Politique de confidentialité

Dernière mise à jour : 11 septembre 2026

1. Introduction

SafeOrFake (« nous », « notre ») exploite le site web safeorfake.com et le service de sécurité email SafeOrFake. Cette politique de confidentialité explique comment nous collectons, utilisons, divulguons et protégeons vos informations lorsque vous utilisez notre service.

2. Informations que nous collectons

2.1 Données d'analyse des emails

Lorsque vous transférez un email à notre adresse d'analyse (check@safeorfake.com), nous traitons les données suivantes pour fournir l'analyse des menaces :

  • En-têtes d'email (expéditeur, destinataire, informations de routage)
  • Objet de l'email et contenu du corps du message
  • URL et liens contenus dans l'email
  • Métadonnées des pièces jointes (noms de fichiers, types, tailles)

Dès que votre rapport vous est remis, le message transféré est détruit sur notre serveur de messagerie et son contenu est expurgé de nos enregistrements : l'adresse de l'expéditeur, l'objet, le corps du message, les liens, les en-têtes et la liste des pièces jointes. Ne subsistent que des éléments de campagne qui n'identifient personne — la date de réception, le niveau de risque, les résultats SPF, DKIM et DMARC, l'adresse à laquelle le message était destiné (normalement notre propre boîte d'analyse) et une empreinte irréversible de sa structure. Si un rapport ne peut pas être remis, la même expurgation s'exécute automatiquement au bout de 7 jours. L'enregistrement restant est définitivement supprimé au bout de 90 jours.

2.2 Données de compte / inscription

Lors de la création d'un compte, les données personnelles (nom et adresse email) sont collectées via notre fournisseur d'identité (Keycloak). Les enregistrements de compte et de contact sont ensuite synchronisés avec notre système CRM (Hub) pour gérer les accès et les notifications de votre organisation.

  • Nom
  • Adresse email

2.3 Données analytiques

Nous utilisons Umami, une plateforme d'analyse axée sur la confidentialité, pour collecter des statistiques d'utilisation anonymes. Umami n'utilise pas de cookies, ne suit pas les utilisateurs entre les sites web et ne collecte aucune information permettant d'identifier une personne. Nous collectons des données agrégées telles que les pages vues, les sources de référence et le type de navigateur.

2.4 Données concernant d'autres personnes contenues dans un e-mail signalé

Un message qui nous est transféré contient presque toujours des données à caractère personnel concernant des personnes qui ne nous ont jamais contactés : l'expéditeur apparent, les adresses citées dans le corps du message et toute personne nommée dans le message d'origine. Nous les traitons pour identifier le phishing et pour protéger les personnes et les marques usurpées. C'est notre intérêt légitime qui l'autorise, au titre de l'article 6(1)(f) du RGPD et du considérant 49, qui reconnaît la sécurité des réseaux et de l'information comme un tel intérêt.

Nous ne pouvons pas informer ces personnes individuellement. Les adresses d'expéditeur des messages de phishing sont couramment falsifiées, nous ne disposons d'aucun moyen fiable de joindre la personne réelle qui se trouve derrière, et écrire à une adresse récupérée dans un leurre de phishing constituerait en soi une nouvelle utilisation non souhaitée de leurs données. Nous nous appuyons donc sur l'article 14(5)(b) du RGPD, qui l'autorise lorsque l'information individuelle est impossible ou exigerait des efforts disproportionnés, à condition que l'information soit rendue publique à la place. La présente section constitue cette publication.

Ces données sont éphémères. Elles sont expurgées exactement comme décrit à la section 2.1, dès la remise du rapport et, dans tous les cas, dans le délai qui y est indiqué. Si vous pensez qu'un message que nous avons analysé contient vos données à caractère personnel, écrivez-nous et nous donnerons suite à votre demande : contact@safeorfake.com .

3. Comment nous utilisons vos informations

  • Analyser les emails pour détecter les menaces de phishing et vous transmettre les résultats
  • Détecter et suivre les campagnes de phishing ciblant des marques spécifiques
  • Alerter les entreprises lorsque leur marque est usurpée
  • Répondre à vos demandes et demandes de contact
  • Améliorer notre service et nos capacités de détection

3.1 Bases légales du traitement

  • Exécution d'un contrat (article 6(1)(b) du RGPD) — analyser le message que vous nous transférez, vous en communiquer le résultat et gérer votre compte si vous en avez un.
  • Intérêts légitimes (article 6(1)(f) du RGPD) — détecter et suivre les campagnes de phishing, alerter les marques usurpées et assurer la sécurité du service lui-même. Le considérant 49 du RGPD reconnaît la sécurité des réseaux et de l'information comme un intérêt légitime.

