Comparaison de versions
Politique de confidentialité — diff v1.0.0 → v1.1.0
+51 lignes ajoutées, -16 lignes supprimées entre ces 2 versions.
| v1.0.0 — 7 juin 2026 | v1.1.0 — 12 juil. 2026 | ||
|---|---|---|---|
| 1 | 1 | ||
| 2 | ## Responsable du traitement | 2 | ## Responsable du traitement |
| 3 | 3 | ||
| 4 | Le responsable du traitement des données personnelles collectées sur **cyberviseur.eu** est : | 4 | Le responsable du traitement des données personnelles collectées sur **cyberviseur.eu** est : |
| 5 | 5 | ||
| 6 | - **Architext Writers**, entrepreneur individuel | 6 | - **Architext Writers**, entrepreneur individuel |
| 7 | - Siège social : Le Stériad, 2 allée de l'Ille, 35470 Bain-de-Bretagne, France | 7 | - Siège social : Le Stériad, 2 allée de l'Ille, 35470 Bain-de-Bretagne, France |
| 8 | - SIREN : 940 033 327 | 8 | - SIREN : 940 033 327 |
| 9 | - Contact : [contact@cyberviseur.eu](mailto:contact@cyberviseur.eu) | 9 | - Contact : [contact@cyberviseur.eu](mailto:contact@cyberviseur.eu) |
| 10 | 10 | ||
| 11 | Aucun délégué à la protection des données (DPO) n'est désigné. Au regard de l'article 37 du RGPD, la désignation n'est pas obligatoire (entrepreneur individuel, pas de traitement à grande échelle de données sensibles). Les questions relatives à la protection des données sont traitées directement par l'éditeur à l'adresse de contact ci-dessus. | 11 | Aucun délégué à la protection des données (DPO) n'est désigné. Au regard de l'article 37 du RGPD, la désignation n'est pas obligatoire (entrepreneur individuel, pas de traitement à grande échelle de données sensibles). Les questions relatives à la protection des données sont traitées directement par l'éditeur à l'adresse de contact ci-dessus. |
| 12 | 12 | ||
| 13 | ## Données collectées et finalités | 13 | ## Données collectées et finalités |
| 14 | 14 | ||
| 15 | Le site applique le principe de **minimisation** : rien n'est collecté qui ne soit strictement nécessaire au service demandé. | 15 | Le site applique le principe de **minimisation** : rien n'est collecté qui ne soit strictement nécessaire au service demandé. |
| 16 | 16 | ||
| 17 | **Newsletter et formulaires de contact.** Lorsque tu soumets ton adresse email via un formulaire (newsletter, pré-réservation d'un bundle, formulaire de contact), elle est utilisée exclusivement pour t'envoyer les communications que tu as demandées, ou pour répondre à ta sollicitation. Aucun profilage, aucun croisement avec des sources externes, aucune revente. | 17 | **Newsletter et formulaires de contact.** Lorsque tu soumets ton adresse email via un formulaire (newsletter, pré-réservation d'un bundle, formulaire de contact), elle est utilisée exclusivement pour t'envoyer les communications que tu as demandées, ou pour répondre à ta sollicitation. Aucun profilage, aucun croisement avec des sources externes, aucune revente. |
| 18 | 18 | ||
| 19 | **Compte utilisateur (« Mon écosystème »).** Si tu crées un compte sur la rubrique *Mon écosystème*, ton adresse email est conservée pour authentifier tes connexions ultérieures par lien magique (magic link). Aucun mot de passe n'est stocké. Une session est ouverte via des cookies techniques (`sb-access-token`, `sb-refresh-token`) — décrits dans la [politique cookies](/legal/cookies). | 19 | **Compte utilisateur (« Mon écosystème »).** Si tu crées un compte sur la rubrique *Mon écosystème*, ton adresse email est conservée pour authentifier tes connexions ultérieures par lien magique (magic link). Aucun mot de passe n'est stocké. Une session est ouverte via des cookies techniques (`sb-access-token`, `sb-refresh-token`) — décrits dans la [politique cookies](/legal/cookies). |
| 20 | 20 | ||
| 21 | **Achats (à venir).** Lorsque les paiements en ligne seront activés, l'adresse email et un identifiant de commande Stripe seront conservés pour la livraison, la facturation, le service après-vente et les obligations comptables. **Aucune donnée bancaire** n'est conservée sur nos serveurs : la chaîne de paiement transite intégralement par l'infrastructure Stripe (cf. CGV art. 05). | ||
