Politique de confidentialité, conforme RGPD

Cette politique de confidentialité de CYBEDEFEND SAS (« nous », « notre » ou « nos ») décrit comment et pourquoi nous pouvons accéder à, collecter, conserver, utiliser et partager (« traiter ») vos informations personnelles lorsque vous utilisez nos services (les « Services »), notamment lorsque vous :

• consultez notre site notre site web, ou tout site renvoyant à la présente politique
• utilisez CybeDefend. Une plateforme de sécurité du code pour les agents de code IA délivrée en SaaS cloud. La plateforme intègre l'analyse statique (SAST), l'analyse de composition logicielle (SCA), le scan IaC, la sécurité conteneurs et la détection de secrets. Combinés à une analyse alimentée par l'IA et à une remédiation automatisée qui s'exécute dans la boucle de l'agent de code IA, attrapant les failles logiques et réécrivant le code non sécurisé à l'agent-time, avant l'ouverture de la pull request. Nous traitons les données personnelles conformément au RGPD, et notre audit SOC 2 Type II est en cours, contrôles implémentés et opérationnels. Les Services sont conçus pour s'aligner sur les exigences PCI-DSS et OWASP lorsque ces référentiels vous sont applicables ; cet alignement est un objectif de conception de notre cadre de contrôle, et non une certification ou un statut réglementaire que nous détiendrions.
• échangez avec nous d'autres manières connexes. Ventes, marketing, événements, support.

Questions ou préoccupations ? La lecture de cette politique vous aide à comprendre vos droits et choix en matière de vie privée. Nous sommes responsables des décisions sur la manière dont vos informations personnelles sont traitées. Si vous n'êtes pas d'accord avec nos politiques et pratiques, n'utilisez pas nos Services. Pour toute question, écrivez-nous à notre adresse de contact.

Résumé des points clés

Ce résumé met en avant les points clés. Utilisez la table des matières pour accéder à n'importe quelle section in extenso.

• Quelles données traitons-nous ? Lorsque vous utilisez nos Services, nous pouvons traiter des informations personnelles selon vos interactions, vos choix et les fonctionnalités que vous utilisez. Voir section 1.
• Traitons-nous des données sensibles ? Non. Nous ne traitons aucune donnée de catégorie spéciale (origine raciale ou ethnique, orientation sexuelle, convictions religieuses, biométrie, génétique).
• Collectons-nous des informations auprès de tiers ? Nous pouvons collecter des informations issues de bases publiques, partenaires marketing, plateformes sociales et autres sources externes. Voir section 1.
• Comment traitons-nous vos données ? Pour fournir, améliorer et administrer nos Services, communiquer avec vous, prévenir la fraude et nous conformer à la loi. Voir section 2.
• Avec qui partageons-nous vos données ? Uniquement avec des sous-traitants qualifiés et des autorités, comme détaillé en section 4 et sur notre page Sous-traitants.
• Comment protégeons-nous vos données ? Mesures organisationnelles et techniques détaillées sur notre page Sécurité. Aucune transmission électronique ne peut être garantie 100 % sûre.
• Quels sont vos droits ? Selon votre lieu de résidence, vous disposez de droits d'accès, rectification, effacement, portabilité et opposition. Voir section 12.

1. Quelles informations collectons-nous ?

Informations que vous nous communiquez

En bref : nous collectons les informations personnelles que vous nous fournissez.

Nous collectons les informations personnelles que vous fournissez volontairement lors de votre inscription, lorsque vous manifestez un intérêt pour nos produits, participez à des activités sur les Services ou nous contactez.

Les informations personnelles que nous collectons peuvent inclure :

• noms
• adresses e-mail
• adresses postales
• noms d'utilisateur
• adresses de facturation
• numéros de carte bancaire (gérés par notre processeur de paiement, le PAN complet ne nous est jamais transmis)
• données de contact ou d'authentification
• identifiants de dépôts, noms d'organisations et code source soumis à la plateforme pour analyse

Données sensibles. Nous ne traitons pas de données sensibles (catégories spéciales).

Données de paiement. Nous pouvons collecter les données nécessaires au traitement de votre paiement. Les numéros d'instruments de paiement et les codes de sécurité sont gérés et stockés par Stripe, Inc. Leur politique : la politique de confidentialité de Stripe.

Connexion via un compte social. Nous pouvons vous offrir la possibilité de vous inscrire via un compte tiers (Google, GitHub, Microsoft). Voir section 8 pour les informations reçues.

Toutes les informations personnelles que vous nous fournissez doivent être véridiques, complètes et exactes, et vous devez nous notifier tout changement.

