Politique de confidentialité

Au Québec, la présente version française prévaut. Ailleurs, en cas de divergence, la version anglaise prévaut, sauf si la loi applicable en dispose autrement. Lire en anglais

1. Introduction

Cybervision Systems LLC (« nous », « notre » ou « nos ») respecte votre vie privée et s'engage à protéger vos renseignements personnels. La présente Politique de confidentialité explique comment nous recueillons, utilisons, communiquons et protégeons vos renseignements lorsque vous utilisez nos produits ainsi que les sites Web, panneaux Web, extensions de navigateur et applications mobiles connexes (collectivement, les « Services ») :

CyberVault — gestionnaire de mots de passe : panneau Web, extensions de navigateur pour Google Chrome, Microsoft Edge et Apple Safari, et applications pour iOS et Android, en éditions personnelle et entreprise
Tremor (Tremor by CyberVision) — plateforme d'exercices de prise de décision sous pression (exercices de simulation sur table), comme les crises cybernétiques : portail Web et application du participant pour iOS et Android
CyberKey — gestion des accès privilégiés : panneau Web, extension Chrome et composants installés dans l'environnement du client

Lorsque vous utilisez les Services par l'intermédiaire d'une organisation (par exemple, votre employeur), cette organisation est le responsable du traitement : elle décide de la manière dont les Services sont utilisés et est responsable des renseignements personnels qu'elle gère au moyen de ceux-ci, notamment du fait de disposer d'un fondement juridique pour vous y inclure et de vous en informer. Nous agissons à titre de sous-traitant (fournisseur de services) de cette organisation et traitons ces renseignements pour son compte et selon ses instructions. Pour l'édition personnelle de CyberVault et nos sites Web, nous sommes le responsable du traitement décrit aux présentes.

Nom de l'entreprise : Cybervision Systems LLC
Adresse : 2122 NW 158th Ln, Pembroke Pines, Florida 33028, États-Unis
Courriel : [email protected]
Téléphone : +1 (754) 337-5155
Responsable de la protection des renseignements personnels : voir la section 14

2. Renseignements que nous recueillons

2.1 Renseignements que vous fournissez

Renseignements de compte (nom, adresse courriel)
Renseignements de profil et d'organisation (rôle, groupes, équipe)
Renseignements de facturation pour les forfaits payants
Communications avec le soutien à la clientèle
Contenu que vous créez dans les Services, comme les éléments du coffre-fort (voir la section 10.1), ainsi que vos réponses, vos décisions et vos messages dans la salle de crise lors des exercices Tremor

2.2 Renseignements recueillis automatiquement

Renseignements sur l'appareil (modèle, système d'exploitation, identifiants uniques)
Données d'utilisation (fonctionnalités utilisées, interactions)
Données de journal (adresse IP, type de navigateur, heures d'accès)
Rapports d'erreurs techniques générés par la plateforme (à des fins de diagnostic et de soutien)
Témoins (cookies) et stockage local du navigateur strictement nécessaires pour maintenir votre session ouverte et mémoriser vos préférences, comme la langue. Les panneaux Web et le portail Tremor stockent votre session et votre langue dans votre navigateur. Nous n'utilisons pas de témoins publicitaires ni de témoins de suivi intersites.

2.3 Données des extensions de navigateur

Version et paramètres du navigateur
Données d'interaction avec l'extension
L'adresse de la page sur laquelle vous vous trouvez, utilisée pour suggérer et remplir les identifiants correspondants

2.4 Données des applications mobiles

Identifiants d'appareil mobile et jetons de notification poussée
Caméra (CyberVault) : utilisée exclusivement pour lire les codes QR d'authentification à deux facteurs (2FA) lorsque vous ajoutez une entrée d'authentificateur. Nous n'accédons pas à votre photothèque, et les images de la caméra sont traitées sur l'appareil et ne sont jamais téléversées ni stockées.
Biométrie (CyberVault et Tremor) : le déverrouillage facultatif par Face ID, Touch ID ou empreinte digitale est géré par le système d'exploitation de votre appareil. Nous ne recevons jamais vos données biométriques.
Microphone (Tremor) : utilisé uniquement pendant les appels d'exercice (voir la section 2.6).

