Qui est responsable
à compléter : raison sociale, forme juridique, numéro d'entreprise et siège social. Pour toute question relative aux données personnelles : contact@euvex.eu.
Aucun délégué à la protection des données n'est désigné : euvex ne procède ni à un suivi systématique à grande échelle, ni au traitement de catégories particulières de données.
Ce qu'euvex enregistre, et pourquoi
La liste ci-dessous est exhaustive et correspond aux colonnes qui existent réellement en base. Rien d'autre n'est collecté : il n'y a ni traceur publicitaire, ni outil d'analyse d'audience, ni revente à qui que ce soit.
| Donnée | Pourquoi | Forme |
|---|---|---|
| Adresse email du compte | Identifiant de connexion, confirmation d'adresse, réinitialisation du mot de passe, lien de suppression d'un compte sans mot de passe, avis d'un changement d'adresse demandé sur le compte. Sans lien avec le seuil d'alerte, elle reçoit aussi l'avis d'ouverture d'un dossier de signalement art. 14 sur l'un de vos produits, et l'annonce d'une modification des conditions d'utilisation. | en clair |
| Mot de passe | Vous authentifier. | empreinte scrypt, jamais stocké en clair et non réversible |
| Sessions ouvertes | Reconnaître chaque navigateur connecté à votre compte, vous en montrer la liste dans vos réglages, et pouvoir en fermer une seule, à distance. La dernière activité n'est notée qu'une fois toutes les cinq minutes au plus. | identifiant aléatoire ; appareil résumé, le nom du navigateur et du système (jamais l'en-tête complet du navigateur) ; réseau de l'adresse IP seulement, comme au journal ; façon de se connecter ; dates d'ouverture, de dernière activité et d'expiration |
| Double authentification, si vous l'activez | Vous demander, à chaque connexion, un code tiré d'une application sur votre téléphone, ou l'un de vos dix codes de secours. | secret chiffré (AES-256-GCM), sous une clé gardée hors de la base ; codes de secours en SHA-256 seulement, chacun à usage unique ; date d'activation |
| Demande de changement d'adresse | Confirmer la nouvelle adresse par un lien qui lui est envoyé, et permettre à l'ancienne d'annuler, même après le changement, pendant sept jours. | l'ancienne et la nouvelle adresse, en clair ; les deux liens en SHA-256 seulement ; dates de la demande, de la confirmation et de l'annulation |
| Suspension du compte, le cas échéant | Arrêter un compte qui met le service en danger ou contrevient aux conditions d'utilisation (article 10), sans rien effacer : plus aucune connexion, plus de session ouverte, plus de surveillance de ses scans ni d'alerte, jusqu'au rétablissement. Le motif est écrit par un administrateur d'euvex. | date et motif, une phrase de 300 caractères au plus dont toute adresse email est retirée ; effacés au rétablissement, et avec le compte |
| Identifiant Google et GitHub | Vous reconnaître si vous vous connectez par ce fournisseur. Nous conservons son identifiant interne, jamais votre mot de passe chez lui. | identifiant technique + nom du fournisseur |
| Jetons de connexion et de réinitialisation | Valider un lien reçu par email, à usage unique et de courte durée. | SHA-256 seulement, une fuite ne donne aucun lien utilisable |
| Tentatives de connexion | Plafonner les demandes pour empêcher qu'un tiers nous fasse expédier des emails en masse, remplisse en boucle le formulaire « Préparer un premier dossier », ou devine un mot de passe ou un code de double authentification. | SHA-256 de l'adresse, de l'IP ou de l'identifiant du compte, aucun n'est lisible en base |
| Journal des actions sensibles | Savoir qui a fait quoi sur un compte, quand et depuis quel réseau : connexions réussies ou refusées, codes de double authentification refusés, déconnexions, création du compte, mot de passe, fermeture des sessions (avec l'appareil résumé de la session fermée), activation et désactivation de la double authentification, changement d'adresse demandé, confirmé ou annulé, réglages, export, suppression, changements d'abonnement, les litiges et remboursements de paiement notifiés par notre prestataire, un email d'abonnement qui n'a pas pu partir faute d'adresse confirmée, l'envoi d'une demande au support et son sujet, et l'arrêt des alertes d'un scan par un désabonnement, un rebond ou une plainte, que la page du scan vous explique ainsi. Vous en voyez les vingt dernières lignes dans vos réglages, et l'export les contient toutes. Chaque ouverture de la fiche d'un compte par un administrateur d'euvex y est aussi inscrite, comme chacun de ses gestes sur un compte (renvoi du