Politique de confidentialité

Le responsable du traitement est CRAFT, joignable à contact@craftsec.eu.

Pour exercer vos droits ou poser une question relative aux données, utilisez cette même adresse.

CRAFT ne collecte que ce qui est nécessaire au fonctionnement du prototype :

SBOM

Le fichier déposé (composants, versions, PURL). Traité en mémoire le temps de l’analyse, puis écarté. Il n’est pas enregistré dans une base. Le détail figure sur la page « Ce que devient votre SBOM ».

Nom de fichier

Utilisé pour afficher le résultat. Il est normalisé avant affichage.

PURL publics

Les identifiants de paquets d’écosystèmes publics (npm, PyPI, Maven, etc.) sont envoyés à api.osv.dev. Les PURL internes ou privés ne sont pas transmis.

Adresse IP

Utilisée pour limiter le nombre de requêtes d’analyse (environ une minute, en mémoire). Umami peut aussi s’en servir pour estimer un pays, sans publicité.

Audience

Pages vues et événements produit (visite, dépôt, résultat, contact, campagnes) via Umami auto-hébergé : URL, référent, navigateur, système, appareil, langue, écran, et propriétés techniques (emplacement du CTA, format du SBOM, présence de vulnérabilités). Un identifiant anonyme (UUID) est stocké dans le navigateur (localStorage) pour reconnaître un retour sur le site, sans e-mail ni nom. Pas de contenu du SBOM.

Session

Un enregistreur de session (Umami Recorder) capture le déroulé de la visite dans l’interface, afin de comprendre les blocages. Les enregistrements restent sur l’instance auto-hébergée.

Formulaire de contact

E-mail, société, message, et le consentement associé. Traités pour vous répondre. Aucun autre usage de l’adresse sans accord explicite.

Diagnostic

Nom de société et réponses au questionnaire. Utilisés le temps de générer le PDF, puis écartés. Ils ne sont pas enregistrés dans une base CRAFT.

Correspondance

Si vous nous écrivez, nous traitons les informations que vous nous envoyez pour répondre.

Un SBOM peut contenir des données personnelles (auteurs, e-mails, fournisseurs). Ne déposez que ce qui est nécessaire à l’analyse.

• Exécuter l’analyse demandée : mesures précontractuelles / intérêt légitime à fournir le service que vous déclenchez.
• Sécuriser le service (limitation de débit, contrôle d’origine) : intérêt légitime.
• Mesurer l’audience du prototype (Umami auto-hébergé, y compris l’enregistrement de session, sans publicité ni revente) : intérêt légitime.
• Répondre à vos messages : intérêt légitime, consentement pour l’usage de l’adresse, et le cas échéant mesures précontractuelles.
• Produire le rapport de diagnostic : mesures précontractuelles, à votre demande.

CRAFT n’utilise pas vos données à des fins publicitaires.

Les données sont accessibles :

• à l’éditeur, pour faire fonctionner et améliorer le prototype ;
• à Vercel Inc., hébergeur du site, pour l’infrastructure et les journaux techniques ;
• à l’instance Umami auto-hébergée (metrics.dps-solution.com), pour la mesure d’audience et l’enregistrement de session. Les statistiques ne sont pas envoyées à un service d’analytics commercial tiers ;
• à Google (projet OSV, osv.dev), uniquement pour les PURL d’écosystèmes publics nécessaires à la corrélation des vulnérabilités ;
• à Resend, pour l’envoi des e-mails de confirmation et de notification lorsque vous utilisez le formulaire de contact.

Les données ne sont ni vendues ni cédées à des partenaires marketing.

L’hébergement du site par Vercel Inc. (États-Unis) peut impliquer un transfert de journaux techniques hors de l’Union européenne. La politique de confidentialité de Vercel s’applique à ce traitement.

Les requêtes vers api.osv.dev peuvent impliquer un traitement par Google, susceptible d’avoir lieu hors de l’Union européenne. Seuls des identifiants de paquets publics sont transmis, pas le fichier SBOM complet.

Umami est auto-hébergé par CRAFT. Les données d’audience n’empruntent pas, de ce fait, un cloud d’analytics américain.

• SBOM : durée de la requête côté serveur. Le fichier n’est pas persisté.
• Résultat d’analyse : conservé dans votre navigateur (session) jusqu’à la fermeture de l’onglet. L’URL de résultat n’est pas indexée.
• Adresse IP (limitation de débit) : environ une minute, en mémoire uniquement.
• Statistiques et enregistrements Umami : conservés sur l’instance auto-hébergée le temps nécessaire au suivi d’audience du prototype.
• Messages de contact : le temps nécessaire pour vous répondre, puis suppression ou archivage limité si une obligation légale l’impose. Les journaux d’envoi sont conservés chez Resend selon sa politique.
• Diagnostic : nom de société et réponses, durée de la requête. Le PDF est généré puis transmis ; CRAFT ne le conserve pas.

Le site n’utilise pas de cookies publicitaires ni de traceurs de réseaux sociaux. Aucun bandeau de consentement n’est affiché pour ces usages, car ils n’existent pas ici.

La mesure d’audience est réalisée avec Umami, auto-hébergé sur metrics.dps-solution.com : un script de fréquentation et un enregistreur de session. Ils n’ont pas vocation à profiler les visiteurs à des fins commerciales. Umami n’installe pas de cookie publicitaire. Pour ne pas compter un même navigateur comme un nouveau visiteur à chaque visite, un identifiant technique anonyme (UUID) est enregistré dans le stockage local du navigateur, puis associé aux statistiques. Il ne contient ni nom, ni e-mail, ni adresse IP. Il disparaît si vous effacez les données du site, et n’est pas posé en navigation privée si le stockage est indisponible.

L’enregistreur peut reproduire le parcours dans l’interface, y compris l’écran de résultats. N’y affichez pas de secrets. Si Umami n’est pas configuré, seuls des noms d’événements techniques peuvent être journalisés sur le serveur CRAFT, sans identifiant publicitaire.

L’analyse s’effectue sans création de compte. Le fichier n’est pas persisté. Les PURL d’hôtes internes ou privés ne sont pas envoyés à OSV. Des limites de taille, de débit et d’origine des requêtes réduisent les abus.

Aucun dispositif n’est infaillible. Évitez d’y déposer des secrets, des identifiants ou des données personnelles inutiles.

Pour signaler une vulnérabilité dans CRAFT, voir la politique de divulgation coordonnée.

Conformément au RGPD et à la loi Informatique et Libertés, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou l’opposition au traitement, ainsi que la portabilité des données que nous détenons, dans les conditions prévues par la loi.

Adressez votre demande à contact@craftsec.eu. Nous y répondrons dans les délais légaux.

Vous pouvez également introduire une réclamation auprès de la CNIL (Commission nationale de l’informatique et des libertés), cnil.fr.

En pratique, le SBOM n’étant pas conservé après l’analyse, une demande d’effacement de ce fichier n’a généralement plus d’objet une fois la requête terminée.

Cette politique peut être mise à jour pour refléter l’évolution du prototype ou de la réglementation. La date de dernière mise à jour figure en tête de page.