Politique de confidentialité

1. Présentation

La présente Politique de confidentialité décrit la manière dont LeakedSource (« nous », « notre » ou « nos ») collecte, utilise, stocke, divulgue et protège vos informations personnelles lorsque vous accédez au site web LeakedSource, à ses interfaces de programmation d'applications et aux services associés (collectivement, le « Service ») ou que vous les utilisez. En accédant au Service ou en l'utilisant, vous reconnaissez avoir lu et compris la présente Politique de confidentialité.

Nous nous engageons à faire preuve de transparence quant à nos pratiques en matière de données. Le Service impliquant le traitement de renseignements sur les fuites de données, la présente Politique décrit également la manière dont nous traitons les données liées aux fuites, qui peuvent inclure des informations personnelles provenant de fuites de données de tiers.

2. Qui sommes-nous

LeakedSource est un service de renseignement et de surveillance des fuites de données détenu et exploité par HEROIC Holdings, LLC (« HEROIC »), une société à responsabilité limitée constituée en vertu des lois des États-Unis. HEROIC agit en qualité de responsable du traitement des informations personnelles traitées par le biais du Service.

Pour toute question relative à la confidentialité, vous pouvez nous contacter à l'adresse legal@leakedsource.com.

3. Informations que nous collectons

Nous collectons des informations auprès de plusieurs sources afin de fournir, maintenir et améliorer le Service.

3.1 Informations que vous nous fournissez directement

• Informations du compte : lorsque vous créez un compte, nous collectons votre nom, votre adresse e-mail et votre mot de passe (stocké sous forme hachée).
• Requêtes de recherche : adresses e-mail, noms d'utilisateur, numéros de téléphone, adresses IP ou autres identifiants que vous soumettez pour les comparer à notre base de données de fuites.
• Informations de paiement : lorsque vous souscrivez une formule payante, les informations de paiement (telles que le numéro de carte bancaire et l'adresse de facturation) sont collectées et traitées par notre prestataire de paiement tiers. Nous ne stockons pas les numéros complets de carte bancaire sur nos serveurs.
• Communications : informations que vous fournissez lorsque vous contactez notre équipe d'assistance, envoyez des commentaires ou communiquez avec nous de toute autre manière.
• Adresses e-mail surveillées : adresses e-mail que vous ajoutez pour une surveillance continue des fuites de données.

3.2 Informations collectées automatiquement

• Informations sur l'appareil et le navigateur : type et version du navigateur, système d'exploitation, type d'appareil, résolution d'écran et préférences linguistiques.
• Données d'utilisation : pages consultées, fonctionnalités utilisées, fréquence des recherches, temps passé sur les pages, parcours de navigation et données de parcours de clics (clickstream).
• Données de journalisation : adresse IP, horodatages d'accès, URL de provenance, méthode de requête HTTP, codes de statut de réponse et chaînes d'agent utilisateur (user agent).
• Cookies et technologies similaires : identifiants de session, cookies de préférences et données d'analyse (voir la section 7).
• Signaux relatifs aux appareils et à la sécurité : lorsque vous consultez le Service, un script de sécurité collecte des caractéristiques de votre navigateur et de votre appareil, telles que les propriétés de l'écran, les polices installées, les caractéristiques de rendu graphique et audio, des détails matériels, les paramètres de fuseau horaire et de langue, ainsi que des indices de navigateurs automatisés ou manipulés. Nos serveurs enregistrent également des caractéristiques de la manière dont votre navigateur se connecte (paramètres de connexion TLS, HTTP et TCP), votre adresse IP ainsi que le réseau, le fournisseur d'accès à Internet et le pays qui en sont déduits. Les valeurs volumineuses sont réduites à des empreintes à sens unique (hachages) dans votre navigateur avant d'être envoyées. Lorsque vous êtes connecté, ces signaux sont associés à l'identifiant interne de votre compte (jamais à votre adresse e-mail). Voir la section 4.1.
• Contexte d'inscription : lorsque vous créez un compte, nous enregistrons votre pays (déduit de l'adresse IP d'origine via notre réseau de diffusion de contenu), la langue préférée de votre navigateur, l'adresse IP utilisée lors de l'inscription et le fuseau horaire indiqué par votre navigateur. Nous utilisons ces informations pour personnaliser le contenu, proposer des fonctionnalités propres à votre région, envoyer les e-mails programmés à des heures locales appropriées, détecter les créations de comptes frauduleuses et respecter les réglementations régionales. L'adresse IP enregistrée lors de l'inscription et le fuseau horaire sont enregistrés une seule fois et ne sont pas mis à jour au fil de votre utilisation du Service. Votre pays et votre langue sont actualisés s'ils changent. Nous n'enregistrons ni votre localisation précise, ni vos données GPS, ni votre historique de navigation en dehors du Service. Toutes ces informations sont supprimées automatiquement lorsque vous supprimez votre compte.

