Politique de confidentialité

1. Responsable du traitement

Pour les données liées au site, aux comptes, à la facturation, au support et à la sécurité du service, le responsable du traitement est GROUPE ALRIC, SASU au capital de 311 000 €, immatriculée 751 736 166 R.C.S. Paris, sise 17 place Richard Baret, 75017 Paris, France.

Contact pour la protection des données : support@pentestlouis.com.

2. Rôles respectifs pour les données analysées

Lorsque le Client soumet un dépôt, un domaine, une application ou tout autre périmètre susceptible de contenir des données personnelles, le Client détermine le périmètre et les finalités de l’analyse. Il agit alors comme responsable du traitement et GROUPE ALRIC traite ces données pour son compte afin de fournir le service, en qualité de sous-traitant au sens du RGPD.

Le Client doit disposer des droits, autorisations et bases légales nécessaires, informer les personnes concernées lorsque cela est requis et ne transmettre que les données utiles. Les stipulations nécessaires au titre de l’article 28 du RGPD peuvent être formalisées sur demande avant une utilisation impliquant des données personnelles pour le compte du Client.

3. Données traitées, finalités et bases légales

Compte et authentification

Adresse électronique, identifiant, nom affiché, identifiant GitHub, avatar, organisation, préférences de langue et d’apparence, données de session et historiques de connexion nécessaires. Ces données servent à créer et sécuriser le compte, authentifier l’utilisateur et personnaliser l’interface. Base légale : exécution du contrat et intérêt légitime à protéger le service.

Dépôts, domaines et analyses

Métadonnées GitHub, noms de dépôts et branches, identifiants de commits, code source, domaines, hôtes, configurations visibles, résultats techniques, constats, preuves, rapports, coûts et événements d’exécution. Ces données servent à établir un devis, exécuter l’analyse, produire les résultats et assurer leur traçabilité. Base légale : exécution du contrat ; pour les données confiées par le Client, traitement pour son compte selon ses instructions documentées.

Paiements et facturation

Identité et adresse de facturation, entreprise, numéro de TVA, montants, devise, statut de paiement, références Stripe, facture et historique de crédit. PentestLouis ne reçoit pas le numéro complet de la carte. Finalités : encaissement, facturation, comptabilité et prévention de la fraude. Bases légales : exécution du contrat, obligations légales et intérêt légitime à prévenir la fraude.

Sécurité et preuve d’autorisation

Date et nature des actions, compte et organisation, périmètre demandé, preuve d’autorisation, adresse IP et agent utilisateur. Finalités : empêcher les analyses non autorisées, investiguer les incidents, défendre les droits de GROUPE ALRIC et répondre aux demandes légales. Base légale : intérêt légitime à sécuriser un service de cybersécurité et à établir ou défendre des droits en justice.

Support et communications de service

Coordonnées, contenu des messages, pièces jointes et informations utiles à la demande, ainsi que les notifications de fin d’analyse. Finalités : répondre, assurer le suivi contractuel et notifier les événements demandés. Bases légales : exécution du contrat et intérêt légitime à assurer le support. PentestLouis n’utilise pas ces données pour envoyer de la prospection commerciale non sollicitée.

Demandes de rappel

Le formulaire de rappel recueille votre téléphone et, si vous les renseignez, votre prénom et votre message pour répondre à votre demande. Ces informations sont transmises par email via Resend à la boîte de support. Elles ne sont pas enregistrées dans la base de données de l’application ni dans ses journaux applicatifs. Elles sont traitées comme les messages de support et ne sont pas utilisées pour une prospection non sollicitée.

Attestations et badges publics

Le Client peut demander la publication d’une attestation comportant un domaine ou un nom de dépôt, une date, un périmètre et, à son choix, un montant. La consultation de la page ou du badge transmet à l’hébergeur l’adresse IP et les données techniques du visiteur, sans dépôt de cookie par le badge. Base légale : exécution de la demande de publication et intérêt légitime à servir et sécuriser la ressource publique.

