1. Responsable de traitement

Le responsable de traitement au sens du RGPD (Règlement UE 2016/679) est :
Enumalon SAS
584 Avenue du Lac, 07350 Cruas, France
SIRET : 101 694 347 00010 — RCS Aubenas — Code APE : 6202A
N° TVA intracommunautaire : FR 11 101 694 347
Contact données personnelles : donnees@dataspy.eu
Réponse garantie sous 30 jours conformément à l'article 12 du RGPD.

2. Principes fondamentaux

DataSpy pratique la privacy by design : la protection des données est intégrée à la conception même du service, et non ajoutée après coup. Quatre principes structurent chaque décision technique :

Minimisation : nous ne collectons que ce qui est strictement nécessaire à la démonstration éducative.
Éphémérité : la grande majorité des données disparaît lorsque vous fermez votre navigateur. Ce qui reste est anonymisé ou haché.
Transparence : vous savez exactement ce que nous faisons de vos données, et pourquoi.
Cohérence : un outil qui dénonce le pistage ne peut pas pister ses utilisateurs. Nous appliquons ce principe à la lettre.

3. Données traitées, finalités et bases légales

3.1 Données collectées automatiquement lors du scan (Phase 1)

Lorsque vous cliquez sur « LANCER L'ANALYSE », vous donnez votre consentement explicite (article 6.1.a du RGPD) à la collecte des données suivantes, dans un but exclusivement démonstratif et pédagogique :

Données techniques du navigateur : navigateur, système d'exploitation, langue, fuseau horaire, résolution d'écran, GPU, RAM estimée, nombre de cœurs CPU.
Empreinte numérique (fingerprint) : hash canvas, hash WebGL, hash audio, liste de polices détectées. Ces données combinées constituent un identifiant indirect au sens du considérant 30 du RGPD.
Géolocalisation par adresse IP : ville approximative, région, pays, fournisseur d'accès, type de connexion. L'adresse IP est une donnée personnelle au sens de la jurisprudence CJUE (Breyer, C-582/14, 2016).

Conservation : toutes ces données restent dans votre navigateur pendant la session active. Elles ne sont pas stockées dans nos bases de données sous une forme identifiante. Une représentation agrégée et anonymisée (famille de navigateur, famille d'OS, type d'appareil, tranche de score) est conservée en base pour des statistiques de service — conservation maximale : 24 mois glissants.

3.2 Vérification par adresse e-mail (Phase 2 — optionnelle)

Si vous choisissez de saisir votre adresse e-mail, vous donnez un consentement explicite et spécifique (article 6.1.a) à son utilisation pour les finalités suivantes :

Envoi d'un code OTP de vérification via l'API Resend (sous-traitant — voir section 6).
Vérification de la présence de votre e-mail dans les bases de violations de données connues, via Have I Been Pwned (méthode k-anonymity : seuls les cinq premiers caractères du hash SHA-1 de votre e-mail sont transmis à l'API, jamais l'e-mail en clair).
Détection des services associés à votre adresse e-mail (Gravatar, Holehe-style).
Recherche de l'e-mail dans les bases de credentials compromis via LeakCheck.io.
Recherche de mentions de votre e-mail dans des pastes publics (GitHub Gists, Pastebin — voir 3.4).

Votre e-mail n'est jamais stocké en clair. Le système stocke uniquement un hash SHA-256 de l'e-mail combiné à un sel journalier dans Redis, avec une durée de vie maximale de 24 heures. Ce hash ne permet pas de reconstituer l'e-mail original. Le code OTP est stocké sous forme de hash HMAC-SHA-256, jamais en clair, et supprimé immédiatement après validation.

Le cache HIBP en base de données contient uniquement le hash SHA-1 de l'e-mail (jamais l'e-mail) — TTL 24 heures.

3.3 Analyse de photo paysage (Phase « Photo » — optionnelle)

Si vous choisissez d'uploader une photo, vous donnez votre consentement explicite (article 6.1.a) au traitement suivant :

Extraction des métadonnées EXIF embarquées dans le fichier image (coordonnées GPS, horodatage, modèle d'appareil, logiciel). Cette extraction est réalisée localement sur notre serveur.
Analyse par vision artificielle : l'image est transmise à l'API Google Gemini 2.5 Flash pour inférer une localisation probable à partir des indices visuels (architecture, végétation, signalétique). Cette analyse porte sur le cadre et l'environnement, non sur des visages.

La photo n'est jamais stockée. Elle est chargée en mémoire vive, analysée, puis immédiatement supprimée de la mémoire (le code source réalise un del image_bytes explicite). La taille maximale acceptée est de 10 Mo. Les formats acceptés sont JPEG, PNG et WebP.