3.3 Informations provenant de sources tierces

• Données de renseignement sur les fuites : nous obtenons des enregistrements de fuites de données auprès de HEROIC, qui agrège des données de fuites issues d'expositions de données publiquement connues, de travaux de recherche en sécurité et d'autres sources licites. Ces données peuvent inclure des adresses e-mail, des noms d'utilisateur, des mots de passe hachés ou en clair, des numéros de téléphone, des adresses IP, des adresses postales et d'autres informations personnelles exposées lors de fuites de données de tiers. Consultez la section 5 pour savoir comment ces données sont traitées.
• Prestataire de paiement : notre prestataire de paiement peut partager avec nous des données de transaction limitées (telles que la confirmation d'un paiement réussi).

4. Utilisation de vos informations

Nous utilisons les informations que nous collectons aux fins suivantes :

• Fournir le Service : pour comparer les identifiants que vous soumettez aux fuites de données connues, fournir les résultats de recherche et proposer des fonctionnalités de surveillance des fuites et de notification.
• Gestion du compte : pour créer et gérer votre compte, traiter les paiements d'abonnement et appliquer les limites propres à chaque formule.
• Communications transactionnelles : pour envoyer des e-mails de vérification de compte, des demandes de réinitialisation de mot de passe, des alertes de fuite, des reçus de paiement et d'autres notifications liées au Service.
• Amélioration du Service : pour analyser les modes d'utilisation, diagnostiquer les problèmes techniques, optimiser les performances et développer de nouvelles fonctionnalités.
• Sécurité et prévention de la fraude : pour détecter, examiner et empêcher les accès non autorisés, les abus ou les activités frauduleuses sur le Service, notamment en reconnaissant les appareils utilisés avec votre compte et en détectant les bots et le trafic automatisé (voir la section 4.1).
• Analyses d'audience : pour comprendre le comportement global des utilisateurs et mesurer l'efficacité de notre Service (voir la section 7).
• Marketing et publicité : pour personnaliser, diffuser et mesurer le marketing et la publicité sur les sites web et services de HEROIC, notamment en reconnaissant votre appareil sur l'ensemble de ceux-ci (voir la section 4.1).
• Conformité légale : pour nous conformer aux lois, réglementations et procédures judiciaires applicables ou aux demandes exécutoires des autorités publiques.

Nous ne vendons pas vos informations personnelles à des tiers. Nous n'utilisons pas vos informations personnelles pour des prises de décision automatisées produisant des effets juridiques ou des effets similaires significatifs sans intervention humaine.

4.1 Reconnaissance des appareils et détection des bots

HEROIC exploite un service de reconnaissance des appareils sur edge.leakedsource.com, qui utilise les signaux relatifs aux appareils et à la sécurité décrits à la section 3.2. Il est utilisé pour :

• reconnaître les appareils déjà utilisés avec votre compte, y compris après l'effacement des cookies, afin de détecter les connexions inhabituelles et les prises de contrôle de compte ;
• détecter les bots, les outils automatisés et les navigateurs manipulés ;
• mesurer et améliorer la précision de ces protections ;
• reconnaître votre appareil sur l'ensemble des sites web et services de HEROIC, et y personnaliser et mesurer le marketing et la publicité.

