Cette politique explique quelles données le service Nasse traite, pourquoi, combien de temps et avec qui, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Qui est responsable ?
Le service a deux rôles, selon les données :
- Responsable de traitement pour les comptes utilisateurs, la sécurité du service et la relation commerciale : Omar Idaroussi, en cours d'immatriculation (écrire à contact@nasse.app), contact@nasse.app.
- Sous-traitant (article 28 du RGPD) pour le contenu des emails et éléments que les clients soumettent à l'analyse : chaque client reste responsable de ces données. Ce traitement est encadré par le contrat de sous-traitance conclu avec chaque client.
2. Données traitées, finalités et durées de conservation
| Données | Pourquoi | Base légale | Durée |
|---|---|---|---|
| Compte : email, nom, rôle, organisation | Fournir le service, gérer les accès | Exécution du contrat | Durée du contrat, puis suppression sous 30 jours |
| Mot de passe (empreinte Argon2id, jamais le mot de passe lui-même) et secret de double authentification (chiffré) | Authentification | Exécution du contrat | Durée du compte |
| Emails du service : invitation, lien de réinitialisation du mot de passe, alertes de sécurité (nouvelle connexion, mot de passe modifié, compte verrouillé) | Vérifier votre adresse, récupérer l'accès, vous prévenir d'une activité suspecte | Exécution du contrat ; intérêt légitime (sécurité) | Non conservés par le service ; liens d'invitation valables 72 h, de réinitialisation 30 min, à usage unique |
| Session de connexion (cookie) | Rester connecté | Exécution du contrat | 2 h d'inactivité, 12 h au maximum |
| Adresses IP de connexion réussie | Éviter qu'un attaquant ne bloque votre compte | Intérêt légitime (sécurité) | 30 jours |
| Journal d'audit : date, compte, action, adresse IP (ex. connexion, modification des paramètres, envoi en sandbox) | Sécurité, traçabilité, preuve | Intérêt légitime (sécurité) | 12 mois |
| Journal de sécurité : échecs de connexion, adresse IP, identifiant saisi | Bloquer les attaques par force brute | Intérêt légitime (sécurité) | 90 jours |
| Journaux techniques du serveur web : adresse IP, date, page demandée | Fonctionnement et sécurité du service | Intérêt légitime (sécurité) | 90 jours |
| Clés API des services tiers saisies par le client | Interroger ces services pour le client | Exécution du contrat | Jusqu'à leur suppression par le client ou la fin du contrat ; chiffrées |
| Contenu soumis à l'analyse : email (en-têtes, corps, liens, pièces jointes), domaine | Produire le rapport d'analyse demandé | Instructions du client (sous-traitance) | Non conservé : traité en mémoire le temps de l'analyse. Les captures d'une analyse en sandbox restent en mémoire au plus jusqu'au redémarrage du service. |
| Facturation : raison sociale, contact, factures | Gestion commerciale et comptable | Obligation légale | 10 ans (Code de commerce) |
| Sauvegardes chiffrées (comptes, paramètres) | Restaurer le service en cas d'incident | Intérêt légitime | 14 jours glissants |
3. Avec qui les données sont-elles partagées ?
Aucune donnée n'est vendue ni utilisée à des fins publicitaires. Les destinataires sont :
- L'hébergeur : OVH SAS (France (Gravelines)), qui fournit le serveur.
- Le prestataire d'envoi d'emails : Scaleway SAS (Transactional Email), France, qui achemine les emails du service (adresse et nom du destinataire, contenu du message).
- Les services de réputation et d'analyse, uniquement lorsque le client les a activés en saisissant sa propre clé API, et uniquement pour les éléments nécessaires :
| Service | Ce qui lui est transmis | Quand | Localisation |
|---|---|---|---|
| VirusTotal (Google) | Empreintes (SHA-256) des pièces jointes, liens, domaines, adresses IP — pas les fichiers eux-mêmes | À chaque analyse, si activé | États-Unis |
| Google Safe Browsing | Liens | À chaque analyse, si activé | États-Unis |
| AbuseIPDB | Adresses IP des serveurs d'envoi | À chaque analyse, si activé | États-Unis |
| urlscan.io | Un lien choisi | Uniquement sur demande explicite et confirmée de l'utilisateur | Allemagne |
| Hybrid Analysis (CrowdStrike) | Un fichier ou un lien choisi ; le rapport est public | Uniquement sur demande explicite et confirmée de l'utilisateur | États-Unis |
| ANY.RUN | Un fichier ou un lien choisi | Uniquement sur demande explicite et confirmée de l'utilisateur | Hors Union européenne |
| RDAP (rdap.org) et serveurs DNS | Noms de domaine et adresses IP (informations publiques d'enregistrement) | À chaque analyse | Variable |
Les transferts hors de l'Union européenne reposent sur les garanties proposées par chaque prestataire (adhésion au Data Privacy Framework UE–États-Unis ou clauses contractuelles types de la Commission européenne). L'envoi d'un élément en sandbox n'est jamais automatique : l'utilisateur voit ce qui sera envoyé, à qui, et doit confirmer. Il est recommandé de ne pas soumettre de documents contenant des données personnelles sensibles.
4. Sécurité
Connexion chiffrée (HTTPS) ; double authentification obligatoire ; mots de passe hachés (Argon2id) ; clés API et secrets chiffrés ; cloisonnement strict entre organisations clientes ; blocage automatique des tentatives de force brute ; service isolé sur le serveur ; mises à jour de sécurité automatiques ; sauvegardes chiffrées. En cas de violation de données vous concernant, vous serez informé dans les conditions prévues par le RGPD.
5. Cookies et stockage local
Un seul cookie : ms_session, strictement nécessaire à la connexion (exempté de consentement). Le
navigateur mémorise aussi localement le thème clair/sombre et la signature des emails clients ; ces informations ne
quittent pas votre appareil. Aucun cookie publicitaire, aucun outil de mesure d'audience, aucun traceur tiers.
6. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Pour les exercer : contact@nasse.app (une réponse vous sera apportée sous un mois). Pour les données contenues dans les emails analysés, adressez-vous en priorité à l'organisation cliente qui les a soumises : elle en est responsable et l'éditeur l'assistera.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr/fr/plaintes).
7. Modifications
Cette politique peut évoluer ; la date de mise à jour figure en haut de la page. Les clients sont informés de tout changement important.