politique de confidentialité

PrivBeacon (« nous », « notre », « nos ») est le nom du produit de la plateforme de conformité en matière de confidentialité disponible à l’adresse https://www.privbeacon.com. Le service est détenu et exploité par Vassbrekke AS, une société immatriculée en Norway. Cette Politique de confidentialité décrit comment nous collectons, utilisons, stockons, partageons et protégeons les informations personnelles lorsque vous utilisez notre site, nos API, plugins, agent sur site et services associés (les « Services »).

Responsable du traitement : Vassbrekke AS Adresse : Stolevegen, 5514 Haugesund, Norway Pays : Norway

Contact confidentialité et protection des données : privacy@privbeacon.com (Nous n’avons pas désigné de DPO formel distinct ; les demandes relatives à la vie privée sont adressées au même contact.) Support : support@privbeacon.com

Nous agissons dans des rôles différents selon les données :

Responsable du traitement — pour l’inscription au compte, l’authentification, la facturation, l’usage du produit, les analyses publiques gratuites que vous lancez sur notre site, les balises de conversion marketing (avec consentement), les journaux de sécurité et l’exploitation de notre propre site.

Sous-traitant — lorsque vous utilisez des fonctionnalités PrivBeacon qui stockent, sur vos instructions, des données personnelles concernant vos utilisateurs finaux ou d’autres tiers — en particulier le suivi des demandes DSAR dans le produit (e-mails des demandeurs et notes), les configurations de surveillance de sites (e-mails d’alerte) et les espaces d’analyse liés à votre organisation. Dans ces cas, vous êtes le responsable du traitement de ces données de tiers et devez disposer d’une base juridique pour les collecter et les traiter ; nous les traitons uniquement pour fournir les Services.

Opérateur indépendant sur les sites analysés — lorsque notre scanner récupère une URL publique (ou une URL que vous autorisez), nous traitons le contenu technique de ce site pour produire un rapport de conformité. Vous ne devez analyser que des sites dont vous êtes propriétaire ou que vous êtes autorisé à tester.

Nous traitons les données personnelles sur les bases juridiques suivantes (GDPR / UK GDPR) :

• Consentement — cookies non essentiels et technologies similaires (y compris la mesure des conversions Google Ads lorsque vous acceptez les cookies marketing) ; communications marketing optionnelles lorsque nous le demandons séparément.
• Contrat — création et sécurisation de votre compte ; fourniture des analyses, tableaux de bord, rapports, badges, API, plugins, facturation et support que vous demandez.
• Intérêts légitimes — sécurisation des Services, limitation de débit et prévention de la fraude/des abus, débogage, amélioration de la fiabilité et de la qualité du produit, et auto-certification limitée de notre propre site — mis en balance avec vos droits.
• Obligation légale — conservation ou communication d’informations lorsque la loi, un règlement ou une procédure juridique valide l’exige.

Nous utilisons des cookies essentiels pour l’authentification, la sécurité et la mémorisation de vos choix cookies. Les catégories analytics et marketing optionnelles apparaissent dans notre bandeau de consentement. Les technologies non essentielles ne se chargent qu’après votre opt-in (ePrivacy / GDPR).

Notre bandeau propose Tout accepter, Tout refuser (non essentiels) (refuser les cookies optionnels aussi facilement que les accepter) et Gérer les préférences avec des choix granulaires par catégorie.

Aujourd’hui, la seule balise tierce optionnelle que nous déployons sur privbeacon.com est la balise de conversion Google Ads, conditionnée à la catégorie marketing. Refuser les cookies marketing (ou refuser tous les cookies non essentiels) empêche le chargement de cette balise. Nous ne vendons pas d’informations personnelles. Consultez notre Politique cookies pour des exemples de catégories et pour modifier vos préférences.

Les fonctionnalités d’IA peuvent générer des synthèses de rapports de conformité et des brouillons de politique de confidentialité à partir des métadonnées d’analyse (par exemple URL ou nom du site, score, noms de fournisseurs de trackers et libellés d’écarts). La détection des problèmes et le scoring sont fondés sur des règles et n’utilisent pas de modèle de langage. Les analyses publiques gratuites n’appellent pas de fournisseur d’IA.

Production (privbeacon.com) : les analyses authentifiées envoient ces métadonnées d’analyse à xAI (Grok) aux États-Unis. Nous demandons à xAI de ne pas stocker le prompt ni la réponse. Nous n’utilisons pas OpenAI ni une instance Ollama auto-hébergée pour les fonctionnalités d’IA de production de PrivBeacon.

Si la requête xAI échoue, nous revenons à un texte fondé sur des modèles sans appeler un autre fournisseur de modèle. Ne soumettez pas de secrets ni de données personnelles inutiles dans les champs de texte libre lorsque vous utilisez des fonctionnalités assistées par IA.

