DefenceLevel
Politique de confidentialité
Quelles données personnelles nous traitons, pourquoi, avec qui, pendant combien de temps et quels sont vos droits. Nous collectons le strict minimum nécessaire au fonctionnement du service : pas de publicité, pas de profilage, pas d'outils d'analyse du comportement.
1. Responsable du traitement
SCARAFILE Consulting S.R.L., Piața Victoriei 4, ap. 9C, 300006 Timișoara, Roumanie · TVA RO42858116 · Registre du commerce J35/2040/2020.
Pour toute question ou demande concernant vos données : privacy@defencelevel.com.
2. Quelles données nous traitons
| Donnée | Provenance | Finalité |
|---|---|---|
| Adresse e-mail | Vous la saisissez pour démarrer l'essai | Créer le compte, vous envoyer le lien de connexion, le briefing, les alertes et les communications sur le service et l'abonnement |
| Langue préférée | La langue du site au moment de l'inscription, ou celle que vous choisissez dans le tableau de bord | Vous écrire dans votre langue |
| Produits et éditeurs que vous indiquez dans My Defence (votre infrastructure), les notes que vous écrivez sur les zones et vos choix concernant le briefing et les alertes par e-mail | Vous les saisissez, si vous le souhaitez, sur la page My Defence du tableau de bord | Vous montrer quelles entrées du briefing concernent vos produits et ne vous envoyer que les e-mails que vous avez choisis |
| État de l'abonnement | Généré par le service et par Stripe | Savoir si vous êtes en essai, abonné ou si votre abonnement a pris fin ; dates de fin d'essai et de renouvellement |
| Identifiants client et abonnement Stripe | Stripe | Relier votre compte aux paiements. Nous ne voyons ni ne conservons les données de carte |
| Données de facturation (nom, adresse et, si vous achetez pour une entreprise, raison sociale et numéro de TVA) | Vous les saisissez sur la page de paiement de Stripe | Émettre les factures et appliquer la TVA correcte |
| Journal des e-mails envoyés | Généré par le service et par Resend | Savoir quels e-mails nous vous avons envoyés et s'ils ont été remis, pour éviter les doublons et renvoyer ceux qui n'ont pas été remis ; pour le briefing et les alertes, aussi votre choix dans My Defence à ce moment-là, pour vérifier que les e-mails partent comme vous l'avez choisi |
| Date et heure de votre dernière activité sur le site avec votre compte, avec le pays (déduit de l'adresse IP, qui n'est pas conservée) et le type d'appareil (ordinateur, téléphone ou tablette) | Enregistrés par le service lorsque vous utilisez le site en étant connecté (tableau de bord, pages, exports), au plus une fois toutes les 10 minutes ; seuls les derniers sont conservés | Savoir si le service est aussi utilisé sur le site, en plus des e-mails, pour l'améliorer |
| Connexions à votre compte : date et heure, navigateur, système d'exploitation, type d'appareil (ordinateur, téléphone ou tablette) et pays (déduit de l'adresse IP, qui n'est pas conservée) | Enregistrées par le service à chaque connexion avec un lien de connexion ou de confirmation | Vous montrer sur la page Compte les connexions récentes, pour que vous puissiez repérer une connexion qui n'est pas la vôtre et déconnecter les autres appareils |
| Seconde adresse pour les alertes : l'adresse e-mail d'une personne que vous indiquez (par exemple un collègue ou la boîte de votre équipe), avec l'état de sa confirmation | Vous la saisissez, si vous le souhaitez, sur la page Compte ; la personne indiquée confirme avec le lien que nous lui envoyons | Lui envoyer une copie des alertes DEFCON 1 et 2 que vous recevez, seulement après sa confirmation |
| Empreinte de l'adresse e-mail (un code calculé à partir de l'adresse, qui ne permet pas de la reconstituer) | Générée par le service lorsque vous supprimez votre compte après avoir utilisé l'essai gratuit | Ne pas accorder un second essai gratuit à la même adresse |
| Données techniques de connexion (adresse IP, type de navigateur, heure) | Collectées automatiquement par les serveurs qui hébergent le site | Sécurité et fonctionnement technique du site |
| Messages que vous nous écrivez | Vous, par e-mail | Vous répondre |
| Statistiques de visite : page consultée, date et heure, pays (déduit de l'adresse IP, qui n'est pas conservée), site ou campagne d'origine, langue et type d'appareil, avec un code anonyme qui change chaque jour | Générées par le site lorsque vous regardez une page quelques secondes ou l'utilisez, sans cookies | Savoir combien de personnes visitent le site et d'où elles viennent, pour l'améliorer et comprendre quels canaux fonctionnent |
