Politique de confidentialité

Article 1 - Responsable du traitement

Le responsable du traitement au sens de l'article 4.7 du RGPD est DATIVO, éditeur d'Audit web cyber. Son identité complète et l'adresse de son siège figurent dans nos mentions légales.

Contact protection des données et exercice de vos droits : dpo@dativo.fr. Pour toute autre question : contact@dativo.fr.

Article 2 - Périmètre de cette politique

Cette politique couvre les traitements réalisés par Audit web cyber, sur le site verifiermonsite.fr et par son robot d'audit. Elle concerne :

• les titulaires d'un compte client et les entreprises qu'ils représentent ;
• les personnes dont un client nous communique les coordonnées (contact technique, référent données personnelles) ;
• les personnes dont le nom ou les coordonnées figurent sur les pages publiques d'un site audité ;
• les destinataires de nos campagnes d'information, et les bénéficiaires d'un bon d'audit offert ;
• les visiteurs du site.

Les autres sites et offres de DATIVO disposent de leur propre politique de confidentialité.

Article 3 - Données collectées

3.1 Votre compte

À l'inscription : votre adresse de courriel professionnelle, votre prénom et votre nom, et, si vous les indiquez, votre fonction et votre numéro de téléphone. Votre mot de passe n'est jamais conservé en clair : seule une empreinte calculée par un algorithme de hachage est gardée, ce qui ne permet pas de le retrouver. Nous enregistrons aussi la date de votre dernière connexion.

Tant que vous n'avez pas cliqué sur le lien de vérification envoyé à votre adresse, aucun compte n'est créé : les données saisies attendent dans ce lien, valable 60 minutes, et sont effacées dès que vous l'utilisez ou à son expiration.

Le journal de votre compte enregistre les connexions, les tentatives échouées et les actions sensibles (changement de mot de passe ou d'adresse, par exemple) : date, nature de l'événement, et une empreinte de votre adresse de courriel et de votre adresse IP, jamais ces adresses en clair. Vous le consultez dans la page « Mes données » de votre espace.

3.2 La fiche de votre entreprise

• Identité de l'entreprise : raison sociale, nom commercial, numéro SIREN (système d'identification du répertoire des entreprises), numéro SIRET du siège (système d'identification du répertoire des établissements), forme juridique, code et libellé d'activité, tranche d'effectif, date de création, adresse du siège et état administratif. Ces informations sont lues dans le répertoire public des entreprises de l'État (recherche-entreprises.api.gouv.fr) ou saisies par vous. Nous ne reprenons jamais les dirigeants inscrits au répertoire.
• Facturation : adresse de facturation, numéro de taxe sur la valeur ajoutée (TVA) intracommunautaire et, si vous en indiquez une, l'adresse de réception des factures.
• Contacts de vos sites, facultatifs : le nom, la société, l'adresse de courriel et le téléphone de votre contact technique ; le nom et l'adresse de courriel de votre référent données personnelles, et si vous avez désigné un délégué à la protection des données. Ces personnes sont des tiers dont vous nous communiquez les coordonnées : le rapport les nomme pour dire qui corrige quoi, et nous ne leur écrivons jamais sans votre demande.
• Souhait d'être contacté : si vous cochez la case « Je souhaite être contacté par DATIVO pour corriger les écarts relevés », nous gardons ce choix, le moyen choisi (courriel ou téléphone) et sa date. Ce choix n'est jamais présumé : la case n'est jamais précochée, et vous le retirez à tout moment en la décochant.

Lorsque l'entreprise est exploitée par un entrepreneur individuel, sa raison sociale peut être son nom : c'est alors une donnée personnelle, traitée de la même façon.

3.3 Vos sites et leur contexte

Pour chaque site que vous déclarez : son nom de domaine, le nom que vous lui donnez et, si vous le renseignez, son contexte (outil qui le fait tourner, hébergeur, qui l'entretient, activités : vente en ligne, formulaires, comptes clients, lettre d'information). L'audit peut proposer certaines de ces valeurs, par exemple l'hébergeur ou l'outil qu'il a relevés : elles ne sont enregistrées qu'une fois confirmées par vous. Ce contexte sert à personnaliser le rapport ; il ne modifie jamais les constats, les taux ni l'ordre des écarts.

