Politique de confidentialité

Chez Integrasec, nous traitons avec le plus grand sérieux les informations que vous nous confiez. Notre service analyse des courriers électroniques que les utilisateurs nous transmettent volontairement parce qu'ils soupçonnent qu'il peut s'agir d'une tentative de fraude ou de phishing. Cela signifie que, de par la nature même du service, nous traitons le contenu de communications électroniques. Nous sommes pleinement conscients du caractère sensible de cette donnée, et la présente politique explique, sans détour et en détail, ce que nous en faisons, pourquoi, pendant combien de temps et avec qui nous la partageons.

1. Responsable du traitement

2. Champ d'application de la présente politique

La présente politique s'applique :

• au module complémentaire (add-on) Integrasec pour Gmail et Google Workspace, y compris le bouton de signalement des courriers suspects ;
• au module complémentaire Integrasec pour Microsoft Outlook et Microsoft 365 ;
• au tableau de bord web d'Integrasec disponible sur eu.integrasec.net et ses sous-domaines ;
• aux communications automatiques de résultat d'analyse que nous envoyons par courrier électronique.

Elle ne s'applique pas aux sites web, applications ou services de tiers auxquels il est possible d'accéder depuis nos rapports ou communications, qui sont régis par leurs propres politiques.

3. Notre double rôle : responsable du traitement et sous-traitant

Cette distinction est importante car elle détermine à qui chaque personne doit s'adresser pour exercer ses droits.

3.1. Lorsque nous agissons en qualité de sous-traitant

Lorsqu'une entreprise ou une organisation souscrit à Integrasec pour ses salariés, cette organisation est le responsable du traitement et nous agissons en qualité de sous-traitant pour son compte, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Dans ce cas de figure :

• L'organisation cliente décide quels utilisateurs utilisent le service, à quelle fin et pendant combien de temps les données sont conservées.
• L'organisation cliente est tenue d'informer ses salariés qu'elle utilise Integrasec et de disposer d'une base juridique valable à cet effet.
• Nous traitons les données uniquement sur ses instructions documentées, consignées dans le contrat de sous-traitance conclu avec elle.
• Si vous êtes salarié d'une organisation cliente et souhaitez exercer vos droits, adressez-vous en premier lieu au responsable de la confidentialité de votre propre organisation. Nous vous assisterons par son intermédiaire.

3.2. Lorsque nous agissons en qualité de responsable du traitement

Nous agissons en qualité de responsable du traitement, et déterminons donc nous-mêmes les finalités et les moyens du traitement, dans les cas suivants :

• Données de contact de clients potentiels, communications commerciales et gestion de la relation contractuelle.
• Données d'administration des comptes d'accès au tableau de bord (inscription, authentification, assistance).
• Données de navigation et de sécurité de notre propre site web.
• Utilisation du service par des personnes physiques à titre individuel, en dehors d'un contrat d'entreprise (par exemple, programmes d'accès pour particuliers ou d'essai).
• Journaux techniques et de sécurité nécessaires pour protéger notre propre infrastructure.

4. Fonctionnement du service

Pour que vous compreniez exactement ce qu'il advient de vos données, voici le déroulement réel du système. Le signalement s'effectue toujours depuis le module complémentaire de Gmail ou d'Outlook : il n'existe aucune adresse électronique à laquelle transférer des messages pour analyse.

