Politique de confidentialité

Qui nous sommes#

Lockpick est exploité par datascience2go Inc., dont le siège est à Ontario, Canada. Nous sommes responsables des données personnelles décrites dans cette politique. Lorsque le droit de la protection des données utilise ce terme, nous sommes le responsable de traitement.

Cette politique couvre le site web de Lockpick, l'application web et tout accès par API, agent ou ligne de commande que nous proposons. Elle ne couvre pas les sites que vous nous demandez d'évaluer, qui ont leurs propres politiques.

Ce que nous collectons#

Nous collectons les données suivantes, principalement auprès de vous et du fournisseur de connexion que vous choisissez.

• Données de compte. Votre nom, votre adresse e-mail et votre mot de passe, ou le profil de base que Google ou GitHub partagent lorsque vous vous connectez avec eux.
• Données d'espace de travail et d'équipe. Noms des espaces de travail, membres, rôles et invitations.
• Sites et preuves de propriété. Les sites que vous ajoutez, ainsi que les enregistrements DNS ou fichiers que vous publiez pour prouver que vous les contrôlez.
• Rapports et éléments transmis. Résultats, preuves expurgées et fichiers que vous choisissez d’envoyer. Les archives sont stockées temporairement pour leur traitement, comme décrit ci-dessous.
• Réponses d'accueil et registres de consentement. Ce que vous nous indiquez lors de la configuration de Lockpick, et lorsque vous avez accepté nos conditions ou choisi de recevoir des e-mails produit.
• Données d'usage et de facturation. Les fonctionnalités que vous utilisez, les analyses que vous lancez, les listes d'attente que vous rejoignez, l'adhésion Early AI-dopters que vous associez à votre compte (son identifiant de compte, e-mail et formule), ainsi que votre formule et vos achats. Les coordonnées bancaires sont transmises à Polar, notre marchand responsable de la vente, et non à nous.
• Journaux de sécurité et d'audit. Événements de connexion, adresses IP, détails du navigateur et traces des actions importantes, que nous utilisons pour sécuriser les comptes et Lockpick.
• E-mails de support. Les messages que vous nous envoyez et nos réponses.
• Questions à Ask Lockpick. Votre question et les derniers messages de la conversation sont transmis à Google (Gemini), qui répond à partir de nos pages d'aide. Lorsque la correspondance des réponses est activée, ils sont aussi transmis à TypeSafe (Jev), qui cherche une réponse validée, et si vous êtes connecté et posez une question sur votre propre compte, TypeSafe peut aussi voir le nom et l'adresse de vos sites pour savoir duquel vous parlez. Tant que la correspondance des réponses est activée, nous conservons un enregistrement de chaque réponse, par exemple la façon dont elle a été produite et votre avis positif ou négatif, pendant 30 jours, sans le texte de la question. Ne mettez ni mots de passe, ni clés, ni informations personnelles dans une question.

Ce que chaque évaluation collecte#

Les scans de sites web lisent les informations publiques du site demandé : pages, en-têtes de réponse, scripts, DNS, journaux de certificats et données d’enregistrement du domaine. Ces informations peuvent contenir des données personnelles. Les preuves des rapports sont expurgées.

Les scans de sites Pulse et Deep hébergé ne se connectent pas et n’envoient pas de formulaires ; ils ne collectent pas de statistiques sur les visiteurs et ne nécessitent pas votre dépôt source privé.

Pour vérifier un domaine, nous interrogeons des sources de données publiques comme crt.sh, des résolveurs DNS publics comme Google Public DNS, et des services d'enregistrement RDAP. Ils ne reçoivent que le domaine vérifié, jamais les détails de votre compte.

Une vérification rapide sans compte fonctionne de la même manière. Nous conservons l'adresse du site et le résultat afin de pouvoir vous les montrer.

