Les présentes directives fournissent des instructions et garantissent une plus grande transparence concernant la manière dont LastPass traite les demandes émanant des autorités chargées de l’application de la loi ainsi que toute autre demande légale et/ou réglementaire visant à obtenir des informations sur nos utilisateurs finaux et nos clients (« Informations sur les utilisateurs »), ainsi que les demandes de retrait formulées en vertu du Digital Millennium Copyright Act (« DMCA »).
Ces directives s’appliquent à tous les services LastPass.
Informations que nous pouvons fournir
Gestionnaire de mots de passe LastPass
Le gestionnaire de mots de passe LastPass utilise un modèle de sécurité « zéro connaissance », conçu pour garantir la confidentialité des données des clients et les protéger tant de LastPass que de toute autre personne. Ce service LastPass comprend un « coffre-fort » dans lequel les données sensibles des utilisateurs sont stockées sous forme chiffrée. Elles ne peuvent être déchiffrées qu’au niveau de l’utilisateur et de l’appareil, en saisissant le mot de passe maître de l’utilisateur. De par sa conception, LastPass ne possède aucune information concernant le mot de passe maître de l’utilisateur et ne stocke ni n’accède à ce dernier. Par conséquent, aucun employé de LastPass n’est en mesure de déchiffrer les données du coffre-fort stockées sur les serveurs de LastPass et ne peut donc fournir ces informations en réponse à une requête judiciaire.
Dans la mesure du possible, le demandeur doit d’abord chercher à obtenir les informations directement auprès de l’utilisateur ou du client faisant l’objet de l’enquête avant de solliciter ces informations auprès de LastPass.
Service VPN LastPass
Le service VPN de LastPass fait appel à un prestataire tiers pour gérer l’infrastructure VPN utilisée pour fournir ce service. Lorsque les utilisateurs se connectent via le VPN LastPass, leur trafic semble provenir d’une adresse IP de sortie partagée gérée par notre fournisseur de services VPN (et non par LastPass). Cette adresse IP de sortie est partagée simultanément par de nombreux utilisateurs. Ainsi, LastPass n’est pas en mesure d’identifier un utilisateur individuel en se basant uniquement sur l’adresse IP de sortie du VPN.
De plus, LastPass applique une politique stricte de non-conservation des journaux concernant l’activité des sessions VPN. LastPass n’enregistre pas et ne peut fournir aucun historique des sites web consultés, des contenus consultés, des requêtes DNS ou de toute autre activité effectuée via la connexion VPN.
Les demandes d’informations détenues par le fournisseur de services VPN dans le cadre du service VPN doivent être adressées directement à ce dernier.
Informations que les demandeurs doivent fournir
Pour s’assurer que les demandes d’Informations d’utilisateur soient raisonnables et strictement limitées aux seules informations nécessaires à l’enquête, la demande doit inclure un mandat, une assignation, une décision de justice ou procédure judiciaire équivalente valable, ou une preuve de situation d’urgence sous forme originale de PDF non modifié émis par l’autorité appropriée.
La demande devrait inclure autant de détails que possible pour nous aider à répondre de façon efficace et opportune. Remarque : la plupart des informations utilisateur et des données de compte ne peuvent être identifiées qu’à l’aide de l’adresse e-mail de l’utilisateur. En conséquence, l’adresse e-mail associée au compte est l’information d’identification la plus utile.
Chaque demande doit aussi inclure les coordonnées de contact du demandeur autorisé, notamment :
- Nom
- Numéro de badge ou d’identification (le cas échéant)
- Adresse e-mail professionnelle
- Numéro de téléphone et poste éventuel
- Adresse postale
- Date de réponse demandée
Traitement des demandes
À réception d’une demande d’Informations d’utilisateur, LastPass prend les mesures suivantes avant de répondre :
Autorité : LastPass étudiera la demande pour vérifier que le demandeur a l’autorité appropriée selon la loi applicable pour demander les Informations d’utilisateur. En l’absence de mandat, assignation, décision de justice ou procédure judiciaire équivalente valable, la position de LastPass est de ne pas fournir les Informations d’utilisateur à un demandeur.
Étendue : Chaque fois que c’est possible, LastPass cherchera à s’assurer que toute demande d’Informations d’utilisateur est d’étendue raisonnable et limitée à un compte particulier. LastPass peut demander un contexte supplémentaire si la nature de l’enquête manque de clarté, et peut s’opposer à la demande le cas échéant. Dans le cas où LastPass fournit des Informations d’utilisateur, tout sera fait pour ne partager que le minimum d’informations nécessaire pour répondre à la demande.
Avis : Sauf dans le cas où LastPass reçoit instruction d’une autorité légale appropriée de ne pas le faire, a l’interdiction de le faire, ou s’il existe une indication claire de conduite illégale ou malveillante ou de risque de préjudice, LastPass avertira le client d’une demande avant de divulguer toute information d’utilisateur pour lui permettre d’exercer des recours judiciaires.
Procédure DMCA
LastPass accepte et examinera les plaintes pour violation de droits d’auteur soumises conformément à la procédure prévue par la procédure DMCA. Les plaintes au titre de la loi DMCA doivent être adressées à l’agent DMCA désigné par LastPass, comme indiqué dans la procédure DMCA. En raison des contraintes techniques décrites ci-dessus, il n’est généralement pas possible d’identifier un utilisateur VPN spécifique à partir d’une simple adresse IP.
Demandes internationales
Toutes les demandes doivent être émises dans le respect des lois applicables et par les canaux officiels (par exemple commande signée, adresse e-mail officielle, etc.). De plus, les demandes doivent s’appuyer sur une base légale appropriée, et un Traité d’assistance juridique mutuelle, une demande d’un pays répondant aux obligations de la loi U.S. Cloud Act, une commission rogatoire ou autre forme de transposition peut être exigée pour vérifier la base légale d’une demande internationale.
Nous examinerons toutes les demandes internationales pays par pays et au cas par cas, afin de prendre en compte et de concilier nos obligations légales locales avec nos engagements en matière de sécurité et de confidentialité des utilisateurs. Nous pouvons choisir de répondre de façon différente aux demandes de différents pays où ces engagements entreraient en conflit avec la loi locale.
Où envoyer une demande
LastPass reçoit les demandes d’Informations d’utilisateur et des services officiels par e-mail à l’adresse subpoenas@lastpass.com.
Les plaintes pour violation du droit d’auteur au titre de la loi DMCA doivent être envoyées à LastPass à l’adresse dmca@lastpass.com ou par courrier postal à LastPass US LP à l’adresse indiquée ici. Pour plus d’informations sur l’envoi de plaintes DMCA, veuillez consulter la procédure DMCA de LastPass à l’adresse www.lastpass.com/legal-center/dmca.
Bien que nous acceptions de recevoir des demandes par ce moyen, ni LastPass ni nos clients ne renoncent à aucun de leurs droits légaux par cet arrangement. De plus, les demandes par e-mail doivent provenir d’une adresse e-mail gouvernementale officielle, le cas échéant.
