheia ta publică, identificatorul căsuței tale, un jeton de depunere făcut pentru acea carte și numele ales de tine, în partea de după #, pe care browserele nu o trimit niciodată unui server; cine are cartea ta te poate adăuga. Codul de siguranță se calculează pe fiecare telefon din cele două chei publice.
2.12 Pentru că aceste date nu ajung niciodată la noi, nu suntem operatorul lor și nu le putem vedea, corecta, exporta sau șterge în locul tău. Le poți șterge oricând din aplicație (un act, un dosar sau Setări › Șterg tot); dezinstalarea aplicației le șterge și ea.
3. Când trimiți acte prin link
3.1 Ce pleacă de pe telefon. Actele pe care le alegi sunt împachetate și criptate pe telefon (AES-256-GCM) cu o cheie nouă de 256 de biți și sunt încărcate pe serverul nostru în bucăți. Cheia, numele tău așa cum îl va vedea destinatarul și nota ta călătoresc doar în link, în partea de după #, pe care browserele nu o trimit niciodată unui server. Numele fișierelor, numele tău și nota sunt și în interiorul pachetului criptat.
3.2 Ce vede și ce păstrează serverul nostru pentru fiecare link: un identificator aleatoriu; o valoare hash a unui secret prin care telefonul tău poate șterge linkul; numărul de bucăți și mărimea ultimei bucăți (deci mărimea pachetului); când a fost făcut linkul; când a fost descărcat prima dată; și, după ce a fost deschis sau șters, o mențiune care spune care dintre ele și când (pentru ca a doua vizită să spună „deschis deja” în loc de „nu există”). Nu vede niciodată numele tău, nota, destinatarul, numele fișierelor sau actele.
3.3 Cât timp. Pachetul criptat este șters după ce a fost deschis (imediat după ce browserul destinatarului l-a decriptat și cel târziu la 15 minute după ce ultima lui bucată a fost descărcată prima dată), când ștergi linkul din aplicație și, în orice caz, la 7 zile după ce a fost făcut. Mențiunea „deschis” sau „șters” este păstrată 7 zile.
3.4 Linkul în sine trece prin aplicația cu care îl trimiți (o aplicație de mesagerie, e-mailul), al cărei furnizor îl prelucrează potrivit propriilor termeni. Oricine are linkul poate deschide pachetul o singură dată. Pagina destinatarului scoate cheia din bara de adrese a browserului imediat ce a citit-o.
4. Când îi ceri cuiva acte sau trimiți oamenilor adăugați
4.1 Cererea. Telefonul tău face o pereche de chei. Linkul de cerere poartă cheia publică, ce ceri și numele tău, în partea de după #. Serverul nostru păstrează doar identificatorul aleatoriu al cererii, o valoare hash a unui secret pe care îl are doar telefonul tău și data la care a fost făcută: 30 de zile sau până când închizi cererea.
4.2 Ce trimite celălalt. Pe pagina colshare.app/a/, browserul lui criptează fiecare fișier cu cheia ta publică (ECDH pe P-256 cu AES-256-GCM), astfel încât doar telefonul tău îl poate deschide. Serverul nostru păstrează, pentru fiecare fișier: un identificator aleatoriu, numărul de bucăți, mărimea și ora la care a sosit, plus bucățile criptate. Aplicația ta le preia, le pune pe telefon și îi spune serverului să le șteargă. Ce nu a fost preluat este șters la 7 zile de la sosire. Închiderea cererii o șterge pe ea și tot ce așteaptă în ea.
4.3 Numele pe care celălalt îl poate scrie pe pagină este criptat împreună cu fișierele: noi nu îl vedem.
4.4 Căsuțele oamenilor. Când folosești prima dată Oamenii, telefonul tău deschide o căsuță pe serverul nostru. Serverul păstrează identificatorul aleatoriu al căsuței, un hash al unui secret pe care îl are doar telefonul tău, un hash al jetonului de depunere al fiecărei persoane adăugate și, pentru fiecare element care așteaptă, un identificator aleatoriu, mărimea lui, ora la care a sosit și hash-ul jetonului prin care a venit, împreună cu elementul criptat. Fiecare element este criptat pe telefonul celui care trimite, cu cheia ta publică: serverul nu vede niciodată nume, acte, note sau cui îi aparține un jeton. Aplicația ta ia ce așteaptă, păstrează și îi spune serverului să șteargă. Un element nepreluat se șterge la 7 zile după ce a sosit; căsuța se șterge la 180 de zile după ce aplicația ta a luat ultima dată din ea; ștergerea sau blocarea unei persoane șterge jetonul ei și tot ce așteaptă de la ea.
4.5 Cât timp aplicația e deschisă, ia ce așteaptă la fiecare 30 de secunde. Pe Android, o sarcină a aplicației care rulează în fundal ia și ea cam la fiecare 15 minute când există rețea și păstrează ce a luat, tot criptat, în spațiul privat al aplicației până deschizi lacătul. Aplicația nu folosește niciun serviciu de notificări push și nu afișează notificări.
5. Date pe care le dezvăluie orice conexiune
5.1 Adresele IP. Fiecare cerere către serverul nostru dezvăluie adresa IP a telefonului sau a browserului care o face. Serverul nostru nu o păstrează. Ca să limiteze abuzurile, numără cererile pe adresă timp de o oră, sub o valoare hash cu cheie (HMAC) a adresei, din care adresa nu poate fi aflată fără cheia noastră secretă; contoarele se șterg după o oră.
5.2 Jurnalele de găzduire. Furnizorul nostru de găzduire (secțiunea 9) înregistrează datele tehnice ale fiecărei cereri (adresa IP, ora, adresa cerută fără partea de după #, identificarea browserului) în jurnalele sale și le șterge după perioada stabilită de planul nostru de găzduire.
5.3 Tratăm acești identificatori, aceste mărimi și ore ca date cu caracter personal, deoarece, împreună cu o adresă IP, s-ar putea referi la o persoană. Nu le combinăm cu nimic altceva, nu facem profiluri și nu putem afla cine a făcut un link sau o cerere.
5.4 Actele criptate. Nu putem decripta ce trece prin serverul nostru și nu avem mijloace de a identifica persoanele din ele. Le protejăm totuși, nu le păstrăm mai mult decât spunem aici și le ștergem cum am descris, ca și cum ar fi date cu caracter personal.
5.5 Paginile colshare.app/p/, /a/, /o/, /copie/ și /v/, paginile listelor de acte și paginile formularelor (secțiunea 7.4) nu încarcă niciun script de statistici și nu pun cookie-uri; niciuna nu păstrează nimic în browserul tău, iar toate, în afară de paginile listelor, nu trimit pagina de proveniență. Paginile linkurilor, /p/ și /a/, pagina cărții de contact /o/, pagina de verificare /v/ și paginile formularelor nu sunt indexate de motoarele de căutare; paginile listelor de acte sunt, pentru că nu conțin date personale și sunt făcute ca să fie găsite.
6. Google
6.1 Google Play. Descarci aplicația și cumperi abonamentul prin Google Play. Google prelucrează datele contului tău Google, ale plății și ale cumpărării în calitate de operator independent, potrivit propriei politici de confidențialitate (https://policies.google.com/privacy). Aplicația îți verifică abonamentul la Google Play, pe telefon; noi nu primim pentru asta nicio dată despre tine. Când îți arată planurile, aplicația îi cere Google Play, tot pe telefon, și țara contului tău Google Play, ca să îți ofere doar planurile vândute acolo și să aplice secțiunea 6.7 a termenilor (regula pentru planul anual în Germania); țara rămâne pe telefon și nimic din ea nu ajunge la noi. În Google Play Console vedem, pentru fiecare comandă: numărul, data, produsul, prețul, starea și țara cumpărătorului .
6.2 Scanerul de documente este un modul al serviciilor Google Play, pe care Google îl descarcă pe telefon la prima scanare; la fel și scanerul de coduri pe care aplicația îl folosește pentru „Scanez un cod”. Scanarea propriu-zisă se face pe telefon. Serviciile Google Play trimit Google date tehnice despre folosirea și performanța scanerelor (cum ar fi modelul telefonului și versiunea de Android, numele și versiunea aplicației, date de performanță și de eroare și identificatori ai telefonului și ai fiecărei instalări), pentru diagnosticare și statistici de utilizare, nu pozele tale, potrivit termenilor și politicii de confidențialitate Google (https://developers.google.com/ml-kit/android-data-disclosure).
6.3 Statistici și rapoarte de blocare. Dacă ai permis telefonului să trimită Google date de utilizare și diagnosticare, Google ne dă statistici agregate (instalări, dezinstalări, țări, versiuni de Android) și rapoarte despre blocările aplicației, cu modelul telefonului și versiunea de Android. Aplicația însăși nu ne trimite nici una, nici alta.
7. Când ne scrii
7.1 Când ne scrii (asistență, o reclamație, o retragere, o anulare, o cerere privind datele, o semnalare de conținut ilegal), prin e-mail sau printr-unul dintre formulare (secțiunea 7.4), prelucrăm adresa ta de e-mail, numele tău, dacă ni-l dai, mesajul cu atașamentele lui și numărul comenzii pe care ni-l dai.
7.2 Te rugăm să nu ne trimiți acte sau numere de identificare: nu avem nevoie de ele. Dacă un mesaj le conține din greșeală, ștergem atașamentul sau mesajul și îți spunem.
7.3 O semnalare de conținut ilegal are nevoie doar de identificatorul linkului (caracterele de după #, până la primul .). Nu trimite linkul întreg: restul este cheia. Pagina de semnalare trimite doar identificatorul, chiar dacă lipești linkul întreg. Pentru o semnalare privind abuzul sau exploatarea sexuală a copiilor, numele și adresa de e-mail nu sunt obligatorii.
7.4 Formularele. Paginile de retragere (colshare.app/acte/retragere/), de reziliere (colshare.app/acte/reziliere/) și de semnalare (colshare.app/acte/semnalare/) trimit ce scrii acolo (numele, adresa de e-mail, numărul comenzii Google Play și, pentru o reziliere imediată sau o semnalare, motivul și identificatorul linkului) serverului nostru. Serverul nostru nu le păstrează: le trimite mai departe pe loc, prin Resend, Inc. (secțiunea 9.3), ca e-mail în căsuța noastră service@colshare.app, cu adresa ta ca adresă de răspuns. Îi trimite și adresei tale, pe loc, o confirmare de primire cu cuvintele noastre, cu data și ora la care am primit mesajul, felul mesajului, numărul comenzii și, pentru o semnalare, identificatorul linkului; nu repetă niciodată motivul pe care l-ai scris. Ca să limiteze abuzurile, serverul nostru păstrează timp de o oră contoare ale mesajelor trimise, sub valori hash cu cheie (HMAC) ale adresei IP a expeditorului și ale rețelei ei (secțiunea 5.1).