L’archive est envoyée à nos serveurs. Si la revue par IA est configurée, des textes et chemins de fichiers sélectionnés sont transmis à Anthropic après expurgation. Les blocs bruts sont effacés à la fin du traitement ; une revue complète en pause les conserve pour reprendre. Les évaluations terminées ou échouées expirent après 30 jours. L’expurgation automatique peut manquer des données sensibles. N’envoyez pas d’identifiants ni de données personnelles sans rapport avec la vérification. Les contrôles de dépendances peuvent transmettre les noms et versions des paquets à OSV.

Les fichiers source et les rapports restent sur votre machine. Lockpick reçoit le projet, les vérifications demandées et les versions du scanner pour autoriser le scan et enregistre cette autorisation. Si vous partagez les résultats avec un assistant IA, son fournisseur reçoit ce que vous partagez.

Monitor conserve les noms et versions des paquets envoyés. Un dépôt connecté fournit aussi les informations du dépôt et du commit ainsi que le manifeste et le fichier de verrouillage sélectionnés. Les vérifications de dépôts publics et de skills lisent le code choisi ; la revue par IA peut envoyer des extraits expurgés à Anthropic.

Applications et agents connectés#

Si vous connectez une application ou un agent à Lockpick, comme Claude ou la ligne de commande Lockpick, nous collectons également les données suivantes.

• Registres de connexion. Le compte et l'espace de travail auxquels appartient une connexion, l'identité de l'application et son adresse de retour, les autorisations que vous avez accordées, ainsi que les dates de création, d'utilisation et de révocation de la connexion. Nous ne conservons les identifiants d'accès que sous forme hachée.
• Requêtes et résultats. Ce que chaque requête nous envoie, comme les adresses de sites, les identifiants de sites et les identifiants d'analyses, et ce que nous renvoyons. Nous les stockons comme tout autre usage de Lockpick, avec les registres d'usage, de sécurité et d'audit décrits ci-dessus.
• Actions. Les sites ajoutés, les analyses lancées et les approbations données via une connexion sont enregistrés avec votre compte, comme les actions effectuées dans l'application web.

Nous ne demandons pas votre historique de conversation via une connexion. L'application ne nous envoie que ce dont une requête a besoin ; ne transmettez donc pas de mots de passe, de clés ni d'informations personnelles sans rapport.

Nous renvoyons à l'application les constats, les preuves caviardées, la couverture, l'état et les conseils de correction. Son éditeur, comme Anthropic pour Claude, traite ce qui transite par l'application selon ses propres conditions et sa politique de confidentialité.

La révocation d'une connexion l'arrête immédiatement. Elle ne supprime pas les évaluations passées ni les registres ci-dessus, que nous conservons comme l'indique la section sur la conservation.

Comment nous utilisons les données personnelles#

• Pour fournir Lockpick, notamment exécuter les évaluations demandées, afficher les rapports et gérer les espaces de travail.
• Pour confirmer que vous êtes autorisé à tester un site, appliquer les limites et prévenir les abus, y compris examiner les signalements d'évaluations non autorisées par le propriétaire d'un site.
• Pour sécuriser les comptes et Lockpick.
• Pour envoyer des e-mails de service, comme les e-mails de connexion, de vérification, d'invitation et de rapport, ainsi que des e-mails produit si vous avez choisi de les recevoir.
• Pour répondre aux demandes de support.
• Pour comprendre comment Lockpick est utilisé et l'améliorer.
• Pour gérer les formules et la facturation.
• Pour respecter nos obligations légales et protéger nos droits.

Nous ne vendons pas de données personnelles et nous n'utilisons pas vos rapports pour entraîner des modèles d'IA.

Bases légales pour les utilisateurs de l'UE et du Royaume-Uni#

Si le RGPD ou le RGPD britannique vous est applicable, nous nous appuyons sur ces bases légales.

