Privacy Policy / Politique de confidentialité

Introduction

CRDF Labs is a security service, so trust and traceability matter. This privacy policy is written to describe the service as it actually operates today: public forms, private-access onboarding, customer accounts, false-positive workflows, payment handling, anti-abuse controls and archived compliance files.

All processing is carried out in compliance with the French Data-Protection Act ("Loi Informatique et Libertés", 6 January 1978 as amended) and Regulation (EU) 2016/679 ("GDPR").

Our goal is simple: explain clearly what we collect, why we need it, who may receive it, how long we keep it and what you can ask us to do with it.

If you have a privacy question or wish to obtain further information about relevant processing activities, contact our privacy contact:

Postal address CRDF Labs – Privacy, 231 rue Saint-Honoré, 75001 Paris, France
E-mail [email protected]

Further information on your rights is available from:

• the French Supervisory Authority (CNIL): https://www.cnil.fr (complaints: https://www.cnil.fr/en/plaintes)
• the official GDPR text: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679

1. Data Controller

2. Scope

This policy applies to https://crdf.fr, https://threatcenter.crdf.fr and the related service areas: contact forms, URL submissions, false-positive workflows, private-access onboarding, customer accounts, API-access requests and billing flows. It covers processing relating to natural persons, whether acting privately or professionally.

Fields marked as required in a form are necessary to route, secure or perform the requested workflow. If they are not provided, CRDF cannot process that request or provide the relevant account or service. Other fields are optional and are identified as such. Private and paid access additionally requires a professional-purpose attestation because those offers are strictly business-to-business.

2 bis – Links to third-party sites

Our pages may contain links to external websites operated by affiliates or third parties. The practices described herein do not apply to data collected through those sites. CRDF Labs is not responsible for their content or privacy policies; we encourage you to consult them directly.

3. Purposes and Legal Bases of Processing

AI-assisted triage of Website, FAQ and invited service feedback

When this feature is enabled, CRDF Labs may send a minimized copy of free-text feedback to Scaleway Generative APIs solely to generate an internal summary and suggested topic, language, spam-risk, priority, sentiment, recommendation and confidence level. Sentiment is not used as a spam criterion.

Before transfer, CRDF Labs excludes the optional contact e-mail address, raw IP address, keyed IP hash, visited URL, query string and any security indicator associated with the page. Free text is minimized and detected direct identifiers are removed or irreversibly replaced. Users must avoid including confidential information or unnecessary personal data in free-text feedback.

The AI output is advisory. An authorised administrator reviews the feedback and may correct or disregard the suggestion. AI alone does not publish feedback, contact the submitter, block access, change a security classification, or make a decision producing legal or similarly significant effects.

Scaleway acts as a processor and CRDF Labs selects the Paris, France region for this processing. Scaleway documents zero content retention by default and states that inputs and outputs are not used to train its base models. Exceptionally, full request content may be temporarily stored or accessed for up to two weeks when investigating misuse, malicious activity or certain service errors. This exception is one reason CRDF Labs minimizes the prompt before transfer.

4. Sources of Data and Related Forms

4 bis. Threat-intelligence Data Collected Indirectly (GDPR Article 14)

CRDF Labs also processes technical security information that is not obtained directly from the person to whom it may relate. Depending on context, an IP address, domain name, public WHOIS/RDAP field, professional contact, infrastructure relationship or security observation may constitute personal data. Purely technical or legal-entity data that cannot relate to an identifiable natural person are not personal data.

Sources and categories

Indirect sources may include public DNS, RDAP and WHOIS services; certificate-transparency and other public technical registries; publicly accessible websites and network services; URLs and evidence submitted by reporters; customers, research partners, CERTs, CSIRTs, hosting providers, registrars and abuse teams; reputable open or commercial security feeds; and CRDF's own lawful technical observations. CRDF may derive timestamps, infrastructure links, categories, confidence indicators, risk scores and correction status from those sources.

Relevant categories may include a domain or IP identifier, hosting or registrar information, public professional contact details, first/last-seen dates, technical response metadata, reported abuse context, remediation or false-positive evidence, and CRDF's derived assessment. CRDF does not seek private subscriber identity from an IP address and does not intentionally publish personal registrant contact details in public reports.

Purposes, legal basis and recipients

The purposes are to detect and investigate malicious infrastructure, prevent abuse, maintain data quality, correct false positives, protect users and networks, conduct defensive security research and provide the approved CTI service. The principal basis is CRDF's legitimate interest and the legitimate interests of network defenders in cybersecurity and abuse prevention (Article 6(1)(f)); a contract may also apply to data supplied by a customer, and a legal obligation may apply to requests from competent authorities.