Nos applications mobiles n'affichent pas de publicités, ne vous suivent pas dans les applications ou les sites Web appartenant à d'autres entreprises et ne vendent pas vos données. Les données sont chiffrées en transit.

2.5 Localisation (édition entreprise de CyberVault)

Nous ne suivons pas votre localisation. Si votre organisation restreint certains éléments du coffre-fort à des emplacements approuvés, votre navigateur ou votre appareil vous demande votre localisation au moment où vous ouvrez l'un de ces éléments; elle sert uniquement à vérifier que vous vous trouvez dans la zone approuvée. En outre, le journal d'audit de sécurité enregistre l'adresse IP et la localisation approximative (pays et ville) qui en est déduite pour les événements de connexion et de consultation d'éléments.

2.6 Exercices, appels et IA de Tremor

Lors d'un exercice Tremor, nous traitons les données suivantes pour le compte de votre organisation :

Votre nom, votre adresse courriel, votre équipe, votre niveau de commandement et vos rôles dans la crise (par exemple, stratégique ou juridique)
Vos réponses, vos décisions et vos messages dans la salle de crise, ainsi que votre activité dans l'exercice (par exemple, ce que vous avez lu et le moment où vous avez répondu)
Les transcriptions des appels
Les notes de l'animateur
Les notes attribuées et les évaluations de vos réponses

Les appels d'exercice sont des conversations vocales avec des personnages générés par l'intelligence artificielle. Pendant un appel, l'audio transite par notre propre serveur vocal et par notre fournisseur de transcription afin d'être converti en texte; l'audio n'est ni enregistré ni stocké. Seule la transcription textuelle est conservée. Les répliques du personnage sont générées par l'IA et prononcées au moyen d'une voix synthétique choisie dans un catalogue; nous ne clonons pas la voix de personnes réelles. Ces renseignements sont mis à la disposition de votre organisation et de l'animateur de l'exercice. L'IA est également utilisée pour créer des scénarios, évaluer les réponses et rédiger des rapports (voir la section 3.1).

Votre organisation peut choisir d'envoyer le journal d'audit de Tremor vers son propre système de surveillance de la sécurité (SIEM). Ce choix et cette copie relèvent du contrôle de votre organisation.

2.7 Sessions CyberKey

CyberKey fonctionne dans un déploiement dédié pour chaque client, sur site ou dans le nuage, avec sa propre base de données. Il enregistre les sessions privilégiées (activité à l'écran, commandes et événements connexes), les détails de connexion et les événements d'audit. Ces enregistrements et journaux sont stockés dans le déploiement du client, sur disque ou dans un compartiment de stockage choisi par le client, et sont conservés selon les paramètres du client.

3. Utilisation de vos renseignements

Fournir et maintenir nos Services
Traiter les transactions et envoyer les renseignements connexes
Envoyer des renseignements administratifs, des mises à jour et des alertes de sécurité
Répondre aux demandes de service à la clientèle
Améliorer les Services
Surveiller et analyser l'utilisation et les tendances
Détecter, prévenir et traiter les problèmes techniques, la fraude et les accès non autorisés
Respecter les obligations légales

Nous n'utilisons pas vos données à des fins publicitaires, et nous n'utilisons pas le contenu des éléments de votre coffre-fort, de vos réponses aux exercices ni des enregistrements de sessions pour entraîner des modèles d'IA.

3.1 Évaluation par l'IA et décisions automatisées (Tremor)

Tremor utilise l'IA pour suggérer des notes et des évaluations des réponses aux exercices et pour rédiger des rapports. Ces résultats constituent une rétroaction de formation : ils sont examinés par une personne (l'animateur ou votre organisation) et ne produisent pas, à eux seuls, d'effets juridiques ni d'effets d'importance similaire à votre égard. Vous pouvez demander la révision par une personne de toute note ou évaluation et présenter votre point de vue, comme le prévoient des lois telles que la LGPD (art. 20) et le RGPD (art. 22). Adressez votre demande à votre organisation ou à [email protected].

