Politique de confidentialité

Six catégories, et rien d’autre :

• Vos coordonnées — nom, adresse e-mail, société — lorsque vous remplissez un formulaire de contact, de démonstration, ou que vous demandez un rapport de scan.
• Les données techniques des sites supervisés — adresses, versions des composants, relevés de disponibilité, résultats de scan, sauvegardes chiffrées.
• Les données de facturation, lorsque vous êtes client.
• Ce que vous nous dites à votre arrivée — pour qui vous gérez des sites, la taille de votre structure, votre rôle, vos technologies, vos priorités, l’outil que vous utilisez aujourd’hui et, si vous le souhaitez, un numéro de téléphone pour être rappelé. Ces réponses servent à préparer votre espace (type de compte, formule d’essai) et à vous aider à démarrer ; le numéro est facultatif et ne sert qu’à vous rappeler si vous l’avez demandé.
• Les journaux techniques de la plateforme — adresse IP et appareil de vos sessions, journal d’audit de vos actions, journal de remise des e-mails, tentatives de connexion observées sur vos sites (adresse IP source, identifiant essayé). Ils servent à sécuriser le service et à expliquer ce qui s’est passé, et ne sont utilisés pour rien d’autre.
• La mesure d’audience du site public, seulement si vous l’acceptez dans le bandeau : pages vues et gestes (clic sur un bouton, envoi d’un formulaire, lancement d’un scan), sans nom, sans adresse e-mail, sans adresse IP ni adresse de site scanné. Le détail est sur la page cookies.

Le scan gratuit n’enregistre ni adresse e-mail ni résultat tant que vous ne demandez pas le rapport : le résultat s’affiche sans inscription. Trois traces techniques existent néanmoins, et nous les disons : le résultat d’une adresse scannée est gardé en cache une heure, pour ne pas analyser deux fois le même site ; votre adresse IP, sous forme d’empreinte, sert de compteur pendant une heure pour limiter le nombre de scans ; et le journal technique du serveur note l’adresse scannée, le score obtenu et votre adresse IP tronquée (sans son dernier segment). Ce journal n’a pas de durée fixe : il est écrasé au fil de sa rotation, selon le volume.

Lorsque vous cochez une case de consentement sur l’un de nos formulaires (demande de contact, rapport de scan, lettre de veille), nous en gardons la preuve : la date, l’adresse IP d’origine et la version du texte accepté.

Connexion avec Google (facultative) : si vous la choisissez, Google nous transmet votre nom, votre adresse e-mail, le fait que Google l’a vérifiée et un identifiant de compte — rien d’autre : ni vos contacts, ni vos fichiers, ni votre photo. Nous gardons cet identifiant pour vous reconnaître à la connexion suivante. Google agit alors comme fournisseur d’identité, sous ses propres conditions ; vous pouvez toujours vous connecter avec votre adresse et un mot de passe à la place.

• Exécuter le service souscrit : superviser, sauvegarder, alerter, intervenir.
• Vous envoyer vos rapports et les alertes concernant vos sites. Chaque compte peut régler des heures calmes et un résumé quotidien pour ses e-mails d’alerte : ce qui tombe dans la plage part à sa fin, ce qui est résumé part à l’heure choisie. Les alertes de disponibilité (site tombé, toujours tombé, revenu) n’entrent jamais dans le résumé, et ne sont retardées par les heures calmes que si vous le demandez.
• Répondre à vos demandes.
• Préparer votre espace d’après vos réponses à l’arrivée, et vous rappeler pour vous aider à démarrer — seulement si vous l’avez demandé.
• Facturer.
• Savoir quelles pages du site public servent, avec votre accord (mesure d’audience).
• Vous envoyer la lettre de veille, uniquement si vous l’avez demandée en cochant la case prévue et confirmée depuis le lien reçu par e-mail. Chaque envoi permet de se désinscrire.
• Vous envoyer des conseils de suivi après un rapport de scan, uniquement si vous avez coché la case distincte prévue à cet effet — demander le rapport ne suffit pas. Chaque envoi permet de se désinscrire.

