Confidentialité

Politique de confidentialité

Herozion s'engage à protéger vos données personnelles avec la même rigueur que celle que nous appliquons à la sécurité applicative. Cette politique s'applique au site herozion.io et à l'outil CLI Herozion.

Responsable de traitement : Herozion, actuellement exploité depuis le Brésil. La raison sociale et le CNPJ seront publiés dès finalisation de l'immatriculation. Une entité canadienne pourra être créée ultérieurement.

Dernière mise à jour : 10 octobre 2026 · Version : v2.0.12

Résumé en une ligne

L'analyse s'exécute sur votre machine. Télémétrie anonyme (opt-out HEROZION_TELEMETRY=0), OSV.dev, dashboard cloud (herozion push opt-in) et AI Fix (herozion ai-fix opt-in, extrait ±30 lignes vers Gemini) — détails dans la section CLI.

CLI, analyse locale et réseau

Lors du premier scan local, Herozion génère un identifiant anonyme stable par installation (hash non réversible, jamais votre nom, email ou données personnelles) afin de mesurer le nombre d'installations actives et améliorer le produit. Cet identifiant, ainsi que les métadonnées post-scan habituelles (score, compteurs, durée, version CLI, OS), peuvent être désactivés via HEROZION_TELEMETRY=0. Un scan local standard n'envoie ni code source ni chemin de fichier. Des extraits peuvent quitter votre machine uniquement si vous exécutez une commande opt-in (herozion push ou herozion ai-fix). Les vérifications CVE passent par OSV.dev (sauf --offline).

Ce qui reste sur votre machine

Lecture des fichiers via votre système de fichiers, aucun upload du dépôt complet.
Rapports JSON stockés localement dans ~/.herozion/.
Toute correction ou modification de fichier exige votre confirmation explicite.

Connexions réseau possibles (CLI)

Télémétrie anonyme, identifiant d'installation (hash) + métadonnées post-scan (score, compteurs, durée, version CLI, OS). Opt-out : HEROZION_TELEMETRY=0.
OSV.dev, noms et versions de packages pour les CVE de dépendances (pas votre code). Désactivé avec herozion scan --offline.
API Herozion, si connecté (herozion login) : OTP par e-mail, session /auth/me, validation de licence.
Push opt-in, herozion push uniquement sur votre commande (voir ci-dessous).
AI Fix opt-in, herozion ai-fix (ou équivalent extension) uniquement sur votre commande (voir ci-dessous).

Commande herozion push

Envoie au dashboard les résultats structurés du scan : score, catégories, chemins de fichiers et extraits de lignes autour des findings, jamais l'intégralité de vos sources ni votre dépôt complet.

Commande herozion ai-fix

Fonctionnalité opt-in du service (base légale : contrat). Avant l'envoi, le CLI affiche un avertissement informatif (une fois par session terminal) pour confirmer que vous avez compris qu'un extrait quitte votre machine — ce n'est pas un consentement RGPD distinct et retirable. Données transmises au service AI Herozion, puis à Google Gemini : extrait vulnérable (±30 lignes de contexte), langue, catégorie / sévérité (et CWE/OWASP le cas échéant), chemin de fichier, numéro de ligne, locale UI, identifiant client et plan. Le dépôt complet n'est jamais envoyé. Herozion ne conserve pas le corps de requête brut en base ; un cache en mémoire indexe une empreinte SHA-256 du code normalisé (littéraux anonymisés) pour réutiliser la réponse du modèle jusqu'à 30 jours.

Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service, conformément au principe de minimisation des données (RGPD, art. 5.1.c).