Informations collectées automatiquement

En bref : certaines informations comme votre adresse IP et les caractéristiques du navigateur sont collectées automatiquement.

Nous collectons automatiquement certaines informations lorsque vous visitez ou naviguez les Services. Ces informations ne révèlent pas directement votre identité mais peuvent inclure des informations de périphérique et d'usage : adresse IP, caractéristiques du navigateur et de l'appareil, OS, langue, URL de référence, pays, localisation, et la manière et le moment où vous utilisez nos Services.

Les informations collectées incluent :

• Données de logs et d'usage. Informations diagnostiques, d'usage et de performance que nos serveurs collectent automatiquement.
• Données d'appareil. Informations sur votre appareil. IP, identifiants d'appareil et d'application, localisation, navigateur, modèle, FAI / opérateur, OS, configuration système.
• Données de localisation. Localisation approximative dérivée de votre IP. Pas de GPS précis sans permission explicite.

Informations collectées auprès d'autres sources

En bref : nous pouvons collecter des données limitées auprès de bases publiques, partenaires marketing et autres sources externes.

Pour améliorer notre capacité à vous fournir du marketing pertinent, des offres et des services, nous pouvons obtenir des informations vous concernant auprès de bases publiques, partenaires marketing conjoint, programmes d'affiliation, fournisseurs de données, plateformes sociales et autres tiers. Généralement adresse postale, intitulé de poste, e-mail, téléphone, données d'intention, IP et profil social.

2. Comment traitons-nous vos informations ?

En bref : nous traitons vos informations pour fournir, améliorer et administrer nos Services, communiquer avec vous, prévenir la fraude et nous conformer à la loi.

Nous traitons vos informations personnelles pour, notamment :

• faciliter la création de compte et l'authentification et gérer les comptes utilisateurs ;
• fournir et faciliter la fourniture des services à l'utilisateur ;
• répondre aux demandes utilisateur et offrir du support ;
• envoyer des informations administratives sur nos produits, services, conditions et politiques ;
• exécuter et gérer vos commandes, paiements, retours et échanges ;
• permettre la communication entre utilisateurs lorsque vous utilisez les fonctionnalités prévues ;
• demander des retours et vous contacter sur l'usage de nos Services ;
• vous envoyer des communications marketing conformément à vos préférences ;
• diffuser de la publicité ciblée pertinente pour vos centres d'intérêt ;
• protéger nos Services, prévenir la fraude ;
• identifier les tendances d'usage pour améliorer les Services ;
• mesurer l'efficacité de nos campagnes marketing ;
• sauvegarder ou protéger un intérêt vital lorsque nécessaire.

3. Bases légales sur lesquelles nous nous appuyons

En bref : nous ne traitons vos informations que lorsque c'est nécessaire et pour une raison légale valide. Consentement, contrat, intérêt légitime, obligation légale ou intérêt vital.

Si vous résidez dans l'UE ou au Royaume-Uni, le RGPD et l'UK GDPR exigent que nous expliquions les bases légales :

• Consentement. Quand vous avez donné votre permission. Vous pouvez retirer votre consentement à tout moment.
• Exécution d'un contrat. Quand nécessaire pour remplir nos obligations contractuelles, y compris pour fournir les Services.
• Intérêts légitimes. Par exemple, envoyer des mises à jour, développer du contenu pertinent, analyser l'usage, soutenir le marketing, diagnostiquer et prévenir la fraude.
• Obligations légales. Coopérer avec une autorité, exercer ou défendre nos droits.
• Intérêts vitaux. Pour protéger vos intérêts vitaux ou ceux d'un tiers.

Si vous résidez au Canada, nous pouvons traiter vos informations avec votre consentement exprès ou implicite. Dans des cas limités prévus par la loi canadienne, sans consentement.

4. Quand et avec qui partageons-nous

En bref : nous pouvons partager vos informations dans des situations spécifiques avec les catégories de tiers listées ci-dessous.

Fournisseurs, consultants et autres prestataires. Nous pouvons partager vos données avec des fournisseurs, prestataires, sous-traitants ou agents qui exécutent des services en notre nom. Nous avons des contrats écrits avec eux. Ils ne peuvent rien faire de vos données sans nos instructions.

