Politique de confidentialité
Dernière mise à jour : October 22, 2026
Responsable du traitement
Nodlinks, À compléter (ex. SRL), Avenue Jean XXIII 18, 1330 Rixensart, Belgique, BCE 1015.507.846. Pour toute question relative à vos données : privacy@undercrisis.com.
Données traitées
Comptes : nom, adresse e-mail, rôle, organisation, langue, jetons de connexion.
Exercices : messages, décisions, réponses, horodatages et rôles des participants, tels qu’ils les produisent pendant une session ; rapports et plans de remédiation qui en découlent.
Description de l’organisation par le coordinateur : systèmes, contexte, personnes extérieures nommées. Nous recommandons d’y décrire l’organisation sans données personnelles inutiles.
Journaux techniques : adresses IP, événements de connexion et d’accès, conservés à des fins de sécurité.
Demandes de démonstration et de partenariat
Le formulaire de demande de démo, que la page « Devenir partenaire » ouvre aussi, recueille un nom, une adresse e-mail, une organisation et un message ; pour une demande de partenariat, vous pouvez y indiquer les clients que vous accompagnez. Ces données servent uniquement à organiser la démonstration ou à répondre à votre demande de partenariat (mesures précontractuelles) et sont conservées jusqu’à ce que vous demandiez leur effacement. La demande parvient à notre équipe par e-mail et est enregistrée dans la base de la plateforme ; aucun e-mail d’accusé de réception ne vous est renvoyé.
Finalités et bases légales
Fournir la plateforme, exécuter les exercices et produire les rapports : exécution du contrat conclu avec l’organisation cliente.
Sécurité, prévention des abus, journal d’audit des accès : intérêt légitime.
Envoi des invitations, liens de session et réinitialisations de mot de passe : exécution du contrat.
Obligations comptables et légales : obligation légale.
Génération par intelligence artificielle
Pour écrire un exercice, évaluer des réponses et synthétiser les messages vocaux, la plateforme transmet à des fournisseurs de modèles les éléments nécessaires : la description de l’organisation saisie par le coordinateur, le scénario, et les réponses des participants pendant l’exercice. Ces fournisseurs sont Anthropic et OpenAI (États-Unis), liés par des clauses contractuelles types et des engagements de non-utilisation des données pour l’entraînement de leurs modèles.
Les personnages et sociétés des exercices sont fictifs. Ne saisissez pas de données personnelles réelles dans la description d’une organisation ou dans un scénario.
Destinataires et sous-traitants
Hébergement : OVHcloud (Londres, Royaume-Uni). Envoi d’e-mails : Brevo (France). Modèles d’IA : Anthropic et OpenAI (États-Unis). Aucune donnée n’est vendue ni cédée à des tiers à des fins commerciales.
Au sein de votre organisation, les coordinateurs voient les exercices, les rapports et les journaux de leur organisation ; les participants voient leurs propres sessions.
Durées de conservation
Comptes et contenus des exercices : pendant la durée du contrat. Après la date de fin, l’organisation peut encore lire et exporter ses données pendant 90 jours, puis la connexion est refusée. Rien n’est supprimé automatiquement : les données restent stockées jusqu’à leur effacement sur demande (voir Vos droits).
Enregistrements de connexion : supprimés une semaine après leur fin, ou deux semaines après leur dernière utilisation. Liens d’invitation : valables sept jours. Demandes de création de compte : supprimées sept jours après leur expiration.
Demandes de démonstration et de partenariat : conservées jusqu’à leur effacement sur demande.
Journal d’audit (connexions et actions privilégiées, avec l’adresse e-mail et l’adresse IP de la personne concernée) : conservé sans limite de durée. Journaux du serveur : conservés avec chaque service de la plateforme, sur le serveur, jusqu’à ce qu’une mise à jour remplace ce service.
Sauvegardes : une copie de la base de données chaque nuit, conservée 14 jours, et l’instantané automatique du serveur pris chaque jour par l’hébergeur, conservé 7 jours.
Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, dans les conditions du RGPD. Écrivez à privacy@undercrisis.com ; nous répondons dans le mois.
Vous pouvez introduire une réclamation auprès de l’Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles, www.autoriteprotectiondonnees.be.
Sécurité
Les connexions sont chiffrées : la plateforme est servie en HTTPS et les navigateurs reçoivent l’ordre de refuser le HTTP simple. Les mots de passe ne sont conservés que sous forme d’empreinte bcrypt ; les secrets du second facteur et de l’authentification unique (SSO) sont conservés chiffrés (AES-256-GCM) ; les liens de connexion et d’invitation ne sont conservés que sous forme d’empreinte (SHA-256).
Les données sont cloisonnées par organisation jusque dans la base de données (row-level security). Un journal d’audit enregistre les actions privilégiées. La base de données est sauvegardée chaque nuit.