Politique de Confidentialité

1. Responsable du traitement

Sedona AI, dont le siège social est situé en France. Contact : vincent.coderch@sedona-ai.com. Le délégué à la protection des données (DPO) est joignable à la même adresse : vincent.coderch@sedona-ai.com.

2. Données collectées

Nous collectons les catégories de données suivantes :

• Données de compte : adresse email, mot de passe (haché), date d'inscription
• Données de scan : domaines scannés, résultats de scan, vulnérabilités détectées, rapports générés
• Données de consentement : horodatage du consentement, adresse IP de l'utilisateur lors du lancement du scan
• Données techniques : logs de connexion, navigateur, adresse IP

3. Finalités du traitement

• Fourniture du service d'audit de cybersécurité
• Authentification et gestion du compte utilisateur
• Génération et stockage des rapports d'audit
• Preuve du consentement (obligation légale, Article 323-1 du Code pénal)
• Amélioration du service et correction des anomalies
• Communication relative au compte (notifications de scan, rapports)

4. Base légale du traitement

• Exécution du contrat (Article 6.1.b RGPD) : fourniture du service de scan
• Obligation légale (Article 6.1.c RGPD) : traçabilité du consentement au scan
• Intérêt légitime (Article 6.1.f RGPD) : amélioration du service, sécurité

5. Sous-traitants

Nous faisons appel aux sous-traitants suivants, avec pour chacun le mécanisme qui encadre un éventuel transfert hors de l'Union européenne :

• Supabase Pte. Ltd. (Singapour) : hébergement de la base de données, authentification, stockage. Données hébergées sur des serveurs AWS dans la région eu-west-1 (Irlande), donc au sein de l'Union européenne ; Supabase Pte. Ltd. étant établie à Singapour, son traitement de ces données constitue un transfert hors de l'Union européenne. Accord de traitement des données (DPA) incorporé à ses conditions d'utilisation ; transfert encadré par les clauses contractuelles types.
• Anthropic Ireland, Limited (Irlande, avec transferts possibles vers les États-Unis) : rédaction de quelques passages des rapports via l'API Claude d'Anthropic (entité contractante pour un client de l'Espace économique européen). Les données de scan (vulnérabilités, contexte technique) sont transmises pour cette rédaction. Anthropic ne les utilise pas pour entraîner ses modèles et ne les conserve que pour la durée prévue par sa politique de conservation de l'API commerciale. Accord de traitement des données (DPA) incorporé à ses conditions commerciales ; transferts encadrés par les clauses contractuelles types.
• OVH SAS (France) : hébergement des serveurs de scan et d'orchestration. Siège social 2 rue Kellermann, 59100 Roubaix. Données hébergées au datacenter Gravelines (France). Accord de traitement des données (DPA) incorporé au contrat.
• Vercel Inc. (États-Unis) : hébergement de l'application Next.js — application web servie par Vercel Inc. (société américaine), fonctions exécutées à Dublin (Irlande), région dub1, Union européenne, à côté de la base de données. Les pages sont distribuées depuis le point de présence de Paris. Vercel Inc. restant une société de droit américain, qui peut traiter aux États-Unis les journaux de son service, ce traitement est un transfert encadré (section 10). Accord de traitement des données (DPA) incorporé à ses conditions d'utilisation ; mécanisme de transfert : Data Privacy Framework.
• Stripe Payments Europe Ltd. (Irlande) : traitement des paiements et abonnements. Aucune donnée de carte bancaire ne transite par nos serveurs. Stripe publie une certification PCI-DSS de niveau 1. Accord de traitement des données (DPA) incorporé à ses conditions ; transferts vers les États-Unis encadrés par le Data Privacy Framework.
• Resend (États-Unis) : envoi des emails transactionnels (confirmation, rapport prêt). Accord de traitement des données (DPA) incorporé à ses conditions ; transferts encadrés par le Data Privacy Framework.
• Brevo (France) : gestion de la relation client et emails de cycle de vie. Votre adresse email, le plan souscrit et les événements de votre compte (inscription, fin d'un scan gratuit, consultation d'un rapport gratuit, changement d'abonnement, suppression du compte) lui sont transmis. Hébergement en Union européenne. Accord de traitement des données (DPA) incorporé à ses conditions d'utilisation ; ses transferts éventuels hors de l'Union européenne s'appuient sur le Data Privacy Framework.
• Sentry (États-Unis) : détection et diagnostic des incidents techniques. Les traces d'erreur peuvent contenir un identifiant de compte. Transferts encadrés par le Data Privacy Framework.

