Avis de confidentialité

VulnBeacon vous aide à comprendre les logiciels dont vos produits sont faits et les décisions de sécurité qui les entourent. Le présent avis décrit les données personnelles en jeu lorsque vous consultez notre site, utilisez le service ou nous écrivez : ce que nous collectons, pourquoi, qui d’autre les reçoit, combien de temps nous les conservons et ce que vous pouvez nous demander.

1. Responsable du traitement

VulnBeacon est exploité par la société identifiée dans nos mentions légales. « VulnBeacon », « nous » et « notre » désignent cette société.

Pour toute question ou demande relative à vos données personnelles, écrivez à contact@vulnbeacon.com.

Nous sommes responsables du traitement des données personnelles utilisées pour notre site, la gestion des comptes, nos communications et la sécurité du service.

Lorsqu’une organisation nous soumet des données personnelles pour qu’elles soient traitées pour son compte, c’est en principe elle qui est responsable du traitement, et nous agissons comme son sous-traitant dans le cadre de l’accord de traitement des données conclu entre nous. Sa propre politique de confidentialité décrit ce traitement. Nous pouvons lui transmettre une demande qui s’y rapporte, ou l’aider à y répondre.

2. Données traitées

Données de compte. Votre nom d’utilisateur, vos nom et prénom, votre adresse e-mail et le fait qu’elle soit vérifiée ou non, votre société, votre langue, votre rôle et l’état de votre compte, les e-mails que vous avez choisi de recevoir, ainsi que les dates de création du compte et de votre dernière connexion. Les comptes sont créés par un administrateur, qui saisit vos premières informations lorsqu’il vous donne accès au service.

Demandes d’accès. Lorsque vous remplissez notre formulaire Demander un accès, nous recevons votre nom, votre adresse e-mail professionnelle, votre organisation et, si vous les indiquez, votre fonction, l’offre envisagée, le nombre de produits que vous livrez et votre message, ainsi que l’adresse réseau d’où vient la demande.

Communications. Lorsque vous nous écrivez à access@vulnbeacon.com ou ailleurs, nous recevons vos coordonnées, votre message et tout ce qu’il contient.

Données produit. Les SBOM et les manifestes de dépendances que vous téléversez, et tout ce que le service en déduit ou enregistre à côté : informations sur les produits, noms et versions des composants, relations de dépendance, constats, décisions, déclarations VEX, verdicts de la barrière de publication, preuves de conformité, votre politique, vos listes de veille, vos réglages d’alertes et vos intégrations, ainsi que les fournisseurs que vous enregistrez, avec leur adresse de contact.

L’essentiel de ces données est technique. Elles peuvent néanmoins contenir des noms, des adresses e-mail ou des commentaires relatifs à des personnes, et révéler des informations confidentielles sur un projet. Le téléversement est conçu pour des SBOM et des manifestes de dépendances, non pour du code source, et nos conditions d’utilisation du service vous demandent de retirer, avant tout téléversement, les données personnelles et les secrets dont l’analyse n’a pas besoin.

Connexions et activité. Pour chaque session, l’adresse réseau depuis laquelle elle a été ouverte, son début et sa fin ; vos tentatives de connexion ; et un enregistrement d’audit des actions effectuées dans le service, indiquant chacun le compte, l’action, l’élément concerné, l’heure et l’adresse réseau. Paramètres › Profil vous montre vos propres sessions avec leurs adresses.

Journaux d’accès des serveurs. Pour chaque requête, nos serveurs journalisent l’adresse réseau de l’appelant, le chemin demandé avec ses paramètres, le statut de la réponse et l’heure. Le jeton d’un lien de partage est retiré avant l’écriture de la ligne.

Journal des envois d’e-mails. Pour chaque e-mail envoyé : son type, son objet, son résultat, le compte auquel il était destiné et le domaine de l’adresse du destinataire, jamais l’adresse complète.

Clés d’API et clés fournisseur. Pour chaque clé d’API : son nom et son type, les produits qu’elle nomme, ses dates de création, d’expiration et de dernière utilisation, son usage mensuel, l’adresse réseau depuis laquelle elle a été créée et, une fois révoquée, la date et le motif de la révocation. Paramètres › Clés d’API vous montre l’adresse depuis laquelle chacune de vos clés a été créée. Pour chaque clé fournisseur : son libellé, son produit, ses dates, son nombre d’utilisations et les livraisons qu’elle a effectuées.