Catégories de tiers avec lesquels nous pouvons partager :

• Services de cloud computing (Scaleway en UE ; Google Cloud aux US)
• Couche d'inférence IA auto-hébergée sur des modèles Mistral open-weight, opérée sur notre propre infrastructure souveraine UE (aucun fournisseur IA tiers: aucune donnée n'est envoyée à OpenAI, Anthropic, Google AI ou toute autre API LLM externe ; voir section 7)
• Programmes d'affiliation
• Réseaux publicitaires
• Outils de communication et collaboration
• Services d'analytics
• Stockage de données
• Outils financiers
• Entités gouvernementales (uniquement si légalement requis)
• Processeurs de paiement (Stripe, Inc.)
• Outils de monitoring de performance
• Outils d'ingénierie produit
• Plateformes de retargeting
• Outils ventes & marketing
• Réseaux sociaux
• Outils de test
• Services d'enregistrement et d'authentification
• Hébergeurs

La liste actuelle des sous-traitants nommés est publiée à /legal/subprocessors.

Autres situations : transferts d'entreprise (fusion, acquisition), partenaires commerciaux, autres utilisateurs (lorsque vous publiez du contenu publiquement).

5. Sites tiers

En bref : nous ne sommes pas responsables des informations que vous partagez avec des tiers liés depuis nos Services mais non affiliés à nous.

Les Services peuvent contenir des liens vers des sites tiers, services en ligne ou applications mobiles. Nous ne garantissons pas ces tiers et n'assumons aucune responsabilité pour les pertes ou dommages causés par leur usage.

6. Cookies et technologies de traçage

En bref : nous pouvons utiliser des cookies et autres technologies de traçage.

Nous pouvons utiliser des cookies et technologies similaires (web beacons, pixels) pour collecter des informations lorsque vous interagissez avec nos Services. Certaines aident à maintenir la sécurité, prévenir les crashs, sauvegarder vos préférences. Nous autorisons aussi des tiers à utiliser des technologies de traçage pour l'analytics et la publicité.

Google Analytics. Nous pouvons partager vos informations avec Google Analytics. Pour vous désinscrire : l'opt-out Google Analytics.

Publicité et mesure

En bref : deux balises publicitaires mesurent nos campagnes. Votre réponse au bandeau cookies décide si elles tournent, et un refus arrête tout ce qui suit.

Quelles balises se chargent, et selon quelle règle. Notre site utilise Google Analytics 4 et le pixel Meta. En France et dans les outre-mer, ainsi que chaque fois que nous ne pouvons pas déterminer votre pays, aucune des deux ne se charge avant que vous ayez choisi « Accepter » dans le bandeau cookies. Partout ailleurs, les deux se chargent sauf si vous refusez. « Refuser » fait taire les deux balises et fait expirer les cookies déjà écrits, _ga et _ga_<id de propriété> pour Google, _fbp et _fbc pour Meta, qu'ils datent de cette visite ou d'une précédente.

Ce que le pixel Meta envoie depuis votre navigateur. Une fois chargé, il signale la page vue avec l'identifiant _fbp qu'il conserve en cookie, et avec _fbc, qui n'existe que si votre visite provient d'un clic sur une publicité Meta. Quand vous envoyez avec succès le formulaire de notre page sécurisez votre agent, le pixel transmet aussi votre adresse e-mail, et, si vous avez renseigné un numéro de téléphone, ce numéro et votre code pays à deux lettres, chacun haché en SHA-256 par le script Meta dans votre navigateur, avant que la requête ne quitte la page.

Ce que nos serveurs envoient à Meta. Notre backend signale les mêmes conversions de serveur à serveur, via l'API Conversions de Meta : Lead quand votre envoi est accepté, puis CompleteRegistration, StartTrial et Purchase si vous créez un compte, ouvrez un essai ou souscrivez. Les quatre portent votre adresse e-mail et votre numéro de téléphone hachés en SHA-256 sur nos serveurs, les identifiants _fbc et _fbp, et une empreinte SHA-256 de l'identifiant interne de votre dossier de prospect, qui permet à Meta de relier les quatre événements à la même personne. Seul le Lead, le premier des quatre, porte en plus votre adresse IP et le user agent de votre navigateur, et Purchase porte en plus le montant facturé et sa devise. Le Lead du navigateur et celui du serveur partagent un même identifiant d'événement : Meta compte une conversion, pas deux.

Aucune adresse e-mail ni aucun numéro de téléphone en clair ne part chez Meta, sur aucun des deux chemins. Le hachage est à sens unique : nous envoyons une empreinte, Meta la rapproche des empreintes qu'elle détient déjà.

Pourquoi. Pour attribuer et mesurer notre publicité : quelle campagne a produit quel lead, et ce que notre publicité a réellement rapporté. Rien de tout cela ne personnalise le produit, et rien n'est vendu.