1. Un utilisateur reçoit un courrier qui lui paraît suspect et clique sur le bouton Integrasec dans Gmail ou dans Outlook.
2. Le module complémentaire lit ce message et uniquement ce message, dans son format complet (avec en-têtes et pièces jointes), et nous l'envoie accompagné de l'adresse électronique de l'utilisateur, de la catégorie de suspicion qu'il a choisie et, le cas échéant, d'un commentaire libre. Dans Gmail, le module complémentaire s'exécute sur l'infrastructure de Google (Google Apps Script) sous le compte de l'utilisateur lui-même, et ne peut communiquer qu'avec notre serveur.
3. Nous vérifions que le compte appartient à une organisation disposant d'une licence active. Dans Gmail, nous vérifions en outre de manière cryptographique auprès de Google que l'utilisateur est bien celui qu'il prétend être, afin d'empêcher quiconque d'usurper l'identité d'un autre. Dans Outlook, nous vérifions que l'adresse appartient à une organisation cliente.
4. Pour être analysé, le message passe par une file d'attente de traitement, où il attend son tour, stocké de manière transitoire dans notre infrastructure en Belgique. Il est supprimé dès la fin de l'analyse et, en tout état de cause, au bout de 24 heures.
5. Nous analysons le message : en-têtes techniques, authentification de l'expéditeur (SPF, DKIM, DMARC), ancienneté et réputation des domaines, liens, codes QR intégrés dans des images et pièces jointes. Pour savoir où mène un lien, notre serveur peut le visiter et suivre ses redirections, comme le ferait l'utilisateur, mais sans remplir ni soumettre aucun formulaire et sans conserver le contenu des pages.
6. Nous envoyons les informations pertinentes à un modèle d'intelligence artificielle hébergé dans l'Union européenne, qui rend un verdict motivé.
7. Nous envoyons à l'utilisateur un courrier contenant le résultat et enregistrons le rapport d'analyse dans le tableau de bord de son organisation.

5. Données à caractère personnel que nous traitons

5.1. Données du courrier signalé

Il s'agit du cœur du service et, par souci de transparence, nous les détaillons de manière exhaustive. Lorsqu'un courrier est signalé, nous traitons :

5.2. Données de compte et du tableau de bord de gestion

• Nom et prénom, adresse électronique professionnelle, organisation à laquelle vous appartenez et rôle attribué.
• Identifiants d'authentification. Si vous vous connectez au moyen de l'authentification unique avec Google ou Microsoft, nous ne voyons ni ne stockons jamais votre mot de passe : nous recevons uniquement un jeton d'identité vérifié. Si vous vous connectez avec votre propre mot de passe, celui-ci est géré par un fournisseur d'identité spécialisé qui le stocke de manière chiffrée et irréversible.
• Journal des accès, dates de connexion et tentatives infructueuses, à des fins de sécurité.
• Évaluations et corrections que les analystes de l'organisation apportent aux verdicts, ainsi que l'identité de la personne qui les effectue.

5.3. Données de configuration de l'organisation

Secteur d'activité, taille, fournisseurs habituels, outils d'entreprise, domaines propres et expéditeurs internes légitimes. Ces informations sont utilisées pour contextualiser l'analyse et réduire les faux positifs.

5.4. Données de synchronisation de l'annuaire

Lorsqu'une organisation cliente l'autorise expressément, nous synchronisons la liste des utilisateurs de son annuaire d'entreprise (Google Workspace ou Microsoft 365) afin de gérer les licences ainsi que les inscriptions et désinscriptions. Dans ce cas, nous traitons le nom, l'adresse électronique et l'état du compte (actif, suspendu ou supprimé), en lecture seule. Nous n'accédons pas au contenu des boîtes aux lettres par ce biais.

5.5. Données techniques, de navigation et cookies

Lors de l'utilisation du tableau de bord web, nous traitons l'adresse IP, le type de navigateur et d'appareil, les pages visitées et les horodatages, à des fins de sécurité et de fonctionnement. Nous utilisons des cookies strictement nécessaires pour maintenir la session ouverte et protéger le formulaire contre les attaques. Nous n'utilisons pas de cookies publicitaires ni de profilage.

6. Autorisations Google et Microsoft : ce que nous demandons et pourquoi

Le module complémentaire demande l'ensemble minimal d'autorisations indispensable à son fonctionnement. Pas une de plus.

Ces quatre autorisations sont les seules que le module complémentaire demande, et les seules qui apparaissent sur l'écran de consentement lors de son installation.

