Politique de confidentialité

1. Qui nous sommes et ce que couvre la présente politique

La présente Politique de confidentialité explique comment Breneshold LLC, société à responsabilité limitée constituée selon les lois de l'État de Floride, États-Unis, dont l'adresse enregistrée est l'adresse postale indiquée dans le compte du client et sur chaque facture (« Witnio », « nous »), traite les données à caractère personnel.

Elle couvre ce site web, le compte et le tableau de bord Witnio, l'API et le service d'observation. Elle s'applique aux visiteurs du site web, aux personnes qui administrent un compte client et aux données à caractère personnel contenues dans les Preuves générées par les vérifications d'un client.

Witnio s'adresse aux entreprises. Nous ne proposons pas le service aux consommateurs et nous ne collectons pas sciemment de données concernant des personnes âgées de moins de 18 ans.

La présente politique est en vigueur à compter de la date d'entrée en vigueur indiquée en haut de cette page.

2. Nos deux rôles

Witnio agit en deux qualités différentes, et les règles diffèrent de l'une à l'autre.

Responsable du traitement. Pour les données de compte, les données de facturation, la correspondance d'assistance, les inscriptions sur liste d'attente et les formulaires de contact, ainsi que l'utilisation du site web, Witnio détermine les finalités et les moyens du traitement. La présente politique régit ce traitement.

Sous-traitant. Pour les données à caractère personnel contenues dans les Preuves générées par les vérifications d'un client, c'est le client qui détermine les finalités et les moyens, et Witnio agit sur les instructions documentées du client. L'Avenant relatif au traitement des données régit ce traitement et prévaut sur la présente politique pour ces données.

Si vous êtes une personne physique dont les données figurent dans les Preuves d'un client, contactez d'abord ce client. Nous lui transmettrons votre demande et l'aiderons à y répondre.

3. Données que nous collectons en tant que responsable du traitement

Données de compte : le nom de la société ; le nom, l'adresse électronique professionnelle, le numéro de téléphone professionnel et la fonction des personnes qui administrent le compte ; les utilisateurs, rôles, sessions et appareils ; et les métadonnées des clés d'API.

Données de vérification : le domaine de messagerie d'entreprise, le cas d'usage déclaré et les éléments établissant la propriété ou l'autorisation que vous nous fournissez pour un domaine, un numéro ou un émetteur.

Données de facturation : le contact de facturation, l'adresse de facturation, le numéro d'identification fiscale, le forfait, les factures, le statut des paiements, ainsi que la marque et les quatre derniers chiffres d'une carte tels que renvoyés par le prestataire de paiement. Witnio ne reçoit ni ne conserve jamais un numéro de carte complet ou un identifiant bancaire — les données de paiement sont saisies sur les pages hébergées de Stripe ou de PayPal.

Données d'assistance et commerciales : les messages que vous nous envoyez, les formulaires de liste d'attente et de contact que vous soumettez (adresse électronique, société, produit qui vous intéresse) et nos réponses.

Données techniques : l'adresse IP, l'agent utilisateur, les métadonnées des requêtes, les horodatages, ainsi que les journaux d'erreurs et d'audit nécessaires pour exploiter, sécuriser et déboguer le service.

Données du site web : ce site dépose deux cookies et aucun traceur tiers. Voir la section Cookies.

4. Données que nous traitons en tant que sous-traitant

L'exécution d'une vérification produit des Preuves. Selon le produit, un enregistrement de Preuve peut contenir : l'identifiant d'émetteur ou d'appelant observé ; le numéro de destination sous le contrôle de Witnio ; le corps du message après masquage, accompagné d'une empreinte de l'original ; les horodatages et la latence ; le contexte de l'appareil, du système d'exploitation, de l'application de numérotation, de la SIM, de l'opérateur et du corridor ; des captures d'écran et, pour certains produits, une vidéo de l'écran de l'appareil ; les résultats HTTP, DNS et TLS ; la chaîne de redirections ; les cookies et l'état de la bannière de consentement observés sur la cible ; et le manifeste signé qui relie l'ensemble.

