Mentions légales, confidentialité et accessibilité

Le site outilgrc.com et la plateforme OutilGRC sont édités par la Société internationale d'audit, de conseils et d'expertise en cybersécurité (SIACEC), société à responsabilité limitée au capital de 100 euros, immatriculée au registre du commerce et des sociétés de Salon-de-Provence sous le numéro 918 264 243, dont le siège social est situé 2 avenue Charles de Gaulle, 13122 Ventabren.

OutilGRC est un nom commercial de SIACEC, sous lequel cette société exerce son activité d'édition logicielle. Il ne s'agit pas de deux sociétés distinctes, et le service n'est confié à aucun prestataire tiers : c'est SIACEC qui développe, exploite et facture. Le contrat est donc conclu avec SIACEC, seule personne morale engagée.

SIRET du siège : 918 264 243 00026. Numéro de TVA intracommunautaire : FR16 918 264 243. Téléphone : 06 99 13 32 95.

Gérante et directrice de la publication : Julie Siahou. Contact : contact@outilgrc.com.

Le site et la plateforme sont hébergés en France par Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, France, dans la région fr-par (Paris). Les données, les sauvegardes et les journaux restent sur le territoire français. Scaleway est une société française, filiale d'un groupe français : les données confiées à OutilGRC ne relèvent ni du CLOUD Act ni d'une autre injonction extraterritoriale. Seule la connexion « Continuer avec Google », si l'utilisateur la choisit, fait intervenir un prestataire américain (conditions, « Localisation et transferts »).

Scaleway n'est pas qualifié SecNumCloud. Pour les organisations dont la réglementation ou la politique interne impose cette qualification, un déploiement sur instance dédiée chez un hébergeur qualifié (Outscale ou Cloud Temple) est proposé en option, sur devis.

Le site, la plateforme, leur code source, leur architecture, leurs bases de données, leurs textes, leurs visuels et la dénomination OutilGRC sont protégés par le code de la propriété intellectuelle et demeurent la propriété exclusive de SIACEC. Toute reproduction, représentation, extraction ou réutilisation, totale ou partielle, sans autorisation écrite préalable, est interdite.

Les référentiels normatifs cités restent la propriété de leurs éditeurs respectifs (ISO, AFNOR, AICPA, CIS, PCI SSC, ANSSI, institutions de l'Union européenne). Leur texte n'est pas redistribué : seule leur structure est livrée, le texte sous licence étant importé par le client au titre de la licence qu'il détient. Les textes issus du droit de l'Union ou du droit français (NIS2, DORA, RGPD) sont repris au titre de leur régime de réutilisation.

Conformément à l'article 6 de la loi n° 2004-575 du 21 juin 2004 et au règlement (UE) 2022/2065 sur les services numériques, tout contenu manifestement illicite peut être signalé à contact@outilgrc.com, en précisant l'adresse exacte de la page concernée, le motif du signalement et vos coordonnées.

La plateforme n'héberge aucun contenu public : les documents et les preuves qui y sont déposés ne sont accessibles qu'aux comptes de l'organisation cliente concernée.

Le site et le service s'adressent exclusivement à des professionnels et à des organisations, jamais à des consommateurs : le dispositif de médiation de la consommation ne s'applique pas.

La présente page est soumise au droit français. À défaut d'accord amiable, tout litige relève de la compétence exclusive des tribunaux du ressort du siège social de SIACEC.

Sur le site et dans la relation commerciale, SIACEC est responsable de traitement : elle décide des finalités et des moyens. C'est l'objet de la présente partie.

Dans la plateforme, elle n'est que sous-traitant au sens de l'article 4 du RGPD : elle traite, pour le compte de chaque organisation cliente, les données que celle-ci y dépose et selon ses seules instructions. Les engagements correspondants figurent dans la partie sous-traitance des conditions générales. Si vous utilisez la plateforme au titre de votre employeur, adressez-lui vos demandes : c'est lui, le responsable de traitement.

Aucune décision automatisée produisant des effets juridiques n'est prise, et aucun profilage n'est réalisé.

