Protection des données personnelles

Version 2.3 — mise à jour le 18 août 2026

Les versions antérieures restent archivées et accessibles telles qu’elles ont été publiées : consulter les versions de cette charte.

1. Qui est responsable de ces traitements

Secufor, société par actions simplifiée immatriculée au Registre du commerce et des sociétés de Nanterre sous le numéro 931 143 572, dont le siège social est situé 69 rue Louise Michel, 92300 Levallois-Perret.

Pour toute question relative à vos données ou pour exercer vos droits : dpo[arobase]secufor.net. Nous répondons à cette adresse ; il n’est pas nécessaire de passer par le formulaire de contact.

2. Ce que nous collectons, et pourquoi

Le tableau ci-dessous est exhaustif pour le site. Il ne décrit pas ce que nous pourrions faire un jour, mais ce que le site fait aujourd’hui. L’application Noviscan est un autre objet, et elle a sa propre section : voir la section 9, qui porte sa propre exhaustivité.

Ce que nous ne recevons jamais : votre numéro de carte, sa date d’expiration et son cryptogramme. Vos factures elles-mêmes sont détenues par notre prestataire, pas par nous : nous n’en conservons que les références qui permettent de les retrouver, et — dans notre journal des gestes de facturation, six mois — le montant du geste lui-même. Le paiement s’effectue sur les pages de notre prestataire Stripe, et ces données ne transitent pas par nos serveurs. Nous n’en recevons que la confirmation qu’un paiement a eu lieu.

Signal périodique des extensions — prévu au contrat, aucune donnée reçue à ce jour

L’article 5.3.5 des conditions générales d’utilisation autorise une Application à transmettre périodiquement l’identifiant du site licencié, la version installée et son état d’activation, aux seules fins de vérifier la licence et de suivre le bon fonctionnement.

Aucune Application ne le fait aujourd’hui, et le tableau ci-dessus reste donc exhaustif. Nous le signalons ici parce qu’une autorisation contractuelle n’est pas une collecte, et que la seconde ne doit pas se découvrir après coup : le jour où une Application émettra ce signal, sa fiche descriptive l’indiquera et le tableau ci-dessus sera complété AVANT la mise en service — durée de conservation et base légale comprises. Le signal restera désactivable sans perte de fonctionnalité.

3. Ce que nous ne faisons pas

Il nous paraît aussi utile de dire ce qui n’a pas lieu :

• Aucune publicité, aucun ciblage, aucun retargeting. Nous ne transmettons rien à des régies ni à des plateformes publicitaires.
• Aucun profilage, et aucune décision automatisée produisant des effets à votre égard.
• Aucune décision prise par une machine. Lorsque vous nous écrivez pour obtenir de l’assistance, un traitement automatisé peut préparer un projet de réponse à partir de votre message et vous adresser un accusé de réception. Aucune décision vous concernant — refus, remboursement, résiliation — n’est prise par ce moyen, et toute réponse qui statue sur votre demande est relue par une personne avant d’être envoyée. Vous interagissez avec un système d’intelligence artificielle lorsque vous écrivez à notre assistance.
• Aucune mesure d’audience : ni Google Analytics, ni équivalent. Voir notre politique de gestion des cookies.
• Aucune lettre d’information, aucun message promotionnel. Le seul courriel automatique que nous puissions vous envoyer est celui qui permet de réinitialiser votre mot de passe, et c’est vous qui le déclenchez. Si vous nous écrivez, nous vous répondons — cela va de soi, et cela s’arrête là.
• Aucune revente, aucune location, aucun échange de vos données.
• Aucune collecte par les extensions. WPOAuth et WPSQL s’exécutent sur votre serveur et ne nous transmettent rien, hormis la vérification de votre clé de licence — qui ne comporte aucune donnée de vos propres utilisateurs.

4. Qui d’autre y a accès

Trois prestataires, chacun pour une tâche précise :

• Stripe — encaissement des paiements. Stripe collecte les données de paiement directement auprès de vous, sur ses propres pages.
• OVHcloud — hébergement du site et de la base de données, et acheminement du courriel de réinitialisation de mot de passe. Les serveurs sont situés dans l’Union européenne.
• Un fournisseur professionnel d’intelligence artificielle — analyse des demandes d’assistance, afin de préparer une réponse. Aucune donnée ne lui a été transmise à ce jour : ce traitement est prévu et n’a pas encore commencé. Le jour où il commencera, ce prestataire ne recevra jamais votre nom, votre adresse électronique ni l’identifiant de votre compte : il ne recevra qu’un extrait de votre demande dont ces éléments ont été retirés au préalable. Le nom de ce prestataire vous est communiqué sur demande, dans le cadre de l’exercice de vos droits (§6), et il figure dans la documentation remise à nos clients professionnels et publics.

En dehors de ces trois prestataires, vos données ne sont communiquées à personne — sauf réquisition d’une autorité judiciaire ou administrative habilitée, à laquelle nous sommes tenus de déférer.

5. Où sont vos données

Les données que nous détenons sont hébergées dans l’Union européenne. Stripe, dont le groupe est établi aux États-Unis, peut être amené à traiter des données en dehors de l’Union ; ces transferts s’effectuent sur le fondement des garanties prévues au chapitre V du RGPD et sont décrits dans sa propre politique de confidentialité.

6. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à dpo[arobase]secufor.net. Nous vous répondons dans un délai d’un mois. Si votre demande est complexe, ce délai peut être prolongé de deux mois ; nous vous en informons alors dans le premier mois.

Suppression de votre compte : demandée depuis votre Espace Client, vos licences restent pleinement fonctionnelles, conformément à leurs conditions propres, tant que votre compte reste réactivable : pendant dix jours. Si vous ne le réactivez pas dans ce délai, vos abonnements en cours sont résiliés, vos licences valides sont révoquées, et votre compte, avec les données personnelles qu’il porte, est définitivement supprimé à l’issue de ces dix jours. Certaines données doivent toutefois être conservées au-delà, parce que la loi l’impose : les pièces comptables (dix ans) et la preuve de votre acceptation des CGV (cinq ans). Elles sont alors isolées et ne servent plus qu’à cet objet.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes.

7. Comment vos données sont protégées

• Le site et l’API sont servis exclusivement en HTTPS.
• Les mots de passe sont conservés sous forme d’empreinte, jamais en clair. Ils ne peuvent pas être retrouvés — pas même par nous.
• Les clés de licence sont chiffrées en base.
• Les jetons de session ne sont eux non plus jamais stockés en clair : la base n’en conserve qu’une empreinte, de sorte qu’une fuite de la base ne permettrait pas de se connecter à votre place.
• Le téléchargement du produit est réservé aux comptes ayant souscrit l’offre correspondante.^†

^† Cette formulation sera renforcée — « exige une authentification réelle, connaître un identifiant de compte n’y suffit pas » — au déploiement de la vérification par jeton de session, dont la mise en production est en cours. Nous préférons annoncer moins que ce que nous ferons bientôt, plutôt que l’inverse.

Si vous découvrez une faille, notre procédure de signalement figure sur la page Sécurité.

8. Cookies

Ce site ne dépose aucun cookie de publicité, de mesure d’audience ni de réseau social. Le détail figure dans notre politique de gestion des cookies.

9. L’application Noviscan

Cette section couvre l’application mobile Noviscan. Les sections 1 à 8 ci-dessus décrivent le site et le compte client ; elles ne décrivent pas l’application, et l’application ne se lit pas dedans.

Ce que l’éditeur reçoit

Rien. Les données produites par l’usage de l’application vivent sur votre instance et sur votre téléphone. Secufor n’en reçoit aucune copie, et ne dispose d’aucun moyen d’y accéder.

Ce qui vit sur votre instance

L’instance Noviscan est installée et administrée par son exploitant. Elle porte : les gabarits faciaux — une donnée biométrique —, l’historique de détection, le journal de présence, les comptes, les sessions et jetons d’appareil, le journal des connexions, le journal d’audit, les clips vidéo de l’offre Premium et les notifications sortantes. Chacun a une durée de conservation propre, fixée par l’exploitant de l’instance.

Ce qui vit sur votre téléphone

• une copie locale des médias que vous consultez, écrite dans le cache du système d’exploitation. ⚠️ Elle y est en clair, sans durée ni réglage dans l’application : sa purge est celle que le système applique à ses caches. Nous l’écrivons plutôt que de la taire ;
• dans le trousseau sécurisé du téléphone (Keystore sur Android, Keychain sur iOS) : l’adresse de votre instance, son identifiant et son nom, le jeton d’appairage, l’empreinte du certificat épinglé et la racine de certification. Le désappairage efface ces éléments. ⚠️ Une exception, que nous écrivons plutôt que de l’arrondir : la liste des adresses candidates de l’instance subsiste au désappairage. Elle ne contient aucune donnée personnelle et ne donne aucun accès — le jeton, lui, est bien effacé — mais elle survit, et le dire est plus juste que d’écrire « tout est effacé » ;
• vos préférences d’application — langue, thème, verrouillage biométrique, itinérance — qui restent après le désappairage comme n’importe quel réglage.

Ce qui sort du téléphone, et dans quel cas

Sur votre réseau local, l’application parle directement à votre instance. En itinérance, la mise en relation passe par un relais : l’application lui transmet l’identifiant de votre instance et les messages de signalisation nécessaires à l’établissement du lien, lesquels comportent des adresses réseau (les vôtres et celles de l’instance). Le relais ne voit pas le contenu échangé : celui-ci reste chiffré entre l’application et l’instance, et traverse le relais tel quel.

Ce que l’application ne fait pas

Ces absences sont établies par lecture du code, et non par silence :

• aucune notification push, donc aucun jeton APNs ou FCM ;
• aucune télémétrie ni rapport de plantage vers un tiers ;
• aucun gabarit facial sur le téléphone : le déverrouillage biométrique est rendu par le système d’exploitation, et rien de ce qu’il utilise ne parvient à l’application ;
• aucune création de compte depuis l’application.

Cette section décrit des faits techniques établis contre le code de l’application, le 18 août 2026 : dépendances déclarées, manifeste Android, écritures dans le cache et dans le trousseau. Les qualifications juridiques correspondantes — qui est responsable de traitement pour les données portées par une instance, et sur quelle base légale — sont en cours de relecture par un conseil et seront publiées lorsqu’elles seront arrêtées. Nous préférons publier ce qui est établi plutôt qu’attendre pour tout publier d’un coup.