Ces signaux peuvent être utilisés pour demander une vérification supplémentaire, ou pour limiter ou bloquer une activité qui semble automatisée, frauduleuse ou non autorisée. HEROIC utilise le même service sur ses autres sites web et services, y compris HEROIC.com, de sorte que votre appareil peut être reconnu et associé sur l'ensemble de ceux-ci.

Nous traitons ces informations à des fins de sécurité sur la base de notre intérêt légitime à assurer la sécurité du Service et de ses utilisateurs, et à des fins de marketing et de publicité sur la base de nos intérêts légitimes ou, lorsque la loi l'exige, de votre consentement. Les contrôles de sécurité sont effectués que vous acceptiez ou non les cookies d'analyse et indépendamment des signaux de confidentialité de votre navigateur. Nous ne vendons pas les signaux relatifs aux appareils et à la sécurité et ne les partageons pas avec des tiers.

5. Données de fuites et renseignements

La fonction principale de LeakedSource est d'aider les particuliers et les organisations à déterminer si leurs informations personnelles ont été exposées lors de fuites de données connues. Les paragraphes suivants décrivent la manière dont les données de fuites sont obtenues, traitées et présentées.

5.1 Sources des données

Les enregistrements de fuites sont fournis par HEROIC, qui collecte et indexe des données issues de jeux de données de fuites accessibles au public, de travaux de recherche en sécurité et d'autres sources licites. LeakedSource ne pirate aucun système, n'y accède pas et n'en obtient pas de données de manière illicite. Toutes les données de fuites traitées par le biais du Service ont été préalablement exposées par des tiers et sont obtenues exclusivement à des fins de cybersécurité et de lutte contre la fraude.

5.2 Fonctionnement des recherches

Lorsque vous effectuez une recherche, votre requête (par exemple, une adresse e-mail) est transmise de manière sécurisée à l'API HEROIC via une connexion chiffrée. L'API HEROIC renvoie les enregistrements de fuites correspondants, qui vous sont ensuite présentés en fonction de votre niveau d'abonnement. Les utilisateurs de la formule gratuite voient des informations limitées (noms et dates des fuites) ; les abonnés payants peuvent accéder à des détails supplémentaires, tels que les champs de données exposés.

5.3 Masquage des données sensibles

Certaines catégories d'informations sensibles renvoyées dans les enregistrements de fuites sont automatiquement masquées ou partiellement occultées afin de limiter leur exposition. Cela comprend, sans s'y limiter, les mots de passe (seuls les deux derniers caractères sont affichés), les numéros de sécurité sociale (deux derniers chiffres) et les numéros de carte bancaire (six premiers et quatre derniers chiffres uniquement). Les identifiants complets en clair ne sont jamais affichés par le biais du Service.

5.4 Données des logs d'infostealers

Certains enregistrements de fuites proviennent de logiciels malveillants de vol d'identifiants (« logs d'infostealers »). Ces données font l'objet d'une classification distincte et ne sont accessibles qu'aux abonnés payants. Nous appliquons des contrôles d'accès supplémentaires aux données des logs d'infostealers compte tenu de leur sensibilité potentielle.

5.5 Exactitude et exhaustivité

Les données de fuites proviennent de sources tierces externes. Bien que nous nous efforcions de vérifier la légitimité et l'authenticité des jeux de données de fuites, nous ne pouvons garantir l'exactitude, l'exhaustivité, l'actualité ou la fiabilité d'un enregistrement de fuite en particulier. Les enregistrements peuvent contenir des erreurs, des entrées fabriquées ou des informations obsolètes. L'absence de résultats pour une requête donnée ne garantit pas que vos informations n'ont pas été compromises.

