Politique de confidentialité

1. Responsable du traitement

Responsable au sens du RGPD :

Erle-IT
Titulaire : Lennart Erhard
Obere Bahnhofstraße 9
85604 Zorneding
Tél. : +49 8106 928 9493
E-mail : security@plugthebug.de

Pour toute question relative à la protection des données, demande d’accès ou opposition, vous pouvez nous contacter directement à l’adresse security@plugthebug.de.

2. L’essentiel en bref

• Ce site web ne dépose aucun cookie et n’enregistre rien dans votre navigateur.
• Nous n’utilisons aucun service de suivi, d’analyse ou de marketing et n’intégrons aucun contenu de fournisseurs tiers (pas de polices externes, de cartes ni de vidéos).
• Les données des formulaires ne sont pas collectées dans une base de données sur le site web, mais nous sont transmises par e-mail. Nous décrivons ci-dessous les exceptions (liens de confirmation, preuves de consentement, protection contre les abus).

3. Hébergement et journaux du serveur

Ce site web est exploité sur un serveur propre, loué auprès de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Hetzner fournit exclusivement l’infrastructure serveur et est, en tant que prestataire de centre de données, sous-traitant au sens de l’art. 28 du RGPD. Le serveur est situé en Allemagne.

Lors de la consultation du site web, votre navigateur transmet automatiquement les données suivantes au serveur :

• adresse IP de l’ordinateur à l’origine de la requête
• date et heure de l’accès
• nom et URL du fichier consulté
• URL de référence (site web visité précédemment)
• navigateur et système d’exploitation utilisés

Ces données sont enregistrées dans les fichiers journaux du serveur et supprimées automatiquement au plus tard après 14 jours. Le contenu des formulaires n’est pas journalisé ; les journaux d’erreurs des formulaires ne contiennent aucune donnée à caractère personnel. La base juridique est l’art. 6, par. 1, al. 1, point f) du RGPD (intérêt légitime à la sécurité d’exploitation et au diagnostic des erreurs).

4. Chiffrement SSL/TLS

Pour des raisons de sécurité et afin de protéger la transmission, ce site web utilise un chiffrement SSL/TLS. Vous reconnaissez une connexion chiffrée au fait que la barre d’adresse du navigateur commence par « https:// ».

5. Formulaire de contact et contact par e-mail

Si vous nous contactez via le formulaire de contact ou par e-mail, nous traitons les données que vous nous transmettez (nom, entreprise, adresse e-mail, site web, et le cas échéant numéro de téléphone, objet et message) afin de traiter votre demande. Le message est transmis de manière chiffrée et transféré par e-mail vers notre boîte de réception (voir section 12) ; il n’est pas enregistré sur le site web lui-même.

La base juridique est l’art. 6, par. 1, al. 1, point b) du RGPD dans la mesure où votre demande concerne nos prestations (mesures précontractuelles), sinon l’art. 6, par. 1, al. 1, point f) du RGPD (intérêt légitime à répondre aux demandes). Les données sont supprimées dès qu’elles ne sont plus nécessaires à la réalisation de la finalité, au plus tard à l’expiration des délais légaux de conservation.

Nous ne vous envoyons pas d’accusé de réception automatique. Si vous avez également coché un consentement à la publicité dans le formulaire de contact, nous vous envoyons uniquement à ce titre un e-mail de confirmation, sans le contenu de votre message (voir section 10).

6. Demande de contrôle avec double opt-in

Le formulaire de contrôle « Faire contrôler votre site web gratuitement » vous permet d’envoyer une demande sans engagement. Nous traitons alors : l’adresse du site web, l’entreprise, le nom, l’adresse e-mail, le cas échéant l’offre souhaitée et le numéro de téléphone, ainsi que l’indication des acceptations et consentements que vous avez cochés.

Après l’envoi, nous vous adressons un e-mail de confirmation (double opt-in). Il contient uniquement le domaine contrôlé, un lien de confirmation et, le cas échéant, le libellé du consentement à la publicité que vous avez donné. Jusqu’à la confirmation, nous enregistrons vos données dans une zone protégée de notre serveur, en dehors du répertoire web public. Le lien est valable 48 heures et ne peut être utilisé qu’une seule fois. Si vous ne confirmez pas, les données sont supprimées à l’expiration des 48 heures ; rien n’est alors transmis et aucun consentement n’est enregistré.

Après la confirmation, nous transférons la demande par e-mail vers notre boîte de réception et la plaçons, pour traitement, dans une file d’attente interne sur notre serveur. Nous enregistrons en outre, à titre de preuve, la date et l’heure de la demande et de la confirmation, votre adresse e-mail, les cases cochées, la version du texte de consentement et des CGV ainsi que votre adresse IP sous forme pseudonymisée (sous forme de HMAC avec une clé secrète, et non en clair).

La base juridique est l’art. 6, par. 1, al. 1, point b) du RGPD (mesures précontractuelles prises à votre demande). Nous enregistrons la preuve de la confirmation et des CGV acceptées sur le fondement de l’art. 6, par. 1, al. 1, point f) du RGPD (intérêt légitime à pouvoir justifier le déroulement). Si aucun contrat n’est conclu, nous supprimons les données de la demande dès qu’elles ne sont plus nécessaires ; pour les preuves de consentement, voir la section 10.

