Informations légales
Politique de confidentialité
Comment Patcharo traite les données personnelles des visiteurs du site, des utilisateurs de l’application et des clients : finalités, bases légales, destinataires, durées et droits.
Version archivée, remplacée le 24 oct. 2026. Lire la version en vigueur
Version du 23 oct. 2026
Sur cette page
- 1. Responsable du traitement
- 2. Deux rôles distincts
- 3. Données, finalités et bases légales
- 4. Données obligatoires et facultatives
- 5. Destinataires
- 6. Transferts hors de l’Union européenne
- 7. Durées de conservation
- 8. Vos droits
- 9. Réclamation auprès de la CNIL
- 10. Décisions automatisées
- 11. Sécurité
- 12. Modifications
1. Responsable du traitement
Le responsable du traitement est Ahmed BECHIR EI, exerçant sous le nom commercial DELQUOR, 36 Rue Antonio Meucci, 38090 Villefontaine, France (l’« Éditeur » ou « nous »). Pour toute question relative à vos données ou pour exercer vos droits : contact@patcharo.com.
L’Éditeur n’a pas désigné de délégué à la protection des données, cette désignation n’étant pas obligatoire au regard de son activité ; les demandes sont traitées à l’adresse ci-dessus.
2. Deux rôles distincts
Cette politique décrit les traitements dont l’Éditeur est responsable : la consultation du site, la gestion des comptes et de leur sécurité, les e-mails de service, la facturation, l’assistance et l’administration du Service.
Les informations saisies dans un Espace de travail (inventaire, veilles, alertes, actions, membres et journal d’audit de l’Espace) sont traitées pour le compte du client qui l’utilise, responsable de ces traitements ; l’Éditeur agit alors comme sous-traitant selon l’accord de traitement des données. Pour ces données, adressez-vous d’abord à l’organisation concernée ; l’Éditeur lui transmet les demandes qu’il reçoit.
3. Données, finalités et bases légales
| Traitement | Données | Finalité | Base légale |
|---|---|---|---|
| Consultation du site et de l’application | Adresse IP et données techniques de la requête, traitées par l’hébergeur pour acheminer les pages ; journal technique sans adresse IP (méthode, page sans paramètres, statut, durée) ; cookies décrits dans la page Cookies | Fournir les pages, les protéger contre les attaques et les accès automatisés abusifs, corriger les erreurs | Intérêt légitime : offrir un service accessible et sûr |
| Compte | Adresse e-mail, mot de passe (conservé sous forme non réversible par le prestataire d’authentification), nom affiché facultatif, langue, fuseau horaire, préférences de notification, acceptation des conditions (version, date, langue) | Créer et gérer le compte, authentifier l’utilisateur, prouver l’acceptation des conditions | Exécution du contrat (conditions générales d’utilisation) |
| Sécurité du compte et des sessions | Dates et activité des sessions ; famille de navigateur, de système et d’appareil et pays de connexion, déduit de l’adresse IP par l’hébergeur sans que l’adresse soit conservée ; facteurs de double authentification (gérés par le prestataire d’authentification) ; appareils mémorisés (empreinte d’un jeton) ; historique de sécurité (connexions, changements de mot de passe ou de facteur, fins de session) ; compteurs de tentatives | Sécuriser l’accès, détecter les abus, permettre à l’utilisateur de voir et de fermer ses sessions | Intérêt légitime : la sécurité du compte et du Service, que l’article 32 du RGPD impose aussi |
| E-mails de service et alertes | Adresse e-mail et langue du destinataire ; contenu des alertes (noms d’Espaces de travail et d’équipements, libellés de veilles ou adresses IP surveillées, informations publiques sur les vulnérabilités) ; journal d’envoi pseudonymisé (empreinte de l’adresse, statut, horodatage) | Envoyer les e-mails nécessaires au compte et les alertes choisies, éviter les doublons et les envois vers des adresses en échec | Exécution du contrat |