3.4 Les audits

Pour chaque audit : le domaine audité, les observations publiques recueillies par le robot (réponses du système de noms de domaine, certificat et paramètres de connexion chiffrée, en-têtes de réponse, relevés des pages lues, journaux publics de certificats), le résultat de chaque règle et le rapport au format PDF. Le rapport reprend aussi les éléments que vous avez déclarés : raison sociale, nom commercial, votre nom et votre fonction, contexte du site, contacts déclarés et souhait d'être contacté.

3.5 Les personnes citées sur les sites audités

L'audit lit au plus cinq pages publiques du site, notamment l'accueil, les mentions légales et la politique de confidentialité. Le nom, l'adresse de courriel ou le numéro de téléphone d'une personne peuvent y figurer, par exemple ceux du directeur de la publication. Ces pages servent seulement à vérifier les règles de l'audit. Une fois la vérification faite, leur texte est effacé.

Nous gardons le constat de chaque règle (par exemple « numéro de téléphone » quand il manque). Pour deux règles, le constat reprend un court extrait de la page (le titre de l'accueil ou une phrase de la politique de confidentialité), où un nom peut figurer. Les adresses de courriel de personnes et les numéros de téléphone qui figurent encore dans nos relevés, copie des réponses du système de noms de domaine comprise, sont masqués en gardant leur forme ; les adresses de fonction (contact@, dpo@...) restent lisibles, car une règle les recherche.

3.6 Le jeu d'essai de nos contrôles

Pour vérifier la fiabilité de l'audit à chaque nouvelle version du référentiel, nous gardons le texte des pages publiques lues sur un petit nombre de sites. Les adresses de courriel de personnes et les numéros de téléphone y sont masqués. Ce texte est effacé douze mois après sa lecture.

3.7 Les campagnes d'information

DATIVO peut auditer, sans compte, le site d'une entreprise et écrire à une adresse professionnelle de cette entreprise pour lui présenter deux ou trois constats publics et vérifiables sur son site, ainsi que notre audit. Ces messages ne mentionnent jamais de vulnérabilité. Les adresses utilisées proviennent du site de l'entreprise (par exemple ses mentions légales ou sa page de contact) ou d'annuaires professionnels publics. Nous gardons le domaine, l'adresse, l'audit de campagne et l'état de l'envoi.

Chaque message permet de s'opposer en un clic. Une opposition entre dans notre liste d'opposition sous forme d'empreinte (une valeur calculée qui ne permet pas de retrouver l'adresse), avec un indice masqué : elle sert uniquement à ne plus vous solliciter. Une opposition portant sur un domaine couvre toutes les adresses de ce domaine.

3.8 Les audits offerts

Un bon d'audit offert est nominatif : il porte l'adresse de courriel de son bénéficiaire, sa date d'expiration et le nom du prescripteur qui l'offre (personne ou organisation partenaire de DATIVO, dont nous gardons le nom, l'organisation et l'adresse de courriel). Le code du bon n'est conservé que sous forme d'empreinte.

3.9 Le paiement et la facturation

Le paiement se fait sur la page sécurisée de Stripe. Nous ne voyons ni ne conservons jamais votre numéro de carte bancaire. Avant chaque paiement, nous transmettons à Stripe la raison sociale de votre entreprise, son adresse de facturation, l'adresse de réception des factures (à défaut, celle de votre compte), son numéro SIREN et la référence de votre compte. Nous conservons, pour chaque commande ou échéance, les montants, la période, l'adresse de facturation et l'état de la facture.

La facture est émise par le logiciel de gestion de DATIVO, qui la conserve. Elle vous est envoyée par courriel et reste disponible dans votre espace.

3.10 Les courriels

Les courriels du service (vérification d'adresse, lien de connexion, audit prêt, confirmation de commande, alertes de surveillance, campagnes) partent de l'adresse no-reply@dativo.fr, par le serveur de messagerie de DATIVO. Nous tenons un journal des envois : type de message, empreinte du destinataire, état de l'envoi, sans le contenu du message.

