CyberAzimut (« CyberAzimut », « nous », « notre ») s'engage à protéger les données personnelles de ses clients, prospects et visiteurs du site. Cette politique explique ce que nous collectons, pourquoi, comment nous l'utilisons et les droits dont vous disposez.
Nous collectons les informations de compte que vous fournissez (nom, e-mail professionnel, entreprise, fonction), les données de facturation traitées par notre prestataire de paiement, et la télémétrie d'usage du produit (connexions, pages consultées, déclenchements de scan). Nous collectons aussi la télémétrie technique de votre surface d'attaque externe (enregistrements DNS publics, ports ouverts, bannières de service, certificats TLS), qui constitue l'objet même du service. Pour les clients dont le plan inclut des validations manuelles, nos analystes peuvent également capturer des notes, captures d'écran ou observations relatives aux actifs surveillés ; ces informations sont stockées et protégées avec les mêmes mesures que les données de scan automatisé. Si vous vous inscrivez à l'une de nos listes de diffusion, nous ne collectons que ce que décrit la section 3.
Pour fournir et opérer le service, authentifier les utilisateurs, envoyer les notifications transactionnelles (résultats de scan, alertes), facturer, détecter les abus, et, lorsque vous y consentez, envoyer occasionnellement des nouvelles produit. Nous ne vendons jamais vos données.
Depuis nos rapports et livres blancs, vous pouvez vous inscrire à deux listes distinctes, chacune avec sa propre case, jamais cochée d'avance : les invitations aux vagues de notre sondage anonyme, et l'envoi de notre rapport annuel « État de la menace au Québec » à sa parution. Chaque liste ne sert qu'à sa propre finalité. Votre inscription ne devient active qu'une fois que vous avez cliqué sur le lien du courriel de confirmation que nous vous envoyons (double confirmation) ; une inscription non confirmée est effacée automatiquement après 7 jours. Nous conservons uniquement votre adresse courriel, les listes choisies, la date de votre consentement et celle de votre confirmation, la version du libellé que vous avez accepté, votre langue et la page d'où vous vous êtes inscrit. Aucune adresse IP n'est conservée avec votre inscription. Comme pour toute requête adressée à nos services, l'adresse IP de la connexion figure dans nos journaux techniques de sécurité, conservés 12 mois. Les données de votre inscription sont conservées jusqu'à votre désabonnement, et chaque envoi contient un lien de désabonnement en un clic. Votre adresse n'est jamais vendue ni transmise à des tiers (hormis les sous-traitants de la section 5, qui l'hébergent et acheminent les envois), et n'est jamais utilisée pour de la prospection commerciale.
Les réponses au sondage sont anonymes : elles ne sont jamais liées à votre adresse courriel ni à votre inscription à la liste.
Nous partageons des données avec une liste restreinte de sous-traitants qui nous aident à opérer le service : notre hébergeur cloud (AWS), notre prestataire de paiement (Stripe), notre service d'envoi de courriels (AWS SES), et Cloudflare, dont le service Turnstile protège nos formulaires publics (essai gratuit, vérifications gratuites, listes de diffusion) contre les robots et traite, pour cette vérification, des données techniques de votre navigateur, dont votre adresse IP. La liste à jour est disponible sur demande.
Les données clients, et celles de nos listes de diffusion, sont stockées par défaut chez AWS dans la région ca-central-1 (Montréal, Canada). Nous conservons les données de compte aussi longtemps que votre abonnement est actif, plus 24 mois après la résiliation à des fins d'audit. L'historique de scan peut être purgé sur demande. Les données des listes de diffusion suivent la conservation décrite à la section 3. Nos trois vérifications publiques gratuites (sécurité du courriel, noms qui ressemblent au vôtre et DNS) conservent pendant 13 mois le domaine saisi, la date de la vérification et un résumé de son résultat (la note quand l'outil en donne une, et quelques compteurs) ; aucune adresse IP, aucune adresse courriel ni aucun autre identifiant n'y est associé, et ces données sont ensuite effacées automatiquement.
Si votre organisation le choisit, elle peut relier son Microsoft 365 à CyberAzimut en lecture seule. Ce connecteur sert à une seule chose : tenir l'inventaire des applications qui ont accès à votre Microsoft 365, et vous alerter dans le portail quand une application à risque est ajoutée ou modifiée. Ces alertes ne font l'objet d'aucun courriel d'alerte, ne sont pas transmises à Microsoft Sentinel et n'influencent pas votre note. Les rapports PDF de votre organisation, téléchargés depuis le portail ou reçus par courriel selon vos réglages, peuvent en tenir compte : dans leurs compteurs (une application compromise compte parmi les critiques) et, pour le rapport complet, par une ligne par alerte ouverte, sans le nom de l'application ni l'adresse de son auteur.
