Politique de confidentialité

Qui nous sommes#

Narvy est une marque de LIMITLESS KNOWLEDGE, société par actions simplifiée unipersonnelle (SASU) au capital de 500 €, dont le siège est situé 10 Place de Wicklow, 78180 Montigny-le-Bretonneux, France, immatriculée au RCS de Versailles sous le numéro 994 833 143 (SIRET 994 833 143 00013, TVA FR46994833143). LIMITLESS KNOWLEDGE est responsable du traitement au sens du règlement (UE) 2016/679 (RGPD).

Nous ne sommes pas tenus de désigner un délégué à la protection des données (art. 37 du RGPD) et n'en avons pas désigné. Le contact protection des données joint la personne chargée des décisions en la matière.

Champ d'application#

Cette politique couvre le site, la plateforme, le scanner en ligne de commande lorsqu'il appelle notre API, et nos intégrations CI/CD.

Lorsque ce que vous soumettez à l'analyse contient des données personnelles de vos propres utilisateurs, vous en êtes le responsable de traitement et nous agissons comme votre sous-traitant (art. 28 du RGPD) selon notre accord de traitement des données, qui prévaut sur cette page pour ce traitement.

Données collectées#

Données que vous fournissez :

• Compte : adresse e-mail, nom et prénom, nom de société facultatif, mot de passe (stocké sous forme hachée).
• Double authentification : secret TOTP et codes de récupération, stockés sous forme hachée.
• Facturation : offre, statut d'abonnement, historique des factures. Les données de carte sont saisies chez notre prestataire de paiement et n'atteignent jamais nos serveurs.
• Éléments soumis à l'analyse (section 5).
• Identifiants d'intégration : jetons ou installations GitHub, GitLab, Bitbucket et Jira ; clés d'accès cloud et paramètres SSH si vous utilisez l'audit de posture cloud ou l'audit d'hôte.
• Retours sur les résultats (qualification de faux positifs, commentaires) et échanges avec nous.

Données collectées automatiquement :

• Journaux techniques (adresse IP, navigateur, page demandée), utilisés pour la sécurité et l'investigation des abus.
• Rapports d'erreur, transmis à notre prestataire de supervision des erreurs dans sa région de données UE.
• Mesure d'audience (section 11).
• Statistiques d'usage anonymes du scanner en ligne de commande, sans code, résultat de scan, chemin de fichier ni identifiant de compte. Désactivables avec NARVY_TELEMETRY=0 ou DO_NOT_TRACK=1.

Les données de compte, de facturation et les éléments soumis sont nécessaires à la fourniture du service. Les autres données sont facultatives.

Nous ne vendons, ne louons et ne partageons aucune donnée personnelle avec des annonceurs ou des courtiers en données. Aucun pixel publicitaire, traceur inter-sites, enregistrement de session ni profilage publicitaire.

Finalités et bases légales#

Retours sur les faux positifs. Lorsque vous qualifiez un résultat de faux positif, nous pouvons utiliser cette qualification avec les caractéristiques techniques du résultat (règle, sévérité, chemin du fichier, extrait de code) pour réentraîner le modèle de filtrage des faux positifs commun à tous les clients. Seuls les résultats qualifiés sont utilisés, jamais pour reconstituer votre application, et sans identité client. Pour vous y opposer, écrivez à privacy@narvy.io ; aucune justification n'est demandée.

Éléments soumis à l'analyse#

Fichiers téléversés (APK, AAB, IPA, archives de code). Stockés de façon privée dans l'UE. Les copies de travail sont supprimées à la fin du scan. Le fichier téléversé et les rapports sont conservés selon la section 6. Les résultats comprennent le chemin du fichier, la ligne et un court extrait de code ; les secrets sont masqués.

Dépôts connectés. Nous clonons la branche choisie, l'analysons puis supprimons le clone. Nous conservons les résultats, pas le code. Les corrections automatiques sont proposées sous forme de pull requests que vous relisez ; nous ne poussons jamais sur une branche.

Scans web. Les requêtes partent de notre infrastructure vers l'adresse indiquée. Les réponses nécessaires pour prouver un résultat sont conservées comme preuve dans le rapport. N'analysez que des systèmes que vous êtes autorisé à tester.

