Politique de confidentialité

Le responsable du traitement est VesperID SAS, dont le siège social et les identifiants figurent dans les mentions légales.

Pour les données que nos clients nous confient dans le cadre de leur licence, périmètre surveillé, utilisateurs, personnes faisant l’objet d’un profil, VesperID agit en qualité de sous-traitant au sens de l’article 28 du règlement, sur instruction documentée du client responsable de traitement.

Pour les données relatives à nos prospects, à nos utilisateurs et au fonctionnement de nos propres services, VesperID agit en qualité de responsable de traitement.

Un délégué à la protection des données est joignable à l’adresse dpo@vesperid.com pour toute question relative au traitement de vos données ou à l’exercice de vos droits ; sa désignation nominative est en cours et sera publiée dans les mentions légales.

Les demandes peuvent être formulées en français ou en anglais.

Visiteurs du site : aucune donnée d’identification n’est collectée pour la simple consultation. Les journaux techniques (adresse IP, page demandée, horodatage, agent utilisateur) sont conservés six mois à des fins de sécurité, puis supprimés.

Prospects et demandes de contact : nom, organisation, fonction, adresse électronique, téléphone facultatif, contenu du message, langue, date et heure de la demande.

Utilisateurs de la plateforme : nom, adresse électronique professionnelle, rôle et périmètre au sein de l’organisation, préférences de langue et de notification, éléments d’authentification (mot de passe haché, facteurs de second niveau), journaux de connexion et journal d’audit des actions.

Périmètre surveillé et résultats de surveillance : noms de domaine, adresses électroniques, identités de personnes suivies dans le cadre de la protection des dirigeants, après acceptation de l’invitation par la personne, mots-clés, plages d’adresses, dépôts de code, identifiant de tenant Microsoft 365, numéros d’identification bancaire (BIN), et les métadonnées d’exposition associées (source, dates, type d’empreinte, présence et longueur d’un mot de passe en clair, indicateurs, compteurs ; pour une carte ou un compte bancaire fuité, le BIN, les quatre derniers chiffres, la marque, l’expiration, l’émetteur, un IBAN masqué et la banque, jamais le numéro complet).

Nous ne conservons jamais la valeur d’un mot de passe, l’empreinte fournie par la source, la valeur d’un cookie de session ni un numéro de carte complet. Nous conservons des métadonnées (compte concerné, source, dates, type d’empreinte, longueur d’un mot de passe en clair, compteurs) et, pour les mentions, un extrait court et masqué de la publication, reproduction partielle et non vérifiée d’une publication de tiers. Les secrets sont écartés avant tout enregistrement ; leur consultation ponctuelle s’effectue en direct, sans mise en cache, et fait l’objet d’un contrôle d’accès renforcé et d’une journalisation.

Clients : coordonnées de facturation, documents contractuels, factures et historique des règlements.

Répondre aux demandes de contact et assurer le suivi commercial : consentement de la personne qui nous écrit et intérêt légitime de VesperID à traiter les sollicitations reçues (art. 6.1.a et 6.1.f).

Fournir le service souscrit, gérer les comptes, les licences et le support : exécution du contrat conclu avec le client (art. 6.1.b).

Surveiller le périmètre déclaré par un client et produire les détections, alertes et rapports : exécution du contrat pour le client, et intérêt légitime du client responsable de traitement à protéger son organisation (art. 6.1.b et 6.1.f) ; pour un profil de protection d’une personne, l’acceptation de l’invitation par la personne elle-même, qui vaut consentement et se retire à tout moment (art. 6.1.a).

Facturer, recouvrer et conserver les pièces comptables : exécution du contrat et obligation légale (art. 6.1.b et 6.1.c).

Assurer la sécurité, la disponibilité et l’intégrité de la plateforme, prévenir les abus et journaliser les accès : intérêt légitime de VesperID (art. 6.1.f).