8. Scopuri și temeiuri juridice
| Ce | De ce | Temeiul juridic (RGPD) |
|---|
| Căsuțele oamenilor, jetoanele și elementele lor (secțiunile 4.4, 4.5) | ca să livrăm ce își trimit unul altuia cei adăugați | art. 6 alin. (1) lit. b), contractul cu tine; pentru cealaltă persoană, art. 6 alin. (1) lit. f), interesul nostru legitim de a livra ce a trimis |
| Pachetele, cererile și metadatele lor (secțiunile 3, 4) | ca să livrăm ce trimiți sau ce ceri | art. 6 alin. (1) lit. b), contractul cu tine; pentru destinatar sau pentru cel care răspunde unei cereri, art. 6 alin. (1) lit. f), interesul nostru legitim de a livra ce a cerut expeditorul sau solicitantul |
| Valorile hash ale IP-urilor pentru limitarea cererilor, jurnalele de găzduire (secțiunile 5, 7.4) | ca serviciul să funcționeze și să fie sigur | art. 6 alin. (1) lit. f), interesul nostru legitim pentru un serviciu funcțional și sigur |
| Comenzile din Google Play (secțiunea 6.1) | ca să onorăm abonamentul, retragerile, rambursările; contabilitate | art. 6 alin. (1) lit. b); art. 6 alin. (1) lit. c), legislația contabilă și fiscală |
| Statisticile agregate, rapoartele de blocare (secțiunea 6.3) | ca să reparăm defectele și să îmbunătățim aplicația | art. 6 alin. (1) lit. f) |
| Mesajele (secțiunea 7) | ca să îți răspundem și să tratăm retragerile, anulările și reclamațiile | art. 6 alin. (1) lit. b); art. 6 alin. (1) lit. c) pentru retrageri și cererile privind datele |
| Semnalările de conținut ilegal (secțiunile 7.3, 7.4; termenii, secțiunea 10) | ca să le tratăm cum cere Regulamentul privind serviciile digitale | art. 6 alin. (1) lit. c), Regulamentul (UE) 2022/2065 |
| Confirmările de primire (secțiunea 7.4) | ca să confirmăm pe loc o retragere, o reziliere sau o semnalare, cum cere legea | art. 6 alin. (1) lit. c): legislația privind protecția consumatorilor (Directiva 2011/83/UE, art. 11a) și Regulamentul (UE) 2022/2065, art. 16 alin. (4) |
| Păstrarea evidențelor după contract | ca să constatăm sau să apărăm drepturi în justiție | art. 6 alin. (1) lit. f) |
Nu luăm decizii despre tine bazate exclusiv pe prelucrarea automată și nu facem profiluri.
Numerele naționale de identificare. Nu prelucrăm numere personale, cum este codul numeric personal, într-o formă lizibilă. Aplicația le citește doar pe telefonul tău; copia sigură le acoperă din oficiu, iar „Acopăr” propune un chenar peste fiecare pe care îl recunoaște, gata acoperit; un pachet care ar putea conține unul trece prin serverul nostru doar criptat, cu o cheie pe care nu o avem niciodată (Legea nr. 190/2018, art. 4).
9. Cine primește date
9.1 Vercel Inc. găzduiește site-ul nostru și rulează codul de server al linkurilor, în regiunea sa din Frankfurt (UE), și ține jurnalele de găzduire din secțiunea 5.2.
9.2 Upstash, Inc. stochează pachetele criptate, cererile, căsuțele, jetoanele și elementele Oamenilor, metadatele lor și contoarele de cereri, în regiunea sa din Frankfurt (UE). Am oprit copiile de siguranță ale bazei de date: datele șterse nu rămân la noi într-o copie de siguranță.
9.3 Resend, Inc. livrează în căsuța noastră mesajele trimise din formulare (secțiunea 7.4), iar ție, confirmările de primire. Google Ireland Limited (Google Workspace) primește și stochează e-mailurile pe care le schimbăm cu tine. Google este operator independent pentru Google Play și serviciile Google Play (secțiunea 6).
9.4 Contabilul și consultanții noștri (avocați, auditori), atunci când au nevoie de date ca să ne consilieze, obligați la confidențialitate. Autoritățile, atunci când legea ne obligă; verificăm fiecare cerere și ne opunem celor nelegale sau excesive.
9.5 Nu vindem date cu caracter personal, nu le dăm rețelelor de publicitate și nu le folosim pentru publicitate.
10. Transferuri în afara Spațiului Economic European
Vercel Inc., Upstash, Inc. și Resend, Inc. sunt stabilite în Statele Unite; datele pe care Vercel și Upstash le stochează pentru noi rămân în Frankfurt, dar este posibil accesul din Statele Unite pentru asistență și operare, rețeaua Vercel poate servi o cerere dintr-un punct de prezență din afara SEE, iar Resend stochează mesajele formularelor și confirmările în Statele Unite pentru scurta perioadă în care serviciul său le păstrează. Aceste transferuri se bazează pe Cadrul UE-SUA pentru protecția datelor (Decizia de punere în aplicare (UE) 2023/1795 a Comisiei), acolo unde furnizorul este certificat, și pe clauzele contractuale standard (Decizia de punere în aplicare (UE) 2021/914) din acordul de prelucrare a datelor al fiecărui furnizor. Google poate transfera date către Google LLC, în Statele Unite, în aceleași temeiuri. O copie a garanțiilor se obține de la service@colshare.app.
11. Cât timp păstrăm datele
| Date | Păstrate |
|---|
| Un pachet criptat trimis prin link | până la deschidere (șters imediat, cel târziu la 15 minute după ce ultima lui bucată a fost descărcată prima dată), până când îl șterge expeditorul sau 7 zile |
| Mențiunea „deschis” sau „șters” a unui link | 7 zile |
| O cerere (identificator, valoare hash, dată) | până la închidere, cel mult 30 de zile |
| Un fișier trimis într-o cerere | până când aplicația solicitantului îl preia, cel mult 7 zile |
| Un element dintr-o căsuță a Oamenilor | până când aplicația destinatarului îl preia, cel mult 7 zile |
| O căsuță a Oamenilor (identificator, hash-urile secretului și ale jetoanelor) | 180 de zile după ce aplicația ei a luat ultima dată din ea |
| Contoarele de cereri (valori hash ale IP-urilor), inclusiv ale formularelor | o oră |
| Jurnalele de găzduire | perioada stabilită de planul nostru de găzduire |
| Mesajele și răspunsurile la ele | 24 de luni de la ultimul mesaj |
| Evidențele retragerilor, anulărilor și rambursărilor | 3 ani de la încetarea contractului (termenul de prescripție) |
| Semnalările de conținut ilegal și deciziile noastre | 1 an de la decizie |
| Evidențele contabile | cât cere legislația contabilă română (5 ani; situațiile financiare anuale 10 ani) |
12. Securitate și încălcări ale securității datelor
12.1 Actele sunt criptate pe telefon înainte să plece de pe el, cu chei pe care serverul nostru nu le primește niciodată; tot traficul este criptat în tranzit; accesul la sistemele noastre este limitat la cel mai mic grup posibil; serverul nu păstrează adrese IP și nici nume.
12.2 Dacă o încălcare a securității datelor cu caracter personal poate genera un risc pentru persoane, o notificăm Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal în 24 de ore de când am aflat de ea, acolo unde este posibil, și în orice caz în 72 de ore, iar, dacă riscul este ridicat, persoanelor afectate, în măsura în care putem da de ele. Semnalează o vulnerabilitate la service@colshare.app.
13. Drepturile tale
13.1 Ai dreptul de acces, la rectificare, la ștergere, la restricționarea prelucrării, la portabilitate și la opoziție (articolele 15–21 din RGPD) și dreptul de a-ți retrage consimțământul, acolo unde ne bazăm pe el, fără a afecta ce s-a făcut înainte.
13.2 Scrie-ne la service@colshare.app. Răspundem în cel mult o lună; pentru cereri complexe sau numeroase, termenul se poate prelungi cu încă două luni, iar noi îți spunem de ce în prima lună. Cererile sunt gratuite, cu excepția celor vădit nefondate sau excesive.
13.3 Fără un cont nu te putem găsi după nume. Pentru un link sau o cerere, dă-ne identificatorul lor (caracterele de după #, până la primul .) și îți putem spune ce păstrează serverul nostru pentru ele sau le putem șterge. Poți șterge singur un link din aplicație („Șterg linkul acum”) și poți închide o cerere; datele de pe telefon le ștergi din aplicație.
13.4 Poți depune o plângere la o autoritate de supraveghere, în special în țara din UE în care locuiești sau lucrezi. Autoritatea noastră este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul General Gheorghe Magheru nr. 28-30, Sector 1, 010336 București, România, anspdcp@dataprotection.ro, www.dataprotection.ro. În Germania te poți adresa autorității landului tău, în Franța CNIL (www.cnil.fr).
14. Copiii
Aplicația este făcută pentru adulți. Nu prelucrăm cu bună știință date ale copiilor; pe serverul nostru nu putem ști cine folosește un link.
15. Schimbarea acestei note
Actualizăm această notă când se schimbă aplicația, furnizorii noștri sau legea. Îți arătăm noua versiune în aplicație înainte să se aplice și păstrăm versiunile anterioare, pe care le trimitem la cerere, la service@colshare.app.
16. Contact
DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, România. Protecția datelor: service@colshare.app. Orice altceva: service@colshare.app.
Termenii de utilizare și vânzare · Întrebări: service@colshare.app
Colshare: Datenschutzerklärung
Version 0.3 · gültig ab 21. Oktober 2026
Kurz gesagt
- Ihre Unterlagen bleiben auf Ihrem Handy, verschlüsselt hinter Ihrer Sperre. Wir erhalten sie nie in lesbarer Form: nicht, wenn Sie sie aufbewahren, nicht, wenn Sie sie senden, und nicht, wenn jemand sie Ihnen sendet. Eine Sicherungsdatei, wenn Sie eine erstellen, ist mit Ihrem Passwort verschlüsselt und gelangt nur dorthin, wohin Sie sie senden. Das Schwärzen, der Code auf einer sicheren Kopie und Ihre Belege entstehen auf dem Handy; die Prüfseite /v/ prüft in Ihrem Browser und sendet nichts.
- Wenn Sie per Link senden, warten die Unterlagen verschlüsselt auf unserem Server, höchstens 7 Tage, und werden beim Öffnen gelöscht. Der Schlüssel steht nur im Link. Unser Server sieht zufällige Kennungen, Größen und Zeiten und die IP-Adresse jeder Anfrage (eine Stunde lang unter einem verschlüsselten Hash gezählt und in den Protokollen unseres Hosters); nie Namen oder Unterlagen. Was Ihnen hinzugefügte Personen senden, wartet versiegelt in Ihrem Postfach auf unserem Server, bis Ihre App es abholt.
