Protection des données personnelles
Version 2.15 — mise à jour le 21 octobre 2026
En clairNous collectons le strict nécessaire pour vous ouvrir un compte, vous vendre une licence et vous la délivrer : un nom d’utilisateur, une adresse électronique et un mot de passe. Nous ne faisons ni publicité, ni profilage, ni mesure d’audience, et nous ne revendons rien. Vos données bancaires ne transitent jamais par nos serveurs.
1. Qui est responsable de ces traitements
Secufor, société par actions simplifiée immatriculée au Registre du commerce et des sociétés de Nanterre sous le numéro 931 143 572, dont le siège social est situé 69 rue Louise Michel, 92300 Levallois-Perret.
Pour toute question relative à vos données ou pour exercer vos droits : dpo[arobase]secufor.net. Nous répondons à cette adresse ; il n’est pas nécessaire de passer par le formulaire de contact.
2. Ce que nous collectons, et pourquoi
Le tableau ci-dessous est exhaustif pour le site. Il ne décrit pas ce que nous pourrions faire un jour, mais ce que le site fait aujourd’hui. L’application Noviscan est un autre objet, et elle a sa propre section : voir la section 9, qui porte sa propre exhaustivité.
| Données | Pourquoi | Base légale | Conservation |
|---|---|---|---|
| Nom d’utilisateur, adresse électronique, mot de passe — ce dernier conservé sous forme d’empreinte, jamais en clair | Créer et gérer votre compte, vous identifier | Exécution du contrat | Tant que votre compte existe |
| Jeton de réinitialisation de mot de passe et sa date d’expiration | Vous permettre de reprendre la main sur votre compte | Exécution du contrat | Une heure, après quoi le jeton devient inopérant |
| Empreinte de votre jeton de session, dates de création et de dernier usage, agent utilisateur de votre navigateur | Vous maintenir connecté et repérer un usage anormal | Intérêt légitime (sécurité des comptes) | Trente jours au plus, puis suppression automatique. Un jeton révoqué (déconnexion) est conservé sept jours de plus, à des fins d’investigation en cas d’incident, puis supprimé. |
| Tentatives de connexion à votre compte : empreinte salée de l’adresse IP (jamais l’adresse elle-même), identifiant de votre compte lorsqu’il est connu, nature de l’événement (connexion réussie, connexion échouée, déconnexion, code de double authentification validé ou refusé, code de secours utilisé, double authentification activée ou désactivée) et horodatage | Repérer une attaque sur votre compte et la distinguer d’un balayage d’adresses au hasard, et vous montrer la date de votre dernière connexion | Intérêt légitime (sécurité des comptes) | Six mois à compter de l’événement, puis suppression automatique |
| Rôle détenu sur votre compte (administrateur ou créateur) : sa nature, la date à laquelle il vous a été accordé puis retiré le cas échéant, et le compte qui a décidé de l’un et de l’autre | Ouvrir dans votre espace client les surfaces qui correspondent à ce que vous détenez, et établir qui vous a accordé ou retiré ce rôle | Exécution du contrat, et intérêt légitime (traçabilité des droits accordés) | Tant que votre compte existe. Le retrait d’un rôle n’efface pas la ligne : il y inscrit la date du retrait, afin que ce qui a été accordé reste établi. |
| Rattachement de votre compte créateur à une application du catalogue : l’application concernée, la date du rattachement puis du retrait le cas échéant, et le compte qui a décidé de l’un et de l’autre | Vous montrer vos seules applications, et cloisonner côté serveur ce que vous pouvez consulter | Exécution du contrat | Tant que votre compte existe. Le retrait d’un rattachement n’efface pas la ligne : il y inscrit la date du retrait. |
| Conditions financières de chacune de vos Applications (annexe signée, art. 5.1.1 du contrat-cadre créateur) : le barème, le plafond, le minimum, le plancher de responsabilité, le seuil de report et les plafonds de frais de substitution, leur date d’effet et leur devise, la référence et la date de l’annexe signée, la version du contrat-cadre visée, l’archive facultative de l’annexe signée, le compte qui les a saisies et la date de saisie et, le cas échéant, la date et le motif de l’annulation d’une saisie | Conserver les valeurs financières de votre annexe signée, avec leur date d’effet, pour calculer et afficher vos indicateurs financiers et vous les montrer en lecture seule (en cas de divergence, l’annexe signée prévaut) | Exécution du contrat | Tant que votre compte existe. Une modification ne remplace jamais une saisie : elle en ajoute une nouvelle, et l’annulation d’une saisie n’efface pas la ligne, elle y inscrit la date et le motif de l’annulation. À la suppression de votre compte, les conditions sont détachées de votre compte, puis conservées cinq ans à compter de cette suppression, à titre de preuve du contrat (art. L110-4 du code de commerce), avant d’être effacées. |
