Politique de confidentialité

Cette politique explique quelles données personnelles HackGrade collecte, pourquoi, qui les reçoit, combien de temps nous les conservons et quels sont vos droits. Elle couvre le site hackgrade.com, votre compte HackGrade, nos analyses et rapports, le chat d’assistance et nos e-mails. Elle est rédigée pour respecter la loi israélienne de 1981 sur la protection de la vie privée (modifiée par l’amendement 13), le RGPD de l’UE et du Royaume-Uni et le California Consumer Privacy Act (CCPA) et, pour la connexion avec Google, la Règle sur les données utilisateur des services d’API Google.

1. Qui sommes-nous

HackGrade (hackgrade.com) est un service d’analyse de la sécurité des sites web exploité depuis Israël. HackGrade est le responsable du traitement de vos données personnelles. Pour toute question ou demande relative à la vie privée, écrivez à support@hackgrade.com.

2. Ce que nous collectons

• Données de compte : votre adresse e-mail, une empreinte (hash) de votre mot de passe si vous en définissez un (jamais le mot de passe lui-même), votre langue, votre offre et la date à laquelle vous avez confirmé votre e-mail et accepté nos Conditions.
• Connexion avec Google ou GitHub : si vous la choisissez, uniquement votre adresse e-mail et l’identifiant de compte que le fournisseur vous attribue. La section 3 explique précisément ce que nous recevons et comment nous l’utilisons.
• Sites et vérification : les domaines que vous ajoutez, la méthode et le jeton de vérification, et les résultats de nos contrôles périodiques de propriété.
• Autorisations d’analyse : pour chaque Autorisation d’analyse que vous acceptez, nous enregistrons le site, la date et l’heure, la version et une empreinte (hash) du texte exact que vous avez vu, votre langue, votre adresse IP et l’agent utilisateur de votre navigateur. C’est notre preuve que l’analyse était autorisée.
• Sites analysés, résultats et rapports : les adresses des sites que vous analysez, ce que nos analyses y ont trouvé, l’historique des analyses, les notes et les rapports PDF. Ils peuvent contenir de courts extraits des pages de votre site (par exemple un en-tête ou un message d’erreur) à titre de preuve. Nous masquons les secrets et les données personnelles que nous repérons dans ces extraits.
• Identifiants du compte de test (facultatif) : si vous nous fournissez un compte de test pour les analyses authentifiées, nous conservons son identifiant et son mot de passe chiffrés (Fernet, AES-128 avec contrôle d’intégrité HMAC). Ils ne sont déchiffrés qu’en mémoire pendant une analyse, ne sont jamais réaffichés ni écrits dans les journaux, et sont supprimés automatiquement après 90 jours sans utilisation, ou immédiatement lorsque vous les retirez.
• Image de marque (offres agence) : le nom et le logo de l’agence que vous téléversez pour les rapports en marque blanche.
• Analyses gratuites : l’adresse du site que vous saisissez et les résultats. Nous conservons une empreinte salée de votre adresse IP (pas l’adresse elle-même) pour prévenir les abus.
• Journaux de sécurité et d’utilisation : les sessions de connexion (avec une IP hachée et le type de navigateur), les compteurs de limitation de débit et les journaux d’accès de notre serveur web, qui enregistrent votre adresse IP, votre navigateur, la page demandée et l’heure.
• Paiements : gérés par nos prestataires de paiement. Nous ne recevons que l’offre, le montant, le statut du paiement et une référence client, jamais votre numéro de carte complet.
• Messages : ce que vous nous envoyez par e-mail, par exemple à support@hackgrade.com.
• Chat d’assistance : l’adresse e-mail que vous indiquez avant de discuter (nous ne demandons pas votre nom), vos messages et nos réponses (de Grady, notre assistant IA, ou d’une personne de l’équipe), la page depuis laquelle vous écrivez, votre langue, une IP hachée et le pouce levé ou baissé que vous donnez à une réponse. Si vous êtes connecté, la conversation est liée à votre compte et Grady peut utiliser votre offre, sa date de renouvellement, vos sites, leurs notes et les principaux problèmes détectés pour vous répondre. Quand vous quittez le chat, nous vous envoyons une copie de la conversation par e-mail.
• Consentement marketing (facultatif) : si vous cochez la case pour recevoir des conseils de sécurité et des offres, nous enregistrons votre e-mail, l’heure, le texte exact affiché et sa version, votre langue, l’endroit où vous avez donné votre accord et une IP hachée. Tant que vous êtes abonné, nous pouvons aussi noter que vous avez consulté une offre ou commencé un paiement, afin de vous relancer. Nous n’enregistrons rien de tel pour les personnes non abonnées.
• Cookies : voir la section 10.