| Origine de l'inscription (par exemple LinkedIn ou un moteur de recherche, la campagne, le pays et la page depuis laquelle vous vous êtes inscrit) | Générée par le service lors de votre inscription, à partir de la visite au cours de laquelle vous vous inscrivez | Comprendre quels canaux amènent des abonnés |
| Tentatives d'inscription : date et heure, résultat, pays (déduit de l'adresse IP, qui n'est pas conservée), domaine de l'adresse e-mail (la partie après le @, jamais l'adresse) et résultat du contrôle anti-robots | Générées par le service à chaque envoi du formulaire d'inscription, ou de celui de connexion avec une adresse non inscrite | Protéger le service contre les inscriptions automatisées et l'envoi d'e-mails à des adresses de tiers |
| Contrôle anti-robots (Vercel BotID) : un test automatique que votre navigateur calcule à partir de ses caractéristiques techniques lorsque vous envoyez le formulaire d'inscription ou de connexion, sans cookies et sans rien enregistrer dans le navigateur | Votre navigateur, sur les pages avec ces formulaires ; la vérification est faite par Vercel, l'hébergeur du site | Reconnaître les requêtes de programmes automatiques ; pour l'instant seul le résultat est enregistré, rien n'est bloqué |
Les données de carte (numéro, date d'expiration, code de sécurité) sont saisies directement sur les pages de Stripe et traitées uniquement par Stripe : nous ne les voyons pas. De Stripe, nous recevons le résultat des paiements et les données de facturation indiquées ci-dessus.
Nous ne traitons pas de catégories particulières de données (santé, opinions, origine, etc.). Les seules données sur vos systèmes sont celles que vous choisissez d'indiquer dans My Defence (éditeurs, produits et notes sur les zones) : c'est facultatif, et sans eux le service fonctionne de la même façon, avec tous les e-mails.
3. Finalités et bases juridiques
| Finalité | Base juridique |
|---|---|
| Fournir le service : compte, connexion, briefing, alertes, tableau de bord | Exécution du contrat (art. 6, par. 1, point b, RGPD) |
| Gérer l'essai, l'abonnement, les paiements et les communications correspondantes | Exécution du contrat (art. 6, par. 1, point b) |
| Adapter le tableau de bord et les e-mails aux produits que vous indiquez dans My Defence | Exécution du contrat (art. 6, par. 1, point b), à votre demande |
| Reconnaître les noms que vous ajoutez dans My Defence et que notre catalogue ne connaît pas : nous les recherchons, sans aucune donnée vous concernant, dans les fiches publiques de vulnérabilités et dans la National Vulnerability Database (NVD) du NIST ; s'ils existent, ils entrent dans le catalogue sous leur nom officiel | Exécution du contrat (art. 6, par. 1, point b), à votre demande |
| Émettre les factures et conserver les documents comptables et fiscaux | Obligation légale (art. 6, par. 1, point c) |
| Protéger le site et le service contre les abus et les attaques ; vérifier la remise des e-mails | Intérêt légitime à disposer d'un service sûr et fonctionnel (art. 6, par. 1, point f) |
| Empêcher que l'essai gratuit soit utilisé plusieurs fois avec la même adresse | Intérêt légitime à n'offrir l'essai qu'une seule fois par personne (art. 6, par. 1, point f) |
| Répondre à vos messages et à vos demandes relatives à vos droits | Exécution du contrat ou mesures précontractuelles ; obligation légale pour les demandes au titre du RGPD |
| Mesurer les visites du site et l'origine des inscriptions, de façon anonyme ou avec un minimum de données | Intérêt légitime à connaître et améliorer notre propre site (art. 6, par. 1, point f) |
| Comprendre si le service est aussi utilisé sur le site, en plus des e-mails (date et heure de la dernière activité) | Intérêt légitime à améliorer le service (art. 6, par. 1, point f) |
| Vous montrer les connexions récentes à votre compte et vous permettre de déconnecter les autres appareils | Intérêt légitime à la sécurité de votre compte et du service (art. 6, par. 1, point f) |
| Envoyer les copies des alertes à la seconde adresse que vous indiquez | Exécution du contrat avec vous (art. 6, par. 1, point b) et consentement de la personne indiquée, donné avec le lien de confirmation (art. 6, par. 1, point a), qu'elle peut retirer à tout moment avec le lien en bas de chaque copie |
La communication de votre adresse e-mail est nécessaire à la conclusion et à l'exécution du contrat : sans elle, nous ne pouvons pas fournir le service. Les données de facturation sont nécessaires pour émettre les factures, comme l'exige la législation fiscale.
Nous n'utilisons pas vos données à des fins publicitaires, nous ne les vendons pas et nous ne les cédons pas à des tiers pour leurs propres finalités. Nous ne prenons aucune décision automatisée vous concernant : le niveau DEFCON est calculé à partir de vulnérabilités publiques, pas de personnes.