3.11 Les journaux techniques

Comme tout serveur, notre hébergement enregistre pour chaque requête l'adresse IP, la date et l'heure, la page demandée sans ses paramètres, le code de réponse et l'identifiant du navigateur. Nous gardons aussi la trace des événements de paiement reçus de Stripe. Ces journaux ne sont ni croisés avec d'autres données, ni utilisés à des fins commerciales.

3.12 Ce que nous ne collectons pas

Aucune donnée sensible au sens de l'article 9 du RGPD. Aucune donnée de carte bancaire. Aucun cookie de mesure d'audience ni de publicité, aucun traceur tiers. Nous ne reprenons jamais les dirigeants d'une entreprise depuis le répertoire public.

Article 4 - Finalités et bases légales

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale déterminée.

Lorsque nous nous fondons sur l'intérêt légitime, nous avons vérifié qu'il ne porte pas une atteinte disproportionnée à vos droits et libertés ; vous pouvez nous demander le détail de cette mise en balance. Vous pouvez vous opposer à tout moment, sans avoir à vous justifier, aux messages de nos campagnes d'information, depuis le lien présent dans chaque message ou en écrivant à dpo@dativo.fr (article 21.2 du RGPD).

Sans votre accord, nous ne vous démarchons pas depuis votre compte : seule la case « Je souhaite être contacté » nous y autorise.

Article 5 - Caractère obligatoire ou facultatif des données

Conformément à l'article 13.2.e du RGPD :

• l'adresse de courriel, le prénom, le nom et le mot de passe sont nécessaires à la création du compte ;
• la raison sociale, le numéro SIREN d'une entreprise en activité et l'adresse de facturation sont nécessaires pour commander : sans eux, la commande ne peut aboutir ;
• la fonction, le téléphone, les contacts de vos sites, le contexte des sites et le souhait d'être contacté sont facultatifs. Ils servent uniquement à personnaliser le rapport ou à vous recontacter.

Si vous nous communiquez les coordonnées d'un contact technique ou d'un référent, vous vous engagez à l'en informer.

Article 6 - Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de DATIVO, dans le cadre de leurs fonctions. La facture est émise et conservée par le logiciel de gestion de DATIVO, exploité par nos soins.

Sous-traitants au sens de l'article 28 du RGPD :

Autres destinataires :

• Stripe Payments Europe, Limited (Irlande) encaisse les paiements. Pour les données de paiement, Stripe agit en qualité de responsable de traitement et les traite selon sa propre politique de confidentialité.
• Le répertoire public des entreprises de l'État reçoit la recherche que vous saisissez (numéro SIREN ou nom de l'entreprise) pour remplir l'identité de votre entreprise.
• Autorités : vos données peuvent être communiquées aux autorités administratives ou judiciaires lorsque nous y sommes légalement tenus.

Le rapport d'un audit n'est communiqué qu'au client qui l'a commandé ; un courriel de campagne ne reprend que deux ou trois constats publics, adressés à l'entreprise dont le site a été audité. Nous ne vendons, ne louons et ne cédons jamais vos données à des tiers, à quelque fin que ce soit.

Article 7 - Transferts hors Union européenne

Les données d'Audit web cyber sont hébergées en France, chez OVH. Deux cas sortent de l'Union européenne :

Aucune autre donnée ne quitte l'Union européenne.

Article 8 - Durées de conservation

Conformément au principe de limitation de la conservation (article 5.1.e du RGPD), une purge automatique s'exécute chaque nuit :

Un audit de campagne suivi d'une commande est rattaché au compte qui l'a commandé et suit la durée de ce compte. Lorsque vous supprimez votre compte depuis votre espace, vos abonnements de surveillance sont résiliés aussitôt, puis votre compte, votre fiche, vos sites, vos audits, vos rapports et vos commandes sont effacés ; seule la facture reste dans notre comptabilité, pour la durée légale.

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible. En cas de litige, les données concernées peuvent être conservées jusqu'à l'issue définitive de la procédure.

