Politique de confidentialité

Information prévue aux articles 13 et 14 du règlement (UE) 2016/679 (RGPD).

1. Deux rôles distincts, et pourquoi la distinction compte

Ce service traite des données personnelles à deux titres différents, et vos droits ne s'exercent pas au même endroit selon le cas.

Pour votre compte — adresse e-mail, nom, authentification — Creatics est responsable de traitement. C'est nous qui décidons de ce qui est collecté et pourquoi.

Pour le contenu que votre organisation dépose — nomenclatures, produits, incidents, journal d'audit — nous sommes sous-traitant : votre organisation décide, nous exécutons. Si vous êtes salarié d'une organisation cliente, adressez vos demandes relatives à ce contenu à votre employeur, qui en est responsable.

2. Ce qui est collecté

Votre compte

• Adresse e-mail et nom, que vous saisissez à l'inscription.
• Empreinte du mot de passe (Argon2id). Le mot de passe lui-même n'est jamais stocké ni lisible par nous.
• Secret de double authentification, chiffré au repos (AES-256-GCM), et empreintes de vos codes de secours.
• Langue d'interface et préférences de notification.
• Date de dernière connexion, nombre d'échecs consécutifs et verrouillage éventuel, nécessaires à la protection du compte.

Journal d'audit

Chaque action significative dans une organisation est consignée avec son auteur, son horodatage, l'adresse IP et l'agent utilisateur de la requête. Ce journal est en ajout seul et chaîné par empreinte : il ne peut être ni modifié ni effacé ligne à ligne, par construction. C'est ce qui lui donne sa valeur probante, et c'est aussi ce qui limite votre droit à l'effacement (voir § 6).

Contenu déposé par votre organisation

Nomenclatures logicielles conservées octet pour octet, produits, versions, constats de vulnérabilité, décisions de tri, incidents et rapports. Ces documents peuvent contenir des données personnelles si vous en saisissez — un nom de contact dans un rapport, par exemple. Nous ne les analysons pas.

Ce qui n'est pas collecté

• Aucun cookie publicitaire, aucun traceur, aucune mesure d'audience tierce. Le seul cookie déposé est celui de votre session, strictement nécessaire au fonctionnement : il ne requiert pas de consentement.
• Aucune ressource externe n'est chargée par les pages — ni police, ni script, ni image venant d'un tiers. Votre navigateur ne contacte que ce service.

3. Pourquoi, et sur quelle base

• Fournir le service et votre accès — exécution du contrat, art. 6(1)(b).
• Sécuriser les comptes : double authentification, verrouillage après échecs, limitation de débit — intérêt légitime, art. 6(1)(f), et art. 32 pour la sécurité du traitement.
• Tenir le journal d'audit comme élément de preuve de conformité — exécution du contrat, et pour nos clients conformité au règlement (UE) 2024/2847.
• Vous alerter : vulnérabilités, échéances d'incident — exécution du contrat, c'est l'objet même du service.
• Facturation et obligations comptables — obligation légale, art. 6(1)(c).

4. Qui y a accès

Nos équipes

Un opérateur de la plateforme ne voit, par défaut, que des métadonnées : nombre de produits, offre, dates. Aucune nomenclature, aucun constat, aucun incident d'un client ne lui est lisible.

Accéder au contenu d'une organisation exige que cette organisation accorde elle-même un accès, nominatif, motivé, d'une durée maximale de 72 heures, révocable à tout moment, et inscrit à son journal d'audit. Nous ne pouvons pas nous l'octroyer.

Sous-traitants

• Infomaniak Network SA — hébergement et envoi des courriels. Données situées en Suisse, pays couvert par une décision d'adéquation de la Commission européenne : le transfert est licite sans garantie complémentaire.

Aucune donnée n'est transmise à des fins publicitaires, ni vendue, ni échangée.

Sources externes consultées

Pour détecter les vulnérabilités, le service interroge des catalogues publics : OSV.dev, CISA KEV, NVD. Il leur transmet des noms de paquets présents dans vos nomenclatures, jamais votre identité ni celle de votre organisation. Ces requêtes partent de notre serveur, pas de votre navigateur.

5. Combien de temps

• Compte et données d'authentification : tant que le compte existe.
• Contenu de conformité (nomenclatures, incidents, journal d'audit) : durée paramétrable par l'organisation, dix ans par défaut.
• Journal d'audit après suppression d'une organisation : supprimé avec elle.
• Compteurs de limitation de débit : quelques heures.

La durée de dix ans n'est pas une rétention de confort : elle correspond à la période pendant laquelle les preuves exigées par le règlement peuvent être réclamées. Elle est réductible dans les paramètres de votre organisation.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (art. 15 à 22 RGPD). Pour les exercer : contact@creatics.fr.

Accès et portabilité s'exercent directement : l'export du dossier de contrôle produit une archive complète et vérifiable de ce que votre organisation détient, lisible sans notre outil.

Rectification : votre nom et votre adresse se modifient depuis votre page de compte. Nos équipes n'y touchent jamais — modifier une adresse e-mail serait une prise de contrôle de compte en deux étapes.

Effacement, et sa limite. Vos données de compte sont supprimables. En revanche, les entrées du journal d'audit ne sont pas effaçables : elles sont chaînées par empreinte, et en retirer une romprait la chaîne pour toute l'organisation, c'est-à-dire détruirait la preuve de conformité d'un tiers. À la suppression d'un compte, l'identité est donc anonymisée plutôt que retirée : les entrées subsistent, mais plus rien ne permet de remonter à la personne. L'article 17(3) du RGPD prévoit cette limite lorsque le traitement est nécessaire au respect d'une obligation légale ou à la constatation d'un droit.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75007 Paris — www.cnil.fr.

7. Sécurité

• Mots de passe hachés en Argon2id, paramètres OWASP ; politique NIST, douze caractères minimum.
• Double authentification obligatoire pour les rôles propriétaire et administrateur.
• Isolation stricte entre organisations, vérifiée à chaque accès et couverte par des tests dédiés.
• Chiffrement des secrets au repos, TLS en transit.
• Politique de sécurité de contenu stricte, sans script en ligne non signé.
• Journal d'audit en ajout seul, chaîné par empreinte SHA-256.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions la CNIL dans les 72 heures et vous informons sans délai lorsque le risque est élevé (art. 33 et 34 RGPD).

8. Modifications

Toute évolution de cette politique est publiée sur cette page. Un changement substantiel — nouveau sous-traitant, nouvelle finalité, nouvelle durée — vous est signalé par courriel avant son entrée en vigueur.