Le géocodage inverse (conversion des coordonnées GPS en adresse lisible) est réalisé via l'API Nominatim d'OpenStreetMap, un service open source fonctionnant sur des serveurs européens.

3.3b Estimation d'attributs via webcam (Phase Permissions — optionnelle, consentement spécifique obligatoire)

Cette fonctionnalité est strictement distincte de la photo de paysage (3.3) et du scan général. Elle ne s'active que si vous cliquez sur « Voir ce que ma webcam révèle sur moi » et si vous accordez un consentement explicite dans un pop-up dédié.

Base légale : consentement explicite, spécifique et granulaire (article 6.1.a du RGPD). Le refus n'affecte pas le reste du parcours DataSpy. Un consentement distinct « J'ai 15 ans ou plus » est également requis dans le pop-up.

Ce qui se passe exactement si vous consentez :

Votre navigateur capture une seule photo de votre visage via l'API getUserMedia.
La webcam est coupée immédiatement après la capture (les pistes du flux sont arrêtées avant l'envoi).
La photo (encodée en base64) est transmise à Mistral Pixtral (Mistral AI, entreprise française, serveurs hébergés dans l'Union Européenne) pour estimer des attributs visibles : âge approximatif (tranche), sexe/genre apparent, et 2 à 3 attributs physiques directement visibles (couleur de cheveux, port de lunettes, etc.).
La photo est traitée en mémoire vive et jamais stockée (ni sur nos serveurs, ni chez Mistral AI selon leurs conditions de traitement).
Le résultat vous est affiché uniquement dans votre navigateur. Il n'est pas transmis à un tiers, ni enregistré en base de données, ni inclus dans les rapports de session.

Ce qui n'est pas fait : DataSpy ne pratique pas d'identification faciale (aucun visage n'est comparé à une base de données, aucun gabarit biométrique n'est extrait ni stocké). Aucune inférence n'est demandée sur des caractéristiques protégées : origine ethnique, religion, orientation sexuelle, état de santé.

Finalité pédagogique : cette fonctionnalité illustre ce qu'une simple autorisation webcam permet d'inférer. Les estimations sont probabilistes et peuvent être inexactes.

Transfert : Mistral AI est une entreprise française (4 rue Réaumur, 75003 Paris). Le traitement s'effectue au sein de l'Union Européenne. Le chapitre V du RGPD (transferts hors UE) ne s'applique pas.

3.4 Recherche dans les pastes publics (Phase 3 — optionnelle)

Si vous sollicitez la recherche de votre e-mail dans les pastes publics, vous donnez votre consentement explicite (article 6.1.a), complété par l'intérêt légitime (article 6.1.f — auto-vérification de l'exposition de ses propres données) pour le traitement suivant :

Recherche en streaming dans les pastes publics clearnet (GitHub Gists publics, Pastebin via l'API officielle le cas échéant).
En cas de correspondance, seules des métadonnées sont retournées : source, identifiant opaque du paste, indicateurs de présence de mots de passe / hashes / numéros de téléphone. Le contenu du paste n'est jamais stocké ni affiché.

Aucun contenu de paste n'est stocké. Le scan est réalisé en mémoire uniquement. Les résultats sont affichés uniquement pendant votre session (TTL 30 minutes), puis supprimés.

Sources non utilisées : sites du réseau Tor, forums de type BreachForums, canaux Telegram de diffusion de fuites. Ces sources seraient illégales (article 323-1 du Code pénal — accès frauduleux à un système).

3.5 Inférences croisées par intelligence artificielle (Phase 4 — optionnelle)

Si vous sollicitez la génération d'inférences croisées (« L'Inférence »), vous donnez votre consentement explicite (article 6.1.a) au traitement suivant :

L'ensemble des données agrégées de votre session (empreinte technique, résultats des phases précédentes) est transmis à l'API Anthropic Claude (modèle Opus) pour générer des déductions croisées à finalité pédagogique.
Ces inférences sont affichées uniquement dans votre navigateur et ne sont pas stockées sous forme identifiante.

Les inférences générées relèvent du profilage automatisé au sens de l'article 22 du RGPD. Elles n'ont aucun effet juridique ou décisionnel sur vous — elles sont exclusivement destinées à illustrer ce qu'un acteur malveillant pourrait déduire de données publiques vous concernant.

Lignes rouges strictement respectées : aucune inférence n'est générée sur l'infidélité, l'orientation sexuelle, un diagnostic médical précis ou l'identification nommée d'un enfant.

La transmission à Anthropic est un transfert hors UE — voir section 7.

3.6 Analytics

Plausible Analytics (auto-hébergé sur nos serveurs européens) : outil d'analyse d'audience sans cookies, sans données personnelles, sans suivi inter-sites. Les données sont strictement agrégées (pages vues, sessions, pays, appareil). Aucun consentement requis, car aucune donnée personnelle n'est collectée. En savoir plus : plausible.d3rf.com (instance auto-hébergée)

3.7 Logs serveur

Nos serveurs conservent des journaux techniques standards incluant l'adresse IP du visiteur, la page consultée et l'horodatage. Cette conservation est réalisée sur la base d'une obligation légale (article 6.1.c du RGPD — article 6-II de la LCEN). Durée de conservation : 12 mois maximum. Usage exclusif : sécurité et diagnostic technique.

Dans les autres tables de base de données, l'adresse IP n'est jamais stockée en clair. Elle est hachée en SHA-256 avec un sel journalier (le sel change à minuit UTC, ce qui empêche le rapprochement inter-journées).

3.8 Sessions de scan

Lors de la création d'une session de scan, les données suivantes sont stockées en base de données sous une forme strictement anonymisée ou pseudonymisée :

Score de confidentialité (entier 0-100)
Famille de navigateur, famille d'OS, type d'appareil (catégories génériques, pas les versions précises)
Pays et ville (pas de coordonnées GPS)
Présence ou non d'un e-mail (booléen), nombre de violations détectées
Catégories de trackers détectés (liste générique, pas d'URLs)
Hash de l'IP avec sel journalier (aux fins de rate-limiting)

Conservation : les sessions expirent au bout de 24 heures (soft delete). Les agrégats statistiques journaliers (scores moyens, répartitions par pays, etc.) sont conservés 24 mois.

4. Base légale — récapitulatif

Traitement	Base légale (RGPD art. 6)
Fingerprint navigateur	Consentement (6.1.a) — clic « LANCER L'ANALYSE »
Géolocalisation IP	Consentement (6.1.a)
Données techniques device	Consentement (6.1.a)
Vérification e-mail (OTP + HIBP + LeakCheck)	Consentement explicite et spécifique (6.1.a)
Analyse photo paysage (EXIF + Gemini Vision)	Consentement explicite (6.1.a)
Estimation attributs webcam (Mistral Pixtral — opt-in)	Consentement explicite et granulaire (6.1.a) — pop-up dédié
Recherche dans les pastes publics	Consentement (6.1.a) + intérêt légitime (6.1.f)
Inférences IA croisées (Anthropic)	Consentement explicite (6.1.a)
Statistiques anonymisées (sessions)	Intérêt légitime (6.1.f) — amélioration du service
Journaux serveur	Obligation légale (6.1.c — LCEN)
Plausible Analytics	Hors champ RGPD (données agrégées non personnelles)

5. Durées de conservation

Donnée	Durée
Empreinte navigateur, géolocalisation, données device	Session uniquement (fermeture de l'onglet)
E-mail (hash journalier Redis)	24 heures maximum
Code OTP (hash HMAC-SHA-256 Redis)	10 minutes — supprimé immédiatement après validation
Cache HIBP (hash SHA-1 de l'e-mail)	24 heures
Photo paysage uploadée	Zéro — supprimée de la mémoire après analyse (jamais écrite sur disque)
Capture webcam (estimation attributs)	Zéro — traitée en mémoire, jamais écrite sur disque, jamais transmise après l'appel Pixtral
Résultats paste hunt	Session 30 minutes — zéro stockage persistant
Sessions anonymisées (PostgreSQL)	24 heures (expiration), statistiques agrégées 24 mois
Attaques IA (structure anonymisée)	24 mois maximum
Journaux serveur (IP en clair)	12 mois (obligation légale LCEN)

6. Sous-traitants et partenaires

DataSpy fait appel aux sous-traitants suivants. Chaque sous-traitant a fait l'objet d'une analyse de conformité et dispose d'un accord de traitement des données (DPA) ou de conditions contractuelles équivalentes.

Sous-traitant	Rôle	Données transmises	Localisation
Resend	Envoi des codes OTP par e-mail	Adresse e-mail du destinataire, code OTP	États-Unis (DPF UE-US)
Have I Been Pwned (HIBP)	Vérification des violations de données	5 premiers caractères du hash SHA-1 de l'e-mail (k-anonymity — jamais l'e-mail en clair)	Royaume-Uni (décision d'adéquation UK)
LeakCheck.io	Recherche de credentials compromis	Adresse e-mail (via token OTP vérifié)	Variable — DPA à contracter
Google Gemini API	Analyse visuelle des photos paysage uploadées (géolocalisation par indices visuels)	Image compressée (1024 px max, JPEG), sans métadonnées EXIF — jamais de visage	États-Unis (DPF UE-US — Google est certifié)
Mistral AI — Pixtral	Estimation d'attributs visibles depuis webcam (feature opt-in, consentement dédié)	Capture webcam (image base64, visage) — traitée en mémoire, jamais stockée	Union Européenne (France — Mistral AI, 4 rue Réaumur, 75003 Paris)
Anthropic (Claude API)	Génération des attaques simulées et des inférences croisées	Profil agrégé de session (empreinte technique, localisation ville, résultats OSINT) — sans e-mail en clair	États-Unis — voir section 7
Cloudflare Turnstile	Protection anti-robot (CAPTCHA invisible)	Token de défi, adresse IP	États-Unis (DPF UE-US — Cloudflare est certifié)
Gravatar (Automattic)	Détection de l'avatar associé à un e-mail	Hash MD5 de l'e-mail	États-Unis (DPF UE-US)
Nominatim / OpenStreetMap	Géocodage inverse (coordonnées GPS → adresse)	Latitude et longitude extraites des EXIF	Union Européenne
Plausible Analytics (auto-hébergé)	Statistiques d'audience anonymisées	Aucune donnée personnelle	Union Européenne (serveur auto-hébergé)
Hostinger International	Hébergement du frontend	Fichiers du site, trafic web	Union Européenne (Chypre)
OVH SAS	Hébergement du backend (API, base de données)	Données de session pseudonymisées, logs	Union Européenne (France, Gravelines)

7. Transferts hors Union Européenne

Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés conformément au Chapitre V du RGPD.

7.1 Anthropic (Claude API)

Anthropic, PBC — 548 Market St, PMB 90375, San Francisco, CA 94104-5401, USA.
Les données transmises lors de la génération des attaques simulées et des inférences IA incluent des éléments de votre profil de session (empreinte technique, localisation approximative, résultats OSINT). Ces données sont traitées aux États-Unis.
Mécanisme de transfert : Clauses Contractuelles Types (SCC) UE — à valider selon la certification DPF actuelle d'Anthropic sur dataprivacyframework.gov.
Engagement Anthropic : Anthropic s'engage contractuellement à ne pas utiliser les données d'API pour entraîner ses modèles (politique no-training sur les données API depuis 2023 — à vérifier dans le DPA Anthropic en vigueur).

7.2 Google (Gemini API)

Google LLC — 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Mécanisme de transfert : Data Privacy Framework UE-US (Google est certifié) + Clauses Contractuelles Types.
Les images transmises sont redimensionnées à 1024 px maximum et converties en JPEG avant envoi. Les métadonnées EXIF (dont les coordonnées GPS) sont extraites côté serveur DataSpy avant la transmission à Google — Google ne reçoit donc pas les données GPS.

7.3 Resend

Resend Inc. — États-Unis.
Mécanisme de transfert : Data Privacy Framework UE-US. L'adresse e-mail est transmise uniquement pour l'envoi du code OTP de vérification.

7.4 Mistral AI (Pixtral — estimation attributs webcam)

Mistral AI — 4 rue Réaumur, 75003 Paris, France.
Mistral AI est une entreprise française. Le traitement de la capture webcam s'effectue intégralement au sein de l'Union Européenne. Le chapitre V du RGPD (transferts hors UE) ne s'applique pas.
Mistral AI dispose de Data Processing Terms conformes au RGPD. La capture webcam est transmise via l'API Pixtral, traitée en mémoire, et aucune image de visage n'est conservée par Mistral AI selon leurs conditions contractuelles de traitement de données.
En savoir plus : legal.mistral.ai/terms/privacy-policy

7.5 Cloudflare

Cloudflare, Inc. — 101 Townsend St, San Francisco, CA 94107, USA.
Mécanisme de transfert : Data Privacy Framework UE-US + SCC. Le service Turnstile ne collecte pas de données permettant d'identifier un utilisateur de manière durable.

8. Cookies et traceurs

DataSpy.eu n'utilise aucun cookie de traçage ni cookie publicitaire.

Cookies strictement nécessaires (aucun consentement requis) : un cookie de session (identifiant de session temporaire) peut être placé dans votre navigateur pour maintenir la cohérence de votre scan pendant la session. Il est supprimé à la fermeture de votre navigateur.