- Kein Konto, keine Nutzungsstatistik, keine Werbung, kein Tracking. Die App sendet uns weder Statistiken noch Fehlerberichte.
- Google verkauft das Abo, lädt den Scanner auf Ihr Handy und kann nach seiner eigenen Datenschutzerklärung technische Daten erheben. Wir sehen, was Google Play einem Entwickler zeigt: Bestellungen und zusammengefasste Statistiken.
Diese Zusammenfassung hilft beim Lesen; es gilt der vollständige Text unten.
1. Verantwortlicher
1.1 Verantwortlicher für die hier beschriebene Verarbeitung ist die DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, Rumänien, Handelsregister Nr. J2026003869000, eindeutige Registriernummer 53369247 („wir“), die die App Colshare (Android-App app.colshare) anbietet und die Seiten betreibt, die ihre Links auf colshare.app öffnen.
1.2 Kontakt für den Datenschutz: service@colshare.app. Wir haben keinen Datenschutzbeauftragten benannt, weil keiner der Fälle des Artikels 37 Absatz 1 der Datenschutz-Grundverordnung (DSGVO) auf uns zutrifft; diese Adresse ist unsere Anlaufstelle für den Datenschutz.
1.3 Diese Erklärung gilt für die App, ihre Sende- und Anforderungs-Links, die Seiten, die sie öffnen (colshare.app/p/ und colshare.app/a/), die Seite der Kontaktkarte (colshare.app/o/), die Seite für sichere Kopien (colshare.app/copie/), die Prüfseite (colshare.app/v/), die Seiten der Unterlagenlisten (unter colshare.app/acte/) und die Seiten der Formulare für Widerruf, Kündigung und Meldung (colshare.app/acte/retragere/, colshare.app/acte/reziliere/, colshare.app/acte/semnalare/). Sie gilt auch für Menschen, die die App nicht nutzen, aber einen Link öffnen, auf eine Anforderung antworten oder eine Meldung senden. Das Programm topograpp hat eine eigene Datenschutzerklärung. Diese Erklärung ist unter colshare.app/acte/confidentialitate/ veröffentlicht, die Nutzungs- und Verkaufsbedingungen unter colshare.app/acte/termeni/.
2. Was auf Ihrem Handy bleibt und uns nie erreicht
2.1 Alles, was Sie in der App aufbewahren, bleibt auf Ihrem Handy: Ihre Unterlagen (Bilder und PDFs), ihre Namen und Arten, Ihre Ordner, die aus einem Ausweis oder Reisepass gelesenen Felder (einschließlich einer persönlichen Nummer wie der rumänischen CNP), Ihre sicheren Kopien, geschwärzten Kopien und Belege, den Signaturschlüssel des Handys (Abschnitt 2.4), die Liste Ihrer Links und Anforderungen mit ihren Schlüsseln und die Zähler des kostenlosen Plans. All das ist mit AES-256-GCM verschlüsselt, mit einem Schlüssel, den nur Ihre Sperre öffnet. Wir haben keine Kopie und keine Möglichkeit, es zu öffnen. Außerhalb der Sperre, im privaten Speicher der App, liegen auf dem Handy nur: Ihre Sprache, die Fassung der Bedingungen, die Sie akzeptiert haben, und was die Hintergrundaufgabe aus Abschnitt 4.5 braucht, um aus Ihrem Postfach abzuholen (dessen Kennung und Geheimnis).
2.2 Die Sperre. Wählen Sie den Fingerabdruck, prüft Android ihn und teilt der App nur mit, ob er gepasst hat; die App erhält Ihren Fingerabdruck nie. Wählen Sie eine PIN, verlässt sie das Handy nie.
2.3 Das Auslesen eines Ausweises oder Reisepasses geschieht auf dem Handy, ohne Internet, mit einer Texterkennung (Tesseract), die in der App enthalten ist. Es wird nichts irgendwohin gesendet.
2.4 Sichere Kopien werden auf dem Handy erstellt. Auf der Webseite colshare.app/copie/ wird die Kopie in Ihrem Browser erstellt: Das Bild wird nicht hochgeladen. Eine in der App erstellte sichere Kopie trägt einen QR-Code mit einer kurzen Erklärung (Art der Unterlage, für wen, wofür, Datum), dem öffentlichen Schlüssel des Handys und einer Signatur, die auf dem Handy mit seinem privaten Schlüssel erstellt wird; die PDF-Datei der Kopie trägt dieselbe Erklärung und eine Signatur über ihre Bilder. Wer die Kopie hat, kann die Erklärung lesen. Der öffentliche Schlüssel ist auf allen sicheren Kopien und Belegen dieses Handys derselbe, und es ist der Schlüssel, den die App verwendet, wenn Sie darin Personen hinzufügen; zwei auf demselben Handy signierte Kopien lassen sich also einander zuordnen. Der private Schlüssel bleibt verschlüsselt auf dem Handy (und in einer Sicherungsdatei, die Sie erstellen); wir erhalten nie den Schlüssel, die Erklärung oder die Kopie.
2.5 Belege. Nach jedem Senden und jeder sicheren Kopie erstellt die App auf dem Handy einen Beleg: für jede Datei ein kleines Bild, ihr Name, ihre Größe und ihr SHA-256-Fingerabdruck, dazu wann, wem, wofür und wie, signiert wie eine sichere Kopie. Der Beleg wird verschlüsselt auf dem Handy bei Ihren Unterlagen aufbewahrt. Die App sendet ihn nirgendwohin; er verlässt das Handy nur, wenn Sie ihn selbst senden oder in eine Sicherungsdatei aufnehmen. Er hält fest, was Sie gegeben haben, nichts darüber, was danach geschah.
2.6 Das Schwärzen geschieht auf dem Handy, ohne Internet. Die App liest den Text der Unterlage mit der in ihr enthaltenen Texterkennung (Tesseract) oder, bei einem PDF, mit PDF.js, das ebenfalls in der App enthalten ist; sie schlägt Rahmen vor, und die Kopie wird auf dem Handy gezeichnet. Es wird nichts irgendwohin gesendet.
2.7 Die Prüfseite colshare.app/v/. Der Code einer sicheren Kopie oder eines Belegs öffnet diese Seite mit der Erklärung, dem Schlüssel und der Signatur im Teil nach #, den Browser nie an einen Server senden; die Seite prüft die Signatur in Ihrem Browser und lädt oder sendet nach dem Laden nichts mehr. Eine PDF-Datei, die Sie dort auswählen, wird in Ihrem Browser gelesen, nicht hochgeladen. Unser Server und seine Hosting-Protokolle (Abschnitt 5.2) sehen nur, dass die Seite geladen wurde. Die App prüft dieselben Codes auf dem Handy.
2.8 Die App bittet Android um keine Berechtigung, die Sie erteilen müssen. Sie hat den Internetzugang, Google Play Billing für das Abo und die Berechtigungen, die Android ohne Nachfrage erteilt, für den Fingerabdruck und für die Hintergrundaufgabe aus Abschnitt 4.5 (Netzwerkstatus, Aktivhalten des Geräts, Start nach einem Neustart). Sie nutzt die Kamera nicht selbst: Das Scannen läuft über den Dokumenten- und den Code-Scanner von Google (Abschnitt 6.2). Die App nimmt ihre Daten von den Android-Sicherungen und von der Übertragung auf ein neues Handy aus; keine Kopie gelangt in eine Cloud-Sicherung, außer Sie senden selbst eine Sicherungsdatei dorthin (Abschnitt 2.9).
2.9 Die Sicherungsdatei. Unter Einstellungen › Sicherung kann die App Ihre Unterlagen (Belege und Kopien eingeschlossen), Ordner und gelesenen Ausweisdaten, Ihre offenen Links und Anforderungen mit ihren Schlüsseln, den Signaturschlüssel des Handys, „Über mich“ und die aus Formularen behaltenen Antworten (Abschnitt 2.10), die hinzugefügten Personen samt Ihrem Postfach (Abschnitt 2.11), den Namen, den Sie auf Links angeben, sowie die Zähler des kostenlosen Plans in eine einzige Datei legen; nie Ihre PIN oder Ihren Fingerabdruck. Die Datei wird auf dem Handy mit AES-256-GCM verschlüsselt, mit einem Schlüssel, der aus einem von Ihnen gewählten Passwort abgeleitet wird (mindestens 10 Zeichen; PBKDF2-SHA-256 mit 600.000 Iterationen). Das Passwort verlässt das Handy nie und wird nicht gespeichert. Die App übergibt die Datei an das Teilen-Menü des Handys, und Sie wählen, wohin sie geht (zum Beispiel Google Drive, E-Mail, Dateien oder ein anderes Handy); der gewählte Anbieter verarbeitet sie nach seinen eigenen Bedingungen, kann sie aber ohne das Passwort nicht lesen. Die Datei erreicht uns nie, und wir bewahren nichts auf, womit sie sich öffnen ließe. Die Wiederherstellung geschieht auf dem Handy: Die Unterlagen werden unter der Sperre des neuen Handys gespeichert.
2.10 „Über mich“ und das Ausfüllen von Formularen. Was Sie unter „Über mich“ eintragen (Anschrift, Telefon, E-Mail, Geburtsort, Beruf, Arbeitgeber), wird verschlüsselt bei Ihren Unterlagen auf dem Handy aufbewahrt und in einer Sicherungsdatei, die Sie erstellen; es wird nur verwendet, wenn Sie ein Formular ausfüllen. Solange „Was ich eingegeben habe, für die nächsten Formulare behalten“ angekreuzt ist (am Anfang ist es angekreuzt), behält die App auch, was Sie in die Felder eintragen, die sie nicht selbst ausfüllt, jeweils unter der Beschriftung des Feldes, ebenso verschlüsselt und in der Sicherungsdatei enthalten; bei einem späteren Formular mit derselben Beschriftung schlägt sie die Antwort wieder vor („Aus einem früheren Formular“), und Sie können sie ändern. Was Sie in ein Feld eintragen, das nach etwas aus „Über mich“ fragt (zum Beispiel Ihre Telefonnummer), kommt in „Über mich“, wenn es dort fehlt. Nicht behalten werden Kästchen zum Ankreuzen, Auswahlen, Felder ohne eigene Beschriftung und Felder, die nach zwei Personen fragen. Entfernen Sie das Kreuz, wird von diesem Formular nichts Eingetragenes behalten; eine behaltene Antwort wird ersetzt, wenn Sie für dieselbe Beschriftung eine andere behalten, und Einstellungen › Alles löschen entfernt alle. Das Ausfüllen geschieht auf dem Handy, ohne Internet: Die App liest das Formular mit PDF.js (einen Scan oder ein Foto eines Formulars auch mit ihrer Texterkennung, Tesseract) und schreibt es mit pdf-lib, alles in der App enthalten. Es wird nichts gesendet.