Minimized indicators and assessments may be displayed in public results. More detailed data may be disclosed to authorised professional customers within their licence and TLP scope, and where necessary to processors, independent security providers used for a requested workflow, research or remediation partners, CERTs/CSIRTs, hosts, registrars, affected operators, legal advisers, courts or competent authorities. Raw personal contact fields are not licensed for marketing, resale or unrelated profiling.

Information, retention and automated assessment

CRDF applies a documented manual Article 14 assessment to relevant indirect-data activities; this is not presented as an automated notification workflow. Where CRDF has usable contact details and individual notice is possible without compromising a security investigation, the responsible team sends the Article 14 information within a reasonable period and no later than one month after obtaining the data, the first communication with the person, or the first disclosure, whichever relevant event occurs first. Where individual notice is impossible or would involve disproportionate effort, or where another Article 14(5) exemption lawfully applies, the responsible team must record the facts, legal ground and safeguards relied on. This public notice, data minimisation, restricted disclosure, correction channels and rights-request mechanisms form part of those safeguards. The sections on providers and transfers, your rights and contact complete this Article 14 information.

Personal-data components of operational CTI are retained while the security signal remains relevant and for no more than 12 months after the last meaningful observation, correction or dispute activity. A limited evidentiary record may be isolated for up to five years where necessary for an active or reasonably anticipated legal claim. Non-personal indicators may be retained separately under technical lifecycle rules.

CRDF scoring and categorisation assist cybersecurity analysis. CRDF does not use them to make a solely automated decision producing legal or similarly significant effects on a natural person. Customers must independently validate freshness and context before taking a significant action.

4 ter. Background Check and NDA

Before any private CTI access is granted, we carry out a limited background check designed solely to keep malicious actors away.

We verify your identity using an official document, confirm your professional background and references and may review a proportionate overview of publicly available professional sources, including a public professional social-media presence where relevant. We do not request your criminal record. Supporting documents are seen only by authorised staff. For completed private-access onboarding workflows, sensitive supporting files are automatically removed from the production server about one hour after completion and archived in a segregated environment outside the production environment. The resulting compliance record may then be retained for up to five years and is reviewed for continued necessity. If your application is accepted, you are asked to sign a confidentiality agreement (NDA).

5. Retention Periods

False-positive, service-feedback and other security/support records are retained for up to 1 year under Article 6(1)(f) GDPR, based on our legitimate interest in security operations, abuse prevention, calibration and review traceability. Some raw IP-only technical logs used for anti-abuse and flood protection are kept for a shorter period of up to 30 days, and temporary IP blacklist entries are kept for up to 30 days after expiry. GDPR rights request traces and their email queue are retained for up to 5 years. GDPR access exports are encrypted at rest; the encrypted payload is erased after the first successful download or when the 24-hour download window expires. Private-access member, onboarding, compliance and reward-claim records are retained for up to 5 years. Contract and onboarding proof uses context-separated keyed hashes rather than raw network or browser values and is retained for no more than 5 years after the relevant service period or last material activity; exact archived legal documents are deleted only when no unexpired record still references them. Public AI feedback is retained for up to 1 year, public AI endpoint rate-limit counters for up to 30 days, and e-mail delivery guard counters for up to 3 days. Where immediate deletion is not possible but the remaining retained purpose no longer requires your direct identity, we may erase or irreversibly replace direct identifiers and keep only a pseudonymised residual record for the applicable retention period. That residual remains personal data and continues to receive GDPR safeguards until deletion.

6. Cookies and Trackers

CRDF does not use advertising or audience-measurement trackers on the public site. The following first-party storage is used for authentication, an interface choice and proportionate service security:

These mechanisms are used on the basis that they are strictly necessary to provide an expressly requested interface function or secure the service. They are periodically reviewed for necessity and proportionality. If a mechanism is later used for analytics, advertising or another non-essential purpose, it will not be activated before the required consent is obtained.

The anti-abuse layer may also query an IP-reputation provider with the requesting IP address when needed for security. Those disclosures and any international-transfer conditions are described below.

7. Service Providers and International Transfers

We use a provider only where a specific workflow requires it and minimize the data sent. Depending on the service and contractual allocation, a provider may act as a processor, independent controller or separate recipient; the label is verified for each workflow rather than inferred from the provider's name. Locations below describe the potential processing footprint, not a guarantee that every request is transferred.