6. Services tiers

Nous faisons appel aux catégories suivantes de prestataires de services tiers pour exploiter le Service. Ces prestataires traitent des informations personnelles pour notre compte et sont contractuellement tenus de ne les utiliser qu'aux fins pour lesquelles elles leur ont été communiquées.

Nous pouvons également utiliser la technologie d'IA Claude d'Anthropic pour l'amélioration interne du service et la génération de contenu. Les informations personnelles propres aux utilisateurs ne sont pas soumises à des services d'IA à des fins de traitement sans avoir été anonymisées.

6.1 Partenaire de surveillance de la vie privée (Optery)

Lorsque vous utilisez notre service de surveillance de la vie privée, nous partageons les informations personnelles que vous fournissez (nom, adresses, numéros de téléphone, année de naissance) avec notre partenaire de surveillance des courtiers en données, Optery, Inc., dans le seul but de rechercher et de supprimer vos données des sites web de courtiers en données. Optery agit en qualité de sous-traitant dans le cadre d'un accord de traitement des données (Data Processing Agreement).

Vos informations sont chiffrées en transit et au repos. Vous pouvez consulter les données que nous partageons avec Optery, ou les supprimer entièrement, depuis les paramètres de votre compte. La politique de confidentialité d'Optery est disponible à l'adresse https://www.optery.com/privacy/.

7. Cookies et analyses d'audience

Nous utilisons des cookies et des technologies similaires pour faire fonctionner le Service, maintenir votre session, mémoriser vos préférences et collecter des données d'analyse.

7.1 Types de cookies que nous utilisons

• Cookies essentiels : nécessaires aux fonctionnalités de base telles que l'authentification, la gestion des sessions et la protection CSRF. Ils ne peuvent pas être désactivés.
• Cookie de sécurité : un identifiant aléatoire défini par edge.leakedsource.com pour reconnaître votre navigateur aux fins décrites à la section 4.1. Il n'est pas lisible par les scripts et expire au bout de 400 jours.
• Cookies d'analyse : utilisés par Google Analytics (via Google Tag Manager) pour collecter des informations anonymisées sur la manière dont les visiteurs utilisent le Service, notamment les pages consultées, le temps passé sur le site et les parcours de navigation. Nous utilisons l'anonymisation des adresses IP.

7.2 Gestion des cookies

Vous pouvez contrôler ou supprimer les cookies via les paramètres de votre navigateur. La désactivation des cookies essentiels peut vous empêcher d'utiliser certaines fonctionnalités du Service. Pour en savoir plus sur la gestion des cookies, consultez allaboutcookies.org.

7.3 Do Not Track

Certains navigateurs transmettent des signaux « Do Not Track » (DNT). Nous ne répondons pas actuellement aux signaux DNT, car il n'existe aucune norme universellement acceptée quant à leur interprétation.

8. Sécurité des données

Nous mettons en œuvre des mesures de sécurité administratives, techniques et physiques conformes aux normes du secteur afin de protéger vos informations personnelles contre tout accès, toute modification, toute divulgation ou toute destruction non autorisés. Ces mesures comprennent :

• Chiffrement des données en transit à l'aide de TLS 1.2 ou version supérieure.
• Chiffrement des données sensibles au repos.
• Hachage des mots de passe à l'aide d'algorithmes cryptographiques robustes et salés (bcrypt).
• Contrôles d'accès basés sur les rôles limitant l'accès des employés aux informations personnelles.
• Évaluations de sécurité régulières et surveillance des accès non autorisés.
• Expiration automatique des sessions et protections par limitation de débit.

Aucune méthode de transmission sur Internet ni aucune méthode de stockage électronique n'est totalement sûre. Bien que nous nous efforcions de protéger vos informations personnelles, nous ne pouvons pas garantir leur sécurité absolue.