• Contrat, pour fournir Lockpick conformément à nos Conditions d'utilisation.
• Intérêts légitimes, pour sécuriser Lockpick, prévenir les abus, vérifier l'autorisation de tester et améliorer le produit. Nous mettons ces intérêts en balance avec vos droits.
• Consentement, pour les e-mails produit et pour les analyses facultatives lorsque le consentement est requis. Vous pouvez retirer votre consentement à tout moment.
• Obligation légale, lorsque la loi nous oblige à conserver ou à communiquer des données.

Cookies et analyses#

Nous utilisons un cookie pour vous garder connecté, et Lockpick ne peut pas fonctionner sans lui. Si vous choisissez un réglage, comme la langue, nous pouvons aussi le mémoriser dans un cookie. Nous mémorisons aussi votre choix concernant les cookies. Si vous acceptez les cookies facultatifs et suivez un lien d'invitation, nous mémorisons cette invitation pendant 30 jours afin que la personne qui vous a invité soit créditée. Nous n'utilisons pas de cookies publicitaires.

Les analyses produit sont facultatives et désactivées sauf si nous les configurons. Nous utilisons PostHog pour compter comment les pages et les fonctions sont utilisées et, lorsque cela est activé, rejouer les interactions sur les pages, comme les clics et les défilements. La relecture utilise des identifiants de session anonymes conservés en mémoire, masque le texte des pages, les champs de saisie et les attributs clients, et exclut les images, les journaux de console et les données réseau. Les adresses de page sont réduites à des modèles de routes. Nous pouvons faire examiner les relectures de session masquées et les rapports d'erreur par des modèles d'IA de Google (Gemini) et d'Anthropic (Claude) afin de repérer des problèmes d'ergonomie. Les relectures leur parviennent masquées, comme décrit ci-dessus. Les rapports d’erreur utilisent des messages de diagnostic fixes, les emplacements du code et des détails techniques de requête, pouvant inclure les identifiants internes du compte et de l’espace de travail. Les messages bruts d’exception, mots de passe, clés et jetons sont supprimés. Les statistiques et la relecture ne fonctionnent qu'après votre accord dans notre bandeau cookies, et s'arrêtent dès que vous changez votre choix dans Paramètres des cookies. Nous n'écrivons ni cookies d'analyse ni stockage persistant dans le navigateur, et nous traitons Do Not Track et Global Privacy Control comme un refus.

Avec qui nous partageons les données#

Nous ne partageons des données personnelles que comme le décrit cette politique.

• Des prestataires de services qui font fonctionner certaines parties de Lockpick pour nous, en vertu de contrats qui limitent l'usage qu'ils font des données. Il s'agit notamment de l'hébergement (Railway), de l'envoi d'e-mails (Resend), de la connexion (Google et GitHub, si vous les utilisez), des analyses produit (PostHog, si activé) et des paiements (Polar, notre marchand de référence, lorsque vous souscrivez à une offre payante). Il s'agit aussi de fournisseurs d'IA, Google (Gemini) et Anthropic (Claude), dont les modèles examinent les relectures de session masquées et les rapports d'erreur pour nous aider à repérer et corriger les problèmes de Lockpick. Les questions posées à Ask Lockpick sont transmises à Google (Gemini) et, lorsque la correspondance des réponses est activée, à TypeSafe (Jev), comme décrit plus haut. Anthropic traite aussi les extraits de code expurgés des revues IA configurées pour les ZIP, dépôts et skills. OSV reçoit les noms et versions des paquets pour les contrôles de dépendances.
• Des sources de données publiques, qui ne reçoivent que le domaine vérifié, comme décrit ci-dessus.
• Les personnes de votre espace de travail, qui peuvent voir ses sites et ses rapports selon leur rôle.
• Toute personne avec qui vous partagez le lien d'un rapport.
• Les propriétaires de sites, les autorités ou d'autres parties, lorsque nous estimons que c'est nécessaire pour prévenir un abus ou un préjudice, par exemple lorsqu'un propriétaire de site signale une évaluation qu'il n'a pas autorisée.
• Les autorités ou d'autres parties, lorsque la loi l'exige.
• Un acquéreur ou un successeur, si nous sommes concernés par une fusion, une acquisition ou une cession d'actifs, sous réserve de cette politique.