La fourniture de ces données est facultative, mais sans adresse e-mail (avec un mot de passe, un lien de connexion ou un fournisseur de connexion) nous ne pouvons pas ouvrir de compte, sans vérification ni autorisation nous ne pouvons pas réaliser d’analyses approfondies, et sans paiement nous ne pouvons pas fournir d’offres payantes.

3. Connexion avec Google (et d’autres fournisseurs)

Vous pouvez créer votre compte HackGrade et vous connecter avec votre compte Google plutôt qu’avec un mot de passe. Cette section explique précisément ce que deviennent les données que nous recevons de Google.

Ce que nous recevons. Nous demandons à Google uniquement les autorisations (scopes) « openid » et « email ». De Google, nous recevons et conservons uniquement votre adresse e-mail, l’indication que Google l’a vérifiée ou non, et l’identifiant de votre compte Google (un numéro qui identifie votre compte Google auprès de nous). Nous ne demandons ni ne recevons votre nom, votre photo de profil, vos contacts, votre agenda, vos fichiers Google Drive, vos messages Gmail ni aucune autre donnée Google, et nous n’avons aucun autre accès à votre compte Google. Nous ne conservons pas les jetons émis par Google lors de la connexion : nous les utilisons une seule fois pour confirmer votre identité, puis nous les supprimons.

Pourquoi nous l’utilisons. Uniquement pour créer votre compte HackGrade, vous connecter, garder votre compte lié à votre compte Google et vous envoyer à cette adresse les e-mails liés à votre compte (alertes de sécurité, résultats d’analyse, avis de facturation, etc.). Nous ne l’utilisons à aucune autre fin.

Comment nous la conservons et la protégeons. Votre adresse e-mail et l’identifiant de votre compte Google sont enregistrés dans notre base de données de comptes, sur nos serveurs. Toutes les données circulent par des connexions chiffrées (HTTPS avec TLS 1.2 ou plus récent), la connexion est protégée par PKCE et un état à usage unique, et nous vérifions la signature du jeton d’identité de Google avant de nous y fier. L’accès à la base de données est limité aux systèmes de HackGrade et aux membres de l’équipe qui en ont besoin pour faire fonctionner le Service.

Partage. Nous ne vendons pas les données reçues de Google et ne les partageons avec personne, sauf avec nos prestataires d’hébergement et d’e-mail indiqués à la section 5, uniquement dans la mesure nécessaire pour gérer votre compte et vous envoyer ses e-mails, ou lorsque la loi l’exige. Nous ne les utilisons jamais à des fins publicitaires, nous ne les envoyons jamais au fournisseur d’IA de Grady ni à aucun autre service d’IA, et nous ne les utilisons pas pour développer, améliorer ou entraîner des modèles d’IA ou d’apprentissage automatique. Personne ne les consulte, sauf si vous nous le demandez, si c’est nécessaire pour enquêter sur un problème de sécurité ou un abus, ou si la loi l’exige.