4. Origine des données

• données fournies directement lors de la connexion, du paiement ou d’un échange avec le support ;
• données obtenues de GitHub après autorisation de l’utilisateur ou installation de la GitHub App ;
• données techniques collectées lors de l’utilisation du site et des analyses ;
• informations publiquement accessibles sur les domaines, certificats, services et configurations examinés ;
• données retournées par les prestataires techniques sollicités pour exécuter le service.

5. Destinataires et prestataires

Les données sont accessibles uniquement aux personnes autorisées de GROUPE ALRIC et, selon le besoin, aux catégories de prestataires suivantes :

• Supabase : base PostgreSQL, authentification, stockage et files techniques, projet principal en région Paris ;
• Vercel : hébergement et journaux techniques du site web ;
• Stripe : paiement, fiscalité automatisée, facturation et prévention de la fraude ;
• GitHub : authentification facultative et accès en lecture aux seuls dépôts confiés à la GitHub App ;
• Resend : liens de connexion, notifications transactionnelles et acheminement des messages de support et des demandes de rappel ;
• Google : mesure de l’efficacité des campagnes publicitaires et, avec votre accord, personnalisation des annonces (Google Ads et Google Analytics), selon le choix exprimé dans le bandeau de consentement ;
• Hostinger : hébergement, à Paris, du serveur sur lequel GROUPE ALRIC exploite le logiciel libre OpenReplay pour l’enregistrement des sessions de navigation, avec votre accord ;
• OpenRouter et le fournisseur de modèle expressément nommé avant chaque analyse de code, par exemple OpenAI ou Azure ;
• osv.dev (base publique de failles exploitée par Google) : reçoit, lors d’une analyse de code, la liste des bibliothèques utilisées par le dépôt et de leurs versions et, pour les dossiers nommés vendor, libs, third_party, deps, external ou apparentés, les noms de leurs sous-dossiers et les chemins et empreintes de certains de leurs fichiers, jamais leur contenu ;
• Maven Central et PyPI (registres publics de bibliothèques Java et Python), ainsi que les dépôts de bibliothèques déclarés dans les fichiers pom.xml du dépôt analysé ou de leurs parents : reçoivent, lors d’une analyse de code, des noms et versions de bibliothèques pour retrouver leurs dépendances, jamais le code ;
• services techniques interrogés pour les diagnostics de domaines, certificats, DNS, messagerie et exposition publique.

Le fournisseur de modèle, ses conditions, son éventuelle région de traitement et son régime de conservation sont présentés avant chaque analyse concernée. Aucun repli vers un fournisseur non annoncé n’est autorisé par le parcours prévu. Les données peuvent également être communiquées aux autorités lorsqu’une obligation légale l’impose.

6. Transferts hors de l’Espace économique européen

Le stockage principal Supabase est configuré à Paris. Certains autres prestataires sont établis aux États-Unis ou peuvent recourir à des sous-traitants situés hors de l’Espace économique européen. Selon le prestataire et le flux, ces transferts reposent sur une décision d’adéquation, notamment le cadre UE–États-Unis lorsqu’il est applicable, ou sur les clauses contractuelles types de la Commission européenne assorties, lorsque nécessaire, de mesures complémentaires.

Une copie des garanties pertinentes peut être demandée à support@pentestlouis.com, sous réserve d’en retirer les informations confidentielles.