Liens de partage. Pour chaque lien que vous créez : le rapport qu’il ouvre, son libellé, son expiration, la présence ou non d’un mot de passe, le nombre de consultations et la date de la dernière.

Données provenant d’autres sources. L’administrateur qui crée ou gère votre compte ; les intégrations que vous configurez ; les données de vulnérabilité que le service réunit à partir de plus de quatre-vingts sources publiques, dont les bulletins de sécurité peuvent nommer un chercheur, un mainteneur ou un auteur ; et les services de paquets cités à la section 4.

3. Finalités et bases légales

Lorsque le RGPD s’applique, nous utilisons les données personnelles pour les finalités suivantes :

• Fournir le service que vous avez demandé : votre compte, vos données produit et les e-mails que vous avez choisis, pour exécuter notre contrat avec vous ou prendre, à votre demande, des mesures préalables à sa conclusion.
• Gérer les comptes des organisations : coordonnées professionnelles et activité des comptes, sur la base de notre intérêt légitime à fournir et à administrer le service qu’une organisation a commandé.
• Protéger le service : enregistrements de connexion et d’audit, journaux des serveurs et, lorsqu’elle est activée, la vérification anti-robots à la connexion, sur la base de notre intérêt légitime à prévenir les abus, à protéger les informations et à enquêter sur les incidents, ainsi que lorsqu’une obligation légale l’impose.
• Vous répondre : votre correspondance, pour exécuter un contrat lorsqu’il en existe un, et sinon sur la base de notre intérêt légitime à répondre aux questions et à résoudre les problèmes.
• Assurer la fiabilité du service : informations de diagnostic, sur la base de notre intérêt légitime à détecter les pannes et à exploiter un service fiable.
• Respecter nos obligations légales : les enregistrements que la loi nous impose de conserver ou de produire.
• Constater, exercer ou défendre des droits en justice : les enregistrements nécessaires à cette fin, sur la base de notre intérêt légitime.

Lorsque nous nous fondons sur l’intérêt légitime, nous l’avons mis en balance avec ses effets pour vous, et vous pouvez vous y opposer (section 9). Le traitement effectué pour le compte d’une organisation suit ses instructions licites et l’accord de traitement des données.

Aucun des traitements décrits dans cet avis ne repose sur votre consentement. Si une fonctionnalité future en a besoin, nous en expliquerons l’usage et vous le demanderons séparément. Accepter les conditions d’utilisation du service ne vaut pas consentement au pistage ni à la prospection commerciale.

Un compte suppose un nom d’utilisateur et un mot de passe, et les e-mails d’alerte une adresse vérifiée. Toute autre information est facultative, sauf si nous vous expliquons pourquoi elle est nécessaire.

4. Destinataires

Hébergement. Le site et le service sont hébergés par OVH et Hetzner dans des centres de données situés dans l’Union européenne. Cette politique décrit le service que nous exploitons. Une instance Enterprise installée sur les propres machines d’un client est hébergée sous le contrôle de ce client, qui décide de la manière d’informer les personnes qui l’utilisent.

Réseau et sécurité. Chaque connexion au site, à l’application et à l’API passe par Cloudflare, qui protège le service contre les attaques. Pour cela, Cloudflare déchiffre chaque requête : il traite donc ce qu’elle contient pendant son transit, à savoir votre adresse, votre cookie de session, les clés d’API, ce que vous saisissez et les documents que vous envoyez. Il peut déposer son propre cookie de sécurité, strictement nécessaire. Cloudflare est établi aux États-Unis et agit dans le cadre de son avenant relatif au traitement des données, qui prévoit les garanties requises pour ce transfert.

Autres prestataires. Les autres prestataires qui nous aident à l’exploiter ne reçoivent que ce dont leur mission a besoin, avec des garanties appropriées.

Envoi des e-mails. Les e-mails que vous activez dans Paramètres › Alertes (après chaque mise à jour du corpus, résumé quotidien, bilan hebdomadaire, rapport mensuel) et les messages liés au compte, comme le code qui confirme une adresse e-mail, sont envoyés par un prestataire d’envoi d’e-mails. Il reçoit l’adresse du destinataire et le message. Les e-mails d’alerte ne partent que vers une adresse vérifiée.

