Politique de confidentialité

FixVibe est exploité par EGO HERO LLC (« nous »), le responsable du traitement des données personnelles décrites dans cette politique. Pour les questions de confidentialité, y compris les demandes de personnes concernées au titre du GDPR, du UK GDPR ou du CCPA, contacte privacy@fixvibe.app. Pour toute autre demande, écris à support@fixvibe.app.

• Données de compte

  Adresse e-mail, identifiant OAuth (si tu te connectes avec Google ou GitHub) et tout nom que nous recevons de ton fournisseur OAuth. Utilisés pour t'authentifier et te contacter au sujet de ton compte. Conservés tant que ton compte est actif. Lorsque tu supprimes ton compte, ces données sont retirées dans les 30 jours, sauf lorsque nous sommes tenus de les conserver (p. ex. registres de facturation au titre du droit fiscal).

  base légale · Exécution du contrat — Art. 6(1)(b) GDPR

• Cibles de scan et constats

  Les URL que tu scans, les requêtes que nous envoyons à ces URL et les constats que nous produisons. Ils sont stockés au niveau de ton organisation. Nous supprimons automatiquement les enregistrements plus anciens que la fenêtre de conservation de ton plan : 30 jours (Hobby), 90 jours (Pro), 365 jours (Unlimited). Tu peux exporter ou supprimer ton historique de scans à tout moment depuis Compte → Confidentialité.

  base légale · Exécution du contrat — Art. 6(1)(b) GDPR

• Sessions de scan anonymes

  Si tu lances un scan sans te connecter, nous émettons un cookie signé par HMAC (fixvibe_anon_session, durée de vie de 24 heures) contenant un ID aléatoire opaque. Nous supprimons automatiquement les enregistrements de scans anonymes non réclamés après 24 heures. Si tu t'inscris dans cette fenêtre de 24 heures, ton scan migre vers ton nouveau compte. Nous ne savons pas qui sont les utilisateurs anonymes sauf s'ils s'inscrivent.

  base légale · Strictement nécessaire — exemption ePrivacy Art. 5(3)

• Données de facturation

  Stripe est notre prestataire de paiement. Stripe stocke les détails de ta carte sur une infrastructure PCI-DSS ; nous stockons uniquement un ID client Stripe, le statut d'abonnement, le plan, le début/la fin de période et un petit enregistrement d'idempotence des événements webhook. Consulte l'avis de confidentialité de Stripe sur stripe.com/privacy.

  base légale · Exécution du contrat — Art. 6(1)(b) GDPR

• Journaux serveur et journaux d'audit

  Short-lived API request logs may include IP address, user-agent, method, path, status, duration, request ID, user/org context, and error strings so we can debug the service and detect abuse. These request logs are automatically pruned after 72 hours by our retention cron, with up to 24 hours of cron scheduling slop. Audit logs for security-relevant actions (including sign in, scan started, token created/revoked, plan change, account deletion, and admin/support actions) may include IP address, user-agent, and request metadata. Audit logs are automatically pruned after 18 months, except where a longer period is required to comply with legal process or to defend a legal claim.

  base légale · Intérêt légitime — Art. 6(1)(f) GDPR

• Intégration GitHub (facultative, Pro+ uniquement)

  Si tu connectes un compte GitHub depuis Compte → Intégrations, nous stockons un token d'accès OAuth chiffré pour ton organisation, ton login GitHub + ton ID utilisateur numérique et les scopes accordés. Nous utilisons le token uniquement pour lire les dépôts pour lesquels tu lances des scans. Le code source est récupéré par scan, traité en mémoire, et seules les preuves individuelles des constats sont conservées (pas de dumps complets de code source). Supprimé dans les 30 jours suivant la déconnexion.

  base légale · Exécution du contrat / consentement — Art. 6(1)(b) + 6(1)(a) GDPR

• Tokens API + serveur MCP (facultatif)

