Politique de confidentialité

Dernière mise à jour : 2 novembre 2026

Cette politique décrit la manière dont Arnaud RIGOLE (EI) (« nous ») traite les données personnelles dans le cadre du site cyberpoints.fr et de la plateforme CyberPoints, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

1. Deux rôles distincts, à ne pas confondre

Nous intervenons à deux titres différents, et vos droits ne s'exercent pas auprès du même interlocuteur selon le cas.

Nous sommes responsable de traitement

Pour les données des visiteurs du site et des prospects : formulaire de contact, création d'un espace de démonstration, journaux techniques. C'est l'objet des sections 2 à 7 ci-dessous, et c'est à nous que vous adressez vos demandes.

Responsable de traitement : Arnaud RIGOLE (EI), 53000 Laval, France — dpo@cyberpoints.fr. Compte tenu de sa taille, l'éditeur n'est pas tenu de désigner un délégué à la protection des données ; cette adresse est néanmoins le point de contact unique pour toute question relative aux données personnelles.

Nous sommes sous-traitant

Pour les données traitées à l'intérieur de l'espace d'une organisation cliente : comptes de ses collaborateurs, résultats de formation, résultats des simulations de phishing. Dans ce cas, le responsable de traitement est l'organisation employeuse, qui définit seule les finalités. Nous agissons sur ses seules instructions documentées.

Si vous êtes salarié d'une organisation utilisant CyberPoints et que vous souhaitez exercer vos droits sur vos résultats de formation ou de simulation, adressez-vous à votre employeur, qui est le responsable de ces traitements. Nous ne pouvons pas y donner suite directement sans son instruction, et nous ne communiquons jamais à un tiers les données contenues dans l'espace d'un client.

Édition auto-hébergée

Une organisation peut aussi installer CyberPoints sur son propre serveur. Les comptes de ses collaborateurs, l'historique de ses campagnes et ses rapports restent alors sur cette installation : nous n'en détenons pas de copie, et nous ne sommes ni responsable de traitement ni sous-traitant pour ces données. L'installation nous transmet seulement, une fois par jour, des comptages agrégés (nombre de comptes, de campagnes, de messages envoyés, de formations), sans aucun nom, aucune adresse ni aucun résultat individuel.

Nous redevenons sous-traitant dans deux cas, que l'organisation choisit :

• Envoi par notre relais : les messages de simulation partent d'un domaine d'envoi qui nous appartient, accordé avec la licence de l'installation. Ils transitent par nos serveurs, avec l'adresse de leurs destinataires, le temps de leur remise. Les liens et les pages de la simulation restent sur l'installation de l'organisation.
• Domaine de simulation réservé auprès de nous : nous envoyons les messages, servons la page de la simulation et enregistrons les ouvertures, clics et signalements, rattachés à un jeton opaque propre à chaque destinataire et à chaque campagne. Pour chaque destinataire, nous recevons son adresse, le message finalisé, qui peut comporter ses nom et prénom, et ce jeton : nous connaissons donc l'adresse à laquelle correspond un jeton, pour cette campagne seulement, jusqu'à l'effacement ci-dessous. Ces données sont restituées à l'installation puis effacées, au plus tard 30 jours après la fin de la campagne ; seul un registre de nombres (envois, ouvertures, clics), sans adresse ni résultat individuel, est conservé un an.

Dans ces deux cas, notre serveur d'envoi journalise l'adresse de chaque destinataire, pour la sécurité du service et le traitement des abus. Ces adresses sont effacées des journaux 30 jours après l'envoi, ce qui couvre la durée maximale d'une campagne ; le reste des journaux (date, domaine, réponse du serveur destinataire) est conservé 12 mois, sans aucune adresse. Un accord de traitement des données (article 28 du RGPD) est annexé au contrat et détaille ces traitements.

2. Traitements réalisés en tant que responsable

Aucun de ces traitements ne repose sur du profilage ni sur une décision automatisée produisant des effets juridiques.