Sur quelle base légale. Votre consentement, donné via le bandeau cookies, au titre de l'article 6.1.a du RGPD et, pour les cookies eux-mêmes, de l'article 82 de la loi Informatique et Libertés. Ce n'est ni une nécessité contractuelle ni un intérêt légitime : un refus ne vous coûte rien, nos formulaires et nos Services fonctionnent à l'identique.

Qui reçoit ces données. Google LLC pour Google Analytics, Meta Platforms Ireland Limited pour le pixel et l'API Conversions. Personne d'autre à des fins publicitaires, et rien n'est vendu. La liste complète de nos prestataires est sur notre page Sous-traitants.

Comment retirer votre consentement. Choisissez « Refuser » dans le bandeau cookies : les balises se taisent et les cookies ci-dessus expirent. Une fois que vous avez répondu, le bandeau ne réapparaît plus, car votre réponse est conservée dans votre navigateur sous la clé cybe_consent : effacer les données du site pour cybedefend.com le fait revenir et vous permet de répondre à nouveau. Vous pouvez aussi supprimer ces cookies vous-même à tout moment, ou installer le module de désactivation Google Analytics. Le retrait arrête toute collecte ultérieure ; il n'annule pas les mesures déjà effectuées.

7. Produits basés sur l'IA

En bref : nous proposons des produits, fonctionnalités et outils alimentés par l'IA, le machine learning et technologies similaires.

IA auto-hébergée, aucune API IA tierce. Nous n'utilisons pas de fournisseur IA tiers (Anthropic, OpenAI, Google AI, Cohere, Mistral La Plateforme, etc.) pour livrer nos Produits IA. CybeDefend opère sa propre couche d'inférence IA en utilisant des modèles Mistral open-weight que nous auto-hébergeons sur l'infrastructure souveraine UE de Scaleway. Code Client, prompts et complétions sont traités exclusivement par des modèles que nous opérons ; aucune donnée n'est envoyée à une API IA externe et rien de ce que vous soumettez n'est utilisé pour entraîner un modèle, le nôtre ou celui d'autrui.

Si un client choisit d'utiliser un agent IA externe (Claude Code, Cursor, Windsurf, etc.) et y connecte CybeDefend via notre serveur MCP, cet agent (opéré par le fournisseur tiers choisi par le client) traitera bien sûr les prompts du client sur sa propre infrastructure. CybeDefend n'a aucun rôle dans ce flux autre que de répondre aux appels de l'agent vers notre couche auto-hébergée.

Nos Produits IA sont conçus pour : analyse statique et de composition assistée par IA ; remédiation automatisée vérifiée (Cybe AutoFix) ; corrélation cross-tool (Cybe Analysis) ; copilot sécurité dans l'IDE (Cybe Security Champion) ; verdicts de sécurité dans la boucle de l'agent, délivrés via notre serveur MCP ; explications et guidance en langage naturel.

Comment nous traitons vos données via l'IA. Toutes les informations personnelles traitées via nos Produits IA le sont conformément à cette politique. Comme nous auto-hébergeons les modèles, aucun fournisseur IA tiers n'intervient dans le chemin de données, et rien de ce que vous soumettez n'est utilisé pour entraîner un modèle, le nôtre ou celui d'un autre. L'inférence tourne à l'intérieur de la région que vous avez choisie et ne franchit jamais cette frontière.

Comment se désinscrire. Connectez-vous aux préférences de votre compte et mettez à jour vos préférences IA, ou écrivez-nous.

8. Connexions sociales

En bref : si vous choisissez de vous inscrire ou vous connecter via un compte social, nous pouvons accéder à certaines informations.

Si vous choisissez la connexion tierce (Google, GitHub, Microsoft), nous recevrons certaines informations de profil. Généralement nom, e-mail, photo de profil. Nous n'utilisons ces informations qu'aux fins décrites dans cette politique.

9. Transferts internationaux

En bref : nous pouvons transférer, conserver et traiter vos informations dans des pays autres que le vôtre.

Nous opérons des régions de données dans l'Union européenne (primaire) et aux États-Unis. Les clients sélectionnent leur région à l'inscription. Notre région UE est hébergée dans l'EEE (sous-traitants UE pour le tier de stockage uniquement) ; notre région US est hébergée sur infrastructure US.

Pour les transferts hors EEE vers un pays sans décision d'adéquation, nous utilisons les Clauses contractuelles types de la Commission européenne. Sur demande à notre équipe juridique.