Il convient de souligner un choix de conception : nous ne demandons pas l'autorisation gmail.readonly, que Google classe comme restreinte et qui aurait permis de lire l'intégralité de la boîte aux lettres. Nous utilisons à la place une autorisation limitée à la conversation ouverte, de sorte que la limitation ne dépend pas uniquement de notre bonne foi : le système de Google lui-même nous empêche techniquement d'accéder à tout autre courrier. Google accorde un accès temporaire uniquement à la conversation que l'utilisateur a ouverte, pendant que le module complémentaire est en cours d'exécution, et cet accès expire. De cette conversation, seul le courrier que l'utilisateur décide de signaler parvient à nos serveurs. À aucun moment nous ne parcourons, n'indexons ni n'analysons le reste de la boîte aux lettres, car nous ne pourrions pas le faire même si nous le voulions.

6.1. Module complémentaire pour Microsoft Outlook

Microsoft n'utilise pas le même système d'autorisations que Google. Le module complémentaire Outlook déclare un niveau d'autorisation unique, ReadItem, qui est le niveau minimal permettant de lire le message que l'utilisateur a ouvert. Concrètement :

• Il permet de lire les propriétés du message sélectionné : expéditeur, objet, corps, en-têtes internet et pièces jointes.
• Il ne permet pas de modifier, de déplacer ni de supprimer le message, ni d'envoyer de courrier au nom de l'utilisateur.
• Il ne donne pas accès au reste de la boîte aux lettres : Outlook limite l'autorisation à l'élément que l'utilisateur a ouvert à ce moment-là.

Comme pour Gmail, il existe des niveaux supérieurs — ReadWriteItem, qui permettrait de modifier le message, et ReadWriteMailbox, qui donnerait accès à toute la boîte aux lettres — et nous ne les demandons pas.

6.2. Synchronisation de l'annuaire (fonctionnalité facultative et indépendante)

La synchronisation de l'annuaire décrite à la section 5.4 est une fonctionnalité facultative, souscrite séparément et actuellement non activée. Elle ne fait partie ni du module complémentaire ni des autorisations précédentes : lorsqu'une organisation décidera de l'activer, son administrateur devra accorder une autorisation distincte et explicite portant sur des autorisations en lecture seule de l'annuaire d'entreprise (dans Google Workspace, admin.directory.user.readonly et admin.directory.group.readonly). Ces autorisations permettent de consulter la liste des utilisateurs et des groupes afin de gérer les licences et ne donnent accès à aucun courrier. Aucun utilisateur final n'accorde cette autorisation et, sans intervention expresse de l'administrateur, la fonctionnalité reste désactivée.

7. Utilisation limitée des données obtenues de Google

Concrètement, et sans préjudice de ce qui précède, nous nous engageons à ce qui suit en ce qui concerne les données obtenues au moyen des autorisations Google :

• Nous les utilisons exclusivement pour fournir et améliorer les fonctionnalités d'analyse de sécurité des courriers visibles par l'utilisateur.
• Nous ne les transférons pas à des plateformes publicitaires, des courtiers en données ni des revendeurs d'informations.
• Nous ne les utilisons pas à des fins publicitaires de quelque nature que ce soit, ni pour l'évaluation de la solvabilité ou l'octroi de crédit.
• Nous ne les utilisons pas et ne les cédons pas pour créer, entraîner ou améliorer des modèles généralisés d'intelligence artificielle ou d'apprentissage automatique. Il est contractuellement interdit aux fournisseurs d'IA auxquels nous faisons appel d'utiliser nos données pour entraîner leurs modèles.
• Aucune personne ne lit ces données, sauf dans les cas limitativement énumérés à la section 13.
• Nous ne les partageons qu'avec des fournisseurs agissant en qualité de sous-traitants ultérieurs sous contrat, dans la mesure strictement nécessaire à la fourniture du service, ou lorsque la loi l'exige.