Before enabling a transfer outside the EEA, CRDF requires a documented GDPR Chapter V basis applicable to that transfer, such as a current adequacy decision or appropriate Article 46 safeguards, together with any necessary risk assessment and supplementary measures. If that basis cannot be documented, the transfer-dependent workflow must remain disabled. Contact [email protected] for information about the mechanism applicable to a particular transfer and, where legally available, a copy of the relevant safeguard.

8. Security Measures

Communications with our servers are protected in transit using HTTPS. HTTPS reduces interception and tampering risks in transit but does not by itself guarantee end-to-end or risk-free security. Each customer can choose the required account sign-in method: passkey (WebAuthn), a time-based code from an authenticator app (TOTP), a bound one-time code sent by e-mail, or any enabled method. E-mail remains a recovery channel when a passkey or TOTP is mandatory. CRDF stores the selected authentication preference, a passkey public key and technical identifier (never the device biometric), encrypted TOTP secrets, and only one-way hashes of optional single-use recovery codes. A coarse device label is derived for session review and new-login alerts without storing the raw browser user-agent.

We use access logging where relevant, internal anti-abuse controls, rate limiting, browser-fingerprint challenge systems and IP-reputation checks to protect forms, workflows and private-access provisioning.

GDPR access exports generated by the automated rights form are stored in an encrypted database envelope until delivery, made available through a captcha-protected one-time link, and erased from the database after the first successful download or expiry.

Encrypted operational backups may temporarily contain data that has since been deleted from the live database until the normal backup cycle expires. Backups are not selectively restored to reintroduce erased requester data except where a controlled legal, security or disaster-recovery requirement makes it necessary.

For completed onboarding workflows, sensitive files are automatically removed from the production server about one hour after completion and archived in a segregated environment outside production. No online service can honestly promise zero risk; our commitment is to reduce exposure, restrict access, segment sensitive workflows and notify the CNIL and affected individuals where the law requires it.

9. Your Rights

You may exercise your right to access, rectify, erase or port your data, to restrict or object to processing, and to withdraw consent where consent is the legal basis. In France, you may also give general or specific instructions concerning the retention, erasure and communication of your personal data after your death, designate the person responsible for carrying them out and modify or revoke them. In the absence of instructions, heirs may exercise the rights allowed by applicable law.

You may object to AI-assisted feedback triage based on our legitimate interests and request human review. CRDF Labs does not use this triage to make a solely automated decision that produces legal or similarly significant effects.

Where we must retain records for legal, accounting, security or compliance reasons, we may refuse immediate deletion for the relevant part of the data and will explain why. Where the retained purpose no longer requires your direct identity, we may instead erase or irreversibly replace direct identifiers while keeping a pseudonymised residual record for the applicable retention period. That residual remains personal data and continues to receive GDPR safeguards until deletion.

Access and portability exports generated through the automated GDPR form are encrypted at rest until delivery. The download link is one-time, requires browser verification/captcha, and the encrypted payload is erased from the database after download or expiry. When a request concerns technical security data, we may ask for a verified technical IP address and date range; readable exports redact sensitive raw technical identifiers where disclosure is not necessary for the exercise of your rights.

For a restriction request covering a verified technical IP address, matched retention and deletion workflows are held automatically. Suspension of upstream technical-security collection is handled through a mandatory documented DPO task; the request cannot be closed until that task records the affected processing and its outcome. Any processing that continues while restriction applies must have a documented basis permitted by Article 18 GDPR or your consent.

If you believe your rights are not respected, you can file a complaint with the CNIL (https://www.cnil.fr/en/plaintes).

How to Exercise Your Rights

Please send your request:

• by e-mail to [email protected];
• by post to CRDF Labs – Privacy, 231 rue Saint-Honoré, 75001 Paris, France;
• or via the form at https://threatcenter.crdf.fr/contact.html.
• or use our automated GDPR request form at https://threatcenter.crdf.fr/rgpd.html.

We may ask for proof of identity. A written reply will be provided within one month, extendable by two months for complex cases.

10. Age Restriction

Our services are strictly reserved for persons 18 years of age or older. Minors are not allowed to use them.

11. Recipients and Business Model

Personal data may be accessed by authorised CRDF personnel and, only where necessary for the relevant purpose, by the providers and recipients described above. Technical CTI may also be disclosed to authorised professional customers within their licence/TLP scope, and to security or remediation partners, CERTs/CSIRTs, affected operators, hosts, registrars, advisers, courts or competent authorities where necessary and lawful.