Donnée	Source	Finalité	Base légale
Adresse e-mail	Inscription compte / meetup	Authentification OTP, notifications	Contrat
Prénom & nom	Inscription meetup (optionnel)	Personnalisation des e-mails	Consentement
Adresse IP (tronquée)	Visite du site web	Statistiques d'audience anonymisées, sécurité	Intérêt légitime
Pays & ville approximatifs	Géolocalisation côté serveur	Statistiques géographiques anonymisées	Intérêt légitime
Navigateur & OS	User-Agent HTTP	Compatibilité, statistiques d'audience	Intérêt légitime
Question / commentaire meetup	Formulaire d'inscription	Organisation de l'événement	Consentement
Identifiant anonyme d'installation (hash non réversible)	Premier scan local sans compte	Mesurer l'adoption de l'outil, améliorer le produit	Intérêt légitime
Métadonnées télémétrie CLI	Post-scan CLI (opt-out)	Statistiques anonymes d'usage produit	Intérêt légitime
Findings push (extraits)	`herozion push` (opt-in)	Dashboard cloud, historique de scans	Contrat
Extrait AI Fix (±30 lignes + métadonnées)	`herozion ai-fix` (opt-in)	Génération de correctif assisté via le service AI	Contrat

Anonymisation des adresses IP

Les adresses IP ne sont jamais stockées en clair. Elles sont tronquées dès leur réception, avant toute persistance.

Ce que nous ne collectons pas

Votre dépôt complet ou l'archive de votre projet
Vos rapports locaux complets — sauf si vous exécutez herozion push (résultats structurés) ou herozion ai-fix (extrait vulnérable ±30 lignes uniquement)
Vos mots de passe (Herozion n'en utilise pas, auth OTP uniquement)
Vos données de paiement (traitées directement par Stripe)
Des données de localisation précises (uniquement ville/pays approximatifs)

Utilisation des données

Les données collectées sont utilisées exclusivement pour les finalités déclarées ci-dessous. Aucune utilisation secondaire, publicitaire ou de profilage n'est effectuée.

Communications transactionnelles

Envoi du code OTP d'authentification, confirmation d'inscription meetup, e-mail de bienvenue. Jamais de marketing non sollicité.

Statistiques anonymisées

Les logs de visite (IP tronquée, pays, navigateur) sont agrégés pour comprendre l'audience. Les données individuelles ne sont pas consultées.

Sécurité opérationnelle

Les données de connexion (IP tronquée, navigateur) permettent de détecter les anomalies et les attaques, conformément à l'intérêt légitime de sécurité.

Organisation des événements

Les inscriptions meetup (nom, e-mail, question) sont utilisées uniquement pour organiser l'événement concerné, puis supprimées après 90 jours.

Chiffrement des données

Les données hébergées par Herozion sont protégées de façon factuelle : AES-256 au repos (infrastructure DigitalOcean) et TLS 1.2 ou supérieur en transit (HTTPS).

Au repos : AES-256 sur le stockage et les bases gérées chez DigitalOcean.
En transit : HTTPS avec TLS 1.2 ou supérieur entre vos clients et les services Herozion (API, site, AI).
Clés applicatives gérées hors du code source, jamais exposées dans les dépôts publics.

Rétention & Suppression automatique

Conformément au principe de limitation de la conservation (RGPD, art. 5.1.e), les données sont supprimées dès qu'elles ne sont plus nécessaires à leur finalité.

Type de donnée	Durée de rétention	Suppression
Inscriptions meetup	90 jours après l'événement	Suppression automatique programmée
Logs de visite (IP tronquée)	30 jours glissants	Rotation automatique, entrées anciennes écrasées
Code OTP (authentification)	Quelques minutes	Invalidé immédiatement après utilisation ou expiration
Session utilisateur (JWT)	Courte durée (quelques jours)	Expiration automatique du cookie, révocable via déconnexion
E-mails transactionnels	Non stockés par Herozion	Transitent par le serveur SMTP, non persistés
Télémétrie CLI anonyme	12 mois glissants (agrégats)	Métadonnées anonymisées, jamais de code source
Rapports push (dashboard)	Durée du compte actif	Supprimables sur demande ou à la clôture du compte
Cache AI Fix (empreinte normalisée + réponse modèle)	Jusqu'à 30 jours	Expiration automatique du cache ; pas d'archivage du corps de requête brut

Droit à l'effacement immédiat

Sur simple demande à [email protected], toutes vos données personnelles identifiables sont supprimées dans un délai de 30 jours, conformément à l'article 17 du RGPD.

