Politique de confidentialité

La présente politique de confidentialité a pour objectif d’informer les utilisateurs du site mlab.sh et de l’ensemble de ses sous-domaines (*.mlab.sh), sauf lorsqu’un sous-domaine publie ses propres conditions, qui prévalent alors pour ce qui le concerne (ci-après, ensemble, le « Site ») de la manière dont leurs données personnelles sont collectées, utilisées et protégées par Cyber Dream SAS, conformément au Règlement Général sur la Protection des Données (RGPD).

Le responsable du traitement des données personnelles est :

Cyber Dream SAS
3 rue Jacques Daguerre, 44300 Nantes, France
RCS Nantes : 951 325 984
Email : [email protected]

Dans le cadre de l’utilisation du Site et des services proposés, Cyber Dream est amenée à collecter et traiter différentes catégories de données, notamment :

• Données d’identification : adresse email, identifiants de compte, informations fournies lors de la création ou de la gestion du compte utilisateur.
• Données techniques : adresse IP, journaux de connexion (logs), informations relatives au navigateur, au système d’exploitation, ainsi que des métadonnées techniques nécessaires à la sécurité et au bon fonctionnement des services.
• Données d’usage : informations relatives à l’utilisation des services (actions effectuées, types d’analyses lancées, interactions avec les fonctionnalités proposées), à des fins de suivi, de sécurité et d’amélioration du service.
• Données fournies par les utilisateurs : informations, contenus, fichiers, indicateurs ou données transmis volontairement par les utilisateurs dans le cadre de l’utilisation des services.
• Données issues de sources externes : données provenant de sources tierces, publiques ou partenaires, utilisées à des fins d’enrichissement, de corrélation et d’analyse, notamment dans le cadre des services de sécurité, de veille ou d’analyse des risques.
• Données des dépôts de code connectés : lorsqu’une organisation connecte ses dépôts GitHub ou GitLab, les noms, identifiants et adresses email des auteurs et committers, les messages de commit, ainsi que les identifiants des contributeurs, mainteneurs et administrateurs des dépôts. Ces personnes sont le plus souvent des développeurs, salariés ou prestataires de l’organisation, ou des contributeurs externes à ses projets. Le code analysé peut aussi contenir des données personnelles ou des identifiants techniques. Cyber Dream traite ces données en qualité de sous-traitant de l’organisation (voir section 3.1), à qui il revient d’informer les personnes concernées.
• Données de facturation : pour un paiement par carte, l’abonnement, les factures et l’historique des paiements, les données de carte restant chez Stripe ; pour un client professionnel facturé hors Stripe, la raison sociale, l’adresse, les numéros SIREN/SIRET et de TVA, les coordonnées des interlocuteurs et les coordonnées bancaires du payeur figurant sur les virements reçus.
• Données de mesure d’audience : statistiques de fréquentation anonymes et agrégées (pages consultées, provenance du trafic, pays, type d’appareil et de navigateur), collectées sans cookie et sans identifiant personnel via notre solution de mesure d’audience respectueuse de la vie privée (voir section 9 · Mesure d’audience).

Les données personnelles et informations traitées par Cyber Dream le sont exclusivement pour des finalités légitimes, déterminées et explicites, notamment :

• Fourniture, exploitation et fonctionnement des services, y compris l’exécution des analyses, le traitement des fichiers, l’enrichissement des données et l’accès aux fonctionnalités proposées.
• Gestion des comptes utilisateurs, incluant l’inscription, l’authentification, la gestion des accès, la communication avec les utilisateurs et l’assistance technique.
• Facturation et gestion administrative, notamment la gestion des abonnements, des paiements, des transactions, des obligations comptables et fiscales, ainsi que la prévention des impayés et des fraudes liées à la facturation.
• Emails d’information sur mlab.sh : accompagnement après l’inscription, nouveautés du produit et conseils d’utilisation. L’utilisateur peut s’y opposer dès l’inscription en cochant la case prévue à cet effet, puis à tout moment depuis ses paramètres (préférences email) ou via le lien de désabonnement présent dans chaque email. Les emails liés au service (récapitulatif d’activité, alertes de sécurité et de connexion) sont gérés depuis les mêmes préférences.
• Sécurité des systèmes et des services, prévention des usages frauduleux, abusifs ou malveillants, détection d’anomalies, incidents de sécurité et protection de l’infrastructure.
• Amélioration continue des services, des performances, de la qualité, de la fiabilité et de l’expérience utilisateur, y compris par des analyses statistiques, techniques ou de recherche.
• Transparence, traçabilité et auditabilité, notamment via la journalisation des actions, l’historique des traitements et la mise à disposition d’informations permettant aux utilisateurs de comprendre et suivre l’utilisation des services.
• Respect des obligations légales, réglementaires et contractuelles, y compris les obligations en matière de protection des données, de sécurité, de lutte contre la fraude et les demandes des autorités compétentes.