4. Fondement juridique du traitement

Lorsque des lois sur la protection des données comme le RGPD (GDPR) dans l'Espace économique européen (EEE) ou la LGPD au Brésil s'appliquent, nous traitons les renseignements personnels sur la base des fondements suivants :

Consentement : vous avez donné un consentement clair au traitement
Contrat : le traitement est nécessaire à l'exécution du contrat
Obligation légale : le traitement est exigé par la loi
Intérêts légitimes : le traitement répond à nos intérêts commerciaux légitimes, comme assurer la sécurité des Services

Lorsque nous agissons à titre de sous-traitant pour une organisation, le fondement juridique est déterminé par cette organisation.

5. Partage et communication des données

5.1 Fournisseurs de services — Fournisseurs tiers qui exécutent des services pour notre compte, en vertu d'un contrat et uniquement à cette fin. La liste à jour figure à la section 11. En particulier :

Fournisseurs d'IA utilisés par Tremor : OpenAI effectue la transcription de la parole en texte et fournit la voix synthétique; Anthropic ou OpenAI, selon la configuration de la plateforme, génère la conversation du personnage, les scénarios, l'évaluation et les rapports. Avant la génération d'un rapport par l'IA, les participants sont pseudonymisés (par exemple, « Équipe 1 » ou « Juridique 2 ») et leurs noms sont retirés. Nos ententes avec ces fournisseurs ne leur permettent pas d'utiliser ces données pour entraîner leurs modèles.
Have I Been Pwned, utilisé par les vérifications de fuites de CyberVault : pour les mots de passe, seuls les premiers caractères d'un hachage du mot de passe sont transmis (k-anonymat), jamais le mot de passe lui-même; pour la vérification de fuites d'adresses courriel, l'adresse courriel que vous choisissez de vérifier est transmise.

5.2 Votre organisation — Si vous utilisez les Services par l'intermédiaire d'une organisation, ses administrateurs peuvent voir des renseignements sur votre utilisation, tels que décrits aux sections 2 et 10, comme les journaux d'audit, les réponses aux exercices et les enregistrements de sessions.

5.3 Transferts d'entreprise — Dans le cadre de fusions, d'acquisitions ou de ventes d'actifs

5.4 Exigences légales — Lorsque la loi l'exige ou pour protéger nos droits, nos biens ou notre sécurité

5.5 Avec votre consentement — Lorsque vous avez donné une autorisation explicite

Nous NE vendons PAS vos renseignements personnels à des tiers.

6. Transferts internationaux de données

Cybervision Systems LLC est établie aux États-Unis. Les données de Tremor sont stockées dans la région d'hébergement du pays du client; une même région peut desservir plusieurs pays d'Amérique latine lorsque le client y consent. Lorsque les fonctionnalités d'IA sont utilisées, les données nécessaires à celles-ci sont transmises à nos fournisseurs d'IA (Anthropic et OpenAI) aux États-Unis, ce qui constitue un transfert international. Certains autres fournisseurs énumérés à la section 11 peuvent également traiter des données à l'extérieur de votre pays.

Nous effectuons ces transferts au moyen des mécanismes exigés par chaque loi applicable, notamment :

Brésil (LGPD, art. 33) : les clauses contractuelles types approuvées par l'ANPD
Espace économique européen (RGPD) : les clauses contractuelles types de la Commission européenne
Canada : en vertu de la LPRPDE (PIPEDA), des protections contractuelles offrant un niveau de protection comparable; en vertu de la Loi 25 du Québec, une évaluation des facteurs relatifs à la vie privée (EFVP) avant que les renseignements ne soient communiqués à l'extérieur du Québec
Argentine, Colombie, Pérou, Chili et Mexique : des contrats avec les destinataires prévoyant les garanties exigées par la loi de chaque pays et, lorsque requis, l'avis ou le consentement correspondant

Vous pouvez demander plus de renseignements sur ces garanties à [email protected].

7. Conservation des données

Nous conservons vos renseignements personnels uniquement aussi longtemps que nécessaire aux fins décrites dans la présente Politique de confidentialité, à moins qu'une période de conservation plus longue ne soit exigée par la loi.