10. Combien de temps conservons-nous vos informations

En bref : aussi longtemps que nécessaire à l'accomplissement des finalités de cette politique, sauf si la loi exige plus.

Nous ne conservons vos informations personnelles que le temps nécessaire aux finalités définies, sauf si une période de rétention plus longue est requise par la loi (fiscalité, comptabilité, autres exigences légales). Aucune finalité n'exige une conservation plus longue que la durée de votre compte plus une courte période de grâce pour les sauvegardes.

Le cas particulier du Code Client. Le code source suit une règle distincte. Pour un scan standard, votre dépôt est cloné dans un conteneur isolé le temps du scan, analysé, puis le conteneur et sa copie du code sont détruits à la fin de l'analyse. Ce que nous conservons, c'est le résultat de l'analyse : les vulnérabilités, leur emplacement et les métadonnées de dépôt.

Cybe Analysis et le Security Champion. Si vous activez ces fonctions IA, nous conservons, dans la région que vous avez choisie, une copie du code de votre dépôt et de son historique git, ainsi qu'un knowledge graph construit à partir de lui (chemins des fichiers, courte description de chaque fichier et fonction, et le code de ces fonctions), car ces fonctions s'en servent pour répondre. Les désactiver arrête toute nouvelle copie ; pour faire supprimer ce qui est déjà conservé, écrivez-nous à notre adresse de contact.

11. Comment protégeons-nous vos informations

En bref : nous mettons en œuvre des mesures organisationnelles et techniques. Voir notre page Sécurité.

Mesures incluant chiffrement en transit (TLS 1.2+) et au repos, contrôle d'accès basé sur les rôles avec moindre privilège, séparation tenancy par région, déploiements audités, monitoring continu.

Aucune transmission électronique ne peut être garantie 100 % sûre. Bien que nous fassions notre maximum, la transmission est à votre risque.

12. Vos droits en matière de vie privée

En bref : selon votre résidence, vous disposez de droits d'accès, rectification, effacement, portabilité et opposition.

Dans certaines régions (EEE, UK, Suisse, Canada), vous avez des droits de (i) demander l'accès et obtenir une copie ; (ii) demander la rectification ou l'effacement ; (iii) restreindre le traitement ; (iv) à la portabilité ; (v) ne pas être soumis à une décision automatisée. Vous pouvez aussi vous opposer au traitement.

Exercez vos droits via /contact ou en nous contactant à notre adresse de contact.

Si vous résidez dans l'EEE/UK et estimez que nous traitons illégalement vos données, vous avez le droit de saisir votre autorité de protection des données. En France : la CNIL (la CNIL).

Retrait du consentement. Si nous nous appuyons sur votre consentement, vous avez le droit de le retirer à tout moment.

Désinscription marketing. Cliquez sur le lien de désinscription dans nos e-mails ou contactez-nous.

Informations de compte. Pour revoir, modifier ou résilier votre compte, contactez-nous. Nous pouvons retenir certaines informations pour prévenir la fraude, dépanner, assister les enquêtes ou nous conformer à des obligations légales.

13. Contrôles Do-Not-Track

À ce stade, aucune norme uniforme pour reconnaître les signaux DNT n'est finalisée. Nous ne répondons pas actuellement aux signaux DNT des navigateurs. Si une norme est adoptée, nous vous informerons dans une version révisée.

14. Les résidents américains ont-ils des droits spécifiques ?

En bref : si vous résidez en Californie, Colorado, Connecticut, Delaware, Floride, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah ou Virginie, vous pouvez avoir des droits spécifiques.

Catégories de données collectées et droits applicables : voir la version anglaise. La liste détaillée est intégrée par référence.

Nous ne vendons ni ne partageons vos données personnelles à des fins de publicité comportementale cross-context au sens du CCPA / CPRA.

Pour exercer vos droits, écrivez à notre adresse de contact ou via /contact. Nous honorons les signaux Global Privacy Control (GPC).

15. Mises à jour de cette politique

En bref : oui, nous la mettrons à jour pour rester en conformité.

La version mise à jour sera indiquée par une nouvelle date « Dernière mise à jour » en haut. En cas de changement majeur, nous vous notifierons.

16. Comment nous contacter

Pour toute question, écrivez à notre adresse de contact ou par courrier à :

CYBEDEFEND SAS 177 Allée Clémentine Deman 59000 Lille. France

Pour les demandes spécifiques à la protection des données : notre équipe juridique.

17. Comment revoir, mettre à jour ou supprimer vos données

Vous pouvez demander l'accès, la rectification ou la suppression de vos informations en nous écrivant à notre adresse de contact ou via /contact.