| 21 | **Achats.** Lors d'un achat, ton adresse email et un identifiant de commande Stripe sont conservés pour la livraison, la facturation, le service après-vente et les obligations comptables. **Aucune donnée bancaire** n'est conservée sur nos serveurs : la chaîne de paiement transite intégralement par l'infrastructure Stripe (cf. CGV art. 05). | ||
| 22 | 22 | ||
| 23 | **Diagnostics et audits.** Lorsque tu réalises un diagnostic (Fast Diag, mini-audit, diagnostic par référentiel), tes réponses au questionnaire sont enregistrées. Elles décrivent la configuration de ton infrastructure : services utilisés, pratiques d'authentification, gestion des secrets, sauvegardes, exposition réseau. **Ce sont des données sensibles au sens opérationnel** — elles cartographient les faiblesses de ton système. Elles sont traitées avec le même soin que des identifiants : accès restreint au seul éditeur, jamais transmises à un tiers, jamais utilisées à d'autres fins que la production de ton rapport. | ||
| 24 | |||
| 25 | Un **score** (note de A à F) et un niveau de sévérité sont calculés automatiquement à partir de tes réponses. Ce calcul est purement mécanique — un barème de pondération par sévérité, sans apprentissage ni modèle statistique. Il produit un rapport **consultatif** : il ne prend aucune décision te concernant, ne conditionne l'accès à aucun service, et ne produit aucun effet juridique. Il ne constitue donc pas une décision automatisée au sens de l'article 22 du RGPD. La logique de calcul est documentée dans les rapports eux-mêmes, et tu peux à tout moment en discuter avec l'éditeur. | ||
| 26 | |||
| 27 | **Analyse technique publique (OSINT).** Si tu soumets un nom de domaine au Fast Diag, le site interroge des sources publiques à son sujet : configuration DNS, certificat TLS, en-têtes HTTP, et services exposés référencés par **Shodan** (base publique de ports et services ouverts sur Internet). Cette analyse ne porte que sur des informations déjà publiquement accessibles, et uniquement sur le domaine que tu as toi-même soumis. Elle implique la transmission de l'adresse IP de ton serveur à Shodan (voir « Transferts hors Union européenne »). | ||
| 28 | |||
| 29 | **Cartographie d'écosystème.** Si tu construis ta cartographie dans *Mon écosystème*, les éléments que tu y saisis sont conservés : briques techniques, prestataires, coûts mensuels, URLs internes, notes libres. Ces données ne servent qu'à afficher ta propre cartographie et à cibler les audits que tu demandes. | ||
| 30 | |||
| 31 | **Prise de rendez-vous.** Lorsque tu réserves un créneau (échange préalable, exploration ou débriefing d'audit), ton nom, ton adresse email, le créneau choisi et tes éventuelles notes sont conservés pour organiser et tenir le rendez-vous. L'agenda de l'éditeur est hébergé chez Google : **seule une référence opaque y est inscrite** (par exemple `CV-A3F91B2C`) — ni ton nom, ni ton email, ni tes notes ne sont transmis à Google. La correspondance entre cette référence et ton identité reste sur l'infrastructure de l'éditeur. | ||
| 32 | |||
| 33 | **Dossiers d'audit.** Dans le cadre d'un Audit 360°, un dossier est constitué : tes coordonnées, les échanges, les notes prises pendant les sessions, les livrables produits (matrice, rapport). Ton identité y est stockée séparément du contenu technique, de sorte qu'elle puisse être effacée sans détruire le dossier. | ||
| 34 | |||
| 23 | **Mesure d'audience.** Notre outil d'audience (Umami auto-hébergé) compte les pages vues de façon **anonymisée** : aucun cookie, aucun identifiant individuel, aucune persistance entre visites. Tu n'es pas identifiable. | 35 | **Mesure d'audience.** Notre outil d'audience (Umami auto-hébergé) compte les pages vues de façon **anonymisée** : aucun cookie, aucun identifiant individuel, aucune persistance entre visites. Tu n'es pas identifiable. |
| 24 | 36 | ||
| 25 | **Journaux d'accès serveur.** Le serveur conserve temporairement les logs HTTP (adresse IP, user-agent, URL demandée, code réponse) à des fins de sécurité (détection d'abus, rate-limiting, investigation d'incident). | 37 | **Journaux d'accès serveur.** Le serveur conserve temporairement les logs HTTP (adresse IP, user-agent, URL demandée, code réponse) à des fins de sécurité (détection d'abus, rate-limiting, investigation d'incident). |
