Sécurité & Confidentialité

Cette page est le résumé en langage clair de la manière dont Zenovay traite vos données. Elle se veut honnête avant d'être rassurante : nous listons ce que nous faisons, ce que nous ne faisons pas, et ce que nous n'avons pas encore le droit de revendiquer.

Si quoi que ce soit ci-dessous contredit notre Politique de Confidentialité, le DPA ou la liste des sous-traitants, le document juridiquement contraignant prévaut. Toute divergence entre cette page et ces documents est considérée comme un bug - merci de nous la signaler.

Où vos données résident

La base de données principale de Zenovay (Supabase PostgreSQL) est actuellement hébergée dans l'Union européenne (eu-central-1, Francfort). Cloudflare Workers s'exécute sur le réseau de pointe mondial ; Cloudflare R2 (captures d'écran de cartes thermiques) est configuré avec une préférence de localisation des données dans l'UE. La configuration de résidence des données peut évoluer à mesure que notre infrastructure change ; nous mettrons à jour cette information lorsque des changements importants surviendront.

Quelques sous-traitants sont basés aux États-Unis (Stripe, Resend, OpenAI via Cloudflare AI Gateway). Les transferts s'appuient sur le EU-US Data Privacy Framework lorsque le destinataire est certifié DPF, ainsi que sur les Clauses Contractuelles Types 2021 (Module 2) avec des mesures techniques supplémentaires. Voir la liste complète des sous-traitants.

Ce que nous collectons (et ce que nous ne collectons pas)

Sur les sites qui utilisent le Mode Sans Cookies optionnel de Zenovay, le traceur ne stocke ni cookies ni localStorage. Les identifiants de visiteur et de session sont calculés en mémoire à partir d'un hash SHA-256 quotidiennement salé du sous-réseau IP, du user-agent et d'un sel rotatif côté serveur - ces identifiants disparaissent au déchargement de la page.

Lorsque le Mode Sans Cookies n'est pas activé par l'opérateur du site, le traceur peut déposer des cookies first-party (zenovay_visitor_id pour 30 jours, zenovay_session_id pour 30 minutes). Nous ne collectons jamais de noms, d'adresses e-mail, de coordonnées de paiement ou de coordonnées GPS précises auprès des visiteurs. Nous ne vendons aucune donnée personnelle et ne la partageons pas pour de la publicité comportementale inter-contextuelle ; nous respectons le signal Global Privacy Control (GPC).

Pour le détail juridique de chaque catégorie, finalité et base légale, voir la Politique de Confidentialité.

Combien de temps nous conservons les données

Les événements analytics bruts sont purgés après la durée de conservation définie par le plan du client :

• Free : 1 an (365 jours)
• Pro : 2 ans (730 jours)
• Scale : 4 ans (1 460 jours)
• Enterprise : configurable, 4 ans par défaut

Les journaux d'audit administratifs (actions utilisateur, événements de facturation, modifications de paramètres) sont conservés 24 mois. Ils ne contiennent aucune IP en clair - uniquement des hashes SHA-256 unidirectionnels - et sont purgés automatiquement chaque jour à 03:00 UTC.

Comment nous protégeons les données

• TLS 1.2+ est appliqué sur chaque point de terminaison par Cloudflare. Le trafic interne Worker-vers-Supabase utilise TLS 1.3.
• Toutes les données au repos dans Supabase sont chiffrées (AES-256). Les objets Cloudflare R2 sont chiffrés au repos. Les sauvegardes Supabase sont chiffrées.
• Les adresses IP sont stockées uniquement sous forme de hashes SHA-256 quotidiennement salés - jamais en clair. Cela inclut la table des visiteurs, les journaux d'audit et les journaux d'audit d'équipe. La colonne en clair a été entièrement supprimée du schéma le 26 avril 2026.
• Les politiques Row Level Security de Postgres sont appliquées sur chaque table de données client. L'accès au rôle de service est limité au worker API ; aucun accès direct à la base de données n'est exposé.
• Toutes les actions administratives sont journalisées de manière immuable. La table des journaux d'audit a une RLS en INSERT uniquement - aucune politique UPDATE ou DELETE n'existe, de sorte que les entrées historiques ne peuvent être réécrites silencieusement.
• Les sessions bannies ou révoquées sont propagées au bord en quelques secondes via Cloudflare KV ; les jetons de rafraîchissement en cours sont invalidés côté serveur.

Vos droits

Vous pouvez exercer à tout moment vos droits d'accès (Art. 15 RGPD), de rectification (Art. 16), d'effacement (Art. 17), de portabilité (Art. 20) et d'opposition (Art. 21). L'export gratuit « Télécharger mes données personnelles » et le flux « Supprimer mon compte » sont disponibles dans votre Profil.

Les résidents californiens disposent des droits CCPA/CPRA de connaître, supprimer, rectifier et s'opposer à la vente ou au partage. Nous respectons automatiquement le signal Global Privacy Control du navigateur - si votre navigateur envoie Sec-GPC : 1, nous le traitons comme une opt-out valide sans démarche supplémentaire.

Pour les demandes écrites ou les droits propres à votre juridiction, voir la Politique de Confidentialité.

Ce que nous ne prétendons pas

Zenovay elle-même n'est pas actuellement certifiée SOC 2. Nos fournisseurs d'infrastructure maintiennent des certifications conformes aux normes du secteur : Cloudflare (SOC 2 Type II, ISO 27001, ISO 27018), Supabase (SOC 2 Type II). Nous mettrons cette page à jour dès que nous obtiendrons notre propre audit.

Nous ne revendiquons aucune certification ISO 27001, HIPAA ou PCI DSS. Les paiements sont traités par Stripe, certifié PCI DSS Niveau 1 - Zenovay ne touche jamais aux données brutes de carte. Des scans de sécurité automatisés hebdomadaires (npm audit, Semgrep, gitleaks, OWASP ZAP, Lighthouse, Supabase Advisors) sont exécutés chaque lundi contre chaque service de production ; les résultats alimentent une file d'attente de revue centralisée.

Signaler un problème de sécurité

Si vous découvrez un problème de sécurité, contactez-nous à [email protected].

Nous nous efforçons d'accuser réception des signalements sous 48 heures. Nous n'opérons pas encore de programme de bug bounty rémunéré ; nous créditons les rapporteurs responsables par leur nom (ou pseudonyme) sur cette page lorsqu'ils en font la demande.