| Relevés mensuels de la Redevance de chacune de vos Applications (art. 13 et Annexe 2 du contrat-cadre créateur) : les recettes, les reprises et les coûts externes du mois, chacun avec sa référence de pièce, les sommes imputées avec leur motif, les conditions financières appliquées et les références de l’annexe signée qui prévaut (intitulé et date de signature), toutes les grandeurs calculées (assiette, barème tranche par tranche, Redevance, soldes reportés, solde payable), la date d’émission et le compte qui a émis le relevé | Établir le relevé de votre Redevance pour chaque Mois de Service, vous le montrer en lecture seule avec vos indicateurs financiers et le tenir à disposition pour l’audit du calcul (article 15 du contrat-cadre) | Exécution du contrat et obligation légale (conservation des pièces comptables) | Tant que votre compte existe. Un relevé émis n’est jamais modifié ni supprimé : une erreur se corrige par un ajustement sur le mois suivant. À la suppression de votre compte, les relevés sont détachés de votre compte, puis conservés dix ans à compter de cette suppression, au titre des pièces comptables (art. L123-22 du code de commerce), avant d’être effacés. |
| Instantané des transactions du prestataire de paiement retenues dans les relevés de la Redevance de vos Applications (art. 13.2 du contrat-cadre créateur) : pour chaque transaction, les références techniques du versement, de la transaction, du paiement et de la facture chez le prestataire, son type, sa date, l’offre concernée, les montants toutes taxes comprises, de TVA et hors taxes retenus, la commission du prestataire et l’indication d’une taxe non déterminée. Aucun nom, aucune adresse, aucun moyen de paiement du client final | Justifier les recettes, les reprises et les commissions d’encaissement d’un relevé établi à partir du prestataire de paiement, vous en montrer le détail en lecture seule (sans ces références techniques) et le tenir à disposition pour l’audit du calcul (article 15 du contrat-cadre) | Exécution du contrat et obligation légale (conservation des pièces comptables) | Tant que votre compte existe. L’instantané est écrit avec le relevé et n’est jamais modifié ni supprimé. À la suppression de votre compte, il est détaché avec vos relevés, puis conservé dix ans à compter de cette suppression, au titre des pièces comptables (art. L123-22 du code de commerce), avant d’être effacé. |
| Votre identité fiscale portée sur les autofactures de la Redevance (art. 13.4.3 du contrat-cadre créateur) : raison sociale ou nom, forme juridique, adresse, pays, numéros SIREN et SIRET, numéro de TVA intracommunautaire, date d’effet, et la trace de la saisie | Établir en votre nom et pour votre compte les factures de la Redevance (autofacturation, art. 289, I-2 du code général des impôts), avec les mentions obligatoires | Exécution du contrat et obligation légale (mentions obligatoires des factures) | Tant que votre compte existe. Une identité saisie n’est jamais modifiée : un changement est une nouvelle saisie datée. À la suppression de votre compte, elle est détachée de votre compte, puis conservée cinq ans à compter de cette suppression (art. L110-4 du code de commerce), avant d’être effacée. |
| Votre mandat d’autofacturation (art. 13.4 du contrat-cadre créateur) : date d’effet, référence du mandat signé, date de révocation et fin de son effet, et la trace de leur saisie | Établir les autofactures de la Redevance dans les seules périodes où le mandat est en vigueur, et justifier celles qui ont été émises sous son empire | Exécution du contrat et obligation légale (art. 289, I-2 du code général des impôts) | Tant que votre compte existe. À la suppression de votre compte, le mandat est détaché de votre compte, puis conservé dix ans à compter de cette suppression, comme les autofactures qu’il fonde, avant d’être effacé. |