Comptes : les données de compte sont conservées tant que votre compte est actif.
Journaux de sécurité CyberVault : les événements de connexion sont conservés pendant 6 mois.
Exercices Tremor : le contenu des exercices, les réponses individuelles, les transcriptions des appels, les notes de l'animateur, les notes attribuées et le journal d'audit sont conservés par défaut pendant 24 mois après la fin de l'exercice, ou pendant la période fixée par votre organisation (de 1 à 120 mois). Par la suite, seul un rapport sans noms est conservé.
Audio des appels Tremor : n'est ni enregistré ni stocké.
Jetons de notification poussée : supprimés lorsque vous vous déconnectez de l'application ou supprimez votre compte.
Fin d'un contrat client : lorsqu'une organisation annule son contrat, ses données sont supprimées dans un délai de 30 jours. Pendant cette période, l'organisation peut exporter ses données ou retirer l'annulation.
CyberKey : les enregistrements et les journaux sont conservés selon les paramètres du client dans son propre déploiement.

8. Vos droits en matière de vie privée

Selon l'endroit où vous vous trouvez, vous pourriez disposer des droits suivants. Pour les exercer, communiquez avec nous à [email protected]. Si vous utilisez les Services par l'intermédiaire d'une organisation, nous pourrions transmettre votre demande à cette organisation, qui est le responsable du traitement, et l'aider à y répondre.

8.1 Droits généraux

Accès : demander des copies de vos renseignements personnels
Rectification : demander la rectification de données inexactes
Suppression : demander la suppression de vos données
Portabilité des données : recevoir vos données dans un format structuré
Opposition : vous opposer au traitement de vos données
Limitation : demander la limitation du traitement
Révision par une personne des décisions fondées exclusivement sur un traitement automatisé (voir la section 3.1)

8.2 États-Unis

Résidents de la Californie (CCPA/CPRA) : droit de savoir quels renseignements personnels sont recueillis, droit de savoir si des renseignements personnels sont vendus ou partagés, droit de refuser la vente ou le partage et droit à la non-discrimination. Nous ne vendons ni ne partageons de renseignements personnels à des fins de publicité comportementale intercontextuelle.
Les résidents d'autres États dotés de lois complètes sur la protection de la vie privée peuvent disposer de droits semblables d'accéder à leurs données, de les rectifier, de les supprimer et d'en obtenir une copie, ainsi que de faire appel de notre décision concernant une demande. Communiquez avec nous pour les exercer.

8.3 Espace économique européen (RGPD)

Droit d'introduire une plainte auprès d'une autorité de contrôle
Droit de retirer votre consentement à tout moment

8.4 Brésil (LGPD)

Droit à la confirmation du traitement, à l'accès, à la rectification, à l'anonymisation, à la portabilité et à la suppression
Droit d'être informé des entités avec lesquelles les données sont partagées
Droit à la révision des décisions automatisées (art. 20)
Droit d'introduire une plainte auprès de l'Autorité nationale de protection des données (ANPD)

8.5 Canada (LPRPDE et Loi 25 du Québec)

Droit d'accéder à vos renseignements personnels et de les faire rectifier, ainsi que de retirer votre consentement, sous réserve de restrictions légales ou contractuelles
Droit de déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP)
Au Québec : droits d'accès, de rectification, de désindexation et de portabilité, droit d'être informé d'une « décision fondée exclusivement sur un traitement automatisé » et droit de déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI)

8.6 Mexique (LFPDPPP)

Droits ARCO : accès, rectification, annulation et opposition, ainsi que le droit de révoquer le consentement et de limiter l'utilisation ou la communication
Droit de déposer une plainte auprès de l'autorité compétente en matière de protection des données

8.7 Colombie (Loi 1581 de 2012)

Droits d'habeas data : connaître, mettre à jour et rectifier vos données et en demander la suppression, demander la preuve de l'autorisation et révoquer l'autorisation
Droit de déposer une plainte auprès de la Surintendance de l'industrie et du commerce (SIC)

8.8 Chili (Loi 19.628 et Loi 21.719)

Droits d'accès, de rectification, de suppression et d'opposition et, à compter du 1er décembre 2026 en vertu de la Loi 21.719, droits à la portabilité et au blocage
À compter de cette date, droit de déposer une plainte auprès de l'Agencia de Protección de Datos Personales