Certaines de ces informations peuvent constituer des données à caractère personnel — un numéro de téléphone, le nom d'un appelant ou une personne visible sur une capture d'écran. Le client choisit les cibles et le trafic, et il est donc le responsable du traitement de ces données.

La consigne de Witnio à ses clients est explicite : envoyez du trafic de test, et non les communications réelles de vos utilisateurs finaux, et ne soumettez pas de données à caractère personnel au-delà de ce dont la vérification a besoin.

5. Masquage et minimisation

Avant toute conservation, et avant tout envoi à un fournisseur d'IA par l'intermédiaire du routeur d'IA de Witnio, Witnio masque ou minimise : les codes à usage unique ; les numéros de téléphone de tiers ; les autres contenus sensibles ; les jetons ; les cookies ; et les identifiants non nécessaires au résultat.

Un code à usage unique n'est jamais conservé en clair. Toute suite de quatre chiffres ou plus figurant dans le corps d'un message est masquée avant que ce corps ne soit enregistré, et le corps conservé est tronqué. Les identifiants d'émetteur et de destination sont conservés sous forme masquée. Une empreinte du contenu original permet d'en vérifier l'intégrité sans conserver le contenu.

Le masquage est appliqué à l'entrée, et non à la sortie : la valeur non masquée n'est jamais écrite dans une base de données, un journal, une trace ou une requête d'IA.

6. Finalités et bases juridiques

Lorsque le RGPD ou une loi équivalente s'applique, Witnio se fonde, en tant que responsable du traitement, sur les bases suivantes :

• Exécution d'un contrat, article 6, paragraphe 1, point b) — création et administration de votre compte, fourniture du service que vous avez commandé, facturation et assistance.
• Intérêts légitimes, article 6, paragraphe 1, point f) — sécurisation de la plateforme ; prévention, détection et investigation des abus et de la fraude ; vérification qu'un client est en droit de surveiller ce qu'il configure ; tenue de journaux d'audit ; amélioration du service au moyen de données agrégées et désidentifiées ; et constatation ou défense de droits en justice. Nous mettons ces intérêts en balance avec vos droits, et vous pouvez vous y opposer comme décrit ci-dessous.
• Obligation légale, article 6, paragraphe 1, point c) — obligations fiscales et comptables, contrôle au regard des sanctions et réponse à une demande licite d'une autorité.
• Consentement, article 6, paragraphe 1, point a) — lorsque nous le demandons, par exemple pour vous envoyer un message que vous avez demandé à recevoir. Vous pouvez retirer votre consentement à tout moment, sans que cela affecte le traitement déjà effectué.

En tant que sous-traitant, Witnio traite les données des Preuves sur instruction du client ; il incombe au client de disposer d'une base juridique pour ce traitement.

7. Cookies et traçage

Ce site dépose deux cookies : un cookie de préférence de langue qui mémorise la langue que vous avez choisie, et un cookie d'aperçu de prélancement qui permet à un visiteur invité de consulter le site avant qu'il ne soit public. Ce sont tous deux des cookies strictement nécessaires ou de préférence.

Witnio n'utilise sur ce site ni cookies publicitaires, ni cookies d'analyse, ni pixels de suivi, ni enregistrement de session, ni prise d'empreinte (fingerprinting), et ne vend ni ne partage de données à caractère personnel à des fins de publicité comportementale inter-contextes. Si vous arrivez par un lien comportant des paramètres de campagne (utm_*), ces paramètres, la page d'arrivée et le site de provenance sont conservés dans le stockage de session de votre navigateur pour cette seule session et enregistrés avec la demande de contact ou l'inscription que vous envoyez, afin de mesurer quelles campagnes fonctionnent ; il ne s'agit pas d'un cookie et ces données ne sont jamais partagées avec des plateformes publicitaires.