Nous ne revendons aucune donnée, nous ne les cédons à aucun courtier publicitaire, et nous ne vous inscrivons à aucune liste de diffusion sans que vous l’ayez demandé. Une case de consentement décochée reste décochée.

La plateforme et ses bases de données sont hébergées en France, chez OVHcloud. Les sauvegardes des sites supervisés sont chiffrées avant transfert et déposées chez Backblaze, en région européenne. Backblaze est une société de droit américain : nous ne prétendons donc pas que vos données seraient hors d’atteinte du CLOUD Act. Nous vous disons où elles sont, comment elles sont chiffrées, et comment les récupérer à tout moment. Avec votre accord, la mesure d’audience du site public passe par Google Analytics (Google Ireland Ltd, avec des transferts possibles vers les États-Unis dans le cadre du Data Privacy Framework), et le bandeau de consentement par Cookiebot (Usercentrics, Danemark). La liste complète des prestataires qui interviennent dans le traitement des données de nos clients figure sur la page sous-traitants.

Les durées ci-dessous sont celles que la plateforme applique réellement : une purge automatique tourne chaque nuit, et ce qui n’est pas purgé est dit comme tel.

• Sauvegardes des sites : rotation 7 quotidiennes, 4 hebdomadaires, 12 mensuelles sur un horizon de 24 mois, puis suppression ; la sauvegarde annuelle est conservée tant que le site est supervisé, puis supprimée avec lui.
• Relevés de disponibilité (sondes) : relevés bruts 90 jours, une fois leur journée résumée ; résumés journaliers 400 jours.
• Rapports mensuels et résultats de scan des sites supervisés : aucune durée fixe : ils constituent l’historique de la prestation et sont conservés tant que le site l’est ; ils sont effacés avec le site, ou avec les données du client en fin de contrat (voir plus bas).
• Inventaires techniques des sites (instantanés de l’agent) : 90 jours, le plus récent de chaque site étant toujours conservé.
• Tentatives de connexion observées sur les sites (adresse IP source, identifiants essayés) : 90 jours.
• Journal d’envoi des e-mails (destinataire, statut de remise) : 180 jours.
• Messages techniques échangés avec les agents et les prestataires (webhooks) : 90 jours une fois traités.
• E-mails d’alerte retenus par vos heures calmes ou votre résumé (adresse du destinataire, contenu de l’alerte) : gardés jusqu’à leur envoi groupé, puis effacés 30 jours après cet envoi.
• Notifications dans l’application : 180 jours une fois lues, 365 jours si elles ne le sont pas.
• Journal d’audit des actions (auteur, adresse IP) : 2 ans, pour la traçabilité de sécurité ; un compte supprimé y devient anonyme.
• Sessions ouvertes (appareil, adresse IP, dernière activité) : jusqu’à leur fermeture, leur expiration ou la suppression du compte.
• Jetons de réinitialisation de mot de passe et de vérification d’adresse : 30 jours après leur expiration.
• Demandes de restauration décidées ou expirées : 1 an.
• Inscription jamais vérifiée : supprimée après 7 jours sans clic sur le lien de vérification, si aucun site n’a été rattaché.
• Lettre de veille : jusqu’à votre désinscription ; une demande d’inscription jamais confirmée est effacée au bout de 30 jours.
• Demandes de contact et de démonstration : effacées trois ans après notre dernier échange, ou plus tôt sur votre demande.
• Rapports de scan demandés par e-mail (adresse, sites analysés, résultat) : effacés trois ans après notre dernier échange, ou plus tôt sur votre demande.
• Preuve de vos consentements (date, adresse IP, version du texte accepté) : conservée avec la demande ou l’inscription qu’elle accompagne, et effacée avec elle.
• Lettre de veille après désinscription : l’inscription reste enregistrée avec sa date de désinscription et le texte accepté, comme preuve et pour ne plus vous écrire ; elle est effacée sur demande.
• Réponses au questionnaire d’arrivée et téléphone : conservés avec le compte, et effacés avec lui ; un numéro de téléphone peut être retiré à tout moment sur demande.
• Compte utilisateur : jusqu’à sa suppression, par vous depuis l’application ou sur demande ; en fin de contrat, il est effacé avec les données du client s’il n’est rattaché à aucune autre organisation.
• Sauvegardes d’une agence au palier Standard : une agence dont l’abonnement prend fin passe au palier Standard, gratuit : ses sauvegardes existantes restent téléchargeables 30 jours après la fin de l’abonnement (7 jours après un essai), elle est prévenue 7 jours puis 1 jour avant, et elles peuvent ensuite être supprimées par notre équipe ; les archives correspondantes sont retirées du stockage par le balayage hebdomadaire, au plus tôt 7 jours après. Ses autres données restent tant qu’elle utilise ce palier.
• Données d’un client en fin de contrat : pour un client final, ou une agence dont l’espace est clos : effacées 30 jours après la fin de son dernier abonnement (résiliation ou expiration) : sites, sauvegardes, résultats d’analyse, rapports, tickets et échanges, journaux d’intervention, accès et invitations, canaux d’alerte et jetons d’accès. Les coordonnées de contact sont retirées de la fiche. L’effacement est lancé par notre équipe une fois ce délai écoulé ; les archives de sauvegarde correspondantes sont ensuite supprimées du stockage par le balayage hebdomadaire, au plus tôt 7 jours après.
• Factures et données de facturation : dix ans, durée légale de conservation comptable, y compris après la fin du contrat et la suppression du compte : l’identité légale du client, ses abonnements et ses factures sont conservés, avec les coordonnées de l’acheteur figées à l’émission de chaque facture.
• Sauvegardes automatiques des brouillons du blog : 90 jours (données internes, sans données de clients).
• Mesure d’audience du site public (avec votre accord) : événements conservés 14 mois dans Google Analytics, cookies d’audience expirés au bout de 13 mois.