9. Conservation des données

• Données du compte : conservées pendant toute la durée de votre compte. Lorsque vous supprimez votre compte, vos informations personnelles sont définitivement supprimées dans un délai de 30 jours, sauf lorsque leur conservation est exigée par la loi.
• Historique de recherche : conservé afin d'appliquer les limites de recherche quotidiennes et de fournir l'historique d'activité du compte. L'historique de recherche est supprimé lorsque vous supprimez votre compte.
• Données de paiement : les enregistrements de transactions sont conservés pendant une durée maximale de sept (7) ans afin de respecter nos obligations fiscales et de reporting financier.
• Journaux du serveur : purgés automatiquement au bout de 90 jours.
• Données relatives aux appareils et à la sécurité : les enregistrements des contrôles de sécurité sont supprimés au bout de 400 jours, et l'adresse IP qu'ils contiennent au bout de 30 jours. Les profils d'appareils, ainsi que leur lien avec l'identifiant interne de votre compte, sont conservés aussi longtemps que nécessaire aux fins décrites à la section 4.1 et peuvent être conservés après la suppression de votre compte, afin de lutter contre la fraude et les abus de comptes.
• Données de l'analyse gratuite : les adresses e-mail soumises via l'analyse gratuite (sans création de compte) ne sont pas conservées une fois le résultat de l'analyse fourni.
• Données de renseignement sur les fuites : les enregistrements de fuites provenant de HEROIC sont conservés dans notre base de données dans le cadre de l'index de renseignement sur les fuites. En raison de la nature de ces données, liées à la cybersécurité, les enregistrements de fuites peuvent être conservés même après des demandes de suppression individuelles, conformément à la loi applicable et à l'intérêt légitime que représente le maintien d'une base de données complète de renseignement sur les menaces.

10. Vos droits et choix

Selon votre juridiction, vous pouvez disposer des droits suivants concernant vos informations personnelles :

• Accès : demander une copie des informations personnelles que nous détenons à votre sujet.
• Rectification : demander la rectification d'informations personnelles inexactes ou incomplètes.
• Effacement : demander la suppression de vos informations personnelles, sous réserve de certaines exceptions (voir la section 9).
• Portabilité des données : demander une copie de vos informations personnelles dans un format lisible par machine.
• Refus du marketing : vous désabonner à tout moment des communications non essentielles à l'aide du lien de désabonnement présent dans chaque e-mail marketing.
• Opposition : vous opposer à un traitement fondé sur nos intérêts légitimes, y compris la reconnaissance des appareils (section 4.1). Vous pouvez nous demander de cesser de reconnaître vos appareils à partir de leurs caractéristiques.
• Retrait du consentement : lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela n'affecte la licéité du traitement effectué auparavant.

Pour exercer l'un de ces droits, contactez-nous à l'adresse legal@leakedsource.com. Nous répondrons aux demandes vérifiées dans un délai de 30 jours (ou dans le délai prévu par la loi applicable). Nous pouvons vous demander de vérifier votre identité avant de traiter votre demande.

10.1 Suppression des données de fuites

Les enregistrements de fuites proviennent de sources tierces et existent indépendamment de votre utilisation du Service. La suppression de votre compte LeakedSource ne retire pas vos informations des bases de données de fuites externes. Si vos informations figurent dans un enregistrement de fuite et que vous souhaitez demander leur retrait de notre index de recherche, veuillez nous contacter à l'adresse legal@leakedsource.com. Veuillez noter que nous pouvons conserver des données de fuites à des fins légitimes de cybersécurité et de lutte contre la fraude, dans la mesure permise par la loi applicable.