| Facturation, lorsque le paiement en ligne est ouvert | Identité et adresse de facturation du client, numéro de TVA, e-mail du propriétaire de l’Espace de travail, offre, paiements et factures (chez Stripe) ; identifiants de client et d’abonnement Stripe (chez l’Éditeur). Les données de carte sont traitées par Stripe et ne sont jamais reçues par l’Éditeur | Gérer l’abonnement, facturer, encaisser et recouvrer | Exécution du contrat ; obligation légale pour la conservation des pièces comptables |
| Assistance, contact et réclamations | Adresse e-mail, contenu des messages et pièces jointes échangés avec les adresses @patcharo.com | Répondre aux demandes, traiter les réclamations et les signalements | Intérêt légitime : répondre aux personnes qui nous écrivent ; exécution du contrat pour les clients |
| Exercice des droits | Demande, échanges et réponse | Répondre aux demandes et pouvoir en justifier | Obligation légale |
| Administration du Service et prévention des abus | Journal d’administration (actions du personnel de l’Éditeur, identité et adresse IP de connexion de l’administrateur, compte visé, motif) ; suspensions et leurs motifs ; tentatives d’accès refusées à la console d’administration, avec l’adresse IP | Tracer les opérations d’administration, prévenir et traiter les abus, se défendre en justice | Intérêt légitime : la sécurité du Service et la preuve des opérations |
| Indicateurs publics de compromission | Adresses IP publiées par le CERT-FR comme indicateurs (diffusion libre) | Les comparer aux adresses que les clients surveillent | Intérêt légitime : la sécurité des systèmes des clients |
L’Éditeur n’utilise vos données ni pour de la publicité, ni pour de la mesure d’audience, ni pour du profilage commercial ; il ne les vend pas et n’envoie aucune prospection. Le service de traduction automatique ne reçoit que des textes publics des sources de vulnérabilités.
4. Données obligatoires et facultatives
L’adresse e-mail et le mot de passe sont nécessaires pour créer un compte ; les données de facturation le sont pour souscrire un abonnement. Sans elles, le service correspondant ne peut pas être fourni. Le nom affiché et les préférences sont facultatifs.
5. Destinataires
- Les personnes habilitées de l’Éditeur, dans la limite de leurs missions et par une console d’administration qui journalise leurs actions.
- Les autres membres de vos Espaces de travail, qui voient votre nom affiché, votre adresse e-mail et votre rôle, et, pour un client géré, les opérateurs du MSSP concerné.
- Les prestataires qui hébergent et font fonctionner le Service (Cloudflare, Supabase, Resend, Zoho et, pour la facturation, Stripe), décrits dans la page Sous-traitants ultérieurs.
- Les autorités, lorsque la loi l’impose.
6. Transferts hors de l’Union européenne
- La base de données et l’authentification sont hébergées à Paris (région AWS eu-west-3). Leur prestataire, Supabase Pte. Ltd. (Singapour), et ses sociétés liées aux États-Unis peuvent y accéder pour l’assistance et l’exploitation, dans le cadre des clauses contractuelles types de la Commission européenne.
- L’application est exécutée sur le réseau mondial de Cloudflare, Inc. (États-Unis) : une requête peut être traitée hors de l’Union. Cloudflare adhère au cadre de protection des données UE–États-Unis, qui bénéficie d’une décision d’adéquation de la Commission européenne, et son accord de traitement prévoit les clauses contractuelles types.
- Les e-mails sont envoyés et journalisés aux États-Unis par Plus Five Five, Inc. (Resend), qui adhère au même cadre et s’engage par des clauses contractuelles types.
- Les boîtes aux lettres @patcharo.com sont hébergées par Zoho dans l’Union européenne. Les paiements, lorsqu’ils seront ouverts, seront traités par Stripe Payments Europe (Irlande), avec des transferts vers Stripe, LLC (États-Unis), qui adhère au même cadre.
Une copie des garanties applicables peut être obtenue à contact@patcharo.com.