2.11 Hinzugefügte Personen werden auf dem Handy aufbewahrt: ihre Namen, ihre öffentlichen Schlüssel und was Ihre App braucht, um ihnen zu senden (die Kennung ihres Postfachs und ein Einwurf-Token), dazu Ihr eigenes Schlüsselpaar, alles verschlüsselt wie Ihre Unterlagen und in einer Sicherungsdatei enthalten. Kennung und Geheimnis Ihres eigenen Postfachs liegen außerdem außerhalb der Sperre (Abschnitt 2.1), damit die Hintergrundaufgabe abholen kann, während die App gesperrt ist; sie öffnen keine Unterlage. Ihre Kontaktkarte (der QR-Code oder der Kontaktlink) enthält Ihren öffentlichen Schlüssel, die Kennung Ihres Postfachs, ein für diese Karte erstelltes Einwurf-Token und den von Ihnen gewählten Namen, im Teil nach #, den Browser nie an einen Server senden; wer Ihre Karte hat, kann Sie hinzufügen. Der Sicherheitscode wird auf jedem Handy aus den beiden öffentlichen Schlüsseln berechnet.
2.12 Da diese Daten uns nie erreichen, sind wir für sie nicht verantwortlich und können sie für Sie weder einsehen noch berichtigen, exportieren oder löschen. Sie können sie jederzeit in der App löschen (eine Unterlage, einen Ordner oder Einstellungen › Alles löschen); auch die Deinstallation der App löscht sie.
3. Wenn Sie Unterlagen per Link senden
3.1 Was das Handy verlässt. Die gewählten Unterlagen werden auf dem Handy gepackt und verschlüsselt (AES-256-GCM), mit einem neuen 256-Bit-Schlüssel, und in Teilen auf unseren Server geladen. Der Schlüssel, Ihr Name, wie der Empfänger ihn sehen wird, und Ihre Notiz stehen nur im Link, im Teil nach #, den Browser nie an einen Server senden. Die Dateinamen, Ihr Name und Ihre Notiz stehen außerdem im verschlüsselten Paket.
3.2 Was unser Server sieht und speichert, je Link: eine zufällige Kennung; einen Hash eines Geheimnisses, mit dem Ihr Handy den Link löschen kann; die Zahl der Teile und die Größe des letzten Teils (also die Größe des Pakets); wann der Link erstellt wurde; wann er zuerst heruntergeladen wurde; und, nachdem er geöffnet oder gelöscht wurde, einen Vermerk, welches von beidem und wann (damit ein zweiter Besuch „bereits geöffnet“ statt „nicht gefunden“ anzeigt). Er sieht nie Ihren Namen, Ihre Notiz, den Empfänger, die Dateinamen oder die Unterlagen.
3.3 Wie lange. Das verschlüsselte Paket wird gelöscht, sobald es geöffnet wurde (sofort, nachdem der Browser des Empfängers es entschlüsselt hat, spätestens 15 Minuten nachdem sein letzter Teil zum ersten Mal heruntergeladen wurde), wenn Sie den Link in der App löschen, und in jedem Fall 7 Tage nach seiner Erstellung. Der Vermerk „geöffnet“ oder „gelöscht“ wird 7 Tage gespeichert.
3.4 Der Link selbst läuft über die App, mit der Sie ihn teilen (einen Messenger, E-Mail), deren Anbieter ihn nach seinen eigenen Bedingungen verarbeitet. Wer den Link hat, kann das Paket einmal öffnen. Die Seite des Empfängers entfernt den Schlüssel aus der Adressleiste des Browsers, sobald sie ihn gelesen hat.
4. Wenn Sie Unterlagen anfordern oder an hinzugefügte Personen senden
4.1 Die Anforderung. Ihr Handy erzeugt ein Schlüsselpaar. Der Anforderungs-Link enthält im Teil nach # den öffentlichen Schlüssel, was Sie anfordern, und Ihren Namen. Unser Server speichert nur die zufällige Kennung der Anforderung, einen Hash eines Geheimnisses, das nur Ihr Handy hat, und wann sie erstellt wurde: 30 Tage oder bis Sie die Anforderung schließen.
4.2 Was die andere Person sendet. Auf der Seite colshare.app/a/ verschlüsselt ihr Browser jede Datei mit Ihrem öffentlichen Schlüssel (ECDH auf P-256 mit AES-256-GCM), sodass nur Ihr Handy sie öffnen kann. Unser Server speichert je Datei: eine zufällige Kennung, die Zahl der Teile, ihre Größe und den Eingangszeitpunkt, dazu die verschlüsselten Teile. Ihre App holt sie ab, legt sie auf Ihrem Handy ab und lässt sie auf dem Server löschen. Was nicht abgeholt wird, wird 7 Tage nach Eingang gelöscht. Das Schließen der Anforderung löscht sie und alles, was in ihr wartet.
4.3 Den Namen, den die andere Person auf der Seite eingeben kann, verschlüsselt ihr Browser zusammen mit den Dateien: Wir sehen ihn nicht.
4.4 Postfächer der Personen. Wenn Sie „Personen“ zum ersten Mal nutzen, eröffnet Ihr Handy ein Postfach auf unserem Server. Der Server speichert die zufällige Kennung des Postfachs, einen Hash eines Geheimnisses, das nur Ihr Handy hat, einen Hash des Einwurf-Tokens jeder hinzugefügten Person und, für jedes wartende Element, eine zufällige Kennung, seine Größe, die Zeit seines Eingangs und den Hash des Tokens, über das es kam, mit dem verschlüsselten Element. Jedes Element wird auf dem Handy des Absenders mit Ihrem öffentlichen Schlüssel verschlüsselt: Der Server sieht nie Namen, Unterlagen, Notizen oder wem ein Token gehört. Ihre App holt ab, was wartet, bewahrt es auf und lässt es auf dem Server löschen. Ein nicht abgeholtes Element wird 7 Tage nach seinem Eingang gelöscht; das Postfach wird 180 Tage nach dem letzten Abholen durch Ihre App gelöscht; das Entfernen oder Blockieren einer Person löscht ihr Token und alles, was von ihr wartet.
4.5 Solange die App geöffnet ist, holt sie alle 30 Sekunden ab, was wartet. Unter Android holt außerdem eine Hintergrundaufgabe der App etwa alle 15 Minuten ab, wenn ein Netz da ist, und bewahrt das Abgeholte weiter verschlüsselt im privaten Speicher der App auf, bis Sie die Sperre öffnen. Die App nutzt keinen Push-Dienst und zeigt keine Benachrichtigung.
5. Daten, die jede Verbindung preisgibt
5.1 IP-Adressen. Jede Anfrage an unseren Server gibt die IP-Adresse des Handys oder Browsers preis, der sie stellt. Unser Server speichert sie nicht. Um Missbrauch zu begrenzen, zählt er eine Stunde lang die Anfragen je Adresse, unter einem verschlüsselten Hash (HMAC) der Adresse, aus dem sich die Adresse ohne unseren geheimen Schlüssel nicht ermitteln lässt; die Zähler werden nach einer Stunde gelöscht.
5.2 Protokolle des Hosters. Unser Hosting-Anbieter (Abschnitt 9) erfasst technische Daten jeder Anfrage (IP-Adresse, Zeit, aufgerufene Adresse ohne den Teil nach #, Browserkennung) in seinen Protokollen und löscht sie nach der in unserem Hosting-Tarif festgelegten Frist.
5.3 Wir behandeln diese Kennungen, Größen und Zeiten als personenbezogene Daten, weil sie sich zusammen mit einer IP-Adresse auf eine Person beziehen könnten. Wir verknüpfen sie mit nichts anderem, bilden keine Profile und können nicht feststellen, wer einen Link oder eine Anforderung erstellt hat.
5.4 Die verschlüsselten Unterlagen. Wir können nicht entschlüsseln, was über unseren Server läuft, und haben keine Mittel, die Personen darin zu identifizieren. Wir schützen es dennoch, speichern es nicht länger als hier angegeben und löschen es wie beschrieben, als wären es personenbezogene Daten.
5.5 Die Seiten colshare.app/p/, /a/, /o/, /copie/ und /v/, die Seiten der Unterlagenlisten und die Seiten der Formulare (Abschnitt 7.4) laden kein Statistik-Skript und setzen keine Cookies; keine speichert etwas in Ihrem Browser, und alle außer den Seiten der Unterlagenlisten senden keinen Referrer. Die Link-Seiten /p/ und /a/, die Seite der Kontaktkarte /o/, die Prüfseite /v/ und die Seiten der Formulare werden von Suchmaschinen nicht indexiert; die Seiten der Unterlagenlisten schon, weil sie keine personenbezogenen Daten enthalten und gefunden werden sollen.
6. Google
6.1 Google Play. Sie laden die App über Google Play herunter und kaufen dort das Abo. Google verarbeitet Ihre Google-Konto-, Zahlungs- und Kaufdaten als eigener Verantwortlicher nach seiner Datenschutzerklärung (https://policies.google.com/privacy). Die App prüft Ihr Abo auf dem Handy bei Google Play; wir erhalten dafür keine Daten über Sie. Wenn sie die Pläne zeigt, fragt die App Google Play, ebenfalls auf dem Handy, nach dem Land Ihres Google Play-Kontos, um nur die dort verkauften Pläne anzubieten und Abschnitt 6.7 der Bedingungen anzuwenden (die Regel für ein Jahresabo in Deutschland); das Land bleibt auf dem Handy, und nichts davon erreicht uns. In der Google Play Console sehen wir je Bestellung: Nummer, Datum, Produkt, Preis, Status und das Land des Käufers.
6.2 Der Dokumentenscanner ist ein Modul der Google Play-Dienste, das Google beim ersten Scannen auf das Handy lädt; ebenso der Code-Scanner, den die App für „Code scannen“ nutzt. Das Scannen selbst geschieht auf dem Handy. Die Google Play-Dienste senden Google technische Daten über Nutzung und Leistung der Scanner (etwa Gerätemodell und Android-Version, Name und Version der App, Leistungs- und Fehlerdaten sowie Geräte- und installationsbezogene Kennungen), für Diagnose und Nutzungsstatistiken, nicht Ihre Bilder, nach den Bedingungen und der Datenschutzerklärung von Google (https://developers.google.com/ml-kit/android-data-disclosure).
6.3 Statistiken und Absturzberichte. Wenn Sie Ihrem Handy erlaubt haben, Nutzungs- und Diagnosedaten mit Google zu teilen, gibt Google uns zusammengefasste Statistiken (Installationen, Deinstallationen, Länder, Android-Versionen) und Berichte über Abstürze und Hänger mit Gerätemodell und Android-Version. Die App selbst sendet uns weder das eine noch das andere.
7. Wenn Sie uns schreiben
7.1 Wenn Sie uns schreiben (Support, eine Beschwerde, ein Widerruf, eine Kündigung, eine Datenschutzanfrage, eine Meldung rechtswidriger Inhalte), per E-Mail oder über eines der Formulare (Abschnitt 7.4), verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, wenn Sie ihn angeben, die Nachricht mit Anhängen und die Bestellnummer, die Sie uns nennen.