| 26 | 38 | ||
| 27 | **Preuve de consentement cookies.** Si le bandeau de consentement est activé (ce n'est pas le cas par défaut, cf. [politique cookies](/legal/cookies)), un enregistrement de consentement est conservé : identifiant pseudonyme (UUID v4), version de la politique au moment du choix, date, catégories choisies, empreintes anonymisées (SHA-256 tronqué) de l'IP et du User-Agent. Ces empreintes servent exclusivement à la détection de fraude anti-spam — tu n'es pas identifiable directement. | ||
| 39 | **Preuve de consentement cookies.** Si le bandeau de consentement est activé (cf. [politique cookies](/legal/cookies)), un enregistrement de consentement est conservé : identifiant pseudonyme (UUID v4), version de la politique au moment du choix, date, catégories choisies, empreintes **pseudonymisées** (SHA-256 tronqué) de l'IP et du User-Agent. Ces empreintes servent exclusivement à la détection de fraude anti-spam. Elles ne sont rattachées à aucun compte. | ||
| 28 | 40 | ||
| 29 | ## Bases légales | 41 | ## Bases légales |
| 30 | 42 | ||
| 31 | Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale explicite : | 43 | Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale explicite : |
| 32 | 44 | ||
| 33 | - **Newsletter et formulaires de contact** : *consentement* (art. 6-1-a) — exprimé par la soumission active du formulaire, révocable à tout moment via le lien de désinscription ou un email à l'adresse de contact. | 45 | - **Newsletter et formulaires de contact** : *consentement* (art. 6-1-a) — exprimé par la soumission active du formulaire, révocable à tout moment via le lien de désinscription ou un email à l'adresse de contact. |
| 34 | - **Compte utilisateur** : *exécution du contrat* (art. 6-1-b) — la conservation de l'adresse email est nécessaire pour assurer l'authentification du compte que tu as choisi de créer. | 46 | - **Compte utilisateur** : *exécution du contrat* (art. 6-1-b) — la conservation de l'adresse email est nécessaire pour assurer l'authentification du compte que tu as choisi de créer. |
| 35 | - **Achats (à venir)** : *exécution du contrat* (art. 6-1-b) pour la livraison et le service après-vente ; *obligation légale* (art. 6-1-c) pour la conservation comptable et fiscale (Code de commerce, art. L123-22). | ||
| 36 | - **Mesure d'audience anonymisée** : pas de base légale requise puisqu'aucune donnée personnelle au sens du RGPD n'est traitée (cf. position CNIL sur les outils de mesure d'audience exemptés). | ||
| 37 | - **Journaux d'accès** : *intérêt légitime* (art. 6-1-f) — sécurisation du service, prévention des abus. | ||
| 47 | - **Achats** : *exécution du contrat* (art. 6-1-b) pour la livraison et le service après-vente ; *obligation légale* (art. 6-1-c) pour la conservation comptable et fiscale (Code de commerce, art. L123-22). | ||
| 48 | - **Diagnostics, scoring, analyse OSINT, cartographie, rendez-vous, dossiers d'audit** : *exécution du contrat* (art. 6-1-b) — ces traitements constituent le service que tu as demandé ; sans eux, il ne peut pas être rendu. | ||
| 49 | - **Mesure d'audience** : le RGPD ne s'applique pas à ce traitement, aucune donnée personnelle n'y étant traitée (pas de cookie, pas d'identifiant individuel, pas de recoupement) — cf. position CNIL sur les outils de mesure d'audience exemptés. | ||
| 50 | - **Journaux d'accès** : *intérêt légitime* (art. 6-1-f) — sécurisation du service et prévention des abus. L'intérêt poursuivi est la disponibilité et l'intégrité du service ; la mise en balance retient une conservation courte (30 jours), l'absence de tout usage commercial ou de profilage, et l'absence de recoupement avec les données de compte. | ||
| 38 | - **Preuve de consentement cookies** : *obligation légale* (art. 6-1-c) — démonstration du consentement requise par l'article 7-1 du RGPD. | 51 | - **Preuve de consentement cookies** : *obligation légale* (art. 6-1-c) — démonstration du consentement requise par l'article 7-1 du RGPD. |
| 39 | 52 | ||
