Politique de confidentialité
Dernière mise à jour : 2 octobre 2026
Qui nous sommes et comment nous contacter
DataVigia exploite cette plateforme d'audit de sécurité des données. Pour toute question relative à la confidentialité ou pour exercer vos droits, contactez privacy@datavigia.com ou utilisez le formulaire de contact du site. L'identification complète et l'adresse du responsable sont disponibles sur demande.
Responsable ou sous-traitant, selon les données
Pour ce qui concerne les données du site, du compte et de la facturation, DataVigia est le responsable du traitement. Pour ce qui concerne les données des plateformes que le client connecte (Microsoft 365, Google Workspace, serveurs locaux) et les données des collaborateurs utilisées dans les simulations de formation, c'est le client qui est le responsable du traitement et DataVigia agit en qualité de sous-traitant, dans le cadre de l'accord de sous-traitance (DPA).
Quelles données nous traitons
Données de compte (nom, adresse e-mail), données de facturation, messages du formulaire de contact, résultats des campagnes de formation (qui a interagi avec les tests) et métadonnées de sécurité des plateformes connectées (autorisations, configurations, journaux d'accès, noms de fichiers et de dossiers). Nous N'ACCÉDONS PAS au contenu des fichiers des clients.
Finalités et base légale
Fourniture du service et gestion du compte (exécution du contrat, article 6.1.b) ; facturation et respect des obligations comptables et fiscales (obligation légale, article 6.1.c) ; sécurité de la plateforme et prévention de la fraude (intérêt légitime, article 6.1.f) ; réponse aux prises de contact commerciales (intérêt légitime ou consentement, que vous pouvez retirer à tout moment). Les données des plateformes du client sont traitées selon les instructions du client, responsable d'en assurer la base légale correspondante.
Qui a accès et sous-traitants
L'accès interne est limité au personnel strictement nécessaire, soumis à une obligation de confidentialité. Nous faisons appel à des sous-traitants liés par des contrats de sous-traitance : Supabase (base de données et hébergement, région de l'Union européenne, Irlande), Vercel (hébergement et distribution de l'application), Anthropic (génération automatique de rapports en texte), Resend (envoi d'e-mails) et les API de Microsoft et de Google (auxquelles l'accès se fait avec l'autorisation du client). La liste à jour des sous-traitants est disponible sur demande.
Transferts internationaux
Les données sont hébergées dans l'Union européenne (Irlande). Certains sous-traitants traitent des données en dehors de l'Espace économique européen, par exemple aux États-Unis. Dans ces cas, des garanties appropriées s'appliquent, conformément au mécanisme de transfert valable à la date concernée : les Clauses Contractuelles Types de la Commission européenne et, lorsque le sous-traitant est certifié, la décision d'adéquation du cadre de protection des données UE-États-Unis (Data Privacy Framework). Andorra bénéficie d'une décision d'adéquation de l'Union européenne, de sorte que les transferts vers Andorra n'exigent pas de garanties supplémentaires.
Durées de conservation
Les données de compte sont conservées pendant la durée du contrat. Les données de facturation sont conservées pendant les délais légaux applicables (en règle générale, dix ans à des fins fiscales). Les métadonnées de sécurité et les résultats des audits sont conservés pendant la durée de la relation puis supprimés ou restitués à son terme, sauf obligation légale. Les messages de contact sont conservés le temps nécessaire à leur traitement.
Sécurité
Les identifiants des connecteurs sont stockés dans un coffre-fort chiffré auquel seul le service accède ; chaque organisation est isolée des autres (Row Level Security) ; nous appliquons le principe du moindre privilège, le contrôle et la journalisation des accès, ainsi que la minimisation des données (nous ne collectons pas le contenu des fichiers).
Décisions automatisées
Les rapports sont élaborés avec l'appui d'un traitement automatisé, mais ils ont pour but de soutenir la décision humaine. Nous ne prenons pas de décisions exclusivement automatisées produisant des effets juridiques ou vous affectant de manière significative de façon similaire, au sens de l'article 22 du RGPD.