Conservation et suppression. Nous conservons ces données tant que votre compte est ouvert. Lorsque vous supprimez votre compte dans les paramètres du compte, votre adresse e-mail et l’identifiant de votre compte Google sont supprimés immédiatement de nos systèmes actifs, et les sauvegardes sont écrasées sous 30 jours. Une connexion commencée mais non terminée est supprimée au bout de 30 minutes. Vous pouvez aussi nous demander de supprimer vos données en écrivant à support@hackgrade.com. Vous pouvez révoquer à tout moment l’accès de HackGrade à votre compte Google sur myaccount.google.com/permissions ; cela empêche la connexion avec Google mais ne supprime pas votre compte HackGrade : si vous souhaitez aussi le supprimer, faites-le depuis votre compte ou écrivez-nous.

Utilisation limitée. L’utilisation et le transfert par HackGrade des informations reçues des API Google respectent la Règle sur les données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée (Limited Use). HackGrade's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

Autres fournisseurs. La connexion avec GitHub fonctionne de la même façon : nous ne conservons que votre identifiant utilisateur GitHub et votre adresse e-mail principale vérifiée, et nous ne les utilisons que pour créer votre compte et vous connecter. Les autorisations de GitHub (« read:user » et « user:email ») nous montrent aussi votre profil public, mais nous ne l’enregistrons pas. Si nous ajoutons un autre fournisseur de connexion, nous l’indiquerons ici au préalable.

4. Finalités et bases juridiques

• Pour fournir le Service que vous avez demandé : comptes et connexion, analyses, rapports, surveillance et alertes (exécution de notre contrat avec vous).
• Garantir que seules des personnes autorisées analysent un site, conserver la preuve de l’autorisation et prévenir la fraude et les abus (notre intérêt légitime à exercer notre activité de manière licite et sûre, et nos obligations légales).
• Vous facturer et tenir notre comptabilité (contrat et obligation légale).
• Pour envoyer des e-mails de service, comme les codes et liens de connexion, la vérification, les alertes de sécurité, les résultats d’analyse et les rappels de renouvellement (contrat). Nous n’envoyons d’e-mails marketing que si vous y avez consenti, et vous pouvez vous désabonner à tout moment.
• Pour assurer la sécurité du Service et de votre compte, à l’aide des enregistrements de connexion et des journaux du serveur (intérêt légitime).
• Améliorer le Service grâce à des statistiques anonymes et agrégées (intérêt légitime).
• Répondre à vos questions d’assistance dans le chat et par e-mail (contrat, ou notre intérêt légitime à aider les visiteurs) et, seulement si vous l’avez accepté, vous envoyer des conseils de sécurité et des offres (consentement, que vous pouvez retirer à tout moment via le lien de désinscription ou dans les paramètres du compte).

Lors de la création d’un compte, nous vous demandons de confirmer que vous avez lu cette politique. Cette confirmation atteste que nous vous avons informé ; ce n’est pas un consentement au traitement. Nous nous fondons sur la base juridique indiquée ci-dessus pour chaque finalité et, lorsque cette base est le consentement (e-mails marketing), nous le demandons séparément, avec sa propre case non cochée. Lorsque le droit israélien exige un consentement pour l’une des finalités ci-dessus, vous le donnez en utilisant le Service après avoir été informé par cette politique, et vous pouvez le retirer à tout moment en supprimant votre compte. Nous ne vendons pas vos données personnelles, nous ne les « partageons » pas à des fins de publicité comportementale intercontextuelle, nous ne les utilisons pas pour entraîner des modèles d’IA et nous ne les utilisons pas pour des décisions automatisées produisant des effets juridiques à votre égard.

