Politique de confidentialité

1. Introduction

Houdin.io (« nous », « notre ») fournit une plateforme cloud de Cyber Threat Intelligence (le « Service »), accessible sur app.houdin.io. Cette politique explique comment nous collectons, utilisons, partageons et protégeons vos données conformément au RGPD.

2. Responsable de traitement & Sous-traitant

• Responsable : Houdin.io est responsable du traitement des données clients liées à votre utilisation du Service.
• Sous-traitant : Pour nos clients Enterprise et MSSP, nous agissons en tant que sous-traitant lorsque nous traitons des données personnelles pour leur compte. Un accord de traitement des données (DPA) couvrant les sous-traitants ultérieurs, la confidentialité, les mesures techniques et la suppression des données est disponible sur demande.

3. Données personnelles & bases légales

• Données de compte : nom, adresse email et avatar fournis par votre méthode de connexion (Google, GitHub, Microsoft ou email/mot de passe, via notre fournisseur d’identité Auth0)
• Données d’utilisation : historique de scans, compteurs de quotas et d’usage, statut du plan et de l’abonnement, et vos conversations avec l’assistant Mesmer
• Observables soumis : les adresses IP, domaines, URL et empreintes de fichiers que vous soumettez pour analyse. Le Service n’accepte pas le dépôt de fichiers
• Données de facturation : les paiements sont traités par Stripe ; nous ne conservons que des références d’abonnement et ne voyons ni ne stockons jamais vos données de carte

Nous traitons les données sur les bases légales suivantes :

1. Consentement : lorsque vous acceptez le suivi des données ou les cookies.
2. Nécessité contractuelle : pour fournir et maintenir le Service.
3. Intérêts légitimes : prévention de la fraude, analytique, sécurité.
4. Obligations légales : ex. tenue de registres pour la conformité.

4. Principes & conservation des données

• Minimisation : seules les données essentielles sont collectées.
• Limitation des finalités : données utilisées uniquement aux fins déclarées.
• Exactitude : vous pouvez corriger vos informations à tout moment.
• Limitation de conservation : votre historique de scans et vos conversations avec l’assistant sont conservés jusqu’à leur suppression par vos soins ; la suppression de votre compte efface vos données personnelles.
• Sécurité : chiffrement, contrôle d’accès, pseudonymisation, audits.

5. Transparence & Privacy by Design

La protection de la vie privée est intégrée au Service par défaut : les identifiants des connecteurs tiers que vous configurez sont stockés chiffrés, les clés API sont stockées hachées, les configurations de scanners sont expurgées de leurs secrets avant l’enregistrement des résultats, et l’accès aux données clients est restreint par rôle.

6. Consentement & Cookies

Le Service utilise un petit nombre de cookies internes : un cookie de session d’authentification, une préférence de thème et un cookie de 30 jours enregistrant la manière dont vous nous avez découverts. Nous utilisons PostHog (hébergé dans l’UE) et Vercel Analytics pour comprendre l’usage du produit. Vous pouvez vous opposer à l’analytique à tout moment via privacy@houdin.io.

7. Sous-traitants & transferts internationaux

Nous faisons appel aux sous-traitants suivants : Auth0 (authentification), Stripe (paiements), Vercel (hébergement et analytique), MongoDB Atlas (base de données), PostHog (analytique hébergée dans l’UE), Upstash (file de tâches), ainsi que des fournisseurs de modèles d’IA via Vercel AI Gateway (dont Anthropic et Google) pour les fonctionnalités d’analyse Mesmer. Lorsque vous lancez un scan, l’observable soumis est également transmis aux sources de threat intelligence interrogées (telles que VirusTotal, urlscan.io, AbuseIPDB, AlienVault OTX, Hatching Triage, ThreatFox, MISP et Netlas), qui le traitent selon leurs propres politiques de confidentialité. Les données transférées hors UE/EEE sont protégées par des clauses contractuelles types ou des garanties équivalentes.

8. Droits des personnes concernées

En vertu du RGPD, vous pouvez :

• Accéder, rectifier, effacer, restreindre ou vous opposer au traitement
• Exporter vos données dans un format standard
• Retirer votre consentement et refuser le profilage ou les décisions automatisées

Les demandes sont traitées sous un mois. Contactez-nous à privacy@houdin.io.

9. Violation de données & mesures de sécurité

• Chiffrement TLS en transit, chiffrement au repos
• Contrôle d’accès par rôles
• Clés API hachées & identifiants de connecteurs tiers chiffrés
• Notification aux autorités sous 72 heures

10. Délégué à la protection des données (DPO)

Nous n’avons pas désigné de DPO formel, nos activités de traitement ne l’exigeant pas au titre du RGPD. Les questions de confidentialité sont traitées directement par l’équipe via privacy@houdin.io.

11. Mises à jour & gouvernance

Les mises à jour de cette politique sont publiées sur cette page avec leur date de révision ; les changements significatifs seront mis en évidence. Nous tenons un registre de nos activités de traitement.

12. Coordonnées

Email : privacy@houdin.io