lien de confirmation, suspension et rétablissement, suppression, effacement d'un scan, demande de support marquée traitée), au compte de l'administrateur et avec l'identifiant du compte visé : ces lignes-là ne figurent donc pas dans vos réglages, mais dans les siens. L'export de la liste des clients y est inscrit de même, avec le nombre de lignes exportées, et le traitement ou l'effacement d'une demande « Préparer un premier dossier », avec sa seule référence et, pour un effacement, le motif. | nature de l'action et date ; réseau de l'adresse IP seulement (trois premiers nombres en IPv4, préfixe /48 en IPv6), aucun pour un désabonnement, un rebond ou une plainte ; identifiant des scans dont les alertes ont cessé, d'une demande de support et de son sujet ; pour un litige ou un remboursement, les références du paiement chez notre prestataire et son montant ; jamais d'adresse email, de mot de passe ni de lien. Aucun contenu, à une exception : le motif qu'un administrateur écrit pour suspendre un compte ou effacer un scan, une phrase de 300 caractères au plus dont toute adresse email est retirée |
| Adresse d'alerte attachée à un scan | Vous prévenir quand une nouvelle CVE touche un produit déjà scanné, à partir du seuil de sévérité choisi, et, une seule fois, quand aucun composant du scan ne peut être interrogé. Facultative. Une autre adresse que celle de votre compte reçoit d'abord un lien de confirmation, et rien d'autre tant qu'elle ne l'a pas suivi. Celle du compte ne reçoit rien tant que le compte n'est pas confirmé, et aucun lien à part. | en clair · désabonnement en un clic |
| Adresses d'alerte proposées par le compte | Savoir si une adresse a accepté les alertes de votre compte, et ne pas lui envoyer plus d'un lien de confirmation par jour. Une adresse que sa messagerie rejette, ou qui nous signale comme indésirables, est retirée sur l'avis de notre prestataire d'envoi. | en clair · retirée au désabonnement et avec le compte |
| Trace des emails programmés | N'envoyer qu'une fois la relance d'une adresse non confirmée, le résumé de chaque semaine et chaque rappel d'échéance. Pour chacun : sa sorte, une clé faite du compte et de la semaine, ou du dossier art. 14 et de son échéance, ou du texte et du délai, ou du produit et de la fin de sa période de support, la date de l'envoi et son issue, avec la raison d'un envoi écarté (rien de neuf, adresse non confirmée, réglage coupé). | aucune adresse, aucun contenu d'email ; effacée avec le compte |
| Raison sociale et numéro de TVA | Imprimés sur les documents que vous produisez : en tête des dossiers imprimables, et au point 2 de la déclaration UE de conformité. Facultatifs. | en clair |
| Demandes écrites au support | Vous répondre. Écrite depuis la page Aide de la console, une demande porte l'identifiant de votre compte, son adresse au moment de la demande, le sujet choisi, votre message et, si vous la joignez, la page de la console d'où vous écrivez. Elle part par email à notre adresse de contact, et un accusé de réception part à l'adresse du compte si elle est confirmée. Vous retrouvez vos demandes sur la page Aide, et l'export du compte les contient. | texte libre, il peut contenir des noms si vous en écrivez ; effacée avec le compte, et douze mois après avoir été traitée |
| Demandes « Préparer un premier dossier » | Vous répondre, et préparer avec vous un premier dossier. Le formulaire public, sans compte, garde l'adresse que vous donnez, le nombre de vos gammes par tranche, les textes que vous visez, votre chaîne de compilation et, si vous en écrivez un, votre message. Une notification part à notre adresse de contact ; aucun email ne part vers l'adresse saisie avant notre réponse, qui vient d'une personne. | texte libre, il peut contenir des noms si vous en écrivez ; ni compte ni adresse IP ; effacée douze mois après avoir été traitée, ou tout de suite sur demande |
| Produits et contenu que vous saisissez | Gammes et produits (nom, version, période de support et ce qui en a déterminé la durée), questionnaires CRA, RED et Machines, dossiers de signalement CRA art. 14, décisions sur les vulnérabilités (état, justification, détail, date et compte qui a décidé) : du texte libre, que vous écrivez. Aucun fichier n'y est déposé. | texte libre, il peut contenir des noms si vous en écrivez |
Les fichiers que vous déposez ne sont pas conservés. Un package-lock.json est lu, transformé en nomenclature logicielle, puis jeté. Seule la nomenclature qui en résulte est enregistrée : des noms de paquets et des versions, pas votre code.