| Autofactures et avoirs de la Redevance établis en votre nom et pour votre compte (art. 13.4 du contrat-cadre créateur) : numéro, dates, Application et Mois de Service, régime et taux de TVA, montants hors taxes, de TVA et toutes taxes comprises, précompte éventuel, votre identité fiscale et celle de Secufor recopiées, contenu de la facture et son empreinte, votre éventuelle contestation et sa réponse, et le compteur de la suite de vos numéros | Facturer la Redevance de chaque relevé mensuel, vous la remettre en lecture, recevoir et traiter votre contestation, la corriger par un avoir, et tenir les pièces à disposition de l’administration fiscale | Exécution du contrat et obligation légale (facturation et conservation des factures) | Tant que votre compte existe. Une autofacture émise n’est jamais modifiée ni supprimée : une erreur se corrige par un avoir. À la suppression de votre compte, les autofactures et leur compteur sont détachés de votre compte, puis conservés dix ans à compter de cette suppression (art. L102 B du livre des procédures fiscales, L123-22 du code de commerce), avant d’être effacés. |
| Versions d’une édition Premium déposées depuis votre compte créateur : l’application concernée, le numéro de version lu dans l’archive, sa taille, son empreinte SHA-256, la date du dépôt et le compte qui l’a déposée | Publier l’édition Premium de votre application auprès de ses abonnés, leur montrer la version et l’empreinte de l’archive qu’ils téléchargent, et établir qui l’a publiée | Exécution du contrat | Tant que votre compte existe. À la suppression de votre compte, le lien entre les versions et votre compte est effacé : les versions restent distribuées aux abonnés de l’application, sans plus être rattachées à personne. |
| Double authentification de votre compte : le secret qui engendre vos codes à usage unique (conservé chiffré, jamais réaffiché après l’activation), la date de sa création, la date de son activation et le dernier code accepté | Sécurité du compte : exiger, en plus du mot de passe, un code à usage unique (obligatoire pour les créateurs et les administrateurs, facultative pour les clients) et refuser qu’un même code serve deux fois | Intérêt légitime (sécurité des comptes) | Tant que la double authentification est active : sa désactivation efface le secret, et la suppression du compte l’efface aussi. |
| Codes de secours de la double authentification : pour chaque code, son empreinte seule (le code lui-même n’est pas conservé et ne peut pas être relu), la date de sa création et celle de son utilisation | Sécurité du compte : vous permettre de vous connecter si vous perdez l’appareil qui engendre vos codes, chaque code ne servant qu’une fois | Intérêt légitime (sécurité des comptes) | Tant que la double authentification est active : sa désactivation efface les codes de secours, et la suppression du compte les efface aussi. |
| Actes d’administration posés sur votre compte : la nature du geste (rôle accordé ou retiré, réinitialisation de mot de passe déclenchée, sessions fermées, application rattachée ou retirée, version d’une édition Premium publiée, double authentification réinitialisée, avec dans ce dernier cas le motif saisi par l’administrateur, 200 caractères au plus), le compte qui l’a posé, le compte visé et l’horodatage | Établir qui a agi sur un compte, quand et à quel titre — et vous permettre de le savoir lorsque c’est le vôtre | Intérêt légitime (traçabilité des actes d’administration) | Douze mois à compter de l’acte, puis suppression automatique |
| Consultations de votre dossier de créateur par un administrateur : le compte administrateur qui a consulté, le vôtre, la partie consultée (vos applications, les relevés de la Redevance de vos Applications, lus à l’écran ou compris dans un export comptable, et, tant que des consultations de cet écran restent conservées, vos Annexes par Application), l’application ou la période concernée le cas échéant, et l’horodatage | Vous permettre de savoir qui a regardé votre dossier, et quand — une consultation ne modifie rien et ne laisserait sans cela aucune trace | Intérêt légitime (traçabilité des accès au dossier d’un créateur) | Douze mois à compter de la consultation, puis suppression automatique |