Partage avec des tiers

Herozion ne vend pas et ne loue pas vos données personnelles. Le partage avec des tiers est limité aux sous-traitants techniques strictement nécessaires.

Tiers	Rôle	Données partagées	Localisation
DigitalOcean	Hébergement serveur & stockage chiffré	Données chiffrées au repos uniquement	Union Européenne
Stripe	Paiement en ligne	Données de paiement (traitées par Stripe, jamais par Herozion)	USA (Stripe Inc.)
Prestataire de messagerie	Envoi d'e-mails transactionnels	Adresse e-mail du destinataire, contenu de l'e-mail	Union Européenne
Service de géolocalisation	Géolocalisation approximative (côté serveur)	Adresse IP uniquement, réponse : pays + ville	USA
OSV.dev	Base CVE open source (dépendances)	Noms et versions de packages, jamais votre code source	USA (Google)
Google Gemini	Génération de correctifs AI Fix (sous-traitant IA)	Extrait ±30 lignes, langue, framework le cas échéant, catégorie / sévérité de vulnérabilité, métadonnées de finding — jamais le dépôt complet	USA (Google Generative Language API)

Transferts internationaux

Certains sous-traitants sont situés hors du Brésil (notamment aux États-Unis ou dans l'UE : Stripe, Google Gemini, OSV.dev, géolocalisation, hébergement DigitalOcean). Ces transferts internationaux font l'objet d'une documentation progressive au regard de la LGPD et des règles de l'ANPD (y compris la résolution nº 19/2024). Des garanties contractuelles adaptées sont recherchées pour chaque fournisseur ; la liste et les mécanismes exacts seront complétés au fur et à mesure de l'audit.

Vos droits (LGPD et équivalents)

Herozion étant exploité depuis le Brésil, la LGPD (Lei Geral de Proteção de Dados) constitue le cadre principal. Si vous résidez dans l'EEE, au Québec ou ailleurs, des droits équivalents peuvent s'appliquer (RGPD, Loi 25, etc.). Vous disposez notamment des droits suivants :

Confirmation et accès (LGPD art. 18) — savoir si nous traitons vos données et en obtenir une copie.
Correction — corriger des données inexactes, incomplètes ou obsolètes.
Anonymisation, blocage ou suppression — lorsque les données sont inutiles, excessives ou traitées en violation de la loi.
Portabilité — recevoir vos données dans un format structuré et lisible par machine (JSON), dans les conditions légales.
Information sur le partage — savoir avec quels tiers publics ou privés vos données ont été partagées.
Opposition — vous opposer à un traitement non conforme à la LGPD ou, le cas échéant, fondé sur un intérêt légitime.
Retrait du consentement — retirer à tout moment un consentement préalablement donné, lorsque le traitement repose sur le consentement.

Pour exercer vos droits, contactez : [email protected]. Nous répondons dans un délai maximum de 15 jours (LGPD) ou, le cas échéant, selon le délai de votre juridiction (souvent 30 jours). En cas de litige au Brésil, vous pouvez saisir l'ANPD (gov.br/anpd). Hors Brésil, l'autorité compétente de votre pays peut également être saisie.

Cookies & Stockage local

Herozion utilise uniquement des cookies strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire, de profilage ou de tracking tiers n'est utilisé.

Session de connexion, pour vous garder connecté au dashboard.
Préférence de langue, mémorisée localement sur votre appareil.
Aucun cookie publicitaire, de suivi ou de profilage.

Pas de banner cookies nécessaire

Les cookies strictement nécessaires au fonctionnement du service ne requièrent en principe pas de consentement préalable explicite sous la LGPD et les cadres équivalents (sous réserve des règles locales). Aucun autre cookie n'est déposé. Cette affirmation fait l'objet d'une vérification technique continue des scripts et stockages tiers.

Contact & DPO

Pour toute question relative à cette politique ou pour exercer vos droits :

Ken Kelvin M., Fondateur — Herozion (Brésil)

E-mail confidentialité / droits : [email protected]

Délai de réponse : 15 jours maximum (LGPD) ; délais locaux applicables le cas échéant

Pour un signalement de sécurité : [email protected]. Autorité brésilienne : ANPD.