Répondre aux demandes d’exercice de droits et aux obligations légales : obligation légale (art. 6.1.c).

Demandes de contact et prospects : deux ans à compter du dernier contact, puis suppression ; anonymisation immédiate sur demande.

Comptes utilisateurs : pendant la relation contractuelle ; après un effacement, la ligne pseudonymisée est supprimée au bout de trois ans, sauf référence comptable.

Détections et périmètre surveillé : pendant la licence, les détections résolues ou ignorées sont supprimées après un an et les détections ouvertes conservées ; à la fin de la licence, quatre-vingt-dix jours pour permettre l’export, puis suppression, sauf durée différente fixée par écrit dans la limite de douze mois.

Analyses (scores, cohortes, chaînes) : quatre-vingt-dix jours glissants pour l’analyse des comptes exposés, un an après la dernière action enregistrée, treize mois pour les instantanés ; le tout supprimé avec les détections de la licence.

Journal d’audit : un an en ligne puis archive, soit trois ans au total ; l’adresse IP y est supprimée ou hachée après six mois.

Journaux techniques (adresse IP, page demandée, horodatage, agent utilisateur) : six mois à des fins de sécurité, puis suppression.

Sessions et jetons : trente jours après expiration ou révocation.

Rapports générés : deux ans.

Exports de données à la demande : sept jours, puis suppression automatique.

Journaux d’envoi de courriels : quatre-vingt-dix jours ; adresses en erreur ou désabonnées : trois ans.

Notifications et preuves de livraison des alertes : un an, puis comptages agrégés.

Traces des recherches et des révélations : un an pour les recherches, treize mois pour les révélations (facturation), puis agrégat mensuel sans identifiant de membre.

Demandes de retrait et d’investigation : cinq ans après clôture ; pièces de preuve : un an après clôture.

Profils de protection d’une personne : identités et détections supprimées quatre-vingt-dix jours après la fin du service ; accès révoqués supprimés après un an.

Factures et pièces comptables : dix ans après la clôture de l’exercice, au titre des obligations légales.

Sauvegardes : trente jours ; toute suppression est donc effective au plus tard trente jours après.

Organisations et licences archivées : cinq ans après la fin de la relation, hors pièces comptables.

Vos données ne sont ni vendues, ni louées, ni transmises à des tiers à des fins de prospection. Elles sont accessibles aux seuls collaborateurs de VesperID dont la fonction le justifie, dans la limite de leur habilitation. Les actions sensibles des membres (révélation, export, changements de statut et de rôle) et chaque session d’assistance de notre personnel sont journalisées.

Scaleway SAS, 8 rue de la Ville l’Évêque, 75008 Paris (région de Paris) : serveurs, base de données, cache, stockage objet, gestion des clés de chiffrement, gestionnaire de secrets, courrier électronique transactionnel et registre d’images, pour l’ensemble des données, dans cette région.

Notre fournisseur de collecte de renseignement, établi au Canada et désigné ici par sa fonction : constitution de l’espace de collecte de chaque licence, correspondance des identifiants déclarés, flux d’événements, lecture en direct d’un secret révélé, recherche dans l’historique. Il reçoit les identifiants du périmètre (noms de domaine, adresses, mots-clés, plages d’adresses, numéros d’identification bancaire, dépôts, identifiants de tenant, requêtes), le nom et le secteur de l’organisation (un identifiant technique pour un client particulier) et, pour une personne protégée qui a accepté l’invitation, ses prénom, nom, adresses et pseudonymes ; les secrets qu’il renvoie transitent sans être conservés. Transfert fondé sur la décision d’adéquation 2002/2/CE de la Commission européenne, maintenue par l’article 45.9 du RGPD, complétée par les clauses contractuelles types de la décision 2021/914 et par une analyse d’impact de transfert. Il s’est engagé à n’utiliser les identifiants ni pour son corpus, ni pour d’autres clients, ni pour ses propres finalités, à les supprimer à la fin de l’espace de collecte, à notifier toute violation sous vingt-quatre heures et à collecter dans le respect du droit qui lui est applicable. Son identité est communiquée au délégué à la protection des données de nos clients, sur demande écrite et sous confidentialité.