Qui peut voir un scan
Un scan est accessible à qui possède son adresse. Il n'y a pas de contrôle d'accès supplémentaire : ce qui le protège est le caractère indevinable de l'identifiant dans l'URL, un UUID de 128 bits, dont 122 tirés au hasard. C'est un choix, et il a une contrepartie que vous devez connaître.
Ce que ça vous permet. Générer un SBOM et le transmettre à un auditeur, à un acquéreur ou à un collègue sans que personne ait à créer de compte. Le lien fonctionne tel quel.
Ce que ça implique. Toute personne à qui ce lien parvient, volontairement ou non, voit l'inventaire du produit et ses vulnérabilités connues. Traitez-le comme un mot de passe : transmettez-le par un canal que vous maîtrisez, et évitez de le publier là où il serait recopié.
Ce que nous faisons de notre côté. Les pages de scan et leurs dossiers imprimables sont servis avec une instruction noindex, et /scan/ est exclu dans robots.txt. Un lien qui aurait fuité ne devient donc pas, en plus, un résultat de recherche permanent. Cela ne rend pas le lien secret pour autant : la garde reste l'URL elle-même.
Un scan est en outre rattaché au compte qui l'a déposé et listé dans sa console. Un scan déposé sans compte avant le 31 août 2026, quand le dépôt était ouvert, n'est rattaché à aucun compte et ne se retrouve que par son adresse. Nous ne pouvons pas vous la retrouver.
Sur quelle base légale
Les traitements décrits ici relèvent du règlement général sur la protection des données : règlement (UE) 2016/679, dit RGPD. Les bases légales ci-dessous sont celles de son article 6.
Exécution du service pour le compte, les scans et les dossiers : sans ces données, euvex ne peut pas fonctionner. Les sessions, la double authentification et le changement d'adresse en font partie : ce sont les moyens de garder votre compte à vous seul.
Exécution du service encore pour les demandes écrites au support : vous répondre. Une demande qui porte sur vos données personnelles reçoit sa réponse au titre de l'obligation que le RGPD nous fait d'y répondre (article 12).
Mesures précontractuelles prises à votre demande pour le formulaire « Préparer un premier dossier » : vous répondre, et préparer avec vous un premier dossier (article 6, paragraphe 1, point b). Les seuls gestes de l'exploitant sur ces demandes, inscrits au journal des actions sensibles, sont de les marquer traitées et de les effacer à votre demande.
Intérêt légitime pour le plafonnement des tentatives de connexion : protéger le service contre l'abus. Les clés y sont hachées, ce qui limite l'atteinte au strict nécessaire.
Intérêt légitime encore pour le journal des actions sensibles : sécuriser votre compte, vous permettre de repérer un accès que vous n'avez pas fait, et pouvoir établir ce qui s'est passé en cas de contestation. L'adresse IP n'y figure jamais entière, seulement son réseau.
Intérêt légitime enfin pour l'accès de l'exploitant à votre compte : les seules personnes habilitées, tenues à la double authentification, peuvent lire ce que cette page décrit (jamais votre mot de passe, qui n'est gardé qu'en empreinte, ni le secret de votre double authentification), pour vous répondre, suivre la facturation et faire tourner le service. Chaque ouverture de la fiche de votre compte est inscrite au journal des actions sensibles.
Elles n'y modifient rien, sauf par quelques gestes, chacun confirmé et inscrit au même journal : renvoyer le lien de confirmation de votre adresse, marquer traitée une demande écrite au support, suspendre le compte et le rétablir, le supprimer ou effacer l'un de ses scans à votre demande, et exporter la liste des clients. La suspension relève du même intérêt légitime, protéger le service et ses utilisateurs, et des conditions d'utilisation (article 10) ; une suppression ou un effacement fait à votre demande répond à votre droit à l'effacement (article 17).
