Politique de confidentialité

Version provisoire de la phase de test. Ce texte sera validé par un juriste avant l'ouverture publique.

Dernière mise à jour : 6 novembre 2026

Responsable du traitement

Le responsable du traitement est [À compléter : nom ou raison sociale], [À compléter : adresse]. Contact : contact@tamiso.dev.

Si vous mettez dans Tamiso des données personnelles d'autres personnes (par exemple le contact de votre client), c'est vous qui en êtes responsable et Tamiso agit pour votre compte : voir le DPA.

Ce que nous traitons, et combien de temps

• Test gratuit, sans compte : d'un fichier de dépendances, les noms et les versions des paquets, et le résultat. Le fichier lui-même n'est pas enregistré. D'une archive .zip ou d'un dépôt GitHub public, le code est lu en mémoire puis oublié : seuls le nom du fichier, la ligne et un court extrait où les secrets sont masqués sont gardés. Le résultat est supprimé au bout de 24 heures.
• Limites d'usage : une empreinte de votre adresse IP (calculée avec une clé secrète, l'adresse elle-même n'est pas enregistrée), supprimée au bout de 24 heures.
• Compte : votre e-mail, l'empreinte de votre mot de passe (jamais le mot de passe lui-même), l'identifiant de votre compte GitHub ou Google si vous vous connectez avec, le secret de la double authentification si vous l'activez, la date de la dernière connexion, vos réglages (alertes, nouveautés, langue). Conservés tant que le compte existe.
• Équipe : les e-mails des personnes invitées et leur rôle. Conservés tant que l'espace existe ; une invitation expire d'elle-même.
• Projets : les noms et les versions des paquets de chaque version envoyée, les résultats, vos décisions, les résultats de l'analyse du code (fichier, ligne, extrait masqué, jamais le code entier), les dépôts GitHub reliés, les sites ajoutés au scanner et leurs résultats, les clés MCP et CI (seulement leur empreinte), les déclarations Cyber Resilience Act et le dossier NIS2 si vous les remplissez. Conservés tant que le projet ou le compte existe.
• Rapports client et marque : le nom et le contact du client que vous saisissez, votre logo, votre nom, votre contact et votre site. Un rapport peut être lu sans compte par toute personne qui a le lien, jusqu'à la date d'expiration ou jusqu'à ce que vous le coupiez.
• Journal de sécurité : connexions et changements du compte, avec une empreinte de l'adresse IP et le nom court du navigateur et du système. Conservé 180 jours, même après la suppression du compte, pour pouvoir enquêter sur un abus.
• Avis et messages : le texte que vous envoyez par le formulaire d'avis, avec votre e-mail si vous le donnez, et les e-mails que vous nous écrivez (la boîte de contact est lue depuis notre panel d'administration). Conservés tant qu'ils sont utiles pour vous répondre et améliorer le service, même après la suppression du compte. Écrivez-nous pour les faire effacer.
• Réservation d'une offre : votre e-mail, l'offre choisie, le code promo éventuel et la date de votre accord. Conservés jusqu'à l'ouverture de l'offre ou jusqu'à votre demande de suppression.
• Mesure d'audience : le nombre de visiteurs est compté sans cookie, avec une empreinte qui change chaque jour (voir la page Cookies). Les pages vues et les analyses sont comptées par jour, sans lien avec une personne.
• Usage de l'IA : pour chaque appel au modèle, le type de fonction, le modèle, le nombre de mots traités (tokens), le coût et votre espace. Jamais le texte envoyé.
• Sauvegardes : une copie de la base est faite chaque nuit et gardée 14 jours sur le serveur. Une donnée effacée peut donc y rester jusqu'à 14 jours.

Le serveur web et l'application ne tiennent pas de journal d'accès avec les adresses IP.

D'où viennent les données

De vous, de votre utilisation du service, de la personne qui vous invite dans une équipe, et de GitHub ou Google si vous vous connectez avec (e-mail confirmé et identifiant). Les données sur les failles viennent de bases publiques et ne concernent pas des personnes.

Pourquoi, et sur quelle base légale

• Fournir le service (test, compte, projets, équipe, alertes, e-mails nécessaires au compte) : exécution du contrat, article 6, paragraphe 1, b) du RGPD.
• Protéger le service et répondre aux messages (limites d'usage, journal de sécurité, sauvegardes, avis, e-mails reçus, mesure d'audience, usage de l'IA) : notre intérêt légitime, article 6, paragraphe 1, f). Vous pouvez vous y opposer.
• Réservation d'une offre et e-mails de nouveautés : votre consentement, article 6, paragraphe 1, a). Vous pouvez le retirer à tout moment : pour les nouveautés dans les paramètres ou par le lien de chaque e-mail, pour une réservation en nous écrivant.
• Obligations légales, par exemple la comptabilité quand les offres payantes seront ouvertes : article 6, paragraphe 1, c).