4. À qui nous confions les données
Nous faisons appel à des prestataires qui traitent les données pour notre compte en tant que sous-traitants, sur la base de contrats conformes à l'art. 28 du RGPD :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Héberge le site et les fonctions du service | États-Unis ; fonctions du service dans l'Union européenne (Irlande), pages depuis le réseau mondial |
| Supabase Pte. Ltd. (Singapour) | Base de données du service | Union européenne (Irlande) |
| Resend (Plus Five Five, Inc.) | Envoi des e-mails du service | États-Unis ; envoi depuis une infrastructure située dans l'Union européenne (Irlande) |
| OVHcloud (OVH Hosting Limited, Irlande) | Boîte qui reçoit les messages envoyés aux adresses @defencelevel.com | Union européenne (France) |
Stripe (Stripe Payments Europe, Limited, Irlande) gère les paiements en tant que responsable de traitement autonome pour les données de paiement, conformément à sa propre politique de confidentialité.
Le service utilise en outre des outils qui ne reçoivent aucune donnée personnelle : la surveillance du fonctionnement (Healthchecks.io), la National Vulnerability Database du NIST, à laquelle nous n'envoyons que des noms de produits, et l'API d'Anthropic, avec laquelle l'intelligence artificielle rédige et vérifie les textes du service à partir des seules données publiques sur les vulnérabilités : elle ne reçoit jamais les données des abonnés, ni celles de My Defence.
Pour les prestataires établis aux États-Unis, le transfert repose sur l'EU-US Data Privacy Framework, lorsque le prestataire y adhère, ou sur les clauses contractuelles types approuvées par la Commission européenne. Supabase a son siège à Singapour, qui ne bénéficie pas d'une décision d'adéquation : le transfert repose sur les clauses contractuelles types de son accord de traitement des données, et la base de données reste dans l'Union européenne (Irlande).
5. Combien de temps nous conservons les données
| Donnée | Durée |
|---|---|
| Inscription jamais confirmée (adresse e-mail à laquelle nous avons envoyé le lien de confirmation, sans qu'il ait été utilisé) | Supprimée automatiquement après 3 jours, avec les e-mails envoyés ; seul reste le décompte de la tentative, sans l'adresse |
| Compte sans abonnement actif (essai expiré, abonnement terminé, accès offert achevé) | Conservé jusqu'à ce que vous le supprimiez depuis le tableau de bord ou que vous nous demandiez de l'effacer : nous ne le supprimons jamais automatiquement, pour que vous puissiez reprendre le service quand vous le souhaitez |
| Compte que vous supprimez depuis le tableau de bord | Supprimé immédiatement, avec les données associées |
| Journal des e-mails envoyés | Supprimé avec le compte |
| Produits, notes et choix de My Defence | Jusqu'à ce que vous les retiriez de la page My Defence ; supprimés immédiatement si vous supprimez votre compte. Dans les copies de sauvegarde de la base de données, ils restent chiffrés jusqu'à leur expiration (7 jours au maximum) |
| Date, heure, pays et appareil de la dernière activité | Remplacés à chaque nouvelle activité ; supprimés avec le compte |
| Connexions au compte | 90 jours ; supprimées immédiatement si vous supprimez votre compte |
| Seconde adresse pour les alertes | Jusqu'à ce que vous la retiriez de la page Compte ou supprimiez votre compte ; si la personne ne reçoit plus les copies, elle est conservée seulement pour vous l'indiquer, jusqu'à ce que vous la retiriez |
| Empreinte de l'adresse e-mail des personnes qui suppriment leur compte après avoir utilisé l'essai | Supprimée automatiquement après 24 mois |
| Documents comptables et fiscaux | Pendant la durée imposée par la loi roumaine |
| Données techniques de connexion | Pendant la durée limitée prévue par l'hébergeur, uniquement à des fins de sécurité et de fonctionnement |
| Messages e-mail | Le temps nécessaire pour traiter la demande et ses suites |
| Statistiques de visite détaillées | 90 jours ; ensuite seuls restent des totaux quotidiens anonymes (par page, origine, pays et appareil) |
| Code anonyme des visiteurs | La valeur secrète qui le génère change chaque jour et celle de la veille est supprimée : le code ne peut être rattaché ni à vous, ni d'un jour à l'autre |
| Origine de l'inscription | Avec le compte |
| Tentatives d'inscription | 12 mois |
6. Cookies et stockage du navigateur
Le site utilise trois cookies techniques : is_session, qui vous garde connecté au tableau de bord une fois que vous avez utilisé le lien reçu par e-mail (il dure au maximum 30 jours, est supprimé à la déconnexion et cesse de valoir sur tous les autres appareils lorsque vous les déconnectez depuis la page Compte) ; dl-auth, qui ne contient aucune donnée et indique seulement que vous êtes connecté, afin que les pages publiques affichent le lien vers le tableau de bord (il dure au maximum 30 jours et est supprimé à la déconnexion) ; et dl-lang, qui mémorise la langue choisie dans le sélecteur, afin que la page d'accueil s'ouvre dans cette langue (il dure 12 mois). Le choix de langue est aussi enregistré dans le stockage local du navigateur, avec celui du thème clair ou sombre et, si vous la fermez, l'invitation à configurer My Defence. Si vous n'avez pas choisi de langue, la page d'accueil utilise celle de votre navigateur.
