Politique de confidentialité isMalicious

01Qui sommes-nous

isMalicious est édité par Jean-Vincent QUILICHINI, entrepreneur individuel (EI) de droit français, responsable du traitement des données personnelles décrites dans cette politique. Pour toute question sur vos données, ou pour exercer vos droits, écrivez à contact@ismalicious.com. Les coordonnées complètes de l’éditeur figurent dans les mentions légales.

02Informations que nous collectons

Nous traitons les indicateurs de sécurité que vous soumettez à nos services de recherche (adresses IP, domaines, URL, empreintes de fichiers, adresses e-mail et autres valeurs). Lorsque vous créez un compte, nous collectons votre nom, votre adresse e-mail et votre mot de passe, que nous ne conservons que sous la forme d’une empreinte bcrypt, ou le profil transmis par le fournisseur de connexion que vous choisissez, ainsi que votre organisation, votre rôle et vos clés d’API. Lorsque vous souscrivez un abonnement, Stripe collecte vos données de paiement sur sa propre page, et nous recevons votre nom et votre adresse de facturation, le numéro de TVA que vous indiquez le cas échéant et l’état de vos paiements ; votre numéro de carte n’atteint jamais nos serveurs. Nous conservons la trace de votre utilisation des Services (recherches, requêtes d’API et compteurs de quota), les messages que vous nous envoyez par e-mail ou par le module de discussion, et des données de diagnostic lorsque le site ou l’API échoue : l’erreur, la page, votre adresse IP et votre navigateur et, si vous êtes connecté, l’identifiant et l’adresse e-mail de votre compte. Pour une partie des visites, notre prestataire de suivi des erreurs enregistre aussi une relecture de la session, c’est-à-dire les pages affichées et les interactions avec elles, pour nous aider à reproduire les problèmes. Lorsque vous demandez une évaluation de maturité, nous collectons également les informations d’identité professionnelle, les données sur votre organisation, vos réponses à l’évaluation et l’attribution de campagne nécessaires pour générer, conserver et vous livrer votre rapport privé. Lorsque vous créez un compte ou vous connectez, nous enregistrons également l’adresse IP, l’agent utilisateur du navigateur et un identifiant d’appareil aléatoire, avec le compte auquel ils se rapportent. L’identifiant est conservé dans un cookie de première partie nommé im_device, qui reste dans votre navigateur jusqu’à 400 jours et est renouvelé à chaque connexion.

03Utilisation des informations et bases légales

Nous utilisons ces informations pour fournir les Services que vous demandez et gérer votre compte et votre abonnement, ce qui est nécessaire à l’exécution de notre contrat avec vous ; pour facturer et tenir notre comptabilité, ce que la loi impose ; et pour sécuriser les Services, prévenir les abus et la fraude, diagnostiquer les erreurs et améliorer les Services, ce qui relève de notre intérêt légitime à exploiter un service sûr et fiable. Nous mesurons aussi les visites et les conversions publicitaires avec Google Analytics et Google Ads, selon le choix que vous faites dans le bandeau cookies. Si vous y consentez explicitement, une empreinte SHA-256 à sens unique de votre e-mail normalisé et les identifiants de clic Google disponibles peuvent être transmis à Google Ads à des fins de mesure des conversions. Une évaluation soumise ne vous inscrit ni à une newsletter ni à une séquence commerciale automatisée. L’adresse IP et l’identifiant d’appareil servent uniquement à sécuriser les comptes et à prévenir les abus, notamment la création de plusieurs comptes gratuits par une même personne, ce que nos Conditions n’autorisent pas. Nous nous fondons pour cela sur notre intérêt légitime à maintenir un service sûr et équitable, et nous ne les utilisons ni à des fins publicitaires ni à des fins d’analyse marketing. Nous envoyons quatre sortes d’e-mails. Les e-mails de service (paiement, essai, compte et avis de sécurité) font partie de notre contrat avec vous et sont toujours envoyés. Les alertes de sécurité, les avertissements d’usage, les nouveautés produit et le récapitulatif hebdomadaire sont envoyés sauf si vous les désactivez, sur le fondement de notre intérêt légitime à vous informer de votre propre compte et de votre usage ; les avertissements d’usage comprennent les e-mails que déclenche votre usage, comme le rappel d’un paiement non terminé, une offre lorsque vous atteignez la limite de l’offre gratuite, des conseils d’intégration et des offres d’évaluation. Les e-mails de prospection (séries d’accueil et de relance, annonces) ne sont envoyés que si vous l’avez accepté, à une exception près : un unique e-mail lorsque votre compte est prêt, envoyé en tant que client du service (article L34-5 du Code des postes et des communications électroniques). Vous pouvez arrêter chacun d’eux, sauf les e-mails de service, dans vos paramètres de notification ou avec le lien de désabonnement qu’il contient. Vous pouvez modifier votre choix de cookies à tout moment avec le bouton « Paramètres des cookies ».