  Les tokens que tu crées dans Compte → Tokens API sont stockés sous forme de hash SHA-256, avec les 8 premiers caractères en clair (pour identification), le nom que tu as attribué, ainsi que les horodatages de création/dernière utilisation/révocation. Le texte en clair t'est montré exactement une fois lors de la création et n'est jamais conservé. Les tokens sont des identifiants bearer : toute personne qui possède la valeur peut lire tes scans et en lancer de nouveaux jusqu'à révocation. Le serveur MCP sur /api/mcp est authentifié par les mêmes tokens, expose les mêmes données que le tableau de bord et ne crée aucune catégorie de données séparée.

  base légale · Exécution du contrat — Art. 6(1)(b) GDPR

• Webhooks sortants (optionnel, plans payants)

  Si tu crées des endpoints webhook depuis Compte → Webhooks, nous stockons l'URL de l'endpoint, les types d'événements choisis, le statut de livraison, de courts extraits de réponse et un secret de signature chiffré. Nous envoyons les métadonnées de scans, findings, alertes monitor et exécutions programmées aux endpoints que tu configures. Ces endpoints sont des destinataires choisis par ton organisation, pas des sous-traitants de FixVibe.

  base légale · Exécution du contrat — Art. 6(1)(b) RGPD

• Détection des menaces en direct (facultative, Unlimited uniquement)

  Si la surveillance est activée sur un domaine vérifié, nous capturons périodiquement les entrées de journaux de transparence des certificats, les enregistrements DNS et les listes de renseignement sur les menaces (Spamhaus DBL, URLhaus) pour ce domaine. Ces instantanés contiennent les noms d'hôte que tu nous as déjà autorisés à scanner et les résultats publics de recherches publiques. Aucune donnée personnelle de tes utilisateurs finaux n'est capturée. Les instantanés de plus de 7 jours sont automatiquement supprimés ; la base de référence la plus récente est conservée par type de signal.

  base légale · Exécution du contrat — Art. 6(1)(b) GDPR

• Nouveaux scans planifiés (facultatif, Pro+ uniquement)

  Si tu actives des scans planifiés sur un domaine vérifié, nous enregistrons la cadence, l'heure de dernière exécution, l'heure de prochaine exécution et l'utilisateur qui a activé la planification. Chaque scan déclenché par cron hérite de l'attestation d'autorisation de scan faite lors de la première vérification du domaine — tu ne refais pas l'attestation à chaque exécution. Désactive à tout moment dans Domaines → Planification.

  base légale · Exécution du contrat — Art. 6(1)(b) GDPR

• Analyse (facultative, soumise au consentement)

  Si tu donnes ton consentement aux analyses et que nous avons configuré les analyses pour le déploiement que tu utilises, nous faisons appel à un fournisseur d'analyse produit respectueux de la vie privée (relayé par notre propre domaine) pour enregistrer l'utilisation anonyme — quels boutons sont cliqués, quels contrôles sont lancés, où les utilisateurs abandonnent dans le funnel. Nous ne plaçons pas les URL que tu scans, le contenu des preuves ni des données personnelles dans les événements d'analyse. Retire ton consentement à tout moment via Paramètres des cookies.

  base légale · Consentement — Art. 6(1)(a) GDPR / ePrivacy Art. 5(3)

• Réclamation d'offre promotionnelle

  Lorsque vous réclamez un code promo, un lien d'invitation ou un crédit de parrainage, nous stockons le code de la campagne, le forfait et la durée que nous avons accordés, les horodatages de début et de fin de l'essai, le forfait que vous aviez avant l'essai, ainsi qu'un hachage HMAC-SHA256 de votre adresse IP au moment de la réclamation (nous ne stockons jamais l'IP brute — le hachage existe uniquement pour nous permettre d'appliquer les limites d'une-réclamation-par-réseau, et la rotation de la clé HMAC sous-jacente invalide tous les hachages stockés sans exposer personne). Conservé pendant la durée de vie de la campagne plus 18 mois à des fins comptables et d'enquête sur les fraudes, puis supprimé avec le reste de l'enregistrement de la campagne.