Seul un administrateur de votre Microsoft 365 peut donner cet accès, sur la page de Microsoft : soit directement depuis le portail, soit avec un lien de connexion valide 72 heures et utilisable une seule fois, qu'un membre de votre organisation (ou de votre partenaire, s'il gère votre compte) lui transmet. Nous demandons quatre permissions Microsoft Graph, toutes en lecture : Application.Read.All, DelegatedPermissionGrant.Read.All, AuditLog.Read.All et RoleManagement.Read.Directory. Rien n'est jamais écrit dans votre Microsoft 365.
Une fois par heure, nous lisons et conservons : la liste des applications qui ont accès à votre Microsoft 365 (nom, éditeur, et la date d'expiration de leurs secrets et certificats, jamais leur valeur) ; les permissions qui leur sont accordées ; les consentements donnés à ces applications, par un administrateur pour toute l'organisation ou par des utilisateurs (dans ce cas, nous gardons le nombre d'utilisateurs, jamais leur identité) ; les rôles d'administrateur attribués à des applications ; et, pour chaque ajout que nous détectons, l'adresse de connexion Microsoft (habituellement l'adresse courriel) de la personne qui l'a fait, ou le nom de l'application, avec l'heure, tirés du journal d'audit de Microsoft.
Nous ne lisons jamais vos courriels, vos fichiers, vos conversations Teams ni l'annuaire de vos utilisateurs. Si notre application recevait par erreur une permission sur les courriels, les fichiers ou l'annuaire, notre service refuserait de lire votre Microsoft 365. Pour faire ces lectures, Microsoft nous transmet aussi des données techniques que nous ne conservons pas, par exemple l'identifiant interne d'un utilisateur qui a consenti à une application, ou l'adresse IP associée à un événement du journal d'audit.
Ces données sont conservées tant que la connexion existe, chez AWS dans la région ca-central-1 (Montréal, Canada), comme les autres données clients. Votre organisation peut couper l'accès à tout moment : en déconnectant Microsoft 365 dans le portail, ou en supprimant notre application dans Microsoft Entra. À la déconnexion, l'inventaire, les alertes, les notes et discussions sur ces alertes, et les adresses tirées du journal d'audit sont effacés immédiatement de nos données actives ; une copie demeure dans nos sauvegardes de sécurité verrouillées pendant 30 jours, puis est effacée automatiquement dans les jours qui suivent. Si vous supprimez seulement notre application dans Entra, nous ne pouvons plus lire votre Microsoft 365, mais les données déjà recueillies restent dans le portail jusqu'à ce que vous déconnectiez. Le journal d'activité de votre organisation garde la trace de la connexion et de la déconnexion (par qui, quand), comme pour les autres gestes faits dans le portail.
L'administrateur qui utilise un lien de connexion n'a pas besoin de compte CyberAzimut, et nous ne lui demandons rien. Nous n'enregistrons ni son nom, ni son adresse IP, ni son navigateur avec la connexion : le journal d'activité de votre organisation indique que la connexion a été faite par un lien, et quel membre l'a créé. Comme pour toute requête adressée à nos services, l'adresse IP et le type de navigateur figurent dans nos journaux techniques de sécurité, conservés 12 mois.
Conformément au droit applicable (RGPD, Loi 25 du Québec, etc.), vous disposez de droits d'accès, de rectification, de portabilité, de limitation et de suppression de vos données personnelles. Pour exercer l'un de ces droits, écrivez à confidentialite@cyberazimut.com. Nous répondons sous 30 jours.
Toutes les données sont chiffrées en transit (TLS 1.2+) et au repos (AES-256). L'accès production est obligatoirement MFA et journalisé.
Notre site utilise des cookies strictement nécessaires à l'authentification et à la gestion de session. Nous utilisons un outil d'analyse respectueux de la vie privée (pas de tracking inter-sites, pas de cookies publicitaires).
Nous pouvons mettre à jour cette politique de temps en temps. La date de « dernière mise à jour » ci-dessus changera en conséquence. Pour les changements substantiels, nous informerons les clients par e-mail au moins 30 jours à l'avance.
Des questions ? Écrivez à confidentialite@cyberazimut.com.