Services tiers

• Bases de failles : Tamiso envoie les noms et les versions des paquets à OSV, les identifiants CVE à FIRST, et les noms des paquets à PyPI ou npm. Si votre projet utilise un paquet privé, son nom part aussi. Le catalogue CISA KEV est téléchargé en entier, sans rien envoyer. Aucune de ces requêtes ne contient votre code ni votre identité.
• Anthropic, modèle d'IA Claude : utilisé dans les offres payantes, et pour tous les comptes si ces fonctions sont ouvertes pendant la phase de test. Pour le code, seulement si vous cochez la case au moment de l'analyse. Sont envoyés des extraits de code autour d'une alerte (au plus une trentaine de lignes, secrets masqués) et les lignes qui utilisent un paquet vulnérable, jamais des fichiers entiers ; les descriptions publiques des failles pour les expliquer et les traduire ; vos questions à l'assistant de la page d'accueil, pour tous les visiteurs (le texte n'est pas gardé par Tamiso, n'y mettez pas de données personnelles). Sans cette case et sans l'assistant, votre code et vos textes ne vont pas à un modèle d'IA.
• GitHub (États-Unis) : si vous vous connectez avec GitHub, si vous reliez un dépôt ou installez l'application GitHub Tamiso. L'application lit seulement le contenu des dépôts choisis, sans pouvoir rien modifier. Pour un dépôt public, Tamiso le télécharge depuis GitHub, sans transmettre votre identité.
• Google (États-Unis) : si vous vous connectez avec Google. Tamiso garde seulement votre e-mail confirmé et un identifiant.
• Scanner de site : Tamiso envoie des requêtes au site que vous indiquez, en lecture seule et seulement sur ce domaine.
• Envoi et réception des e-mails : [À compléter : prestataire de messagerie, nom et pays]. Il voit l'adresse du destinataire et le contenu des e-mails.
• Hébergement : OVH SAS (France), serveur situé à Strasbourg. Toutes les données de Tamiso (comptes, projets, résultats) y sont stockées.
• Polices de caractères : chargées depuis Google Fonts, qui voit donc votre adresse IP ; elles seront hébergées par Tamiso avant l'ouverture publique.

Tamiso ne vend pas vos données et ne les utilise pas pour de la publicité. Elles peuvent être transmises à une autorité si la loi l'impose.

Transferts hors de l'Union européenne

• Anthropic : le contrat est conclu avec Anthropic Ireland, Limited, et le traitement peut avoir lieu aux États-Unis. Le transfert repose sur les clauses contractuelles types de l'Union européenne, intégrées à l'accord de traitement d'Anthropic.
• GitHub et Google : [À compléter : cadre de transfert à confirmer, par exemple le Data Privacy Framework ou les clauses contractuelles types]

IA et décisions automatisées

D'après ses conditions commerciales, Anthropic n'entraîne pas ses modèles sur ces contenus. D'après sa page sur la conservation, elle les supprime de son côté sous 30 jours, sauf obligation légale ou violation de ses règles d'usage (jusqu'à 2 ans).

Le tri des failles et les avis de l'IA sont une aide pour vous. Tamiso ne prend aucune décision produisant des effets juridiques sur une personne au sens de l'article 22 du RGPD.

Sécurité

Connexion chiffrée (HTTPS), mots de passe et clés d'accès conservés sous forme d'empreinte, double authentification possible, protection des formulaires, limites d'essais, code analysé en mémoire et secrets masqués. Aucune mesure n'offre une sécurité absolue. Si une violation de vos données présente un risque, nous vous préviendrons comme le prévoit le RGPD.

Vos droits

Vous pouvez demander l'accès, la rectification, la suppression, la limitation ou la portabilité de vos données, vous opposer à un traitement fondé sur notre intérêt légitime et retirer votre consentement, en écrivant à contact@tamiso.dev. Vous pouvez aussi supprimer vous-même un projet ou votre compte dans les paramètres, et exporter vos résultats (rapport, SBOM, OpenVEX).

Si vous êtes seul dans votre espace, supprimer le compte efface l'espace et ses projets ; si d'autres personnes y travaillent, l'espace et ses projets restent pour elles. Vous pouvez introduire une réclamation auprès de l'autorité de protection des données de votre pays, par exemple la CNIL en France ou l'UODO en Pologne.

Modifications

Cette page changera avec le service, les prestataires ou la loi. La date de mise à jour est en haut de la page. En cas de changement important, nous vous préviendrons dans l'application ou par e-mail.