Politique de confidentialité

CyberAudit (« nous », « notre », « la plateforme ») édite une plateforme d'audit cybersécurité défensif. Le responsable du traitement est CyberAudit. Pour toute demande relative à vos données personnelles, vous pouvez contacter notre référent protection des données : dpo@cyberaudit.app.

• Compte : nom, email, organisation, mot de passe haché.
• Authentification : sessions, jetons, IP de connexion, user-agent, journaux MFA.
• Audits & scans : cibles déclarées (URL, domaines, dépôts), résultats de scan, vulnérabilités, preuves techniques, fichiers SAST téléversés.
• Facturation : plan, statut d'abonnement, identifiants de paiement (traités par notre prestataire de paiement).
• Journalisation : journal d'audit immuable (audit trail) horodaté et chaîné par hachage, pour traçabilité réglementaire.
• Données techniques : cookies techniques posés par nos hébergeurs (voir § 9), session de connexion conservée dans le stockage local du navigateur, rapports d'erreurs techniques (voir § 6) ; aucun traceur publicitaire ni de mesure d'audience.

• Exécution du contrat (fourniture du service d'audit, scans, livraison de rapports, support).
• Obligation légale (conservation des journaux d'audit, lutte contre la fraude, réquisitions judiciaires).
• Intérêt légitime (sécurité de la plateforme, détection d'abus, amélioration produit anonymisée).
• Consentement (newsletters, communications marketing, opt-in révocable à tout moment).

CyberAudit est un outil strictement défensif. Vous ne pouvez scanner que des actifs que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite. Une preuve d'autorisation, une relation déclarée et votre adresse IP de déclaration sont enregistrées pour chaque projet, et conservées avec le journal d'audit pour finalité probatoire.

• Compte actif : pendant toute la durée de la relation contractuelle.
• Compte inactif : suppression automatique 24 mois après la dernière connexion, après un préavis envoyé par e-mail au moins 30 jours avant ; un compte sous abonnement en cours n'est jamais supprimé. Le journal d'audit et les pièces comptables liés au compte sont conservés pour leur durée légale.
• Résultats de scans : 12 mois, sauf demande de suppression anticipée.
• Journal d'audit immuable : 3 ans (minimisation RGPD ; purge automatique au-delà, la vérification d'intégrité de la chaîne restant assurée sur la fenêtre conservée).
• Données de facturation : 10 ans (obligation comptable).
• Cache de scan public anonyme : 24 h.
• Téléversements SAST : 1 h après analyse, puis suppression automatique.

Les sous-traitants utilisés sont sélectionnés pour leurs garanties RGPD et listés ci-dessous :

• Base de données, authentification et stockage (Supabase) : PostgreSQL managé sur infrastructure Amazon Web Services, en Irlande (Union européenne), chiffrement au repos.
• Distribution et calcul en périphérie (Cloudflare, Inc., États-Unis) : hébergement de l'application front et de l'API en périphérie. Transfert encadré par des clauses contractuelles types (SCC).
• IA explicative (OpenRouter, États-Unis, ou votre propre fournisseur en mode BYOK) : seules les métadonnées du finding sont transmises, après masquage automatique (clés, jetons, cookies, identifiants, e-mails, IP privées) ; jamais vos identifiants ni vos secrets. Les modèles gratuits mutualisés peuvent réutiliser les données reçues : utilisez le mode BYOK (clé chiffrée AES-256-GCM) pour des données sensibles. Transfert hors UE encadré par SCC.
• Déploiement de l'application (Lovable) : plateforme qui publie et sert l'application web ; elle pose des cookies techniques (voir § 9).
• Email transactionnel (Resend, Inc., États-Unis) : envoi des confirmations et alertes. Transfert encadré par SCC.
• Paiements (Stripe) : prestataire PCI-DSS niveau 1 ; aucune carte bancaire n'est stockée chez nous. Transfert encadré par SCC.
• Suivi des erreurs techniques (Sentry, Functional Software, Inc., région Union européenne) : rapports d'erreurs de l'application, sans données personnelles par défaut (option d'envoi des données personnelles désactivée) ; actif seulement lorsqu'il est configuré.

Services publics interrogés pendant un scan. Pour établir ses constats, le moteur consulte des bases publiques, qui reçoivent alors le nom de domaine analysé ou la liste des dépendances déclarées, jamais vos données de compte : OSV.dev (base de vulnérabilités, Google), crt.sh (journaux Certificate Transparency), le résolveur DNS chiffré de Cloudflare, l'API EPSS de FIRST.org et l'API de WordPress.org.

Les transferts hors UE (Cloudflare, OpenRouter, Resend, Stripe) sont encadrés par des clauses contractuelles types (SCC) et une analyse d'impact des transferts (TIA). Aucun autre transfert hors UE n'est effectué sans ces garanties.

• Chiffrement en transit (HTTPS) et au repos (AES-256, chez l'hébergeur de la base).
• Authentification à deux facteurs par application d'authentification (TOTP).
• Politiques d'accès Row Level Security (RLS) strictes par utilisateur et workspace.
• Clé IA personnelle (BYOK) chiffrée AES-256-GCM.
• Journal d'audit chaîné par hachage SHA-256 ; certificats émis signés.

Conformément aux articles 15 à 22 du RGPD, vous disposez :

• D'un droit d'accès, de rectification et d'effacement.
• D'un droit à la limitation et à la portabilité de vos données.
• D'un droit d'opposition et de retrait de votre consentement à tout moment.
• D'un droit de définir des directives post-mortem.
• D'un droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Vous pouvez exercer ces droits depuis la page Paramètres › Données ou par email à dpo@cyberaudit.app. Une réponse vous sera apportée sous 30 jours.

Une visite du site dépose les cookies techniques suivants, posés par nos hébergeurs :

• __cf_bm (Cloudflare) : distinguer les visiteurs des robots malveillants (protection du service), 30 minutes.
• __dpl (Lovable) : servir à chaque visiteur la même version déployée de l'application.
• session-id (Lovable) : cookie de session de la plateforme d'hébergement.

Votre session de connexion est conservée dans le stockage local de votre navigateur, pas dans un cookie. Les polices de caractères sont servies par notre propre domaine. Aucun cookie de mesure d'audience ni de publicité n'est déposé.

Toute modification substantielle de la présente politique fera l'objet d'une notification dans l'application et par email. La version en vigueur est identifiée par son numéro affiché en haut de cette page.