Sécurité & Confidentialité

Cette page est le résumé en langage clair de la manière dont Zenovay traite vos données. Elle se veut honnête avant d'être rassurante : nous listons ce que nous faisons, ce que nous ne faisons pas, et ce que nous n'avons pas encore le droit de revendiquer.

Si quoi que ce soit ci-dessous contredit notre Politique de Confidentialité, le DPA ou la liste des sous-traitants, le document juridiquement contraignant prévaut. Toute divergence entre cette page et ces documents est considérée comme un bug - merci de nous la signaler.

Où vos données résident

La base de données principale de Zenovay (Supabase PostgreSQL) est actuellement hébergée dans l'Union européenne (eu-central-1, Francfort). Cloudflare Workers s'exécute sur le réseau de pointe mondial ; Cloudflare R2 (captures d'écran de cartes thermiques) est configuré avec une préférence de localisation des données dans l'UE. La configuration de résidence des données peut évoluer à mesure que notre infrastructure change ; nous mettrons à jour cette information lorsque des changements importants surviendront.

La plupart des sous-traitants ultérieurs énumérés ci-dessus sont des entités établies aux États-Unis (11 sur 13), dont Cloudflare, Stripe, Resend, OpenAI, Sentry, Anthropic ainsi que les fournisseurs OAuth optionnels. La base de données principale est hébergée dans l'Union européenne (Supabase, eu-central-1 Francfort). Les transferts reposent sur le cadre de protection des données UE-États-Unis lorsque le destinataire est certifié DPF, ainsi que sur les clauses contractuelles types de 2021 (module 2) assorties de mesures techniques supplémentaires. Voir la liste complète des sous-traitants.

Ce que nous collectons (et ce que nous ne collectons pas)

Sur les sites qui utilisent le Mode Sans Cookies optionnel de Zenovay, le traceur ne stocke ni cookies ni localStorage. Zenovay calcule les identifiants de visiteur et de session côté serveur à partir d'un hash SHA-256 du sous-réseau IP, du user-agent, de l'identifiant du site et d'un sel secret renouvelé chaque jour, de sorte que l'identifiant ne peut pas être relié d'un jour à l'autre ni être inversé pour retrouver une adresse IP.

Lorsque le Mode Sans Cookies n'est pas activé par l'opérateur du site, le traceur peut déposer des cookies first-party (zenovay_visitor_id pour 30 jours, zenovay_session_id pour 30 minutes). Le traceur de Zenovay ne collecte jamais de lui-même de noms, d'adresses e-mail, de coordonnées de paiement ou de coordonnées GPS précises. Un opérateur de site peut nous transmettre des identifiants tels que le nom, l'e-mail ou la société via la fonction optionnelle identify ; lorsqu'il le fait, il est le responsable de traitement de ces données et doit en assurer la base légale. Nous ne vendons aucune donnée personnelle et ne la partageons pas pour de la publicité comportementale inter-contextuelle ; nous respectons le signal Global Privacy Control (GPC).

Pour le détail juridique de chaque catégorie, finalité et base légale, voir la Politique de Confidentialité.

Combien de temps nous conservons les données

Les événements analytics bruts sont purgés après la durée de conservation définie par le plan du client :

• Free : 1 an (365 jours)
• Pro : 2 ans (730 jours)
• Scale : 4 ans (1 460 jours)
• Enterprise : configurable, 4 ans par défaut

Les enregistrements de session et les données de heatmap sont des fonctionnalités premium avec leur propre durée de conservation, bien plus courte : 60 jours sur Pro, 120 jours sur Scale et 180 jours sur Enterprise. Elles sont supprimées selon ce calendrier, indépendamment de la durée de conservation analytique ci-dessus.

Les journaux d'audit administratifs (actions utilisateur, événements de facturation, modifications de paramètres) sont conservés 24 mois. Ils ne contiennent aucune IP en clair - uniquement des hashes SHA-256 unidirectionnels - et sont purgés automatiquement chaque jour à partir de 03:00 UTC.

Comment nous protégeons les données

• TLS 1.2+ est appliqué sur chaque point de terminaison par Cloudflare. Le trafic interne Worker-vers-Supabase utilise TLS 1.3.
• Toutes les données au repos dans Supabase sont chiffrées (AES-256). Les objets Cloudflare R2 sont chiffrés au repos. Les sauvegardes Supabase sont chiffrées.
• Les adresses IP ne sont stockées que sous forme de hachages SHA-256 salés quotidiennement - jamais en clair. Cela concerne la table visitors, les journaux d'audit et les journaux d'audit d'équipe. La capture en clair a été supprimée le 26 avril 2026 et les valeurs héritées restantes ont été effacées le 24 juillet 2026.
• Les politiques Row Level Security de Postgres sont appliquées sur chaque table de données client. L'accès au rôle de service est limité au worker API ; aucun accès direct à la base de données n'est exposé.
• Toutes les actions administratives sont journalisées de manière immuable. La table des journaux d'audit a une RLS en INSERT uniquement - aucune politique UPDATE ou DELETE n'existe, de sorte que les entrées historiques ne peuvent être réécrites silencieusement.
• Les sessions bannies ou révoquées sont propagées au bord en quelques secondes via Cloudflare KV ; les jetons de rafraîchissement en cours sont invalidés côté serveur.

Vos droits

Vous pouvez exercer à tout moment vos droits d'accès (Art. 15 RGPD), de rectification (Art. 16), d'effacement (Art. 17), de portabilité (Art. 20) et d'opposition (Art. 21). L'export gratuit « Télécharger mes données personnelles » et le flux « Supprimer mon compte » sont disponibles dans votre Profil.

Les résidents californiens disposent des droits CCPA/CPRA de connaître, supprimer, rectifier et s'opposer à la vente ou au partage. Nous respectons automatiquement le signal Global Privacy Control du navigateur - si votre navigateur envoie Sec-GPC : 1, nous le traitons comme une opt-out valide sans démarche supplémentaire.

Pour les demandes écrites ou les droits propres à votre juridiction, voir la Politique de Confidentialité.

Ce que nous ne prétendons pas

Zenovay elle-même n'est pas actuellement certifiée SOC 2. Nos fournisseurs d'infrastructure maintiennent des certifications conformes aux normes du secteur : Cloudflare (SOC 2 Type II, ISO 27001, ISO 27018), Supabase (SOC 2 Type II). Nous mettrons cette page à jour dès que nous obtiendrons notre propre audit.

Nous ne revendiquons aucune certification ISO 27001, HIPAA ou PCI DSS. Les paiements sont traités par Stripe, certifié PCI DSS Niveau 1 - Zenovay ne touche jamais aux données brutes de carte. Des scans de sécurité automatisés hebdomadaires (npm audit, Semgrep, gitleaks, OWASP ZAP, Lighthouse, Supabase Advisors) sont exécutés chaque lundi contre chaque service de production ; les résultats alimentent une file d'attente de revue centralisée.

Signaler un problème de sécurité

Si vous découvrez un problème de sécurité, contactez-nous à [email protected].

Nous nous efforçons d'accuser réception des signalements sous 48 heures. Nous n'opérons pas encore de programme de bug bounty rémunéré ; nous créditons les rapporteurs responsables par leur nom (ou pseudonyme) sur cette page lorsqu'ils en font la demande.