5 bis. Sources de renseignement interrogées avec votre cible

Un scan consulte des bases publiques de sécurité pour compléter ses mesures. Ces services reçoivent le nom de domaine ou l'adresse IP que vous faites analyser. Ils ne reçoivent ni votre identité, ni votre compte, ni vos résultats de scan. Vous restez responsable de disposer du droit de faire analyser la cible que vous soumettez.

• IPinfo (États-Unis) : localisation et opérateur réseau de l'infrastructure analysée. Transmis : adresse IP publique de la cible. Sollicité sur 577 des 600 derniers scans (96,2 %).
• Have I Been Pwned (Royaume-Uni) : recherche de comptes du domaine dans des fuites publiques. Transmis : nom de domaine de la cible. Sollicité sur 577 des 600 derniers scans (96,2 %).
• AbuseIPDB (États-Unis) : réputation de l'adresse IP. Transmis : adresse IP publique de la cible. Sollicité sur 576 des 600 derniers scans (96,0 %).
• Shodan (États-Unis) : services et bannières déjà indexés publiquement. Transmis : adresse IP publique et nom de domaine de la cible. Sollicité sur 355 des 600 derniers scans (59,2 %) — 1 301 constats.
• GrayHatWarfare (États-Unis) : recherche de stockages cloud publics rattachés au domaine. Transmis : nom de domaine de la cible. Sollicité sur 161 des 600 derniers scans (26,8 %).
• GreyNoise (États-Unis) : distinction entre bruit de fond Internet et activité ciblée. Transmis : adresse IP publique de la cible. Sollicité sur 131 des 600 derniers scans (21,8 %).
• SerpAPI (États-Unis) : recherche de pages du domaine indexées publiquement. Transmis : nom de domaine de la cible, sous forme de requêtes de recherche. Sollicité sur 116 des 600 derniers scans (19,3 %).
• Vulners (Lettonie) : correspondance entre versions logicielles et vulnérabilités connues. Transmis : produits et versions détectés, sans identifiant de la cible. Sollicité sur 2 134 constats en base.
• GitHub (GitHub, Inc.) (États-Unis) : recherche de dépôts et de secrets exposés publiquement. Transmis : nom de domaine et nom d'organisation de la cible. Sollicité sur 1 909 constats en base.
• WPScan (Royaume-Uni) : vulnérabilités connues de l'écosystème WordPress. Transmis : versions WordPress et extensions détectées. Sollicité sur 2 constats en base.
• NVD (NIST) (États-Unis) : base publique de vulnérabilités du gouvernement américain. Transmis : produits et versions détectés, sans identifiant de la cible.
• VirusTotal (Irlande (groupe Google, transferts États-Unis)) : réputation du domaine auprès des moteurs antivirus. Transmis : nom de domaine et adresse IP de la cible.
• AlienVault OTX (États-Unis) : indicateurs de menace communautaires. Transmis : nom de domaine et adresse IP de la cible.
• Censys (États-Unis) : inventaire des certificats et services exposés. Transmis : nom de domaine et adresse IP de la cible.
• SecurityTrails (États-Unis) : historique DNS et inventaire de sous-domaines. Transmis : nom de domaine de la cible.

