Les documents, dans les mots simples du produit
Trois documents qu’un service achats ou une revue de sécurité demandera. La clause de conformité figure dans les conditions, pas dans une note de bas de page.
Dernière révision
Conditions v4 et attributions révisées le 2 septembre 2026. DPA v3 publié le 12 juin 2026, contresigné sous un jour ouvré.
Poser une question juridiqueAccord de traitement des données
v3 · 12 juin 2026Vous êtes le responsable du traitement, nous sommes le sous-traitant. Voici le résumé qu’une revue de sécurité demande habituellement ; le document signable est identique sur le fond.
Rôles
Vous agissez en tant que responsable du traitement pour les données à caractère personnel présentes dans les pages que nous analysons et dans votre espace de travail. Nous agissons en tant que sous-traitant et ne les traitons que pour fournir le service décrit dans les conditions.
Ce que nous traitons
- Données de compte
- Nom, e-mail professionnel, rôle, organisation, mot de passe haché, enregistrements de session et d’audit.
- Artéfacts d’analyse
- Extraits de HTML des pages, captures d’écran, sortie brute du scanner et anomalies dérivées pour les pages que vous désignez.
- Données de facturation
- Raison sociale, adresse, numéro de TVA, historique des factures. Les données de carte restent chez Stripe.
- Données de support
- Les messages que vous nous envoyez, conservés deux ans et jamais utilisés à des fins marketing.
Où elles résident
Hetzner Falkenstein comme région principale et Helsinki en secours, toutes deux dans l’UE. Le stockage d’objets et la messagerie transactionnelle sont basés dans l’UE. Aucune région américaine n’est sélectionnable et aucune donnée n’est transférée hors de l’EEE.
Sous-traitants ultérieurs
- Hetzner Online GmbH
- Hébergement de calcul et de base de données · Allemagne et Finlande
- Cloudflare (stockage UE)
- Stockage d’objets pour les rapports, captures d’écran et dossiers · région UE
- Stripe Payments Europe
- Facturation, factures et gestion de la TVA · Irlande
- Postmark (EU)
- Messagerie transactionnelle · région UE
Mesures de sécurité
Chiffrement en transit et au repos, cloisonnement des requêtes par organisation appliqué dans la couche API, journal d’audit en ajout seul, accès du personnel au moindre privilège où l’usurpation d’identité exige un ticket de support, et un test d’intrusion externe annuel dont le résumé est disponible sur demande.
Notification de violation
Nous vous informons sans retard injustifié et dans les 48 heures après avoir eu connaissance d’une violation de données à caractère personnel touchant votre espace de travail, avec les faits connus à ce moment-là et les mesures prises.
Suppression
À la résiliation, les données à caractère personnel sont supprimées sous 30 jours, à l’exception des dossiers de preuves scellés, que vous pouvez conserver pendant leur fenêtre de conservation de 24 mois ou faire supprimer immédiatement sur demande.
Les exemplaires signés sont contresignés sous un jour ouvré. Les clauses contractuelles types ne sont pas nécessaires — aucune donnée ne quitte l’UE.