8. Finalités et bases juridiques

9. Utilisation de l'intelligence artificielle

Le verdict d'Integrasec est rendu par un modèle d'intelligence artificielle. Par souci de transparence :

• Ce qui est envoyé au modèle : l'objet, le corps du message, l'expéditeur, les en-têtes techniques, les liens, le texte extrait des pièces jointes, les images intégrées lorsque cela est nécessaire pour détecter des fraudes visuelles ou des codes QR, ainsi que le profil de contexte de l'organisation.
• Ce qui n'est pas envoyé au modèle : le motif de suspicion et le commentaire rédigé par l'utilisateur. Ils sont délibérément exclus afin que l'opinion préalable de l'utilisateur n'influence pas l'analyse technique.
• Lieu du traitement : sur l'infrastructure de Google Cloud Vertex AI au sein de l'Union européenne. L'analyse est effectuée via le point de terminaison multirégional de l'UE, pour lequel Google garantit que les données sont stockées et traitées exclusivement dans des États membres de l'Union européenne (à l'exclusion du Royaume-Uni et de la Suisse). La recherche de cas similaires est effectuée dans la région europe-west1 (Belgique).
• Entraînement : les données envoyées ne sont pas utilisées pour entraîner ni améliorer les modèles du fournisseur. Vertex AI n'utilise pas les données de ses clients professionnels à cette fin.
• Conservation chez le fournisseur : le fournisseur d'IA ne conserve pas les données de manière persistante pour ses propres besoins ; le traitement est ponctuel et vise à renvoyer le résultat.
• Continuité : si le modèle principal n'est pas disponible à un moment donné, la requête peut être renouvelée avec un autre modèle du même fournisseur, toujours au sein de l'Union européenne.

9.1. À propos des décisions automatisées

Le verdict d'Integrasec est une recommandation technique de sécurité portant sur un message, et non une décision concernant une personne. Il ne produit pas d'effets juridiques et n'affecte pas de manière significative les utilisateurs au sens de l'article 22 du RGPD : il ne conditionne pas l'accès à un emploi, à un crédit ou à un service, et n'est pas utilisé pour évaluer, sanctionner ou surveiller les performances d'un quelconque salarié. L'organisation cliente conserve à tout moment la possibilité de réexaminer, corriger et annuler tout verdict via le tableau de bord.

10. Destinataires et fournisseurs

Nous ne vendons pas de données à caractère personnel. Nous les partageons uniquement avec les fournisseurs nécessaires à la fourniture du service, tous liés par des contrats de sous-traitance conformes à l'article 28 du RGPD :

Lorsque notre serveur visite un lien du message pour savoir où il mène (section 4), le site web visité reçoit cette visite comme il la recevrait de n'importe quel navigateur : l'adresse demandée et l'adresse IP de notre serveur, jamais celle de l'utilisateur. Si le lien contient un identifiant placé par l'expéditeur, le site visité peut en déduire que quelqu'un l'a ouvert. Nous n'envoyons aucune autre donnée à ces sites.

En outre, nous pourrons communiquer des données aux juridictions, aux tribunaux, aux forces et corps de sécurité et aux administrations publiques lorsqu'il existe une obligation légale ou une réquisition valable, ainsi qu'à nos conseillers professionnels soumis à une obligation de secret.

11. Transferts internationaux

La quasi-totalité du traitement est réalisée sur des serveurs situés dans l'Union européenne, y compris l'analyse par intelligence artificielle. Il existe les exceptions ponctuelles suivantes. Aucune d'entre elles ne remet le corps ni les pièces jointes des communications analysées à un fournisseur pour qu'il les traite :

• Google Firebase Authentication : le service au moyen duquel les utilisateurs du tableau de bord d'administration se connectent est fourni depuis les États-Unis. Il traite leur adresse électronique et leurs identifiants d'accès (le mot de passe, stocké de manière chiffrée et irréversible, ou l'identité de connexion avec Google ou Microsoft). Il ne concerne pas les salariés qui se bornent à signaler des courriers ni le contenu d'aucun message.
• Google Web Risk : les URL trouvées dans le message sont consultées.
• Registres WHOIS : les noms de domaine de l'expéditeur et des liens sont consultés afin de connaître leur ancienneté et leur titularité. La requête est adressée au bureau d'enregistrement correspondant, qui peut être situé en dehors de l'Union européenne. Aucune autre donnée de l'utilisateur ou du message n'est transmise.
• Sites web liés : les visites de vérification décrites à la section 10 sont adressées au serveur sur lequel chaque site est hébergé, lequel peut se trouver dans n'importe quel pays.
• Module complémentaire Gmail : il s'exécute sur Google Apps Script, l'infrastructure de Google sur laquelle fonctionnent les modules complémentaires de Gmail. Le message signalé y transite en direction de notre serveur, sous le compte Google Workspace de l'utilisateur lui-même, et Google ne garantit pas de région déterminée pour ce service.