Comme il n'existe aucun cookie non essentiel, ce site n'affiche aucune bannière de consentement. Si cela devait changer, une bannière serait ajoutée avant le dépôt du cookie, et la présente politique serait mise à jour au préalable.

8. Partage et sous-traitants ultérieurs

Witnio ne vend pas de données à caractère personnel et ne les partage pas à des fins publicitaires.

Witnio fait appel à un nombre restreint de prestataires susceptibles de traiter des données à caractère personnel pour son compte :

• Stripe — traitement des paiements et facturation des abonnements, prestataire principal (données de facturation et de contact).
• PayPal — traitement des paiements, prestataire secondaire (données de facturation et de contact).
• Cloudflare — DNS, protection en périphérie et diffusion du site web et de l'API (données techniques telles que l'adresse IP et les métadonnées des requêtes).
• Hébergement et infrastructure d'appareils exploités par Witnio au Costa Rica (toutes les données du service).
• Telegram — transmission d'alertes opérationnelles au seul personnel d'exploitation de Witnio. Les alertes des clients n'y sont pas acheminées par défaut ; lorsqu'un client demande des alertes Telegram, il s'agit de sa propre instruction.
• Fournisseurs de modèles d'IA accessibles par l'intermédiaire du routeur d'IA de Witnio, uniquement sur des données d'entrée masquées et minimisées, à des fins de synthèse, de classification et de génération de rapports. Il s'agit des fournisseurs de modèles configurés dans la couche de service d'IA de Witnio au moment du traitement ; la liste actuelle et les lieux de traitement sont disponibles sur demande à [email protected]

Les sous-traitants ultérieurs désignés dans le présent document (Stripe, PayPal, Cloudflare, l'infrastructure propre de Witnio et Telegram pour les alertes internes uniquement) ; tout fournisseur d'envoi de courriers électroniques, de surveillance des erreurs ou d'analyse ajouté ultérieurement est annoncé aux clients qui s'y abonnent à [email protected]

Witnio peut également communiquer des données à un conseiller professionnel tenu à une obligation de confidentialité, à une autorité lorsque la loi l'y contraint, lorsque cela est nécessaire à la constatation ou à la défense d'un droit en justice, ou à un successeur dans le cadre d'une fusion ou d'une cession d'actifs — auquel cas nous vous en informerons, et vos droits suivront les données.

9. Transferts internationaux

Witnio opère depuis le Costa Rica et fait appel à des prestataires établis aux États-Unis et ailleurs ; des données à caractère personnel peuvent donc être transférées hors de votre pays.

Pour les transferts de données à caractère personnel hors de l'Espace économique européen, du Royaume-Uni ou de la Suisse, Witnio se fonde sur les clauses contractuelles types de la Commission européenne, accompagnées d'une évaluation des risques liés au transfert et des mesures techniques décrites dans la section Sécurité — notamment le masquage avant conservation et le chiffrement en transit. Ces clauses sont intégrées à l'Avenant relatif au traitement des données.

Vous pouvez demander une copie du mécanisme de transfert applicable à vos données auprès du contact dédié à la vie privée indiqué ci-dessous.

Breneshold LLC signe les clauses contractuelles types en qualité d'importateur de données au titre du module 2 (responsable du traitement à sous-traitant).

10. Conservation

Witnio ne conserve les données à caractère personnel que le temps nécessaire.

