Politique de confidentialité

Cette politique de confidentialité de CYBEDEFEND SAS (« nous », « notre » ou « nos ») décrit comment et pourquoi nous pouvons accéder à, collecter, conserver, utiliser et partager (« traiter ») vos informations personnelles lorsque vous utilisez nos services (les « Services »), notamment lorsque vous :

• consultez notre site notre site web, ou tout site renvoyant à la présente politique
• utilisez CybeDefend. Une plateforme AppSec MCP-native délivrée en SaaS cloud. La plateforme intègre l'analyse statique (SAST), l'analyse de composition logicielle (SCA), le scan IaC, la sécurité conteneurs et la détection de secrets. Combinés à une analyse alimentée par l'IA et à une remédiation automatisée qui s'exécute dans la boucle de l'agent de code IA, attrapant les failles logiques et réécrivant le code non sécurisé à l'agent-time, avant l'ouverture de la pull request. Notre périmètre de conformité couvre RGPD, NIS2, DORA et l'alignement avec les référentiels PCI-DSS et OWASP.
• échangez avec nous d'autres manières connexes. Ventes, marketing, événements, support.

Questions ou préoccupations ? La lecture de cette politique vous aide à comprendre vos droits et choix en matière de vie privée. Nous sommes responsables des décisions sur la manière dont vos informations personnelles sont traitées. Si vous n'êtes pas d'accord avec nos politiques et pratiques, n'utilisez pas nos Services. Pour toute question, écrivez-nous à notre adresse de contact.

Résumé des points clés

Ce résumé met en avant les points clés. Utilisez la table des matières pour accéder à n'importe quelle section in extenso.

• Quelles données traitons-nous ? Lorsque vous utilisez nos Services, nous pouvons traiter des informations personnelles selon vos interactions, vos choix et les fonctionnalités que vous utilisez. Voir section 1.
• Traitons-nous des données sensibles ? Non. Nous ne traitons aucune donnée de catégorie spéciale (origine raciale ou ethnique, orientation sexuelle, convictions religieuses, biométrie, génétique).
• Collectons-nous des informations auprès de tiers ? Nous pouvons collecter des informations issues de bases publiques, partenaires marketing, plateformes sociales et autres sources externes. Voir section 1.
• Comment traitons-nous vos données ? Pour fournir, améliorer et administrer nos Services, communiquer avec vous, prévenir la fraude et nous conformer à la loi. Voir section 2.
• Avec qui partageons-nous vos données ? Uniquement avec des sous-traitants qualifiés et des autorités, comme détaillé en section 4 et sur notre page Sous-traitants.
• Comment protégeons-nous vos données ? Mesures organisationnelles et techniques détaillées sur notre page Sécurité. Aucune transmission électronique ne peut être garantie 100 % sûre.
• Quels sont vos droits ? Selon votre lieu de résidence, vous disposez de droits d'accès, rectification, effacement, portabilité et opposition. Voir section 12.

1. Quelles informations collectons-nous ?

Informations que vous nous communiquez

En bref : nous collectons les informations personnelles que vous nous fournissez.

Nous collectons les informations personnelles que vous fournissez volontairement lors de votre inscription, lorsque vous manifestez un intérêt pour nos produits, participez à des activités sur les Services ou nous contactez.

Les informations personnelles que nous collectons peuvent inclure :

• noms
• adresses e-mail
• adresses postales
• noms d'utilisateur
• adresses de facturation
• numéros de carte bancaire (gérés par notre processeur de paiement, le PAN complet ne nous est jamais transmis)
• données de contact ou d'authentification
• identifiants de dépôts, noms d'organisations et code source soumis à la plateforme pour analyse

Données sensibles. Nous ne traitons pas de données sensibles (catégories spéciales).

Données de paiement. Nous pouvons collecter les données nécessaires au traitement de votre paiement. Les numéros d'instruments de paiement et les codes de sécurité sont gérés et stockés par Stripe, Inc. Leur politique : la politique de confidentialité de Stripe.

Connexion via un compte social. Nous pouvons vous offrir la possibilité de vous inscrire via un compte tiers (Google, GitHub, Microsoft). Voir section 8 pour les informations reçues.

Toutes les informations personnelles que vous nous fournissez doivent être véridiques, complètes et exactes, et vous devez nous notifier tout changement.