For URL submissions, the submitted technical indicator and relevant non-contact evidence may be shared with security partners for analysis and remediation. The reporter's e-mail address is not included in that partner disclosure unless the reporter separately requests or authorises contact, or disclosure is legally required.

CRDF does not sell, rent or broker account, contact, applicant or reporter personal data, and does not use them for advertising. CRDF's paid business model consists of its own professional services and licences to security intelligence; such a licence does not authorise recipients to use personal data for marketing, data brokerage or unrelated profiling.

12. Changes to This Policy

We may amend this policy to reflect legal, technical or product changes. We update the version number and date for each meaningful change. Where a change materially affects a current user or applicant — for example a new purpose, legal basis, recipient category or transfer — we provide an appropriate direct or in-product notice before the change takes effect when required by law.

13. Contact

For any question regarding data protection, please write to [email protected] or by post to CRDF Labs – Privacy, 231 rue Saint-Honoré, 75001 Paris, France.

Introduction

CRDF Labs est un service de sécurité ; la confiance et la traçabilité sont donc essentielles. Cette politique de confidentialité est rédigée pour décrire le service tel qu'il fonctionne réellement aujourd'hui : formulaires publics, onboarding d'accès privé, comptes clients, workflows de faux positifs, paiements, mécanismes anti-abus et archives de conformité.

Toutes les données personnelles que nous traitons le sont conformément à la loi Informatique et Libertés du 6 janvier 1978 modifiée ainsi qu'au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD).

Notre objectif est simple : expliquer clairement quelles données nous collectons, pourquoi nous en avons besoin, à qui elles peuvent être transmises, combien de temps nous les conservons et ce que vous pouvez nous demander d'en faire.

Pour toute question relative à la vie privée ou pour obtenir des informations complémentaires sur les traitements pertinents, vous pouvez contacter notre contact protection des données :

Adresse : CRDF Labs – Vie privée, 231 rue Saint-Honoré, 75001 Paris, France – e-mail : [email protected]

Pour approfondir vos droits :

• CNIL : https://www.cnil.fr (plainte : https://www.cnil.fr/fr/plaintes)
• RGPD, texte officiel : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679
• Loi I&L consolidée : https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460/

1. Responsable de traitement

2. Champ d'application

La présente politique s'applique aux sites https://crdf.fr et https://threatcenter.crdf.fr, ainsi qu'aux espaces et services associés : formulaires de contact, soumissions d'URL, workflows de faux positifs, onboarding d'accès privé, comptes clients, demandes d'accès API et flux de facturation. Elle concerne les traitements relatifs aux personnes physiques, qu'elles agissent à titre privé ou professionnel.

Les champs signalés comme obligatoires dans un formulaire sont nécessaires pour router, sécuriser ou exécuter le workflow demandé. À défaut, CRDF ne peut pas traiter la demande ni fournir le compte ou service concerné. Les autres champs sont facultatifs et identifiés comme tels. Les accès privés et payants exigent en outre une attestation de finalité professionnelle car ces offres sont strictement conclues entre professionnels.

Liens externes

Nos pages peuvent contenir des liens vers des sites tiers. La politique de ces sites s'applique alors ; CRDF Labs n'est pas responsable de leurs pratiques. Nous vous invitons à consulter leurs propres règles de confidentialité.

3. Finalités et bases légales du traitement

Pré-tri assisté par IA des feedbacks du site, de la FAQ et des avis de service sur invitation

Lorsque cette fonctionnalité est activée, CRDF Labs peut transmettre aux API Generative de Scaleway une copie minimisée du texte libre du feedback, uniquement pour produire un résumé interne et des suggestions de sujet, langue, risque de spam, priorité, sentiment, recommandation et niveau de confiance. Le sentiment n'est pas utilisé comme critère de spam.

Avant le transfert, CRDF Labs exclut l'adresse e-mail de contact facultative, l'adresse IP brute, le condensat IP calculé avec une clé, l'URL visitée, sa chaîne de requête et tout indicateur de sécurité associé à la page. Le texte libre est minimisé et les identifiants directs détectés sont supprimés ou remplacés de manière irréversible. Les utilisateurs ne doivent pas inclure d'informations confidentielles ni de données personnelles non nécessaires dans leur commentaire.

La sortie de l'IA est consultative. Un administrateur autorisé examine le feedback et peut corriger ou ignorer la suggestion. L'IA seule ne publie pas le feedback, ne contacte pas son auteur, ne bloque aucun accès, ne modifie aucune classification de sécurité et ne prend aucune décision produisant des effets juridiques ou affectant significativement une personne.

Scaleway agit en qualité de sous-traitant et CRDF Labs sélectionne la région Paris, France pour ce traitement. Scaleway documente une absence de conservation du contenu par défaut et indique que les entrées et sorties ne servent pas à entraîner ses modèles de base. Exceptionnellement, le contenu complet d'une requête peut être conservé temporairement ou consulté pendant deux semaines au maximum afin d'enquêter sur un abus, une activité malveillante ou certaines erreurs de service. Cette exception justifie notamment la minimisation du prompt avant transfert.

4. Origine des données et formulaires concernés

4 bis. Données de threat intelligence collectées indirectement (article 14 du RGPD)

CRDF Labs traite également des informations techniques de sécurité qui ne sont pas obtenues directement auprès de la personne à laquelle elles peuvent se rapporter. Selon le contexte, une adresse IP, un nom de domaine, un champ WHOIS/RDAP public, un contact professionnel, une relation d'infrastructure ou une observation de sécurité peut constituer une donnée personnelle. Les données purement techniques ou relatives à une personne morale qui ne peuvent pas concerner une personne physique identifiable ne sont pas des données personnelles.

Sources et catégories

Les sources indirectes peuvent comprendre les services publics DNS, RDAP et WHOIS ; les journaux de transparence des certificats et autres registres techniques publics ; les sites et services réseau accessibles au public ; les URL et preuves transmises par les déclarants ; les clients, partenaires de recherche, CERT, CSIRT, hébergeurs, registrars et équipes anti-abus ; des feeds de sécurité ouverts ou commerciaux réputés ; ainsi que les propres observations techniques licites de CRDF. CRDF peut en déduire des dates, relations d'infrastructure, catégories, indices de confiance, scores de risque et statuts de correction.

Les catégories pertinentes peuvent inclure un identifiant de domaine ou d'IP, des informations d'hébergement ou de registrar, des coordonnées professionnelles publiques, les dates de première et dernière observation, des métadonnées de réponse technique, le contexte d'un signalement d'abus, les éléments de remédiation ou de faux positif et l'évaluation dérivée de CRDF. CRDF ne cherche pas à obtenir l'identité privée d'un abonné à partir d'une adresse IP et ne publie pas intentionnellement les coordonnées personnelles d'un titulaire de domaine dans ses rapports publics.

Finalités, base légale et destinataires

Les finalités sont de détecter et analyser les infrastructures malveillantes, prévenir les abus, maintenir la qualité des données, corriger les faux positifs, protéger les utilisateurs et réseaux, mener des recherches défensives et fournir le service CTI approuvé. La base principale est l'intérêt légitime de CRDF et des défenseurs de réseaux en matière de cybersécurité et de prévention des abus (article 6(1)(f)) ; un contrat peut également s'appliquer aux données fournies par un client et une obligation légale aux demandes d'autorités compétentes.

Des indicateurs et évaluations minimisés peuvent apparaître dans les résultats publics. Des données plus détaillées peuvent être communiquées aux clients professionnels autorisés dans leur périmètre de licence et de TLP et, lorsque nécessaire, aux sous-traitants, fournisseurs de sécurité indépendants utilisés pour un workflow demandé, partenaires de recherche ou remédiation, CERT/CSIRT, hébergeurs, registrars, opérateurs concernés, conseils juridiques, juridictions ou autorités compétentes. Les coordonnées personnelles brutes ne sont pas licenciées pour le marketing, la revente ou un profilage sans rapport avec la sécurité.

Information, conservation et évaluation automatisée

CRDF applique une analyse manuelle documentée de l'article 14 aux activités pertinentes portant sur des données indirectes ; il ne s'agit pas d'un workflow de notification automatisé. Lorsque CRDF dispose de coordonnées utilisables et qu'une information individuelle est possible sans compromettre une investigation de sécurité, l'équipe responsable adresse les informations de l'article 14 dans un délai raisonnable et au plus tard un mois après l'obtention des données, lors de la première communication avec la personne ou lors de la première divulgation, selon l'événement pertinent survenant en premier. Lorsque l'information individuelle est impossible, exigerait des efforts disproportionnés ou qu'une autre exemption de l'article 14(5) s'applique licitement, l'équipe responsable doit consigner les faits, le fondement et les garanties invoqués. La présente information publique, la minimisation, la diffusion restreinte, les canaux de correction et les mécanismes d'exercice des droits font partie de ces garanties. Les sections relatives aux prestataires et transferts, à vos droits et au contact complètent cette information de l'article 14.

Les composantes personnelles de la CTI opérationnelle sont conservées tant que le signal de sécurité demeure pertinent et au maximum 12 mois après la dernière observation, correction ou activité de contestation significative. Une trace probatoire limitée peut être isolée jusqu'à cinq ans lorsqu'elle est nécessaire à une réclamation en cours ou raisonnablement prévisible. Les indicateurs non personnels peuvent être conservés séparément selon leur cycle de vie technique.

Le scoring et la catégorisation CRDF assistent l'analyse de cybersécurité. CRDF ne les utilise pas pour prendre une décision exclusivement automatisée produisant des effets juridiques ou affectant significativement une personne physique. Les clients doivent vérifier indépendamment la fraîcheur et le contexte avant toute action significative.

4 ter. Contrôle d'antécédents et accord de confidentialité

Avant de vous accorder un accès privé à notre CTI, nous procédons à une vérification limitée de vos antécédents. Cette vérification comprend :

• la confirmation de votre identité à l'aide d'un document officiel ;
• la vérification de votre parcours professionnel et de vos références ;
• le cas échéant, un aperçu de votre présence publique sur les réseaux sociaux.

Nous ne vous demanderons pas d'extrait de casier judiciaire.

Les pièces justificatives sont consultées uniquement par les personnes habilitées. Pour les workflows d'onboarding d'accès privé menés à terme, les fichiers sensibles sont retirés automatiquement du serveur de production environ une heure après la finalisation, puis archivés dans un environnement cloisonné hors production. Le dossier de conformité résultant peut ensuite être conservé jusqu'à cinq ans et sa nécessité est réévaluée. Lorsque votre dossier est approuvé, vous signez un accord de confidentialité (NDA) destiné à préserver la confidentialité des informations auxquelles vous aurez accès.

5. Durées de conservation

Les dossiers de faux positifs, feedbacks de service et autres données de sécurité / support sont conservés pendant 1 an au maximum sur le fondement de l'article 6(1)(f) du RGPD, au titre de notre intérêt légitime pour les opérations de sécurité, la prévention des abus, la calibration et la traçabilité des revues. Certains journaux techniques bruts uniquement liés à une IP, utilisés pour l'anti-abus et l'anti-flood, sont conservés jusqu'à 30 jours, et les entrées temporaires de blacklist IP jusqu'à 30 jours après expiration. Les traces de demandes RGPD et leur file d'attente e-mail sont conservées jusqu'à 5 ans. Les exports d'accès RGPD sont chiffrés au repos ; le contenu chiffré est effacé après le premier téléchargement réussi ou lorsque la fenêtre de téléchargement de 24 heures expire. Les données membres d'accès privé, d'onboarding, de conformité et de demande de récompense sont conservées jusqu'à 5 ans. La preuve contractuelle et d'onboarding utilise des condensats contextuels avec clé plutôt que des valeurs réseau ou navigateur brutes et est conservée au plus 5 ans après la période de service ou la dernière activité matérielle concernée ; les documents juridiques exacts archivés ne sont effacés que lorsqu'aucune référence non expirée ne les utilise encore. Le feedback IA public est conservé jusqu'à 1 an, les compteurs de rate limit du point d'entrée IA public jusqu'à 30 jours, et les compteurs de garde d'envoi e-mail jusqu'à 3 jours. Lorsque l'effacement immédiat n'est pas possible mais que la finalité restante n'exige plus votre identité directe, nous pouvons effacer ou remplacer de manière irréversible les identifiants directs et ne conserver qu'un enregistrement résiduel pseudonymisé pour la durée de conservation applicable. Cet enregistrement demeure une donnée personnelle et continue de bénéficier des garanties du RGPD jusqu'à sa suppression.

6. Cookies et traceurs

CRDF n'utilise aucun traceur publicitaire ou de mesure d'audience sur le site public. Les stockages internes suivants servent à l'authentification, à un choix d'interface et à la sécurité proportionnée du service :

Ces mécanismes sont utilisés parce qu'ils sont strictement nécessaires à une fonction d'interface expressément demandée ou à la sécurité du service. Leur nécessité et leur proportionnalité sont réévaluées périodiquement. Si un mécanisme devait être utilisé à des fins de mesure, publicité ou autre finalité non essentielle, il ne serait pas activé avant le recueil du consentement requis.

La couche anti-abus peut aussi interroger un prestataire de réputation IP avec l'adresse IP de la requête lorsque la sécurité l'exige. Ces communications et leurs éventuelles conditions de transfert international sont décrites ci-dessous.

7. Prestataires et transferts internationaux

Nous utilisons un prestataire uniquement lorsqu'un workflow précis l'exige et minimisons les données transmises. Selon le service et la répartition contractuelle, un acteur peut être sous-traitant, responsable indépendant ou destinataire distinct ; ce rôle est vérifié pour chaque workflow au lieu d'être déduit de son nom. Les localisations ci-dessous décrivent une empreinte potentielle de traitement et non la garantie que chaque requête est transférée.

Avant d'activer un transfert hors EEE, CRDF exige un fondement documenté conforme au chapitre V du RGPD pour le transfert concerné, tel qu'une décision d'adéquation en vigueur ou des garanties appropriées de l'article 46, avec l'analyse de risque et les mesures supplémentaires nécessaires. Si ce fondement ne peut pas être documenté, le workflow dépendant du transfert doit rester désactivé. Contactez [email protected] pour connaître le mécanisme applicable à un transfert donné et obtenir, lorsqu'elle peut légalement être communiquée, une copie de la garantie pertinente.

8. Mesures de sécurité

Les communications avec nos serveurs sont protégées en transit par HTTPS. HTTPS réduit les risques d'interception et d'altération pendant le transport mais ne garantit pas à lui seul une sécurité de bout en bout ou sans risque. Chaque client peut choisir la méthode obligatoire de connexion au compte : passkey (WebAuthn), code temporel d'une application d'authentification (TOTP), code à usage unique lié au compte et envoyé par e-mail, ou toute méthode activée. L'e-mail reste un canal de récupération lorsqu'une passkey ou le TOTP est obligatoire. CRDF conserve la préférence d'authentification choisie, la clé publique et l'identifiant technique d'une passkey (jamais la biométrie de l'appareil), les secrets TOTP chiffrés au repos et uniquement les condensats irréversibles des éventuels codes de récupération à usage unique. Un libellé général de l'appareil est dérivé pour la revue des sessions et les alertes de nouvelle connexion, sans conserver la chaîne brute de l'agent utilisateur du navigateur.

Nous utilisons, selon les cas, des journaux d'accès, des contrôles internes anti-abus, du rate limiting, des mécanismes de challenge par fingerprint navigateur et des vérifications de réputation IP pour protéger les formulaires, workflows et processus d'accès privé.

Les exports d'accès RGPD générés par le formulaire automatisé sont stockés dans une enveloppe chiffrée en base de données jusqu'à leur délivrance, mis à disposition via un lien à usage unique protégé par captcha, puis effacés de la base après le premier téléchargement réussi ou expiration.

Les sauvegardes opérationnelles chiffrées peuvent contenir temporairement des données supprimées de la base active jusqu'à l'expiration du cycle normal de sauvegarde. Elles ne sont pas restaurées sélectivement pour réintroduire des données effacées, sauf exigence contrôlée de nature légale, sécurité ou reprise après incident.

Pour les workflows d'onboarding finalisés, les fichiers sensibles sont retirés automatiquement du serveur de production environ une heure après la finalisation puis archivés dans un environnement cloisonné hors production. Aucun service en ligne ne peut honnêtement promettre un risque nul ; notre engagement est de réduire l'exposition, restreindre les accès, segmenter les workflows sensibles et notifier la CNIL ainsi que les personnes concernées lorsque la loi l'impose.

9. Vos droits

Vous pouvez à tout moment : accéder à vos données, les rectifier, en demander l'effacement, en limiter le traitement, vous y opposer, en obtenir la portabilité ou retirer votre consentement lorsque celui-ci constitue la base légale du traitement.

Vous pouvez vous opposer au pré-tri assisté par IA des feedbacks fondé sur nos intérêts légitimes et demander une revue humaine. CRDF Labs n'utilise pas ce pré-tri pour prendre une décision exclusivement automatisée produisant des effets juridiques ou affectant significativement une personne.