| Clés d’application de l’API publique rattachées à votre compte créateur : l’empreinte de la clé — jamais la clé elle-même, qui ne vous est montrée qu’une fois, à sa création —, le monde auquel elle donne accès (réel ou essai), la date de sa création, celle de sa dernière utilisation, et le cas échéant celles de sa rotation et de sa révocation | Authentifier les appels de vos applications à l’API et cloisonner ce qu’elles peuvent atteindre | Exécution du contrat | Tant que votre compte existe. La révocation d’une clé n’efface pas la ligne : elle y inscrit la date de la révocation, afin qu’une clé révoquée reste distinguable d’une clé qui n’a jamais existé. |
| Identifiant que nous remettons à une application tierce pour qu’elle vous reconnaisse d’une visite à l’autre : une valeur tirée au hasard, propre au couple que vous formez avec CETTE application — jamais votre identifiant de compte, jamais rien qui vous nomme —, le monde auquel elle se rattache (réel ou essai), la date de sa création et le terme de la reconnaissance en cours. Aucune application ne le reçoit à ce jour : cette ligne est écrite avant la mise en service. | Permettre à une application de vous reconnaître d’une visite à l’autre sans jamais apprendre qui vous êtes chez nous, et sans qu’une autre application puisse vous reconnaître à partir du même identifiant | Exécution du contrat | Tant que votre compte existe. La suppression du compte l’efface : la ligne part avec lui, et rien de ce qu’une application en aurait déjà copié chez elle ne relève plus de nous. |
| Adresses de retour déclarées par un créateur pour son application : l’adresse exacte vers laquelle nous renvoyons la personne qui vient d’être reconnue, le monde auquel la déclaration se rattache (réel ou essai) et la date de cette déclaration. Aucune donnée vous concernant en propre : ces adresses sont celles d’un créateur, jamais les vôtres. | N’admettre une reconnaissance que vers une adresse que le créateur de l’application a déclarée d’avance, et refuser toute autre — une adresse acceptée sans déclaration ferait de nous l’instrument de l’usurpation que ce contrôle existe pour empêcher | Exécution du contrat | Tant que la déclaration n’est pas retirée. Le retrait n’efface pas la ligne : il y inscrit sa date, afin que les codes ayant visé cette adresse restent interprétables. |
| Code à usage unique remis au navigateur puis échangé par le serveur de l’application : son empreinte — jamais le code lui-même —, l’application, votre compte et l’adresse de retour visée, la date du tirage, le terme du code et, le cas échéant, la date de son échange. Aucune application n’en reçoit à ce jour : cette ligne est écrite avant la mise en service. | Relier, le temps d’un seul aller-retour, la personne qui vient de consentir à l’application qui l’a demandée, sans que le code puisse servir deux fois | Exécution du contrat | Très courte durée, et le code est consommé dès son échange. La suppression du compte l’efface : la ligne part avec lui. |
| Offre souscrite et clé de licence, chiffrée en base | Vous délivrer le produit acheté | Exécution du contrat | Durée de l’abonnement |
| Preuve d’acceptation des CGV : version acceptée, horodatage, renonciation éventuelle au droit de rétractation | Établir ce que vous avez accepté, et quand | Intérêt légitime (preuve) et obligation légale | Cinq ans à compter de la commande |
| Preuve d’envoi des courriels du contrat : adresse destinataire, nature du message, date d’envoi et son issue | Établir que les messages promis par les CGV vous ont été adressés | Exécution du contrat et obligation légale | Cinq ans à compter de l’envoi |
| Preuve d’envoi des messages du formulaire de contact : numéro de dossier, nature du message, date d’envoi et son issue. Votre adresse électronique n’y figure pas : le numéro de dossier la désigne sans la conserver | Établir que votre message nous est parvenu et que l’accusé de réception vous a été adressé | Intérêt légitime (preuve), et exécution de nos conditions générales d’utilisation (art. 17-18) | Cinq ans à compter de l’envoi |
| Références de votre abonnement chez notre prestataire de paiement : identifiants de session, de client et d’abonnement, offre souscrite, statut de l’abonnement et date de fin de la période en cours | Rattacher votre compte à votre abonnement, vous délivrer la licence, mettre fin à celle-ci à la résiliation, et retrouver vos factures chez notre prestataire | Exécution du contrat, et obligation légale pour ce qui relève des pièces comptables (art. L123-22 du code de commerce) | Dix ans, durée de conservation des pièces comptables auxquelles ces références donnent accès |
