Politique de confidentialité

Données de vos collaborateurs. Votre entreprise est le responsable de traitement : elle décide des finalités et des moyens. CyberAware360 agit comme sous-traitant et ne traite ces données que sur vos instructions documentées, pour fournir le service.

Visiteurs du site et prospects. Pour les demandes de démonstration, les formulaires de contact et l'inscription, nous sommes responsable de traitement.

Le traitement est encadré par la loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au Cameroun, complétée par le contrat de sous-traitance signé avec chaque client.

• Identité professionnelle — nom, adresse e-mail, département, rôle. Fournis par votre employeur lors de l'import, ou saisis à la première connexion.
• Résultats de sensibilisation — réception et ouverture d'une simulation, clic, signalement, progression dans les formations, scores de quiz, score de risque. C'est la catégorie la plus sensible : elle est nominative et porte un jugement.
• Messages signalés — le contenu qu'un collaborateur choisit de transmettre à son équipe sécurité, et l'expéditeur qu'il indique.
• Traces techniques — action effectuée, auteur, rôle, adresse IP, horodatage, pour la piste d'audit exigée par les référentiels de conformité.
• Données commerciales — coordonnées professionnelles, abonnement, factures.

Nous ne demandons ni ne souhaitons recevoir de données sensibles au sens de la loi (santé, opinions, appartenance syndicale). Si un message signalé en contient, il suit le sort du signalement et sa durée de conservation.

Exclusivement pour exécuter le service souscrit par votre employeur : envoyer des simulations, délivrer des formations, mesurer la progression, produire les rapports de conformité, assurer le support et la facturation.

Ce que nous n'en faisons pas : aucune revente, aucun partage à des fins publicitaires, aucun enrichissement de profil marchand, aucune utilisation pour entraîner un modèle d'intelligence artificielle.

Un engagement de conception. Le score de risque d'une personne est un outil pédagogique. La plateforme ne produit pas de classement nominatif descendant et n'exporte pas de liste des « collaborateurs les plus faibles ». L'usage que votre employeur fait des données relève de sa responsabilité et du droit du travail applicable.

• Résultats de sensibilisation — conservés sous forme nominative 24 mois, puis agrégés au niveau du département de façon irréversible. Les statistiques de conformité survivent, la personne disparaît.
• Messages signalés — 12 mois après la clôture du signalement.
• Traces d'audit — 36 mois, durée alignée sur les cycles d'audit ISO 27001.
• Départ d'un collaborateur — compte désactivé dès que son employeur le signale, anonymisation dans un délai de 90 jours.
• Fin du contrat client — export complet remis au client, puis effacement sous 30 jours.
• Données commerciales — selon les obligations comptables et fiscales applicables.

La base de données est hébergée en Irlande et les serveurs applicatifs en Allemagne, tous deux dans l'Union européenne.

Nous ne proposons pas aujourd'hui de choix de région d'hébergement. Les organisations dont les données ne doivent pas quitter leur réseau ou leur pays peuvent faire déployer la plateforme sur leur propre infrastructure : c'est actuellement la seule configuration qui garantit la localisation.

Nous recourons aux prestataires suivants, chacun pour une finalité précise :

• Supabase — base de données, Irlande.
• Hetzner — serveurs applicatifs, Allemagne.
• Cloudflare — service de noms de domaine et protection contre les attaques ; traite des métadonnées de trafic et des adresses IP.
• Resend — acheminement des e-mails transactionnels (codes de connexion, notifications).
• Anthropic — génération de contenus pédagogiques. Voir la section 8 : aucune donnée personnelle ne lui est transmise.

Tout nouveau sous-traitant traitant des données de collaborateurs est porté à la connaissance des clients concernés avant sa mise en service.

• Cloisonnement entre clients — chaque enregistrement porte l'identifiant de son entreprise, et la couche d'accès aux données rejette toute requête visant une autre entreprise. Ce cloisonnement est vérifié automatiquement à chaque livraison par une suite de tests d'accès croisés.
• Chiffrement — transport en TLS ; mots de passe des utilisateurs hachés ; secrets de messagerie confiés par les clients chiffrés en AES-256 et jamais restitués par l'interface ni par l'API.
• Sessions — jeton de session en cookie inaccessible au JavaScript de la page, transmis uniquement en HTTPS.
• Journalisation — toute action d'administration est tracée avec son auteur, son rôle et son horodatage, et conservée même si le compte disparaît.
• Pas de suppression en dur — les comptes sont désactivés plutôt que supprimés, afin qu'une erreur d'exploitation ne détruise pas un historique de conformité.

La plateforme utilise aujourd'hui l'IA pour un seul usage : rédiger des contenus de formation à partir d'un sujet, d'un niveau, d'une langue et d'un pays visé. Aucune donnée personnelle, aucun résultat de campagne et aucun identifiant de client ne sont transmis au modèle.

Les évolutions à venir resteront soumises aux règles suivantes :

• Aucune donnée nominative ne sera transmise à un modèle. Seuls des agrégats portant sur au moins cinq personnes pourront l'être ; en deçà, le calcul remonte au niveau de l'entreprise.
• Aucune action ne sera exécutée par un modèle. L'IA produit une proposition ; un administrateur identifié l'approuve ou la rejette, et cette décision est journalisée.
• Aucune décision automatisée produisant un effet sur une personne.
• L'assistance par IA pourra être désactivée par chaque entreprise cliente.

Le site public ne dépose aucun cookie de mesure d'audience ni de publicité. L'application dépose un unique cookie de session, strictement nécessaire à votre connexion ; il expire au bout de 24 heures.

Vous disposez d'un droit d'accès, de rectification, d'effacement, d'opposition et de limitation sur vos données.

Si vous êtes collaborateur d'une entreprise cliente, adressez votre demande à votre employeur : il est responsable de traitement et nous n'agissons que sur ses instructions. Nous l'assistons dans un délai qui lui permet de vous répondre.

Dans tous les cas, vous pouvez nous écrire à [email protected]. Nous accusons réception sous 5 jours ouvrés et répondons sous 30 jours.

En cas de violation affectant des données personnelles, nous informons l'entreprise cliente concernée sans délai injustifié dès que nous en avons connaissance, avec la nature de l'incident, les catégories de données touchées et les mesures prises. Il revient au responsable de traitement de procéder aux notifications prévues par la loi applicable.

Cette politique peut évoluer avec le produit. Toute modification substantielle est notifiée aux entreprises clientes avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.