Politique de confidentialité

Qui nous sommes

Securissima, Kenmare, Irlande, exploite Provetry et est responsable du traitement des données personnelles décrites ici, sauf lorsque nous agissons pour un client en tant que sous-traitant (voir « Données que nous traitons pour nos clients »). Contact : hello@provetry.com.

Ce site

Ce site ne dépose aucun cookie et n’utilise aucun traceur. Le test CRA gratuit et les outils gratuits (comme le générateur de SBOM et le calculateur CVSS) fonctionnent dans votre navigateur : ce que vous saisissez et les fichiers que vous choisissez ne nous sont pas envoyés. L’outil EPSS demande depuis votre navigateur au service public de FIRST les scores des identifiants que vous saisissez. Si des statistiques de visite sont activées, elles sont sans cookie et anonymes (Umami), et ne conservent aucune adresse IP.

Ce que nous collectons dans l’application

• Données de compte : adresse e-mail, nom, empreinte du mot de passe, secret du second facteur s’il est activé, langue, et les espaces dont vous êtes membre avec votre rôle. Si vous ajoutez des clés d’accès : leurs clés publiques, les noms que vous leur donnez et leur dernière utilisation (la clé privée ne quitte jamais votre appareil). Base légale : exécution du contrat.
• Données de l’espace : les produits que vous décrivez (nom, type, votre rôle de fabricant, d’importateur ou de distributeur, classe, dates, période d’assistance, fournisseur, notes), leurs versions et les SBOM établis à partir de vos fichiers (noms des composants, versions, identifiants de paquets, licences et empreintes), les vulnérabilités trouvées, vos décisions à leur sujet (VEX) avec qui les a prises et quand, les signalements et exercices, les réponses à la préparation au CRA, la documentation technique et la politique de divulgation que vous rédigez, les délais de correction visés et le journal de preuves. Les notes, les documents, les SBOM et les justifications de vos décisions sont chiffrés. Les fichiers que vous envoyez sont lus puis effacés ; ils ne sont jamais conservés. Ce ne sont pas, le plus souvent, des données personnelles ; lorsqu’elles identifient une personne (par exemple un nom dans une note ou un document), base légale : exécution du contrat.
• Membres et invitations : les adresses e-mail que vous invitez, avec le rôle donné, jusqu’à l’acceptation de l’invitation ou son expiration (7 jours). Base légale : exécution du contrat.
• Clés d’API : une empreinte de chaque clé (jamais la clé elle-même), son nom, sa portée et sa dernière utilisation. Base légale : exécution du contrat.
• Canaux d’alerte : les adresses e-mail qui reçoivent les alertes d’un espace et, si vous en ajoutez une, l’adresse d’un webhook Slack ou Microsoft Teams, chiffrée. Lorsque des alertes y sont publiées, notre serveur envoie le nom du produit et ses versions, les composants concernés avec leurs versions, les identifiants des vulnérabilités, leur gravité et les versions corrigées, le titre des signalements et des exercices pour les rappels d’échéance, et un lien vers l’application. Slack (Salesforce) et Microsoft sont alors vos propres prestataires. L’adresse du webhook est supprimée avec le canal ou l’espace. Base légale : exécution du contrat.
• Imports depuis GitHub : quand vous importez une version depuis un dépôt GitHub, notre serveur demande à GitHub, Inc. (États-Unis) les fichiers de verrouillage de ce dépôt, pour votre compte. Un jeton que vous donnez pour un dépôt privé ne sert qu’à ces requêtes : il n’est ni conservé ni journalisé. L’adresse du dépôt et le commit sont inscrits au journal de preuves avec la version. Base légale : exécution du contrat.
• Outils de tickets, avec les offres Pro et Consultant, si vous en connectez un : le dépôt, le site et le projet Jira ou l’équipe Linear, et le jeton (avec, pour Jira, l’adresse e-mail de son compte), chiffrés et utilisés uniquement pour ouvrir, commenter et fermer des tickets dans votre propre outil. Chaque ticket contient le nom du produit, le composant et sa version, l’identifiant de la vulnérabilité, sa gravité, son résumé public et les versions corrigées ; l’hébergeur de code, Atlassian (Jira) et Linear sont alors vos propres prestataires. Retirer l’outil supprime aussitôt le jeton. Base légale : exécution du contrat.
• Questionnaires reçus : les questions que vous collez, les réponses proposées et celles que vous rédigez, le nom du questionnaire, son échéance et sa langue, et les réponses que vous gardez dans votre bibliothèque, le tout chiffré. Rien n’est envoyé à celui qui a posé les questions. Conservés jusqu’à ce que vous les supprimiez, et supprimés avec l’espace. Base légale : exécution du contrat.
• Dossiers sécurité et pages publiques, quand vous les partagez : ce que vous avez choisi de montrer (produits, documents, le SBOM si vous l’autorisez), le lien (chiffré, avec une empreinte pour le reconnaître), sa date d’expiration, et le nombre de consultations avec la date de la dernière ; aucune information sur les visiteurs. Base légale : exécution du contrat.
• Votre logo, avec l’offre Consultant, si vous en ajoutez un pour vos rapports. Base légale : exécution du contrat.
• Journal de preuves : les événements datés de votre espace (versions, décisions, signalements, avec qui les a faits). Pour en prouver la date, une empreinte du journal (un condensat, qui ne révèle rien de son contenu) est envoyée à une autorité d’horodatage indépendante (FreeTSA), dont la réponse est conservée avec le journal. Base légale : exécution du contrat.
• Journal d’activité du compte : qui a fait quoi dans l’espace et quand (connexions, modifications, exports), conservé 12 mois (la trace d’un abonnement confirmé plus longtemps, pour la comptabilité). Affiché dans l’application avec les offres Pro et Consultant, et enregistré avec toutes les offres. Base légale : notre intérêt légitime, et le vôtre, à la sécurité du compte.
• Audits et relectures : quand vous commandez un audit de conformité CRA ou utilisez l’option « Signalements relus », le professionnel de la sécurité certifié qui relit le rapport lit ce que votre espace contient pour le produit ou le signalement concerné, sous obligation de confidentialité. Nous conservons la commande (produit, montant, référence de facture, statut). Base légale : exécution du contrat.
• Données de paiement : traitées par notre prestataire de paiement ; nous recevons une référence client, le type et les quatre derniers chiffres de la carte ou du compte, le nom et l’adresse de facturation et le numéro de TVA pour la facturation. Base légale : exécution du contrat et nos obligations légales (comptables et fiscales).
• Données d’usage : nos serveurs conservent des journaux techniques (adresse IP, heure, page demandée, réponse) pour la sécurité et le dépannage, 30 jours au plus. Les tentatives de connexion et d’autres actions sensibles sont comptées par adresse e-mail et par une empreinte raccourcie de votre adresse IP, pendant 2 jours, pour empêcher la recherche de mots de passe et les abus. Chaque session de connexion enregistre le navigateur utilisé et cette empreinte, jusqu’à sa fin. Base légale : notre intérêt légitime à la sécurité du service.