Les pièces jointes ne sont envoyées à aucun service d'analyse externe et ne sont consultées dans aucune base de données de tiers : leur inspection est entièrement locale et seule leur empreinte cryptographique (SHA-256) est conservée au sein de notre propre infrastructure européenne.

Ces consultations sont couvertes par les garanties prévues au chapitre V du RGPD, au moyen de clauses contractuelles types approuvées par la Commission européenne et, le cas échéant, de l'adhésion à l'EU-U.S. Data Privacy Framework. Vous pouvez demander une copie de ces garanties à l'adresse indiquée à la section 18.

Nos fournisseurs d'hébergement et de messagerie traitent les données dans des centres de données de l'Union européenne. Toutefois, s'agissant de sociétés dont la société mère est établie hors de l'Espace économique européen, il ne peut être exclu un accès à distance ponctuel depuis l'extérieur de l'UE à des fins d'assistance technique. Ces accès sont couverts par les mêmes mécanismes du chapitre V du RGPD et par les mesures complémentaires de chiffrement et de contrôle d'accès de chaque fournisseur.

12. Durées de conservation

À la fin du contrat avec une organisation cliente, ses données sont supprimées ou restituées dans un délai de 30 jours, sauf obligation légale de conservation. Pendant les 15 premiers jours de cette période, l'organisation peut demander l'exportation de ses informations.

13. Accès de notre personnel aux données

En règle générale, notre personnel n'accède pas au contenu des courriers analysés. L'accès est limité à un nombre restreint de personnes autorisées et ne peut avoir lieu que dans les cas suivants :

• Avec l'autorisation expresse de l'organisation cliente. L'administrateur de l'entreprise accorde l'accès depuis son tableau de bord de configuration et choisit pour quelle durée (de 3 heures à une durée indéterminée). L'autorisation expire d'elle-même à l'échéance du délai et peut être révoquée à tout moment avec effet immédiat. En l'absence d'une telle autorisation en cours de validité, le système empêche techniquement l'accès. Il existe deux cas dans lesquels l'accès est indiqué comme accordé de manière permanente, et apparaît ainsi dans le tableau de bord de l'organisation : lorsque l'organisation nous a confié par contrat la gestion de sa sécurité, car l'accès fait partie du service lui-même, et pour les organisations inscrites avant le 21 août 2026, qui conservent l'accès dont elles disposaient jusqu'à ce qu'elles le modifient ou le révoquent.
• Pour des raisons de sécurité, afin d'enquêter sur une menace active, un abus de la plateforme ou un incident de sécurité.
• Pour respecter une obligation légale ou donner suite à une réquisition valable d'une autorité compétente.
• Sur des données agrégées et anonymisées, pour des opérations internes telles que le contrôle qualité ou le diagnostic d'erreurs.

Tous les accès sont consignés dans un journal d'audit qui enregistre qui a accédé, à quelle organisation, quand et depuis quelle adresse IP — y compris les tentatives refusées. Si, pour quelque raison que ce soit, l'accès ne peut pas être enregistré, il n'est pas accordé. L'ensemble du personnel autorisé est en outre soumis à des obligations contractuelles de confidentialité qui subsistent après la fin de sa relation avec l'entreprise.

14. Mesures de sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD, notamment :

• Chiffrement en transit au moyen de TLS et chiffrement au repos des informations stockées.
• Authentification au moyen d'un fournisseur d'identité spécialisé, avec prise en charge de l'authentification unique d'entreprise.
• Vérification cryptographique de l'identité de l'utilisateur lors de chaque signalement depuis Gmail, qui empêche l'usurpation de licences ; dans Outlook, vérification que l'utilisateur appartient à une organisation cliente.
• Cloisonnement strict des données par organisation : aucune organisation ne peut accéder aux rapports d'une autre.
• Contrôle d'accès basé sur les rôles et principe du moindre privilège.
• Mesures de protection contre les contenus malveillants lors du traitement des pièces jointes, avec des limites de taille et une protection contre les archives compressées malveillantes.
• Journalisation des accès et de l'activité, et sauvegardes périodiques.