Les données sont accessibles au seul personnel qui en a besoin, ainsi qu'aux prestataires suivants, agissant sur instruction et liés par des engagements de confidentialité :

Aucune donnée n'est vendue, louée ni transmise à un tiers à des fins publicitaires. Trois prestataires appartiennent à des groupes américains soumis à une législation d'accès extraterritorial de type CLOUD Act : Microsoft, pour l'agenda, la visioconférence et les documents de l'éditeur ; Google LLC (États-Unis), qui reçoit le titre et le lieu des rendez-vous de démonstration par la copie de cet agenda, sous le cadre de protection des données UE-États-Unis ; et Stripe, pour le paiement par carte de l'abonnement souscrit en ligne, qui reçoit la raison sociale, le courriel de facturation et le montant, la carte étant saisie sur sa propre page sans jamais transiter par l'éditeur. Les données de la plateforme ne leur sont jamais confiées.

Le site public ne dépose aucun cookie : ni mesure d'audience, ni traceur publicitaire, ni bouton de réseau social, ni police de caractères distante, ni script chargé depuis un tiers. Toutes les ressources sont servies par le site lui-même.

Aucun bandeau de consentement n'est donc affiché. Ce n'est pas un oubli : les seuls traceurs utilisés le sont après connexion, sont strictement nécessaires au service demandé, et relèvent de l'exemption prévue à l'article 82 de la loi n° 78-17 du 6 janvier 1978. Demander un consentement qu'il est impossible de refuser sans perdre le service serait un faux choix.

Ces traceurs se suppriment depuis les réglages du navigateur. Supprimer __Host-grc_session met fin à la session : la connexion est à refaire. La déconnexion depuis l'interface révoque la session sur le serveur, puis efface ce cookie : le jeton qu'il porte n'est plus accepté, et cesse de toute façon d'être valable quatre heures au plus après la connexion. Se reconnecter dans le même navigateur révoque aussi la session précédente. Changer son mot de passe met fin à toutes les sessions du compte.

Les données que les clients traitent dans OutilGRC sont hébergées, traitées, sauvegardées et journalisées en France, chez Scaleway, région fr-par.

• Chaque organisation cliente est cloisonnée au niveau de la base de données, cloisonnement vérifié par des tests automatisés à chaque livraison.
• Le journal d'audit garde, pour chaque action, qui l'a faite, l'objet concerné et l'adresse IP d'origine. Il est chaîné : aucune ligne ne se réécrit. L'adresse IP et le navigateur s'effacent au bout d'un an ; l'action, son auteur et sa date restent cinq ans, au seul titre de leur valeur probante, puis sont supprimés, copie inaltérable comprise. La suppression d'un compte efface le compte, pas ses traces au journal.
• Nous n'accédons aux données d'un client que pour traiter une demande de support ou un incident ; l'intervention est tracée dans le journal d'audit du client, qui peut la consulter.

Les fonctions d'intelligence artificielle (correspondances entre référentiels, analyse des réponses, des pièces et des documents, scénarios de risque, textes de sensibilisation) s'appuient sur un modèle Mistral servi par Scaleway, à Paris. Seul ce que la fonction demandée doit lire est transmis : pour l'analyse d'une réponse, par exemple, le taux déclaré, le commentaire et le texte de la pièce. Le texte officiel d'une norme sous licence ne l'est qu'avec l'accord déclaré de l'organisation. Une instance homologuée Diffusion Restreinte n'effectue aucun appel sortant : le moteur de correspondance y fonctionne localement.

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Écrivez à contact@outilgrc.com : une réponse vous est apportée dans un délai d'un mois, porté à trois mois si la demande est complexe, auquel cas vous en êtes informé.

Aucun délégué à la protection des données n'a été désigné : les critères de l'article 37 du RGPD ne sont pas réunis. Les demandes sont traitées sous la responsabilité de Julie Siahou. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07, ou sur cnil.fr.

Nous prenons pour référence le RGAA 4.1 et les critères WCAG 2.1 de niveau AA. Cette déclaration est volontaire : l'obligation de l'article 47 de la loi n° 2005-102 du 11 février 2005 vise les organismes publics et les entreprises dépassant le seuil réglementaire de chiffre d'affaires, et la directive (UE) 2019/882 vise les services destinés aux consommateurs. Nous appliquons le référentiel malgré tout : nos clients y sont souvent soumis, et un outil de pilotage doit rester utilisable par tout le monde.