| Journal des notifications reçues de notre prestataire de paiement : identifiant de la notification, son type, et la date de sa réception. Ni votre nom, ni votre adresse électronique, ni aucune référence de votre carte | Ne traiter qu’une seule fois une notification que notre prestataire peut nous envoyer plusieurs fois — sans ce journal, un même paiement pourrait être compté deux fois, ou une même licence émise deux fois | Exécution du contrat | Trente jours, puis suppression automatique |
| Journal des gestes de facturation : identifiant de votre compte, nature du geste (enregistrement, désignation ou retrait d’un moyen de paiement, création ou résiliation d’un abonnement, paiement, échec de prélèvement, remboursement, ouverture du portail de gestion), référence opaque de l’abonnement, de la facture ou du remboursement concerné, montant et devise du geste, motif de la facture lorsqu’il y en a une (première souscription, échéance d’un abonnement, modification), horodatage. Ni votre nom, ni votre adresse électronique, ni aucune référence de votre carte | Repérer une fraude ou un dysfonctionnement de notre service : un geste irréversible qui ne laisse aucune trace ne peut ni s’expliquer, ni se contester | Intérêt légitime (prévention de la fraude et bon fonctionnement du service) | Six mois à compter du geste, puis suppression automatique |
| Message envoyé via le formulaire de contact : prénom, nom, adresse électronique et contenu du message | Vous répondre | Mesures prises à votre demande (art. 6, § 1, b) | Le message nous est transmis par courriel et n’est pas conservé en base. Il est conservé dans notre messagerie cinq ans à compter de sa réception (art. 2224 du code civil : c’est la durée pendant laquelle un litige peut naître de votre demande). |
| Message envoyé via le formulaire de support de l’Espace Client (abonnés Premium) : contenu du message, accompagné de l’identifiant de votre compte, de votre nom d’utilisateur, de votre adresse électronique et de l’offre souscrite | Traiter votre demande de support et vous répondre | Exécution du contrat (art. 6, § 1, b) | Le message nous est transmis par courriel et n’est pas conservé en base. Il est conservé dans notre messagerie cinq ans à compter de sa réception (art. 2224 du code civil : c’est la durée pendant laquelle un litige peut naître de votre demande). |
| Notification de rétractation envoyée depuis l’Espace Client : adresse électronique, offre souscrite, licence visée et, si vous en écrivez un, votre message | Traiter votre rétractation (remboursement sous quatorze jours) puis pouvoir prouver qu’elle a été exercée — cette preuve survit à la suppression du compte, parce qu’elle atteste aussi de ce que nous vous devons | Obligation légale (droit de rétractation, art. L221-18 et suivants du code de la consommation) et intérêt légitime (preuve) | Cinq ans à compter de la notification (art. 2224 du code civil) |
| Déclaration de rétractation faite depuis le formulaire de contact : votre adresse électronique, la date de la déclaration, le canal par lequel elle nous est parvenue et le numéro de dossier correspondant. Votre message n’y figure pas | Faire courir le délai de quatorze jours dès votre déclaration, et non dès le moment où nous la lisons ; et pouvoir établir que vous avez exercé ce droit même si le courriel qui la porte se perd | Obligation légale (droit de rétractation, art. L221-18 et suivants du code de la consommation) et intérêt légitime (preuve) | Aucune durée fixe, et c’est le critère qui en tient lieu : tant que personne n’a examiné votre déclaration, l’effacer reviendrait à trancher par l’oubli un droit peut-être en jeu. Une fois examinée, elle renvoie à la notification de rétractation ci-dessus — conservée cinq ans — et n’est plus la preuve elle-même |
| Empreintes de votre adresse IP et de l’adresse électronique saisie, au moment de l’envoi du formulaire — ni l’une ni l’autre ne sont conservées en clair | Empêcher l’envoi automatisé en masse, qui ferait classer nos courriels comme indésirables, et empêcher que l’accusé de réception ne serve à inonder l’adresse d’un tiers | Intérêt légitime (sécurité du service, et protection des tiers) | 48 heures |
