Politique de confidentialité

Responsable du traitement

Le responsable du traitement est l’éditeur du site, présenté dans les mentions légales. Tant qu’aucune structure n’existe, il s’agit du porteur du projet Spectr, joignable à contact@spectr-ai.eu.

Données traitées

• Compte : prénom, nom, adresse e-mail, nom de l’organisation et mot de passe, stocké haché par le prestataire d’authentification ; si vous l’activez, le facteur de vérification en deux étapes.
• Utilisation du service : URL à tester, preuve de contrôle DNS, consignes et documents d’API fournis, identifiants de test éventuels, résultats, preuves et rapports produits, et journal d’audit des actions sensibles.
• Formulaire de contact : nom, adresse e-mail, entreprise (facultative), profil et message.
• Données techniques : adresse IP, navigateur, pages consultées et horodatages dans les journaux de l’hébergeur ; rapports d’erreur ; mesures d’audience et de performance agrégées, sans cookie.
• E-mails : historique d’envoi et de remise des e-mails transactionnels (confirmation, invitation, rapport disponible).

Finalités et bases légales

• Créer et gérer votre compte, exécuter les Assessments et livrer les rapports : exécution du contrat (article 6.1.b du RGPD).
• Répondre à vos demandes de contact : mesures précontractuelles prises à votre demande (article 6.1.b) ou intérêt légitime à répondre aux messages reçus (article 6.1.f).
• Sécuriser le service, prévenir les abus, journaliser les actions sensibles et corriger les erreurs : intérêt légitime (article 6.1.f).
• Mesurer l’audience et la performance du site de façon agrégée, sans cookie ni suivi individuel : intérêt légitime (article 6.1.f).
• Répondre aux obligations légales lorsqu’elles s’appliquent : obligation légale (article 6.1.c).

Données des applications testées

Pendant un Assessment, le moteur de test envoie des requêtes à l’URL vérifiée et analyse ses réponses à l’aide d’un modèle de langage tiers. Les réponses de l’application, vos consignes et, si vous en fournissez, vos identifiants de test sont alors traités en clair par ce moteur et par le fournisseur du modèle. Les identifiants de test sont stockés chiffrés et ne sont déchiffrés que pour l’Assessment qui les utilise ; leur effacement par le fournisseur du modèle ne peut pas être garanti. Utilisez des comptes de test dédiés, jamais des comptes réels.

Si l’application testée contient des données personnelles, vous restez responsable de ce traitement et de l’autorisation de test ; SpectrAI agit alors pour votre compte.

Destinataires et sous-traitants

Vos données ne sont ni vendues ni louées. Elles sont accessibles aux personnes habilitées de votre organisation (et, pour le client d’un cabinet partenaire, à ce cabinet), à l’éditeur pour l’exploitation et le support, et aux prestataires suivants :

• Vercel Inc. (États-Unis) : hébergement du site et de l’application ; mesure d’audience et de performance agrégée et sans cookie (Vercel Analytics et Speed Insights).
• Supabase Inc. (États-Unis) : base de données, authentification et stockage des fichiers.
• Sentry (Functional Software, Inc., États-Unis) : suivi des erreurs. Lorsqu’une erreur survient dans le navigateur, un enregistrement de la session (Session Replay), textes et champs masqués, peut être joint au rapport d’erreur dans l’application et les écrans de connexion ; il n’est jamais activé sur les pages publiques du site ni sur une page dont l’adresse contient un jeton (rapport partagé, invitation, confirmation).
• Resend (États-Unis) : envoi des e-mails transactionnels et transmission des messages du formulaire de contact.
• OpenAI (États-Unis) : modèle de langage utilisé par le moteur de test pendant les Assessments ; aucun traitement garanti dans l’Union européenne à ce jour.
• Un hébergeur de serveur dédié : exécution des Assessments sur un serveur administré par l’éditeur.

Plusieurs de ces prestataires sont établis aux États-Unis. Les transferts reposent sur les garanties qu’ils proposent, selon le prestataire : adhésion au cadre de protection des données UE–États-Unis (Data Privacy Framework) ou clauses contractuelles types de la Commission européenne.

Durées de conservation

• Compte et données du service : tant que le compte existe. Vous pouvez supprimer votre compte depuis ses paramètres ; les données qui y sont rattachées sont alors effacées, sous réserve des sauvegardes techniques des prestataires.
• Messages de contact : le temps de traiter votre demande et l’échange qui suit.
• Journaux techniques et rapports d’erreur : selon les durées de conservation propres à l’hébergeur et au service de suivi des erreurs.
• Identifiants de test : chiffrés, et limités à l’Assessment qui les utilise.

Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Pour les exercer, écrivez à contact@spectr-ai.eu ; une réponse vous est apportée dans un délai d’un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

Cookies et stockage local

SpectrAI ne dépose aucun cookie publicitaire ni traceur de mesure d’audience. Seuls des éléments strictement nécessaires au service sont utilisés ; ils ne requièrent pas de consentement, d’où l’absence de bandeau :

• locale : mémorise la langue choisie, pendant un an.
• sb-…-auth-token : maintiennent votre session ; posés par le prestataire d’authentification uniquement lorsque vous vous connectez.
• current_organization_id : mémorise l’espace sélectionné une fois connecté, pendant un an.
• theme : stockage local du navigateur, mémorise le thème clair ou sombre.

Évolution de cette politique

Cette politique évoluera avec le service. La date de dernière mise à jour figure en tête de page.