5. Destinataires de vos données

Nous faisons appel à un petit nombre de prestataires (« sous-traitants ») qui agissent uniquement sur nos instructions et dans le cadre de contrats protégeant vos données :

• Hébergement : Contabo, qui héberge nos serveurs, notre base de données et notre infrastructure d’analyse.
• Envoi des e-mails : Resend, qui délivre nos e-mails de compte, de connexion et d’alerte.
• E-mails entrants : Cloudflare, qui reçoit les e-mails que vous envoyez à support@hackgrade.com et les transfère à notre équipe d’assistance.
• Assistant IA : OpenAI, qui génère les réponses de Grady dans le chat d’assistance. OpenAI reçoit vos messages du chat et, si vous êtes connecté, les informations de compte indiquées à la section 2 (votre offre, la date de renouvellement, vos sites, vos notes et vos principaux résultats, mais pas votre adresse e-mail), uniquement pour produire la réponse. Merci de ne pas partager de mots de passe ni de numéros de carte dans le chat.
• Paiements : lorsque vous achetez une offre payante, nos prestataires de paiement Grow (Meshulam) et Paddle. Paddle agit en tant que revendeur et est responsable de traitement indépendant pour les données de paiement qu’il collecte.

Si vous vous connectez avec Google ou GitHub, ce fournisseur nous confirme votre identité selon sa propre politique de confidentialité ; nous ne lui envoyons rien sur votre utilisation de HackGrade.

Nous pouvons aussi communiquer des données lorsque la loi l’exige, pour protéger des personnes ou notre Service contre un préjudice, ou au propriétaire ou à l’hébergeur d’un site analysé sans autorisation. En cas de cession ou de fusion de notre activité, vos données peuvent être transférées au nouveau propriétaire dans le cadre de cette politique.

6. Transferts internationaux

Nous sommes établis en Israël, que la Commission européenne reconnaît comme offrant un niveau de protection adéquat. Nos serveurs sont situés dans l’UE, et nos prestataires peuvent traiter des données dans l’UE, aux États-Unis ou dans d’autres pays. Lorsque des données quittent Israël, l’UE ou le Royaume-Uni, nous nous appuyons sur des décisions d’adéquation ou des clauses contractuelles types et sur les garanties de nos prestataires.

7. Durées de conservation

• Compte, identités de connexion (Google ou GitHub), sites, historique des analyses et rapports : tant que votre compte est ouvert. Lorsque vous supprimez votre compte, nous les supprimons immédiatement de nos systèmes actifs ; les sauvegardes sont écrasées sous 30 jours.
• Enregistrements des autorisations d’analyse : tant que votre compte est ouvert. Lorsque vous supprimez votre compte, nous en retirons l’adresse IP et le navigateur et conservons le reste (site, date et heure, version et empreinte du texte) pendant 7 ans au plus, comme preuve que les analyses étaient autorisées, puis nous les supprimons. Base juridique : notre intérêt légitime à constater, exercer et défendre des droits en justice.
• Identifiants du compte de test : jusqu’à 90 jours après la dernière utilisation, ou jusqu’à ce que vous les retiriez.
• Résultats des analyses gratuites : jusqu’à 12 mois.
• Sessions : jusqu’à 14 jours. Connexions non terminées : 30 minutes. Compteurs de limitation de débit et de connexion : jusqu’à 30 jours.
• Journaux d’accès du serveur web : jusqu’à 14 jours.
• Copies des e-mails que nous vous envoyons : jusqu’à 90 jours.
• Inscriptions à la liste d’attente : jusqu’à ce que nous vous ayons informé du lancement, ou plus tôt si vous nous demandez de vous retirer.
• Données de paiement et factures : aussi longtemps que l’exige le droit fiscal et comptable (en Israël, en général 7 ans).
• Preuves pour les remboursements et litiges de paiement (acceptations lors du paiement, confirmations d’ouverture de rapport complet et identifiant de l’e-mail de confirmation, heures de consultation du rapport complet et de téléchargement du PDF, avec adresse IP et navigateur) : au moins 18 mois, même si vous supprimez votre compte, puis supprimées. Base légale : notre intérêt légitime à traiter les remboursements et rétrofacturations.
• Conversations du chat d’assistance : supprimées automatiquement 180 jours après le dernier message. Vous pouvez supprimer une conversation plus tôt dans les paramètres du compte, et vos conversations liées sont supprimées avec votre compte.
• Consentement marketing : tant que vous êtes abonné. Après votre désinscription, nous ne gardons que votre e-mail, la preuve du consentement et la date de désinscription, pour prouver le consentement et ne plus jamais vous envoyer de marketing. Notes de suivi des offres et des paiements : jusqu’à 90 jours.