Protection anti-robots à la connexion et sur le formulaire Demander un accès. Lorsque la protection anti-robots est activée, ces deux pages chargent Cloudflare Turnstile. Cloudflare traite alors des informations de connexion issues de votre navigateur et émet un jeton de vérification à usage unique, que notre serveur renvoie à Cloudflare avec votre adresse réseau pour le faire contrôler. Tant que la protection est désactivée, aucune de ces pages n’envoie de requête à Cloudflare.

Services d’information sur les paquets. Pour évaluer la santé de vos dépendances et effectuer la vérification d’une pull request, le service envoie des identifiants de paquets (écosystème, espace de noms, nom et version) à deps.dev et, pour les paquets npm et PyPI, aux registres npm et PyPI. Lorsque nous avons activé ce service, la vérification d’une pull request interroge aussi ReversingLabs sur les versions de paquets qu’elle n’a jamais vues. Ces requêtes ne transportent que des identifiants, jamais un SBOM entier ni du code source. Le nom d’un paquet privé peut toutefois révéler une information confidentielle : prévenez-nous avant de téléverser de tels noms si votre usage exige de restreindre ces requêtes.

Intégrations que vous configurez. Une intégration que vous connectez (Slack, Microsoft Teams, PagerDuty, Jira, ServiceNow, Splunk, Elastic, Microsoft Sentinel, GitHub ou GitLab) reçoit ce que vous lui envoyez : des alertes ou des tickets contenant des informations sur vos produits, des constats et des liens vers l’application. Rien de votre compte ne parvient à une intégration que vous n’avez pas configurée.

Assistants connectés. Un assistant d’IA connecté par MCP agit avec la clé d’API que vous lui confiez et ne peut faire que ce que cette clé permet. Le serveur MCP hébergé, mcp.vulnbeacon.com, reçoit votre clé avec chaque requête, ne l’utilise que pour cette requête et ne la conserve ni ne la journalise ; il journalise l’adresse réseau, la méthode, le chemin, le statut et la durée de chaque requête. Avant qu’une réponse ne parte vers l’assistant, les adresses e-mail et tout ce qui a la forme d’une clé VulnBeacon en sont retirés. Le fournisseur de l’assistant traite vos messages, les informations récupérées et les réponses selon ses propres conditions. Nous n’utilisons pas vos données pour entraîner des modèles d’IA.

Nos administrateurs. Pour exploiter le service et vous assister, nos administrateurs peuvent consulter les informations des comptes, les sessions, les métadonnées et l’usage des clés d’API, les enregistrements d’activité, ainsi qu’un résumé des produits de chaque compte : leurs noms, leurs versions et leurs dernières notes. Ils peuvent corriger les informations d’un compte, réinitialiser un mot de passe, créer une clé d’API ou ajuster la politique d’un compte, le bloquer, mettre fin à ses sessions et à ses clés, et le clôturer.

Personnes avec qui vous partagez un rapport. Toute personne qui détient un lien de partage, et son mot de passe si vous en avez défini un, peut ouvrir ce rapport jusqu’à l’expiration ou la révocation du lien. Une copie qu’elle télécharge reste en sa possession.

Obligations légales et opérations sur la société. Nous communiquons des informations lorsque la loi l’exige, ou lorsque cette communication est nécessaire et licite pour protéger des droits ou répondre à un abus. Une fusion, une acquisition ou une opération similaire peut impliquer un partage d’informations assorti de garanties de confidentialité et de protection des données, avec une information préalable lorsqu’elle est requise.

5. Transferts internationaux

Un hébergement dans l’Union européenne ne maintient pas tous les flux à l’intérieur de celle-ci. Les services cités à la section 4, les intégrations que vous connectez, le fournisseur d’un assistant et les dispositifs d’assistance peuvent impliquer un traitement hors de l’Espace économique européen.

Lorsque nous sommes responsables d’un transfert que le RGPD encadre, nous nous appuyons sur un mécanisme qu’il reconnaît, comme une décision d’adéquation ou des garanties contractuelles appropriées, complété par des mesures supplémentaires lorsqu’elles sont nécessaires.

Demandez-nous quelles destinations et quelles garanties s’appliquent à votre usage. Lorsque la loi vous en donne le droit, nous vous adresserons une copie de ces garanties, les éléments confidentiels retirés.

Un service que vous connectez vous-même relève de sa propre politique de confidentialité ; lisez-la avant de le connecter.

6. Cookies et stockage dans le navigateur

Le site public ne dépose aucun cookie qui lui soit propre et n’utilise aucun traceur publicitaire ou de mesure d’audience.