Analyses publiques gratuites (sans compte) : nous traitons l’URL que vous soumettez et votre adresse IP (limitation de débit / prévention des abus), récupérons le site cible et renvoyons les constats. Un rapport partageable est stocké sous un jeton aléatoire pendant 14 jours, puis supprimé. Les jetons sont impossibles à deviner et non indexés. Les résultats ne sont pas rattachés à un compte, sauf si vous vous inscrivez ensuite et relancez une analyse.

Analyses authentifiées : nous stockons les résultats d’analyse et les artefacts générés dans votre compte pour les durées de conservation ci-dessous. Vous pouvez supprimer des analyses depuis le tableau de bord (sous réserve des fonctionnalités du produit).

Autorisation : vous ne devez analyser que des sites dont vous êtes propriétaire ou pour lesquels vous avez l’autorisation de tester. L’analyse peut contacter des domaines tiers référencés par le site cible dans le cadre de la détection.

Plugins et agent : les intégrations WordPress/Shopify et l’agent sur site communiquent avec nos API à l’aide des identifiants que vous configurez ; ils traitent les identifiants de site et les données liées à l’analyse nécessaires pour afficher les badges ou synchroniser les résultats.

Pages publiques de badge / vérification : si vous activez la certification, le statut du badge et des métadonnées limitées de conformité du site peuvent être accessibles publiquement via les URL de badge et de vérification.

Nous partageons les informations personnelles uniquement comme décrit dans cette politique :

• Sous-traitants et prestataires d’infrastructure listés ci-dessous, dans le cadre de contrats et (le cas échéant) de garanties de transfert.
• Stripe pour les paiements ; Google/GitHub si vous utilisez OAuth ; Google Ads si vous consentez aux cookies marketing ; xAI pour les synthèses de rapports IA et les brouillons de politique sur les analyses authentifiées ; fournisseurs d’e-mail si le courrier transactionnel est activé.
• Points de terminaison que vous configurez (e-mail d’alerte, webhooks) — vous contrôlez ces destinataires.
• Données publiques de badge/vérification que vous choisissez de publier.
• Droit et sécurité — si la loi, une procédure juridique l’exige, ou pour protéger les droits, la sécurité et l’intégrité des Services ou des utilisateurs.
• Transferts d’entreprise — dans le cadre d’une fusion, acquisition ou cession d’actifs, avec notification lorsque cela est requis.

Nous ne vendons pas d’informations personnelles au sens du CCPA/CPRA. Nous ne partageons pas d’informations personnelles à des fins de publicité comportementale inter-contextes, sauf dans la mesure limitée où la mesure optionnelle des conversions Google Ads (après consentement marketing) implique la fourniture d’identifiants ou de données d’événements à Google pour l’attribution des conversions, comme décrit dans les politiques de Google. Vous pouvez vous y opposer en refusant les cookies marketing ou en nous contactant.

L’hébergement principal de l’application est exploité par Vassbrekke AS dans Norway / EU. Les données personnelles peuvent également être traitées dans d’autres pays où opèrent nos sous-traitants — y compris les États-Unis pour Stripe, Google (OAuth et, avec consentement, conversions Ads), GitHub OAuth, xAI (synthèses IA et brouillons de politique), et tout usage optionnel de Resend.

Lorsque le GDPR/UK GDPR l’exige pour les transferts hors Royaume-Uni/EEE/Suisse, nous nous appuyons sur des garanties appropriées telles que les clauses contractuelles types de la Commission européenne (et avenants britanniques le cas échéant), les accords de traitement des données des prestataires, et des analyses d’impact des transferts si nécessaire. Vous pouvez nous contacter pour plus d’informations sur les mécanismes de transfert.

Nous conservons les données personnelles uniquement aussi longtemps que nécessaire aux finalités ci-dessus, sauf si une durée plus longue est exigée par la loi :