8. Sécurité

Nous protégeons les données par le chiffrement en transit (TLS 1.2+), le chiffrement au repos des identifiants de comptes de test, le hachage des mots de passe et des adresses IP, une base de données accessible uniquement à nos propres systèmes et aux membres autorisés de l’équipe, des contrôles d’accès stricts, une Content Security Policy stricte et des tests de sécurité réguliers de notre propre plateforme. En cas d’incident de sécurité affectant vos données personnelles, nous vous en informerons, ainsi que les autorités compétentes, comme la loi l’exige.

9. Vos droits

Selon votre lieu de résidence, vous pouvez nous demander : d’accéder aux données que nous détenons sur vous et d’en obtenir une copie ; de les rectifier ; de les effacer ; de limiter certains usages ou de vous y opposer ; de les recevoir dans un format portable (portabilité) ; et de retirer votre consentement. Les résidents de Californie peuvent aussi exercer leur droit de savoir et leur droit à la suppression, sans subir de discrimination pour l’exercice de leurs droits. Vous pouvez supprimer votre compte vous-même dans les paramètres du compte. Si vous n’avez pas de compte (par exemple si vous avez seulement utilisé le chat d’assistance, la liste d’attente ou nos e-mails), vous pouvez supprimer ces données sur notre page Supprimer mes données. Pour toute autre demande, écrivez à support@hackgrade.com. Nous répondons dans un délai d’un mois et pouvons avoir besoin de vérifier votre identité. Vous pouvez aussi déposer une plainte auprès de l’Autorité israélienne de protection de la vie privée ou, dans l’UE ou au Royaume-Uni, auprès de votre autorité locale de protection des données.

10. Cookies

Nous n’utilisons que des cookies strictement nécessaires au Service : un cookie de session de connexion et un cookie de sécurité (CSRF), valables au plus 14 jours ; des cookies de courte durée qui protègent une connexion en cours (jusqu’à 30 minutes) ; et, après la confirmation d’un code de connexion, un cookie de sécurité qui signale ce navigateur comme un navigateur où vous avez prouvé l’accès à votre adresse e-mail, pendant 30 jours. Il ne vous maintient pas connecté : il fait partie de la sécurité de connexion, qui demande un code sur les navigateurs qu’elle ne reconnaît pas ; il est donc strictement nécessaire. Si vous le supprimez, nous vous demanderons simplement un code à votre prochaine connexion. Si vous utilisez le chat d’assistance, nous utilisons aussi un cookie strictement nécessaire pour que vous puissiez reprendre la conversation ; il expire au plus tard au bout de 180 jours. Votre choix de langue est conservé dans le stockage local de votre navigateur. Nous n’utilisons pas de cookies publicitaires ou de mesure d’audience et ne chargeons ni traceurs ni polices de tiers. Voir notre Avis relatif aux cookies.

11. Mineurs

HackGrade ne s’adresse pas aux personnes de moins de 18 ans et nous ne collectons pas sciemment leurs données. Si vous pensez qu’un mineur nous a communiqué des données personnelles, écrivez à support@hackgrade.com et nous les supprimerons.

12. Modifications

Nous publierons toute modification ici avec une nouvelle version et une nouvelle date et, si elle est importante, nous vous en informerons par e-mail avant son entrée en vigueur.

13. Contact

Pour toute question sur cette politique ou sur vos données, ou pour exercer vos droits, écrivez à support@hackgrade.com.