Les traitements de données réalisés par Cyber Dream reposent sur les bases légales prévues par le Règlement Général sur la Protection des Données (RGPD), et notamment :

• L’exécution d’un contrat ou de mesures précontractuelles : pour permettre la création et la gestion des comptes utilisateurs, l’accès aux services, l’exécution des analyses, la fourniture des résultats, ainsi que la gestion des abonnements et de la facturation.
• L’intérêt légitime de Cyber Dream : pour assurer la sécurité des systèmes et des services, prévenir les abus, fraudes et usages malveillants, améliorer les performances, la fiabilité et la qualité des services, ainsi que développer de nouvelles fonctionnalités. Ces traitements sont mis en œuvre dans le respect des droits et libertés des utilisateurs.
• Emails d’information : l’intérêt légitime de Cyber Dream à informer ses utilisateurs sur des services analogues à ceux qu’ils utilisent, conformément à l’article L.34-5 du Code des postes et des communications électroniques. L’utilisateur est informé et peut s’y opposer gratuitement lors de l’inscription et à chaque envoi.
• Le respect d’obligations légales et réglementaires : notamment en matière comptable, fiscale, de sécurité, de conservation de certaines données et de réponse aux demandes des autorités compétentes.

Les données personnelles au sens du RGPD ne sont ni vendues ni cédées. Elles peuvent être partagées uniquement avec des prestataires techniques strictement nécessaires au fonctionnement, à la sécurité et à l’exploitation des services, dans le respect de la réglementation applicable.

Les autres données traitées dans le cadre des Services (données soumises par les utilisateurs, indicateurs, résultats d’analyse, métadonnées) ne sont communiquées à des tiers que dans les trois cas suivants :

• Requêtes d’enrichissement. Pour produire un résultat, un indicateur (domaine, adresse IP, URL, empreinte de fichier) peut être transmis à des sources publiques ou tierces, telles que les serveurs DNS, les services WHOIS/RDAP, les journaux de certificats ou le service de réputation décrit à la section 7.2. Ces requêtes sont émises par l’infrastructure de mlab et ne comportent ni l’identité de l’utilisateur, ni celle de son organisation. Les sources utilisées sont citées dans les résultats et sur vuln.mlab.sh/sources.
• Résultats partagés. Le résultat de l’analyse d’un indicateur ou d’une empreinte de fichier (réputation, enregistrements techniques, détections) peut être affiché aux autres utilisateurs qui analysent le même élément. Il ne mentionne jamais l’utilisateur ou l’organisation qui l’a soumis. Le contenu des fichiers téléversés n’est jamais mis à disposition des autres utilisateurs, et les cases, rapports et historiques d’une organisation restent réservés à ses membres.
• Indicateurs malveillants. Cyber Dream peut communiquer à des tiers (partenaires, communautés de sécurité, autorités) des indicateurs de compromission malveillants uniquement : empreintes de fichiers malveillants, serveurs de commande et de contrôle (C2), domaines malveillants. Le contenu d’un fichier n’est jamais communiqué, pas plus que l’identité de l’utilisateur ou de l’organisation qui l’a soumis.

Aucune autre communication n’est réalisée : Cyber Dream ne vend, ne loue ni ne partage avec des partenaires, chercheurs ou communautés les données soumises par les utilisateurs, en dehors des indicateurs malveillants ci-dessus, ni le lien entre ces données et un utilisateur ou une organisation. Tout nouveau destinataire fait l’objet d’une mise à jour de la présente politique dans les conditions de la section 13.