7. Protection contre les abus et limitation des demandes

Afin d’éviter une utilisation abusive et automatisée des formulaires, nous utilisons un champ invisible pour les humains (honeypot) et un contrôle de durée : un petit script note dans le formulaire le moment où la page a été chargée et rejette les demandes envoyées en moins de trois secondes. Rien n’est enregistré dans votre navigateur à cette occasion.

Nous limitons en outre le nombre de demandes par adresse IP et par domaine contrôlé. Pour cela, nous n’enregistrons pas votre adresse IP en clair, mais uniquement sous forme de valeur HMAC avec une clé secrète qui change chaque jour. Ces entrées sont supprimées après 24 heures. La base juridique est l’art. 6, par. 1, al. 1, point f) du RGPD (intérêt légitime à la sécurité de notre offre et à la prévention des abus).

8. Réalisation des contrôles et rapports

Si vous nous en chargez, nous consultons régulièrement depuis l’extérieur le site web que vous avez indiqué et n’analysons que les contenus et configurations accessibles publiquement. Des données à caractère personnel publiées sur le site web peuvent également être traitées à cette occasion (par exemple les noms et coordonnées figurant dans les mentions légales). À partir des résultats, nous établissons des constats et des rapports que nous envoyons à l’adresse e-mail convenue.

Les rapports sont établis avec l’aide de l’IA.

Service d’IA : pour l’analyse assistée par IA (nos systèmes « Prüfy » et « Meldy »), nous utilisons le modèle de langage Grok via l’interface de programmation de SpaceX Super Intelligence LLC (« SpaceXSI », anciennement xAI), États-Unis. Le représentant dans l’UE au sens de l’art. 27 du RGPD est Lionheart Squared (Europe) Ltd, 2 Pembroke House, Upper Pembroke Street 28-32, Dublin, D02 EK84, Irlande. Sont traités à cette occasion les contenus et résultats de mesure du site web contrôlé, le domaine et l’adresse e-mail à laquelle le rapport doit être envoyé, ainsi que les données à caractère personnel publiées sur le site web. Le fournisseur traite les données en tant que sous-traitant sur la base d’un contrat conforme à l’art. 28 du RGPD. Le traitement a lieu aux États-Unis ; le transfert est encadré par les clauses contractuelles types de la Commission européenne (module 2) conformément à l’art. 46, par. 2, point c) du RGPD. Selon les conditions contractuelles du fournisseur, les contenus transmis ne sont pas utilisés pour l’entraînement de modèles d’IA et sont supprimés au plus tard 30 jours après le traitement.

La base juridique est l’art. 6, par. 1, al. 1, point b) du RGPD (exécution du contrat). Nous conservons les factures et les documents pertinents sur le plan fiscal conformément à l’art. 6, par. 1, al. 1, point c) du RGPD, dans le cadre des obligations légales de conservation. Nous conservons les rapports et données de contrôle pendant la durée de la relation contractuelle et les supprimons ensuite, sauf obligation légale de conservation.

9. E-mails d’alerte aux entreprises

Si nous remarquons des problèmes de sécurité importants sur un site web d’entreprise accessible publiquement, nous envoyons une seule fois à l’entreprise exploitante un e-mail d’alerte sans publicité (envoyé par notre système d’alerte « Meldy »). Nous fournissons les informations suivantes conformément à l’art. 14 du RGPD, car nous n’avons pas collecté les données auprès de vous-même.

• Quelles données : le domaine et le nom de l’entreprise, l’adresse e-mail de contact et, le cas échéant, un nom qui y est mentionné, ainsi que les constats concernant le site web.
• Origine : l’adresse provient de sources accessibles publiquement sur le site web contrôlé lui-même, à savoir le fichier security.txt (un fichier dans lequel les exploitants de sites web indiquent une adresse de contact pour les signalements de sécurité) ou les mentions légales.
• Finalité : signalement unique de problèmes de sécurité importants. Si vous nous répondez, nous contrôlons à nouveau le site web gratuitement.
• Base juridique : art. 6, par. 1, al. 1, point f) du RGPD. Notre intérêt légitime et celui de l’entreprise consistent à attirer l’attention sur des risques de sécurité identifiables avant qu’ils ne soient exploités.
• Opposition : vous pouvez vous opposer à tout moment à de nouvelles alertes conformément à l’art. 21 du RGPD, en répondant à l’e-mail d’alerte ou en écrivant à security@plugthebug.de. Nous inscrivons alors le domaine et l’adresse sur une liste de blocage afin que vous ne receviez plus d’alertes. Nous conservons la liste de blocage aussi longtemps que nécessaire à cette fin.
• Destinataires : nous analysons les constats avec le service d’IA mentionné à la section 8.
• Durée de conservation : nous conservons les e-mails d’alerte et les constats correspondants pendant 12 mois après l’envoi, puis nous les supprimons. Si vous vous y êtes opposé, seule l’entrée sur la liste de blocage est conservée.