| 40 | ## Durées de conservation | 53 | ## Durées de conservation |
| 41 | 54 | ||
| 42 | | Donnée | Durée | | 55 | | Donnée | Durée | |
| 43 | |---|---| | 56 | |---|---| |
| 44 | | Adresse email newsletter | Jusqu'à désinscription, puis suppression sous 30 jours | | 57 | | Adresse email newsletter | Jusqu'à désinscription, puis suppression sous 30 jours | |
| 45 | | Compte utilisateur (email + métadonnées de session) | Jusqu'à suppression du compte, puis 30 jours d'archivage technique | | ||
| 46 | | Cookie de session `sb-access-token` | 1 heure | | ||
| 47 | | Cookie de session `sb-refresh-token` | 7 jours | | ||
| 58 | | Compte utilisateur (email + métadonnées de session) | Jusqu'à suppression du compte | | ||
| 59 | | Réponses aux diagnostics, scores, historique | Jusqu'à la suppression de ton compte | | ||
| 60 | | Cartographie d'écosystème | Jusqu'à la suppression de ton compte | | ||
| 61 | | Dossiers d'audit (identité) | Jusqu'à la suppression de ton compte | | ||
| 62 | | Rendez-vous (nom, email, créneau) | Jusqu'à la suppression de ton compte | | ||
| 63 | | Cookie de session `sb-access-token` | 24 heures | | ||
| 64 | | Cookie de session `sb-refresh-token` | 30 jours | | ||
| 48 | | Journaux d'accès serveur (IP, User-Agent, URL) | 30 jours maximum | | 65 | | Journaux d'accès serveur (IP, User-Agent, URL) | 30 jours maximum | |
| 49 | | Enregistrements de preuve de consentement cookies | 3 ans (recommandation CNIL) | | 66 | | Enregistrements de preuve de consentement cookies | 3 ans (recommandation CNIL) | |
| 50 | | Données de facturation (à compter de l'activation des paiements) | 10 ans (Code de commerce, art. L123-22) | | ||
| 67 | | Demandes d'exercice de droits et journaux d'audit RGPD | 3 ans (preuve de traitement de la demande) | | ||
| 68 | | Données de facturation | 10 ans (Code de commerce, art. L123-22) | | ||
| 51 | 69 | ||
| 52 | Les durées indiquées sont des maxima : les données sont supprimées plus tôt si la finalité est atteinte (par exemple un compte effacé avant 30 jours sur demande). | ||
| 70 | Les durées indiquées sont des maxima : les données sont supprimées plus tôt si la finalité est atteinte. | ||
| 53 | 71 | ||
| 72 | **À la suppression de ton compte**, tes réponses de diagnostic, tes scores, ta cartographie, tes fast-diags et l'identité attachée à tes dossiers d'audit sont **effectivement supprimés**, en cascade. Seules subsistent : les données de facturation (obligation comptable de 10 ans, anonymisées de tout lien avec ton identité) et la trace de ta demande d'effacement elle-même (preuve que l'éditeur y a donné suite). | ||
| 73 | |||
| 54 | ## Destinataires et sous-traitants | 74 | ## Destinataires et sous-traitants |
| 55 | 75 | ||
| 56 | Les données personnelles sont traitées exclusivement par l'éditeur. Elles ne sont **jamais vendues**, jamais transmises à des tiers à des fins commerciales, jamais utilisées pour du profilage publicitaire. | 76 | Les données personnelles sont traitées exclusivement par l'éditeur. Elles ne sont **jamais vendues**, jamais transmises à des tiers à des fins commerciales, jamais utilisées pour du profilage publicitaire. |
| 57 | 77 | ||
| 58 | Pour l'exécution technique de certains traitements, les sous-traitants suivants interviennent au sens de l'article 28 du RGPD : | 78 | Pour l'exécution technique de certains traitements, les sous-traitants suivants interviennent au sens de l'article 28 du RGPD : |
| 59 | 79 | ||
| 60 | - **Hostinger International Ltd.** — hébergement du serveur (VPS physique à Paris, France). Sous-traitant pour l'hébergement de l'ensemble des données du site, y compris la base de données (Supabase auto-hébergé), l'outil d'orchestration newsletter (n8n auto-hébergé) et l'outil de mesure d'audience (Umami auto-hébergé). | 80 | - **Hostinger International Ltd.** — hébergement du serveur (VPS physique à Paris, France). Sous-traitant pour l'hébergement de l'ensemble des données du site, y compris la base de données (Supabase auto-hébergé), l'outil d'orchestration newsletter (n8n auto-hébergé) et l'outil de mesure d'audience (Umami auto-hébergé). |
