Politique de confidentialité

1. Quelles données nous collectons

Données que vous nous transmettez

• Formulaire de contact — nom et prénom, adresse email, objet de la demande, contenu du message.
• Email direct — adresse de l'expéditeur et toute information que vous choisissez d'inclure dans votre message.
• Phase précontractuelle et contractuelle — données de l'organisation, interlocuteur, éléments nécessaires à l'établissement du devis et à la facturation.

Données collectées automatiquement

• Journaux techniques — adresse IP, type de navigateur, page demandée, date et heure. Collectés par nos prestataires d'hébergement et de protection du site pour en assurer le fonctionnement et la sécurité.
• Mesure d'audience — données statistiques de navigation, collectées uniquement si vous y consentez via le bandeau cookies (voir section 8).

Nous ne collectons pas de catégories particulières de données (art. 9 RGPD) et nous vous invitons à ne pas en saisir dans le formulaire de contact. Si vous devez nous transmettre des informations sensibles dans le cadre d'un audit, cela se fait par un canal dédié prévu au contrat.

2. Pourquoi nous traitons vos données et sur quelle base légale

Nous n'utilisons pas vos données pour des envois commerciaux automatisés ni pour du profilage. Aucune décision automatisée au sens de l'article 22 du RGPD n'est prise.

3. Qui accède à vos données

Vos données ne sont jamais vendues, cédées ni échangées à des tiers à des fins commerciales. Elles sont traitées par Marina Bruno, seule personne de l'organisation à y avoir accès.

Pour faire fonctionner le site et la messagerie, nous faisons appel à des prestataires techniques qui agissent en qualité de sous-traitants au sens de l'article 28 du RGPD, sur la base de contrats qui les lient à nos instructions :

Transferts hors Union européenne. Certains de ces prestataires sont établis aux États-Unis. Les transferts s'effectuent sur la base des clauses contractuelles types adoptées par la Commission européenne (art. 46 du RGPD) et, le cas échéant, de la certification des prestataires au titre du EU-U.S. Data Privacy Framework (décision d'adéquation du 10 juillet 2023). Vous pouvez nous demander copie des garanties mises en œuvre.

Les données peuvent également être communiquées à notre conseil comptable et, sur demande motivée, aux autorités compétentes lorsque la loi l'impose.

4. Combien de temps nous conservons les données

Au terme de ces durées, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

5. Comment nous protégeons vos données

La sécurité est notre métier et nous nous appliquons à nous-mêmes les mesures que nous recommandons à nos clients, au titre de l'article 32 du RGPD :

• Site accessible exclusivement en HTTPS (chiffrement en transit).
• Chiffrement intégral des supports de stockage du poste de travail.
• Authentification multifacteur sur les comptes professionnels et gestionnaire de mots de passe dédié.
• Environnements de travail isolés et dédiés pour chaque mission d'audit, détruits à l'issue.
• Principe de minimisation : nous ne collectons que les données nécessaires à la finalité annoncée.

En cas de violation de données personnelles présentant un risque pour vos droits et libertés, nous notifierons l'autorité de contrôle compétente sous 72 heures et vous informerons directement lorsque le risque est élevé (art. 33 et 34 du RGPD).

6. Vos droits

Au titre des articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès — savoir quelles données vous concernant nous traitons et en obtenir copie.
• Rectification — corriger des données inexactes ou incomplètes.
• Effacement — demander la suppression des données, dans les limites de nos obligations légales de conservation.
• Limitation — demander la suspension temporaire du traitement.
• Portabilité — recevoir vos données dans un format structuré et lisible par machine.
• Opposition — vous opposer aux traitements fondés sur notre intérêt légitime.
• Retrait du consentement — à tout moment, pour les traitements fondés sur le consentement, sans remettre en cause la licéité du traitement antérieur.

Pour exercer ces droits, écrivez à marinabruno@enyasecurity.com. Nous répondons dans un délai d'un mois à compter de la réception de la demande. Un élément confirmant votre identité peut vous être demandé en cas de doute raisonnable sur l'identité du demandeur.

Réclamation. Si vous estimez que le traitement de vos données n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de la CNIL, autorité de contrôle compétente puisqu'Enya Security est établie en France, ou auprès de l'autorité de l'État dans lequel vous résidez habituellement.

7. Données traitées dans le cadre d'une mission d'audit

Lorsque nous réalisons un audit, les données auxquelles nous accédons appartiennent au client, qui en reste responsable du traitement : dans ce cadre, Enya Security agit en qualité de sous-traitant, sur la base d'un accord dédié (DPA) et de règles d'engagement signées avant l'intervention.

Nos prestations sont non intrusives, de nature déclarative et diagnostique : nous ne réalisons ni test d'intrusion, ni exploitation active de vulnérabilités. Les données techniques collectées sont supprimées sous 30 jours après la remise du rapport et le client reçoit une attestation de suppression.

8. Cookies et outils de mesure

Aucun cookie non nécessaire n'est déposé avant votre consentement. Le bandeau est géré par Tarteaucitron et vous pouvez modifier vos choix à tout moment.

Gérer mes préférences cookies — vous pouvez accepter ou refuser, globalement ou outil par outil, et changer d'avis quand vous le souhaitez. Le refus ne limite en rien l'accès aux contenus du site.

Vous pouvez également configurer votre navigateur pour bloquer les cookies. Dans ce cas, certaines fonctions statistiques ne seront pas disponibles, mais le site continuera de fonctionner normalement.

9. Mineurs, liens externes et modifications

Mineurs. Le site s'adresse à des professionnels et à des organisations. Il n'est pas destiné aux mineurs et nous ne collectons pas sciemment de données de personnes de moins de 15 ans. Si vous estimez que cela s'est produit, écrivez-nous : nous supprimerons les données.

Liens externes. Le site peut renvoyer vers des sites tiers. Enya Security ne contrôle pas ces sites et n'est pas responsable de leurs politiques en matière de données personnelles.

Modifications. Cette politique peut être mise à jour pour refléter l'évolution de nos services ou de la réglementation. La version en vigueur est toujours celle publiée sur cette page, avec la date de dernière mise à jour indiquée en haut. En cas de modification substantielle, nous informerons les personnes concernées lorsque nous disposons de leurs coordonnées.