Votre demande explicite pour les alertes email : vous ne recevez rien tant que vous n'avez pas fourni d'adresse, une adresse autre que celle de votre compte doit avoir accepté avant de recevoir quoi que ce soit, celle du compte doit avoir été confirmée, et un lien de désabonnement figure dans chaque message.
Où c'est hébergé
L'application et la base sont à Francfort, l'envoi des emails en Irlande, le suivi des erreurs à Francfort. Cloudflare, société américaine au réseau mondial, sert le DNS, les tâches planifiées, la vérification anti-robot et la redirection des adresses de contact.
- Application : Vercel, région de Francfort.
- Base de données : Supabase, région de Francfort.
- Envoi des emails : Resend, Irlande.
- DNS, tâches planifiées et redirection des adresses de contact : Cloudflare, société américaine au réseau mondial.
- Sauvegardes : une copie chiffrée de la base, faite une fois par jour et conservée quatorze jours dans les artefacts de GitHub, société américaine.
- Suivi des erreurs : Sentry, région de Francfort. Il reçoit le détail technique d'une erreur (message, pile d'appels, page, navigateur), sans compte, sans adresse email, sans cookie, sans en-tête ni paramètre d'adresse.
- Connexion par un fournisseur d'identité : Google et GitHub, uniquement si vous choisissez ce bouton plutôt qu'un mot de passe. Vous vous authentifiez chez eux ; ils nous renvoient un identifiant technique et votre adresse email. euvex ne leur transmet aucune de vos données de conformité, et ne reçoit jamais votre mot de passe.
- Vérification anti-robot : Cloudflare Turnstile, uniquement sur les pages de création de compte, de mot de passe oublié et du formulaire « Préparer un premier dossier », et à la connexion après plusieurs essais manqués. Il reçoit votre adresse IP et des signaux techniques de votre navigateur, le temps de vérifier que la demande ne vient pas d'un robot. Il ne dépose pas de cookie publicitaire et ne sert pas à vous identifier.
Cette vérification a été ajoutée le 14 août 2026, après que le formulaire de création de compte a été utilisé pendant dix-huit jours pour envoyer des emails de confirmation à des adresses collectées ailleurs, dont les propriétaires n'avaient rien demandé. Les comptes correspondants ont été supprimés le jour même.
Ces prestataires agissent comme sous-traitants. Certains sont des sociétés de droit américain : leurs garanties de transfert restent à vérifier à compléter.
euvex interroge quatre sources publiques de vulnérabilités, et aucune donnée personnelle ne leur est transmise.
- OSV.dev reçoit des noms de paquets et des versions, au dépôt d'un scan puis à chaque revérification.
- La NVD (nvd.nist.gov, États-Unis) reçoit un identifiant CPE, ou à défaut un nom de composant et sa version, pour les seuls composants qu'OSV ne sait pas résoudre. Interrogée par la tâche quotidienne, pas au dépôt.
- La base européenne de l'ENISA reçoit des identifiants de vulnérabilité déjà publics, pour leur attacher leur équivalent européen. Aucun nom de composant ne lui est envoyé.
- Le catalogue « Known Exploited Vulnerabilities » de la CISA est simplement téléchargé : rien ne lui est demandé sur vos composants.
Dans tous les cas, ce qui sort sont des noms de logiciels tiers et des numéros de version publics. Ni votre identité, ni celle de votre produit, ni le contenu de vos dossiers ne quittent euvex par ce chemin.
Combien de temps
Les données de votre compte sont conservées tant que le compte existe. Sa suppression efface le compte, ses produits, leurs questionnaires CRA, RED et Machines, leurs décisions sur les vulnérabilités, ses dossiers de signalement et ses alertes. Vos scans ne sont pas effacés : ils sont détachés du compte, leur adresse d'alerte est vidée, et ils restent lisibles par qui a leur lien. Pour en faire effacer un, écrivez à contact@euvex.eu. L'effacement est alors réel : le scan et toutes ses révisions sont effacés, et son lien cesse de fonctionner, y compris pour un auditeur à qui vous l'auriez confié. Il est refusé tant qu'un dossier de signalement art. 14 encore ouvert en dépend, le scan datant la prise de connaissance dont partent les délais : il faut d'abord clore ce dossier.
