Politique de confidentialité
Qui est responsable
Pour les données de votre compte (e-mail, connexion), le responsable de traitement est l'éditeur de BotArmor AI, Andrii Sydorenko EI (Rhone IA, SIREN 131 881 484 ; voir les mentions légales), joignable à contact@botarmor.eu.
Pour les données contenues dans vos audits (instructions de votre agent, conversations de test), vous êtes responsable de traitement et BotArmor agit comme sous-traitant, pour votre compte et selon vos instructions (configuration de l'audit).
Ce que nous traitons, pourquoi, combien de temps
| Données | Finalité et base légale | Durée |
|---|---|---|
| Adresse e-mail | Connexion par lien envoyé par e-mail, contact sur le service — exécution du contrat | Tant que le compte existe |
| Agents enregistrés : nom, adresse du webhook, clé d'API de l'agent (chiffrée AES-256-GCM) | Envoyer les messages de test à votre agent — exécution du contrat | Jusqu'à suppression de l'agent ou du compte |
| Instructions (prompt) et base de connaissances de l'agent | Juger les réponses de l'agent pendant l'audit | Non conservées : seule une empreinte SHA-256 figure dans le rapport. Exception, à votre demande : si vous activez le re-test hebdomadaire d'un agent, elles sont conservées chiffrées (AES-256-GCM) pour ces re-tests, puis supprimées dès que vous l'arrêtez ou supprimez l'agent |
| Conversations de test (messages de nos inspecteurs et réponses de votre agent) | Évaluer l'agent et produire le rapport | 90 jours, puis caviardage automatique (le journal ne garde que des empreintes) |
| Rapport signé (note, niveaux, correctifs, manifeste) | Service rendu et vérification publique sur /verify | Tant que le compte existe |
| Confirmation d'autorisation (texte, date, adresse IP) | Preuve que vous avez confirmé votre droit de tester l'agent — intérêt légitime et obligation de sécurité | Avec l'audit |
| Crédits d'audit (mouvements) | Gestion des audits offerts et achetés | Tant que le compte existe |
Clés d'API BotArmor (ba_live_…) | Accès au service par API et par nos intégrations — exécution du contrat | Empreinte SHA-256 uniquement, jusqu'à révocation |
| Jetons d'accès des assistants IA connectés à notre serveur MCP distant (ChatGPT, claude.ai…) | Permettre à l'assistant que vous avez connecté d'agir sur votre compte — exécution du contrat | Chiffrés et non stockés par nous ; valables 30 jours (renouvelables jusqu'à 180 jours) ; la révocation de votre clé coupe l'accès |
| Données de facturation (à l'ouverture du paiement en ligne) : raison sociale, adresse, SIREN ou TVA, factures | Facturation — obligation légale | 10 ans (pièces comptables) |
| Sauvegardes de la base de données | Restaurer le service en cas d'incident — intérêt légitime et obligation de sécurité | Chiffrées, 30 jours glissants |
| Formulaire après le test express : adresse e-mail, choix de consentement, résultat du test (niveau, note, gravité — jamais le prompt), source de la visite | Créer votre espace client et vous écrire au sujet du service — mesures précontractuelles. Conseils et nouveautés uniquement si vous cochez la case — consentement, retirable à tout moment | 3 ans après le dernier contact |
| Mesure d'audience interne : page vue et source de la visite (ex. « linkedin »), sans cookie, sans adresse IP ni identifiant | Statistiques de fréquentation du site — intérêt légitime | 25 mois |
| Adresse IP sur le test express du site | Limiter les abus (nombre de tests par heure) | En mémoire, 1 heure, jamais enregistrée |
Nous ne vendons aucune donnée, ne faisons pas de publicité ciblée et n'utilisons aucun cookie de suivi ni outil d'analyse tiers ; les visites sont comptées par nous-mêmes, sans rien enregistrer dans votre navigateur. L'espace client garde votre session de connexion dans le stockage de votre navigateur : c'est strictement nécessaire au service.
Destinataires et sous-traitants
Nos prestataires (fournisseur des modèles d'IA, base de données, hébergement, site, paiement, horodatage) et ce que chacun reçoit sont listés sur la page sous-traitants. Pour les données de vos audits, notre rôle de sous-traitant est décrit dans l'accord de traitement des données. Lorsque vous testez un agent hébergé chez Voiceflow, Make, n8n ou ailleurs, ou connectez un assistant IA par notre serveur MCP, les données transitent par votre propre compte chez ces services.
Les transferts hors de l'Union européenne sont encadrés par les garanties prévues au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne).
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Écrivez à contact@botarmor.eu. Le journal d'audit étant à écriture seule (preuve d'intégrité), l'effacement d'une conversation prend la forme d'un caviardage : le texte disparaît, seules des empreintes non réversibles restent. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
Sécurité
Chiffrement en transit (TLS), clés d'API des agents chiffrées au repos, isolation des comptes, journal signé (Ed25519) à chaîne de hachage, liste blanche des destinations sortantes. Les tests se limitent à la conversation avec votre agent.
Privacy policy
Controller / processor. For your account data (email, sign-in) the controller is the publisher of BotArmor AI (see the legal notice), contact@botarmor.eu. For the content of your audits (your agent's instructions, test conversations) you are the controller and BotArmor processes it on your behalf.
What we keep. Email: while the account exists. Registered agents: name, webhook URL, the agent's API key encrypted with AES-256-GCM. Your agent's prompt and knowledge base are not stored, only a SHA-256 hash, unless you turn on an agent's weekly retest: they are then kept encrypted (AES-256-GCM) for those retests and deleted as soon as you stop it or delete the agent. Test conversations: 90 days, then automatically redacted (the log keeps only hashes). Signed report: while the account exists. Authorization confirmation (wording, date, IP address): with the audit. The IP address of the website's quick test is held in memory for one hour to limit abuse and never stored. The form after the quick test (email, consent choices, the test's level, score and severity — never the prompt — and the visit's source) is used to open your client area and write to you about the service; tips and news only if you tick that box (consent, withdrawable at any time); kept 3 years after the last contact. Visits are counted in-house (page and source, no cookie, no IP address, no identifier) for 25 months.
No data sale, no targeted advertising, no tracking cookies or third-party analytics. The client area keeps your sign-in session in your browser's storage, which is strictly necessary.
API keys, AI assistants, billing, backups. BotArmor API keys are stored as a SHA-256 hash only. Tokens of AI assistants connected to our remote MCP server are encrypted and not stored by us, valid 30 days (renewable up to 180 days); revoking your key cuts access. Billing data (once online payment opens) is kept 10 years as accounting records. Encrypted database backups are kept 30 days.
Sub-processors. Our providers and what each receives are listed on the sub-processor page; our processor role for audit data is set out in the DPA. Transfers outside the EU rely on the safeguards of GDPR chapter V (adequacy decision or EU standard contractual clauses).
Your rights. Access, rectification, erasure, restriction, objection, portability: write to contact@botarmor.eu. Because the audit log is append-only for integrity, erasing a conversation means redacting it. You may complain to the CNIL (cnil.fr) or your local data-protection authority.