6. Durée de conservation

• Données de compte : conservées tant que le compte est actif. La suppression du compte efface le compte, les scans et les rapports de la base de données. Les fichiers (PDF, captures) et le contact dans l'outil de relation client sont effacés par des opérations distinctes : si l'une échoue, la suppression se poursuit et une purge résiduelle peut nécessiter une intervention manuelle, effectuée dans les meilleurs délais.
• Logs d'audit légaux : conservés 36 mois sans référence à votre identité (Article 17.3.e RGPD — constitution de preuves)
• Résultats de scan : conservés 24 mois, puis supprimés
• Rapports PDF : conservés 24 mois
• Preuve de consentement au scan (horodatage, adresse IP, cible): conservée 5 ans dans un journal distinct de votre compte. Elle survit à la suppression du compte: c'est ce que permet l'article 17.3.e du RGPD lorsque la conservation est nécessaire à la défense d'un droit en justice, ici la démonstration qu'un scan avait été déclaré autorisé (article 323-1 du Code pénal). Elle ne contient rien d'autre que ce qui sert à le prouver, et vous pouvez en demander la copie à tout moment. La planification d'un scan récurrent exige la même attestation : sa date et l'adresse IP associée sont enregistrées avec la planification, et disparaissent avec elle.
• Journaux techniques (Sentry, Vercel) : conservés 12 mois
• Logs d'audit (audit_logs) : conservés 36 mois pour preuves probatoires (article 17.3.e RGPD + prescription pénale article 323-1 du Code pénal), purge automatique hebdomadaire au-delà

7. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger vos données inexactes
• Droit à l'effacement : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré (JSON/CSV)
• Droit d'opposition : vous opposer au traitement de vos données
• Droit à la limitation : demander la limitation du traitement

Pour exercer vos droits : vincent.coderch@sedona-ai.com. Nous répondons sous 30 jours.

8. Sécurité des données

Nous mettons en œuvre les mesures techniques suivantes : chiffrement TLS en transit, chiffrement AES-256 au repos, authentification sécurisée (Supabase Auth) avec double authentification (TOTP) disponible en option, Row Level Security (isolation des données entre utilisateurs), sauvegardes quotidiennes, logs d'audit.

9. Cookies

Sedona Radar utilise les catégories de cookies suivantes :

• Cookies strictement nécessaires (sans consentement, Article 82 LIL) : session d'authentification Supabase Auth (sb-access-token, sb-refresh-token), préférences UI (mode dirigeant/technique, thème clair/sombre).
• Cookies tiers Stripe Checkout : lors d'une souscription, l'utilisateur est redirigé vers checkout.stripe.com qui dépose ses propres cookies (anti-fraude, 3DS, session paiement). Ces cookies sont sous la responsabilité de Stripe Payments Europe Ltd. et régis par la politique de confidentialité de Stripe. Strictement nécessaires au paiement, ils ne requièrent pas de consentement séparé.

Aucun cookie de mesure d'audience n'est déposé par l'application : la mesure d'usage (consultation d'un rapport, export) est enregistrée côté serveur, sans traceur dans votre navigateur. Le site vitrine sedona-ai.com, lui, dispose de sa propre politique.

Certains événements de votre compte sont transmis, avec votre adresse e-mail, à l'outil de gestion de la relation client : inscription, fin d'un scan gratuit, consultation d'un rapport gratuit, changement d'abonnement, suppression du compte. Ils partent par un webhook vers notre site, puis vers Brevo (section 5). Les comptes internes de Sedona (démonstration, test, équipe) n'en émettent pas.

Aucun cookie publicitaire ni de tracking croisé n'est utilisé. L'utilisateur peut retirer son consentement à tout moment en effaçant le cookie de consentement (localStorage `sedona-cookie-consent`) depuis les paramètres de son navigateur.

10. Transferts internationaux

Les destinataires suivants sont établis hors de l'Union européenne, ou y transfèrent des données : Supabase Pte. Ltd., Anthropic Ireland, Limited, Vercel Inc., Resend, Sentry, IPinfo, Have I Been Pwned, AbuseIPDB, Shodan, GrayHatWarfare, GreyNoise, SerpAPI, GitHub (GitHub, Inc.), WPScan, NVD (NIST), VirusTotal, AlienVault OTX, Censys, SecurityTrails. Pour les sous-traitants de la section 5, ces transferts sont encadrés soit par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (Data Privacy Framework, Article 45 RGPD) lorsque le destinataire y est certifié, soit par les clauses contractuelles types approuvées par la Commission européenne (Article 46.2.c RGPD). Les données de scan et la base de données sont hébergées en Union européenne (OVH Gravelines, AWS eu-west-1) ; les fonctions serveur de l'application sont exécutées à Dublin (Irlande, Union européenne), mais l'application reste servie par Vercel Inc., société américaine : c'est un transfert encadré. Les sources de renseignement de la section 5 bis ne reçoivent que la cible analysée, jamais votre identité.

11. Réclamation

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.