1. Où vivent vos données

Cited fonctionne avec un petit nombre de fournisseurs. La liste complète, avec ce que chacun reçoit et où, se trouve dans notre liste des sous-traitants.

Application et code serveur : Vercel, dans sa région Est des États-Unis (Washington). Les pages publiques sont aussi mises en cache sur le réseau mondial de Vercel.
Base de données et connexion : Supabase, aux États-Unis. Votre compte, vos entreprises, analyses, rapports et correctifs y sont conservés.
Paiements : Stripe. Les données de carte vont directement à Stripe; nous ne voyons ni ne conservons jamais un numéro de carte complet.
Courriel : Resend, aux États-Unis, pour les rapports, les liens de connexion et les courriels que vous avez acceptés.
Clavardage d'assistance : Crisp, dans l'Union européenne, seulement si vous l'utilisez.
Sauvegardes : une copie chiffrée de la base de données chaque nuit, conservée environ 35 jours.

La plupart de ces données sont hors du Canada. Elles y sont protégées par contrat et peuvent être consultées par les tribunaux et les autorités de ce pays, selon ses lois.

2. Ce que nous lisons

Votre site Web public, et rien d'autre. Une analyse lit votre page d'accueil, votre fichier robots.txt et jusqu'à 5 autres pages publiques du même site qui ressemblent à des pages de services, de secteurs, « à propos » ou de prix. Elle n'envoie aucun témoin, ne se connecte jamais et ne remplit jamais de formulaire.
Elle s'identifie. Les requêtes portent l'agent utilisateur CitedBot/1.0 (+https://cited.aaronmorais.com/methodology), respectent votre robots.txt et s'arrêtent si vous le bloquez. Les adresses de réseaux privés ou internes sont refusées.
Les réponses de l'IA sur votre marché. Nous posons à ChatGPT Search, Gemini et Google AI Overviews les questions de votre rapport, par l'entremise de notre fournisseur de données de recherche. Les questions contiennent le nom, la catégorie et le marché de votre entreprise, jamais votre adresse courriel.
Les fiches d'entreprise publiques qui apparaissent dans ces réponses ou dans les résultats de recherche, les mêmes pages que tout le monde peut ouvrir.

3. Ce que nous ne faisons jamais

Nous ne vous demandons jamais vos mots de passe. Ni pour votre site, ni pour votre fiche Google Business Profile, ni pour quoi que ce soit. Si quelqu'un qui se dit de chez nous le demande, ce n'est pas nous.
Nous ne publions jamais rien à votre place. Les correctifs sont des textes prêts à copier. Vous, ou votre webmestre, décidez de ce qui est mis en ligne. Cited n'a aucun accès à votre site, à vos fiches ni à vos réseaux sociaux.
Nous ne vendons jamais vos données et ne les utilisons pas pour cibler des publicités. Les statistiques et la mesure publicitaire restent désactivées tant que vous ne les autorisez pas.
Nous ne mettons jamais votre rapport dans les moteurs de recherche. Les liens de rapport sont longs et aléatoires, et marqués pour ne pas être indexés. Toute personne à qui vous transmettez un lien peut voir ce rapport : partagez-le avec soin.

4. Durée de conservation et suppression

Nous conservons votre compte et vos rapports tant que votre compte est ouvert. Les rapports gratuits sont supprimés 24 mois après la dernière analyse ou visite, et les comptes fermés après 24 mois sans connexion. Une fois connecté, les Paramètres vous permettent de télécharger une copie de vos données dans un format structuré ou de supprimer vous-même votre compte et vos rapports, immédiatement. Les sauvegardes expirent environ 35 jours plus tard. Les dossiers de facturation sont conservés selon les lois fiscales, sans votre nom ni votre courriel. Toutes les durées figurent dans notre politique de confidentialité.

5. Chiffrement

Chaque page et chaque appel d'API utilisent HTTPS, et les navigateurs sont avisés de ne rien accepter d'autre (HSTS).
Notre fournisseur de base de données chiffre les données stockées.
Les sauvegardes de nuit sont chiffrées avant d'être stockées, et la clé pour les lire est conservée à part.
Les clés d'API et les secrets sont dans les paramètres chiffrés de notre hébergeur, jamais dans notre code. Nos vérifications automatiques s'assurent qu'aucun n'atteint le navigateur.
La signature des avis de paiement de Stripe est vérifiée avant que nous y donnions suite.

6. Qui peut voir vos données

Vous : chaque table est protégée par une sécurité au niveau des lignes, donc un client connecté ne peut lire que ses propres entreprises et rapports.
Nous : Cited, ce sont deux fondateurs. Eux seuls ont accès aux systèmes de production. Les outils d'administration ne s'ouvrent que pour l'adresse courriel confirmée du propriétaire, vérifiée par le serveur à chaque requête.
Nos fournisseurs : chacun reçoit seulement ce dont il a besoin (voir la liste des sous-traitants), selon son propre contrat.

7. Disponibilité et incidents

Notre page d'état affiche en direct l'état des analyses, des moteurs d'IA, du tableau de bord et de la facturation, et les incidents des 30 derniers jours. Des vérifications automatiques ont lieu toutes les 15 minutes, un test complet d'inscription et de rapport roule en production toutes les 12 heures et après chaque mise en ligne, et nous restaurons chaque semaine une sauvegarde dans une base de test pour prouver qu'elle fonctionne.

Si des renseignements personnels sont un jour perdus, consultés ou communiqués sans autorisation, nous l'inscrivons à notre registre des incidents de confidentialité, évaluons le risque et le limitons. S'il existe un risque de préjudice sérieux, nous avisons les personnes concernées et le Commissariat à la protection de la vie privée du Canada et, pour les résidents du Québec, la Commission d'accès à l'information, comme la loi l'exige.

8. Signaler une vulnérabilité

Vous avez trouvé un problème de sécurité? Écrivez à morais.aaron@gmail.com avec « Sécurité » dans l'objet, en indiquant les étapes pour le reproduire. Nous répondons dans un délai de deux jours ouvrables et vous tenons au courant jusqu'à la correction. Notre fichier security.txt contient les mêmes renseignements.

Veuillez tester seulement avec votre propre compte et vos propres données, ne jamais lire ni modifier ceux d'autrui, et ne pas lancer de tests de charge ni de balayages automatisés qui déclenchent de vraies analyses : chacune nous coûte de l'argent. Nous n'avons pas encore de programme de primes, mais nous vous remercierons publiquement si vous le souhaitez.

9. Ce que nous n'avons pas (encore)

Nous sommes une petite entreprise. Nous n'avons aucune certification SOC 2, ISO 27001 ni autre certification de sécurité, et aucun test d'intrusion par un tiers pour l'instant. Plusieurs de nos fournisseurs détiennent leurs propres certifications; leurs pages sont liées depuis la liste des sous-traitants. Si votre entreprise doit faire remplir un questionnaire de sécurité, écrivez-nous et nous y répondrons honnêtement.