  base légale · Intérêt légitime (prévention des fraudes, comptabilité) — Art. 6(1)(f) RGPD

• Concours, tirages au sort et challenges

  Si vous vous inscrivez à un Challenge FixVibe (comme le Challenge Security Preflight), nous stockons l'e-mail de contact que vous soumettez (requis pour que nous puissions vous joindre si vous gagnez), les pseudos Reddit et Product Hunt que vous fournissez en option, votre ID de scan et domaine racine, le type de projet auto-déclaré, la stack et le texte « une chose que j'ai apprise » que vous fournissez en option, la valeur du canal de découverte que vous sélectionnez en option, et les trois cases de consentement requises que vous acceptez (autorisation, règles, contact). Si vous cochez séparément le consentement optionnel mise en avant marketing, nous pouvons afficher votre score public, votre note, votre stack, votre pseudo et la citation soumise sur la page d'accueil FixVibe, la page du challenge ou un article récapitulatif — jamais aucun autre champ et jamais sans cette acceptation. Les inscriptions au challenge sont conservées pendant la durée de vie du Challenge plus 18 mois à des fins de vérification et de litige. Vous pouvez retirer le consentement de mise en avant marketing à tout moment en envoyant un e-mail à privacy@fixvibe.app ; le retrait n'affecte pas le traitement licite antérieur au retrait.

  base légale · Exécution du contrat (gestion du Challenge) et consentement (mise en avant) — Art. 6(1)(b) et 6(1)(a) RGPD

• Nous ne vendons jamais tes données.
• Nous n'intégrons pas d'ad-tech tierce, de fingerprinting ni de scripts de session-replay.
• Nous ne plaçons pas les URL cibles de tes scans ni les preuves de constats dans les propriétés d'analyse — ces données vivent uniquement dans notre base de données, protégées par la sécurité au niveau des lignes.
• Nous ne partageons pas tes données avec des tiers pour leur propre marketing.

Nous nous appuyons sur les sous-traitants ultérieurs suivants pour faire fonctionner FixVibe :

• Vercel Inc. (États-Unis) — hébergement de l'application et réseau edge. Avis de confidentialité : vercel.com/legal/privacy-policy.
• Supabase Inc. (États-Unis) — base de données Postgres, authentification, stockage de fichiers, Realtime. La base de données de production FixVibe se trouve dans la région AWS us-east-1. Avis de confidentialité : supabase.com/privacy.
• Stripe Inc. (États-Unis) — traitement des paiements pour les plans payants. Avis de confidentialité : stripe.com/privacy.
• Upstash, Inc. (États-Unis, via Vercel Marketplace) — limitation de débit adossée à Redis ; ne stocke que des compteurs IP de courte durée. Avis de confidentialité : upstash.com/privacy.
• PostHog Inc. (États-Unis) — analyse produit, uniquement si tu donnes ton consentement aux analyses et uniquement lorsque les analyses sont configurées pour le déploiement que tu utilises. Avis de confidentialité : posthog.com/privacy.
• GitHub, Inc. (États-Unis) — uniquement si tu connectes l'intégration GitHub facultative. Nous utilisons l'API de GitHub pour lire les dépôts pour lesquels tu lances des scans. Avis de confidentialité : docs.github.com/site-policy/privacy-policies/github-general-privacy-statement.
• Resend, Inc. (États-Unis) — livraison d'e-mails transactionnels. Reçoit ton adresse e-mail et le corps du message lorsque nous envoyons des e-mails de scan terminé, scan planifié, alerte de menace en direct et digest hebdomadaire. Resend conserve les métadonnées de livraison (horodatages, statut, enregistrements de rebond) à des fins opérationnelles ; nous n'envoyons jamais d'e-mails marketing via Resend. Avis de confidentialité : resend.com/legal/privacy-policy.

Les transferts de données personnelles en dehors de l'EEE/du Royaume-Uni reposent sur les clauses contractuelles types de la Commission européenne (ou l'International Data Transfer Addendum du Royaume-Uni), complétées par les mesures de chiffrement en transit et au repos décrites dans « Sécurité » ci-dessous.