7.2 Bitte senden Sie uns keine Unterlagen und keine Ausweisnummern: Wir brauchen sie nicht. Enthält eine Nachricht sie versehentlich, löschen wir den Anhang oder die Nachricht und sagen es Ihnen.
7.3 Eine Meldung rechtswidriger Inhalte braucht nur die Kennung des Links (die Zeichen nach # bis zum ersten .). Senden Sie nicht den ganzen Link: Der Rest ist der Schlüssel. Die Meldeseite sendet nur die Kennung, auch wenn Sie den ganzen Link einfügen. Bei einer Meldung über sexuellen Missbrauch oder sexuelle Ausbeutung von Kindern sind Name und E-Mail-Adresse freiwillig.
7.4 Die Formulare. Die Seiten für Widerruf (colshare.app/acte/retragere/), Kündigung (colshare.app/acte/reziliere/) und Meldung (colshare.app/acte/semnalare/) senden, was Sie dort eingeben (Ihren Namen, Ihre E-Mail-Adresse, die Google Play-Bestellnummer und, bei einer sofortigen Kündigung oder einer Meldung, Ihren Grund und die Kennung des Links), an unseren Server. Unser Server speichert es nicht: Er leitet es sofort über Resend, Inc. (Abschnitt 9.3) als E-Mail an unser Postfach service@colshare.app weiter, mit Ihrer Adresse als Antwortadresse. Außerdem sendet er sofort an Ihre Adresse eine Eingangsbestätigung in unseren eigenen Worten, mit Datum und Uhrzeit des Eingangs Ihrer Nachricht, der Art der Nachricht, der Bestellnummer und, bei einer Meldung, der Kennung des Links; den Grund, den Sie eingegeben haben, wiederholt sie nie. Um Missbrauch zu begrenzen, speichert unser Server eine Stunde lang Zähler der gesendeten Nachrichten, unter verschlüsselten Hashes (HMAC) der IP-Adresse des Absenders und ihres Netzes (Abschnitt 5.1).
8. Zwecke und Rechtsgrundlagen
| Was | Wozu | Rechtsgrundlage (DSGVO) |
|---|
| Postfächer der Personen, Tokens und Elemente (Abschnitte 4.4, 4.5) | um zu liefern, was Sie und hinzugefügte Personen einander senden | Art. 6 Abs. 1 lit. b, der Vertrag mit Ihnen; für die andere Person Art. 6 Abs. 1 lit. f, unser berechtigtes Interesse, zu liefern, was sie gesendet hat |
| Pakete, Anforderungen und ihre Metadaten (Abschnitte 3, 4) | um zu liefern, was Sie senden oder anfordern | Art. 6 Abs. 1 lit. b, der Vertrag mit Ihnen; für Empfänger und Personen, die auf eine Anforderung antworten, Art. 6 Abs. 1 lit. f, unser berechtigtes Interesse, zu liefern, was Absender oder Anfordernde verlangt haben |
| IP-Hashes für Anfragegrenzen, Hoster-Protokolle (Abschnitte 5, 7.4) | damit der Dienst funktioniert und sicher ist | Art. 6 Abs. 1 lit. f, unser berechtigtes Interesse an einem funktionierenden und sicheren Dienst |
| Bestellungen aus Google Play (Abschnitt 6.1) | um Abo, Widerrufe und Erstattungen zu erfüllen; Buchhaltung | Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c, Buchführungs- und Steuerrecht |
| Zusammengefasste Statistiken, Absturzberichte (Abschnitt 6.3) | um Fehler zu beheben und die App zu verbessern | Art. 6 Abs. 1 lit. f |
| Nachrichten (Abschnitt 7) | um Ihnen zu antworten und Widerrufe, Kündigungen und Beschwerden zu bearbeiten | Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c für Widerrufe und Datenschutzanfragen |
| Meldungen rechtswidriger Inhalte (Abschnitte 7.3, 7.4; Bedingungen, Abschnitt 10) | um sie wie vom Gesetz über digitale Dienste verlangt zu bearbeiten | Art. 6 Abs. 1 lit. c, Verordnung (EU) 2022/2065 |
| Eingangsbestätigungen (Abschnitt 7.4) | um einen Widerruf, eine Kündigung oder eine Meldung sofort zu bestätigen, wie das Gesetz es verlangt | Art. 6 Abs. 1 lit. c: Verbraucherrecht (Richtlinie 2011/83/EU Art. 11a) und Verordnung (EU) 2022/2065 Art. 16 Abs. 4 |
| Aufbewahrung nach Vertragsende | um Rechtsansprüche festzustellen oder zu verteidigen | Art. 6 Abs. 1 lit. f |
Wir treffen keine ausschließlich automatisierten Entscheidungen über Sie und bilden keine Profile.
Nationale Kennnummern. Persönliche Nummern wie die rumänische CNP verarbeiten wir nicht in lesbarer Form. Die App liest sie nur auf Ihrem Handy; die sichere Kopie schwärzt sie standardmäßig, und „Schwärzen“ schlägt über jeder, die sie erkennt, einen bereits aktivierten Rahmen vor; ein Paket, das eine enthalten könnte, läuft nur verschlüsselt über unseren Server, mit einem Schlüssel, den wir nie haben.
9. Wer Daten erhält
9.1 Vercel Inc. hostet unsere Website und führt den Servercode der Links in seiner Region Frankfurt (EU) aus; es führt die Protokolle aus Abschnitt 5.2.
9.2 Upstash, Inc. speichert die verschlüsselten Pakete, die Anforderungen, die Postfächer, Tokens und Elemente der Personen, ihre Metadaten und die Anfragezähler in seiner Region Frankfurt (EU). Die Sicherungen dieses Speichers haben wir abgeschaltet: Gelöschtes bleibt bei uns nicht in einer Sicherung.
9.3 Resend, Inc. stellt die über die Formulare gesendeten Nachrichten (Abschnitt 7.4) in unser Postfach zu und die Eingangsbestätigungen an Sie. Google Ireland Limited (Google Workspace) empfängt und speichert die E-Mails, die wir mit Ihnen austauschen. Für Google Play und die Google Play-Dienste ist Google eigener Verantwortlicher (Abschnitt 6).
9.4 Unsere Buchhaltung und Berater (Anwälte, Prüfer), wenn sie Daten brauchen, um uns zu beraten, zur Verschwiegenheit verpflichtet. Behörden, wenn das Gesetz uns verpflichtet; wir prüfen jede Anfrage und widersprechen rechtswidrigen oder übermäßigen.
9.5 Wir verkaufen keine personenbezogenen Daten, geben sie nicht an Werbenetzwerke weiter und nutzen sie nicht für Werbung.
10. Übermittlungen außerhalb des Europäischen Wirtschaftsraums
Vercel Inc., Upstash, Inc. und Resend, Inc. haben ihren Sitz in den Vereinigten Staaten; die Daten, die Vercel und Upstash für uns speichern, bleiben in Frankfurt, ein Zugriff aus den Vereinigten Staaten für Support und Betrieb ist aber möglich, Vercels Netz kann eine Anfrage von einem Standort außerhalb des EWR beantworten, und Resend speichert die Nachrichten der Formulare und die Bestätigungen für die kurze Zeit, die sein Dienst sie aufbewahrt, in den Vereinigten Staaten. Diese Übermittlungen stützen sich auf den EU-US-Datenschutzrahmen (Durchführungsbeschluss (EU) 2023/1795 der Kommission), soweit der Anbieter zertifiziert ist, und auf die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) im Auftragsverarbeitungsvertrag jedes Anbieters. Google kann Daten auf denselben Grundlagen an Google LLC in den Vereinigten Staaten übermitteln. Eine Kopie der Garantien erhalten Sie unter service@colshare.app.
11. Wie lange wir Daten speichern
| Daten | Gespeichert |
|---|
| Ein verschlüsseltes Sende-Paket | bis zum Öffnen (sofort gelöscht, spätestens 15 Minuten nachdem sein letzter Teil zum ersten Mal heruntergeladen wurde), bis der Absender es löscht, oder 7 Tage |
| Der Vermerk „geöffnet“ oder „gelöscht“ eines Links | 7 Tage |
| Eine Anforderung (Kennung, Hash, Datum) | bis sie geschlossen wird, höchstens 30 Tage |
| Eine in eine Anforderung gesendete Datei | bis die App des Anfordernden sie abholt, höchstens 7 Tage |
| Ein Element in einem Postfach der Personen | bis die App des Empfängers es abholt, höchstens 7 Tage |
| Ein Postfach der Personen (Kennung, Hashes des Geheimnisses und der Tokens) | 180 Tage nach dem letzten Abholen durch seine App |
| Anfragezähler (IP-Hashes), auch die der Formulare | 1 Stunde |
| Hoster-Protokolle | der in unserem Hosting-Tarif festgelegten Frist |
| Nachrichten und Antworten | 24 Monate nach der letzten Nachricht |
| Nachweise zu Widerruf, Kündigung und Erstattung | 3 Jahre nach Vertragsende (Verjährungsfrist) |
| Meldungen rechtswidriger Inhalte und unsere Entscheidungen | 1 Jahr nach der Entscheidung |
| Buchhaltungsunterlagen | wie das rumänische Buchführungsrecht es verlangt (5 Jahre; Jahresabschlüsse 10 Jahre) |
12. Sicherheit und Datenpannen
12.1 Unterlagen werden auf dem Handy verschlüsselt, bevor sie es verlassen, mit Schlüsseln, die unser Server nie erhält; der gesamte Verkehr ist auf dem Transportweg verschlüsselt; der Zugang zu unseren Systemen ist auf den kleinstmöglichen Kreis beschränkt; der Server speichert keine IP-Adressen und keine Namen.
12.2 Führt eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für Menschen, melden wir sie der rumänischen Aufsichtsbehörde möglichst binnen 24 Stunden, nachdem sie uns bekannt wurde, in jedem Fall binnen 72 Stunden, und, bei hohem Risiko, den betroffenen Personen, soweit wir sie erreichen können. Sicherheitslücken melden Sie an service@colshare.app.
13. Ihre Rechte
13.1 Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Artikel 15–21 DSGVO) sowie das Recht, eine Einwilligung zu widerrufen, soweit wir uns auf sie stützen, ohne dass dies das zuvor Geschehene berührt.
13.2 Schreiben Sie an service@colshare.app. Wir antworten binnen eines Monats; bei komplexen oder zahlreichen Anfragen kann die Frist um zwei weitere Monate verlängert werden, worüber wir Sie mit Gründen im ersten Monat informieren. Anfragen sind kostenlos, außer bei offenkundig unbegründeten oder exzessiven Anfragen.
