ScopeApproved – Politique de confidentialité

En vigueur à compter du 2 novembre 2026.

Responsable du traitement

Le responsable du traitement est Musa Adam Lim EI (entrepreneur individuel), exerçant sous le nom LIM Agentic AI, SIREN 131 778 235, 130 boulevard Masséna, n° 3059, 75013 Paris, France. Pour toute question ou demande relative à vos données personnelles : support@scopeapproved.dev.

Données que nous collectons

• Compte : votre adresse e-mail, vos jetons de connexion et vos enregistrements de session.
• Pré-vérification gratuite : les URL de la page d'accueil et de la politique de confidentialité que vous soumettez, et la liste de lacunes qui en résulte. Nous récupérons ces pages publiques pour les vérifier ; nous conservons les constats, et non une copie des pages. Le texte des pages récupérées n'est pas conservé ; seul le résumé du résultat est conservé pendant 30 jours.
• Kits et renouvellements : le nom de l'application, l'identifiant du projet Google Cloud ou le nom du client OAuth, les scopes que vous déclarez, les descriptions des fonctionnalités de votre application que vous nous fournissez, et les livrables que nous générons pour vous (listes de lacunes, projets de justification, scripts, listes de contrôle).
• Pré-scans : les domaines que vous soumettez, les jetons de vérification et la méthode ayant fonctionné (DNS ou fichier), le statut du pré-scan et les métadonnées des constats (nom du contrôle, gravité, en-tête ou paramètre observé, codes de statut).
• Facturation : votre offre, le statut de votre achat et de votre renouvellement, la date et le texte de votre consentement à la fourniture immédiate et à tout renouvellement, ainsi que les identifiants client et abonnement Stripe. Stripe collecte directement les données de votre carte, le nom de facturation, le pays et l'adresse de facturation. Nous ne voyons que des informations limitées, comme la marque de la carte et ses quatre derniers chiffres.
• Support : les messages que vous envoyez à support@scopeapproved.dev, y compris tout e-mail de refus de Google que vous nous transmettez dans le cadre d'une demande de remboursement.
• Données techniques : adresse IP, agent utilisateur du navigateur et journaux de requêtes conservés par nos hébergeurs à des fins de sécurité et de prévention des abus. Une pré-vérification gratuite effectuée sans compte conserve également l'adresse IP à l'origine de la demande avec la pré-vérification jusqu'à sa suppression, afin qu'une même adresse ne puisse pas lancer un nombre illimité de vérifications.

Données que nous ne collectons pas

Nous n'accédons pas à votre projet Google Cloud et nous ne collectons pas les données utilisateur Google de votre application. Nous vous demandons de ne jamais nous envoyer de mots de passe, de secrets client OAuth, de jetons d'actualisation (refresh tokens) ni de clés d'API, et nous les supprimons si nous les recevons. Nous ne conservons pas de numéros de carte. Nous ne vendons pas de données personnelles et n'utilisons pas de cookies publicitaires ou de traçage.

Finalités et bases légales

Nos sous-traitants

Nous faisons appel aux sous-traitants suivants, chacun lié par un accord de traitement des données :

• Stripe (Stripe Payments Europe Ltd., Irlande, et Stripe, Inc., États-Unis) : paiements, renouvellements, factures, portail client. Pour certaines finalités, comme la prévention de la fraude et le respect de ses obligations légales, Stripe agit en tant que responsable de traitement indépendant, selon sa propre politique de confidentialité.
• Supabase (Supabase Pte. Ltd., Singapour) : base de données des comptes, pré-vérifications, pré-scans et kits. Région : EU (Francfort, eu-central-1).
• Cloudflare (Cloudflare, Inc., États-Unis) : hébergement du site, CDN et sécurité. Cloudflare Turnstile reçoit le résultat du contrôle anti-robots et votre adresse IP lorsque vous lancez une pré-vérification gratuite.
• Resend (Resend, Inc., États-Unis) : e-mails de connexion, de notification et de rappel de renouvellement.
• Hetzner (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne) : exploitation du serveur, situé dans l'Union européenne, qui effectue le pré-scan passif de votre domaine vérifié. Ce serveur n'est accessible que par un tunnel Cloudflare (Cloudflare Tunnel).

Transferts internationaux

Certains de nos sous-traitants sont établis hors de l'Espace économique européen ou y traitent des données :

• États-Unis : les transferts reposent sur le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) lorsque le prestataire est certifié, et à défaut sur les clauses contractuelles types de la Commission européenne.
• Singapour et autres pays : les transferts reposent sur les clauses contractuelles types de la Commission européenne.

E-mails

Les liens de connexion, avis de kit, rappels de renouvellement et avis de facturation sont envoyés par Resend. Nous n'envoyons que des e-mails de service, sauf si vous acceptez d'en recevoir d'autres.

Cookies

Aucun cookie de session n'est utilisé. Stripe dépose ses propres cookies sur ses pages de paiement et de portail client à des fins de paiement et de prévention de la fraude, et Cloudflare Turnstile peut utiliser des signaux strictement nécessaires pour son contrôle anti-robots. Comme nous n'utilisons aucun cookie de mesure d'audience ou publicitaire, aucun bandeau de consentement n'est nécessaire.

Durées de conservation

• Pré-vérifications gratuites : les résultats et l'adresse IP conservée sont supprimés 30 jours après la vérification.
• Kits : les livrables et les détails de l'application que vous avez déclarés sont conservés 12 mois après l'achat ou, si un renouvellement annuel est actif pour cette application, pendant toute sa durée et 90 jours après sa fin.
• Pré-scans : les métadonnées des constats sont conservées avec le kit auquel elles se rapportent. Les journaux de vérification sont conservés avec le pré-scan, ou jusqu'à 12 mois lorsque cela est nécessaire pour traiter une plainte relative à un scan non autorisé.
• Demandes de remboursement et support : conservés 12 mois après la clôture de la demande ou de l'échange, ou plus longtemps si nécessaire en cas de litige.
• Compte : conservé jusqu'à ce que vous en demandiez la suppression, ou supprimé après 24 mois sans connexion ni achat.
• Documents de facturation : les factures, documents comptables et preuves des consentements recueillis lors de la commande sont conservés 10 ans, conformément au droit commercial français (article L123-22 du Code de commerce).
• Journaux d'hébergement : conservés par nos prestataires selon leurs durées standard de conservation à des fins de sécurité, en général 12 mois au maximum.

Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement ou leur portabilité, demander la limitation du traitement ou vous y opposer, et retirer votre consentement à tout moment. Écrivez à support@scopeapproved.dev depuis l'adresse e-mail de votre compte. Nous répondons dans un délai d'un mois. Nous pouvons être tenus de conserver certaines données, comme les factures, lorsque la loi l'exige.

Si vous n'êtes pas satisfait, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr), l'autorité française de protection des données, ou auprès de l'autorité de votre pays de résidence.

Sécurité

Les données sont chiffrées en transit. L'accès à la base de données de production est limité au serveur, au moyen d'une clé de service qui n'est jamais envoyée au navigateur. La sécurité au niveau des lignes (Row Level Security) empêche les clés publiques de lire les données des utilisateurs.

Modifications

Nous mettrons à jour la date d'entrée en vigueur lorsque nous modifierons la présente politique, et nous informerons par e-mail les titulaires de compte de toute modification substantielle.