Par ailleurs, des données peuvent être communiquées aux autorités judiciaires ou administratives habilitées, sur réquisition ou lorsque la loi l’exige, ainsi qu’aux conseils et juridictions dans la mesure nécessaire à la constatation, à l’exercice ou à la défense des droits de Cyber Dream en justice.

Les données applicatives et les données personnelles des utilisateurs (comptes, authentification, abonnements, facturation) sont hébergées au sein de l’Union européenne sur l’infrastructure privée auto-hébergée de Cyber Dream, opérée directement par :

Cyber Dream SAS
3 rue Jacques Daguerre, 44300 Nantes, France
SIREN : 951 325 984
Serveurs privés opérés en propre par Cyber Dream, sans recours à un hébergeur cloud tiers pour ces données.

Cloudflare, Inc. constitue une brique structurelle de l’infrastructure de mlab.sh et intervient en qualité de sous-traitant technique au sens du RGPD. Son rôle couvre l’ensemble du trafic et des services, au-delà du seul périmètre des scans.

Cloudflare, Inc.
101 Townsend Street, San Francisco, CA 94107, États-Unis
Infrastructure cloud opérant à l’échelle mondiale.

Cloudflare est utilisé par mlab.sh pour les finalités suivantes :

• Reverse proxy, CDN et sécurité réseau : l’intégralité du trafic HTTP(S) à destination de mlab.sh transite par le réseau Cloudflare (proxy, protection anti-DDoS, WAF, TLS, mise en cache des ressources statiques). À ce titre, Cloudflare traite techniquement les métadonnées de connexion (adresses IP, en-têtes, logs de requêtes) nécessaires au routage et à la sécurité.
• Workers (compute applicatif) : certaines logiques applicatives, tâches de traitement de données, enrichissements et services asynchrones sont exécutés sur l’infrastructure serverless Cloudflare Workers.
• Workers AI (intelligence artificielle) : lorsqu’un Utilisateur connecté demande l’analyse détaillée d’un script soumis au scanner de scripts, le contenu de ce script, avec les indicateurs extraits de ce script, est transmis à un modèle de langage exécuté sur Cloudflare Workers AI. Aucune autre donnée n’y est envoyée. Ces données servent uniquement à produire la réponse demandée : selon les conditions de Cloudflare applicables à Workers AI, elles ne sont pas utilisées pour entraîner des modèles.
• Stockage opérationnel : des composants de stockage Cloudflare (KV, R2, D1, Durable Objects ou équivalents) sont utilisés comme partie intégrante de notre stack de données pour des usages techniques : caches, index, files de traitement, données de scan, artefacts et métadonnées opérationnelles. Aucune donnée personnelle identifiante des utilisateurs (identifiants de compte, mots de passe, informations de facturation, contenu des emails) n’est stockée de manière persistante sur l’infrastructure de stockage Cloudflare. Les adresses email et noms nécessaires à l’envoi des emails transitent par les files de messages Cloudflare et peuvent figurer dans des journaux techniques conservés 7 jours au maximum.
• Services de scan et d’analyse : les données soumises par l’utilisateur (fichiers téléversés, domaines, URLs, adresses IP, hash MD5/SHA1/SHA256/SHA512, indicateurs de compromission) ainsi que les métadonnées techniques, résultats d’analyse et indicateurs de sécurité générés peuvent être transférés, mis en cache, traités et stockés via l’infrastructure mondiale de Cloudflare.

Ces traitements sont réalisés dans le respect de la réglementation applicable, notamment via des clauses contractuelles types (CCT) et des mécanismes de protection appropriés lorsque des données sont traitées en dehors de l’Union européenne. Les données personnelles au sens du RGPD restent hébergées principalement au sein de l’Union européenne ; leur circulation via le réseau Cloudflare se limite à ce qui est strictement nécessaire au fonctionnement du proxy, de la sécurité et des services décrits ci-dessus.

Afin de comprendre la fréquentation du Site et d’améliorer ses services, Cyber Dream utilise une solution de mesure d’audience respectueuse de la vie privée, fournie par :

Emvi Software GmbH (Pirsch Analytics)
Nickelstraße 1b, 33378 Rheda-Wiedenbrück, Allemagne
Données traitées et hébergées en Allemagne (Union européenne).

