Vos données, protégées et jamais revendues

Responsable du traitement

Le responsable du traitement est l'éditeur du service, désigné dans les mentions légales. Contact pour toute question sur vos données : [email protected].

Ce que nous collectons

• Votre compte : prénom, e-mail, mot de passe (stocké uniquement sous forme chiffrée irréversible).
• Le profil de votre entreprise : secteur, taille, pays, informations utiles à l'estimation NIS2.
• Vos réponses au bilan et l'avancement de votre plan d'action.
• Selon votre offre : les preuves que vous joignez aux actions, votre journal d'incident et vos contacts d'urgence.
• Les fournisseurs que vous ajoutez et leurs réponses au questionnaire de sécurité (dont le nom et la fonction de la personne qui répond).
• Le résultat de l'analyse externe de votre domaine (informations publiques : DNS, page d'accueil du site).
• Les messages envoyés par le formulaire de contact ou « Aide et support » (nom, e-mail, message).

Pourquoi, et sur quelle base

• Fournir le service (compte, bilan, rapport, plan d'action, abonnement) : exécution du contrat qui nous lie (conditions d'utilisation).
• Facturer et conserver les factures : obligation légale (comptabilité).
• Sécuriser le service (limites anti-abus, journal des actions sensibles), répondre à vos messages et mesurer l'audience sans cookie : intérêt légitime, limité à ce qui est nécessaire.
• Vous envoyer des alertes et rappels : exécution du contrat ; vous pouvez les désactiver depuis « Mon profil ».

La mesure d'audience par Google Analytics repose sur votre consentement, que vous pouvez retirer à tout moment avec le lien « Gérer les cookies » en bas de page.

Ce que nous ne faisons pas

• Nous ne revendons aucune donnée.
• Pas de traceurs publicitaires : Google Analytics ne sert qu'à la mesure d'audience, et seulement avec votre accord (voir ci-dessous). Nous comptons en interne quelques usages (connexions, téléchargements de rapport) pour améliorer le produit, sans cookie.
• L'analyse de domaine sans compte n'enregistre pas le domaine analysé (il est gardé quelques minutes en mémoire pour éviter les analyses répétées).

Mesure d'audience

Si vous l'acceptez dans le bandeau, nous utilisons Google Analytics (Google Ireland Limited) pour savoir quelles pages du site public sont consultées, d'où viennent les visites et sur quel type d'appareil. Rien n'est chargé avant votre accord, et l'application, les pages de connexion et les liens personnels ne sont jamais mesurés. Les fonctions publicitaires sont désactivées. Les statistiques sont conservées 14 mois au plus. Google peut traiter ces données hors de l'Union européenne, notamment aux États-Unis. Votre choix est retenu 6 mois (clé okyber-cookies dans le stockage de votre navigateur) et vous pouvez le modifier avec le lien « Gérer les cookies » en bas de page.

Cookies

Sans votre accord, les pages publiques ne déposent aucun cookie. L'application utilise uniquement des cookies propres au site, strictement nécessaires à son fonctionnement ou au service que vous avez demandé : ils sont exemptés de consentement selon les règles de la CNIL. Seuls les cookies de Google Analytics, listés ci-dessous, demandent votre accord. Aucun ne sert à la publicité ni ne vous suit sur d'autres sites.

Si vous arrivez par le lien d'une plateforme de lancement (par exemple Product Hunt), le nom de cette plateforme est retenu dans le stockage de votre navigateur jusqu'à la fermeture de l'onglet (clé okyber-src), sans cookie : il sert à vous afficher un message d'accueil et à compter, sans vous identifier, les visites et les inscriptions venues de cette plateforme.

E-mails

Les e-mails du service (confirmation d'adresse, mot de passe oublié, alertes, rappels, questionnaires envoyés à vos fournisseurs à votre demande) sont envoyés par un prestataire d'envoi d'e-mails établi en France, qui héberge les données dans l'Union européenne, en tant que sous-traitant. Les messages adressés à [email protected] ou envoyés par le formulaire de contact sont acheminés par Cloudflare (routage des e-mails du domaine) puis reçus dans une boîte Gmail (Google), tous deux sous-traitants.

Paiement

Les abonnements sont encaissés par Stripe, en tant que sous-traitant. Vos données de carte bancaire sont saisies sur la page sécurisée de Stripe et ne transitent jamais par nos serveurs ; nous conservons seulement l'identifiant client Stripe et l'état de l'abonnement.

Intelligence artificielle (offre Business)

Lorsque vous demandez une analyse IA, la rédaction des réponses d'un questionnaire client ou la lecture d'un questionnaire PDF, le profil de votre entreprise, vos réponses au bilan, le nom de vos preuves, les questions concernées et, le cas échéant, le fichier PDF sont transmis à un fournisseur de modèle d'IA, en tant que sous-traitant, uniquement pour produire ce résultat : il ne les utilise pas pour entraîner ses modèles. Aucune donnée n'est transmise sans action de votre part.

Fuites de données

La vérification d'un mot de passe se fait dans votre navigateur : seuls les 5 premiers caractères de son empreinte SHA-1 transitent par nos serveurs vers un service de référence des mots de passe compromis, ce qui ne permet pas de retrouver le mot de passe. Lorsque le propriétaire ou un administrateur lance la vérification des adresses (offres payantes), les adresses e-mail des membres de l'équipe et les adresses génériques ajoutées sont transmises à un service spécialisé qui recense les fuites de données, en tant que sous-traitant, puis vérifiées à nouveau tous les 30 jours. Le résultat (nom des fuites, types de données exposées) est conservé avec le profil de l'entreprise.

Transferts hors de l'Union européenne

Certains sous-traitants (paiement, acheminement du trafic, messagerie du support, IA, vérification des fuites, mesure d'audience) peuvent traiter des données hors de l'Union européenne, notamment aux États-Unis et en Australie. Ces transferts sont encadrés par les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne ou cadre de protection des données UE–États-Unis). La liste nominative de nos sous-traitants est communiquée sur simple demande à [email protected].

Hébergement

Les données sont hébergées en France, sur une infrastructure opérée par l'éditeur.

Durée de conservation

Vos données sont conservées tant que votre compte est utilisé. Après 3 ans sans connexion (et sans abonnement en cours), un e-mail vous prévient ; sans nouvelle connexion dans les 30 jours, le compte est supprimé. À la suppression du compte, les données sont effacées de la base, puis des sauvegardes au plus tard 14 jours après. Les factures sont conservées 10 ans par Stripe et par l'éditeur (obligation comptable). Les messages envoyés par le formulaire de contact ou « Aide et support » servent uniquement à vous répondre ; ils sont supprimés avec votre compte, et au plus tard 3 ans après leur traitement.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Depuis la page « Mon profil » de l'application, vous pouvez à tout moment télécharger toutes vos données (archive lisible par une autre application) et supprimer votre compte. Pour toute autre demande, écrivez à [email protected] : nous répondons sous un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr/plaintes).