Analytics : Plausible Analytics, auto-hébergé, ne dépose aucun cookie. Il mesure les visites de manière agrégée, sans données personnelles.

Cloudflare Turnstile : peut déposer un cookie de session à des fins de protection anti-robot. Ce cookie ne permet pas de vous suivre entre différents sites.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants. Compte tenu de l'architecture de DataSpy — principalement basée sur des données éphémères — leur exercice est adapté comme suit :

Droit d'accès (art. 15) : pendant votre session, l'intégralité des données collectées est affichée à l'écran. Après la fermeture de la session, aucune donnée personnelle n'est conservée sous forme identifiante.
Droit de rectification (art. 16) : les données techniques sont collectées automatiquement par votre navigateur. L'e-mail peut être ressaisi librement.
Droit à l'effacement (art. 17) : fermez votre onglet — toutes les données personnelles identifiantes sont effacées immédiatement. Pour les données pseudonymisées en base (sessions, statistiques), leur absence de lien avec votre identité rend l'effacement ciblé techniquement impossible (et sans objet). Vous pouvez adresser une demande à donnees@dataspy.eu si vous souhaitez plus d'informations.
Droit à la portabilité (art. 20) : le bouton « Télécharger mon rapport » (format PDF) vous permet d'exporter l'intégralité des données de votre session pendant celle-ci.
Droit d'opposition (art. 21) : ne lancez pas le scan, ou fermez votre onglet à tout moment. Pour les traitements fondés sur l'intérêt légitime, vous pouvez vous y opposer en nous contactant.
Droit de ne pas faire l'objet d'une décision automatisée (art. 22) : le Privacy Score et les inférences IA sont des résultats automatisés à finalité purement pédagogique. Ils ne produisent aucun effet juridique ni décisionnel sur vous.
Retrait du consentement (art. 7.3) : vous pouvez retirer votre consentement à tout moment, sans que cela n'affecte la licéité du traitement effectué avant ce retrait. Le retrait prend effet immédiatement en fermant votre onglet.

Pour exercer vos droits ou pour toute question relative à vos données personnelles :
donnees@dataspy.eu — Réponse garantie sous 30 jours (article 12 RGPD).

Vous disposez également du droit de déposer une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés
3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
cnil.fr/fr/plaintes — 01 53 73 22 22

10. Sécurité des données

DataSpy met en œuvre les mesures de sécurité techniques et organisationnelles suivantes :

Chiffrement TLS (HTTPS) pour l'intégralité des communications.
Les e-mails ne sont jamais transmis en clair aux APIs tierces (k-anonymity HIBP, hash SHA-256 journalier Redis).
Les codes OTP sont stockés hachés (HMAC-SHA-256), jamais en clair, et invalidés après 3 tentatives.
Les adresses IP ne sont jamais stockées en clair en base de données (hash SHA-256 avec sel journalier changeant à minuit UTC).
Les photos uploadées ne sont jamais écrites sur disque — traitement en mémoire vive uniquement.
Limitation du débit (rate limiting) sur tous les endpoints sensibles pour prévenir les abus.
Protection anti-stalking sur le flux OTP : maximum 10 adresses e-mail distinctes testées par adresse IP par 24 heures.
Serveurs backend situés dans l'Union Européenne (OVH Gravelines, France).

11. Mineurs

DataSpy est destiné à un public adulte et aux adolescents accompagnés dans un cadre éducatif. Certains contenus (notamment les simulations de messages de harcèlement) sont susceptibles d'affecter les personnes vulnérables.

Si vous avez moins de 15 ans, nous vous recommandons d'utiliser DataSpy avec un adulte ou dans le cadre scolaire encadré.

DataSpy ne collecte pas sciemment de données personnelles concernant des enfants de moins de 13 ans. Si vous êtes parent ou tuteur et pensez que votre enfant a utilisé le service, vous pouvez nous contacter à donnees@dataspy.eu.

12. Modifications de la présente politique

Cette politique peut être mise à jour pour refléter les évolutions du service, de la réglementation ou des sous-traitants utilisés. La date de dernière mise à jour figure en haut de la page. En cas de modification substantielle, une mention sera affichée sur la page d'accueil du site.

L'utilisation du service après modification vaut acceptation de la politique mise à jour. Pour les traitements fondés sur le consentement, un nouveau consentement sera sollicité si la nature des traitements évolue de manière significative.

13. Contact

Responsable de traitement : Enumalon SAS — 584 Avenue du Lac, 07350 Cruas, France
Délégué à la protection des données / Contact données : donnees@dataspy.eu

Politique de confidentialité