| 61 | - **Hostinger** — service SMTP transactionnel pour l'envoi des emails (newsletter, réponses aux formulaires). Sous-traitant pour le routage SMTP uniquement. | ||
| 62 | - **Stripe Payments Europe, Ltd.** (à compter de l'activation des paiements en ligne) — traitement des paiements par carte bancaire. Stripe est *responsable de traitement conjoint* pour les données de paiement (PCI-DSS niveau 1) et *sous-traitant* pour la transmission de l'identifiant de commande à l'éditeur. | ||
| 81 | - **Hostinger** — service SMTP transactionnel pour l'envoi des emails (newsletter, réponses aux formulaires, livraison des achats, confirmations de rendez-vous). Sous-traitant pour le routage SMTP uniquement. | ||
| 82 | - **Google Ireland Ltd.** — agenda et visioconférence (Google Calendar, Google Meet) pour la tenue des rendez-vous. **Google ne reçoit ni ton nom, ni ton email, ni tes notes** : l'événement d'agenda ne porte qu'une référence opaque et les horaires du créneau. Google traite donc uniquement des métadonnées de planification. | ||
| 83 | - **Shodan LLC** — base publique de services exposés sur Internet, interrogée lors de l'analyse technique d'un domaine que tu soumets. Reçoit l'adresse IP publique associée à ce domaine. | ||
| 63 | 84 | ||
| 85 | **Stripe Payments Europe, Ltd.** intervient pour le traitement des paiements par carte bancaire. Stripe agit en qualité de **responsable de traitement indépendant** pour les données de paiement qu'il collecte directement sur sa page sécurisée (PCI-DSS niveau 1) : ces données ne transitent jamais par les serveurs de l'éditeur, et Stripe en détermine seul les finalités et les moyens, conformément à ses propres conditions et à sa politique de confidentialité. Stripe agit en qualité de **sous-traitant** de l'éditeur pour la seule transmission de l'identifiant de commande et du statut de paiement. | ||
| 86 | |||
| 64 | Les briques techniques suivantes sont des **logiciels auto-hébergés** sur l'infrastructure de l'éditeur, et non des prestataires tiers : Supabase (authentification + base de données), n8n (orchestration), Umami (mesure d'audience), Coolify (orchestration de conteneurs). Les données traitées par ces briques restent sous le contrôle direct de l'éditeur, hébergées sur le VPS Hostinger ci-dessus. | 87 | Les briques techniques suivantes sont des **logiciels auto-hébergés** sur l'infrastructure de l'éditeur, et non des prestataires tiers : Supabase (authentification + base de données), n8n (orchestration), Umami (mesure d'audience), Coolify (orchestration de conteneurs). Les données traitées par ces briques restent sous le contrôle direct de l'éditeur, hébergées sur le VPS Hostinger ci-dessus. |
| 65 | 88 | ||
| 66 | Aucun service tiers d'analyse comportementale (Google Analytics, Meta Pixel, retargeting, etc.) n'est utilisé. | 89 | Aucun service tiers d'analyse comportementale (Google Analytics, Meta Pixel, retargeting, etc.) n'est utilisé. |
| 67 | 90 | ||
| 68 | ## Transferts hors Union européenne | 91 | ## Transferts hors Union européenne |
| 69 | 92 | ||
| 70 | **Aucun transfert hors Union européenne n'est effectué en V1.** Tous les sous-traitants mentionnés ci-dessus opèrent au sein de l'Union européenne ou de l'Espace économique européen : | ||
| 93 | Deux traitements impliquent un transfert de données vers les **États-Unis**. Ils sont limités, identifiés, et encadrés. | ||
| 71 | 94 | ||
| 95 | **Google (agenda et visioconférence).** Le contractant est Google Ireland Ltd. (Irlande, UE), mais ses infrastructures peuvent traiter des données aux États-Unis. Google LLC est certifié au titre du **EU-US Data Privacy Framework**, bénéficiant de la décision d'adéquation de la Commission européenne du 10 juillet 2023 (art. 45 du RGPD). | ||
| 96 | |||
| 97 | Ce transfert est de surcroît **minimisé à la source** : l'événement inscrit dans l'agenda ne contient ni ton nom, ni ton adresse email, ni tes notes — uniquement une référence opaque et les horaires du créneau. La correspondance entre cette référence et ton identité ne quitte jamais l'infrastructure de l'éditeur. | ||
| 98 | |||