13.3 Ohne Konto können wir Sie nicht über Ihren Namen finden. Für einen Link oder eine Anforderung nennen Sie uns die Kennung (die Zeichen nach # bis zum ersten .); dann können wir Ihnen sagen, was unser Server dazu speichert, oder es löschen. Einen Link können Sie selbst in der App löschen („Link jetzt löschen“) und eine Anforderung selbst schließen; die Daten auf Ihrem Handy löschen Sie in der App.
13.4 Sie können sich bei einer Aufsichtsbehörde beschweren, insbesondere in dem EU-Land, in dem Sie wohnen oder arbeiten. Für uns zuständig ist die rumänische Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten (ANSPDCP), B-dul General Gheorghe Magheru 28-30, Sektor 1, 010336 Bukarest, Rumänien, anspdcp@dataprotection.ro, www.dataprotection.ro. In Deutschland können Sie sich an die Datenschutzaufsichtsbehörde Ihres Bundeslandes wenden.
14. Kinder
Die App richtet sich an Erwachsene. Wir verarbeiten nicht wissentlich Daten von Kindern; auf unserem Server können wir nicht erkennen, wer einen Link nutzt.
15. Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung, wenn sich die App, unsere Anbieter oder das Gesetz ändern. Wir zeigen Ihnen die neue Fassung in der App, bevor sie gilt, und bewahren frühere Fassungen auf, die wir auf Anfrage an service@colshare.app zusenden.
16. Kontakt
DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, Rumänien. Datenschutz: service@colshare.app. Alles andere: service@colshare.app.
Nutzungs- und Verkaufsbedingungen · Fragen: service@colshare.app
Colshare : politique de confidentialité
Version 0.3 · en vigueur à partir du 21 octobre 2026
En bref
- Vos papiers restent sur votre téléphone, chiffrés derrière votre verrou. Nous ne les recevons jamais sous une forme lisible : ni quand vous les gardez, ni quand vous les envoyez, ni quand quelqu’un vous les envoie. Un fichier de sauvegarde, si vous en faites un, est chiffré avec votre phrase secrète et ne va que là où vous l’envoyez. Le caviardage, le code d’une copie sécurisée et vos récépissés sont faits sur le téléphone ; la page de vérification /v/ vérifie dans votre navigateur et n’envoie rien.
- Quand vous envoyez par lien, les papiers attendent chiffrés sur notre serveur, 7 jours au plus, et sont supprimés à l’ouverture. La clé ne voyage que dans le lien. Notre serveur voit des identifiants aléatoires, des tailles et des heures, et l’adresse IP de chaque requête (comptée pendant une heure sous une empreinte à clé, et dans les journaux de notre hébergeur) ; jamais des noms ni des papiers. Ce que vous envoient les personnes ajoutées attend scellé dans votre boîte sur notre serveur jusqu’à ce que votre application le récupère.
- Pas de compte, pas de statistiques d’usage, pas de publicité, pas de pistage. L’application ne nous envoie ni statistiques ni rapports d’erreur.
- Google vend l’abonnement, télécharge le scanner sur votre téléphone et peut collecter des données techniques selon sa propre politique de confidentialité. Nous voyons ce que Google Play montre à un développeur : des commandes et des statistiques agrégées.
Ce résumé vous aide à lire la politique ; c’est le texte complet ci-dessous qui s’applique.
1. Responsable du traitement
1.1 Le responsable des traitements décrits ici est DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, Roumanie, immatriculée au registre du commerce sous le n° J2026003869000, code unique d’enregistrement 53369247 (« nous »), qui édite l’application Colshare (application Android app.colshare) et exploite les pages qui ouvrent ses liens sur colshare.app.
1.2 Contact pour la protection des données : service@colshare.app. Nous n’avons pas désigné de délégué à la protection des données, car aucun des cas de l’article 37, paragraphe 1, du règlement général sur la protection des données (RGPD) ne s’applique à nous ; cette adresse est notre point de contact pour la protection des données.
1.3 Cette politique couvre l’application, ses liens d’envoi et de demande, les pages qui les ouvrent (colshare.app/p/ et colshare.app/a/), la page de la carte de contact (colshare.app/o/), la page de copie sécurisée (colshare.app/copie/), la page de vérification (colshare.app/v/), les pages des listes de pièces (sous colshare.app/acte/) et les pages des formulaires de rétractation, de résiliation et de signalement (colshare.app/acte/retragere/, colshare.app/acte/reziliere/, colshare.app/acte/semnalare/). Elle couvre aussi les personnes qui n’utilisent pas l’application mais ouvrent un lien, répondent à une demande ou envoient un signalement. Le programme topograpp a sa propre politique de confidentialité. Cette politique est publiée sur colshare.app/acte/confidentialitate/, les conditions d’utilisation et de vente sur colshare.app/acte/termeni/.
2. Ce qui reste sur votre téléphone et ne nous parvient jamais
2.1 Tout ce que vous gardez dans l’application reste sur votre téléphone : vos papiers (images et PDF), leurs noms et types, vos dossiers, les champs lus sur une carte d’identité ou un passeport (y compris un numéro personnel comme le CNP roumain), vos copies sécurisées, vos copies caviardées et vos récépissés, la clé de signature du téléphone (section 2.4), la liste de vos liens et demandes avec leurs clés, et les compteurs du plan gratuit. Tout est chiffré en AES-256-GCM, avec une clé que seul votre verrou ouvre. Nous n’en avons aucune copie et aucun moyen de l’ouvrir. Ne sont gardés sur le téléphone hors du verrou, dans l’espace privé de l’application, que : votre langue, la version des conditions que vous avez acceptée, et ce dont la tâche de fond de la section 4.5 a besoin pour récupérer ce qui attend dans votre boîte (son identifiant et son secret).
2.2 Le verrou. Si vous choisissez l’empreinte, Android la vérifie et indique seulement à l’application si elle correspond ; l’application ne reçoit jamais votre empreinte. Si vous choisissez un code PIN, il ne quitte jamais le téléphone.
2.3 La lecture d’une carte d’identité ou d’un passeport se fait sur le téléphone, sans internet, avec un moteur de reconnaissance de texte (Tesseract) intégré à l’application. Rien n’est envoyé nulle part.
2.4 Les copies sécurisées sont faites sur le téléphone. Sur la page web colshare.app/copie/, la copie est faite dans votre navigateur : l’image n’est pas téléversée. Une copie sécurisée faite dans l’application porte un code QR avec une courte déclaration (le type de papier, pour qui, dans quel but, la date), la clé publique du téléphone et une signature faite sur le téléphone avec sa clé privée ; le fichier PDF de la copie porte la même déclaration et une signature sur ses images. Quiconque détient la copie peut lire la déclaration. La clé publique est la même sur toutes les copies sécurisées et tous les récépissés faits sur ce téléphone, et c’est la clé que l’application utilise quand vous y ajoutez des personnes ; deux copies signées sur le même téléphone peuvent donc être rattachées l’une à l’autre. La clé privée reste chiffrée sur le téléphone (et dans un fichier de sauvegarde que vous faites) ; nous ne recevons jamais la clé, la déclaration ni la copie.
2.5 Les récépissés. Après chaque envoi et chaque copie sécurisée, l’application fait sur le téléphone un récépissé : pour chaque fichier une petite image, son nom, sa taille et son empreinte SHA-256, avec quand, à qui, dans quel but et comment, signé comme une copie sécurisée. Le récépissé est gardé chiffré sur le téléphone avec vos papiers. L’application ne l’envoie nulle part ; il ne quitte le téléphone que si vous l’envoyez vous-même ou le mettez dans un fichier de sauvegarde. Il indique ce que vous avez donné, rien de ce qui s’est passé ensuite.
2.6 Le caviardage se fait sur le téléphone, sans internet. L’application lit le texte du papier avec le moteur de reconnaissance de texte qu’elle intègre (Tesseract) ou, pour un PDF, avec PDF.js, également intégré à l’application ; elle propose des cadres, et la copie est dessinée sur le téléphone. Rien n’est envoyé nulle part.
2.7 La page de vérification colshare.app/v/. Le code d’une copie sécurisée ou d’un récépissé ouvre cette page avec la déclaration, la clé et la signature dans la partie après #, que les navigateurs n’envoient jamais à un serveur ; la page vérifie la signature dans votre navigateur et, une fois chargée, ne demande ni n’envoie plus rien. Un fichier PDF que vous y choisissez est lu dans votre navigateur, pas téléversé. Notre serveur et ses journaux d’hébergement (section 5.2) voient seulement que la page a été chargée. L’application vérifie les mêmes codes sur le téléphone.
2.8 L’application ne demande à Android aucune autorisation que vous devez accorder. Elle dispose de l’accès à internet, de Google Play Billing pour l’abonnement, et des autorisations qu’Android accorde sans demander pour l’empreinte et pour la tâche de fond de la section 4.5 (état du réseau, maintien de l’appareil actif, démarrage après un redémarrage). Elle n’utilise pas elle-même l’appareil photo : la numérisation passe par les scanners de documents et de codes de Google (section 6.2). L’application exclut ses données des sauvegardes d’Android et du transfert vers un nouveau téléphone ; aucune copie ne part dans une sauvegarde en ligne, sauf si vous y envoyez vous-même un fichier de sauvegarde (section 2.9).
2.9 Le fichier de sauvegarde. Dans Paramètres › Sauvegarde, l’application peut mettre dans un seul fichier vos papiers (récépissés et copies compris), dossiers et lectures, vos liens et demandes ouverts avec leurs clés, la clé de signature du téléphone, « À propos de moi » et les réponses gardées des formulaires (section 2.10), les personnes ajoutées avec votre boîte (section 2.11), le nom que vous indiquez sur les liens et les compteurs du plan gratuit ; jamais votre code PIN ni votre empreinte. Le fichier est chiffré sur le téléphone avec AES-256-GCM, sous une clé dérivée d’une phrase secrète que vous choisissez (au moins 10 caractères ; PBKDF2-SHA-256, 600 000 itérations). La phrase secrète ne quitte jamais le téléphone et n’est pas conservée. L’application remet le fichier au menu de partage du téléphone, et vous choisissez où il va (par exemple Google Drive, l’e-mail, Fichiers ou un autre téléphone) ; le fournisseur choisi le traite selon ses propres conditions, mais ne peut pas le lire sans la phrase secrète. Le fichier ne nous parvient jamais, et nous ne gardons rien qui permette de l’ouvrir. La restauration se fait sur le téléphone : les papiers sont enregistrés sous le verrou du nouveau téléphone.