Alertes SBOM gratuites

Si vous demandez des alertes gratuites par e-mail sur un SBOM sans compte, nous conservons votre adresse e-mail, le nom que vous donnez à la liste et la liste des composants (noms, versions, identifiants de paquets), chiffrés, pour les vérifier chaque semaine et vous écrire ; votre adresse est aussi conservée sous forme d’empreinte à clé, pour limiter le nombre de listes. Rien n’est vérifié ni envoyé avant que vous confirmiez l’adresse. La liste est effacée après 3 jours sans confirmation, après 12 mois sauf si vous la gardez (un e-mail vous le rappelle deux semaines avant), ou aussitôt depuis le lien présent dans chaque e-mail. La base légale est votre consentement, que vous pouvez retirer à tout moment par ce lien. Ce qui vous a déjà été signalé n’est conservé que sous forme d’empreintes à clé. Pour limiter les abus, une empreinte à clé de votre adresse et de votre réseau est conservée 2 jours. Les e-mails sont envoyés par notre prestataire d’e-mail.

Sources publiques sur les vulnérabilités

Pour vérifier vos composants, nos serveurs envoient leurs identifiants de paquets à OSV.dev (Google) et, avec les offres Pro et Consultant, le nom des composants à endoflife.date pour leur fin de support ; ils envoient les identifiants des vulnérabilités trouvées à FIRST pour leurs scores EPSS ; et ils téléchargent les listes publiques de la CISA (vulnérabilités exploitées connues) et de l’ENISA (base européenne des vulnérabilités). Jamais votre nom, vos produits ni rien sur vous. Les réponses sur les paquets publics sont mises en cache jusqu’à 31 jours, sans aucun lien avec vous.