En cas de violation de données à caractère personnel engendrant un risque pour les droits et libertés des personnes, nous la notifierons à l'autorité de contrôle compétente et, le cas échéant, aux personnes concernées, dans les délais fixés par les articles 33 et 34 du RGPD.

Lorsque la violation concerne des données que nous traitons pour le compte d'une organisation cliente, nous la lui notifierons dans les meilleurs délais et, en tout état de cause, dans les 72 heures suivant le moment où nous en avons pris connaissance, en lui fournissant les informations nécessaires pour qu'elle puisse remplir ses propres obligations de notification. Si nous ne disposions pas à ce moment-là de tous les détails, nous transmettrons les informations disponibles et les compléterons progressivement sans attendre la clôture de l'enquête.

15. Vos droits

Vous pouvez exercer à tout moment les droits suivants :

• Accès : savoir quelles données vous concernant nous traitons.
• Rectification : corriger des données inexactes ou incomplètes.
• Effacement : demander la suppression de vos données lorsqu'elles ne sont plus nécessaires.
• Limitation : demander la suspension du traitement dans certains cas.
• Opposition : vous opposer aux traitements fondés sur notre intérêt légitime.
• Portabilité : recevoir vos données dans un format structuré et couramment utilisé.
• Retirer votre consentement à tout moment, sans que cela porte atteinte à la licéité du traitement antérieur.

Pour les exercer, écrivez à administracion@integrasec.net en indiquant le droit que vous souhaitez exercer. Nous pourrons vous demander de justifier de votre identité. Nous vous répondrons dans un délai d'un mois, prorogeable de deux mois supplémentaires lorsque la demande est particulièrement complexe.

15.1. Comment révoquer l'accès et désinstaller le module complémentaire

Vous pouvez retirer à tout moment les autorisations que vous avez accordées lors de l'installation du module complémentaire, sans avoir à nous contacter et sans avoir à vous justifier :

• Google : sur myaccount.google.com/permissions, en sélectionnant Integrasec et en retirant l'accès. Pour le désinstaller complètement, depuis Google Workspace Marketplace ou, s'il a été déployé par votre organisation, en en faisant la demande à votre administrateur.
• Microsoft : depuis Obtenir des compléments dans Outlook, dans l'onglet des compléments installés, ou par l'intermédiaire de l'administrateur Microsoft 365 de votre organisation.

Lorsque vous révoquez l'accès, l'autorisation cesse immédiatement d'être valable et le module complémentaire ne peut plus lire aucun message. Les analyses déjà réalisées ne sont pas supprimées automatiquement : elles restent dans le tableau de bord de votre organisation jusqu'à l'expiration de la durée de conservation prévue à la section 12, car elles appartiennent à l'organisation cliente et non à l'utilisateur individuel. Si vous souhaitez qu'elles soient supprimées plus tôt, adressez votre demande à votre organisation ou écrivez-nous à l'adresse indiquée à la section 18.

16. Mineurs

Integrasec est un service destiné aux organisations et aux utilisateurs professionnels. Il n'est ni conçu ni destiné aux mineurs de moins de 14 ans et nous ne collectons pas délibérément leurs données. Si nous constatons que nous avons traité des données d'un mineur sans base juridique valable, nous les supprimerons sans délai.

17. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique afin de refléter des changements du service ou de la réglementation applicable. La version en vigueur sera toujours publiée à cette adresse, avec l'indication de sa date de dernière mise à jour. Si nous apportons des modifications substantielles affectant de manière significative le traitement de vos données, nous vous en informerons avec un préavis raisonnable par courrier électronique ou au moyen d'un avis bien visible dans le tableau de bord.

18. Contact et réclamations

Pour toute question relative à la présente politique ou au traitement de vos données :

Si vous estimez que nous n'avons pas correctement traité votre demande, vous avez le droit d'introduire une réclamation auprès de l'Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es) ou auprès de l'autorité de contrôle de votre lieu de résidence.