• Données de compte — tant que votre compte est actif, et jusqu’à 24 mois après sa clôture (ou plus tôt si vous demandez valablement la suppression et qu’aucune conservation légale ne s’applique).
• Résultats d’analyse et artefacts générés — tant qu’ils sont associés à un compte actif ; vous pouvez supprimer des analyses individuelles dans le produit. Les comptes clôturés suivent la fenêtre de conservation du compte, sauf si vous demandez une suppression anticipée.
• Entrées d’analyse publique gratuite — traitées pour produire une réponse immédiate. Un rapport de constats partageable (score, problèmes nommés, fournisseurs de trackers, hôte) est stocké sous un jeton aléatoire pendant 14 jours, puis supprimé. Les journaux de sécurité (p. ex. limites de débit basées sur l’IP) peuvent persister pendant des fenêtres opérationnelles plus courtes (généralement jusqu’à 30–90 jours).
• Enregistrements d’outil DSAR que vous créez — jusqu’à ce que vous les supprimiez ou que votre compte soit clôturé/supprimé selon le calendrier du compte (vous restez responsable du traitement de ce contenu).
• Données de facturation — autant que requis pour la fiscalité, la comptabilité et le règlement des litiges (souvent plus longtemps que la clôture du compte).
• Choix cookies / consentement — jusqu’à 12 mois pour le cookie de consentement, ou jusqu’à ce que vous effaciez les données du site.
• Google Ads / données de conversion — soumis à la conservation de Google ; nous n’exploitons pas de base distincte de profils publicitaires à long terme.
• Prompts/réponses xAI — nous demandons à xAI de ne pas stocker l’historique de conversation. Les synthèses et brouillons générés que nous enregistrons sont conservés avec vos enregistrements d’analyse/compte comme ci-dessus.

Lorsque la conservation prend fin, nous supprimons ou anonymisons de manière irréversible les données lorsque c’est possible.

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment le chiffrement TLS en transit, LUKS sur l’hôte Proxmox qui stocke les volumes d’application (les VM invitées ne sont pas chiffrées séparément), des systèmes de production à accès contrôlé limités aux opérateurs de Vassbrekke AS, des mots de passe hachés (pour les comptes e-mail/mot de passe), des clés API hachées, un accès opérationnel au moindre privilège, l’isolation des locataires dans le tableau de bord produit, des mises à jour des dépendances et de l’infrastructure, et des contrôles de limitation de débit / d’abus. Aucune méthode de transmission ou de stockage n’est sûre à 100 % ; si vous pensez avoir trouvé une vulnérabilité, contactez privacy@privbeacon.com ou support@privbeacon.com.

GDPR / UK GDPR : accès, rectification, effacement, limitation, portabilité, opposition et retrait du consentement (lorsque le traitement est fondé sur le consentement). Vous pouvez également déposer une réclamation auprès de votre autorité de contrôle locale (par exemple votre autorité de protection des données de l’UE/EEE ou l’ICO au Royaume-Uni).

CCPA / CPRA (Californie) et lois d’États américains similaires : droit de savoir/accéder, supprimer, corriger et de s’opposer à la vente/au partage ; non-discrimination pour l’exercice des droits. Nous ne vendons pas d’informations personnelles. La mesure limitée des conversions avec Google après consentement est décrite sous « Partage » ci-dessus et peut être contrôlée via les préférences cookies.

Autres régions (y compris LGPD, PIPEDA, POPIA, APPI, PDPA, PIPA, Privacy Act (Australie), FADP, et lois d’États américains telles que VCDPA, CPA, CTDPA) : contactez-nous pour exercer les droits d’accès, de correction, de suppression ou de portabilité qui s’appliquent à vous.

Comment exercer vos droits : soumettez une demande via notre formulaire DSAR à https://www.privbeacon.com/legal/dsar, ou envoyez un e-mail à privacy@privbeacon.com en indiquant le type de demande (accès, suppression, correction, opt-out, etc.). Nous vérifierons votre demande comme l’exige la loi et répondrons dans les délais applicables (par exemple jusqu’à 45 jours au titre du CCPA, sous réserve de prolongations légales ; sans délai injustifié et dans un délai d’un mois au titre du GDPR le cas échéant). Voir également notre page Choix de confidentialité.

Suppression de compte : soumettez une demande de suppression via le formulaire DSAR ou par e-mail à privacy@privbeacon.com (ou via les contrôles dans le produit lorsqu’ils sont disponibles). Nous supprimerons ou anonymiserons les données personnelles dont nous sommes responsables, sous réserve des besoins de conservation légale. Les données que vous avez stockées en tant que responsable du traitement (p. ex. e-mails des demandeurs DSAR) sont supprimées avec votre compte, ou plus tôt si vous retirez ces enregistrements.

PrivBeacon est un service professionnel/entreprise et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment d’informations personnelles auprès d’enfants de moins de 16 ans (ou de moins de 13 ans lorsque le COPPA s’applique). Si vous pensez qu’un enfant nous a fourni des données personnelles, contactez privacy@privbeacon.com et nous prendrons les mesures appropriées pour les supprimer.

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. La date de « Dernière mise à jour » en haut de la politique changera alors. Les modifications substantielles seront mises en évidence sur cette page et, le cas échéant, notifiées par e-mail ou par une notification dans le produit. L’utilisation continue des Services après la date d’entrée en vigueur vaut acceptation de la politique mise à jour lorsque la loi le permet.