La connexion dépose un seul cookie, sid, qui porte votre session. Il est strictement nécessaire au service que vous avez demandé et ne requiert donc pas de consentement. Ses attributs le protègent :

• HttpOnly : les scripts de la page ne peuvent pas le lire.
• Secure : votre navigateur ne l’envoie que par HTTPS.
• SameSite=Lax : lorsqu’un autre site déclenche une requête vers nous, votre navigateur n’envoie le cookie que si vous avez suivi un lien.
• Path=/ : il vaut pour l’ensemble du site.

Une session prend fin après sept jours sans utilisation, et dans tous les cas 30 jours après votre connexion. La déconnexion y met fin immédiatement ; un changement de mot de passe, une révocation ou une mesure de sécurité peuvent l’interrompre plus tôt.

L’application conserve quelques préférences d’affichage dans le stockage local de votre navigateur : votre langue, votre thème et la densité des tableaux, l’affichage du graphique d’ancienneté face au SLA, les onglets et les étapes choisis dans la documentation, et un indicateur signalant qu’une session a existé, afin que la page de connexion puisse vous dire pourquoi vous avez été déconnecté. Ces valeurs restent dans votre navigateur ; votre langue est aussi enregistrée avec votre compte. Le stockage local ne contient jamais de mot de passe, de clé ni de jeton de session : le seul identifiant que l’application conserve dans votre navigateur est le cookie sid.

Effacer les données du site dans votre navigateur vous déconnecte et réinitialise ces préférences. Avant d’ajouter tout pistage facultatif, nous mettrons cet avis à jour et vous demanderons votre consentement lorsque la loi l’exige.

7. Durées de conservation

Nous ne conservons les informations que le temps nécessaire à leur finalité. Les durées qui s’appliquent sont les suivantes :

• Données de compte : conservées tant que votre compte existe. À la clôture d’un compte, le compte, ses sessions et ses clés, ainsi que ses produits et tout ce qui a été enregistré à leur sujet, sont supprimés. Les enregistrements d’audit qui nomment le compte subsistent jusqu’au terme de leur propre durée.
• Produits et SBOM : conservés jusqu’à ce que vous supprimiez le produit ou que le compte soit clôturé. Par défaut, chaque produit conserve ses dix générations de SBOM les plus récentes, ainsi que la plus récente dont l’analyse est terminée ; une génération plus ancienne est supprimée dès qu’une génération plus récente a été évaluée.
• Vérifications de pull request : le SBOM candidat et le résultat d’une vérification expirent 24 heures après celle-ci, puis sont supprimés. Une vérification ne modifie jamais l’inventaire du produit.
• Enregistrements d’audit et historiques : les enregistrements d’audit, ainsi que l’historique des changements et des correctifs des fiches de vulnérabilité, sont conservés 730 jours par défaut. Nos administrateurs peuvent fixer une durée de 30 à 3 650 jours, ou une conservation sans limite. La dernière entrée de changement et de correctif de chaque fiche est toujours conservée, car le service s’y compare. Les instantanés quotidiens de risque et de conformité de vos produits sont conservés 730 jours par défaut.
• Demandes d’accès : conservées 12 mois à compter de l’envoi, qu’elles aient reçu une réponse ou non, puis supprimées. Si nous créons votre compte, les informations de compte de la section 2 suivent leur propre durée. Vous pouvez nous demander d’effacer une demande plus tôt.
• Sessions : comme indiqué à la section 6.
• Limites de requêtes : les compteurs qui limitent les requêtes et les tentatives de connexion par adresse réseau ou par nom d’utilisateur couvrent des fenêtres d’une à quinze minutes, puis expirent.
• Codes envoyés par e-mail : un code qui confirme une adresse e-mail est valable 15 minutes, puis il est supprimé. L’enregistrement d’audit du changement suit la durée de conservation de l’audit.
• Liens de partage : un lien dure 7 jours sauf si vous choisissez une autre durée, 30 jours au plus, et vous pouvez le révoquer à tout moment. Son expiration ne supprime ni le rapport dans l’application ni une copie que quelqu’un a téléchargée.
• Clés d’API : une clé dure 90 jours sauf si vous choisissez une autre durée, 365 jours au plus. Une clé jamais utilisée cesse de fonctionner 30 jours après sa création. Une clé fournisseur dure 180 jours par défaut, 365 au plus, avec la même règle des 30 jours.
• Journaux d’accès des serveurs : conservés pendant une durée limitée, puis supprimés.
• Correspondance : conservée aussi longtemps que l’exigent l’affaire et ses suites, une obligation légale ou une réclamation.