Cloudflare, Inc., 101 Townsend Street, San Francisco (États-Unis, réseau mondial de points de présence) : résolution DNS, proxy inverse avec terminaison TLS sur vesperid.com, www, api, app et admin, cache, protection contre les attaques par déni de service et service anti-robot Turnstile. Le trafic en transit, y compris les sessions authentifiées et les secrets révélés, passe par ses serveurs ; Turnstile traite l’adresse IP et des signaux de navigation des visiteurs ; aucune donnée n’y est conservée hors journaux techniques. Transfert fondé sur la certification de Cloudflare au cadre de protection des données Union européenne États-Unis (décision 2023/1795) et sur les clauses contractuelles types de son accord de traitement.

Functional Software, Inc. (Sentry), San Francisco (éditeur établi aux États-Unis ; ingestion et stockage dans l’Union européenne) : remontée des erreurs de l’API, des traitements, de l’espace client et de la console. Les messages sont nettoyés avant envoi (jamais d’adresse électronique, de jeton, de cookie, d’adresse IP ni de nom d’utilisateur) et conservés quatre-vingt-dix jours. Certification au cadre de protection des données Union européenne États-Unis et clauses contractuelles types.

Google Ireland Limited, Dublin (Irlande), avec traitement par Google LLC (États-Unis) : messagerie des boîtes contact@, dpo@ et security@, donc la correspondance relative aux demandes de droits, aux signalements et aux retraits. Certification au cadre de protection des données Union européenne États-Unis et clauses contractuelles types de l’addendum de traitement Google Workspace.

Have I Been Pwned (service Pwned Passwords, hors Union européenne) : à la création ou au changement d’un mot de passe de compte, VesperID vérifie qu’il ne figure pas dans une liste de mots de passe compromis. Seuls les cinq premiers caractères hexadécimaux de l’empreinte SHA-1 du mot de passe candidat sont transmis (intervalle k-anonyme) ; ni le mot de passe, ni une donnée à caractère personnel ne quittent VesperID. Aucun instrument de transfert n’est requis ; ce service est mentionné par transparence.

Ne sont pas des sous-traitants de VesperID : les destinataires d’alertes que le client configure (adresses électroniques, Slack, Microsoft Teams, webhooks), qu’il choisit et dont il répond ; l’autorité de certification des certificats TLS ; l’hébergeur du code source, qui ne traite aucune donnée client.

Autorités : des données peuvent être communiquées à une autorité administrative ou judiciaire lorsque la loi l’impose. Nous examinons la validité de chaque demande, la contestons lorsqu’elle est disproportionnée, ne communiquons que le minimum exigé et informons la personne ou le client concerné lorsque nous y sommes autorisés.

Cette liste est tenue à jour. Un ajout ou un remplacement est notifié aux clients trente jours avant sa prise d’effet, avec la fonction, la localisation et l’instrument de transfert du nouveau sous-traitant, et ouvre un droit d’objection, conformément à leur accord de traitement.

Données stockées et sauvegardées chez Scaleway SAS, à Paris. Le trafic transite par le réseau de Cloudflare, la collecte de renseignement s’appuie sur un fournisseur établi au Canada, la remontée d’erreurs est traitée dans l’Union par un éditeur américain : les instruments de transfert sont décrits ci-dessous, sous-traitant par sous-traitant.

Le transfert vers le fournisseur de collecte porte sur les identifiants du périmètre déclaré, et non sur le contenu de vos systèmes. Il repose sur la décision d’adéquation relative au Canada, complétée par les clauses contractuelles types de la Commission européenne ; les transferts vers les États-Unis reposent sur le cadre de protection des données UE États-Unis pour les entités certifiées, complété par les clauses contractuelles types.