| Copie de votre demande adressée à l’adresse électronique que vous avez saisie, portant un numéro de dossier — elle ne reprend ni votre message, ni votre nom | Vous laisser une trace de votre démarche et un numéro à citer. Cette copie ne contient aucun texte que vous avez saisi : si quelqu’un renseignait votre adresse à votre insu, il ne pourrait pas s’en servir pour vous écrire | Mesure prise à votre demande (art. 6.1.b du RGPD) | Non conservée : le courriel part, la base n’en garde rien |
| Journaux techniques du serveur, comprenant l’adresse IP | Sécurité et diagnostic des pannes | Intérêt légitime | Selon la politique de notre hébergeur, douze mois au plus |
| Liaison de votre licence à votre installation : identifiant de l’installation, sa clé publique, dates de première et de dernière vue, et l’identifiant de votre compte | Rattacher une licence à une installation et vérifier ses renouvellements : la clé publique est ce qui permet de reconnaître la même installation d’un renouvellement à l’autre | Exécution du contrat | Tant que votre compte existe : aucune purge automatique n’est écrite. La suppression du compte l’efface |
| Défi de renouvellement de licence : la valeur du défi, le numéro de licence concerné, et les dates d’émission, d’expiration et d’usage | Empêcher qu’un renouvellement déjà signé soit rejoué : le défi ne vaut qu’une fois, et s’en souvenir est ce qui le garantit | Intérêt légitime (sécurité du renouvellement) | Le défi expire en deux minutes ; la ligne est effacée une heure après son expiration, à la prochaine émission d’un défi |
| Libération d’une liaison : votre compte, la licence, l’installation libérée et la date. Et, lorsque le support lève le quota annuel, le motif, l’identifiant de l’opérateur qui l’accorde et le numéro de dossier | Rendre constatable l’exercice du droit de transfert que l’article 7 des conditions générales vous promet — une porte d’ouverture sans journal ne se contrôle pas | Exécution du contrat et intérêt légitime (prévention des abus) | Tant que votre compte existe : aucune purge automatique n’est écrite. La suppression du compte l’efface |
| Demande d’association d’une installation : un code public court, l’empreinte du secret (jamais le secret lui-même), l’identifiant de l’installation, la version du produit et le fichier de licence réémis | Vous permettre d’associer une installation à votre abonnement depuis l’Espace Client, puis de remettre la licence à l’application une seule fois | Exécution du contrat | La demande vit quinze minutes ; la ligne est effacée une heure après son expiration |
| Vérification de votre adresse électronique : une empreinte poivrée de l’adresse — jamais l’adresse elle-même —, et, le temps d’une demande en cours, l’empreinte du code envoyé avec le nombre d’essais | Savoir qu’une adresse a déjà été confirmée, sans conserver la liste des adresses qui nous écrivent : une telle liste serait, à elle seule, un carnet d’adresses actives à exfiltrer | Intérêt légitime (sécurité du service, et protection des tiers) | Cinq ans pour la preuve de vérification ; quinze minutes pour le code, effacé plus tôt dès qu’il est utilisé ou épuisé |
| Avertissement avant suppression d’un compte resté sans usage : l’identifiant de votre compte et la date d’envoi de l’avertissement | Ne supprimer un compte inutilisé que sept jours après un avertissement constaté envoyé : sans cette trace, une panne d’envoi supprimerait des comptes qui n’ont jamais été prévenus | Intérêt légitime (hygiène des comptes), et loyauté envers vous | Effacée avec le compte ; conservée tant que le compte l’est |
| Jeton d’intention d’achat : l’identifiant de votre compte, l’offre affichée à l’écran d’achat et la date | Empêcher qu’un même écran d’achat produise deux commandes : le jeton ne vaut qu’une fois, et la base elle-même le garantit | Exécution du contrat | Tant que votre compte existe : aucune purge automatique n’est écrite. La suppression du compte l’efface |
Ce que nous ne recevons jamais : votre numéro de carte, sa date d’expiration et son cryptogramme. Vos factures elles-mêmes sont détenues par notre prestataire, pas par nous : nous n’en conservons que les références qui permettent de les retrouver, et — dans notre journal des gestes de facturation, six mois — le montant du geste lui-même. Le paiement s’effectue sur les pages de notre prestataire Stripe, et ces données ne transitent pas par nos serveurs. Nous n’en recevons que la confirmation qu’un paiement a eu lieu.