Lorsque nous devons conserver certains éléments pour des raisons légales, comptables, de sécurité ou de conformité, nous pouvons refuser leur suppression immédiate pour la partie concernée et nous vous en expliquerons la raison. Lorsque la finalité de conservation ne requiert plus votre identité directe, nous pouvons à la place effacer ou remplacer de manière irréversible les identifiants directs tout en conservant un enregistrement résiduel pseudonymisé pendant la durée applicable. Cet enregistrement demeure une donnée personnelle et continue de bénéficier des garanties du RGPD jusqu'à sa suppression.

Les exports d'accès et de portabilité générés via le formulaire RGPD automatisé sont chiffrés au repos jusqu'à leur délivrance. Le lien de téléchargement est à usage unique, nécessite une vérification navigateur/captcha, et le contenu chiffré est effacé de la base après téléchargement ou expiration. Lorsqu'une demande porte sur des données techniques de sécurité, nous pouvons demander une adresse IP technique vérifiée et une plage de dates ; les exports lisibles masquent les identifiants techniques bruts sensibles lorsque leur divulgation n'est pas nécessaire à l'exercice de vos droits.

Lorsqu'une demande de limitation porte sur une adresse IP technique vérifiée, les workflows de conservation et de suppression correspondant aux données retrouvées sont automatiquement suspendus. La suspension de la collecte technique de sécurité en amont fait l'objet d'une tâche DPO obligatoire et documentée ; la demande ne peut pas être clôturée tant que cette tâche n'a pas recensé les traitements concernés et leur issue. Tout traitement maintenu pendant la limitation doit reposer sur un fondement documenté autorisé par l'article 18 du RGPD ou sur votre consentement.

En France, vous pouvez définir des directives générales ou particulières relatives à la conservation, à l'effacement et à la communication de vos données après votre décès, désigner la personne chargée de leur exécution et les modifier ou révoquer. En l'absence de directives, vos héritiers peuvent exercer les droits prévus par la loi applicable.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : https://www.cnil.fr/fr/plaintes.

Comment exercer vos droits ?

Envoyez votre demande :

• par e-mail à [email protected] ;
• par courrier à CRDF Labs – Vie privée, 231 rue Saint-Honoré, 75001 Paris, France ;
• ou via le formulaire https://threatcenter.crdf.fr/contact.html.
• ou utilisez notre formulaire automatisé de demande RGPD à https://threatcenter.crdf.fr/rgpd.html.

Une pièce d'identité peut être demandée. Nous vous répondrons dans un délai maximal d'un mois (prolongeable de deux mois pour les demandes complexes).

10. Accès réservé aux personnes majeures

Nos services sont strictement réservés aux personnes âgées de 18 ans ou plus. Les mineurs ne sont pas autorisés à les utiliser.

11. Destinataires et modèle économique

Les données personnelles peuvent être consultées par les personnels CRDF habilités et, uniquement lorsque la finalité concernée l'exige, par les prestataires et destinataires décrits ci-dessus. La CTI technique peut aussi être communiquée aux clients professionnels autorisés dans leur périmètre de licence/TLP et aux partenaires de sécurité ou remédiation, CERT/CSIRT, opérateurs concernés, hébergeurs, registrars, conseils, juridictions ou autorités compétentes lorsque cela est nécessaire et licite.

Pour une soumission d'URL, l'indicateur technique transmis et les preuves pertinentes ne constituant pas des coordonnées peuvent être partagés avec des partenaires de sécurité à des fins d'analyse et de remédiation. L'adresse e-mail du déclarant n'est pas incluse dans cette communication, sauf demande ou autorisation distincte du déclarant ou obligation légale.

CRDF ne vend, loue ni ne commercialise comme courtier les données personnelles de compte, contact, candidat ou déclarant et ne les utilise pas pour la publicité. Son modèle payant repose sur ses propres services professionnels et licences de renseignement de sécurité ; une telle licence n'autorise pas le marketing, le courtage de données ou le profilage sans rapport avec la sécurité.

12. Évolutions de la politique

Cette politique peut évoluer pour tenir compte des changements légaux, techniques ou produit. Nous mettons à jour son numéro et sa date à chaque évolution importante. Lorsqu'un changement affecte matériellement un utilisateur ou candidat actuel — par exemple une nouvelle finalité, base légale, catégorie de destinataires ou un transfert — nous fournissons, lorsque la loi l'exige, une information directe ou dans le produit avant son entrée en vigueur.

13. Contact

Pour toute question relative à la protection des données, écrivez-nous à [email protected] ou adressez-vous par courrier à : CRDF Labs – Vie privée, 231 rue Saint-Honoré, 75001 Paris, France.