Politique de confidentialité

Dernière mise à jour : 8 novembre 2026

Cette politique explique quelles données CrisisQuest traite, pourquoi, combien de temps, et comment exercer vos droits. Principe directeur : ne collecter que le nécessaire, et ne jamais produire de classement ni de résultat nominatif à destination de l'employeur.

1. Qui est responsable ?

• Simulation gratuite sans compte et comptes des clients : Pentest Cyber Conseil est responsable de traitement.
• Données des collaborateurs d'une entreprise cliente (membres invités, exercices, campagnes) : l'entreprise cliente est responsable de traitement ; Pentest Cyber Conseil agit comme sous-traitant, pour son compte et selon ses instructions (article 28 du RGPD, voir les conditions générales de vente).

2. Données traitées et finalités

• Simulation gratuite : aucune donnée personnelle. La progression est conservée uniquement dans votre navigateur (stockage de session), effacée à la fermeture de l'onglet.
• Compte : nom, adresse e-mail professionnelle, mot de passe (stocké sous forme chiffrée irréversible par notre prestataire d'authentification). Finalité : fournir le service (exécution du contrat).
• Espace d'équipe : appartenance à l'organisation, rôle, groupe, invitations. Finalité : gérer l'équipe (contrat).
• Exercices : décisions prises dans les scénarios, scores et bilans. Le détail n'est visible que par la personne concernée ; les responsables de l'espace voient l'avancement (terminé ou non) et des moyennes publiées à partir de 3 résultats.
• Campagnes de sensibilisation : adresse du destinataire, envoi, clic sur le lien d'exercice, signalement. Aucune saisie n'est demandée sur la page d'arrivée. Les responsables ne voient que des statistiques globales (3 destinataires au minimum). Les collaborateurs sont informés au préalable par leur employeur.
• Abonnement : nom de l'organisation, e-mail du propriétaire, adresse de facturation, numéro de TVA. Les données de carte bancaire sont traitées exclusivement par Stripe et ne transitent jamais par CrisisQuest. Finalités : facturation (contrat, obligations comptables).
• Sécurité : journal des actions sensibles (invitations, changements de rôle, abonnement) et journaux techniques des prestataires. Finalité : sécurité du service (intérêt légitime).

3. Durées de conservation

• Compte et espace : jusqu'à leur suppression, sur demande du titulaire ou du propriétaire de l'espace.
• Résultats d'exercices et événements de campagne : 12 mois par défaut (paramètre de l'espace, entre 1 et 36 mois), puis suppression automatique.
• Invitations non acceptées : expiration au bout de 7 jours.
• Pièces comptables (factures) : 10 ans, conformément au Code de commerce.

4. Prestataires (sous-traitants)

• Cloudflare (hébergement du site et diffusion).
• Supabase (authentification, base de données, fonctions serveur) — région Union européenne — Francfort, Allemagne (eu-central-1).
• Stripe (paiement et facturation).
• Prestataire d'envoi d'e-mails (confirmations, invitations), indiqué ici avant sa mise en service.

Lorsque des données peuvent être traitées hors de l'Union européenne par ces prestataires, le transfert est encadré par les garanties prévues par le RGPD (décision d'adéquation, dont le cadre UE–États-Unis de protection des données, ou clauses contractuelles types).

5. Cookies et stockage local

CrisisQuest n'utilise ni cookie publicitaire, ni outil de mesure d'audience, ni traceur tiers. Seuls des éléments strictement nécessaires sont déposés : la session de connexion (stockage local du navigateur) et la progression de la simulation gratuite (stockage de session). Ils ne nécessitent pas de consentement.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. L'export de vos données est disponible directement dans « Mon compte ». Pour toute autre demande : contact@pentestcyberconseil.fr. Si vos données sont traitées pour le compte de votre employeur, nous transmettons votre demande à celui-ci. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

7. Sécurité

Contrôle d'accès par organisation et par rôle appliqué au niveau de la base de données, chiffrement des échanges, jetons d'invitation et de campagne conservés uniquement sous forme d'empreinte, calcul des scores côté serveur, journal des actions sensibles.