7. Durées de conservation

• compte et profil : pendant la vie du compte, puis suppression selon les modalités décrites ci-dessous ;
• connexion GitHub et métadonnées des dépôts : jusqu’au retrait de l’accès ou à la suppression du compte, sous réserve des traces d’audit ;
• copie de travail du code : supprimée à la fin de l’analyse ;
• résultats, constats, preuves et données brutes d’analyse : 30 jours à compter de la fin du dernier scan pertinent ;
• preuves détaillées de navigation, traceurs et cookies observés : 7 jours ;
• cache technique de certains résultats publics par domaine : 7 jours ;
• rapport PDF en clair : 24 heures après sa génération ;
• rapport PDF chiffré : jusqu’à la suppression du compte ; le mot de passe n’est pas conservé par PentestLouis ;
• attestation publique : jusqu’à sa révocation ou à la suppression du compte ;
• journal des analyses et autorisations : 3 ans ; l’adresse IP complète est tronquée après 1 an ;
• événements de navigation dans l’espace client : 13 mois, puis suppression ou agrégation anonyme ;
• enregistrements de sessions de navigation : 30 jours ;
• mesure d’audience publique : identifiant pseudonyme limité à 13 mois sans prolongation automatique et événements détaillés pendant 13 mois ;
• données de paiement et pièces comptables : durée nécessaire à la relation puis archivage selon les obligations comptables et fiscales applicables, pouvant atteindre 10 ans ;
• messages de support et demandes de rappel : durée nécessaire au traitement de la demande, puis archivage limité à la prescription ou aux besoins de défense associés.

La suppression du compte efface le profil, les analyses, résultats, rapports, attestations et le solde interne. Le journal d’autorisation demeure pendant la durée ci-dessus. Les pièces que la loi impose de conserver et les données détenues par un prestataire en qualité de responsable de traitement distinct peuvent également subsister pendant leurs propres délais.

8. Cookies et stockage local

PentestLouis utilise la balise Google Ads, associée à Google Analytics, pour mesurer l’efficacité de ses campagnes publicitaires, notamment les achats de crédits qui suivent un clic sur une annonce. Cette balise est chargée sur toutes les pages, mais ne dépose aucun cookie tant que vous n’avez pas accepté la catégorie « Publicité » dans le bandeau de consentement, par « Tout accepter » ou depuis « Personnaliser ».

Sans cet accord, Google reçoit seulement des signaux techniques sans cookie (adresse de la page consultée, y compris l’éventuel paramètre de clic publicitaire, horodatage, type de navigateur, adresse IP transmise par la connexion), qu’il utilise pour estimer de façon agrégée les résultats des campagnes. Base légale : intérêt légitime de GROUPE ALRIC à mesurer l’efficacité de ses campagnes.

Avec votre accord, Google peut déposer ses cookies (_gcl_* et _ga*, pour 13 mois après votre dernière visite), relier une conversion au clic publicitaire qui l’a précédée et utiliser votre visite pour personnaliser les annonces Google qui vous sont présentées. Base légale : votre consentement, que vous pouvez retirer à tout moment ; le retrait supprime les cookies Google déjà déposés sur le site.

Avec votre accord pour la catégorie « Amélioration du site », PentestLouis enregistre votre navigation avec le logiciel OpenReplay, exploité par GROUPE ALRIC sur son propre serveur à Paris, pour repérer ce qui gêne l’utilisation du site : adresse des pages consultées, apparence des pages publiques, clics, défilement et mouvements de la souris, taille de la fenêtre, navigateur, système, type d’appareil, pays, région et ville déduits de l’adresse IP, ainsi que les erreurs techniques survenues dans le navigateur. Les saisies de formulaire et les adresses électroniques sont masquées ; dans l’espace client, le menu et le pied de page sont enregistrés tels quels, et du contenu des pages seule la disposition l’est (boutons, emplacements), ses textes étant remplacés par des astérisques : jamais le contenu des analyses, rapports, constats ou noms de dépôts. Les pages d’administration, les requêtes réseau et la console du navigateur ne sont pas enregistrées. Lorsque vous êtes connecté, l’enregistrement, y compris la partie de la visite qui a précédé la connexion, est rattaché aux identifiants internes de votre compte et de votre organisation, jamais à votre adresse électronique ni à votre nom. Pour écarter les sessions de l’équipe PentestLouis, votre adresse IP est comparée, sur notre serveur, à celles de nos bureaux : seul le résultat accompagne l’enregistrement. Le traceur conserve dans le stockage local du navigateur des identifiants techniques (__openreplay_*). Base légale : votre consentement ; son retrait arrête l’enregistrement et efface ces identifiants.