Pour vous aider, un membre de l’équipe de support de la plateforme peut ouvrir votre espace tel que vous le voyez. Cette consultation est encadrée par la plateforme :

• en lecture seule : aucune modification ne peut être faite pendant la consultation ;
• trente minutes au plus ;
• vous en êtes prévenu par e-mail, avec la date et, s’il a été donné, le motif ;
• elle est inscrite au journal d’audit.

Elle est réservée aux administrateurs de la plateforme et ne peut viser le compte d’un autre administrateur.

Accès, rectification, effacement, limitation, portabilité et opposition : ils s’exercent par un message à contact@sentinelo.fr, auquel nous répondons sous un mois. Si vous êtes client, l’export de vos données et la suppression de votre compte sont disponibles directement depuis les paramètres du compte, dans l’application.

L’export est un fichier JSON qui rassemble : votre compte (nom, adresse e-mail, date de création, vérification de l’adresse, dernier changement de mot de passe, activation de la double authentification, version et date des conditions acceptées, origine de l’inscription), vos rattachements aux agences et aux clients avec leur rôle, vos réponses au questionnaire d’arrivée, votre téléphone et l’état des visites guidées, le fait qu’un compte Google soit rattaché (sans son identifiant), vos préférences de notification, vos sessions (appareil, adresse IP, début et dernière activité), vos notifications, les tickets que vous avez ouverts, vos commentaires, les pièces jointes que vous avez déposées (nom, type et taille — les fichiers restent téléchargeables depuis le ticket), vos temps saisis, les invitations reçues et envoyées, vos demandes de contact, rapports de scan et inscription à la lettre de veille avec la preuve du consentement, votre journal d’audit (action, adresse IP, date) et, pour les organisations dont vous êtes responsable, leurs coordonnées de facturation et leurs factures. Il ne contient aucun secret : ni mot de passe, ni clé de double authentification, ni jeton.

L’accord de sous-traitance (DPA) est publié sur la page accord de sous-traitance et fait partie des conditions générales.