Politique de confidentialité

Qui nous sommes

Cette politique explique comment VEYNC (« VEYNC », « nous ») traite les données personnelles dans le cadre de Veync : le site veync.com, la plateforme de validation cyber par IA Veync et les services associés que nous fournissons. VEYNC est une société de droit de l'État du Delaware (États-Unis) dont l'établissement principal en Europe est situé Tour First, 1 Place des Saisons, 92400 Courbevoie — Paris La Défense, France.

Pour les données personnelles collectées via ce site, lors des demandes et des échanges commerciaux, et pour la gestion des comptes clients, VEYNC est le responsable de traitement. Les questions sur cette politique et les demandes d'exercice de vos droits sont à adresser à [email protected].

Lorsqu'un client utilise la plateforme Veync pour valider son propre environnement, les données personnelles contenues dans ses systèmes, ses journaux ou les preuves d'engagement sont traitées pour son compte. Le client est alors responsable de traitement et VEYNC agit comme sous-traitant, en vertu du contrat client et de son accord de traitement des données (DPA) ; les demandes portant sur ces données doivent être adressées au client.

Nous n'avons pas désigné de délégué à la protection des données, faute d'obligation légale en ce sens. Notre équipe chargée de la confidentialité est joignable à [email protected].

Champ de cette politique

Cette politique concerne les visiteurs de veync.com, les personnes qui nous contactent ou demandent une session de validation, les contacts professionnels de nos clients, prospects, partenaires et fournisseurs, les utilisateurs autorisés de la plateforme Veync, et les chercheurs en sécurité qui nous signalent des vulnérabilités. Elle ne couvre pas les sites tiers accessibles depuis ce site, qui disposent de leurs propres politiques.

Veync est un service destiné aux professionnels. Nous ne le proposons pas aux consommateurs.

Les données que nous collectons

Les informations que vous nous transmettez. Lorsque vous nous écrivez ou utilisez le formulaire de demande, nous recevons les informations que vous choisissez de fournir : en général votre nom, votre adresse e-mail professionnelle, votre organisation, votre fonction, la taille de votre organisation, votre région, les domaines d'intérêt sélectionnés et votre message. Le formulaire de ce site ne transmet aucune donnée à un serveur : il ouvre un e-mail prérempli dans votre propre messagerie, et nous ne recevons la demande que si vous envoyez cet e-mail.

Les informations de compte et de contrat. Pour nos clients et leurs utilisateurs autorisés, nous traitons les coordonnées professionnelles, les identifiants et rôles d'accès, les contacts de facturation et les factures, ainsi que les échanges qui constituent la relation commerciale.

L'utilisation de la plateforme et la télémétrie de sécurité. Lorsque des utilisateurs autorisés accèdent à la plateforme Veync, nous enregistrons les connexions, les adresses IP, les informations sur le navigateur et l'appareil, les actions effectuées dans la console et les appels d'API. Ces journaux d'audit sont une mesure de sécurité : ils indiquent qui a autorisé, lancé, suspendu ou arrêté chaque engagement.

Les preuves d'engagement. Les engagements de validation produisent des preuves telles que les actions exécutées, les réponses des systèmes testés et les constats qui en résultent. Ces preuves peuvent contenir de manière incidente des données personnelles présentes dans l'environnement du client. Elles ne sont traitées que dans le périmètre convenu, sur instruction du client, en vertu du contrat client et du DPA.

Les journaux du site et du serveur. Les requêtes vers veync.com transitent par notre réseau de diffusion de contenu (CDN) puis atteignent notre serveur web, qui conservent tous deux des journaux techniques comprenant les adresses IP, les pages demandées, l'heure de la requête, la page de provenance et l'agent utilisateur du navigateur. Nous utilisons ces journaux pour assurer la disponibilité du site et pour détecter les abus et enquêter à leur sujet. Nous n'utilisons aucune mesure d'audience sur ce site.

Les signalements de sécurité. Si vous nous signalez une vulnérabilité, nous conservons votre signalement, vos coordonnées et nos échanges afin de vérifier et corriger le problème et, si vous l'acceptez, de vous en attribuer le mérite.