Pour en savoir plus, y compris pour les destinataires d’un tel e-mail : Vous avez reçu un e-mail d’alerte ?

10. Publicité par e-mail ou par téléphone avec consentement

Si vous avez coché un consentement à la publicité dans le formulaire de contrôle ou dans le formulaire de contact, nous vous informons par e-mail ou par téléphone sur les offres de contrôle PlugTheBug, les prestations de Consulting ainsi que les prestations de sécurité informatique et de sites web de Erle-IT. Le consentement est facultatif et n’est pas une condition d’un contrôle. Il ne prend effet que lorsque vous ouvrez le lien figurant dans l’e-mail de confirmation et envoyez la confirmation (double opt-in).

La base juridique est votre consentement selon l’art. 6, par. 1, al. 1, point a) du RGPD en liaison avec le § 7 UWG (loi allemande contre la concurrence déloyale). Vous pouvez le révoquer à tout moment avec effet pour l’avenir, via le lien de désinscription présent dans chaque e-mail publicitaire ou par e-mail à security@plugthebug.de. La licéité du traitement effectué jusqu’à la révocation n’est pas affectée.

La publicité cesse immédiatement avec la révocation. Nous conservons ensuite la preuve du consentement (date et heure de la demande et de la confirmation, adresse e-mail, version du libellé « einwilligung-v2 », adresse IP pseudonymisée) et la date de la révocation pendant encore trois ans, afin de pouvoir prouver que la publicité était licite et de pouvoir nous défendre contre des prétentions. La base juridique est l’art. 6, par. 1, al. 1, point f) du RGPD.

11. Publicité adressée aux clients existants

Si vous souscrivez une offre payante, nous utilisons l’adresse e-mail obtenue à cette occasion pour vous informer occasionnellement d’autres offres de contrôle PlugTheBug et de prestations de Consulting (§ 7, al. 3 UWG). La base juridique est l’art. 6, par. 1, al. 1, point f) du RGPD ; notre intérêt légitime est l’information des clients existants sur nos propres prestations similaires. Vous pouvez vous y opposer à tout moment, sans autres frais que les frais de transmission selon les tarifs de base : via le lien de désinscription présent dans chacun de ces e-mails ou par e-mail à security@plugthebug.de.

12. Envoi et réception d’e-mails

Les e-mails automatiques de ce site web (e-mails de confirmation du double opt-in, transfert des demandes confirmées vers notre boîte de réception) sont envoyés via une boîte e-mail de Erle-IT auprès de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, par une connexion chiffrée. Hetzner traite les données en tant que sous-traitant conformément à l’art. 28 du RGPD.

Pour la réception des e-mails adressés aux adresses @plugthebug.de ainsi que pour les rapports et la correspondance, nous utilisons Microsoft 365 de Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande. Microsoft traite les données en tant que sous-traitant sur la base d’un contrat conforme à l’art. 28 du RGPD. Un transfert vers Microsoft Corporation aux États-Unis ne peut être exclu ; il repose sur le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) et, à titre complémentaire, sur les clauses contractuelles types de la Commission européenne. La base juridique est l’art. 6, par. 1, al. 1, point b) du RGPD ou le point f) du RGPD (intérêt légitime à une communication par e-mail sûre et fiable).

13. Vos droits

Vous avez le droit :

• conformément à l’art. 15 du RGPD, d’obtenir des informations sur vos données à caractère personnel que nous traitons,
• conformément à l’art. 16 du RGPD, d’obtenir la rectification de données inexactes ou le complément de vos données enregistrées,
• conformément à l’art. 17 du RGPD, d’obtenir l’effacement de vos données à caractère personnel enregistrées chez nous,
• conformément à l’art. 18 du RGPD, d’obtenir la limitation du traitement,
• conformément à l’art. 20 du RGPD, de recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (portabilité des données),
• conformément à l’art. 7, par. 3 du RGPD, de retirer à tout moment un consentement donné, avec effet pour l’avenir.

Pour exercer vos droits, adressez-vous à : security@plugthebug.de

14. Droit d’opposition selon l’art. 21 du RGPD

Dans la mesure où nous traitons des données sur le fondement de l’art. 6, par. 1, al. 1, point f) du RGPD, vous avez le droit de vous y opposer à tout moment pour des raisons tenant à votre situation particulière. Vous pouvez vous opposer à tout moment, sans indication de motifs, au traitement à des fins de prospection directe (y compris la publicité adressée aux clients existants) ; nous ne traitons alors plus vos données à cette fin. Une opposition sans formalité adressée à security@plugthebug.de suffit.

15. Droit de réclamation auprès de l’autorité de contrôle

Conformément à l’art. 77 du RGPD, vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données. L’autorité compétente pour la Bavière est :

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Tél. : +49 981 180093-0
Web : www.lda.bayern.de

16. Actualité de la présente politique de confidentialité

La présente politique de confidentialité est à jour en novembre 2026. Nous l’adaptons lorsque notre offre ou la situation juridique change.