Une analyse d’impact du transfert est tenue à disposition des clients sur demande écrite à dpo@vesperid.com.

Vous disposez d’un droit d’accès à vos données, de rectification, d’effacement, de limitation du traitement, d’opposition au traitement fondé sur l’intérêt légitime, et de portabilité pour les données que vous nous avez fournies.

Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que ce retrait remette en cause la licéité du traitement effectué auparavant. Une personne faisant l’objet d’un profil de protection y met fin à tout moment, depuis son espace ou par écrit ; le profil est alors fermé.

Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Ces droits s’exercent à l’adresse dpo@vesperid.com, ou directement depuis votre espace personnel pour l’export et la suppression de votre compte. Une pièce justificative d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur.

Nous répondons dans un délai d’un mois à compter de la réception de la demande, prorogeable de deux mois en cas de complexité, avec information motivée de la personne concernée.

Lorsque vos données sont traitées pour le compte d’une organisation cliente, votre demande est transmise à celle-ci, qui en est responsable ; nous vous en informons.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

Si vous résidez dans un autre État membre de l’Union européenne, vous pouvez saisir l’autorité de contrôle de votre lieu de résidence.

Les données sont chiffrées en transit et au repos. Les clés de chiffrement sont gérées dans un service dédié, distinct de la base de données, et font l’objet d’une rotation périodique.

L’accès aux données d’un client est cloisonné au niveau de la base de données elle-même, en complément des contrôles applicatifs. Les actions sensibles des membres (révélation, export, changements de statut et de rôle) et chaque session d’assistance de notre personnel sont journalisées.

L’authentification à double facteur est obligatoire pour notre personnel et pour les propriétaires et responsables d’organisation ; elle est disponible pour tous les membres et peut être imposée à tous par l’organisation. La consultation d’un élément sensible requiert une ré-authentification récente, la saisie d’un motif et reste soumise à un quota de vingt révélations par personne et par jour.

En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les personnes, nous notifions l’autorité de contrôle dans les soixante-douze heures et informons les personnes concernées lorsque le risque est élevé, ainsi que le client responsable de traitement lorsque nous agissons pour son compte.

Les données de surveillance ne sont pas collectées auprès des personnes concernées. VesperID n’achète aucune donnée, n’accède à aucun système tiers et n’interagit avec aucun acteur malveillant. Les données de renseignement proviennent d’un fournisseur spécialisé qui collecte, sous sa propre responsabilité et dans le respect du droit qui lui est applicable, des fuites et des journaux mis en circulation par des tiers ainsi que des sources publiques : bases de données diffusées à la suite de compromissions de tiers, journaux de machines infectées, registres publics de noms de domaine et de certificats, espaces publics et cybercriminels, sites de publication de groupes de rançongiciel. Nous ne conservons de ces données que des métadonnées et des extraits courts.

VesperID ne provoque, ne finance et ne facilite en aucun cas la mise en circulation de ces données.

Une personne n’est suivie nominativement qu’après avoir accepté elle-même l’invitation ; l’organisation ne surveille sans cette acceptation que les comptes professionnels qu’elle contrôle, après en avoir informé ses collaborateurs.

Le site ne dépose que des cookies strictement nécessaires (langue, thème), sans mesure d’audience ni publicité ; le formulaire de contact et les pages de connexion des panneaux chargent le service anti-robot Turnstile de Cloudflare ; l’espace client et la console utilisent des cookies de session et quelques clés de stockage local. Chaque cookie et chaque clé, avec sa finalité, sa durée et sa base, figure sur la page dédiée.

Cette politique peut évoluer, notamment en cas de changement de sous-traitant, de finalité ou de cadre réglementaire. La date de dernière mise à jour figure en tête de page.

Les clients sont informés par écrit de toute modification substantielle affectant le traitement des données qu’ils nous confient.