Le site et la plateforme sont déclarés non conformes : aucun audit d'accessibilité n'a encore été conduit, le taux de conformité ne peut donc pas être établi. Cette mention sera remplacée par les résultats détaillés à l'issue de l'audit externe prévu.

Déjà en place :

• Navigation complète au clavier, prise de focus visible sur tous les éléments interactifs.
• Aucune information portée par la seule couleur : statuts, jauges et niveaux de risque sont doublés d'un texte.
• Respect de la préférence système de réduction des animations.
• Structure sémantique : titres hiérarchisés, tableaux avec en-têtes, libellés de formulaire associés, zones de navigation nommées.
• Affichage clair ou sombre au choix, interface entièrement en français.

Contenus non accessibles connus :

• Les représentations graphiques (matrice des risques, cartographies, tableaux de bord) n'ont pas toutes d'alternative textuelle complète ; les données sous-jacentes restent consultables en tableau ou par export.
• Les jeux de sensibilisation reposent sur une interaction visuelle sans équivalent accessible à ce jour.
• Les documents déposés par les clients (PDF, DOCX) ne sont pas contrôlés par nos soins : leur accessibilité relève de leur auteur.

Si vous ne parvenez pas à accéder à un contenu ou à une fonction, écrivez à contact@outilgrc.com en précisant la page et la difficulté rencontrée : réponse sous cinq jours ouvrés, avec lorsque c'est possible un autre moyen d'accéder à l'information. Sans réponse satisfaisante, vous pouvez saisir le Défenseur des droits, sur defenseurdesdroits.fr, auprès du délégué de votre département, ou par courrier sans affranchissement à Défenseur des droits, Libre réponse 71120, 75342 Paris CEDEX 07.

Un éditeur de plateforme cyber doit accepter d'être examiné. Toute personne qui découvre une faiblesse de sécurité dans le site ou dans la plateforme peut nous en informer sans crainte : aucune poursuite ne sera engagée contre une recherche menée de bonne foi, dans le respect des règles ci-dessous.

• Accusé de réception sous deux jours ouvrés.
• Qualification de la gravité sous cinq jours ouvrés.
• Point d'avancement au moins tous les quinze jours jusqu'à la correction, puis information du correctif livré.
• Mention publique de la personne à l'origine du signalement, si elle le souhaite, une fois le correctif déployé.

Aucune récompense financière n'est prévue à ce jour : il n'existe pas de programme de prime aux vulnérabilités.

Écrivez à contact@outilgrc.com, en français ou en anglais, en joignant l'URL ou l'écran concerné, la description de la faiblesse et son impact estimé, les étapes de reproduction avec la date et l'heure des essais, et les comptes utilisés, pour retrouver les traces d'audit. Le fichier /.well-known/security.txt reprend ces informations.

Merci de ne rien publier avant le déploiement du correctif, ou avant un délai de quatre-vingt-dix jours si la correction n'est pas intervenue d'ici là. Nous vous préviendrons si un délai supplémentaire est nécessaire, en expliquant pourquoi.

Sont dans le périmètre : le site outilgrc.com, la plateforme et son API, sur les seuls comptes dont vous disposez légitimement. Sont interdits :

• toute action portant atteinte à la disponibilité : déni de service, essai de charge, envoi massif de messages ;
• l'accès, la modification, l'extraction ou la conservation de données appartenant à un client ou à un tiers : dès qu'un accès non autorisé est démontré, arrêtez et signalez-le ;
• l'ingénierie sociale et l'hameçonnage visant nos salariés, nos clients ou nos prestataires ;
• l'atteinte physique aux infrastructures, qui relève de l'hébergeur.

Les faiblesses purement théoriques, sans preuve d'exploitabilité, ne sont pas traitées : en-têtes manquants, versions annoncées, résultats bruts d'un outil automatisé. Un test d'intrusion sur un environnement client suppose l'autorisation écrite préalable du client et la nôtre, conformément aux conditions générales d'utilisation.