| 99 | **Shodan LLC (analyse technique).** Lorsque tu soumets un nom de domaine au Fast Diag, son adresse IP publique est transmise à Shodan LLC (États-Unis) pour récupérer la liste des services qu'il expose. Ce transfert est **nécessaire à l'exécution du service que tu as toi-même demandé** (art. 49-1-b du RGPD) : cette information constitue l'objet même de l'analyse, et n'est obtenable qu'auprès d'un opérateur de scan Internet. | ||
| 100 | |||
| 101 | Ce transfert est limité à une adresse IP publique — la même information que celle qu'obtient n'importe quel serveur que ton système contacte. Aucune autre donnée (nom, email, réponses au questionnaire, résultats) n'est transmise à Shodan. Si tu ne souhaites pas que cette requête soit effectuée, tu peux réaliser le diagnostic **sans soumettre de nom de domaine** : le questionnaire déclaratif fonctionne seul, et aucun appel externe n'est alors émis. | ||
| 102 | |||
| 103 | Les autres sous-traitants opèrent au sein de l'Union européenne ou de l'Espace économique européen : | ||
| 104 | |||
| 72 | - Hostinger International Ltd. — siège à Chypre (UE), serveurs physiques à Paris (France). | 105 | - Hostinger International Ltd. — siège à Chypre (UE), serveurs physiques à Paris (France). |
| 73 | - Stripe Payments Europe, Ltd. — siège en Irlande (UE). | 106 | - Stripe Payments Europe, Ltd. — siège en Irlande (UE). |
| 74 | 107 | ||
| 75 | Si un transfert hors UE devait être mis en place à l'avenir (par exemple via un nouveau sous-traitant), il serait encadré par les mécanismes de l'article 46 du RGPD (clauses contractuelles types ou décision d'adéquation) et la présente politique serait mise à jour en conséquence (nouvelle version, ancienne version conservée et publiquement consultable dans l'historique). | ||
| 108 | Tout nouveau transfert hors UE fera l'objet d'une nouvelle version de la présente politique, l'ancienne restant publiquement consultable dans [l'historique des versions](/legal/privacy/history). | ||
| 76 | 109 | ||
| 77 | ## Cookies et traceurs | 110 | ## Cookies et traceurs |
| 78 | 111 | ||
| 79 | Les modalités d'utilisation des cookies (catégories, durées, finalités, droits) sont détaillées dans la [politique de cookies](/legal/cookies) dédiée. | 112 | Les modalités d'utilisation des cookies (catégories, durées, finalités, droits) sont détaillées dans la [politique de cookies](/legal/cookies) dédiée. |
| 80 | 113 | ||
| 81 | En résumé : aucun cookie non-essentiel n'est déposé actuellement. Seuls des cookies techniques liés à la session utilisateur peuvent l'être, et uniquement si tu choisis de créer un compte. | ||
| 114 | En résumé : aucun cookie non-essentiel n'est déposé. Seuls des cookies techniques liés à la session utilisateur peuvent l'être, et uniquement si tu choisis de créer un compte. | ||
| 82 | 115 | ||
| 83 | ## Sécurité des données | 116 | ## Sécurité des données |
| 84 | 117 | ||
| 85 | L'éditeur met en œuvre les mesures techniques et organisationnelles suivantes : | 118 | L'éditeur met en œuvre les mesures techniques et organisationnelles suivantes : |
| 86 | 119 | ||
| 87 | - **Chiffrement bout en bout en transit** : toutes les pages et requêtes API sont servies en HTTPS exclusivement (politique HSTS activée). | 120 | - **Chiffrement bout en bout en transit** : toutes les pages et requêtes API sont servies en HTTPS exclusivement (politique HSTS activée). |
| 88 | - **Pas de stockage de mot de passe** : l'authentification se fait par lien magique (magic link) envoyé par email, signé cryptographiquement et à usage unique. | 121 | - **Pas de stockage de mot de passe** : l'authentification se fait par lien magique (magic link) envoyé par email, signé cryptographiquement et à usage unique. |
| 89 | - **Cookies de session sécurisés** : flags HttpOnly, Secure, SameSite=Lax — non accessibles au JavaScript du navigateur, non transmis en clair, non transmis cross-site. | 122 | - **Cookies de session sécurisés** : flags HttpOnly, Secure, SameSite=Lax — non accessibles au JavaScript du navigateur, non transmis en clair, non transmis cross-site. |