La suppression d’informations dans le service ne les retire pas au même moment de nos sauvegardes. Les sauvegardes ne servent qu’à restaurer le service et sont remplacées selon leur propre cycle.

Demandez-nous les durées qui s’appliquent à votre compte.

8. Sécurité

Chaque compte n’accède qu’à ses propres produits, et les connexions au service sont chiffrées. Les mots de passe ne sont conservés que sous forme d’empreintes bcrypt ; les jetons de session, les clés d’API, les clés fournisseur et les jetons des liens de partage uniquement sous forme d’empreintes à sens unique, qui ne permettent pas de les relire ; les identifiants dont une intégration a besoin pour joindre un autre service sont chiffrés au repos. Après dix mots de passe erronés en quinze minutes, un lien de partage refuse toute tentative jusqu’à la fin de ces quinze minutes. Les événements de sécurité sont journalisés.

La sécurité dépend aussi de vous : protégez votre mot de passe et vos clés, examinez les intégrations que vous connectez et relisez un rapport avant de le partager.

Signalez un problème de sécurité présumé à contact@vulnbeacon.com ; la section 7 de nos conditions d’utilisation du site précise ce qu’un signalement doit contenir.

9. Vos droits

Selon la loi applicable et les circonstances, vous pouvez demander l’accès à vos données personnelles, leur rectification ou leur effacement, la limitation de leur traitement ou leur portabilité. Vous pouvez aussi vous opposer aux traitements fondés sur l’intérêt légitime.

Une grande partie de ces droits est déjà entre vos mains. Dans Paramètres › Profil, vous pouvez corriger votre nom, votre société et votre langue, changer votre adresse e-mail (la nouvelle adresse s’applique dès que vous saisissez le code qui lui est envoyé) et déconnecter vos autres sessions. Dans Paramètres › Clés d’API, vous pouvez révoquer une clé. Les pages de chaque produit vous permettent de télécharger son inventaire, ses constats et ses rapports, et de supprimer le produit.

Vous ne pouvez pas supprimer vous-même votre compte. Écrivez-nous, ou adressez-vous à l’administrateur qui vous a donné accès, et le compte est clôturé comme décrit à la section 7.

Si nous nous fondons un jour sur votre consentement, vous pourrez le retirer à tout moment ; ce retrait n’affecte pas ce qui a été fait auparavant.

Adressez vos demandes à contact@vulnbeacon.com. Nous pouvons vous demander des informations proportionnées pour vérifier votre identité ou comprendre votre demande. En vertu du RGPD, nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois ; lorsque la loi nous permet de prolonger ce délai, nous vous en indiquons les motifs dans le premier mois.

Ces droits ont des limites légales. Un enregistrement peut devoir être conservé pour respecter une obligation légale ou pour se défendre en justice, par exemple ; si une limite s’applique à votre demande, nous vous dirons laquelle.

Vous pouvez introduire une réclamation auprès de l’autorité de protection des données compétente, notamment dans le pays où vous résidez ou travaillez, ou dans celui où vous estimez que la violation a eu lieu. Vous n’êtes pas tenu de nous contacter au préalable.

10. Analyse automatisée

VulnBeacon compare automatiquement les composants aux fiches de vulnérabilité, calcule des notes et des scores de risque, et applique les règles de votre politique.

Ces résultats portent sur des logiciels et leurs publications, non sur des personnes. Le service ne prend aucune décision concernant une personne qui produise des effets juridiques ou des effets similaires significatifs, et ses scores ne doivent pas servir à prendre de telles décisions.

11. Enfants

VulnBeacon s’adresse aux personnes qui évaluent des logiciels et gèrent des informations de sécurité. Il n’est pas destiné aux enfants.

Si vous pensez qu’un enfant nous a fourni des données personnelles sans une autorisation exigée par la loi, prévenez-nous afin que nous puissions examiner la situation et agir.

12. Modifications du présent avis

Nous mettons cet avis à jour lorsque nos fonctionnalités, nos pratiques ou nos obligations légales évoluent, et la date indiquée en tête désigne la version en vigueur.

Avant qu’une modification importante ne prenne effet, nous vous en informons par des moyens appropriés et, lorsque la loi l’exige, recueillons votre consentement avant tout nouveau traitement.