Modifier mes choix de cookies

Une mesure d’audience interne peut être activée afin de compter les pages vues et visiteurs du seul site PentestLouis, pour le compte exclusif de GROUPE ALRIC. Elle reste séparée des comptes et ne sert ni au ciblage ni au suivi entre plusieurs sites. Les autres traceurs sont nécessaires au service ou mémorisent un choix :

• cookies Supabase d’authentification : établir, maintenir et renouveler la session sécurisée ;
• locale : mémoriser la langue pendant un an ;
• ui-theme et color-scheme : mémoriser l’apparence pendant un an ;
• gh_connect_state : sécuriser temporairement le parcours de connexion GitHub et retenir le dépôt choisi pour y revenir, puis être supprimé au retour ;
• pl_consent : mémoriser pendant 6 mois vos choix pour la publicité et l’amélioration du site ;
• pl_audience : lorsqu’il est activé, compter de façon pseudonyme les visiteurs uniques du site public pendant au plus 13 mois, sans rattachement ultérieur à un compte.

Ces traceurs sont exemptés de consentement préalable lorsqu’ils sont strictement nécessaires au service ou demandés par l’utilisateur. Ils peuvent être supprimés depuis les réglages du navigateur ; la suppression des cookies de session déconnecte le compte et celle des cookies de préférence rétablit les choix par défaut.

Après connexion, PentestLouis conserve aussi la page normalisée consultée, la date et l’heure, ainsi que certaines étapes du parcours produit (devis, lancement et fin d’analyse, achat de crédit). Ces événements servent au pilotage et au diagnostic du service. Ils ne contiennent ni saisie de formulaire, ni rapport, ni preuve de sécurité, et ne sont pas recoupés avec l’identifiant d’audience publique.

9. Décisions automatisées

Les analyses, scores et classifications de vulnérabilités sont produits en tout ou partie par des outils automatisés et des modèles d’intelligence artificielle. Ils ont une finalité d’aide à la sécurité et doivent être vérifiés par une personne compétente. PentestLouis ne prend pas, sur leur seul fondement, de décision produisant des effets juridiques ou affectant une personne de manière similaire au sens de l’article 22 du RGPD.

10. Vos droits

Selon le traitement et sa base légale, vous pouvez demander l’accès à vos données, leur rectification ou leur effacement, la limitation du traitement, vous opposer à un traitement fondé sur l’intérêt légitime, demander la portabilité des données fournies et retirer un consentement pour l’avenir lorsqu’un traitement repose sur celui-ci.

Adressez votre demande à support@pentestlouis.com ou par courrier à GROUPE ALRIC, 17 place Richard Baret, 75017 Paris, France. Précisez le droit exercé et les éléments permettant de retrouver votre compte. Une preuve d’identité ne sera demandée qu’en cas de doute raisonnable et uniquement dans la mesure nécessaire. Une réponse est apportée dans le délai prévu par le RGPD, en principe un mois.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).

11. Sécurité

GROUPE ALRIC met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment le cloisonnement par organisation, des accès limités, le chiffrement des échanges, des liens temporaires pour les fichiers, la limitation des durées de conservation et le chiffrement des rapports lorsqu’il est demandé. Aucun système n’étant infaillible, toute vulnérabilité présumée doit être signalée sans l’exploiter à support@pentestlouis.com.

12. Évolution de la politique

Cette politique peut évoluer en fonction du service, des prestataires ou de la réglementation. La date de la version en vigueur figure en tête de page. Une modification substantielle est portée à la connaissance des utilisateurs par un moyen approprié.