Comment nous utilisons les données personnelles

Nous utilisons les données personnelles pour répondre aux demandes et organiser les sessions de validation ; fournir, sécuriser, maintenir et assister la plateforme Veync ; cadrer, autoriser, exécuter et restituer les engagements de validation ; gérer les comptes, les contrats, la facturation et les paiements ; envoyer des notifications de service et de sécurité ; protéger nos systèmes, nos utilisateurs et le public contre la fraude, les abus et les tests non autorisés ; améliorer la plateforme à partir de données d'usage agrégées et dépersonnalisées ; et respecter nos obligations légales et faire appliquer nos contrats.

Nous ne vendons pas de données personnelles, nous ne les utilisons pas à des fins de publicité ciblée, et nous n'utilisons les preuves d'engagement d'un client à aucune autre fin que la fourniture des services à ce client.

Bases légales du traitement (EEE et Royaume-Uni)

Lorsque le RGPD ou le RGPD britannique s'applique, nous nous fondons sur les bases légales suivantes. L'exécution d'un contrat : pour fournir la plateforme et les services à nos clients, et pour prendre, à votre demande, des mesures préalables à la conclusion d'un contrat. L'intérêt légitime : pour répondre aux demandes professionnelles, sécuriser nos systèmes et ce site, prévenir les abus et développer nos services, lorsque ces intérêts ne sont pas supplantés par vos droits. Le consentement : lorsque nous le sollicitons, et vous pouvez le retirer à tout moment. L'obligation légale : pour la tenue des registres comptables et fiscaux et pour répondre aux demandes légitimes des autorités publiques.

Comment nous partageons les données personnelles

Nous ne partageons les données personnelles qu'avec des prestataires qui les traitent pour notre compte en vertu de contrats écrits, listés dans le tableau des sous-traitants ci-dessous ; avec des conseils professionnels, tels que des auditeurs et des avocats, tenus à la confidentialité ; avec les autorités publiques lorsque la loi nous y oblige ou lorsque cela est nécessaire pour protéger nos droits, nos utilisateurs ou le public ; et avec un successeur en cas de fusion, d'acquisition ou de cession d'actifs, avec des garanties équivalentes.

Les preuves d'engagement d'un client ne sont jamais partagées avec un autre client. Les constats portant sur des produits tiers sont traités par divulgation coordonnée, sans exposer les données du client.

Transferts internationaux de données

VEYNC est établie aux États-Unis, où sont situés les serveurs qui hébergent ce site et notre messagerie. Notre réseau de diffusion de contenu opère à l'échelle mondiale. Les données personnelles provenant de l'EEE, du Royaume-Uni ou de Suisse peuvent donc être transférées et traitées aux États-Unis et dans d'autres pays.

Pour ces transferts, nous nous appuyons sur les clauses contractuelles types de la Commission européenne, complétées de l'avenant britannique le cas échéant, ou sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le destinataire est certifié, ainsi que sur des mesures supplémentaires comme le chiffrement en transit. Vous pouvez obtenir une copie des garanties applicables en écrivant à [email protected].

Les preuves d'engagement des clients sont stockées par défaut dans une région de l'UE, ou dans une autre région convenue dans le contrat client.

Durée de conservation

Les demandes qui n'aboutissent pas à une relation commerciale sont supprimées dans un délai de vingt-quatre mois après notre dernier échange. Celles qui y aboutissent intègrent le dossier client et sont conservées pendant toute la durée de la relation.

Les données de compte, de contrat et de facturation des clients sont conservées pendant la durée du contrat, puis aussi longtemps que l'exigent les règles comptables et fiscales. Les journaux d'audit de la plateforme et les preuves d'engagement sont conservés et supprimés conformément au contrat client et au DPA.

Les journaux du serveur web et du réseau de diffusion de contenu sont conservés trente jours au plus, sauf si un enregistrement précis est nécessaire plus longtemps pour enquêter sur un incident de sécurité.

Vous pouvez nous demander de supprimer vos données plus tôt, et nous le ferons, sauf obligation légale de les conserver.

Comment nous protégeons les données personnelles

Nous protégeons les données personnelles par des mesures administratives, techniques et physiques adaptées au risque, notamment le chiffrement en transit, un accès limité aux personnes qui en ont besoin, l'authentification multifacteur pour les accès d'administration, la journalisation et la surveillance, et des tests réguliers de nos propres systèmes avec la même rigueur que pour nos clients.

