Politique de confidentialité
Dernière mise à jour : 30 octobre 2026
Article 1 · Responsable du traitement
ClearCloud, entreprise individuelle
SIRET 539 932 731 00034 · TVA intracommunautaire FR 53 539932731
21000 Dijon, France
Contact : contact@checkops.eu
Pour les données que vous envoyez dans le service (SBOM, résultats de scanners), ClearCloud agit comme sous-traitant de votre organisation : voir le DPA.
Article 2 · Données collectées
Compte : adresse e-mail, nom si vous le renseignez, organisation et rôle. La connexion passe par notre propre serveur d'authentification (Keycloak), opéré par ClearCloud. Si vous choisissez de vous connecter avec GitLab, GitHub ou Google, ce fournisseur nous transmet votre adresse e-mail et votre nom ; nous ne recevons ni votre mot de passe ni l'accès à vos dépôts.
Données envoyées au service : SBOM et résultats de scanners, avec les noms et versions de vos composants ; produits et versions ; décisions VEX ; signalements CRA et rapports. Ces fichiers décrivent des logiciels et contiennent rarement des données personnelles.
Alertes : adresses e-mail des destinataires, adresses de webhooks et, pour les tickets GitLab ou Jira, les jetons d'accès que vous fournissez.
Données techniques : journaux d'accès (adresse IP, date, requête) pour la sécurité du service, et statistiques d'audience du site public (voir l'article 6).
Article 3 · Finalités et bases légales
| Finalité | Base légale | Conservation |
|---|---|---|
| Compte, organisation, données envoyées au service | Exécution du contrat | Jusqu'à la suppression du compte |
| Envoi des alertes | Exécution du contrat | Tant que le canal d'alerte existe |
| Journaux techniques | Intérêt légitime (sécurité) | Durée limitée au besoin de sécurité |
| Statistiques d'audience | Intérêt légitime | Sans identifiant individuel |
Article 4 · Sous-traitants
| Sous-traitant | Rôle | Localisation | Données |
|---|---|---|---|
| OVH SAS (OVHcloud) | Hébergement de la plateforme, de la base de données et des sauvegardes | France | Toutes les données du service |
| Scaleway SAS | Envoi des e-mails (alertes, invitations) | France | Adresse e-mail du destinataire, contenu de l'alerte |
L'authentification (Keycloak) et la mesure d'audience (Matomo) sont opérées par ClearCloud sur sa propre infrastructure et ne sont pas des sous-traitants. Aucun prestataire américain n'a accès à vos SBOM.
Article 5 · Sécurité
- Chiffrement en transit (TLS) sur tous les échanges.
- Jetons d'API stockés sous forme d'empreinte (SHA-256) : ils ne sont affichés qu'une fois, à la création.
- Jetons des canaux d'alerte (GitLab, Jira) chiffrés en base (AES-256-GCM), avec une clé conservée hors de la base.
- Isolation des données par organisation, vérifiée à chaque requête.
- Signalement d'une vulnérabilité : contact@checkops.eu.
Article 6 · Cookies et mesure d'audience
CheckOps n'utilise que des cookies strictement nécessaires, et mesure l'audience de son site public avec Matomo, auto-hébergé par ClearCloud en France. Détails dans la politique de cookies.
Article 7 · Vos droits
- Accès, rectification, portabilité : depuis l'espace client, ou sur demande.
- Effacement : la suppression du compte efface l'organisation, ses données et le compte de connexion.
- Opposition et limitation : contact@checkops.eu.
Réponse sous 30 jours au plus. Vous pouvez aussi adresser une réclamation à la CNIL (3 place de Fontenoy, 75007 Paris, cnil.fr).
Article 8 · Transferts hors de l'Union européenne
Les données du service sont hébergées et traitées en France. Seule exception, à votre choix : la connexion avec GitHub ou Google, dont les éditeurs sont établis aux États-Unis et reçoivent la demande de connexion selon leurs propres conditions.