Informations collectées automatiquement

En bref : certaines informations comme votre adresse IP et les caractéristiques du navigateur sont collectées automatiquement.

Nous collectons automatiquement certaines informations lorsque vous visitez ou naviguez les Services. Ces informations ne révèlent pas directement votre identité mais peuvent inclure des informations de périphérique et d'usage : adresse IP, caractéristiques du navigateur et de l'appareil, OS, langue, URL de référence, pays, localisation, et la manière et le moment où vous utilisez nos Services.

Les informations collectées incluent :

• Données de logs et d'usage. Informations diagnostiques, d'usage et de performance que nos serveurs collectent automatiquement.
• Données d'appareil. Informations sur votre appareil. IP, identifiants d'appareil et d'application, localisation, navigateur, modèle, FAI / opérateur, OS, configuration système.
• Données de localisation. Localisation approximative dérivée de votre IP. Pas de GPS précis sans permission explicite.

Informations collectées auprès d'autres sources

En bref : nous pouvons collecter des données limitées auprès de bases publiques, partenaires marketing et autres sources externes.

Pour améliorer notre capacité à vous fournir du marketing pertinent, des offres et des services, nous pouvons obtenir des informations vous concernant auprès de bases publiques, partenaires marketing conjoint, programmes d'affiliation, fournisseurs de données, plateformes sociales et autres tiers. Généralement adresse postale, intitulé de poste, e-mail, téléphone, données d'intention, IP et profil social.

2. Comment traitons-nous vos informations ?

En bref : nous traitons vos informations pour fournir, améliorer et administrer nos Services, communiquer avec vous, prévenir la fraude et nous conformer à la loi.

Nous traitons vos informations personnelles pour, notamment :

• faciliter la création de compte et l'authentification et gérer les comptes utilisateurs ;
• fournir et faciliter la fourniture des services à l'utilisateur ;
• répondre aux demandes utilisateur et offrir du support ;
• envoyer des informations administratives sur nos produits, services, conditions et politiques ;
• exécuter et gérer vos commandes, paiements, retours et échanges ;
• permettre la communication entre utilisateurs lorsque vous utilisez les fonctionnalités prévues ;
• demander des retours et vous contacter sur l'usage de nos Services ;
• vous envoyer des communications marketing conformément à vos préférences ;
• diffuser de la publicité ciblée pertinente pour vos centres d'intérêt ;
• protéger nos Services, prévenir la fraude ;
• identifier les tendances d'usage pour améliorer les Services ;
• mesurer l'efficacité de nos campagnes marketing ;
• sauvegarder ou protéger un intérêt vital lorsque nécessaire.

3. Bases légales sur lesquelles nous nous appuyons

En bref : nous ne traitons vos informations que lorsque c'est nécessaire et pour une raison légale valide. Consentement, contrat, intérêt légitime, obligation légale ou intérêt vital.

Si vous résidez dans l'UE ou au Royaume-Uni, le RGPD et l'UK GDPR exigent que nous expliquions les bases légales :

• Consentement. Quand vous avez donné votre permission. Vous pouvez retirer votre consentement à tout moment.
• Exécution d'un contrat. Quand nécessaire pour remplir nos obligations contractuelles, y compris pour fournir les Services.
• Intérêts légitimes. Par exemple, envoyer des mises à jour, développer du contenu pertinent, analyser l'usage, soutenir le marketing, diagnostiquer et prévenir la fraude.
• Obligations légales. Coopérer avec une autorité, exercer ou défendre nos droits.
• Intérêts vitaux. Pour protéger vos intérêts vitaux ou ceux d'un tiers.

Si vous résidez au Canada, nous pouvons traiter vos informations avec votre consentement exprès ou implicite. Dans des cas limités prévus par la loi canadienne, sans consentement.

4. Quand et avec qui partageons-nous

En bref : nous pouvons partager vos informations dans des situations spécifiques avec les catégories de tiers listées ci-dessous.

Fournisseurs, consultants et autres prestataires. Nous pouvons partager vos données avec des fournisseurs, prestataires, sous-traitants ou agents qui exécutent des services en notre nom. Nous avons des contrats écrits avec eux. Ils ne peuvent rien faire de vos données sans nos instructions.