Signal périodique des extensions — prévu au contrat, aucune donnée reçue à ce jour
L’article 5.3.5 des conditions générales d’utilisation autorise une Application à transmettre périodiquement l’identifiant du site licencié, la version installée et son état d’activation, aux seules fins de vérifier la licence et de suivre le bon fonctionnement.
Aucune Application ne le fait aujourd’hui, et le tableau ci-dessus reste donc exhaustif. Nous le signalons ici parce qu’une autorisation contractuelle n’est pas une collecte, et que la seconde ne doit pas se découvrir après coup : le jour où une Application émettra ce signal, sa fiche descriptive l’indiquera et le tableau ci-dessus sera complété AVANT la mise en service — durée de conservation et base légale comprises. Le signal restera désactivable sans perte de fonctionnalité.
3. Ce que nous ne faisons pas
Il nous paraît aussi utile de dire ce qui n’a pas lieu :
- Aucune publicité, aucun ciblage, aucun retargeting. Nous ne transmettons rien à des régies ni à des plateformes publicitaires.
- Aucun profilage, et aucune décision automatisée produisant des effets à votre égard.
- Aucune décision prise par une machine. Lorsque vous nous écrivez pour obtenir de l’assistance, un traitement automatisé peut préparer un projet de réponse à partir de votre message et vous adresser un accusé de réception. Aucune décision vous concernant — refus, remboursement, résiliation — n’est prise par ce moyen, et toute réponse qui statue sur votre demande est relue par une personne avant d’être envoyée. Vous interagissez avec un système d’intelligence artificielle lorsque vous écrivez à notre assistance.
- Aucune mesure d’audience : ni Google Analytics, ni équivalent. Voir notre politique de gestion des cookies.
- Aucune lettre d’information, aucun message promotionnel. Le seul courriel automatique que nous puissions vous envoyer est celui qui permet de réinitialiser votre mot de passe, et c’est vous qui le déclenchez. Si vous nous écrivez, nous vous répondons — cela va de soi, et cela s’arrête là.
- Aucune revente, aucune location, aucun échange de vos données.
- Aucune collecte par les extensions. WPOAuth et WPSQL s’exécutent sur votre serveur et, à ce jour, ne nous transmettent rien : il n’y a plus de vérification de clé de licence auprès de Secufor.
4. Qui d’autre y a accès
Trois prestataires, chacun pour une tâche précise :
- Stripe — encaissement des paiements. Stripe collecte les données de paiement directement auprès de vous, sur ses propres pages.
- OVHcloud — hébergement du site et de la base de données, et acheminement du courriel de réinitialisation de mot de passe. Les serveurs sont situés dans l’Union européenne.
- Un fournisseur professionnel d’intelligence artificielle — analyse des demandes d’assistance, afin de préparer une réponse. Ce prestataire ne recevra jamais votre nom, votre adresse électronique ni l’identifiant de votre compte : il ne recevra qu’un extrait de votre demande dont ces éléments ont été retirés au préalable.
En dehors de ces trois prestataires, vos données ne sont communiquées à personne — sauf réquisition d’une autorité judiciaire ou administrative habilitée, à laquelle nous sommes tenus de déférer.
5. Où sont vos données
Les données que nous détenons sont hébergées dans l’Union européenne. Stripe, dont le groupe est établi aux États-Unis, peut être amené à traiter des données en dehors de l’Union ; ces transferts s’effectuent sur le fondement des garanties prévues au chapitre V du RGPD et sont décrits dans sa propre politique de confidentialité.
6. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Pour les exercer, écrivez à dpo[arobase]secufor.net. Nous vous répondons dans un délai d’un mois. Si votre demande est complexe, ce délai peut être prolongé de deux mois ; nous vous en informons alors dans le premier mois.
Suppression de votre compte : demandée depuis votre Espace Client, vos licences restent pleinement fonctionnelles, conformément à leurs conditions propres, tant que votre compte reste réactivable : pendant dix jours. Si vous ne le réactivez pas dans ce délai, vos abonnements en cours sont résiliés, vos licences valides sont révoquées, et votre compte, avec les données personnelles qu’il porte, est définitivement supprimé à l’issue de ces dix jours. Certaines données doivent toutefois être conservées au-delà, parce que la loi l’impose : les pièces comptables (dix ans) et la preuve de votre acceptation des CGV (cinq ans). Elles sont alors isolées et ne servent plus qu’à cet objet.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes.