Article 9 - Vos droits

Vous disposez, sur vos données personnelles, des droits suivants :

• Droit d'accès (art. 15) : obtenir confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) : faire corriger des données inexactes ou compléter des données incomplètes. Vous modifiez vous-même votre profil et la fiche de votre entreprise depuis votre espace.
• Droit à l'effacement (art. 17) : obtenir la suppression de vos données dans les cas prévus par le RGPD. Vous pouvez aussi supprimer votre compte depuis votre espace.
• Droit à la limitation (art. 18) : demander le gel temporaire de l'utilisation de vos données.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21) : vous opposer à un traitement fondé sur notre intérêt légitime, ou à toute prospection commerciale.
• Retrait du consentement (art. 7.3) : retirer à tout moment votre souhait d'être contacté, sans remettre en cause la licéité de ce qui a précédé.
• Directives post-mortem (art. 85 de la loi Informatique et Libertés) : définir le sort de vos données après votre décès.

Ces droits valent aussi pour les personnes dont un client nous a communiqué les coordonnées, pour les personnes citées sur un site audité et pour les destinataires de nos campagnes.

Comment les exercer

Écrivez-nous à dpo@dativo.fr, ou par courrier à l'adresse du siège de DATIVO indiquée dans nos mentions légales. Notre délai de réponse est d'un mois à compter de la réception de votre demande (article 12.3 du RGPD). Ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, auquel cas nous vous en informerons dans le mois. En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif (article 12.6), que nous supprimerons dès votre demande traitée.

Réclamation auprès de la CNIL

Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle (article 77 du RGPD) : Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, téléphone 01 53 73 22 22, cnil.fr/fr/plaintes.

Article 10 - Sécurité des données

Conformément à l'article 32 du RGPD, nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque :

• communications chiffrées (HTTPS), avec un en-tête qui impose la connexion sécurisée au navigateur ;
• politique de sécurité du contenu restreignant les ressources que les pages peuvent charger, et en-têtes de sécurité complémentaires contre l'injection de contenu et le détournement de page ;
• mots de passe conservés sous forme d'empreinte, jamais en clair ; un changement de mot de passe ferme vos autres sessions ;
• cookie de session réservé aux connexions sécurisées et inaccessible aux scripts, session fermée après deux heures d'inactivité ;
• protection des formulaires contre la falsification de requêtes, et limitation du nombre de tentatives de connexion et de demandes de lien ;
• journal des connexions et des actions sensibles, que vous consultez dans votre espace ;
• minimisation : texte des pages lues effacé après l'évaluation, adresses de courriel de personnes et numéros de téléphone masqués ;
• secrets techniques rangés dans un coffre, jamais dans le code ; robot d'audit isolé sur son propre serveur, sans données de nos clients ;
• accès aux données limité aux personnes habilitées, selon le principe du moindre privilège.

Article 11 - Notification des violations de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés :

• nous la notifions à la CNIL dans les 72 heures suivant sa découverte (article 33 du RGPD) ;
• nous en informons les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34) ;
• nous documentons chaque violation dans un registre interne, avec les faits, les effets et les mesures correctives.

Article 12 - Cookies et traceurs

Le site verifiermonsite.fr ne dépose qu'un cookie de session, strictement nécessaire à la connexion à votre espace et à la protection des formulaires, supprimé à la fermeture de votre navigateur. Aucun cookie de mesure d'audience ni de publicité, aucun traceur tiers. C'est pourquoi vous ne voyez aucun bandeau de consentement : il n'y a rien à consentir.

Les polices, les feuilles de style, les scripts et le logo du pied de page sont servis par le site lui-même. Le logo de l'en-tête et l'icône du site sont appelés sur le serveur de ressources de DATIVO (assets.dativo.me), hébergé en France chez OVH, comme le logo des courriels. Leur chargement ne transmet aucune donnée à un tiers.

Si cette situation venait à évoluer, cette politique serait mise à jour et, pour tout traceur non strictement nécessaire, votre consentement serait recueilli au préalable conformément à l'article 82 de la loi Informatique et Libertés.

Article 13 - Décision automatisée et profilage

Aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé (article 22 du RGPD).

L'audit est un traitement automatisé, mais il porte sur un site internet, non sur une personne : ses constats et ses taux décrivent ce que le site montre publiquement, et ne produisent aucun effet juridique. Le contexte et les contacts que vous déclarez personnalisent le rapport sans jamais modifier ses constats.

Article 14 - Modification de cette politique

Nous pouvons modifier cette politique pour tenir compte des évolutions légales ou réglementaires, ou de changements dans nos traitements. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle, nous en informerons les titulaires d'un compte par courriel.