Cette solution fonctionne sans cookie et sans identifiant publicitaire. Elle ne permet ni le suivi des utilisateurs entre différents sites, ni la constitution de profils individuels.

Pour distinguer les visites, Pirsch génère un identifiant anonyme calculé par hachage à partir de l’adresse IP, du navigateur (user-agent), de la date et d’un sel (salt) rotatif. L’adresse IP n’est ni conservée ni stockée, même partiellement : elle est utilisée uniquement le temps du calcul, puis irréversiblement anonymisée. Cet identifiant ne permet pas de reconnaître un visiteur au-delà de 24 heures.

Les données ainsi collectées (pages consultées, provenance du trafic, pays, type d’appareil et de navigateur) sont exclusivement agrégées et statistiques, et ne sont pas utilisées à des fins publicitaires. Ce traitement, réalisé au sein de l’Union européenne, repose sur l’intérêt légitime de Cyber Dream (article 6.1.f du RGPD) à mesurer et améliorer la performance de ses services.

Conformément au RGPD et à la loi Informatique et Libertés, chaque utilisateur dispose des droits suivants sur ses données personnelles :

• Accès : obtenir la confirmation que ses données sont traitées et en recevoir une copie ;
• Rectification : faire corriger des données inexactes ou incomplètes ;
• Effacement : obtenir la suppression de son compte et de ses données, sous réserve des données que Cyber Dream doit conserver pour respecter une obligation légale (factures notamment) ;
• Portabilité : recevoir ses données dans un format structuré et lisible par machine ;
• Opposition : s’opposer à un traitement fondé sur l’intérêt légitime, et à tout moment aux emails d’information, via le lien de désabonnement présent dans chaque email ;
• Limitation : demander le gel temporaire d’un traitement ;
• Retrait du consentement, lorsque le traitement repose sur celui-ci ;
• Directives post-mortem : définir des directives relatives au sort de ses données après son décès.

Toutes ces demandes, y compris la suppression du compte et l’export de ses données, se font par email à [email protected], en indiquant [RGPD] dans l’objet et l’adresse email du compte concerné. Si un doute raisonnable existe sur l’identité du demandeur, Cyber Dream peut demander une information complémentaire permettant de la vérifier, par exemple une confirmation depuis l’adresse email du compte.

Une réponse est apportée dans les meilleurs délais, et au plus tard dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois pour une demande complexe, auquel cas l’utilisateur en est informé dans le premier mois. Un refus est toujours motivé.

L’utilisateur peut à tout moment introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr/fr/plaintes.

Le Site utilise uniquement des cookies strictement nécessaires à son fonctionnement, exemptés de consentement. Aucun cookie publicitaire ni de suivi tiers n’est utilisé. La mesure d’audience du Site est réalisée sans cookie (voir section 9 · Mesure d’audience).

Les données stockées dans le navigateur ne quittent pas le terminal de l’Utilisateur. Cloudflare, qui protège le Site, peut en outre déposer des cookies techniques de sécurité (par exemple __cf_bm) servant uniquement à distinguer le trafic légitime des robots. L’Utilisateur peut supprimer ces éléments à tout moment depuis les réglages de son navigateur ; la suppression de mlab_session le déconnecte.

Cyber Dream met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir la sécurité et la confidentialité des données personnelles.

Cyber Dream peut faire évoluer la présente politique de confidentialité. Toute modification substantielle, notamment l’ajout d’une finalité, d’une catégorie de données ou d’un destinataire, ou l’allongement d’une durée de conservation, est notifiée aux utilisateurs par email, à l’adresse de leur compte, et signalée sur le Site au moins trente (30) jours avant son entrée en vigueur. L’utilisateur peut, pendant ce délai, exercer ses droits décrits à la section 10, notamment son droit d’opposition ou de suppression de son compte.

Par exception, une modification imposée par la loi, une autorité ou un impératif de sécurité, ou sans incidence défavorable pour les utilisateurs (correction de forme, clarification, réduction des données traitées), peut prendre effet immédiatement ; les utilisateurs en sont alors informés dans les meilleurs délais. La date de dernière mise à jour figure en tête de la présente politique.