Vos droits
Vous disposez du droit d'accéder à vos données, de les rectifier, de les effacer, de limiter le traitement ou de vous y opposer, du droit à la portabilité et du droit de retirer votre consentement. Nous répondons, en règle générale, dans un délai d'un mois. Si les données sont traitées pour le compte d'un client (responsable du traitement), nous transmettons la demande à ce client.
Réclamations
Vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre pays : au Portugal la CNPD, en Espagne l'AEPD, en France la CNIL et à Andorra l'APDA (Agència Andorrana de Protecció de Dades).
Cookies et mineurs
Nous utilisons uniquement des cookies essentiels, décrits dans la Politique en matière de cookies. Le service est destiné aux entreprises et ne s'adresse pas aux mineurs.
Modifications de la présente politique
Nous pouvons mettre à jour la présente politique afin de refléter des évolutions légales ou du service. Nous publions la version en vigueur sur cette page, avec la date de mise à jour correspondante.
Vérificateur d’emails
Le vérificateur traite les messages soumis par les utilisateurs : objet, expéditeurs, en-têtes, corps et pièces jointes. Les pièces jointes ne sont jamais exécutées ni envoyées à l’IA ; leurs empreintes peuvent être consultées auprès des services de réputation configurés. Le texte limité et les signaux techniques peuvent être transmis à Anthropic. Les fichiers, corps et rapports détaillés sont supprimés du stockage actif DataVigia après 1 à 30 jours (7 par défaut). Les résultats et métadonnées minimales sont conservés. La conservation chez les fournisseurs d’email, d’IA et dans les sauvegardes dépend des contrats et doit être vérifiée avant activation. Chaque utilisateur voit ses vérifications ; les administrateurs voient celles de leur organisation. L’évaluation est indicative et ne supprime aucun message ni ne prend de décision automatiquement.
Collecteur d’infrastructure et Wi-Fi
Activé et configuré par le service IT, le collecteur traite les noms des appareils, les métadonnées des règles OPNsense, les noms et indicateurs des partages Synology visibles du compte et les observations Wi-Fi des SSID autorisés (SSID, BSSID, fréquence, signal et protection annoncée). Seuls des totaux agrégés sont envoyés pour les autres réseaux. Aucune capture de trafic. Les identifiants locaux et la clé d’association restent dans un dossier privé du client, sans chiffrement supplémentaire par le collecteur, hors du coffre des connecteurs cloud. Le portail conserve la dernière collecte par collecteur, supprimée de manière programmée après 30 jours sans actualisation. Le client définit le périmètre, garantit la base légale et informe les personnes concernées. La révocation bloque les nouveaux envois ; les demandes d’effacement suivent la procédure de cette politique.
Sécurité de la plateforme
Pour protéger les comptes et les données, nous enregistrons les refus d’accès, les changements d’attributs de privilège et les interactions avec des leurres sans accès aux données réelles. Les registres comprennent le compte authentifié lorsqu’il est identifié, le type d’événement, la route sans paramètres, les dates et une IP pseudonymisée. Aucun mot de passe, cookie ou corps de requête n’est conservé dans ces registres. Accès réservé au responsable de la plateforme, avec alertes par email. Conservation : 30 jours ; sauvegardes et messages suivent la rétention de leurs services. Ces indices appuient une investigation humaine sans prouver à eux seuls une intrusion ni l’identité de la personne utilisant un compte.
Présence et activité opérationnelle
Pour la sécurité des comptes et le support opérationnel, nous conservons pendant 30 jours le dernier signal de chaque connexion au portail : compte, dates, visibilité/inactivité de l’onglet, espace général (administration, portail, profil ou support), IP publique, pays/ville approximatifs et navigateur/système déclarés. La présence est collectée après authentification MFA ; seul le Mega Admin peut consulter la vue globale. Aucun GPS, texte saisi, contenu ou historique de navigation n’est collecté. Le signal ne prouve pas une présence physique ; un VPN peut modifier l’origine. Les agents sont associés aux entreprises avec les communications et collectes reçues, sans présumer leur installation sur l’ordinateur d’une personne. Les journaux d’authentification originaux et sauvegardes suivent leurs politiques. Le traitement vise la sécurité et le fonctionnement du service, pas l’évaluation de productivité.