Nous mettrons cette liste à jour et informerons les clients dans l'app si nous ajoutons un nouveau sous-traitant qui traite des données personnelles pour notre compte. Les endpoints webhook sortants configurés par le client sont des destinataires choisis par le client, pas des sous-traitants de FixVibe.

En vertu du GDPR, du UK GDPR et de lois équivalentes (CCPA/CPRA, LGPD, PIPEDA, Australian Privacy Act, etc.), tu as le droit de :

• accéder à une copie de tes données (tu peux le faire en libre-service depuis Compte → Confidentialité) ;
• faire corriger tes données ;
• faire supprimer tes données (également en libre-service) ;
• t'opposer au traitement fondé sur des intérêts légitimes ;
• retirer ton consentement aux analyses à tout moment via Paramètres des cookies ;
• portabilité des données — ton export est au format JSON ;
• déposer une plainte auprès de ton autorité de contrôle locale (UE/Royaume-Uni/EEE) ou équivalent.

Nous répondons aux demandes de droits vérifiables dans les 30 jours. Pour les demandes que nous ne pouvons pas satisfaire en libre-service (rectification d'un champ que nous n'exposons pas, limitation du traitement, opposition), envoie un e-mail à support@fixvibe.app avec l'objet « Privacy request ».

Nous ne vendons pas tes informations personnelles. Nous ne partageons pas d'informations personnelles pour la publicité comportementale intercontextuelle. Les analyses via PostHog ne s'exécutent qu'après ton consentement dans notre bandeau de cookies ; tu peux retirer ce consentement à tout moment via Paramètres des cookies ou en cliquant sur Tes choix de confidentialité dans le pied de page.

Si tu résides en Californie, tu as également le droit de :

• savoir quelles informations personnelles nous collectons, les sources, les finalités et les tiers avec lesquels nous les partageons (tout est détaillé ci-dessus) ;
• demander la suppression de tes informations personnelles (en libre-service via Compte → Confidentialité ou en nous envoyant un e-mail) ;
• corriger les informations personnelles inexactes ;
• limiter l'utilisation et la divulgation des informations personnelles sensibles — nous n'en collectons aucune au-delà des identifiants d'authentification et des métadonnées de session, tous deux nécessaires pour fournir le service ;
• refuser la vente ou le partage — sans objet puisque nous ne faisons ni l'un ni l'autre ;
• ne pas subir de discrimination pour avoir exercé l'un des droits ci-dessus.

Nous respectons automatiquement les signaux Global Privacy Control (GPC) ; l'envoi d'un en-tête GPC traite ta visite comme si tu avais explicitement refusé tout consentement futur aux analyses.

Nous appliquons la row-level security à chaque table de la base; les utilisateurs ne voient que les enregistrements appartenant aux organisations dont ils sont membres. Les headers de scan authentifié, lorsqu'ils sont fournis, sont chiffrés au repos avec AES-256-GCM et supprimés après le scan. Les payloads webhook Stripe sont vérifiés par HMAC avant traitement, et les secrets de signature des webhooks sortants clients sont chiffrés au repos. L'identifiant service-role de la base n'existe que côté serveur et n'est jamais exposé au navigateur. Tout le trafic entre toi et FixVibe, et entre FixVibe et nos sous-traitants, utilise TLS 1.2 ou supérieur.

Aucun programme de sécurité n'est parfait. Si tu penses avoir trouvé une vulnérabilité dans FixVibe, signale-la à support@fixvibe.app.

Si nous apportons des modifications importantes — nouveaux sous-traitants ultérieurs, nouvelles catégories de données, nouvelles durées de conservation — nous mettrons à jour la date ci-dessus et te notifierons dans l'application. Les corrections mineures de formulation ne déclenchent pas de notification.

privacy@fixvibe.app — réponses généralement sous 5 jours ouvrables, jamais au-delà des 30 jours requis par GDPR Art. 12(3).