Si vous choisissez le thème clair ou sombre avec le bouton en haut de page, votre choix est enregistré uniquement dans votre navigateur (stockage local, élément dl-theme) : il ne nous est jamais transmis et vous pouvez le supprimer à tout moment depuis les paramètres du navigateur.
Nous n'utilisons pas de cookies de profilage, publicitaires ou de statistiques, ni d'outils tiers qui vous suivent. Les statistiques de visite décrites ci-dessus n'utilisent aucun cookie et n'enregistrent rien dans votre navigateur : c'est pourquoi le site n'affiche pas de bandeau cookies (les cookies techniques ne nécessitent pas de consentement). Si votre navigateur envoie le signal Global Privacy Control ou Do Not Track, votre visite n'est pas enregistrée.
7. Vos droits
Vous pouvez demander à tout moment :
- l'accès à vos données et une copie de celles-ci ;
- leur rectification, si elles sont inexactes ;
- leur effacement (le compte et les données associées, sauf celles que nous devons conserver en vertu de la loi) ;
- la limitation du traitement ; vous pouvez aussi vous opposer aux traitements fondés sur l'intérêt légitime ;
- leur transmission dans un format structuré et lisible par machine (portabilité).
Vous pouvez aussi télécharger une copie de vos données (dans un fichier JSON) et supprimer votre compte vous-même à tout moment depuis la page Compte du tableau de bord, avec les boutons « Télécharger une copie » et « Supprimer le compte ».
Écrivez à privacy@defencelevel.com depuis l'adresse de votre compte : nous répondons dans un délai d'un mois. Vous pouvez choisir dans My Defence les e-mails à recevoir, les suspendre tous depuis la page Compte ou avec le lien en bas de chaque e-mail, ou résilier l'abonnement depuis le tableau de bord.
Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle : en Roumanie, l'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, www.dataprotection.ro), ou l'autorité du pays où vous vivez ou travaillez (en France, la Commission nationale de l'informatique et des libertés, CNIL).
8. Sécurité
La connexion au service se fait sans mot de passe, par des liens signés, à usage unique et de courte durée. Sur la page Compte, vous voyez les dernières connexions à votre compte et pouvez déconnecter d'un clic tous les autres appareils. La base de données se trouve dans un centre de données de l'Union européenne, avec un accès restreint et des connexions chiffrées. Si vous trouvez un problème de sécurité dans nos systèmes, suivez la page Signalements de sécurité.
La liste des produits que vous indiquez dans My Defence décrit votre infrastructure et nous la traitons comme confidentielle : nous l'utilisons uniquement pour vous montrer et vous envoyer ce qui vous concerne, nous ne la partageons avec personne et ne l'utilisons à aucune autre fin. Un nom que notre catalogue ne connaît pas est recherché seul, sans aucune donnée sur vous ou votre entreprise : s'il existe, il entre dans le catalogue sous son nom officiel, le même pour tous ; sinon, les autres abonnés ne le voient pas.
Dans la base de données, les éditeurs, produits et notes de My Defence sont chiffrés (AES-256-GCM) avec une clé que la base de données ne contient pas : quiconque accéderait seulement à la base de données, à l'une de ses sauvegardes ou à un export ne verrait que du texte chiffré. Le service ne les déchiffre qu'en mémoire, pour vous les afficher et pour choisir le briefing et les alertes. L'espace d'administration du service n'affiche ni vos produits ni vos notes, seulement le nombre de produits et de zones d'un compte ; les contrôles par intelligence artificielle qui vérifient le briefing et les alertes ne peuvent lire que des données publiques sur les vulnérabilités. Les détails figurent sur la page Comment nous protégeons les données de My Defence.
9. Mineurs
Le service ne s'adresse pas aux personnes de moins de 18 ans et nous ne collectons pas sciemment de données les concernant.
10. Modifications de cette politique
Si nous modifions la manière dont nous traitons les données, nous mettrons à jour cette page et la date indiquée en haut ; en cas de modifications importantes, nous en informerons par e-mail les utilisateurs concernés avant leur entrée en vigueur.