8.9 Argentine (Loi 25.326)

Droits d'accès, de rectification, de mise à jour et de suppression
La personne concernée a le droit d'accéder gratuitement à ses données personnelles à des intervalles d'au moins six mois, sauf si un intérêt légitime est démontré à cet effet, conformément à l'article 14, paragraphe 3, de la Loi n° 25.326.
L'Agence d'accès à l'information publique (AAIP), en sa qualité d'organe de contrôle de la Loi n° 25.326, a le pouvoir de recevoir les plaintes et réclamations formulées par les personnes dont les droits sont lésés par le non-respect des règles en vigueur en matière de protection des données personnelles.

8.10 Pérou (Loi 29733)

Droits ARCO : accès, rectification, annulation et opposition, en vertu de la Loi 29733 et de son règlement (Décret suprême 016-2024-JUS)
Droit de déposer une plainte auprès de l'Autorité nationale de protection des données personnelles (ANPD) du Pérou

9. Suppression de votre compte

Vous pouvez supprimer votre compte à tout moment, sans passer par l'application si vous le préférez :

Tremor : dans l'application, allez à Profil → Supprimer le compte; dans le portail Web, allez à Mon compte → Supprimer le compte.
CyberVault : dans le panneau Web, allez à Mon profil → Supprimer le compte et confirmez avec votre mot de passe principal. Les extensions de navigateur et les applications renvoient à cette page.
CyberKey : les comptes sont gérés par votre organisation; communiquez avec son administrateur.
Par courriel (tous les produits) : écrivez à [email protected] à partir de l'adresse courriel enregistrée dans votre compte, avec l'objet « Account Deletion Request ». Nous vous confirmerons par courriel une fois la suppression effectuée.

La suppression au moyen du panneau Web, du portail ou de l'application est immédiate et ne peut pas être annulée. Si vous êtes le seul administrateur ou le propriétaire d'une organisation qui compte encore d'autres membres, vous devez d'abord transférer ce rôle.

9.1 Ce qui est supprimé

Tremor : dans chaque organisation où vous avez confirmé la même adresse courriel, votre nom, votre adresse courriel, votre mot de passe, votre second facteur, vos jetons de notification poussée et les textes que vous avez rédigés (réponses et messages dans la salle de crise).
CyberVault : les éléments de votre coffre-fort personnel et leur historique, vos adhésions aux organisations et aux groupes, les invitations en attente, les sessions et les jetons de récupération. L'enregistrement de votre compte est anonymisé : votre nom, votre adresse courriel, vos clés, vos paramètres d'authentification à deux facteurs et votre clé de récupération sont supprimés.

9.2 Ce qui est conservé

Tremor : les notes attribuées, les choix et les registres d'audit sont conservés sans votre nom, dans le cadre des dossiers d'exercices de votre organisation, jusqu'à la fin de la période de conservation prévue à la section 7.
CyberVault : les éléments appartenant à une organisation demeurent auprès de cette organisation. Les entrées du journal d'audit de sécurité relatives aux connexions sont conservées pendant 6 mois, puis purgées. Ces métadonnées n'incluent jamais le contenu déchiffré des éléments de votre coffre-fort, auquel nous n'avons aucune capacité technique d'accéder.

10. Sécurité des données

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles appropriées pour protéger vos données, notamment :

Chiffrement des données en transit et au repos
Évaluations de sécurité régulières
Contrôles d'accès et authentification, y compris l'authentification multifacteur
Journaux d'audit des événements pertinents pour la sécurité
Accès du soutien au contenu des exercices Tremor uniquement avec l'autorisation de l'administrateur de votre organisation, pour une durée limitée, et consigné dans le journal d'audit

Toutefois, aucune méthode de transmission sur Internet n'est sécurisée à 100 %.