Catégories de tiers avec lesquels nous pouvons partager :

• Services de cloud computing (Scaleway en UE ; Google Cloud aux US)
• Couche d'inférence IA auto-hébergée sur des modèles Mistral open-weight, opérée sur notre propre infrastructure souveraine UE (aucun fournisseur IA tiers — aucune donnée n'est envoyée à OpenAI, Anthropic, Google AI ou toute autre API LLM externe ; voir section 7)
• Programmes d'affiliation
• Réseaux publicitaires
• Outils de communication et collaboration
• Services d'analytics
• Stockage de données
• Outils financiers
• Entités gouvernementales (uniquement si légalement requis)
• Processeurs de paiement (Stripe, Inc.)
• Outils de monitoring de performance
• Outils d'ingénierie produit
• Plateformes de retargeting
• Outils ventes & marketing
• Réseaux sociaux
• Outils de test
• Services d'enregistrement et d'authentification
• Hébergeurs

La liste actuelle des sous-traitants nommés est publiée à /legal/subprocessors.

Autres situations : transferts d'entreprise (fusion, acquisition), partenaires commerciaux, autres utilisateurs (lorsque vous publiez du contenu publiquement).

5. Sites tiers

En bref : nous ne sommes pas responsables des informations que vous partagez avec des tiers liés depuis nos Services mais non affiliés à nous.

Les Services peuvent contenir des liens vers des sites tiers, services en ligne ou applications mobiles. Nous ne garantissons pas ces tiers et n'assumons aucune responsabilité pour les pertes ou dommages causés par leur usage.

6. Cookies et technologies de traçage

En bref : nous pouvons utiliser des cookies et autres technologies de traçage.

Nous pouvons utiliser des cookies et technologies similaires (web beacons, pixels) pour collecter des informations lorsque vous interagissez avec nos Services. Certaines aident à maintenir la sécurité, prévenir les crashs, sauvegarder vos préférences. Nous autorisons aussi des tiers à utiliser des technologies de traçage pour l'analytics et la publicité.

Google Analytics. Nous pouvons partager vos informations avec Google Analytics. Pour vous désinscrire : l'opt-out Google Analytics.

7. Produits basés sur l'IA

En bref : nous proposons des produits, fonctionnalités et outils alimentés par l'IA, le machine learning et technologies similaires.

IA auto-hébergée, aucune API IA tierce. Nous n'utilisons pas de fournisseur IA tiers (Anthropic, OpenAI, Google AI, Cohere, Mistral La Plateforme, etc.) pour livrer nos Produits IA. CybeDefend opère sa propre couche d'inférence IA en utilisant des modèles Mistral open-weight que nous auto-hébergeons sur l'infrastructure souveraine UE de Scaleway. Code Client, prompts et complétions sont traités exclusivement par des modèles que nous opérons ; aucune donnée n'est envoyée à une API IA externe et rien de ce que vous soumettez n'est utilisé pour entraîner un modèle, le nôtre ou celui d'autrui.

Si un client choisit d'utiliser un agent IA externe (Claude Code, Cursor, Windsurf, etc.) et y connecte CybeDefend via notre serveur MCP, cet agent — opéré par le fournisseur tiers choisi par le client — traitera bien sûr les prompts du client sur sa propre infrastructure. CybeDefend n'a aucun rôle dans ce flux autre que de répondre aux appels de l'agent vers notre couche auto-hébergée.

Nos Produits IA sont conçus pour : analyse statique et de composition assistée par IA ; remédiation automatisée vérifiée (Cybe AutoFix) ; corrélation cross-tool (Cybe Analysis) ; copilot sécurité dans l'IDE (Cybe Security Champion) ; verdicts MCP-native dans la boucle de l'agent ; explications et guidance en langage naturel.

Comment nous traitons vos données via l'IA. Toutes les informations personnelles traitées via nos Produits IA le sont conformément à cette politique et à nos accords avec les fournisseurs. Nous interdisons contractuellement à nos fournisseurs IA d'utiliser vos entrées ou sorties pour entraîner leurs modèles généraux.

Comment se désinscrire. Connectez-vous aux préférences de votre compte et mettez à jour vos préférences IA, ou écrivez-nous.

8. Connexions sociales

En bref : si vous choisissez de vous inscrire ou vous connecter via un compte social, nous pouvons accéder à certaines informations.

Si vous choisissez la connexion tierce (Google, GitHub, Microsoft), nous recevrons certaines informations de profil. Généralement nom, e-mail, photo de profil. Nous n'utilisons ces informations qu'aux fins décrites dans cette politique.