7. Comment vos données sont protégées
- Le site et l’API sont servis exclusivement en HTTPS.
- Les mots de passe sont conservés sous forme d’empreinte, jamais en clair. Ils ne peuvent pas être retrouvés — pas même par nous.
- Les clés de licence sont chiffrées en base.
- Les jetons de session ne sont eux non plus jamais stockés en clair : la base n’en conserve qu’une empreinte, de sorte qu’une fuite de la base ne permettrait pas de se connecter à votre place.
- Le téléchargement du produit est réservé aux comptes ayant souscrit l’offre correspondante.
Si vous découvrez une faille, notre procédure de signalement figure sur la page Sécurité.
8. Cookies
Ce site ne dépose aucun cookie de publicité, de mesure d’audience ni de réseau social. Le détail figure dans notre politique de gestion des cookies.
9. L’application Noviscan
Cette section couvre l’application mobile Noviscan. Les sections 1 à 8 ci-dessus décrivent le site et le compte client ; elles ne décrivent pas l’application, et l’application ne se lit pas dedans.
En clairL’application parle à votre instance Noviscan, jamais à nous. Nous ne recevons ni image, ni vidéo, ni gabarit facial, ni identité, ni historique. L’application ne crée aucun compte, n’envoie aucune notification push, et ne transmet aucune télémétrie ni rapport de plantage à qui que ce soit.
Ce que l’éditeur reçoit
Rien. Les données produites par l’usage de l’application vivent sur votre instance et sur votre téléphone. Secufor n’en reçoit aucune copie, et ne dispose d’aucun moyen d’y accéder.
Ce qui vit sur votre instance
L’instance Noviscan est installée et administrée par son exploitant. Elle porte : les gabarits faciaux — une donnée biométrique —, l’historique de détection, le journal de présence, les comptes, les sessions et jetons d’appareil, le journal des connexions, le journal d’audit, les clips vidéo de l’offre Premium et les notifications sortantes. Chacun a une durée de conservation propre, fixée par l’exploitant de l’instance.
Ce qui vit sur votre téléphone
- une copie locale des médias que vous consultez, écrite dans le cache du système d’exploitation. ⚠️ Elle y est en clair, sans durée ni réglage dans l’application : sa purge est celle que le système applique à ses caches. Nous l’écrivons plutôt que de la taire ;
- dans le trousseau sécurisé du téléphone (Keystore sur Android, Keychain sur iOS) : l’adresse de votre instance, son identifiant et son nom, le jeton d’appairage, l’empreinte du certificat épinglé et la racine de certification. Le désappairage efface ces éléments ;
- vos préférences d’application — langue, thème, verrouillage biométrique, itinérance — qui restent après le désappairage comme n’importe quel réglage.
Ce qui sort du téléphone, et dans quel cas
Sur votre réseau local, l’application parle directement à votre instance. En itinérance, la mise en relation passe par un relais : l’application lui transmet l’identifiant de votre instance et les messages de signalisation nécessaires à l’établissement du lien, lesquels comportent des adresses réseau (les vôtres et celles de l’instance). Le relais ne voit pas le contenu échangé : celui-ci reste chiffré entre l’application et l’instance, et traverse le relais tel quel.
Ce que l’application ne fait pas
Ces absences sont établies par lecture du code, et non par silence :
- aucune notification push, donc aucun jeton APNs ou FCM ;
- aucune télémétrie ni rapport de plantage vers un tiers ;
- aucun gabarit facial sur le téléphone : le déverrouillage biométrique est rendu par le système d’exploitation, et rien de ce qu’il utilise ne parvient à l’application ;
- aucune création de compte depuis l’application.
Si cette page devait changerCette charte décrit l’état réel des traitements à la date indiquée. Si nous ajoutions une finalité nouvelle — une lettre d’information, un outil de mesure d’audience, un nouveau prestataire — cette page serait mise à jour avant sa mise en œuvre, et votre consentement vous serait demandé chaque fois que la loi l’exige.