10.1 CyberVault — Chiffrement de bout en bout à divulgation nulle de connaissance

Le gestionnaire de mots de passe CyberVault repose sur une architecture à divulgation nulle de connaissance (zero-knowledge). Les mots de passe et les secrets d'authentification à deux facteurs stockés dans votre coffre-fort sont chiffrés et déchiffrés exclusivement sur votre propre appareil, au moyen d'AES-256-GCM avec une clé unique pour chaque élément, protégée par une clé dérivée de votre mot de passe principal. Votre mot de passe principal ne quitte jamais votre appareil et n'est jamais transmis à nos serveurs ni stocké sur ceux-ci. Nous ne stockons que le texte chiffré résultant et n'avons aucune capacité technique de lire ou de déchiffrer vos mots de passe ou vos secrets 2FA.

Afin de permettre la recherche, le remplissage automatique et les vérifications de fuites, le nom de chaque élément, l'adresse du site Web et le nom d'utilisateur sont stockés sur nos serveurs sans chiffrement de bout en bout. Ils sont protégés par le chiffrement en transit et au repos ainsi que par nos contrôles d'accès, mais ils ne font pas partie du chiffrement à divulgation nulle de connaissance décrit ci-dessus.

Lors de la création de votre compte, une clé de récupération est générée. C'est le seul moyen de récupérer l'accès si vous oubliez votre mot de passe principal. Si vous perdez à la fois votre mot de passe principal et votre clé de récupération, les éléments chiffrés de votre coffre-fort ne pourront être récupérés ni par vous ni par nous.

10.2 Journalisation d'audit (CyberVault)

Pour vous aider, ainsi que les administrateurs de votre organisation, à détecter les accès non autorisés, CyberVault tient un journal d'audit de sécurité des événements de connexion et des événements de consultation d'éléments (une trace indiquant qu'un élément a été consulté, identifiée par l'identifiant de l'élément, l'horodatage, l'adresse IP, la localisation approximative et le type d'appareil, et non par son contenu déchiffré). Ces métadonnées sont conservées à des fins de sécurité et de conformité et ne sont jamais utilisées pour reconstituer le contenu chiffré des éléments de votre coffre-fort.

11. Sous-traitants

Voici les fournisseurs qui traitent des renseignements personnels pour notre compte. Nous mettons cette liste à jour chaque fois qu'elle change.

Hébergement : nos propres serveurs, dans la région d'hébergement du pays du client (Tremor), et des fournisseurs d'infrastructure pour les autres Services
Envoi de courriels : Microsoft 365 (Microsoft Corporation)
Notifications poussées : Google Firebase Cloud Messaging (Google LLC) et Apple Push Notification service (Apple Inc.)
Intelligence artificielle (Tremor) : Anthropic, PBC et OpenAI, L.L.C., États-Unis (voir la section 5.1)
Traitement des paiements : processeurs de paiement pour les forfaits payants souscrits directement auprès de nous

12. Protection de la vie privée des enfants

Nos Services sont destinés aux adultes et aux entreprises et ne s'adressent à aucune personne de moins de 18 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès d'enfants. Si vous croyez que nous avons recueilli des renseignements auprès d'un enfant, veuillez communiquer avec nous immédiatement.

13. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité. Lorsque nous apportons des modifications importantes, nous mettons à jour la date figurant en haut de la page et vous en avisons par l'intermédiaire des Services ou par courriel. La date figurant en haut de la page est la date d'entrée en vigueur de la version actuelle.

14 octobre 2026 : description de Tremor, données et conservation de Tremor, transferts internationaux, fournisseurs d'IA nommés, sous-traitants, décisions automatisées, droits par pays, responsable de la protection des renseignements personnels et section publique sur la suppression du compte.
20 janvier 2026 : première version.

14. Responsable de la protection des renseignements personnels

Notre responsable de la protection des données (Data Protection Officer) est également notre Encarregado au sens de la LGPD du Brésil et la personne responsable de la protection des renseignements personnels au sens de la Loi 25 du Québec. Vous pouvez joindre cette personne à [email protected].

15. Nous joindre

Pour toute question ou préoccupation, ou pour exercer vos droits en matière de vie privée, communiquez avec nous :
Cybervision Systems LLC
2122 NW 158th Ln
Pembroke Pines, Florida 33028
États-Unis
Courriel : [email protected]
Téléphone : +1 (754) 337-5155