3. Espaces de démonstration : suppression automatique

Un espace créé en libre-service est une démo de 30 jours, destinée à vous permettre de découvrir la plateforme.

À l'issue de cette période, si vous ne nous avez pas contactés, l'espace et l'intégralité de son contenu sont supprimés définitivement : comptes des utilisateurs, campagnes, résultats, contenus déposés. Cette suppression est irréversible : l'espace ne peut pas être restauré à votre demande. Ses données subsistent seulement dans les sauvegardes chiffrées de la plateforme, sans y être consultées, jusqu'à leur effacement automatique, au plus tard 3 mois après.

La date exacte de suppression vous est communiquée dans le courriel de bienvenue, puis rappelée par courriel avant l'échéance. Il vous suffit de nous écrire avant cette date pour conserver l'espace.

Une installation auto-hébergée n'est pas concernée : à la fin de la démo, elle passe en lecture seule sur votre serveur, et nous ne supprimons rien, puisque nous ne détenons pas ses données.

4. Destinataires et sous-traitants

Nous ne vendons ni ne louons aucune donnée personnelle. Les données ne sont accessibles qu'aux personnes qui en ont besoin pour fournir le service, et aux prestataires suivants :

• Hetzner Online GmbH — hébergement de la plateforme, de ses données et de leurs sauvegardes, dans un centre de données situé à Helsinki, en Finlande (Union européenne).
• Cloudflare — protection des formulaires publics contre les robots (Turnstile) et acheminement du trafic. Ce service traite votre adresse IP et des signaux techniques de votre navigateur.

5. Transferts hors de l'Union européenne

Les données de la plateforme et leurs sauvegardes sont hébergées dans l'Union européenne, en Finlande, et n'en sortent pas.

Une exception doit être signalée : Cloudflare, utilisé pour la protection anti-robots des formulaires publics et comme point d'entrée du trafic, est une société de droit américain susceptible de traiter des données depuis les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Ils ne concernent que les données techniques de connexion aux pages publiques, jamais le contenu des espaces clients.

6. Cookies

Le site public ne dépose ni cookie publicitaire, ni cookie de mesure d'audience, ni traceur tiers. Il n'y a donc pas de bandeau de consentement à afficher : les seuls cookies utilisés sont strictement nécessaires au fonctionnement du service et exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés.

• Session et authentification — maintenir votre connexion à votre espace.
• Protection CSRF — empêcher la soumission frauduleuse de formulaires.
• Langue — mémoriser votre choix entre français et anglais.
• Cloudflare — un cookie technique peut être déposé lors de la vérification anti-robots d'un formulaire.

7. Sécurité

Chaque organisation cliente dispose de son propre schéma PostgreSQL : les données d'un client sont isolées de celles des autres au niveau de la base, et non par un simple filtre applicatif. Les échanges sont chiffrés en transit (TLS). Les secrets détenus pour le compte des clients sont chiffrés au repos. Les comptes à privilèges sont soumis à l'authentification à deux facteurs.

Les mots de passe saisis par un collaborateur sur une page de simulation de phishing ne sont jamais enregistrés, ni en clair ni sous forme dérivée, nulle part — y compris dans les journaux et les exports. Seuls l'identifiant saisi et le fait qu'une saisie a eu lieu sont conservés.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité, ainsi que du droit de vous opposer aux traitements fondés sur notre intérêt légitime.

Pour les exercer, écrivez-nous à dpo@cyberpoints.fr, adresse dédiée aux demandes relatives aux données personnelles. Nous répondons dans un délai d'un mois. Si votre demande porte sur des données contenues dans l'espace d'une organisation cliente, voir la section 1 : elle doit être adressée à cette organisation.

Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

9. Modifications

Cette politique peut être mise à jour. La date de dernière mise à jour figure en tête de page. Toute modification substantielle des traitements décrits ici sera portée à la connaissance des clients concernés.