Politique de confidentialité

Ce que ce site et le compte Lapsus font de vos données.

Dernière mise à jour le 27 septembre 2026.

Qui est responsable

Le responsable du traitement des données décrites ici est :

Écrivez à cette adresse pour tout ce qui figure sur cette page, y compris les demandes décrites sous « Vos droits ».

Ce que couvre ce document

Cette politique couvre ce site et le compte qui l'accompagne : la connexion, les clés de licence, les paiements de test et les réglages que vous modifiez dans l'espace client. Elle ne décrit pas l'application Lapsus elle-même, qui fonctionne entièrement sur votre ordinateur — ce que vous tapez ne nous parvient jamais et ne sert jamais à l'entraînement, et l'application n'a besoin d'aucun compte.

Ce que nous conservons, pourquoi et combien de temps

Tout ce qui suit est conservé parce que le compte ne peut pas fonctionner sans, ou parce que s'en passer le rendrait moins sûr. Rien n'est collecté à des fins publicitaires : ce site ne comporte ni analyse d'audience ni traceur.

Adresse e-mail et mot de passe: Conservés tant que vous avez un compte, pour que vous puissiez vous connecter et que nous puissions vous envoyer ce que le compte exige. Le mot de passe lui-même n'est jamais stocké, seulement une empreinte irréversible. Base légale : exécution de notre contrat avec vous.
Secrets à deux facteurs et passkeys: N'existent que si vous les activez, et sont supprimés dès que vous les retirez. Base légale : exécution du contrat et notre intérêt légitime à empêcher la prise de contrôle des comptes.
Clés de licence et commandes: Les clés que vous émettez, avec leur édition, leur nombre de postes et leur nom. Conservées tant que le compte existe et supprimées avec lui ; une clé supprimée ne peut plus être activée. Base légale : exécution du contrat.
Paiements: Montant, devise, statut et date. Conservés tant que le compte existe et supprimés avec lui. Base légale : exécution du contrat.
Organisations et appartenance: Le nom d'une organisation que vous créez ou rejoignez, et votre rôle en son sein. Conservés tant que l'organisation existe. Base légale : exécution du contrat.
Historique des connexions: La date, l'adresse IP, le navigateur et le système d'exploitation, et si la connexion venait du site ou de l'application. C'est ce qui vous permet de repérer une session qui n'était pas la vôtre ; les entrées sont supprimées automatiquement au bout de 90 jours. Votre adresse IP n'est transmise à personne en dehors de ce service : nous ne déterminons pas votre localisation. Base légale : notre intérêt légitime à la sécurité de votre compte.
Machines activées: Un identifiant pour chaque ordinateur où une clé de licence est utilisée, afin de faire respecter le nombre de postes. Conservé jusqu'à ce que vous libériez le poste, ou que la clé soit révoquée ou réémise. Base légale : exécution du contrat.
Préférences d'e-mail: Les messages que vous avez accepté de recevoir. Les actualités produit sont désactivées tant que vous ne les activez pas, et vous pouvez les désactiver de nouveau à tout moment ; les messages de facturation et de sécurité font partie du service et ne sont pas du marketing. Base légale : votre consentement pour les actualités produit, l'exécution du contrat pour le reste.

Qui d'autre touche à ces données

Nous n'exploitons aucun serveur en propre. Quatre sociétés traitent des données pour notre compte, sous contrat et uniquement sur nos instructions :

Supabase: La base de données, le système de connexion et les fonctions qui émettent les clés de licence. La base est hébergée dans l'Union européenne.
Cloudflare: Sert ces pages et exécute Turnstile sur les formulaires protégés. Turnstile traite l’adresse IP et les signaux du navigateur ou de l’appareil nécessaires pour distinguer les personnes du trafic automatisé ; le contenu des formulaires ne lui est pas transmis. Hors de l'Union européenne, il mesure aussi la vitesse de chargement des pages (Cloudflare Web Analytics) : sans cookies ni autre identifiant stocké, seulement l'adresse de la page, les temps de chargement et le type général de navigateur et d'appareil. Les visiteurs de l'UE ne sont pas mesurés.
Resend: Achemine les e-mails de confirmation, de récupération et de notification. Reçoit votre adresse et le contenu du message concerné, rien d'autre.
YouTube: Lit l’explication des passkeys dans les réglages du compte, et seulement après que vous ouvrez l’indication. YouTube reçoit alors votre adresse IP et les données du navigateur nécessaires à la lecture. Votre mot de passe et le reste du compte ne lui sont pas transmis.

Les données elles-mêmes sont hébergées dans l'UE, mais les quatre prestataires sont des sociétés établies aux États-Unis : un accès depuis l'extérieur de l'UE reste donc possible à des fins d'assistance. Si vous ouvrez la vidéo sur les passkeys, Google peut traiter ces données hors de l'UE. Leurs contrats de sous-traitance standard et les garanties de transfert qu'ils prévoient s'appliquent.

Vos droits

Au titre du RGPD, vous pouvez :

demander une copie des données que nous détenons sur vous
faire rectifier toute information inexacte
faire supprimer votre compte et ses données
vous opposer aux traitements fondés sur l'intérêt légitime, comme l'historique des connexions
demander la limitation du traitement le temps qu'un litige soit réglé
retirer à tout moment votre consentement aux actualités produit, sans que cela affecte le reste

Télécharger une copie de vos données, supprimer le compte, changer d'adresse e-mail et désactiver les actualités produit se font directement dans les réglages du compte, immédiatement et sans nous solliciter. Pour le reste, écrivez à l'adresse ci-dessus ; nous répondons sous un mois. Si vous estimez que nous avons mal traité vos données, vous pouvez aussi saisir l'autorité de protection des données du pays où vous résidez.

Cookies et stockage local

Il n'y a ici ni cookie publicitaire ni cookie de mesure d'audience, et rien vous concernant n'est partagé à des fins de mesure — c'est pourquoi on ne vous demande jamais d'accepter quoi que ce soit. Votre navigateur conserve trois choses : la langue choisie, le thème choisi et, une fois connecté, le jeton qui vous maintient connecté. Les deux premières ne quittent jamais votre navigateur ; la troisième, c'est le compte lui-même.

L'application Lapsus

L'application installée sur votre ordinateur a sa propre politique de confidentialité, qui énumère chaque cas où elle se connecte à Internet. La seule trace qu'elle laisse chez nous — l'ordinateur sur lequel une clé de licence est activée — est décrite plus haut sous « Machines activées ».

Politique de confidentialité de l'application Lapsus

Modifications

Si cette politique change d'une manière qui vous concerne, nous vous le dirons dans le compte avant l'entrée en vigueur du changement. La date en haut indique toujours la version applicable.