• Captures d'écran : 90 jours.
• Vidéo de l'écran d'un appareil : 30 jours.
• Journaux opérationnels : 30 à 90 jours.
• Métriques agrégées ne permettant plus d'identifier quiconque : à long terme.
• Données brutes sensibles : la durée minimale nécessaire pour produire le résultat, puis masquage ou suppression.
• Preuves payantes : comme prévu dans le contrat du client, lorsque cette durée est supérieure au référentiel.
• Registres de compte et de facturation : pendant toute la durée de vie du compte, puis pendant la durée imposée par la législation fiscale et comptable, et pas plus longtemps que nécessaire pour assurer la défense d'un droit en justice.
• Inscriptions sur liste d'attente et formulaires de contact : jusqu'à ce que vous nous demandiez de les supprimer, ou jusqu'à la clôture de la demande et l'expiration de notre durée d'archivage.

Après la résiliation, les Données du Client restent exportables pendant 30 jours, puis sont supprimées ou anonymisées de manière irréversible, sauf lorsqu'une loi en impose la conservation, ou lorsqu'elles ne subsistent que dans des sauvegardes jusqu'à ce que celles-ci soient écrasées selon leur cycle normal.

11. Vos droits

Lorsque le RGPD ou une loi équivalente s'applique, vous pouvez nous demander : d'accéder à vos données à caractère personnel et d'en obtenir une copie ; de les rectifier ; de les effacer ; de limiter leur traitement ou de vous y opposer, y compris lorsque le traitement est fondé sur des intérêts légitimes ; ou de vous les remettre dans un format portable et lisible par machine. Lorsque le traitement repose sur le consentement, vous pouvez retirer ce consentement à tout moment.

Witnio ne prend à votre égard aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire.

Écrivez au contact dédié à la vie privée indiqué ci-dessous. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois supplémentaires pour une demande complexe, en vous en indiquant les raisons. Nous pouvons vous demander les informations nécessaires pour confirmer votre identité, et nous pouvons refuser une demande manifestement infondée ou excessive, en motivant notre refus.

Vous pouvez introduire une réclamation auprès de votre autorité de contrôle locale. Au Costa Rica, l'autorité compétente est l'Agencia de Protección de Datos de los Habitantes (PRODHAB), en vertu de la Ley 8968.

Si vos données figurent dans les Preuves d'un client, nous agissons en tant que sous-traitant : nous transmettrons votre demande à ce client, à qui il incombe d'y répondre.

12. Résidents de Californie

Si vous résidez en Californie, le CCPA, tel que modifié par le CPRA, vous confère le droit de savoir quelles informations personnelles nous collectons, utilisons, communiquons et conservons ; d'y accéder et d'en recevoir une copie ; de les rectifier ; de les supprimer ; de limiter l'utilisation des informations personnelles sensibles ; et de ne pas faire l'objet de discrimination pour avoir exercé un droit.

Au cours des douze derniers mois, Witnio a collecté les catégories décrites ci-dessus : identifiants, informations commerciales, activité sur internet et — au sein des Preuves des clients — des informations pouvant inclure des métadonnées de communications. Elles ont été collectées aux fins professionnelles décrites ci-dessus et communiquées uniquement aux prestataires énumérés ci-dessus.

Witnio ne vend pas d'informations personnelles et ne les partage pas à des fins de publicité comportementale inter-contextes, et ne l'a pas fait au cours des douze derniers mois. Witnio n'utilise ni ne communique d'informations personnelles sensibles à des fins autres que celles autorisées sans droit de limitation.

Pour exercer un droit, écrivez au contact dédié à la vie privée indiqué ci-dessous. Un mandataire autorisé peut agir en votre nom sur présentation d'une preuve écrite de son mandat.

13. Costa Rica

Le matériel et les opérations de Witnio se trouvent au Costa Rica, et le traitement qui y est effectué est soumis à la Ley 8968 relative à la protection de la personne à l'égard du traitement de ses données à caractère personnel, ainsi qu'à son règlement d'application.

En vertu de cette loi, vous disposez des droits d'accès, de rectification et de suppression et, le cas échéant, du droit d'être informé de la conservation de vos données dans une base de données enregistrée et d'y consentir. Les demandes sont adressées au contact dédié à la vie privée indiqué ci-dessous et reçoivent une réponse dans le délai fixé par la loi.