Aucune méthode de transmission ou de stockage n'est parfaitement sûre. En cas de violation de données personnelles, nous informons les clients, les personnes et les autorités de contrôle concernés dans les conditions prévues par la loi.

Vos droits au titre du RGPD et du RGPD britannique

Si vous vous trouvez dans l'Espace économique européen, au Royaume-Uni ou en Suisse, vous disposez d'un droit d'accès aux données personnelles que nous détenons à votre sujet ; d'un droit de rectification des données inexactes ; d'un droit à l'effacement ; d'un droit à la limitation du traitement ; d'un droit à la portabilité ; d'un droit d'opposition au traitement fondé sur notre intérêt légitime ; et, lorsque le traitement repose sur votre consentement, du droit de le retirer à tout moment, sans remettre en cause le traitement antérieur.

Nous ne prenons aucune décision produisant des effets juridiques ou des effets similaires significatifs à votre égard sur le seul fondement d'un traitement automatisé.

Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle. Les modalités figurent dans la section Réclamations, à la fin de cette politique.

Vos droits en tant que résident de Californie (CCPA/CPRA)

Si vous résidez en Californie, le California Consumer Privacy Act, modifié par le California Privacy Rights Act, vous donne le droit de savoir quelles informations personnelles nous collectons, utilisons et communiquons ; d'en demander la suppression ; d'en demander la correction lorsqu'elles sont inexactes ; de vous opposer à leur vente ou à leur partage ; de limiter l'utilisation de vos informations personnelles sensibles ; et de ne subir aucune discrimination pour avoir exercé ces droits.

Au cours des douze derniers mois, nous avons collecté les catégories d'informations personnelles décrites dans cette politique : identifiants et coordonnées, informations professionnelles, activité internet et réseau, et contenu de vos échanges avec nous. Nous les recueillons auprès de vous, de votre organisation et de votre utilisation de nos services, et nous les utilisons aux fins professionnelles décrites ci-dessus.

Nous ne vendons pas d'informations personnelles, nous ne les partageons pas à des fins de publicité comportementale intercontextuelle, et nous n'utilisons ni ne communiquons d'informations personnelles sensibles à des fins ouvrant un droit de limitation. Vous pouvez mandater un agent autorisé pour présenter une demande en votre nom ; nous lui demanderons la preuve de son mandat. Nous répondons aux demandes vérifiables dans un délai de 45 jours.

Comment exercer vos droits

Pour exercer l'un de ces droits, écrivez à [email protected]. Nous répondons dans un délai d'un mois au titre du RGPD, ou de 45 jours au titre du CCPA, et nous vous indiquons si ce délai doit être prolongé et pourquoi. Une demande est gratuite, sauf si elle est manifestement infondée ou excessive.

Nous ne vous demandons de confirmer votre identité que lorsque nous ne pouvons pas l'établir autrement, et nous n'utilisons jamais cette étape pour retarder une demande. Si votre demande porte sur des données que nous traitons pour le compte d'un client, nous la transmettons à ce client et l'aidons à y répondre.

Enfants

Veync est un service professionnel qui ne s'adresse pas aux enfants. Nous ne collectons sciemment aucune donnée personnelle concernant des personnes de moins de 16 ans. Si vous pensez qu'un enfant nous a transmis des données personnelles, écrivez à [email protected] et nous les supprimerons.

Modifications de cette politique

Nous pouvons mettre à jour cette politique en fonction de l'évolution de nos services ou de nos obligations légales. La date en haut de cette page indique sa dernière mise à jour, et nous informons nos clients à l'avance de toute modification substantielle, par e-mail ou dans la plateforme.

Droit applicable

Cette politique, ainsi que toute question non contractuelle qui en découle, est régie par le droit de l'État du Delaware (États-Unis), sans égard à ses règles de conflit de lois, et les juridictions de l'État et les juridictions fédérales situées dans le Delaware sont compétentes. Cela ne limite aucun droit impératif en matière de protection des données dont vous disposez en vertu du droit de votre pays de résidence, notamment le RGPD et le RGPD britannique, ni votre droit de saisir votre autorité de contrôle locale.

Contact

VEYNC, Tour First, 1 Place des Saisons, 92400 Courbevoie — Paris La Défense, France. Confidentialité et exercice des droits : [email protected]. Notifications juridiques : [email protected]. Assistance produit et compte : [email protected].