Analyse dynamique mobile. Votre application s'exécute dans un environnement de test instrumenté situé dans l'UE. Le trafic réseau généré pendant le test est capturé comme preuve et conservé avec le scan. L'application est retirée à la fin du test.

Posture cloud et audit d'hôte. Nous demandons un accès en lecture seule et lisons uniquement des métadonnées de configuration, jamais le contenu de vos stockages, bases de données ou charges de travail. Les identifiants sont stockés chiffrés. Les révoquer met fin immédiatement à notre accès.

Contrôle de conformité aux stores (sans compte).

• Le fichier n'est pas conservé. Il est supprimé à la fin de l'analyse, y compris en cas d'échec. Le résultat est envoyé uniquement à votre navigateur. Nous ne conservons ni le fichier, ni le résultat, ni le nom, l'identifiant ou la version de l'application.
• Pour un lien Google Play, notre serveur récupère le paquet public. Votre adresse IP n'est pas transmise. Le paquet est traité comme un fichier téléversé.
• Nous limitons l'usage par adresse IP pour prévenir les abus. Ces compteurs expirent au plus tard 24 heures après votre dernière requête.
• Un contrôle anti-robots est requis. Son prestataire reçoit votre adresse IP et des signaux de navigateur, jamais le fichier ni le résultat.
• Alerte d'échéance facultative, sur consentement uniquement (art. 6(1)(a) du RGPD) : nous conservons votre adresse e-mail, l'identifiant de l'application, la plateforme, les exigences surveillées et la langue des e-mails, et les envoyons via notre prestataire d'e-mails transactionnels. Rien n'est envoyé avant votre confirmation par e-mail. Retirez votre consentement avec le lien de désabonnement présent dans chaque e-mail (en un clic, sans connexion).

Durées de conservation#

Scans (enregistrement, rapport, résultats, exports stockés et fichier téléversé), puis purge automatique :

Un fichier téléversé n'est jamais conservé plus longtemps que son scan. Pour supprimer un fichier précis plus tôt, écrivez à privacy@narvy.io.

Changement d'offre. Une montée d'offre applique immédiatement la durée plus longue. Une baisse d'offre ou une résiliation (qui ramène le compte à l'offre Community) applique la durée plus courte à tout votre historique 30 jours après le changement. Nous vous indiquons par e-mail la date de suppression avec un lien d'export, puis vous le rappelons 7 jours avant. Revenir dans ces 30 jours à une offre de durée égale ou supérieure annule la suppression.

Autres données :

Destinataires#

La plateforme, la base de données, les fichiers téléversés, les rapports et la mesure d'audience fonctionnent sur une infrastructure exploitée par nous ou par notre hébergeur dans l'Union européenne. Les prestataires qui traitent des données personnelles pour notre compte (hébergement, intelligence artificielle, paiement, e-mails transactionnels, supervision des erreurs, contrôle anti-robots, prise de rendez-vous), avec ce que chacun reçoit et sa localisation, figurent sur notre page sous-traitants.

En dehors de l'hébergeur, aucun de ces prestataires ne reçoit vos binaires ni votre code source ; le fournisseur d'IA reçoit uniquement les détails des failles et des extraits de code.

Certaines ressources d'interface sont chargées depuis Cloudflare cdnjs, jsDelivr et Google Fonts. Votre navigateur les contacte directement ; ils voient votre adresse IP et votre navigateur, rien d'autre.

Nous ne communiquons de données aux autorités publiques que sur réquisition valable et contraignante fondée sur le droit français ou européen et, sauf interdiction, vous en informons au préalable.

Sécurité#

Nous appliquons des mesures techniques et organisationnelles adaptées au risque (art. 32 du RGPD), notamment : connexions chiffrées (TLS), mots de passe hachés, double authentification sur toutes les offres, accès administrateur restreint et journalisé, cloisonnement des données par compte et par organisation, stockage chiffré des identifiants cloud et SSH.

Signalez toute vulnérabilité à founders@narvy.io. Nous n'engagerons aucune poursuite pour une recherche de bonne foi qui respecte les données des autres clients.

Intelligence artificielle#

Nos fonctionnalités d'IA (synthèses de scan, explications, tri des faux positifs, corrections automatiques) s'appuient sur un fournisseur établi dans l'UE, agissant comme sous-traitant. Il reçoit les détails des failles et, si nécessaire, un extrait de code minimisé, jamais les données de votre compte. Nous n'utilisons pas vos données pour entraîner des modèles d'IA généralistes. Le seul modèle entraîné à partir de ce que vous nous confiez est notre propre classifieur de faux positifs (section 4).

Ces fonctionnalités ne prennent aucune décision produisant des effets juridiques ou significatifs à l'égard d'une personne ; l'article 22 du RGPD ne s'applique pas.

Vos droits#

Vous disposez des droits d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), de limitation (art. 18), de portabilité (art. 20), d'opposition aux traitements fondés sur l'intérêt légitime (art. 21), et du droit de retirer votre consentement à tout moment, sans effet sur les traitements antérieurs (art. 7(3)).

La suppression du compte vous déconnecte immédiatement et s'exécute automatiquement sous 3 jours. Elle supprime votre compte, vos scans, rapports, résultats, exports, fichiers téléversés, intégrations et appartenances à des organisations. Restent les factures (conservées 10 ans par la loi) et les entrées pseudonymisées du journal d'audit de sécurité. Les copies présentes dans les sauvegardes disparaissent à mesure que celles-ci sont écrasées, sous 12 mois.

Nous répondons aux autres demandes sous un mois, délai prolongeable de deux mois pour une demande complexe, avec information préalable.

Cookies et mesure d'audience#

Les éléments strictement nécessaires ne requièrent pas de consentement (art. 82 de la loi Informatique et Libertés).

La mesure d'audience repose sur un outil hébergé sur nos propres serveurs et fonctionne sans consentement préalable dans le cadre de l'exemption CNIL, car elle :

• ne dépose aucun cookie et ne vous suit pas d'un site à l'autre ;
• produit uniquement des statistiques anonymes (pages vues, interactions, erreurs, vitesse de chargement, pays approximatif, navigateur, appareil et langue), sans identifiant de compte ni donnée lue dans votre compte ;
• compte les visites au moyen d'une empreinte de votre adresse IP et de votre navigateur renouvelée chaque mois ; l'adresse IP elle-même n'est pas conservée ;
• conserve les données 25 mois au maximum ;
• n'est pas partagée avec des tiers.

Les événements produit envoyés par nos serveurs (par exemple un scan terminé ou un changement d'abonnement) portent votre offre mais aucun identifiant, et ne sont pas envoyés pour votre compte si vous refusez la mesure d'audience.

Uniquement avec votre consentement, ces statistiques sont rattachées à un identifiant pseudonymisé de votre compte (jamais votre e-mail ni votre nom), avec votre offre, la tranche de taille de votre équipe et la semaine de votre inscription.

Vous pouvez refuser ou modifier votre choix à tout moment via les préférences cookies en pied de page. Le refus ne change rien au service.

Les pages tierces intégrées (paiement, contrôle anti-robots, réservation) peuvent déposer leur propre stockage selon leur propre politique, uniquement sur les pages où elles apparaissent.

Transferts hors de l'Union européenne#

Vos fichiers, scans, rapports et votre compte sont stockés et traités dans l'UE. Des données personnelles limitées parviennent aux prestataires de paiement, d'e-mails transactionnels, anti-robots, de supervision des erreurs et de prise de rendez-vous listés sur notre page sous-traitants, qui sont des sociétés états-uniennes ou peuvent transférer des données vers les États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne (art. 46(2)(c) du RGPD) et, lorsque le prestataire est certifié, sur la décision d'adéquation du 10 juillet 2023 relative au cadre de protection des données UE et États-Unis (art. 45). Aucun prestataire états-unien ne reçoit votre code, vos binaires ni vos résultats.

Mineurs#

Narvy est un outil professionnel. Nous ne créons pas sciemment de compte pour une personne de moins de 15 ans (art. 45 de la loi Informatique et Libertés). Signalez un tel compte à privacy@narvy.io et nous le supprimerons.

Modifications#

En cas de changement important (nouveau sous-traitant, nouvelle finalité, durée de conservation raccourcie), nous écrivons aux titulaires de compte et publions un avis dans le produit avant son entrée en vigueur. Les retouches mineures ne modifient pas nos traitements.

Réclamations#

Vous pouvez introduire une réclamation auprès d'une autorité de contrôle à tout moment (art. 77 du RGPD). La nôtre est la CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, www.cnil.fr. Vous pouvez aussi saisir l'autorité de votre pays de résidence dans l'UE.