11. Droits relatifs à la vie privée en Californie (CCPA/CPRA)

Si vous résidez en Californie, le California Consumer Privacy Act (CCPA), tel que modifié par le California Privacy Rights Act (CPRA), vous confère des droits supplémentaires concernant vos informations personnelles :

• Droit d'être informé : vous avez le droit de nous demander de vous communiquer les catégories et les éléments précis d'informations personnelles que nous avons collectés à votre sujet, les sources de ces informations, les finalités pour lesquelles elles sont utilisées et les catégories de tiers avec lesquels elles sont partagées.
• Droit à l'effacement : vous avez le droit de demander la suppression de vos informations personnelles, sous réserve de certaines exceptions légales.
• Droit de refuser la vente ou le partage : nous ne vendons pas vos informations personnelles au sens du CCPA. Nous ne partageons pas vos informations personnelles à des fins de publicité comportementale intercontextuelle.
• Droit à la non-discrimination : nous ne vous ferons subir aucune discrimination pour avoir exercé vos droits au titre du CCPA.

Pour exercer vos droits au titre du CCPA, contactez-nous à l'adresse legal@leakedsource.com ou soumettez une demande depuis les paramètres de votre compte. Nous vérifierons votre identité avant de donner suite à votre demande.

12. Transferts internationaux de données

Le Service est hébergé aux États-Unis. Si vous accédez au Service depuis l'extérieur des États-Unis, vos informations personnelles seront transférées, stockées et traitées aux États-Unis, où les lois relatives à la protection des données peuvent différer de celles de votre juridiction. En utilisant le Service, vous consentez à ces transferts. Nous prenons des mesures pour garantir que vos informations personnelles bénéficient d'un niveau de protection adéquat dans les juridictions où nous les traitons.

13. Protection de la vie privée des enfants

Le Service ne s'adresse pas aux personnes âgées de moins de 16 ans. Nous ne collectons pas sciemment d'informations personnelles auprès d'enfants de moins de 16 ans. Si nous apprenons que nous avons collecté des informations personnelles auprès d'un enfant de moins de 16 ans, nous prendrons des mesures pour les supprimer rapidement. Si vous pensez qu'un enfant de moins de 16 ans nous a fourni des informations personnelles, veuillez nous contacter à l'adresse legal@leakedsource.com.

14. Avertissement relatif au FCRA

LeakedSource n'est pas une agence d'évaluation des consommateurs (consumer reporting agency) au sens du Fair Credit Reporting Act (« FCRA »), 15 U.S.C. § 1681 et suivants. Le Service ne constitue pas un « rapport sur le consommateur » (consumer report) au sens du FCRA. Vous ne pouvez pas utiliser le Service ni aucune information obtenue par son intermédiaire comme critère pour (a) établir l'admissibilité d'une personne à un crédit, une assurance ou un emploi ; (b) la sélection de locataires ; (c) toute autre finalité autorisée par le FCRA. Toute utilisation du Service en violation de la présente disposition est strictement interdite et constitue une violation substantielle des Conditions d'utilisation.

15. IA et traitement automatisé

Nous pouvons utiliser des technologies d'intelligence artificielle, notamment Claude d'Anthropic, aux fins suivantes :

• Génération de résumés de fuites et de contenus pédagogiques.
• Analyse interne des données et amélioration du service.
• Catégorisation et classification automatisées des données de fuites.

Nous ne soumettons pas d'informations personnelles identifiables des utilisateurs à des systèmes d'IA à des fins de traitement. Toute analyse des données de fuites assistée par l'IA est effectuée sur des jeux de données agrégés ou anonymisés. Aucune décision automatisée produisant des effets juridiques ou des effets similaires significatifs n'est prise uniquement par l'IA sans examen humain.

16. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre afin de refléter l'évolution de nos pratiques, de nos technologies, des exigences légales ou d'autres facteurs. En cas de modification importante, nous vous en informerons en publiant la Politique mise à jour sur le Service et en actualisant la date de « Dernière mise à jour ». Pour les modifications importantes qui affectent de manière significative la façon dont nous traitons vos informations personnelles, nous vous adresserons une notification supplémentaire (par exemple, un e-mail ou une bannière dans l'application). La poursuite de votre utilisation du Service après la date d'entrée en vigueur d'une Politique mise à jour vaut acceptation des modifications.

17. Nous contacter

Pour toute question, préoccupation ou demande concernant la présente Politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :