Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est :

Responsable	Jordan Cayre EI, entrepreneur individuel
Nom commercial	JC Digital Corps
Adresse	66650 Banyuls-sur-Mer, France
Contact données personnelles	audit@surfaceid.fr

Compte tenu de la nature et du volume des traitements réalisés, la désignation d'un délégué à la protection des données n'est pas obligatoire. Toute demande relative aux données personnelles peut être adressée à l'adresse ci-dessus.

2. Principe général

Le Site est conçu pour minimiser la collecte : il ne dépose aucun cookie, n'utilise aucun outil de mesure d'audience ni de publicité et ne stocke aucune donnée saisie dans le formulaire de demande. Les informations saisies servent uniquement à composer un message que vous envoyez vous-même depuis votre propre logiciel de messagerie.

Le vérificateur de mot de passe fonctionne entièrement dans votre navigateur : le mot de passe saisi n'est ni transmis à l'éditeur, ni enregistré.

Seuls deux services externes peuvent être appelés par votre navigateur : le service de polices de caractères Google Fonts, au chargement de chaque page, et la base Pwned Passwords, uniquement si vous activez vous-même la vérification des fuites connues puis cliquez sur « Vérifier ». Ils sont décrits à l'article 12.

3. Données collectées

3.1 Lors d'une demande de prestation

Par le formulaire du site :

• nom de domaine à analyser ;
• secteur d'activité ;
• adresse électronique de contact ;
• déclaration d'autorisation d'analyse.

Ces informations sont nécessaires à l'étude de la demande : à défaut, celle-ci ne peut pas être traitée. Elles ne parviennent à l'éditeur qu'au moment où vous envoyez vous-même le message depuis votre logiciel de messagerie.

Lors des échanges qui suivent, notamment pour le devis et la facturation :

• raison sociale de l'organisation ;
• contenu des messages que vous adressez à l'éditeur.

3.2 Lors de l'exécution de la prestation

• éléments d'identification et de facturation de l'organisation cliente ;
• coordonnées du ou des interlocuteurs désignés ;
• historique des échanges et des rapports produits.

3.3 Lors de la simple consultation du site

Aucune donnée n'est collectée par l'éditeur. L'hébergeur peut conserver des journaux de connexion techniques, notamment l'adresse IP, dans le cadre de ses propres obligations légales et de la sécurité de son infrastructure.

L'affichage des polices de caractères entraîne par ailleurs une requête de votre navigateur vers Google Fonts, dans les conditions décrites à l'article 12.

3.4 Lors de l'utilisation du vérificateur de mot de passe

Le mot de passe que vous saisissez est analysé localement, par votre navigateur. Il n'est transmis ni à l'éditeur, ni à l'hébergeur, ni à un tiers, et le Site ne l'enregistre nulle part. Les mots de passe proposés par le générateur sont eux aussi produits dans votre navigateur et ne sont pas conservés.

La vérification des fuites connues est désactivée par défaut. Aucune requête n'est émise pendant la saisie. Si vous activez l'option puis cliquez sur « Vérifier », votre navigateur calcule l'empreinte (SHA-1) du mot de passe présent dans le champ et n'en transmet que les cinq premiers caractères au service Pwned Passwords ; la comparaison avec la liste d'empreintes renvoyée est effectuée dans votre navigateur. Ni le mot de passe, ni son empreinte complète, ni le résultat de la vérification ne sont communiqués à ce service ou à l'éditeur.

L'éditeur ne collecte donc aucune donnée à l'occasion de l'utilisation de cet outil.

4. Finalités et bases légales

Finalité	Base légale	Données concernées
Répondre à une demande et établir un devis	Mesures précontractuelles à la demande de la personne	Coordonnées, domaine, secteur, message
Exécuter la prestation d'analyse et livrer le rapport	Exécution du contrat	Coordonnées, domaine, périmètre
Facturation et tenue de la comptabilité	Obligation légale	Identification, données de facturation
Gestion des réclamations et défense de nos droits	Intérêt légitime	Historique des échanges
Affichage du site avec ses polices de caractères (appel à Google Fonts)	Intérêt légitime (présentation homogène et lisible du site)	Adresse IP et données techniques de la requête, transmises directement par votre navigateur à Google
Vérification facultative d'un mot de passe dans les fuites connues (appel à Pwned Passwords)	Votre consentement, donné en activant l'option et en lançant la vérification	Adresse IP, données techniques de la requête et cinq premiers caractères de l'empreinte, transmis directement par votre navigateur à ce service

Aucune décision fondée exclusivement sur un traitement automatisé et aucun profilage ne sont mis en œuvre.