| 90 | - **Politique de sécurité du contenu (CSP) stricte** : nonces par requête, aucun script inline non signé toléré. | 123 | - **Politique de sécurité du contenu (CSP) stricte** : nonces par requête, aucun script inline non signé toléré. |
| 91 | - **Service_role jamais exposé côté client** : l'accès à la base de données passe exclusivement par un backend dédié (BFF), jamais directement depuis le navigateur. | 124 | - **Service_role jamais exposé côté client** : l'accès à la base de données passe exclusivement par un backend dédié (BFF), jamais directement depuis le navigateur. |
| 125 | - **Cloisonnement des données de diagnostic** : les réponses décrivant ton infrastructure sont isolées par un contrôle d'accès au niveau des lignes (RLS), inaccessibles depuis le navigateur. | ||
| 126 | - **Séparation identité / contenu technique** dans les dossiers d'audit : ton identité est stockée à part, et peut être effacée sans détruire le dossier. | ||
| 92 | - **Journalisation des consentements** : preuve cryptographique conservée pour répondre aux contrôles RGPD. | 127 | - **Journalisation des consentements** : preuve cryptographique conservée pour répondre aux contrôles RGPD. |
| 93 | - **Mises à jour de sécurité** : surveillance des CVE et application des correctifs sous 7 jours pour les correctifs critiques. | 128 | - **Mises à jour de sécurité** : surveillance des CVE et application des correctifs sous 7 jours pour les correctifs critiques. |
| 94 | - **Sauvegardes** : sauvegardes chiffrées quotidiennes des données de la base, rétention 30 jours. | 129 | - **Sauvegardes** : sauvegardes chiffrées quotidiennes des données de la base, rétention 30 jours. |
| 95 | 130 | ||
| 96 | En cas de violation de données susceptible d'engendrer un risque pour tes droits et libertés, l'éditeur notifie la CNIL dans les 72 heures et t'en informe directement si le risque est élevé, conformément aux articles 33 et 34 du RGPD. | 131 | En cas de violation de données susceptible d'engendrer un risque pour tes droits et libertés, l'éditeur notifie la CNIL dans les 72 heures et t'en informe directement si le risque est élevé, conformément aux articles 33 et 34 du RGPD. |
| 97 | 132 | ||
| 98 | ## Tes droits RGPD | 133 | ## Tes droits RGPD |
| 99 | 134 | ||
| 100 | Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés, tu disposes des droits suivants : | 135 | Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés, tu disposes des droits suivants : |
| 101 | 136 | ||
| 102 | - **Droit d'accès** (art. 15) — obtenir confirmation que des données te concernant sont traitées, et en recevoir une copie. | 137 | - **Droit d'accès** (art. 15) — obtenir confirmation que des données te concernant sont traitées, et en recevoir une copie. |
| 103 | - **Droit de rectification** (art. 16) — faire corriger des données inexactes ou incomplètes. | 138 | - **Droit de rectification** (art. 16) — faire corriger des données inexactes ou incomplètes. |
| 104 | - **Droit à l'effacement** (art. 17) — demander la suppression de tes données (« droit à l'oubli »), sous réserve des obligations légales de conservation. | 139 | - **Droit à l'effacement** (art. 17) — demander la suppression de tes données (« droit à l'oubli »), sous réserve des obligations légales de conservation. |
| 105 | - **Droit à la limitation** (art. 18) — geler temporairement le traitement de tes données. | 140 | - **Droit à la limitation** (art. 18) — geler temporairement le traitement de tes données. |
| 106 | - **Droit à la portabilité** (art. 20) — recevoir tes données dans un format structuré et lisible par machine, ou les faire transmettre à un autre responsable de traitement. | 141 | - **Droit à la portabilité** (art. 20) — recevoir tes données dans un format structuré et lisible par machine, ou les faire transmettre à un autre responsable de traitement. |
| 107 | - **Droit d'opposition** (art. 21) — t'opposer au traitement de tes données pour des raisons tenant à ta situation particulière. | 142 | - **Droit d'opposition** (art. 21) — t'opposer au traitement de tes données pour des raisons tenant à ta situation particulière. |
