Politique de confidentialité — weakestlink
Dernière mise à jour : 29 septembre 2026
Cette politique décrit la manière dont weakestlink traite les données personnelles pour lesquelles nous sommes nous-mêmes responsables du traitement. Si votre employeur utilise weakestlink pour la formation à la sécurité, c'est l'employeur qui est responsable du traitement des données des employés, et weakestlink agit alors en tant que sous-traitant — voir Annexe A.
1. Responsable du traitement
WEAKESTLINK ApS (CVR 46614011, registre danois des sociétés) est responsable du traitement des données à caractère personnel sur weakestlink.io. Contact : info@weakestlink.io.
2. Quelles données nous traitons, pourquoi et sur quelle base légale
| Données | Finalité | Base légale (RGPD art. 6) | Durée de conservation |
|---|---|---|---|
| Personne de contact chez le client (nom, e-mail, fonction) | Créer et gérer le compte de l'organisation | Contrat (art. 6(1)(b)) | À la fin de la relation client |
| Informations de facturation | Facturation et comptabilité | Obligation légale (art. 6(1)(c)) | 5 ans, conformément à la loi danoise sur la comptabilité (bogføringsloven) |
| Journaux serveur (IP, horodatage) | Exploitation et sécurité | Intérêt légitime (art. 6(1)(f)) | 90 jours |
| Adresse e-mail, lorsque vous vous inscrivez vous-même pour être informé d'un module à venir (AI-Klar, deepfake) | Vous prévenir lorsque le module sera disponible | Consentement (art. 6(1)(a)) — vous pouvez le retirer à tout moment en nous écrivant | Au plus tard 12 mois après l'inscription |
| L'identifiant de clic Google, lorsque vous arrivez depuis une annonce Google, l'heure du clic, et si le compte a été créé ou est passé à une formule payante | Mesure publicitaire : savoir si une annonce Google a abouti à la création d'un compte | Intérêt légitime (art. 6(1)(f)) — vous pouvez vous y opposer, voir la section 7 | 90 jours après le clic. Si une conversion a été transmise à Google, elle est supprimée 90 jours après sa transmission |
| Statistiques de visite : pages vues et clics sur les boutons, avec le type de navigateur, l'appareil et le pays. Sans cookies, et l'adresse IP n'est pas enregistrée | Savoir quelles pages sont utilisées afin de les améliorer. Les statistiques sont traitées sur notre propre serveur (Umami) et ne sont partagées avec aucun tiers | Intérêt légitime (art. 6(1)(f)) | Conservées sous forme de statistiques agrégées, sans nom, adresse e-mail ni adresse IP |
Nous ne traitons pas de numéros de sécurité sociale ni de données sensibles (RGPD art. 9).
3. Traitement par IA
Nous utilisons l'IA (Claude d'Anthropic) pour rédiger les contenus de formation et les modèles de simulation — leçons, quiz et e-mails leurres — en interne, avant leur publication. Aucune donnée client ni aucune donnée personnelle concernant vos collaborateurs n'est transmise à des services d'IA, et aucune IA n'est exécutée sur vos données en production.
4. Sous-traitants et sous-traitants ultérieurs
Nous utilisons les sous-traitants suivants. Pour les prestataires situés hors UE/EEE, le transfert repose sur la décision d'adéquation de la Commission européenne (cadre de protection des données UE-États-Unis) et/ou sur des clauses contractuelles types (CCT) :
| Fournisseur | Prestation | Pays | Fondement du transfert |
|---|---|---|---|
| Anthropic PBC | Rédaction du contenu de formation par IA (hors ligne) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | E-mails transactionnels et de notification sortants (ex. confirmation d'adresse e-mail) | Frankrig | — |
| Cloudflare, Inc. | Réseau, TLS et protection anti-DDoS | USA | DPF/SCC |
L'hébergement est assuré sur notre propre infrastructure, au Danemark.
Si vous payez par carte, les informations de carte et les données de paiement sont traitées par notre passerelle de paiement QuickPay (QuickPay ApS, Danemark) et par l'acquéreur Clearhaus (Clearhaus A/S, Danemark) en tant que responsables de traitement indépendants au titre de la législation sur les paiements — et non en tant que sous-traitants pour notre compte. Nous ne recevons jamais votre numéro de carte complet. Les politiques de confidentialité propres à QuickPay et à Clearhaus s'appliquent à ce traitement.