04Destinataires des informations

Vos informations sont traitées pour notre compte par les prestataires qui hébergent et font fonctionner les Services (hébergement, paiement, envoi d’e-mails, suivi des erreurs, protection contre les robots, mesure d’audience, discussion avec le support, fonctions d’IA et vérification d’e-mails et de téléphones), listés avec leur pays sur notre page des sous-traitants. Si vous vous connectez avec Google, GitHub ou Facebook, ou confirmez votre identité avec LinkedIn, ce fournisseur nous transmet votre profil selon sa propre politique de confidentialité. Pour répondre à une recherche, les Services interrogent des services publics de renseignement et de réseau (journaux de transparence des certificats, registres WHOIS et RDAP, résolveurs DNS, services de géolocalisation et de réputation d’adresses IP) avec l’indicateur vérifié, jamais avec les données de votre compte. Une adresse e-mail ou un numéro de téléphone que vous vérifiez n’est transmis qu’aux prestataires de réputation, de fuites de données et d’opérateurs téléphoniques indiqués sur la page des sous-traitants. Nous ne vendons ni ne louons vos informations personnelles. Nous ne les communiquons aux autorités publiques que lorsque la loi l’exige.

05Transferts hors de l’Union européenne

Les Services sont hébergés dans l’Union européenne. Certains prestataires de notre page des sous-traitants sont établis aux États-Unis, et l’un d’eux en Australie. Lorsque des données personnelles sont transférées hors de l’Espace économique européen, le transfert repose sur une garantie prévue au chapitre V du RGPD, comme la décision d’adéquation de la Commission européenne pour les prestataires certifiés au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework), ou les clauses contractuelles types adoptées par la Commission européenne.

06Conservation des données

Nous conservons les informations uniquement le temps nécessaire pour fournir le service, permettre la consultation des rapports demandés, éviter les livraisons en double, préserver l’attribution et satisfaire aux obligations légales ou opérationnelles. Les données du compte sont supprimées à sa clôture, sauf lorsque la loi nous impose de les conserver ou qu’elles sont nécessaires à la constatation ou à la défense d’un droit en justice. Les enregistrements d’appareil et d’adresse IP sont conservés tant que le compte existe et sont supprimés avec lui. Les factures et documents comptables sont conservés dix ans, comme l’exige la loi (article L123-22 du Code de commerce). Après la suppression de votre compte, les valeurs d’indicateurs que vous avez recherchées peuvent subsister dans nos données de renseignement sur les menaces, sans aucun lien avec vous. Vous pouvez demander l’accès à vos données ou leur suppression en nous contactant.

07Sécurité des données

Nous hébergeons les Services dans l’Union européenne, chiffrons les connexions au site, à l’API et aux flux avec TLS, ne conservons les mots de passe que sous forme d’empreintes bcrypt et limitons l’accès administrateur aux systèmes de production. Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre les accès, divulgations ou usages non autorisés. Aucun système ne peut toutefois être totalement sûr, et nous ne pouvons pas garantir une sécurité absolue.

08Cookies et technologies similaires

Nous utilisons les cookies et le stockage du navigateur suivants :

• Fonctionnement du site et de votre compte. Votre session de connexion et ses protections (authjs.session-token, authjs.csrf-token, authjs.callback-url et les éphémères authjs.state, authjs.nonce et authjs.pkce.code_verifier, préfixés __Secure- ou __Host- en HTTPS), l’état de l’authentification unique (sso_oidc_state), votre langue (NEXT_LOCALE), votre choix de cookies (im_measurement_consent_v1), votre acceptation des conditions par la mention au-dessus des boutons de connexion Google et GitHub, conservée jusqu’à la fin de la connexion (im_oauth_terms, 15 minutes), le message de bienvenue affiché une fois après votre première connexion (pending_notification, 5 minutes, et ismalicious_welcome_notification_seen, 1 an), l’identifiant d’appareil de sécurité des comptes décrit à la section 2 (im_device, jusqu’à 400 jours) et la vérification qu’une visite vient d’un navigateur et non d’un robot (im_hv, im_lr).
• Mesure de la provenance des visiteurs (première partie). im_acquisition_v1 (90 jours), im_check_tool (30 jours) et im_signup_cta (24 heures) conservent la page, le référent, la campagne ou l’outil qui vous a amené, et sont recopiés sur votre compte si vous vous inscrivez. Ils ne sont plus écrits une fois la mesure refusée, et le refus les supprime. im_signup_ctx (30 jours) conserve les vérifications faites avant votre inscription, recopiées sur votre compte à sa création.
• Tests A/B (première partie). im_exp_report_conversion (90 jours) conserve la version de la page de rapport qui vous a été attribuée au hasard, afin de mesurer les résultats d’un test. Il n’identifie personne. Le test qu’il servait a pris fin le 24 septembre 2026, et les deux versions affichent désormais la même page.
• Google Analytics et Google Ads. Les cookies de Google (_ga, _ga_*, _gcl_*) mesurent les visites et les conversions publicitaires. Refuser la mesure dans le bandeau cookies arrête cette mesure et supprime ces cookies.
• Fonctions de tiers. Le module de discussion avec le support (Crisp) dépose ses propres cookies pour conserver votre conversation. La protection contre les robots des formulaires d’inscription et de contact (Cloudflare Turnstile) et la page de paiement (Stripe) fonctionnent depuis les domaines de ces prestataires, selon leurs propres politiques.
• Stockage du navigateur. Le site conserve aussi quelques valeurs dans le stockage local et de session de votre navigateur pour les mêmes finalités, par exemple le nombre de vérifications faites pendant la visite en cours, et notre prestataire de suivi des erreurs utilise le stockage de session pour regrouper une relecture de session.

Vous pouvez accepter ou refuser la mesure dans le bandeau cookies, et modifier votre choix à tout moment avec le bouton « Paramètres des cookies » en bas de page. Vous pouvez aussi supprimer les cookies dans les réglages de votre navigateur ; supprimer les cookies de fonctionnement vous déconnecte.

09Vos droits

En vertu du RGPD et de la loi Informatique et Libertés, vous disposez d’un droit d’accès à vos données personnelles, de rectification, d’effacement, de limitation du traitement, d’opposition, de portabilité, du droit de retirer votre consentement à tout moment et du droit de définir des directives relatives au sort de vos données après votre décès. Pour exercer ces droits, écrivez à contact@ismalicious.com ; nous répondons dans un délai d’un mois. Vous pouvez aussi introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL, www.cnil.fr).

10Modification de la politique

Nous pouvons mettre à jour cette politique de temps à autre. Nous publions la version révisée sur cette page avec sa nouvelle date. Si une modification change de manière importante l’usage que nous faisons de vos données personnelles, nous en informons les titulaires de compte par e-mail ou dans le produit avant qu’elle ne prenne effet.

11Nous contacter

Pour toute question ou préoccupation concernant cette politique, écrivez-nous à contact@ismalicious.com.