Si vous nous écrivez

Nous utilisons votre adresse e-mail et votre message uniquement pour vous répondre et, si vous avez demandé un accès anticipé, pour vous prévenir de l’ouverture de Provetry. Les messages envoyés à hello@ ou security@provetry.com, et nos réponses, sont conservés chiffrés deux ans au plus (30 jours une fois supprimés), puis effacés. Les pièces jointes que vous envoyez ne sont pas conservées sur nos serveurs : seuls leurs noms et tailles sont listés avec le message ; une copie de chaque message reçu, pièces jointes comprises, est transférée vers notre propre boîte. Cloudflare (Email Routing) reçoit ces messages pour nous, en tant que sous-traitant. Si nous bloquons un expéditeur, son adresse est conservée, chiffrée, pour filtrer ses messages suivants. Base légale : notre intérêt légitime à répondre et à suivre notre correspondance.

Données que nous traitons pour nos clients

Un espace peut contenir des données personnelles de personnes qui n’en sont pas membres, par exemple des noms dans des documents, les contacts d’un questionnaire importé ou les auteurs du code qu’il décrit. Nous traitons ces données pour le compte du client, en tant que sous-traitant, au titre d’un accord de traitement des données disponible sur demande ; le client décide de ce qu’il y met et doit disposer d’une base légale.

Ce que nous ne faisons pas

Nous ne vendons pas de données personnelles, ne les utilisons pas à des fins publicitaires, n’utilisons pas vos données pour entraîner un modèle, et ne les communiquons à personne d’autre qu’aux sous-traitants nécessaires au fonctionnement du service.

Où elles sont stockées

Aux Pays-Bas, dans l’Union européenne, sur un stockage chiffré, avec des sauvegardes quotidiennes chiffrées conservées dans l’UE. Cloudflare (États-Unis, avec des conditions de traitement des données conformes au droit de l’UE) assure le DNS, la terminaison TLS, le pare-feu applicatif et la réception des messages envoyés à nos adresses. Notre prestataire d’e-mail envoie les e-mails du service. Notre prestataire de paiement traite les données de paiement selon sa propre politique de confidentialité.

Combien de temps nous les conservons

Les données de compte et d’espace aussi longtemps que le compte ou l’espace existe ; un espace supprimé est effacé 90 jours plus tard, avec ses produits, SBOM, vulnérabilités, documents et signalements, et sa fiche client chez le prestataire de paiement est supprimée aussi. Les versions sont conservées dans les limites de votre offre, jusqu’à ce que vous les supprimiez. Les résultats de chaque vérification quotidienne 13 mois (la dernière de chaque version tant que la version existe). L’historique des alertes 6 mois. Le journal d’activité du compte 12 mois. Les sessions de connexion 30 jours au plus, les appareils de second facteur mémorisés un an, les liens de confirmation et d’invitation un jour après leur expiration, les compteurs de tentatives de connexion 2 jours, les défis des clés d’accès une heure après leur expiration, l’« Annuler » d’une décision une heure. Les alertes SBOM gratuites comme décrit plus haut. Les messages qui nous sont envoyés et nos réponses 2 ans (30 jours une fois supprimés). Les factures pendant la durée imposée par le droit fiscal. Les journaux des serveurs 30 jours au plus.

Cookies

Le site ne dépose aucun cookie. L’application dépose un cookie de session, strictement nécessaire (30 jours au plus), un cookie pour mémoriser un appareil de second facteur si vous le demandez (un an), un cookie pour la langue que vous choisissez (un an), un cookie qui masque les premiers pas une fois fermés (un an) et, si vous les choisissez, des cookies qui retiennent votre thème et la densité d’affichage, et la dernière fois que vous avez ouvert la liste des derniers événements (un an). Aucun ne sert à vous suivre. Le formulaire de paiement, fourni par notre prestataire de paiement, peut déposer ses propres cookies pour prévenir la fraude.

Vos droits

Vous pouvez accéder à vos données, les corriger, les exporter et les supprimer depuis votre compte à tout moment, ou nous demander de le faire en écrivant à hello@provetry.com. Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime, et retirer votre consentement lorsqu’il en est la base légale. Vous pouvez saisir votre autorité nationale de protection des données ; la nôtre est la Data Protection Commission, en Irlande.

Modifications

Nous publierons les modifications ici et, pour les modifications importantes, préviendrons à l’avance les titulaires de compte par e-mail.