2.10 « À propos de moi » et le remplissage des formulaires. Ce que vous saisissez dans « À propos de moi » (adresse, téléphone, e-mail, lieu de naissance, profession, employeur) est gardé chiffré sur le téléphone avec vos papiers, et dans un fichier de sauvegarde que vous faites ; il ne sert que quand vous remplissez un formulaire. Tant que « Garder ce que j'ai saisi pour les prochains formulaires » est coché (il l’est au départ), l’application garde aussi ce que vous saisissez dans les champs qu’elle ne remplit pas elle-même, chacun sous l’intitulé du champ, chiffré de la même façon et compris dans le fichier de sauvegarde ; sur un formulaire suivant avec le même intitulé, elle propose de nouveau la réponse (« D'un formulaire précédent »), et vous pouvez la changer. Ce que vous saisissez dans un champ qui demande une donnée de « À propos de moi » (par exemple votre téléphone) va dans « À propos de moi » s’il y manque. Ne sont pas gardés les cases à cocher, les choix, les champs sans intitulé propre et les champs demandés pour deux personnes. Si vous décochez la case, rien de ce que vous avez saisi sur ce formulaire n’est gardé ; une réponse gardée est remplacée quand vous en gardez une autre pour le même intitulé, et Paramètres › Tout supprimer les supprime toutes. Le remplissage se fait sur le téléphone, sans internet : l’application lit le formulaire avec PDF.js (un scan ou une photo d’un formulaire aussi avec son moteur de reconnaissance de texte, Tesseract) et l’écrit avec pdf-lib, tous inclus dans l’application. Rien n’est envoyé.
2.11 Les personnes ajoutées sont gardées sur le téléphone : leurs noms, leurs clés publiques et ce dont votre application a besoin pour leur envoyer (l’identifiant de leur boîte et un jeton de dépôt), ainsi que votre propre paire de clés, le tout chiffré comme vos papiers et inclus dans un fichier de sauvegarde. L’identifiant et le secret de votre propre boîte sont aussi gardés hors du verrou (section 2.1), pour que la tâche de fond puisse récupérer ce qui attend pendant que l’application est verrouillée ; ils n’ouvrent aucun papier. Votre carte de contact (le code QR ou le lien de contact) porte votre clé publique, l’identifiant de votre boîte, un jeton de dépôt créé pour cette carte et le nom que vous avez choisi, dans la partie après #, que les navigateurs n’envoient jamais à un serveur ; quiconque a votre carte peut vous ajouter. Le code de sécurité est calculé sur chaque téléphone à partir des deux clés publiques.
2.12 Comme ces données ne nous parviennent jamais, nous n’en sommes pas responsables et ne pouvons ni les voir, ni les rectifier, ni les exporter, ni les supprimer pour vous. Vous pouvez les supprimer à tout moment dans l’application (un papier, un dossier, ou Paramètres › Tout supprimer) ; la désinstallation de l’application les supprime aussi.
3. Quand vous envoyez des papiers par lien
3.1 Ce qui quitte le téléphone. Les papiers que vous choisissez sont regroupés et chiffrés sur le téléphone (AES-256-GCM) avec une nouvelle clé de 256 bits, puis téléversés sur notre serveur en morceaux. La clé, votre nom tel que le destinataire le verra et votre note ne voyagent que dans le lien, dans la partie après #, que les navigateurs n’envoient jamais à un serveur. Les noms des fichiers, votre nom et votre note sont aussi dans le paquet chiffré.
3.2 Ce que notre serveur voit et conserve pour chaque lien : un identifiant aléatoire ; une empreinte (hash) d’un secret qui permet à votre téléphone de supprimer le lien ; le nombre de morceaux et la taille du dernier (donc la taille du paquet) ; la date de création du lien ; la date de son premier téléchargement ; et, après son ouverture ou sa suppression, une mention indiquant laquelle et quand (pour qu’une deuxième visite affiche « déjà ouvert » plutôt que « introuvable »). Il ne voit jamais votre nom, votre note, le destinataire, les noms des fichiers ni les papiers.
3.3 Combien de temps. Le paquet chiffré est supprimé dès son ouverture (aussitôt après son déchiffrement par le navigateur du destinataire, et au plus tard 15 minutes après le premier téléchargement de son dernier morceau), quand vous supprimez le lien dans l’application, et en tout cas 7 jours après sa création. La mention « ouvert » ou « supprimé » est conservée 7 jours.
3.4 Le lien lui-même passe par l’application que vous utilisez pour le partager (une messagerie, l’e-mail), dont le fournisseur le traite selon ses propres conditions. Toute personne qui a le lien peut ouvrir le paquet une fois. La page du destinataire retire la clé de la barre d’adresse du navigateur dès qu’elle l’a lue.
4. Quand vous demandez des papiers à quelqu’un ou envoyez aux personnes ajoutées
4.1 La demande. Votre téléphone crée une paire de clés. Le lien de demande contient, dans la partie après #, la clé publique, ce que vous demandez et votre nom. Notre serveur ne conserve que l’identifiant aléatoire de la demande, une empreinte d’un secret que seul votre téléphone détient et sa date de création : 30 jours, ou jusqu’à ce que vous fermiez la demande.
4.2 Ce que l’autre personne envoie. Sur la page colshare.app/a/, son navigateur chiffre chaque fichier avec votre clé publique (ECDH sur P-256 avec AES-256-GCM), de sorte que seul votre téléphone puisse l’ouvrir. Notre serveur conserve, pour chaque fichier : un identifiant aléatoire, le nombre de morceaux, sa taille et son heure d’arrivée, ainsi que les morceaux chiffrés. Votre application les récupère, les range sur votre téléphone et demande au serveur de les supprimer. Ce qui n’est pas récupéré est supprimé 7 jours après son arrivée. Fermer la demande la supprime avec tout ce qui y attend.
4.3 Le nom que l’autre personne peut saisir sur la page est chiffré avec les fichiers : nous ne le voyons pas.
4.4 Les boîtes des personnes. La première fois que vous utilisez « Personnes », votre téléphone ouvre une boîte sur notre serveur. Le serveur garde l’identifiant aléatoire de la boîte, une empreinte d’un secret que seul votre téléphone détient, une empreinte du jeton de dépôt de chaque personne ajoutée et, pour chaque élément en attente, un identifiant aléatoire, sa taille, l’heure de son arrivée et l’empreinte du jeton par lequel il est venu, avec l’élément chiffré. Chaque élément est chiffré sur le téléphone de l’expéditeur avec votre clé publique : le serveur ne voit jamais de noms, de papiers, de notes, ni à qui appartient un jeton. Votre application récupère ce qui attend, le garde et demande au serveur de le supprimer. Un élément non récupéré est supprimé 7 jours après son arrivée ; la boîte est supprimée 180 jours après la dernière récupération par votre application ; retirer ou bloquer une personne supprime son jeton et tout ce qui attend de sa part.
4.5 Tant que l’application est ouverte, elle récupère ce qui attend toutes les 30 secondes. Sur Android, une tâche de fond de l’application récupère aussi environ toutes les 15 minutes quand un réseau est disponible, et garde ce qu’elle a récupéré, toujours chiffré, dans l’espace privé de l’application jusqu’à ce que vous ouvriez le verrou. L’application n’utilise aucun service de notifications push et n’affiche aucune notification.
5. Les données que révèle toute connexion
5.1 Adresses IP. Chaque requête vers notre serveur révèle l’adresse IP du téléphone ou du navigateur qui la fait. Notre serveur ne la conserve pas. Pour limiter les abus, il compte les requêtes par adresse pendant une heure, sous une empreinte à clé (HMAC) de l’adresse, dont l’adresse ne peut pas être retrouvée sans notre clé secrète ; les compteurs sont supprimés au bout d’une heure.
5.2 Journaux de l’hébergeur. Notre hébergeur (section 9) enregistre des données techniques de chaque requête (adresse IP, heure, adresse demandée sans la partie après #, identification du navigateur) dans ses journaux et les supprime après le délai fixé par notre offre d’hébergement.
5.3 Nous traitons ces identifiants, tailles et heures comme des données personnelles, car, avec une adresse IP, ils pourraient se rapporter à une personne. Nous ne les combinons avec rien d’autre, ne faisons pas de profils et ne pouvons pas savoir qui a créé un lien ou une demande.
5.4 Les papiers chiffrés. Nous ne pouvons pas déchiffrer ce qui passe par notre serveur et n’avons aucun moyen d’identifier les personnes qui y figurent. Nous le protégeons néanmoins, ne le conservons pas plus longtemps qu’indiqué ici et le supprimons comme décrit, comme s’il s’agissait de données personnelles.
5.5 Les pages colshare.app/p/, /a/, /o/, /copie/ et /v/, les pages des listes de pièces et les pages des formulaires (section 7.4) ne chargent aucun script de statistiques et ne déposent pas de cookies ; aucune ne conserve quoi que ce soit dans votre navigateur, et toutes, sauf les pages des listes de pièces, n’envoient pas de référent. Les pages des liens, /p/ et /a/, la page de la carte de contact /o/, la page de vérification /v/ et les pages des formulaires ne sont pas indexées par les moteurs de recherche ; les pages des listes de pièces le sont, parce qu’elles ne contiennent aucune donnée personnelle et sont faites pour être trouvées.
6. Google
6.1 Google Play. Vous téléchargez l’application et achetez l’abonnement via Google Play. Google traite les données de votre compte Google, de paiement et d’achat en tant que responsable indépendant, selon sa propre politique de confidentialité (https://policies.google.com/privacy). L’application vérifie votre abonnement auprès de Google Play, sur le téléphone ; nous ne recevons pour cela aucune donnée sur vous. Lorsqu’elle affiche les abonnements, l’application demande aussi à Google Play, sur le téléphone, le pays de votre compte Google Play, pour ne proposer que les abonnements vendus dans ce pays et appliquer la section 6.7 des conditions (la règle de l’abonnement annuel en Allemagne) ; le pays reste sur le téléphone et rien ne nous en parvient. Dans la Google Play Console, nous voyons pour chaque commande : son numéro, sa date, le produit, le prix, son statut et le pays de l’acheteur.
6.2 Le scanner de documents est un module des services Google Play, que Google télécharge sur le téléphone lors de la première numérisation ; de même pour le scanner de codes que l’application utilise pour « Scanner un code ». La numérisation elle-même se fait sur le téléphone. Les services Google Play envoient à Google des données techniques sur l’usage et les performances des scanners (comme le modèle de l’appareil et la version d’Android, le nom et la version de l’application, des données de performance et d’erreur, et des identifiants de l’appareil et de chaque installation), à des fins de diagnostic et de statistiques d’usage, pas vos images, selon les conditions et la politique de confidentialité de Google (https://developers.google.com/ml-kit/android-data-disclosure).
6.3 Statistiques et rapports de plantage. Si vous avez autorisé votre téléphone à partager des données d’usage et de diagnostic avec Google, Google nous fournit des statistiques agrégées (installations, désinstallations, pays, versions d’Android) et des rapports de plantages et de blocages avec le modèle de l’appareil et la version d’Android. L’application elle-même ne nous envoie ni les unes ni les autres.
