Politique de confidentialité

Qui sommes-nous

CyberProva est dirigé par une petite équipe de professionnels de l’informatique qui traitent des incidents de cybersécurité au quotidien. Nous avons créé CyberProva pour donner aux petites et moyennes organisations une vision claire et concrète de leur sécurité, et des failles que nous voyons le plus souvent à l’origine d’incidents réels, avant qu’elles ne soient exploitées.

CyberProva est établi au Royaume-Uni.

Questions relatives à la confidentialité : hello@cyberprova.com

Ce que nous conservons et pourquoi

Voici les catégories actuellement stockées par le logiciel :

Nous utilisons des événements opérationnels pour comprendre les inscriptions, connexions, évaluations, accès aux rapports, demandes de justificatifs et activations de forfait. Les identifiants des espaces de travail y sont pseudonymisés. Aucun cookie de suivi des visiteurs n’est ajouté ; les visites publiques ne peuvent pas être reliées à des inscriptions individuelles.

• Données du compte — l’identifiant d’annuaire et l’adresse e-mail de chaque personne qui se connecte, ainsi que son rôle dans l’espace de travail.
• Données de l’organisation — le nom de votre organisation, le périmètre d’évaluation déclaré et l’identifiant de votre environnement Microsoft 365 une fois connecté.
• Résultats de l’évaluation — le résultat de chaque vérification, sa date d’exécution et le texte des conclusions.
• Preuves que vous téléversez — les fichiers eux-mêmes, leurs noms et les notes associées. Ils peuvent contenir des données personnelles selon ce que vous choisissez de téléverser ; vous en gardez le contrôle.
• Configuration lue dans Microsoft 365 — les paramètres de sécurité et les identifiants d’annuaire des comptes concernés. Nous ne demandons pas les adresses e-mail des comptes signalés par notre vérification des identifiants divulgués.
• Données de facturation — l’état de l’abonnement et les identifiants Stripe. Les coordonnées de carte sont traitées par Stripe et ne nous parviennent jamais.

Durée de conservation

• Comptes, espaces de travail, résultats d’évaluation, justificatifs et messages de service : aussi longtemps que l’espace de travail est utilisé. Lorsqu’un client ferme son espace de travail ou nous demande de le supprimer, nous supprimons ces données dans un délai de 30 jours, sauf si nous devons conserver certains documents pour respecter une obligation légale ou traiter une réclamation en justice.
• Liens d’invitation : expirent après 7 jours ou dès leur utilisation.
• Journaux techniques : 30 jours.
• Documents de facturation et comptables : six ans, conformément à la législation fiscale britannique.
• Correspondance d’assistance et relative à la confidentialité : deux ans après la clôture du dossier.
• Sauvegardes : les sauvegardes de la base de données sont écrasées dans un délai de 7 jours. Les justificatifs supprimés et les versions antérieures des fichiers sont définitivement effacés du stockage dans un délai de 30 jours.

La résiliation d’un abonnement ou le retrait du consentement Microsoft 365 n’entraîne pas à lui seul la suppression des données stockées. Pour demander une suppression, contactez-nous à l’adresse hello@cyberprova.com. Pour les données d’un espace de travail client, nous pouvons avoir besoin de l’instruction du client.

Qui d’autre les traite

Nous faisons appel aux prestataires suivants, qui traitent des données personnelles pour notre compte dans le cadre de contrats qui les protègent :

• Microsoft (Azure) : hébergement, base de données, stockage de fichiers et journaux techniques, dans des centres de données Microsoft situés au Royaume-Uni. Microsoft Entra ID assure la connexion et Microsoft Graph permet les contrôles Microsoft 365 en lecture seule autorisés par votre organisation.
• Stripe: paiement en ligne et traitement des paiements. Les données de carte saisies lors du paiement sont transmises à Stripe et ne sont pas conservées par nous.
• Service-email delivery provider: envoi des messages de service.

Les membres autorisés de votre espace de travail peuvent consulter les données selon leur rôle. Les demandes de justificatifs sont envoyées aux prestataires choisis par votre organisation. Toute personne qui reçoit un rapport que vous exportez voit ce que vous choisissez de partager.

Nous pouvons également communiquer des informations lorsque la loi l’exige, à des conseillers professionnels tenus à la confidentialité, ou pour constater, exercer ou défendre des droits en justice. En cas de cession de l’activité ou de ses actifs, y compris à une société que nous créerions pour exploiter CyberProva, les données personnelles seraient transférées avec des garanties appropriées et nous en informerions les personnes concernées.

Transferts internationaux

Nous stockons les données des clients au Royaume-Uni. Certains prestataires, comme Stripe et Microsoft pour ses opérations d’assistance et de sécurité, peuvent traiter des données dans d’autres pays, notamment aux États-Unis. Dans ce cas, le transfert est encadré par la réglementation britannique d’adéquation (y compris l’extension britannique du cadre de protection des données UE–États-Unis) ou par l’addendum international de transfert de données aux clauses contractuelles types. Contactez-nous pour en savoir plus sur ces garanties.

Vos droits

Selon la finalité et la base juridique, vous pouvez nous demander l’accès à vos données, leur rectification, leur effacement ou la limitation de leur traitement, ou une copie portable, et vous pouvez vous opposer au traitement. Lorsque nous nous fondons sur le consentement, vous pouvez le retirer à tout moment sans remettre en cause le traitement déjà effectué. Ces droits sont soumis à des conditions et exceptions, et nous pouvons avoir besoin de vérifier votre identité. Nous répondrons dans un délai d’un mois.

Pour formuler une demande ou une réclamation, contactez-nous à l’adresse hello@cyberprova.com. Vous pouvez également saisir à tout moment l’Information Commissioner’s Office (autorité britannique de protection des données) ou une autre autorité de protection des données, comme la CNIL en France ; vous n’êtes pas tenu de nous contacter au préalable.

Les évaluations résument automatiquement certains contrôles de sécurité afin d’appuyer des décisions humaines. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires significatifs à l’égard des personnes.