Une suspension garde sa date et son motif sur le compte jusqu'au rétablissement, qui les efface, ou jusqu'à la suppression du compte. Les lignes du journal qui la retracent suivent la conservation du journal, douze mois.
Les jetons de connexion expirent en quelques minutes. Les lignes de plafonnement n'ont d'intérêt que le temps de leur fenêtre glissante (de quinze minutes à un jour) et sont effacées automatiquement au-delà de vingt-cinq heures, par la même passe automatique qui surveille vos scans, toutes les dix minutes.
Une session est effacée quand vous la fermez, quand vous vous déconnectez, quand le compte est suspendu, et sinon à son expiration, trente jours après son ouverture. Le secret de la double authentification et ses codes de secours sont effacés quand vous la désactivez. Une demande de changement d'adresse, et les deux adresses qu'elle porte, est effacée sept jours après avoir été faite, au terme du lien d'annulation. Tout cela part aussi avec le compte.
Le journal des actions sensibles est conservé douze mois, puis effacé automatiquement par cette même passe. Il n'est pas effacé avec le compte : la ligne qui prouve qu'une suppression a été demandée, et depuis où, ne peut pas disparaître avec elle. Il reste donc jusqu'au terme de ses douze mois, et ne porte plus alors qu'un identifiant technique qui ne renvoie à aucun compte, le réseau tronqué, la nature des actions et, pour l'arrêt des alertes, l'identifiant des scans concernés. Aucune adresse email, aucun contenu, hormis le motif d'une suspension ou d'un effacement écrit par un administrateur, sans adresse.
Les demandes écrites au support sont conservées tant que le compte existe, et effacées automatiquement douze mois après avoir été traitées, par la même passe. Elles partent avec le compte. Une demande pas encore traitée reste jusqu'à son traitement. Le journal des actions garde, lui, la date d'une demande, son sujet et la date de son traitement, sans le message, jusqu'au terme de ses douze mois.
Une demande « Préparer un premier dossier » est conservée jusqu'à son traitement, puis effacée douze mois après avoir été traitée. Elle n'est rattachée à aucun compte : pour la voir effacée plus tôt, écrivez à contact@euvex.eu depuis l'adresse que vous aviez donnée, et elle l'est tout de suite. Le journal des actions garde la référence de la demande et la date de son traitement ou de son effacement, sans l'adresse ni le texte, jusqu'au terme de ses douze mois.
À être franc sur un point : la console propose de choisir une durée de conservation des scans (illimitée, 10 ans, 15 ans ou 20 ans). Ce réglage est bien enregistré, mais aucune suppression automatique ne tourne à ce jour. Les scans sont donc conservés jusqu'à ce que vous demandiez leur effacement. Nous préférons l'écrire que de laisser croire à un mécanisme qui n'existe pas encore.
Les emails programmés suivent vos réglages. Le résumé hebdomadaire, coupé par défaut, et les rappels d'échéance, actifs par défaut, partent à l'adresse du compte une fois confirmée ; chaque email porte un lien pour ne plus le recevoir. Une adresse de compte non confirmée reçoit une seule relance, trois jours après l'inscription. Le seuil de sévérité, lui, est appliqué depuis le 7 septembre 2026 : il décide si une alerte CVE part, jamais si une vulnérabilité est enregistrée. Sans lien avec lui, l'adresse du compte reçoit l'avis d'ouverture d'un dossier de signalement art. 14, et l'adresse d'alerte d'un scan l'avis unique d'un scan dont aucun composant ne peut être interrogé. La console le dit sur chacun de ces réglages.
Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, leur portabilité, la limitation de leur traitement, ou vous opposer à un traitement fondé sur l'intérêt légitime.
En pratique : une adresse d'alerte se retire en un clic depuis n'importe quel email reçu, l'adresse du compte se change, une copie de toutes les données du compte se télécharge et les sessions ouvertes se ferment depuis les réglages, et le compte s'efface depuis la même page. Pour le reste, écrivez à contact@euvex.eu ou, depuis la console, par la page Aide ; il y sera répondu dans un délai d'un mois.
Si la réponse ne vous satisfait pas, vous pouvez saisir l'autorité de protection des données compétente à compléter : autorité du pays d'établissement.
Modifications
Ce document suit le code. Toute évolution du traitement (une donnée de plus, un sous-traitant qui change) s'accompagne d'une mise à jour de cette page et de sa date.