Politique de confidentialité
Dernière mise à jour : 21 octobre 2026
Cette politique explique comment Gefatech traite les données personnelles sur le site et la plateforme GEFAudit. Elle s’adresse aux visiteurs, aux personnes qui nous contactent et aux utilisateurs de la plateforme.
1. Qui est responsable ?
Gefatech est un projet accompagné par la couveuse PCE dans le cadre d’un contrat d’appui au projet d’entreprise (voir les mentions légales). PCE, qui porte juridiquement l’activité, est :
- responsable de traitement pour les données du site, des demandes de contact, des comptes utilisateurs et de la sécurité de la plateforme ;
- sous-traitant de chaque client pour les données contenues dans les rapports PingCastle de son Active Directory : le client reste responsable de ce traitement, encadré par l’accord de sous-traitance.
2. Données traitées, finalités et bases légales
| Traitement | Données | Base légale | Conservation |
|---|---|---|---|
| Réponse aux demandes de contact et de démonstration | Nom, e-mail, société, téléphone, nombre de domaines, message, adresse IP | Mesures précontractuelles à votre demande | 3 ans après la demande, puis suppression automatique |
| Gestion des comptes et accès à la plateforme | Identifiant, nom, prénom, e-mail, société, rôle, langue, mot de passe (haché), secret de double authentification (chiffré) | Exécution du contrat | Durée du contrat, puis suppression sous 30 jours |
| Analyse des rapports PingCastle (pour le compte du client) | Voir § 3 ; peut inclure des noms de comptes, d’ordinateurs, de groupes, des DN, SID et adresses IP | Instructions du client (art. 28 RGPD) | Selon l’offre souscrite, et au plus tard 30 jours après la fin du contrat |
| Sécurité de la plateforme : journal d’audit, tentatives de connexion, envois de l’agent | Identifiant, adresse IP, action, date, nom de la machine de l’agent | Intérêt légitime (sécurité du service) et obligation de sécurité (art. 32 RGPD) | 12 mois, puis suppression automatique |
Les sauvegardes chiffrées de la plateforme sont conservées 14 jours, puis écrasées.
3. Minimisation des rapports PingCastle
Les rapports sont réduits avant leur envoi, par l’agent installé chez le client ou par le navigateur lors d’un import manuel. Seuls sont transmis : la version de PingCastle, la date de l’audit, le nom du domaine (et de sa forêt, de son nom NetBIOS et des domaines approuvés, utilisés uniquement pour la pseudonymisation), les niveaux fonctionnels, les scores, le niveau de maturité et la liste des règles déclenchées (identifiant, points, catégorie, modèle, phrase descriptive et, si PingCastle est lancé en niveau « Full », les objets concernés).
Ne sont jamais transmis : GPO et leurs paramètres, certificats et modèles de certificats, zones DNS, liste et configuration des contrôleurs de domaine, inventaire des systèmes d’exploitation, membres des groupes à privilèges, chemins de contrôle, ni le rapport HTML, qui reste sur le serveur du client. Le fichier XML reçu n’est pas enregistré : seules les données analysées sont conservées.
4. Pseudonymisation (option)
Lorsqu’un client l’active, le nom du domaine, les noms de comptes, d’ordinateurs, de serveurs, de groupes, de GPO, de certificats, ainsi que les DN, SID et adresses IP, sont remplacés dès la réception par des codes calculés avec une clé propre au client (HMAC-SHA256). Aucune table de correspondance n’est conservée par la plateforme ; les données déjà stockées sont converties lors de l’activation, qui est irréversible. Il s’agit d’une pseudonymisation au sens du RGPD : les données restent des données à caractère personnel lorsqu’elles peuvent être rapprochées d’une personne par le client.
5. Destinataires et localisation
- Les données ne sont accessibles qu’aux utilisateurs habilités du client concerné (cloisonnement par société) et, pour l’administration et le support, à Gefatech.
- La plateforme est hébergée sur des serveurs exploités par Gefatech dans ses locaux en France ; les sauvegardes chiffrées sont stockées en France, sur l’infrastructure de Gefatech. Aucun hébergeur ni sous-traitant tiers n’a accès aux données des clients.
- Les descriptions des règles PingCastle (textes publics de Netwrix) sont traduites en français à l’aide de l’API Claude d’Anthropic. Aucune donnée de client ni aucune donnée personnelle n’est transmise pour ces traductions.
- Aucune donnée n’est vendue, louée ni utilisée à des fins publicitaires. Aucune donnée personnelle n’est transférée hors de l’Union européenne.
6. Sécurité
Chiffrement des échanges (HTTPS), cloisonnement des données par client, double authentification obligatoire pour les administrateurs, verrouillage des comptes après plusieurs échecs, mots de passe hachés (bcrypt), chiffrement des secrets (AES-256-GCM), clés d’agent stockées sous forme d’empreinte uniquement, journal d’audit, sauvegardes chiffrées, mises à jour de sécurité automatiques et filtrage réseau.
7. Cookies
Le site n’utilise que deux cookies, strictement nécessaires à son fonctionnement ; ils sont exemptés de consentement et aucun bandeau n’est donc affiché :
gefaudit_session: maintien de la connexion à la plateforme (chiffré, 12 heures au plus, expire après 30 minutes d’inactivité) ;gefaudit_lang: mémorisation de la langue choisie (1 an).
Aucun cookie de mesure d’audience, de publicité ou de réseau social, et aucun traceur tiers n’est utilisé.
8. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Pour les exercer, écrivez à guillaume@gefatech.fr. Nous répondons dans un délai d’un mois.
Si vos données figurent dans les rapports PingCastle d’un client (par exemple en tant que salarié de ce client), adressez-vous en priorité à votre employeur, responsable de ce traitement ; nous l’assisterons pour répondre à votre demande.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).