Confidentialité & traitement des données

Lorsque vous réalisez une évaluation, nous traitons :

• Profil de l'organisation : secteur, effectif, chiffre d'affaires, appartenance à un groupe — utilisés pour déterminer votre statut réglementaire (EE/EI) et personnaliser le rapport.
• Réponses au questionnaire : vos réponses aux mesures de sécurité évaluées.
• Adresse email : pour vous envoyer votre rapport PDF et, le cas échéant, vous recontacter.
• Documents chargés (optionnel) : analysés puis supprimés — voir section 3.
• Statistiques de visite anonymes : pages consultées, sans cookie ni identification personnelle (Vercel Analytics, conforme RGPD).

L'analyse de vos documents et de vos réponses s'appuie sur l'API Claude d'Anthropic, utilisée dans le cadre de ses conditions commerciales professionnelles :

• Vos données ne sont pas utilisées pour entraîner les modèles d'IA (interdiction contractuelle sur l'API commerciale).
• Rétention maximale de 30 jours côté Anthropic, uniquement pour la détection d'abus, puis suppression.
• Anthropic est certifié SOC 2 Type II et ISO 27001.
• Transit chiffré de bout en bout (HTTPS/TLS).

Conseil : vous pouvez anonymiser vos documents (retirer noms, identifiants) avant envoi — l'analyse fonctionne tout aussi bien.

Les fichiers que vous chargez sont traités en mémoire, le temps de l'analyse (quelques dizaines de secondes), puis immédiatement supprimés. Ils ne sont jamais écrits sur nos serveurs ni enregistrés en base de données. Nous ne conservons que le résultat de l'analyse (les réponses suggérées) que vous validez.

Pour vous éviter de les recharger d'un référentiel à l'autre, vos fichiers sont gardés dans le stockage de votre propre navigateur (IndexedDB), sur votre poste. Ils n'en sortent pas et nous n'y avons aucun accès. Le bouton « Effacer ces documents », à l'étape de chargement, les supprime immédiatement ; vider les données du site les supprime également.

Pour les documents Word (.docx), le texte est même extrait directement dans votre navigateur avant envoi : les images, logos et métadonnées internes de vos documents ne quittent pas votre poste.

Lorsque vous demandez votre rapport, votre email, le profil de votre organisation et vos réponses / score sont conservés dans une base de données Supabase (PostgreSQL, hébergement Union européenne — Francfort), afin de vous transmettre ce rapport et d'assurer un suivi commercial. Ces données sont conservées jusqu'à votre demande de suppression ou, à défaut, 3 ans après le dernier contact.

Si vous créez un compte (facultatif, par lien envoyé à votre adresse email), s'y ajoutent les entités que vous créez, leurs dossiers de conformité et l'historique horodaté de vos scores — c'est ce qui permet de suivre l'évolution de votre conformité dans le temps. Ces données ne sont visibles que par vous : la base applique un cloisonnement par compte (Row Level Security).

Sans compte, vos entités ne quittent jamais votre navigateur : elles sont stockées localement sur votre poste, et nous n'y avons aucun accès.

Vous pouvez supprimer votre compte à tout moment depuis la page « Vos entités » : compte, entités, dossiers et historique sont alors effacés définitivement, sans délai ni demande à formuler.

• Application hébergée sur Vercel.
• Base de données sur Supabase, région Union européenne (Francfort).
• Emails transactionnels via Resend.
• Analyse IA via l'API Anthropic.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, de suppression, de limitation et de portabilité de vos données. Pour exercer ces droits ou pour toute question sur ce traitement, écrivez-nous à contact@certis-advise.com. Nous répondons sous un mois.

CyberSante AI fournit une auto-évaluation indicative basée sur le référentiel ReCyF (ANSSI) et la directive NIS2 (UE) 2022/2555. Elle ne se substitue pas à un audit réalisé par un prestataire qualifié ANSSI (PASSI) et n'a pas de valeur de certification. Les résultats reflètent vos déclarations et l'analyse documentaire, non un contrôle sur site.