7. Quand vous nous écrivez
7.1 Quand vous nous écrivez (assistance, réclamation, rétractation, résiliation, demande relative à vos données, signalement d’un contenu illicite), par e-mail ou par l’un des formulaires (section 7.4), nous traitons votre adresse e-mail, votre nom si vous le donnez, le message et ses pièces jointes, et le numéro de commande que vous nous indiquez.
7.2 Merci de ne pas nous envoyer de papiers ni de numéros d’identité : nous n’en avons pas besoin. Si un message en contient par erreur, nous supprimons la pièce jointe ou le message et vous le disons.
7.3 Un signalement de contenu illicite n’a besoin que de l’identifiant du lien (les caractères après #, jusqu’au premier .). N’envoyez pas le lien entier : le reste est la clé. La page de signalement n’envoie que l’identifiant, même si vous collez le lien entier. Pour un signalement concernant des abus sexuels ou l’exploitation sexuelle d’enfants, votre nom et votre adresse e-mail sont facultatifs.
7.4 Les formulaires. Les pages de rétractation (colshare.app/acte/retragere/), de résiliation (colshare.app/acte/reziliere/) et de signalement (colshare.app/acte/semnalare/) envoient ce que vous y saisissez (votre nom, votre adresse e-mail, le numéro de commande Google Play et, pour une résiliation immédiate ou un signalement, votre motif et l’identifiant du lien) à notre serveur. Notre serveur ne le conserve pas : il le transmet aussitôt, via Resend, Inc. (section 9.3), par e-mail à notre boîte service@colshare.app, avec votre adresse comme adresse de réponse. Il envoie aussi aussitôt à votre adresse un accusé de réception rédigé par nous, avec la date et l’heure de réception de votre message, le type de message, le numéro de commande et, pour un signalement, l’identifiant du lien ; il ne reprend jamais le motif que vous avez saisi. Pour limiter les abus, notre serveur garde pendant une heure des compteurs des messages envoyés, sous des empreintes à clé (HMAC) de l’adresse IP de l’expéditeur et de son réseau (section 5.1).
8. Finalités et bases légales
| Quoi | Pourquoi | Base légale (RGPD) |
|---|
| Boîtes des personnes, jetons et éléments (sections 4.4, 4.5) | livrer ce que vous et les personnes ajoutées vous envoyez | art. 6, par. 1, b), le contrat avec vous ; pour l’autre personne, art. 6, par. 1, f), notre intérêt légitime à livrer ce qu’elle a envoyé |
| Paquets, demandes et leurs métadonnées (sections 3, 4) | livrer ce que vous envoyez ou demandez | art. 6, par. 1, b), le contrat avec vous ; pour un destinataire ou une personne qui répond à une demande, art. 6, par. 1, f), notre intérêt légitime à livrer ce que l’expéditeur ou le demandeur a demandé |
| Empreintes d’IP pour les limites de requêtes, journaux de l’hébergeur (sections 5, 7.4) | faire fonctionner le service et le sécuriser | art. 6, par. 1, f), notre intérêt légitime à un service qui fonctionne et sûr |
| Commandes Google Play (section 6.1) | honorer l’abonnement, les rétractations, les remboursements ; comptabilité | art. 6, par. 1, b) ; art. 6, par. 1, c), droit comptable et fiscal |
| Statistiques agrégées, rapports de plantage (section 6.3) | corriger les défauts et améliorer l’application | art. 6, par. 1, f) |
| Messages (section 7) | vous répondre, traiter rétractations, résiliations et réclamations | art. 6, par. 1, b) ; art. 6, par. 1, c) pour les rétractations et les demandes relatives aux données |
| Signalements de contenus illicites (sections 7.3, 7.4 ; conditions, section 10) | les traiter comme l’exige le règlement sur les services numériques | art. 6, par. 1, c), règlement (UE) 2022/2065 |
| Accusés de réception (section 7.4) | confirmer aussitôt une rétractation, une résiliation ou un signalement, comme l’exige la loi | art. 6, par. 1, c) : droit de la consommation (directive 2011/83/UE, art. 11 bis) et règlement (UE) 2022/2065, art. 16, par. 4 |
| Conservation après le contrat | constater ou défendre des droits en justice | art. 6, par. 1, f) |
Nous ne prenons aucune décision à votre sujet fondée exclusivement sur un traitement automatisé et ne faisons pas de profils.
Numéros d’identification nationaux. Nous ne traitons pas de numéros personnels, comme le CNP roumain, sous une forme lisible. L’application ne les lit que sur votre téléphone ; la copie sécurisée les masque par défaut, et « Caviarder » propose un cadre déjà activé sur chacun de ceux qu’il reconnaît ; un paquet qui pourrait en contenir un ne passe par notre serveur que chiffré, avec une clé que nous n’avons jamais.
9. Qui reçoit des données
9.1 Vercel Inc. héberge notre site et exécute le code serveur des liens, dans sa région de Francfort (UE), et tient les journaux de la section 5.2.
9.2 Upstash, Inc. stocke les paquets chiffrés, les demandes, les boîtes, jetons et éléments des personnes, leurs métadonnées et les compteurs de requêtes, dans sa région de Francfort (UE). Nous avons désactivé les sauvegardes de ce stockage : ce qui est supprimé ne reste pas chez nous dans une sauvegarde.
9.3 Resend, Inc. remet à notre boîte les messages envoyés par les formulaires (section 7.4), et à vous les accusés de réception. Google Ireland Limited (Google Workspace) reçoit et stocke les e-mails que nous échangeons avec vous. Pour Google Play et les services Google Play, Google est responsable indépendant (section 6).
9.4 Notre comptable et nos conseils (avocats, auditeurs), lorsqu’ils ont besoin de données pour nous conseiller, tenus à la confidentialité. Les autorités, lorsque la loi nous y oblige ; nous vérifions chaque demande et nous opposons à celles qui sont illégales ou excessives.
9.5 Nous ne vendons pas de données personnelles, ne les donnons pas à des régies publicitaires et ne les utilisons pas à des fins publicitaires.
10. Transferts hors de l’Espace économique européen
Vercel Inc., Upstash, Inc. et Resend, Inc. sont établies aux États-Unis ; les données que Vercel et Upstash stockent pour nous restent à Francfort, mais un accès depuis les États-Unis pour l’assistance et l’exploitation est possible, le réseau de Vercel peut servir une requête depuis un point de présence hors de l’EEE, et Resend stocke les messages des formulaires et les accusés de réception aux États-Unis pendant la courte durée où son service les conserve. Ces transferts reposent sur le cadre de protection des données UE–États-Unis (décision d’exécution (UE) 2023/1795 de la Commission), lorsque le fournisseur est certifié, et sur les clauses contractuelles types (décision d’exécution (UE) 2021/914) de l’accord de traitement des données de chaque fournisseur. Google peut transférer des données à Google LLC, aux États-Unis, sur les mêmes fondements. Une copie des garanties est disponible auprès de service@colshare.app.
11. Durées de conservation
| Données | Conservées |
|---|
| Un paquet d’envoi chiffré | jusqu’à son ouverture (supprimé aussitôt, au plus tard 15 minutes après le premier téléchargement de son dernier morceau), jusqu’à sa suppression par l’expéditeur, ou 7 jours |
| La mention « ouvert » ou « supprimé » d’un lien | 7 jours |
| Une demande (identifiant, empreinte, date) | jusqu’à sa fermeture, 30 jours au plus |
| Un fichier envoyé dans une demande | jusqu’à ce que l’application du demandeur le récupère, 7 jours au plus |
| Un élément dans une boîte des personnes | jusqu’à ce que l’application du destinataire le récupère, 7 jours au plus |
| Une boîte des personnes (identifiant, empreintes du secret et des jetons) | 180 jours après la dernière récupération par son application |
| Compteurs de requêtes (empreintes d’IP), y compris ceux des formulaires | 1 heure |
| Journaux de l’hébergeur | le délai fixé par notre offre d’hébergement |
| Messages et réponses | 24 mois après le dernier message |
| Traces des rétractations, résiliations et remboursements | 3 ans après la fin du contrat (délai de prescription) |
| Signalements de contenus illicites et nos décisions | 1 an après la décision |
| Pièces comptables | selon le droit comptable roumain (5 ans ; comptes annuels 10 ans) |
12. Sécurité et violations de données
12.1 Les papiers sont chiffrés sur le téléphone avant de le quitter, avec des clés que notre serveur ne reçoit jamais ; tout le trafic est chiffré en transit ; l’accès à nos systèmes est limité au plus petit groupe possible ; le serveur ne conserve ni adresses IP ni noms.
12.2 Si une violation de données personnelles est susceptible d’engendrer un risque pour des personnes, nous la notifions à l’autorité de contrôle roumaine si possible dans les 24 heures après en avoir pris connaissance, et en tout cas dans les 72 heures, et, si le risque est élevé, aux personnes concernées, dans la mesure où nous pouvons les joindre. Signalez une vulnérabilité à service@colshare.app.
13. Vos droits
13.1 Vous avez le droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition (articles 15 à 21 du RGPD), et le droit de retirer votre consentement lorsque nous nous fondons sur lui, sans que cela affecte ce qui a été fait auparavant.
13.2 Écrivez à service@colshare.app. Nous répondons dans un délai d’un mois ; pour des demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois, et nous vous en donnons les raisons dans le premier mois. Les demandes sont gratuites, sauf si elles sont manifestement infondées ou excessives.
13.3 Sans compte, nous ne pouvons pas vous retrouver par votre nom. Pour un lien ou une demande, donnez-nous son identifiant (les caractères après #, jusqu’au premier .) : nous pourrons vous dire ce que notre serveur conserve à son sujet, ou le supprimer. Vous pouvez supprimer vous-même un lien dans l’application (« Supprimer le lien maintenant ») et fermer une demande ; les données de votre téléphone se suppriment dans l’application.
13.4 Vous pouvez introduire une réclamation auprès d’une autorité de contrôle, notamment dans le pays de l’UE où vous vivez ou travaillez. La nôtre est l’Autorité nationale de surveillance du traitement des données à caractère personnel de Roumanie (ANSPDCP), B-dul General Gheorghe Magheru 28-30, Secteur 1, 010336 Bucarest, Roumanie, anspdcp@dataprotection.ro, www.dataprotection.ro. En France, vous pouvez vous adresser à la CNIL (www.cnil.fr).
14. Enfants
L’application s’adresse aux adultes. Nous ne traitons pas sciemment de données d’enfants ; sur notre serveur, nous ne pouvons pas savoir qui utilise un lien.
15. Modification de cette politique
Nous mettons à jour cette politique quand l’application, nos fournisseurs ou la loi changent. Nous vous montrons la nouvelle version dans l’application avant qu’elle s’applique et conservons les versions antérieures, que nous envoyons sur demande à service@colshare.app.
16. Contact
DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Sibiu, Roumanie. Protection des données : service@colshare.app. Tout le reste : service@colshare.app.
Conditions d’utilisation et de vente · Questions : service@colshare.app