5. Transmission des données
Nous ne communiquons des données que lorsque cela est nécessaire à la fourniture du service, lorsque la loi l'exige ou avec votre consentement. Une exception : si vous êtes arrivé chez nous via une annonce Google, nous transmettons l'identifiant de clic de l'annonce, l'horodatage et l'information indiquant si le compte a été créé ou payé à Google Ireland Ltd. (Google Ads), afin de savoir quelles annonces fonctionnent. Nous ne transmettons ni nom, ni adresse e-mail, ni adresse IP. Google peut transférer ces données à Google LLC aux États-Unis. Selon Google, ce transfert repose sur l'EU-U.S. Data Privacy Framework, auquel Google LLC est certifiée, ou à défaut sur des clauses contractuelles types (SCC). Nous ne vendons jamais de données.
6. Conservation et suppression
Les délais précis figurent dans le tableau de la section 2. Les documents comptables sont conservés 5 ans à compter de la fin de l'exercice, conformément à la loi danoise sur la comptabilité. Les données sont ensuite supprimées ou anonymisées.
7. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition (GDPR art. 15–21). Si vous avez donné votre consentement, vous pouvez le retirer à tout moment pour l'avenir. Écrivez à info@weakestlink.io — nous répondons au plus tard un mois après réception de votre demande. Si vous ne souhaitez pas que nous utilisions l'identifiant de clic de l'annonce (sections 2 et 5), vous pouvez vous y opposer (art. 21) en écrivant à la même adresse : nous supprimerons alors l'identifiant de clic et ne communiquerons aucune information sur votre compte à Google. Si vous êtes collaborateur d'un client, vous pouvez également vous adresser à votre employeur, qui est le responsable du traitement (voir Annexe A).
8. Réclamation
Vous pouvez adresser une réclamation concernant notre traitement de vos données au Datatilsynet (autorité danoise de protection des données, autorité chef de file), Carl Jacobsens Vej 35, 2500 Valby, Danemark, www.datatilsynet.dk. Vous pouvez également saisir la CNIL (France, www.cnil.fr) ou l'APD/GBA (Belgique).
9. Cookies
Nous déposons deux cookies : un cookie de session, utilisé pour la connexion et la sécurité, et — si vous choisissez vous-même une langue dans le sélecteur de langue — un cookie qui mémorise votre choix. Si vous venez d'une annonce Google, nous enregistrons l'identifiant de clic de l'annonce dans la session sur notre serveur, afin de pouvoir indiquer à Google si le clic a débouché sur la création d'un compte (voir section 5). Le cookie lui-même ne contient qu'un identifiant de session aléatoire. Nous n'utilisons aucun autre cookie de suivi ni aucun cookie tiers, et nos statistiques de visite (Umami) n'utilisent aucun cookie.
10. Modifications
Toute modification substantielle de cette politique sera annoncée sur weakestlink.io et/ou par e-mail.
Annexe A — répartition des rôles lors de la formation des collaborateurs
Lorsqu'une entreprise (votre employeur) utilise weakestlink pour la formation à la sécurité et les simulations de phishing, l'entreprise est responsable du traitement des données des collaborateurs, et weakestlink agit en tant que sous-traitant. Le traitement s'effectue selon les instructions définies dans un contrat de sous-traitance conclu lors de la création du compte. Cette politique ne s'applique donc qu'aux données pour lesquelles nous sommes nous-mêmes responsables du traitement (données de contact et de facturation du client, ainsi que l'exploitation du service).
Les simulations de phishing ne sont réalisées que sur une base juridique documentée (consentement de l'organisation et évaluation validée de l'intérêt légitime). Les rapports sont agrégés et n'affichent des chiffres que pour des groupes d'au moins cinq personnes. Les résultats d'un collaborateur (score de risque, progression des cours et événements de simulation) ne sont visibles que par l'administrateur de l'organisation — et par les responsables si l'organisation l'active elle-même. Le but est une formation complémentaire ciblée, jamais l'exposition ni la sanction. Les résultats sont conservés pendant la relation client et supprimés à son terme, conformément à l'accord de traitement des données. Nous n'enregistrons jamais ce qu'un collaborateur saisit lors d'une simulation, seulement qu'un événement a eu lieu.