9. Transferts internationaux

En bref : nous pouvons transférer, conserver et traiter vos informations dans des pays autres que le vôtre.

Nous opérons des régions de données dans l'Union européenne (primaire) et aux États-Unis. Les clients sélectionnent leur région à l'inscription. Notre région UE est hébergée dans l'EEE (sous-traitants UE pour le tier de stockage uniquement) ; notre région US est hébergée sur infrastructure US.

Pour les transferts hors EEE vers un pays sans décision d'adéquation, nous utilisons les Clauses contractuelles types de la Commission européenne. Sur demande à notre équipe juridique.

10. Combien de temps conservons-nous vos informations

En bref : aussi longtemps que nécessaire à l'accomplissement des finalités de cette politique, sauf si la loi exige plus.

Nous ne conservons vos informations personnelles que le temps nécessaire aux finalités définies, sauf si une période de rétention plus longue est requise par la loi (fiscalité, comptabilité, autres exigences légales). Aucune finalité n'exige une conservation plus longue que la durée de votre compte plus une courte période de grâce pour les sauvegardes.

11. Comment protégeons-nous vos informations

En bref : nous mettons en œuvre des mesures organisationnelles et techniques. Voir notre page Sécurité.

Mesures incluant chiffrement en transit (TLS 1.2+) et au repos, contrôle d'accès basé sur les rôles avec moindre privilège, séparation tenancy par région, déploiements audités, monitoring continu.

Aucune transmission électronique ne peut être garantie 100 % sûre. Bien que nous fassions notre maximum, la transmission est à votre risque.

12. Vos droits en matière de vie privée

En bref : selon votre résidence, vous disposez de droits d'accès, rectification, effacement, portabilité et opposition.

Dans certaines régions (EEE, UK, Suisse, Canada), vous avez des droits de (i) demander l'accès et obtenir une copie ; (ii) demander la rectification ou l'effacement ; (iii) restreindre le traitement ; (iv) à la portabilité ; (v) ne pas être soumis à une décision automatisée. Vous pouvez aussi vous opposer au traitement.

Exercez vos droits via /contact ou en nous contactant à notre adresse de contact.

Si vous résidez dans l'EEE/UK et estimez que nous traitons illégalement vos données, vous avez le droit de saisir votre autorité de protection des données. En France : la CNIL (la CNIL).

Retrait du consentement. Si nous nous appuyons sur votre consentement, vous avez le droit de le retirer à tout moment.

Désinscription marketing. Cliquez sur le lien de désinscription dans nos e-mails ou contactez-nous.

Informations de compte. Pour revoir, modifier ou résilier votre compte, contactez-nous. Nous pouvons retenir certaines informations pour prévenir la fraude, dépanner, assister les enquêtes ou nous conformer à des obligations légales.

13. Contrôles Do-Not-Track

À ce stade, aucune norme uniforme pour reconnaître les signaux DNT n'est finalisée. Nous ne répondons pas actuellement aux signaux DNT des navigateurs. Si une norme est adoptée, nous vous informerons dans une version révisée.

14. Les résidents américains ont-ils des droits spécifiques ?

En bref : si vous résidez en Californie, Colorado, Connecticut, Delaware, Floride, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah ou Virginie, vous pouvez avoir des droits spécifiques.

Catégories de données collectées et droits applicables : voir la version anglaise. La liste détaillée est intégrée par référence.

Nous ne vendons ni ne partageons vos données personnelles à des fins de publicité comportementale cross-context au sens du CCPA / CPRA.

Pour exercer vos droits, écrivez à notre adresse de contact ou via /contact. Nous honorons les signaux Global Privacy Control (GPC).

15. Mises à jour de cette politique

En bref : oui, nous la mettrons à jour pour rester en conformité.

La version mise à jour sera indiquée par une nouvelle date « Dernière mise à jour » en haut. En cas de changement majeur, nous vous notifierons.

16. Comment nous contacter

Pour toute question, écrivez à notre adresse de contact ou par courrier à :

CYBEDEFEND SAS 177 Allée Clémentine Deman 59000 Lille. France

Pour les demandes spécifiques à la protection des données : notre équipe juridique.

17. Comment revoir, mettre à jour ou supprimer vos données

Vous pouvez demander l'accès, la rectification ou la suppression de vos informations en nous écrivant à notre adresse de contact ou via /contact.