7. Durées de conservation
| Données | Durée ou critère de conservation |
|---|---|
| Compte, préférences, acceptation des conditions | Tant que le compte existe ; effacés immédiatement lors de sa suppression. |
| Historique de sécurité du compte (connexions, facteurs, appareils) | 12 mois glissants, puis effacé automatiquement ; immédiatement lors de la suppression du compte. |
| Contextes de session | Supprimés à la connexion qui suit la fin de la session, ou avec le compte. |
| Appareils mémorisés | 30 jours au plus de validité, puis supprimés 30 jours après leur expiration ou leur révocation, à la connexion suivante, ou avec le compte. |
| Journal d’envoi des e-mails | 180 jours, puis effacé automatiquement ; immédiatement lors de la suppression du compte. Le prestataire d’e-mails conserve les contenus et ses journaux 30 jours. |
| Liste des adresses en échec ou ayant signalé un abus | Conservée sous forme d’empreinte non réversible, tant que nécessaire pour ne plus écrire à ces adresses. |
| Données d’un Espace de travail | Pour le compte du client, pendant l’utilisation du Service ; l’Espace reste consultable en lecture seule après l’essai ou l’abonnement. Effacées avec le compte de leur propriétaire lorsque celui-ci en est le seul membre, ou sur demande du client. |
| Invitations à rejoindre un Espace de travail (adresse invitée) | 90 jours après leur acceptation, leur révocation ou leur expiration, puis effacées automatiquement. |
| Pièces comptables et factures | 10 ans à compter de la clôture de l’exercice, comme l’impose l’article L. 123-22 du code de commerce. |
| Messages d’assistance et de contact | 3 ans après le dernier échange. |
| Demandes d’exercice des droits | Jusqu’à la fin de la troisième année suivant la réponse. |
| Journal d’administration et suspensions | 3 ans après l’opération ou la fin de la suspension. |
| Tentatives d’accès refusées à la console d’administration | 90 jours. |
| Indicateurs publics de compromission | Tant qu’ils sont publiés par le CERT-FR, puis conservés avec la mention de leur retrait. |
| Copies de sauvegarde de la base de données réalisées par l’Éditeur (chiffrées) | 90 jours au plus après leur réalisation. Le prestataire de base de données applique en outre sa propre politique de sauvegarde. |
La suppression du compte, depuis Paramètres › Compte, est immédiate : elle efface le compte, l’historique de sécurité, le journal d’envoi des e-mails et les Espaces de travail dont vous étiez le seul membre, avec leurs données. Les journaux d’audit des autres Espaces conservent les actions passées, sans votre nom.
8. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation du traitement et de portabilité de vos données, et du droit de vous opposer aux traitements fondés sur l’intérêt légitime, pour des raisons tenant à votre situation particulière. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès.
- Depuis l’application : modifier votre profil et vos préférences (Paramètres › Profil et Notifications), voir et fermer vos sessions (Paramètres › Sécurité), télécharger une copie de vos données au format JSON (Paramètres › Compte, et Paramètres › Espace de travail pour un propriétaire ou un administrateur), exporter l’analyse au format CSV (Rapports), supprimer votre compte (Paramètres › Compte). Ces téléchargements restent disponibles lorsqu’une nouvelle version des conditions attend votre acceptation (Paramètres › Informations légales).
- Par e-mail à contact@patcharo.com, depuis l’adresse de votre compte de préférence, pour toute autre demande, notamment une copie de vos données.
Nous répondons dans un délai d’un mois, prolongeable de deux mois pour une demande complexe ou en cas de demandes nombreuses, auquel cas nous vous en informons. Une preuve d’identité n’est demandée qu’en cas de doute raisonnable. Les demandes portant sur les données d’un Espace de travail sont transmises au client concerné, qui en décide.
9. Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, ou en ligne sur cnil.fr, ou auprès de l’autorité de contrôle de votre pays de résidence ou de travail dans l’Union européenne.
10. Décisions automatisées
Patcharo ne prend aucune décision produisant des effets juridiques à votre égard sur le seul fondement d’un traitement automatisé et ne réalise aucun profilage. Le rapprochement automatique entre équipements et vulnérabilités porte sur des équipements, non sur des personnes, et ses résultats restent soumis à l’appréciation du client.
11. Sécurité
Les mesures mises en œuvre pour protéger les données (isolation des clients, authentification, chiffrement des communications, minimisation, journalisation des accès d’administration, sauvegardes) et leurs limites sont décrites dans l’annexe de l’accord de traitement des données.
12. Modifications
Chaque version de cette politique est datée et reste consultable. Les modifications importantes sont signalées aux utilisateurs par e-mail ou dans l’application.