Conditions, DPA et attributions

Les documents, dans les mots simples du produit

Trois documents qu’un service achats ou une revue de sécurité demandera. La clause de conformité figure dans les conditions, pas dans une note de bas de page.

Dernière révision

Conditions v4 et attributions révisées le 2 septembre 2026. DPA v3 publié le 12 juin 2026, contresigné sous un jour ouvré.

Poser une question juridique

Accord de traitement des données

v3 · 12 juin 2026

Vous êtes le responsable du traitement, nous sommes le sous-traitant. Voici le résumé qu’une revue de sécurité demande habituellement ; le document signable est identique sur le fond.

1

Rôles

Vous agissez en tant que responsable du traitement pour les données à caractère personnel présentes dans les pages que nous analysons et dans votre espace de travail. Nous agissons en tant que sous-traitant et ne les traitons que pour fournir le service décrit dans les conditions.

2

Ce que nous traitons

Données de compte
Nom, e-mail professionnel, rôle, organisation, mot de passe haché, enregistrements de session et d’audit.
Artéfacts d’analyse
Extraits de HTML des pages, captures d’écran, sortie brute du scanner et anomalies dérivées pour les pages que vous désignez.
Données de facturation
Raison sociale, adresse, numéro de TVA, historique des factures. Les données de carte restent chez Stripe.
Données de support
Les messages que vous nous envoyez, conservés deux ans et jamais utilisés à des fins marketing.
3

Où elles résident

Hetzner Falkenstein comme région principale et Helsinki en secours, toutes deux dans l’UE. Le stockage d’objets et la messagerie transactionnelle sont basés dans l’UE. Aucune région américaine n’est sélectionnable et aucune donnée n’est transférée hors de l’EEE.

4

Sous-traitants ultérieurs

Hetzner Online GmbH
Hébergement de calcul et de base de données · Allemagne et Finlande
Cloudflare (stockage UE)
Stockage d’objets pour les rapports, captures d’écran et dossiers · région UE
Stripe Payments Europe
Facturation, factures et gestion de la TVA · Irlande
Postmark (EU)
Messagerie transactionnelle · région UE
6

Mesures de sécurité

Chiffrement en transit et au repos, cloisonnement des requêtes par organisation appliqué dans la couche API, journal d’audit en ajout seul, accès du personnel au moindre privilège où l’usurpation d’identité exige un ticket de support, et un test d’intrusion externe annuel dont le résumé est disponible sur demande.

8

Notification de violation

Nous vous informons sans retard injustifié et dans les 48 heures après avoir eu connaissance d’une violation de données à caractère personnel touchant votre espace de travail, avec les faits connus à ce moment-là et les mesures prises.

9

Suppression

À la résiliation, les données à caractère personnel sont supprimées sous 30 jours, à l’exception des dossiers de preuves scellés, que vous pouvez conserver pendant leur fenêtre de conservation de 24 mois ou faire supprimer immédiatement sur demande.

Les exemplaires signés sont contresignés sous un jour ouvré. Les clauses contractuelles types ne sont pas nécessaires — aucune donnée ne quitte l’UE.