Politique de confidentialité

Le service CodeBox est édité par Nealix. Pour toute question relative à vos données : contact@nealix.org.

• Compte : nom, adresse email, mot de passe (stocké haché) et, si vous vous connectez avec GitHub, votre identifiant et votre avatar GitHub. Nous ne conservons aucun jeton d'accès GitHub.
• Inventaires : noms et versions des dépendances de vos projets, et version du CLI utilisé. Jamais de code source ni de secret.
• Résultats d'analyse : vulnérabilités détectées, statuts et historique des analyses.
• Canaux d'alerte : adresses email, URL de webhook Discord ou générique que vous ajoutez.
• Diagnostic Legal : pays d'activité, catégories de données traitées et hébergement.
• Paiement (offre Pro) : prénom, nom, numéro de téléphone Mobile Money et pays saisis au moment du paiement, ainsi que la référence, le montant et le statut de la transaction. Nous ne recevons ni ne stockons jamais vos identifiants Mobile Money ni de données de carte.
• Journaux techniques : adresse IP et horodatage des requêtes, utilisés pour la sécurité et la limitation des abus. L'adresse IP utilisée à l'inscription est conservée avec le compte pour limiter la création de comptes en série, et une forme normalisée de votre adresse email sert à détecter les doublons.

• Fournir le service (analyse, alertes, diagnostics) : exécution du contrat.
• Sécuriser la plateforme et prévenir les abus : intérêt légitime.
• Vous informer des évolutions importantes du service : intérêt légitime, avec possibilité de vous y opposer.
• Améliorer le service à partir de statistiques agrégées et anonymes : intérêt légitime.

Pour analyser vos dépendances, nous interrogeons des sources publiques avec des données techniques uniquement :

• OSV.dev : noms et versions des paquets, sans aucun identifiant vous concernant.
• FIRST (EPSS) et CISA (KEV) : identifiants publics de vulnérabilités (CVE).
• Fournisseurs d'IA (Google Gemini, Groq, OpenRouter, xAI ou Anthropic selon leur disponibilité du moment) : description publique d'une vulnérabilité et nom du paquet concerné, pour rédiger l'explication et la recommandation. Aucune donnée personnelle n'est transmise.

Le paiement de l'offre Pro est traité par FedaPay, établissement de paiement agréé par la BCEAO, qui reçoit vos nom, prénom, email et numéro de téléphone pour exécuter la transaction. Les erreurs techniques de l'application sont transmises à Sentry (hébergé dans l'Union européenne) pour être corrigées, sans adresse IP, cookies ni contenu de formulaire. Les emails sont envoyés par notre prestataire d'envoi, et les alertes Discord par l'API de Discord via l'URL de webhook que vous fournissez. Nous ne vendons ni ne louons jamais vos données.

Vos données sont conservées tant que votre compte est actif. Lorsque vous supprimez votre compte, vos actifs, inventaires, vulnérabilités, canaux d'alerte et diagnostics sont effacés définitivement. Les journaux techniques sont conservés pour une durée limitée, nécessaire à la sécurité du service. Les enregistrements de paiement sont conservés même après la suppression du compte, détachés de celui-ci, pour respecter nos obligations comptables.

• Chiffrement de toutes les communications (HTTPS).
• Mots de passe hachés, tokens d'actifs stockés en SHA-256 et révocables.
• Signature HMAC des webhooks sortants pour en garantir l'authenticité.
• Accès aux serveurs restreint et journalisé.

Vous pouvez accéder à vos données, les rectifier, vous opposer à certains traitements et demander leur suppression. Depuis Paramètres, vous pouvez directement exporter toutes vos données au format JSON ou supprimer votre compte.

Pour toute autre demande, écrivez à contact@nealix.org. Vous pouvez aussi saisir l'autorité de protection des données de votre pays (par exemple la CDP au Sénégal, l'ARTCI en Côte d'Ivoire ou la CNIL en France).

CodeBox n'utilise aucun traceur publicitaire ni outil de mesure d'audience. Le navigateur conserve uniquement votre session de connexion et votre préférence de thème, nécessaires au fonctionnement du service.

En cas de changement important de cette politique, nous vous en informerons par email avant son entrée en vigueur.