5. Données issues de sources publiques

L'analyse porte sur une infrastructure technique et non sur des personnes. Elle peut toutefois faire apparaître des adresses électroniques professionnelles présentes dans des bases publiques de compromissions connues, ou des identifiants techniques associés à un domaine.

Ces éléments sont traités comme des indicateurs techniques d'exposition, sur la base de l'intérêt légitime consistant à informer une organisation de son niveau de risque. Ils font l'objet des garanties suivantes :

• ils sont restitués de manière minimale, sans reproduction de mot de passe ni de donnée compromise ;
• ils ne sont utilisés que pour la production du rapport destiné au Client ;
• ils ne sont ni enrichis, ni recoupés à d'autres fins, ni cédés à un tiers ;
• ils sont supprimés à l'issue de la durée de conservation indiquée à l'article 7.

Les personnes dont une adresse professionnelle apparaîtrait dans un rapport peuvent exercer leurs droits auprès du responsable du traitement dans les conditions de l'article 10.

6. Destinataires

Les données sont destinées au seul responsable du traitement. Elles ne sont ni vendues, ni louées, ni cédées.

Peuvent y accéder dans la stricte limite de leurs missions :

• le prestataire d'hébergement du site et des outils utilisés ;
• le prestataire de messagerie électronique ;
• l'expert-comptable, pour les seules données de facturation ;
• les autorités administratives ou judiciaires sur réquisition régulière.

Les fournisseurs des services externes décrits à l'article 12 n'ont accès à aucune de ces données : ils ne reçoivent que les données techniques transmises directement par votre navigateur au moment de l'appel.

7. Durées de conservation

Catégorie	Durée
Demande sans suite commerciale	12 mois à compter du dernier contact
Données de prospection et d'échanges	3 ans à compter du dernier contact
Rapports produits et données d'analyse associées	12 mois après la livraison
Indicateurs techniques issus de sources publiques	12 mois après la livraison du rapport
Documents comptables et factures	10 ans (obligation légale)

8. Sécurité

Les mesures suivantes sont mises en œuvre : chiffrement des échanges par protocole sécurisé, accès aux données restreint au seul responsable du traitement et protégé par authentification renforcée, sauvegardes chiffrées, cloisonnement des rapports par client, et suppression sécurisée à l'expiration des durées de conservation.

9. Transferts hors Union européenne

Les données sont hébergées au sein de l'Union européenne.

Les deux services externes décrits à l'article 12 peuvent en revanche impliquer un transfert de données techniques vers un pays tiers :

• Google Fonts — les requêtes peuvent être traitées par Google sur des serveurs situés hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les mécanismes prévus par le règlement général sur la protection des données, notamment le cadre de protection des données Union européenne – États-Unis et les clauses contractuelles types de la Commission européenne ;
• Pwned Passwords — ce service est exploité par une société établie en Australie, pays qui ne fait pas l'objet d'une décision d'adéquation de la Commission européenne, et s'appuie sur des infrastructures situées notamment aux États-Unis. L'appel à ce service n'a lieu que si vous activez vous-même l'option correspondante et lancez la vérification ; il repose sur votre consentement explicite (article 49, paragraphe 1, a) du règlement général sur la protection des données). Seules votre adresse IP, les données techniques de la requête et les cinq premiers caractères de l'empreinte du mot de passe sont concernés. En l'absence de décision d'adéquation, ces données ne bénéficient pas dans ce pays d'un niveau de protection reconnu équivalent à celui de l'Union européenne.