| 108 | - **Droit de retirer ton consentement** à tout moment (art. 7) — sans que cela compromette la licéité du traitement effectué avant le retrait. | 143 | - **Droit de retirer ton consentement** à tout moment (art. 7) — sans que cela compromette la licéité du traitement effectué avant le retrait. |
| 109 | - **Droit de définir des directives post-mortem** (art. 40-1 de la Loi Informatique et Libertés) — relatives à la conservation, l'effacement et la communication de tes données après ton décès. | 144 | - **Droit de définir des directives post-mortem** (art. 40-1 de la Loi Informatique et Libertés) — relatives à la conservation, l'effacement et la communication de tes données après ton décès. |
| 110 | 145 | ||
| 111 | **Comment exercer tes droits** : envoie un email à [contact@cyberviseur.eu](mailto:contact@cyberviseur.eu) en précisant la nature de ta demande. L'éditeur répond dans un délai d'**un mois** (prolongeable de deux mois en cas de demande complexe, art. 12-3 RGPD). | ||
| 146 | **Comment exercer tes droits** : la plupart de ces droits s'exercent directement depuis ton compte, rubrique [Mes données](/mon-ecosysteme/donnees) — export, suppression, rectification, opposition. Tu peux aussi écrire à [contact@cyberviseur.eu](mailto:contact@cyberviseur.eu) en précisant la nature de ta demande. L'éditeur répond dans un délai d'**un mois** (prolongeable de deux mois en cas de demande complexe, art. 12-3 RGPD). | ||
| 112 | 147 | ||
| 113 | Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la **Commission nationale de l'informatique et des libertés (CNIL)** : [www.cnil.fr](https://www.cnil.fr). | 148 | Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la **Commission nationale de l'informatique et des libertés (CNIL)** : [www.cnil.fr](https://www.cnil.fr). |
| 114 | 149 | ||
| 115 | ## Modifications de la politique | 150 | ## Modifications de la politique |
| 116 | 151 | ||
| 117 | L'éditeur se réserve le droit de modifier la présente politique de confidentialité pour tenir compte d'évolutions légales, techniques ou organisationnelles. | 152 | L'éditeur se réserve le droit de modifier la présente politique de confidentialité pour tenir compte d'évolutions légales, techniques ou organisationnelles. |
| 118 | 153 | ||
| 119 | Chaque modification donne lieu à une **nouvelle version publiée**, datée et conservée. Les versions antérieures restent publiquement consultables dans [l'historique des versions](/legal/privacy/history) — preuve d'audit conformité. | 154 | Chaque modification donne lieu à une **nouvelle version publiée**, datée et conservée. Les versions antérieures restent publiquement consultables dans [l'historique des versions](/legal/privacy/history) — preuve d'audit conformité. |
| 120 | 155 | ||
| 121 | En cas de modification substantielle (nouveau traitement, nouveau sous-traitant, transfert hors UE, changement de finalité), tu en es informé activement par email si tu disposes d'un compte utilisateur ou si tu es abonné à la newsletter. | 156 | En cas de modification substantielle (nouveau traitement, nouveau sous-traitant, transfert hors UE, changement de finalité), tu en es informé activement par email si tu disposes d'un compte utilisateur ou si tu es abonné à la newsletter. |
| 122 | 157 | ||
| 123 | ## Contact | 158 | ## Contact |
| 124 | 159 | ||
| 125 | Pour toute question, demande ou exercice de droit en matière de protection des données personnelles : | 160 | Pour toute question, demande ou exercice de droit en matière de protection des données personnelles : |
| 126 | 161 | ||
| 127 | **Architext Writers** (EI), éditeur de cyberviseur.eu. | 162 | **Architext Writers** (EI), éditeur de cyberviseur.eu. |
| 128 | Le Stériad, 2 allée de l'Ille, 35470 Bain-de-Bretagne, France. | 163 | Le Stériad, 2 allée de l'Ille, 35470 Bain-de-Bretagne, France. |
| 129 | [contact@cyberviseur.eu](mailto:contact@cyberviseur.eu) | 164 | [contact@cyberviseur.eu](mailto:contact@cyberviseur.eu) |
| 130 | 165 | ||
| 131 | Pour l'ensemble des coordonnées légales (hébergement, contact commercial, médiation) : [mentions légales](/legal/mentions). | 166 | Pour l'ensemble des coordonnées légales (hébergement, contact commercial, médiation) : [mentions légales](/legal/mentions). |