Version provisoire de la phase de test. Ce texte sera validé par un juriste avant l'ouverture publique.
Responsable du traitement
[À compléter : identité et adresse e-mail de contact.]
Ce que nous traitons, et combien de temps
- Test gratuit, sans compte : d'un fichier de dépendances, les noms et les versions des paquets, et le résultat. Le fichier lui-même n'est pas enregistré. D'une archive .zip ou d'un dépôt GitHub public, le code est lu en mémoire puis oublié : seuls le nom du fichier, la ligne et un court extrait où les secrets sont masqués sont gardés. Le résultat est supprimé au bout de 24 heures.
- Limites d'usage : une empreinte de votre adresse IP (calculée avec une clé secrète, l'adresse elle-même n'est pas enregistrée), supprimée au bout de 24 heures.
- Compte : votre e-mail, l'empreinte de votre mot de passe (jamais le mot de passe lui-même), l'identifiant de votre compte GitHub ou Google si vous vous connectez avec, le secret de la double authentification si vous l'activez, vos réglages (alertes, nouveautés, langue). Conservés tant que le compte existe.
- Projets : les noms et les versions des paquets de chaque version envoyée, les résultats, vos décisions, les résultats de l'analyse du code (fichier, ligne, extrait masqué, jamais le code entier), les dépôts GitHub reliés, les sites ajoutés au scanner et leurs résultats, les clés MCP et CI (seulement leur empreinte), les rapports client et leur logo. Conservés tant que le projet ou le compte existe. Supprimer le compte efface tout cela.
- Journal de sécurité : connexions et changements du compte, avec une empreinte de l'adresse IP et le nom court du navigateur et du système. Conservé 180 jours, même après la suppression du compte, pour pouvoir enquêter sur un abus.
- Avis et messages : le texte que vous envoyez par le formulaire d'avis, avec votre e-mail si vous le donnez. Conservés tant qu'ils sont utiles pour vous répondre et améliorer le service.
- Réservation d'une offre : votre e-mail, l'offre choisie, le code promo éventuel et la date de votre accord. Conservés jusqu'à l'ouverture de l'offre ou jusqu'à votre demande de suppression.
- Mesure d'audience : le nombre de visiteurs est compté sans cookie, avec une empreinte qui change chaque jour (voir la page Cookies).
Base légale
Le test, le compte et les projets reposent sur votre demande (exécution du service). Le journal de sécurité et les limites d'usage reposent sur notre intérêt légitime à protéger le service. La réservation d'une offre et les e-mails de nouveautés reposent sur votre consentement, que vous pouvez retirer à tout moment.
Services tiers
- Bases de failles : Tamiso envoie les noms et les versions des paquets à OSV, les identifiants CVE à FIRST, et les noms des paquets à PyPI ou npm. Le catalogue CISA KEV est téléchargé en entier, sans rien envoyer. Aucune de ces requêtes ne contient votre code ni votre identité.
- Anthropic (États-Unis), modèle d'IA Claude : seulement dans les offres payantes, et pour le code seulement avec votre accord, au moment de l'analyse. Sont envoyés de courts extraits de code autour d'une alerte, avec les secrets masqués, jamais des fichiers entiers ; les descriptions publiques des failles pour les expliquer et les traduire ; vos questions à l'assistant de la page d'accueil (le texte n'est pas gardé par Tamiso). L'offre gratuite n'envoie pas votre code à un modèle d'IA.
- GitHub (États-Unis) : si vous vous connectez avec GitHub, si vous reliez un dépôt ou installez l'application GitHub Tamiso. L'application lit seulement le contenu des dépôts choisis, sans pouvoir rien modifier.
- Google (États-Unis) : si vous vous connectez avec Google. Tamiso garde seulement votre e-mail confirmé et un identifiant.
- Scanner de site : Tamiso envoie des requêtes au site que vous indiquez, en lecture seule et seulement sur ce domaine.
- Envoi des e-mails : [À compléter : prestataire d'envoi des e-mails.]
- Hébergement : OVH SAS (France), serveur situé à Strasbourg. Toutes les données de Tamiso (comptes, projets, résultats) y sont stockées et ne quittent pas l'Union européenne, sauf pour les services situés aux États-Unis listés ci-dessus.
- Polices de caractères : chargées depuis Google Fonts, qui voit donc votre adresse IP ; elles seront hébergées par Tamiso avant l'ouverture publique.
Pour les services situés aux États-Unis, le transfert repose sur [À compléter : cadre de transfert, par exemple le Data Privacy Framework ou les clauses contractuelles types].
Vos droits
Vous pouvez demander l'accès, la rectification ou la suppression de vos données à [adresse e-mail à compléter], et introduire une réclamation auprès de la CNIL. Vous pouvez aussi supprimer vous-même votre compte et toutes ses données dans les paramètres.