4. Partage des données

Nous ne vendons, ne louons ni ne partageons vos informations personnelles avec des tiers à des fins commerciales. Nous pouvons partager des données de campagne anonymisées et agrégées avec les marques usurpées pour les aider à protéger leurs clients.

Notre application, sa base de données et son serveur de messagerie fonctionnent sur une infrastructure que nous louons chez Infomaniak, en Suisse. La Suisse est reconnue par la Commission européenne comme offrant un niveau adéquat de protection des données : y stocker vos données ne constitue donc pas un transfert nécessitant des garanties supplémentaires.

Plusieurs composants du service — notre serveur de messagerie (Stalwart), notre fournisseur d'identité (Keycloak), notre passerelle d'IA (LiteLLM), notre CRM (Hub) et nos statistiques (Umami) — sont des logiciels que nous exploitons nous-mêmes sur cette même infrastructure. Ce ne sont pas des sociétés tierces, et leur utilisation n'envoie vos données nulle part ailleurs.

Les tiers suivants reçoivent des données à caractère personnel pour notre compte :

  • Infomaniak (Suisse) — héberge l'application, sa base de données et son serveur de messagerie. Tout ce qui est décrit dans la présente politique est stocké sur une infrastructure qu'il exploite.
  • Mistral AI (France) — fournit le modèle d'IA qui analyse un message signalé. Le contenu du message lui est transmis via notre propre passerelle. Elle est établie dans l'Union européenne : il ne s'agit donc pas d'un transfert de données à caractère personnel hors de l'Espace économique européen.
  • Mailgun (Union européenne) — achemine nos e-mails sortants. Il reçoit donc votre adresse ainsi que le texte intégral du rapport que nous vous envoyons.
  • Sentry (Union européenne) — collecte les rapports d'erreurs techniques afin que nous puissions corriger les pannes. Il reçoit des données de diagnostic et, si vous êtes connecté, votre identifiant de compte — jamais votre nom, votre adresse e-mail ni votre adresse IP.

5. Conservation des données

  • Données d'analyse des emails : Expurgées dès que votre rapport vous est remis — voir la section 2.1 — et au plus tard au bout de 7 jours si le rapport n'a pas pu être remis. L'enregistrement expurgé est définitivement supprimé au bout de 90 jours.
  • Données de campagne : Une campagne regroupe les messages qui partagent une même empreinte structurelle. Les descriptions de l'expéditeur et de l'objet produites par notre analyse sont supprimées 30 jours après le rattachement du dernier message à la campagne. La campagne elle-même est conservée : elle n'identifie personne, et les rapports que nous publions à destination des marques usurpées y renvoient.
  • Dossiers de retrait : Lorsque nous traitons un dossier de retrait avec une marque, les noms et adresses e-mail des personnes concernées sont supprimés 365 jours après la clôture du dossier. La trace des actions menées est conservée.
  • Registres d'utilisation de l'IA : Un registre de coûts contenant un domaine expéditeur, une décision et un prix — aucun contenu de message, aucune adresse. Supprimé au bout de 395 jours.
  • Données de compte / inscription : Conservées jusqu'à votre demande de suppression ou la fin de la relation commerciale.
  • Données analytiques : Données agrégées anonymes conservées indéfiniment.

6. Cookies

Ce site utilise un unique cookie de session strictement nécessaire nommé _safeorfake_key. Il maintient votre connexion active et mémorise votre préférence de langue. Aucun cookie de traçage ou publicitaire n'est utilisé. Notre solution d'analyse (Umami) est sans cookies et ne vous suit pas entre les sites.

7. Vos droits (RGPD)

Si vous résidez dans l'Espace économique européen, vous avez le droit de :

  • Accéder aux données personnelles que nous détenons à votre sujet
  • Demander la rectification de données inexactes
  • Demander la suppression de vos données
  • Vous opposer au traitement ou en demander la limitation
  • Portabilité des données
  • Déposer une plainte auprès d'une autorité de contrôle

Pour exercer l'un de ces droits, contactez-nous à contact@safeorfake.com .

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données, notamment des connexions chiffrées (TLS), un stockage sécurisé en base de données et des contrôles d'accès. Toutefois, aucune méthode de transmission ou de stockage électronique n'est sécurisée à 100 %%.

9. Contact

Pour toute question concernant cette politique de confidentialité, contactez-nous à : contact@safeorfake.com