Breneshold LLC évalue ses obligations d'enregistrement au titre de la loi costaricienne n° 8968 (PRODHAB) pour le traitement effectué sur ses appareils au Costa Rica et procède à l'enregistrement lorsque celui-ci est requis.

14. Sécurité

Witnio considère toute interface publique comme hostile. Le trafic passe par une passerelle en périphérie, une limitation de débit, une authentification et une autorisation avant d'atteindre le plan de contrôle, les services internes, les workers et les appareils. La ferme d'appareils n'est jamais exposée directement à internet.

Les contrôles d'accès comprennent l'authentification multifacteur, des jetons de courte durée avec rotation lors du rafraîchissement, des sessions révocables, un contrôle d'accès fondé sur les rôles, un cloisonnement par locataire sur chaque requête portant sur des données appartenant à un locataire, une autorisation refusée par défaut, et des tests de non-régression portant sur l'accès entre locataires. Les clés d'API ont un périmètre défini, sont renouvelables et soumises à des quotas et à une limitation de débit.

Les identifiants, codes à usage unique, cookies et jetons de session ne sont jamais écrits dans le dépôt de code, dans les journaux ou dans les traces. Les secrets sont conservés dans un gestionnaire de secrets.

Chaque version fait l'objet d'une analyse des dépendances, des secrets, des conteneurs et des paramètres par défaut non sécurisés, ainsi que de tests de non-régression portant sur les abus d'authentification et l'accès entre locataires.

L'intégrité des Preuves est protégée par cryptographie : chaque élément porte une empreinte SHA-256, et son manifeste est canonisé et signé avec une clé Ed25519 qui ne quitte jamais l'hôte de signature. La clé publique est publiée, de sorte qu'une signature peut être vérifiée sans avoir à faire confiance à Witnio.

La page Sécurité de ce site indique les mesures actuellement en vigueur et est mise à jour lorsqu'elles évoluent.

15. Violation de données à caractère personnel

Si Witnio a connaissance d'une violation de données à caractère personnel affectant les données d'un client, elle en informera le client concerné dans les meilleurs délais et, en tout état de cause, dans un délai de 72 heures après en avoir pris connaissance, avec les informations disponibles à ce moment-là puis des mises à jour au fur et à mesure de l'enquête, afin que le client puisse satisfaire à ses propres obligations de notification.

Lorsque Witnio est le responsable du traitement et qu'une violation est susceptible d'engendrer un risque élevé pour les personnes concernées, Witnio en informera celles-ci ainsi que l'autorité de contrôle compétente, comme l'exige la loi applicable.

La procédure de Witnio en cas d'incident est la suivante : détecter, contenir, révoquer, préserver les preuves, analyser la cause première, corriger, ajouter un test de non-régression, tester à nouveau, documenter.

16. Enfants

Le service ne s'adresse pas aux enfants, et Witnio ne collecte pas sciemment de données à caractère personnel concernant des personnes âgées de moins de 18 ans. Si vous pensez que des données d'un enfant nous sont parvenues, écrivez au contact dédié à la vie privée et nous les supprimerons.

17. Modification de la présente politique

Witnio peut mettre à jour la présente politique. La version en vigueur et sa date figurent en haut de cette page.

Lorsqu'une modification affecte de manière significative la façon dont nous traitons les données à caractère personnel, nous en informerons les contacts des comptes au moins 30 jours avant son entrée en vigueur.

18. Nous contacter

Questions relatives à la vie privée, demandes des personnes concernées et questions sur la présente politique : [email protected].

Délégué à la protection des données ou représentant dans l'UE/au Royaume-Uni, lorsqu'il en est désigné un : [email protected] (contact dédié à la vie privée ; aucun délégué à la protection des données n'est légalement requis ni désigné à ce stade).

Adresse postale : l'adresse postale indiquée dans le compte du client et sur chaque facture.