Nous ne vendons pas de données personnelles et ne les partageons pas à des fins de publicité ciblée.

Où les données sont stockées#

Nos serveurs se trouvent aux États-Unis. Si vous vivez ailleurs, vos données sont transférées vers les États-Unis, et nos prestataires de services peuvent les traiter dans d'autres pays. Lorsque la loi l'exige, nous appliquons des garanties appropriées à ces transferts, comme des clauses contractuelles types.

Durée de conservation des données#

• Données de compte, tant que votre compte est actif et pendant une période raisonnable après sa fermeture, pour traiter les questions, les litiges et les obligations légales.
• Les rapports de sites restent jusqu’à leur suppression à la suite d’une demande ou de la fermeture du compte, sous réserve des obligations de conservation. Les vérifications rapides expirent après 7 jours par défaut. Les blocs ZIP bruts sont supprimés à la fin du traitement ; les revues complètes en pause les gardent pour reprendre, jusqu’à leur suppression. Les évaluations ZIP terminées ou échouées sont supprimées après 30 jours.
• Journaux de sécurité et d'audit, pendant une durée limitée.
• Registres de facturation, tant que la législation fiscale et comptable l'exige.
• Journaux de connexion, pendant que la connexion est active, puis dans les journaux de sécurité et d'audit.

Les données supprimées peuvent rester dans les sauvegardes pendant une courte période, jusqu'au remplacement de ces sauvegardes.

Sécurité#

Nous appliquons des mesures techniques et organisationnelles raisonnables pour protéger les données personnelles, comme des connexions chiffrées, des contrôles d'accès et des limites sur les personnes pouvant consulter les données clients. Aucun système n'est parfaitement sûr. Si une violation affecte vos données personnelles, nous vous en informerons, ainsi que les autorités lorsque la loi l'exige.

Vos choix et vos droits#

Vous pouvez nous demander d'accéder à vos données personnelles, de les corriger, de les supprimer ou de les exporter, et vous pouvez retirer tout consentement donné. Écrivez-nous à support@lockpick.app. Nous pourrions devoir d'abord confirmer votre identité, et nous répondrons dans le délai fixé par la loi.

• Canada. En vertu de la LPRPDE et des lois provinciales sur la protection de la vie privée, vous pouvez accéder à vos données personnelles et les corriger, et vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada.
• UE et Royaume-Uni. En vertu du RGPD et du RGPD britannique, vous pouvez aussi vous opposer à certains traitements ou en demander la limitation, et vous pouvez porter plainte auprès de votre autorité locale de protection des données ou, au Royaume-Uni, auprès de l'Information Commissioner's Office.
• États-Unis. Selon votre État, vous pouvez avoir le droit de savoir quelles données personnelles nous détenons à votre sujet, de les corriger ou de les supprimer, d'en obtenir une copie, et de vous opposer à leur vente ou à leur utilisation à des fins de publicité ciblée. Nous ne vendons pas de données personnelles et ne les utilisons pas pour la publicité ciblée. Vous pouvez passer par un mandataire autorisé, et nous ne vous traiterons pas différemment parce que vous exercez vos droits.

Enfants#

Lockpick s'adresse aux entreprises et aux professionnels. Il n'est pas destiné aux personnes de moins de 18 ans, et nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si vous pensez qu'un enfant nous a transmis des données personnelles, contactez-nous et nous les supprimerons.

Modifications de cette politique#

Nous pouvons mettre à jour cette politique. La date d'entrée en vigueur et la version indiquées en haut de cette page précisent la version applicable. Si une modification vous affecte de manière importante, nous vous en informerons avant son entrée en vigueur, par e-mail ou dans Lockpick.

Contact#

Pour toute question ou demande relative à la vie privée, écrivez-nous à support@lockpick.app.

Lockpick est exploité par datascience2go Inc., Ontario, Canada.