10. Vos droits

Conformément au règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez des droits suivants :

• droit d'accès aux données vous concernant ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement, dans les limites des obligations légales de conservation ;
• droit à la limitation du traitement ;
• droit d'opposition, notamment aux traitements fondés sur l'intérêt légitime ;
• droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci : il suffit de désactiver l'option de vérification des fuites connues ;
• droit à la portabilité des données que vous avez fournies ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Ces droits s'exercent par courrier électronique à audit@surfaceid.fr, ou par courrier, à l'adresse postale communiquée sur simple demande. Une réponse vous est apportée dans un délai d'un mois. Un justificatif d'identité peut être demandé en cas de doute raisonnable.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

11. Cookies et stockage local

Ce site ne dépose aucun cookie et n'utilise aucun traceur de suivi : il n'y a ni mesure d'audience, ni publicité, ni bouton de réseau social. Aucun consentement n'est donc requis et aucun bandeau n'est affiché.

Un seul élément peut être enregistré dans votre navigateur : si vous utilisez le bouton de changement de thème présent en haut de chaque page, votre choix d'affichage (clair ou sombre) est conservé dans le stockage local du navigateur, sous le nom « surfaceid-theme ». Il est relu à l'ouverture de chaque page pour afficher le thème retenu. Cette information reste sur votre appareil, n'est jamais transmise et ne permet pas de vous identifier. Strictement nécessaire à une fonctionnalité que vous demandez, elle est dispensée de consentement (article 82 de la loi n° 78-17 du 6 janvier 1978). Vous pouvez la supprimer à tout moment en effaçant les données de site dans votre navigateur.

Le vérificateur de mot de passe n'enregistre rien d'autre dans votre navigateur : ni le mot de passe saisi, ni le résultat de son analyse.

12. Services externes appelés par le site

Le Site ne fait appel qu'à deux services fournis par des tiers. Dans les deux cas, c'est votre navigateur qui adresse directement la requête au fournisseur : l'éditeur n'a pas accès aux données reçues par celui-ci.

12.1 Google Fonts — polices de caractères

Fournisseur	Google
À quel moment	Au chargement de chaque page du Site, pour télécharger les polices de caractères utilisées à l'affichage.
Données reçues	Votre adresse IP et les informations techniques de la requête (type de navigateur, nom du site consulté). Selon Google, ce service ne dépose aucun cookie.
Finalité	Affichage homogène des textes du Site.
Base légale	Intérêt légitime de l'éditeur.
En savoir plus	Règles de confidentialité de Google

12.2 Pwned Passwords — vérification des fuites connues

Fournisseur	Have I Been Pwned, service exploité par Superlative Enterprises Pty Ltd (Australie) et diffusé par l'intermédiaire du réseau Cloudflare.
À quel moment	Uniquement sur la page « Vérificateur de mot de passe », et seulement si vous activez l'option « Vérifier les fuites connues », désactivée par défaut, puis cliquez sur le bouton « Vérifier ». Une seule requête est émise par vérification, pour le mot de passe présent dans le champ à cet instant. Aucune requête n'est émise pendant la saisie, ni tant que l'option reste désactivée.
Données reçues	Votre adresse IP, les informations techniques de la requête et les cinq premiers caractères de l'empreinte (SHA-1) du mot de passe. La requête est émise sans cookie ; l'adresse de la page consultée n'est pas transmise, seul le nom du site (surfaceid.fr) l'est. Le service ne reçoit jamais le mot de passe ni son empreinte complète.
Finalité	Vous indiquer si le mot de passe saisi figure dans des fuites de données connues.
Base légale	Votre consentement, donné en activant l'option et en lançant la vérification ; il est retirable à tout moment en désactivant l'option.
En savoir plus	Politique de confidentialité de Have I Been Pwned

Ces fournisseurs traitent ces données techniques pour leur propre compte, selon leurs propres politiques de confidentialité. Pour les données qu'ils reçoivent directement, vos droits s'exercent auprès d'eux.

Aucun autre service externe n'est appelé : ni mesure d'audience, ni publicité, ni réseau social, ni carte, ni vidéo, ni formulaire hébergé par un tiers. Le formulaire de demande ouvre votre propre logiciel de messagerie, et les liens vers des sites tiers ne transmettent rien tant que vous ne les suivez pas.

13. Modification de la présente politique

Cette politique peut être mise à jour pour tenir compte d'évolutions légales ou techniques. La version applicable est celle publiée sur le site, dont la date de mise à jour figure en tête de page.